Patakaran sa Proteksyon ng Data ng Grassroots Economics Foundation

Salin para sa pagsusuri — hindi pa epektibo. Inilaan ang saling Filipino na ito para sa pagsusuri bago ang legal na pag-apruba. Ang tekstong Ingles ang pinagmulan at siyang mananaig, maliban kung iba ang hinihingi ng naaangkop na batas. Basahin ang tekstong Ingles.

1. Layunin

Iginagalang ng Grassroots Economics Foundation (GEF) ang privacy at itinuturing na pananagutan nito sa mga tao at komunidad na kaugnay ng gawain nito ang maingat na pagproseso ng personal na data. Nagtatakda ang Patakarang ito ng pinakamababang pamantayan para sa personal na data na pinoproseso sa mga sistema, programa, pananaliksik, edukasyon, event, partnership, at operasyon ng GEF, kabilang ang Cosmo-Local Credit App (CLC App).

Nakabatay ang Patakarang ito sa Data Protection Act, 2019 ng Kenya, mga naaangkop na regulasyon, at kasalukuyang gabay ng Office of the Data Protection Commissioner. Maaari ring umiral ang ibang batas kung saan nagtatrabaho ang GEF o kung saan naroon ang mga apektadong tao.

Ang Abiso sa Privacy ng CLC App ay nagbibigay ng mas tiyak na impormasyon tungkol sa mga field ng App, pampublikong resource, recipient lookup, at pampublikong blockchain record. Namamahala ang Mga Tuntunin ng Serbisyo sa paggamit ng App.

2. Saklaw

Naaangkop ang Patakarang ito sa mga trustee, director, kawani, volunteer, intern, contractor, consultant, mananaliksik, at ibang taong nagpoproseso ng personal na data para sa o sa ngalan ng GEF. Dapat magtakda ang mga contract at partnership arrangement ng naaangkop na tungkulin sa proteksyon ng data para sa mga service provider at partner.

Saklaw ng Patakaran ang personal na data sa digital, papel, audio, visual, pananaliksik, komunikasyon, at ibang record. Naaangkop ito kapag kumikilos ang GEF bilang controller, joint controller, o processor. Dapat tukuyin ng isang proyekto ang papel ng GEF at ng ibang partido sa halip na ipalagay na iisang patakaran ang namamahala sa lahat ng kalahok.

3. Mga prinsipyong namamahala

Pinoproseso ng GEF ang personal na data ayon sa mga sumusunod na prinsipyo:

1. Pagiging legal, patas, at malinaw. Tumatanggap ang mga tao ng madaling maunawaang impormasyon tungkol sa mahalagang pagproseso bago o habang kinokolekta ang kanilang data, kapag praktikal at kinakailangan.
2. Limitasyon ng layunin. Kinokolekta ang data para sa mga tiyak, malinaw, at lehitimong layunin at hindi muling ginagamit sa paraang hindi tugma nang walang legal na batayan at angkop na abiso.
3. Pagliit ng data. Kinokolekta at ibinabahagi lamang ng GEF ang makatwirang kailangan para sa nakasaad na layunin.
4. Katumpakan. Gumagawa ng makatwirang hakbang upang mapanatiling tumpak ang mahalagang personal na data at maitama ang nakalilitong record.
5. Limitasyon sa pag-iingat. Itinatago lamang ang data na nakatutukoy sa tao hangga't makatwirang kailangan para sa layunin at naaangkop na obligasyon.
6. Integridad at pagiging kumpidensyal. Ang mga proteksyon ay naaayon sa data, mga tao, konteksto, at panganib.
7. Pananagutan. Itinatala ng GEF ang mahahalagang desisyon at maipakikita kung paano inilalapat ang mga prinsipyong ito.
8. Pakikilahok at dignidad. Dapat igalang ng mga kasanayan sa data ang kakayahang magpasya, kaligtasan, kultura, at makatwirang inaasahan ng mga apektadong tao at komunidad.

4. Pananagutan at mga tungkulin

Responsable ang mga namamahala at management body ng GEF sa pagtiyak na may sapat na resource at oversight ang mga panganib sa privacy. Nagtatalaga sila ng mga may-pananagutang papel para sa koordinasyon sa privacy, seguridad ng impormasyon, mga record, research governance, safeguarding, pagtugon sa insidente, at mga kahilingan ng data subject.

Nakasunod ang pananagutan sa gawain at awtoridad na kasangkot; hindi ito awtomatikong itinatalaga sa isang partikular na departamento. Lahat ng nagtatrabaho para sa o sa ngalan ng GEF ay dapat:

• sumunod sa Patakarang ito at sa mga procedure na naaangkop sa kanilang papel;
• mag-access lamang ng personal na data kapag awtorisado at kailangan;
• agad mag-ulat ng pinaghihinalaang pagkawala, maling paggamit, pagbubunyag, o kahinaan sa seguridad;
• kumpletuhin ang kinakailangang training; at
• magtanong sa responsableng project o privacy lead bago simulan ang hindi malinaw o mataas ang panganib na pagproseso.

Nagpapanatili ang GEF ng angkop na record tungkol sa mga processing system, layunin, kategorya ng data, mga apektadong tao, legal na batayan, tatanggap, transfer, retention, proteksyon, at may-pananagutang may-ari.

5. Mga legal na batayan at pahintulot

Dapat magkaroon ang bawat processing activity ng naaangkop na legal na batayan, gaya ng pahintulot, pagtupad sa kasunduan, pagsunod sa legal na obligasyon, pagprotekta sa mahahalagang interes, gawain para sa pampublikong interes kapag pinahihintulutan ng batas, o lehitimong interes na hindi nahihigitan ng mga karapatan ng tao.

Itinatala ng responsableng team ang batayan bago mangolekta. Kapag pahintulot ang ginagamit, dapat itong may sapat na impormasyon, tiyak, malayang ibinigay kapag kinakailangan, may ebidensya, at kasingdaling bawiin gaya ng pagbibigay nito. Hindi dapat magresulta sa hindi inihayag na parusa ang pagtanggi o pagbawi ng pahintulot.

Hindi pahintulot ang awtomatikong sagot sa bawat gawain. Dapat gamitin ng GEF ang batayang tumpak na naglalarawan sa pagproseso at magbigay ng anumang karagdagang proteksyong kailangan para sa sensitibong data, mga bata, vulnerable na tao, direktang komunikasyon, pananaliksik, o internasyonal na transfer.

6. Transparency at pangongolekta

Bago mangolekta ng personal na data, nagbibigay ang GEF ng abisong angkop sa audience at konteksto. Dapat nitong ipaliwanag, kung naaangkop:

• sino ang nangongolekta ng data at paano makipag-ugnayan;
• anong data ang kinokolekta at kung kinakailangan o opsyonal ito;
• bakit ito ginagamit at ano ang legal na batayan;
• ang kahihinatnan ng hindi pagbibigay ng kinakailangang data;
• sino ang tumatanggap nito at kung maaari itong iproseso sa ibang bansa;
• gaano katagal ito itinatago o paano pinagpapasyahan ang retention;
• mahahalagang kaayusan sa seguridad at pagiging kumpidensyal;
• kung ilalathala ang impormasyon o ilalagay sa pampublikong blockchain; at
• mga karapatan ng tao at mga paraan ng pagrereklamo.

Karaniwang kinokolekta ng GEF ang data nang direkta mula sa tao. Dapat magkaroon ang hindi direktang pangongolekta ng legal na batayan, nakatalang source, at angkop na abiso maliban kung may legal na exception.

7. Sensitibong data at mga taong mas mataas ang panganib

Maaaring lumikha ng malubhang panganib ang data dahil sa nilalaman, konteksto, pagsasama-sama, o mga taong kasangkot. Kabilang dito ang impormasyong pangkalusugan, biometric, genetic, etniko, panrelihiyon, pampulitika, sekswal, pinansyal, tiyak na lokasyon, pagkakakilanlan, at safeguarding, pati data na maaaring maglantad sa isang tao sa diskriminasyon, karahasan, pagbubukod, surveillance, pagsasamantala, o pagkawala.

Naglalapat ang GEF ng mas matibay na proteksyon kapag mas malaki ang panganib. Maaaring kabilang sa mga hakbang ang pangongolekta ng mas kaunting data, paghihiwalay ng identifier, mas mahigpit na access restriction, encryption, mas maikling retention, mas ligtas na paraan ng pakikipag-ugnayan, secure transfer, pagsusuri bago magbunyag, payo ng specialist, at nakatalang impact assessment.

Dapat isaalang-alang ng mga team ang lokal na kalagayan. Maaaring maging sensitibo ang pangalan, kaugnayan sa komunidad, map point, Wallet address, larawan, o transaction history kahit hindi ito itinuturing na sensitibong data sa bawat batas.

8. Mga bata at pangangalaga

Nangangailangan ng espesyal na pag-iingat, naaangkop na legal na batayan, impormasyong angkop sa edad, at anumang kinakailangang pahintulot ng magulang o guardian ang pagproseso ng data ng bata. Pangunahing konsiderasyon ang pinakamabuting interes ng bata.

Nililimitahan ng GEF ang data ng mga bata at access dito, iniiwasan ang hindi kailangang tiyak na lokasyon o nakatutukoy na media, at sinusuri kung maaaring lumikha ng nakikitang panganib ang paglalathala o digital na komunikasyon. Dapat sumunod ang paghawak sa data sa Patakaran sa Pangangalaga sa mga Bata.

Para lamang sa mga nasa hustong gulang ang CLC App. Hindi lumilikha ang Patakarang ito ng paraan para magparehistro ang isang bata sa App.

9. Privacy by design at impact assessment

Dapat isaalang-alang ang mga requirement sa privacy habang dinidisenyo ang proyekto o sistema, hindi lamang pagkatapos makolekta ang data. Dapat tukuyin ng mga team bago ilunsad ang layunin, daloy ng data, visibility, access, retention, pagbura, provider, transfer, at kaayusan sa insidente.

Gumagawa at nagtatala ang GEF ng data-protection impact assessment kapag malamang na lumikha ng mataas na panganib ang pagproseso. Kabilang sa mga posibleng dahilan ang malakihan o sistematikong monitoring, sensitibo o data ng bata, tiyak na lokasyon, bagong teknolohiya, pampublikong matching, automated evaluation, pagsasama ng mga dataset, o hindi na mababaling paglalathala.

Dapat iakyat ang hindi nalutas na mataas na panganib sa may-pananagutang management o governance body at, kapag kinakailangan, sa may-kakayahang awtoridad bago simulan ang pagproseso.

10. Access at seguridad

Nililimitahan ang access sa personal na data ayon sa papel at pangangailangan. Pumipili ang GEF ng proteksyong angkop sa sistema at panganib, na maaaring kabilang ang:

• matibay na authentication at kontroladong administrative access;
• least-privilege permission at paghihiwalay ng tungkulin;
• secure transport at angkop na proteksyon sa nakaimbak na data;
• suportadong software, patching, configuration review, at vulnerability management;
• logging, monitoring, rate limit, at pagtukoy sa pang-aabuso;
• protektadong backup, nasubok na recovery, at pagpapatuloy ng serbisyo;
• secure deletion o destruction kapag natapos ang retention; at
• contractual na tungkulin sa pagiging kumpidensyal at seguridad para sa mga tauhan at provider.

Sinusuri ang security control kapag nagbago ang sistema, banta, o panganib. Nangangailangan ng ibang proteksyon ang pampublikong blockchain record dahil karaniwang hindi na mababago o mabubura ang nakumpirmang record.

11. Mga service provider, partner, at transfer

Bago bigyan ng access sa personal na data ang isang service provider, sinusuri ng GEF ang layunin, pangangailangan, seguridad, lokasyon, karagdagang pagbabahagi, pagbura, at kakayahang suportahan ang mga legal na obligasyon. Dapat tukuyin ng nakasulat na tuntunin ang pinahihintulutang pagproseso, pagiging kumpidensyal, seguridad, pag-uulat ng insidente, subprocessing, tulong, pagbabalik o pagbura, at oversight kapag kinakailangan.

Hindi awtomatikong ginagawang processor ng partnership ang bawat organisasyon. Dapat tukuyin ng bawat arrangement kung kumikilos ang mga partido bilang hiwalay na controller, joint controller, o controller at processor, at magbigay sa mga tao ng tumpak na impormasyon tungkol sa mga papel na iyon.

Dapat gumamit ang internasyonal na access o transfer ng naaangkop na legal na batayan at angkop na proteksyon. Itinatala ng mga kaugnay na team ang tatanggap, destinasyon, layunin, data, panganib, at proteksyon. Maaaring ma-access sa buong mundo ang pampublikong impormasyong inilathala at pampublikong blockchain data, kaya kailangan ng malinaw na abiso bago ilathala.

12. Pananaliksik, statistics, at open data

Sinusuportahan ng GEF ang responsableng pananaliksik at bukas na pagkatuto. Hindi ibig sabihin ng pagiging bukas na awtomatikong inilalathala ang personal na data.

Ang pananaliksik at gawaing pampublikong data ay dapat:

• tukuyin ang tanong, pampublikong halaga, legal na batayan, at pinakamababang data na kailangan;
• gumamit ng aggregation, de-identification, pseudonymization, sampling, o controlled access kapag angkop;
• suriin ang panganib ng muling pagkilala at pinsala sa grupo, kabilang ang pagsasama sa pampublikong data;
• iwasang ilarawan bilang anonymous ang de-identified data kapag makatwirang posible pa rin ang muling pagkilala;
• itala ang pahintulot, ethics review, kasunduan ng komunidad, o ibang legal na awtoridad kapag kailangan;
• magtakda ng angkop na panuntunan sa access, muling paggamit, attribution, retention, pagwawasto, at withdrawal; at
• suriin bago ilathala ang mga table, mapa, salaysay, larawan, at maliliit na grupo para sa hindi sinasadyang pagbubunyag.

Hindi dapat subukang tukuyin muli ng mga mananaliksik at tatanggap ang mga tao o gamitin ang data para manakit, mandiskrimina, magsamantala, o magtarget ng tao o komunidad. Maaaring paghigpitan, itama, bawiin, o tanggihan ng GEF ang paglalabas kapag hindi sapat ang pagkontrol sa panganib.

13. Katumpakan, pagwawasto, at pinagmulan

Gumagawa ang mga team ng makatwirang hakbang upang mapanatiling tumpak ang personal na data para sa layuning pinaggagamitan nito. Dapat magkaroon ang mga tao ng praktikal na paraan upang mag-ulat ng mahalagang error.

Dapat panatilihin ng pagwawasto ang kinakailangang record ng pinagmulan, audit, o dispute nang hindi patuloy na inilalarawan bilang kasalukuyan ang maling impormasyon. Kapag hindi mababago ang pampublikong blockchain o kopyang kontrolado ng ibang partido, itatama ng GEF ang off-chain record na kontrolado nito at ipaliliwanag ang teknikal na limitasyon kapag angkop.

14. Retention at pagtatapon

Dapat magkaroon ang bawat sistema o gawain ng retention rule batay sa layunin, legal na obligasyon, contract, panganib, limitation period, audit, integridad ng pananaliksik, at mga karapatan ng apektadong tao. Hindi iisang takdang panahon ang inilalapat sa bawat kategorya dahil lamang ginagamit iyon ng partner o ibang proyekto.

Sa pagtatapos ng retention, ligtas na binubura, sinisira, pinagsasama-sama, inaalis ang pagkakakilanlan, o nililimitahan ng GEF ang data. Maaaring sumunod ang pagbura ng backup sa nakatalang replacement cycle. Maaaring mangailangan ng limitadong pag-iingat at pinaghigpitang access ang legal hold, safeguarding matter, reklamo, imbestigasyon, o public-interest archive.

Hindi mabubura ng GEF ang pampublikong blockchain record o kopyang kontrolado ng hiwalay na third party.

15. Mga karapatan ng tao at reklamo

Nagbibigay ang GEF ng praktikal na proseso para magamit ng mga tao ang mga karapatang available sa naaangkop na batas, kabilang ang impormasyon, access, pagwawasto, pagtutol, paghihigpit, pagbawi ng pahintulot, pagbura, at portability kapag naaangkop.

Dapat ipadala ang mga kahilingan sa [email protected]. Maaaring patunayan ng GEF ang pagkakakilanlan at awtoridad ng humihiling at sasagot ito sa loob ng panahong hinihingi ng naaangkop na batas. Kung hindi ganap na matutupad ang kahilingan, ipaliliwanag ng GEF ang dahilan kapag pinahihintulutan at tutukuyin ang available na paraan ng pagrereklamo.

Maaaring magreklamo ang mga tao sa Office of the Data Protection Commissioner o ibang may-kakayahang awtoridad.

16. Mga insidente sa data

Ang sinumang nagtatrabaho para sa o sa ngalan ng GEF ay dapat agad mag-ulat ng pinaghihinalaang pagkawala, hindi awtorisadong access, pagbubunyag, pagbabago, pagsira, o maling paggamit ng personal na data sa itinakdang incident channel o sa responsableng management.

Kokontrolin at iimbestigahan ng GEF ang insidente, poprotektahan ang mga apektadong tao, mag-iingat ng angkop na ebidensya, susuriin ang panganib, itatala ang mga desisyon, at aabisuhan ang mga apektadong tao, partner, insurer, o awtoridad kapag kinakailangan. Dapat ibahagi lamang ang impormasyon tungkol sa insidente sa mga taong kailangan ito para sa pagtugon, pananagutan, o pagsunod sa batas.

17. Training, katiyakan, at pagpapatupad

Tumatanggap ang mga tauhan ng impormasyon tungkol sa privacy at seguridad na angkop sa kanilang papel. Tumatanggap ng karagdagang training ang mga papel na mas mataas ang panganib. Pana-panahong sinusuri ng GEF ang mga sistema, access, abiso, provider, retention, insidente, at pagsunod sa Patakarang ito.

Ang hindi pagsunod sa Patakarang ito ay maaaring magresulta sa pinaghigpitang access, corrective action, contractual remedy, disciplinary action, pagtatapos ng arrangement, pag-uulat sa awtoridad, o ibang naaangkop na hakbang.

Walang taong dapat gantihan dahil sa tapat na pag-uulat ng alalahanin tungkol sa privacy o seguridad.

18. Pagsusuri at pakikipag-ugnayan

Sinusuri ng GEF ang Patakarang ito hindi bababa sa isang beses bawat taon at kapag may mahalagang legal, operational, o teknikal na pagbabago. Nakasaad sa mga na-update na bersyon ang kanilang mga petsa ng paglalathala at pagiging epektibo.

Maaaring ipadala ang mga tanong tungkol sa privacy, kahilingan sa karapatan, o alalahanin sa:

Grassroots Economics Foundation
P.O. Box 1659-80108
Kilifi, Kenya
[email protected]