FAQs on Privacy in Reporting of Personal Data for Contact Tracing Purposes

1. What type of information can be collected for contact tracing purposes? Anong klase ng impormasyon ang maaaring kolektahin para sa contact tracing?

Only pertinent information necessary in facilitating contact tracing should be collected, such as but not limited to: travel history, and frequented locations. Likewise, the only information required to enable contact tracing shall be disclosed to the public.

Note, also that the Data Privacy Act should not prevent the government, especially public health entities from processing personal and sensitive personal information when necessary to fulfill their mandate during a public health emergency.

Iyon lamang mga impormasyong may kinalaman o kailangan para maisagawa ang contact tracing ang maaaring kunin o kolektahin, tulad ng impormasyon tungkol sa nakaraang paglalakbay, at mga lugar na pinuntahan. Itong mga impormasyong ito rin lamang ang maaaring ibunyag sa publiko.

Tandaan ding ang Data Privacy Act ay hindi hadlang sa pamahalaan, lalo na sa mga sangay ng pampublikong kalusugan, sa pangangalap at paggamit ng mga personal at sensitibong impormasyon kung ito ay kinakailangan upang gampanan ang kanilang tungkulin sa ilalim ng isang public health emergency

(source: Statement by Privacy Commissioner Raymund Enriquez Liboro on the Declaration of Public Health Emergency in Relation to COVID-19 at https://www.privacy.gov.ph/2020/03/statement-by-privacy-commissioner-raymund-enriquez-liboro-on-the-declaration-of-public-health-emergency-in-relation-to-covid-19/ )​



2. What considerations should be applied in disclosing personal information of PUIs and PUMs? Ano ang mga kailangang isaalang-alang sa pagsisiwalat ng mga personal na impormasyon ng mga PUIs at PUMs?

In line with global best practices, a balance needs to be weighed between (1) potential harm or distress to the patient arising from the disclosure and (2) potential damage to trust in doctors and the health institution vis-a-vis (1) potential harm to the public, if the information is not disclosed, and (2) potential benefits to individuals and society arising from release of information.

Naaayon sa pandaigdigang pinakamahusay na kasanayan (global best practices), kailangang magkaroon ng pagbabalanse sa pagitan ng (1) mga posibleng masasamang epekto sa pasyente dulot ng pagsisiwalat ng impormasyon at pagkasira ng tiwala sa mga doctor at sa mga institusyong pangkalusugan, at (2) mga posibleng masamang epekto sa publiko kung hindi isisiwalat ang impormasyon, at mga magagandang maidudulot sa mga mamamayan at sa lipunan ng pagsisiwalat nito

(source: Statement by Privacy Commissioner Raymund Enriquez Liboro on the Declaration of Public Health Emergency in Relation to COVID-19 at https://www.privacy.gov.ph/2020/03/statement-by-privacy-commissioner-raymund-enriquez-liboro-on-the-declaration-of-public-health-emergency-in-relation-to-covid-19/ )​

3. Is there basis for the collection of the name and travel history of PUIs and PUMs, even without their consent? May basehan ba ang pangongolekta ng pangalan at mga nakaraang paglalakbay ng mga PUIs at PUMs kahit wala silang pahintulot?

Personal data, such as the name, travel history and frequented locations of a data subject (i.e., a PUI or a PUM), can be processed, even without his consent, in accordance with Section 12(e) of the Data Privacy Act (“DPA”), considering that such information can be deemed necessary to respond to national emergency and to comply with requirements of public order and safety.

Section 6 of Republic Act No. 11332 (Mandatory Reporting of Notifiable Diseases and Health Events of Public Health Concern Act or RA No. 11332) also requires the implementation of verification and contact tracing, and other activities which control further spread or prevent re-occurrence of outbreaks, epidemics and the like. Data collection, analysis and sharing of information from official disease surveillance systems by authorized DOH personnel and local counterparts are also exempt from the Data Privacy Act as regards access to data.

Ang personal data tulad ng pangalan, nakaraang paglalakbay at mga lugar na pinuntahan ng isang tao tulad ng PUI o PUM ay maaaring kolektahin at gamitin kahit hindi niya pinahintulutan, ayon sa Section 12(e) ng Data Privacy Act (DPA), kung ang mga impormasyong ito ay kinakailangan upang matugunan ang isang pambansang krisis o sakuna, at bilang pagsunod sa mga alituntunin ng kaayusan at kaligtasan ng publiko.

Nasasaad din sa Section 6 ng Republic Act No. 11332 (Mandatory Reporting of Notifiable Diseases and Health Events of Public Health Concern Act) na kailangang ipatupad ang verification at contact tracing, at iba pang mga gawaing makapipigil sa pagkalat at pag-ulit ng mga outbreaks, epidemya, at mga katulad na pangyayari. Ang pangangalap ng impormasyon, pag-aanalisa, at pagbabahagi nito galing sa mga opisyal na disease surveillance systems ng mga awtorisadong tauhan ng Kagawaran ng Kalusugan at mga lokal na katuwang ay hindi rin nasasaklawan ng Data Privacy Act pagdating sa usapin ng access sa impormasyon.

4. Is there basis for the collection of the medical history of PUIs, even without my consent? May basehan ba ang pangongolekta ng medical history ng PUIs kahit wala silang pahintulot?

The medical history of a PUI and a PUM, which are considered as Sensitive Personal Information under Section 3(l) the DPA, can be processed under Section13(e) of the DPA, considering that the processing is necessary to respond to a national emergency and comply with requirements of public safety.

Ang medical history ng PUIs at PUMs, na itinuturing na sensitibong personal na imporasyon sa ilalim ng Section 3(l) ng DPA, ay maaaring iproseso ayon sa Section 13(e) ng DPA. Ito ay sa kadahilanang ang pagpoproseso ng nasabing impormasyon ay kailangan upang tumugon sa isang pambansang krisis o sakuna, at bilang pagsunod sa mga alituntunin ng kaayusan at kaligtasan ng publiko

5. Who can process personal data for contact tracing purposes? Sino ang maaaring magproseso ng personal na impormasyon para sa contact tracing?

All public and private physicians, allied medical personnel, professional societies, hospitals, clinics, health facilities, laboratories, institutions, workplaces, schools, prisons, ports, airports, establishments, communities, other government agencies, and NGOs can process personal data of PUIs and PUMs for contact tracing purposes, pursuant to their duty to report the same under Section 6(c) of RA No. 11332.

Lahat ng pampubliko at pampribadong manggagamot, kaalyadong medical personnel, professional societies, mga ospital, mga klinika, mga pasilidad na pangkalusugan, mga laboratoryo, mga institusyon, mga kumpanya, mga paaralan, mga kulungan, mga daungan, mga paliparan, mga iba’t ibang establisyimento, mga komunidad, mga ahensya ng pamahalaan, at mga NGOs ay maaaring magproseso ng personal na impormasyon ng mga PUIs at PUMs para sa contact tracing, batay sa kanilang katungkulan sa ilalim ng Section 6(c) ng RA 11332.

6. What should an employer do in case government officials request for the identity and other personal information of employees who are PUIs? Ano ang kailangang gawin ng isang employer kung sakaling hingin ng mga opisyal ng pamahalaan ang pagkakakilanlan at iba pang personal na impormasyon ng kaniyang empleyadong PUI?

a. Seek for a formal document-request listing the personal data being requested indicating the reasons for the request and signed by the Head of Agency asking for the information;

b. Information to be provided should be limited to the minimum extent necessary aligned with the purpose of the request;

c. Indicate in the letter-response the employer’s expectation that the information will be used only for the purpose for which it was requested

a. Humingi ng pormal na dokumento kung saan nakasaad ang request at listahan ng mga personal na impormasyong hinihingi ng ahensya, kasama ang mga dahilan para sa nasabing request, na may pirma ng pinuno ng ahensyang nanghihingi ng impormasyon.

b. Ang impormasyong ibibigay ay limitado sa kung ano lamang ang kailangan batay sa layunin ng request.

c. Kailangang ilahad sa inyong kasagutan sa request na kayo ay umaasang ang mga impormasyong inyong ibibigay ay gagamitin para lamang sa mga layuning nakasaad sa request.

7. What are prohibited acts of PUIs/PUMs in relation to the reporting of information for contact tracing purposes? Ano ang mga ipinagbabawal na gawain ng mga PUIs at PUMs na may kinalaman sa pagbibigay ng impormasyon para sa contact tracing?

Section 9 of RA No. 11332 prohibits the tampering of records or intentionally providing misinformation; as well as the non-cooperation of the person or entities identified as having the notifiable disease, or affected by the health event of public concern.

Any person or entity that misinforms or refuses to cooperate with reportorial requirements shall be penalized with a fine ranging from Php20,000 to Php50,000 and/or imprisonment ranging from one (1) to six (6) months, at the discretion of the proper court.

Ipinagbabawal ng Section 9 ng RA 11332 ang pagbabago ng records na magdudulot ng pinsala rito, o ang kusang pagbibigay ng maling impormasyon. Ipinagbabawal din ang kawalan ng kooperasyon ng mga may tinatawag na notifiable disease, o ng mga apektado ng tinatawag na health event of public concern, o isang pangyayaring may kinalaman sa kalusugan at nakaaapekto sa publiko.

Ang sinumang magbibigay ng maling impormasyon o hindi makikipagtulungang sumunod sa tuntunin ng pagbibigay ng impormasyon ay maaaring maparusahan ng multa mula P20,000 hanggang P50,000 at/o kulong mula isa hanggang anim na buwan, depende sa hatol ng hukuman.