Proteksyon ng Datos at Konsyumer sa Pilipinas — Legal na Balangkas, mga Regulator, at mga Kaganapan sa Practice noong 2025–2026

Petsa: 2026-08-30 · Na-update 2026-08-30 · Seksyon: Pamumuhunan, Economic Zones at Lisensya · Japanese version

Paalala ng patnugutan: Saklaw ng artikulong ito ang isang larangan kung saan may interes sa negosyo ang kompanyang nagpapatakbo ng sitwebs na ito. Hinango ito sa pampublikong impormasyon at primaryang sanggunian.

0. Ang malaking larawan: pitong batas na dapat malaman muna

Hindi iisang batas lang ang "proteksyon ng datos" at "proteksyon ng konsyumer" sa Pilipinas, kundi isang bungkos ng mga batas na hati-hati ayon sa iba't ibang regulator. Ang karaniwang pagkakamali ng mga kompanyang Hapon ay ang pag-akalang "problema ng konsyumer = pumunta sa DTI." Sa totoo, iba-iba ang pasukan: DTI para sa produkto, FDA para sa pagkain/gamot/kosmetiko, BSP/SEC/IC/CDA para sa pinansyal, at NPC para sa personal na datos.

Dalawa ang pinakamalaking istrukturang pagbabago noong 2025–2026: (1) buong naipatupad na ang ITA noong Hunyo 2025, na nagbigay sa DTI ng kapangyarihang mag-blacklist at magmulta ng mga hindi sumusunod na e-commerce operator (Manila Bulletin, Hunyo 23, 2025); at (2) inilipat ng NPC ang pokus nito ng regulasyon sa AI, biometric na datos, at data scraping (NPC Advisory 2024-04, 2026-01).

1. Ang Data Privacy Act (RA 10173, 2012)

1.1 Kasaysayan at saklaw

• Ipinasa noong Agosto 15, 2012. Nagkabisa ang Implementing Rules and Regulations (IRR) noong 2016, at mula noon nagsimula ang aktwal na pagpapatupad.
• (Kinumpirma ang katayuan ng amyenda sa pag-verify noong 2026-08-26) Hanggang Agosto 2026, walang Republic Act na natukoy na nag-amyenda sa RA 10173. Hindi ang batas ang gumagalaw kundi ang Circular at Advisory ng NPC (halimbawa, ang antas ng administrative fine sa NPC Circular 2022-01, na may ceiling na ₱5,000,000). Paulit-ulit na isinasampa ang mga panukalang amyenda sa Kongreso (halimbawa, pagpapatindi ng parusa o pagdaragdag ng depinisyon ng biometric/genetic na datos), pero nawawalang bisa o muling isinasampa tuwing may bagong Kongreso, at wala pa ni isang naipasa (pinagmulan: opisyal na website ng NPC, privacy.gov.ph; DLA Piper, "Data protection laws in the Philippines"; database ng panukalang batas ng House of Representatives).
• May extraterritorial na aplikasyon. Sa ilalim ng Seksyon 6 ng DPA, ang isang dayuhang entidad na humahawak ng personal na datos ng mamamayan o residenteng Pilipino ay sakop ng batas kung mayroon itong alinman sa mga sumusunod na koneksyon: (1) may kontratang naisagawa sa Pilipinas, (2) ang sentral na pamamahala nito ay nasa Pilipinas, o (3) may sangay o subsidiary ito sa Pilipinas na nagpoproseso ng gayong datos (RA 10173, Sec. 6, teksto na inilathala sa LawPhil).
• Mga exemption sa Seksyon 4: impormasyong kaugnay ng tungkulin ng isang opisyal ng gobyerno, impormasyon para sa layuning peryodismo/sining/panitikan/pananaliksik, impormasyong kinakailangan para sa tungkuling pagpapatupad ng batas o regulasyon ng isang pampublikong ahensya, at impormasyong nakolekta sa ilalim ng dayuhang batas, bukod sa iba pa.

注 Mali ang "wala sa saklaw ng batas ng Pilipinas ang kompanyang Hapon." Kung nag-outsource ng BPO, nagbebenta sa pamamagitan ng e-commerce, o kumukuha ng datos ng customer sa pamamagitan ng lokal na subsidiary, maaaring masakop ito sa ilalim ng Seksyon 6.

1.2 Depinisyon ng personal na impormasyon at sensitibong personal na impormasyon (Seksyon 3)

Isang malaking pagkakaiba sa batas sa Japan (Act on the Protection of Personal Information) ay itinuturing na "sensitibo" ang edad, katayuan sa kasal, at edukasyon sa Pilipinas. Kung dinala nang buo ang pananaw ng punong-tanggapan sa Japan sa disenyo ng database ng HR/recruitment, malamang na hindi ito matukoy.

1.3 Legal na batayan sa pagproseso at karapatan ng data subject

• Para sa karaniwang personal na impormasyon, ang mga legal na batayan ay nasa Seksyon 12 (pahintulot, pagsasakatuparan ng kontrata, legal na obligasyon, proteksyon ng buhay, tungkulin ng pampublikong ahensya, lehitimong interes); para sa sensitibong personal na impormasyon, nasa Seksyon 13 (sa prinsipyo, pahintulot; espesyal na pahintulot ng batas; proteksyon ng buhay; panloob na pagproseso ng nonprofit organization; medikal na layunin; pagtatatag ng legal na claim, atbp.)
• Pinaghati-hati ng NPC ang standard sa operasyon sa pamamagitan ng Circular 2023-04 (pahintulot), Circular 2023-07 (lehitimong interes), at Advisory 2024-02 (Seksyon 13(f)). Malinaw nang tinanggihan mula 2023 ang paniniwalang "sapat na ang pagkuha ng pahintulot para sa kahit ano."
• Karapatan ng data subject (Seksyon 16): karapatang malaman ang pagproseso, karapatan sa access, karapatan sa pagwawasto, karapatang humiling ng pag-block/pagbura, karapatan sa danyos, at ang karapatan sa data portability (pagkuha ng kopya sa anyong elektroniko).

2. Ang NPC (National Privacy Commission)

2.1 Kapangyarihan

Sa ilalim ng Seksyon 7 ng DPA, ang NPC ay: (1) nangangasiwa sa pagsunod at nag-iimbestiga ng reklamo, (2) maaaring maglabas ng cease-and-desist order at pansamantalang o permanenteng magbawal ng pagproseso ng personal na datos, (3) sumusubaybay sa mga hakbang sa seguridad ng mga ahensya ng gobyerno, (4) nag-aaprubá ng code of conduct, (5) nagrerekomenda ng paglilitis sa DOJ, at (6) nakikipag-ugnayan sa mga dayuhang awtoridad.

Noong Disyembre 11, 2025, hinirang si Johann Carlos Barcena bilang Privacy Commissioner (Newsbytes.PH). Hinirang din ang bagong Deputy Commissioner noong Pebrero 2026 (Newsbytes.PH, Pebrero 15, 2026).

2.2 Mahahalagang inilabas na dokumento (2023–2026)

Mahahalagang punto ng Advisory 2026-01 (data scraping): (1) tiyak at limitadong layunin; (2) kailangan ng legal na batayan sa ilalim ng DPA — "ang katotohanang pampubliko ang datos ay hindi nangangahulugang may pahintulot"; (3) abiso sa data subject bago o sa susunod na praktikal na pagkakataon ng pagproseso; (4) data minimization; (5) pagsasagawa ng privacy impact assessment (PIA); (6) karagdagang proteksyon para sa sensitibong impormasyon; at (7) mas mahigpit na pagsusuri para sa menor de edad, matatanda, at may kapansanan. Labag sa batas ang pag-iwas sa teknikal na hakbang sa proteksyon o paggamit ng mapanlinlang na paraan sa pag-scrape (Seksyon 4). Direktang nakaapekto ito sa pangongolekta ng training data para sa generative AI.

注 Iniulat ng isang artikulo ng Tech Times noong Agosto 10, 2026 na "pinalitan na ng Pilipinas ang pare-parehong requirement sa PIA, na nagpapataw ng bagong pagsusuri para sa AI at biometric processing," pero hanggang Agosto 25, 2026, walang katugmang circular para sa 2026 na lumitaw sa opisyal na listahan ng "Advisories & Circulars" ng NPC (Advisory 2026-01 at 2026-02 lang ang lumitaw para sa 2026). Hindi natukoy ang numero at opisyal na pangalan nito. Sa praktika, dapat iwasang ituring itong tiyak hangga't hindi pa nalalathala ang orihinal na teksto. Muling nakumpirma sa pag-verify noong 2026-08-25: sa direktang pagsusuri sa listahan ng Advisories & Circulars sa opisyal na website ng NPC, privacy.gov.ph, ang lumabas lang para sa 2026 ay Advisory 2026-01 (Abril 2026, gabay sa scraping ng pampublikong personal na datos) at Advisory 2026-02 (Mayo 11, 2026, paglilinaw sa pagsampa ng abiso ng paglabag sa pamamagitan ng DBNMS) — dalawa lang — na walang circular na tumugma sa "bagong regulasyon sa PIA" na nabanggit sa itaas. Itinuturing din ito ng sanggunian ng larangan na "Digital, Social Media, at mga Pagbabayad," Seksyon 11, bilang "nagre-rebisang panukala sa gabay sa PIA na kasalukuyang nasa public comment ng NPC" — ibig sabihin, nasa deliberasyon pa. 注 Sa madaling salita, hindi ito "naipatupad nang regulasyon" kundi nasa yugto pang "panukalang rebisyon," at hindi dapat isulat bilang tiyak na datos o kumpirmadong sistema (kinumpirma ang pagkakaugnay sa pamamagitan ng cross-referencing sa pag-verify noong 2026-08-25).

2.3 Administratibong multa (NPC Circular 2022-01, Agosto 8, 2022)

Hiwalay sa mga kriminal na parusa sa mismong DPA, may sariling awtoridad ang NPC na magpataw ng administratibong multa.

• Ang ceiling ng kabuuang halaga para sa isang solong pagkilos ay ₱5,000,000 (Circular 2022-01. Direktang kinumpirma gamit ang orihinal na PDF ng Circular 2022-01 (napetsahan Agosto 8, 2022) na nakapost sa opisyal na website ng NPC, sa pag-verify noong 2026-08-25: "the total imposable fine for a single act of a PIC or PIP … shall not exceed Five Million Pesos (Php 5,000,000.00)." Tugma rin sa orihinal na teksto ang antas na Grave (0.5–3%), Major (0.25–2%), at Other (₱50,000–₱200,000)). Tugma rin ito sa sanggunian ng larangan na "Digital, Social Media, at mga Pagbabayad," Seksyon 11 ("ceiling na 5 milyong piso kada paglabag").
• Mga isinasaalang-alang: sinasadya man o kapabayaan lamang, antas ng pinsala, tagal ng paglabag, dating hakbang sa remedyo, kasaysayan ng paglabag, uri ng datos na naapektuhan, kung paano nadiskubre, hakbang sa pagwawasto, at anumang kitang natamo.

注 Luma na ang paniniwalang "mahina ang parusa sa proteksyon ng datos sa Pilipinas." Ipinakilala na ang multang proporsyonal sa kita noong 2022, at ang malalaking kompanya ang mas malamang na umabot sa ceiling na ₱5M. Gayunpaman, hindi ito ang antas ng EU GDPR na "4% ng pandaigdigang kita" — ito ay base sa taunang kabuuang kita ng entidad sa Pilipinas, na may ceiling na ₱5M — mahalagang malinaw rin ang puntong ito (huwag pagsamahin ang luma at bago, o ang EU at Pilipinas, na pamantayan).

3. Obligasyon sa pagrehistro at DPO (NPC Circular 2022-04)

Sapilitan sa lahat ng PIC/PIP ang paghirang ng DPO (Data Protection Officer), samantalang kailangan lang ang pagrehistro kapag nalampasan na ang tiyak na threshold — dalawang-antas na istruktura ito. Ang paglilito sa dalawa ay nagreresulta sa maling paniniwalang "maliit lang kami kaya hindi kami kailangan ng DPO."

4. Abiso ng paglabag sa personal na datos ("72 oras")

4.1 Saan talaga lumitaw ang "72 oras"?

注 Ang pinakakaraniwang maling akala: hindi lumilitaw ang 72 oras sa mismong batas ng DPA. - Ang RA 10173 Seksyon 20(f) ay nagsasaad lang na, kung ang sensitibong personal na impormasyon ay makatuwirang pinaniniwalaang nakuha ng isang hindi awtorisadong tao, dapat agad (promptly) abisuhan ng PIC ang NPC at ang mga apektadong data subject. - Ang "72 oras" ay lumilitaw sa IRR (2016), Seksyon 38: "Ang NPC at ang mga apektadong data subject ay dapat abisuhan ng PIC sa loob ng pitumpu't dalawang (72) oras mula nang malaman, o kapag may makatuwirang paniniwala na, naganap ang isang paglabag sa personal na datos na nangangailangan ng abiso." Ang detalye ng operasyon ay nasa NPC Circular 16-03 (Personal Data Breach Management).

4.2 Ang tatlong kondisyong nagpapaandar ng obligasyon sa abiso (IRR Seksyon 38)

1. Kasangkot ang sensitibong personal na impormasyon o impormasyong maaaring magbunsod ng identity fraud
2. Makatuwirang pinaniniwalaang nakuha ito ng isang hindi awtorisadong tao
3. Naniniwala ang PIC o NPC na ang pagkuha ay malamang na magdulot ng totoong panganib ng malubhang pinsala (real risk of serious harm) sa mga apektadong data subject

→ Kailangan lang ng abiso kung natupad ang lahat ng tatlong kondisyon. Walang obligasyong iulat ang lahat ng panloob na insidente sa loob ng 72 oras, pero kahit ang mga kasong hinusgahan na hindi kailangan ng abiso ay dapat pa ring itala at isama sa taunang ulat.

4.3 Nilalaman ng abiso, pagkaantala, at taunang ulat

• Kailangang laman ng abiso (IRR Seksyon 39): katangian ng paglabag, datos na malamang na naapektuhan, hakbang sa remedyo na ginawa, hakbang sa pagpapagaan, contact information ng kinatawan ng PIC, at ang tulong na maaaring matanggap ng data subject.
• Pagkaantala (Seksyon 40): pinapayagan lamang kung kinakailangan para matukoy ang saklaw ng paglabag, mapigilan ang karagdagang pagsisiwalat, o maibalik ang integridad ng sistema. Maaaring bigyan ng eksemsyon o palawigin ng NPC kung mapinsala nito ang interes publiko o isang imbestigasyong kriminal.
• Sa praktika, kailangan ng detalyadong follow-up report sa loob ng 5 araw matapos ang abiso na 72 oras (ayon sa sanggunian ng larangan na "Digital, Social Media, at mga Pagbabayad," Seksyon 11, "kailangan ng detalyadong ulat sa loob ng karagdagang 5 araw"). Hindi natatapos ang proseso sa 72 oras — dapat pansinin ito (idinagdag sa pamamagitan ng cross-referencing sa pag-verify noong 2026-08-25).
• Annual Security Incident Report (ASIR): dapat isumite ng lahat ng PIC/PIP ang ulat ng nakaraang taon sa pamamagitan ng DBNMS (Data Breach Notification Management System) sa loob ng Marso 31 taun-taon. Ang deadline para sa ulat ng 2025 ay Marso 31, 2026 (ayon sa anunsyo ng NPC). Kapag naisumite na sa DBNMS, hindi na raw ito puwedeng baguhin (ayon sa sanggunian ng larangan na "Digital, Social Media, at mga Pagbabayad," Seksyon 11). 注 Magkaiba ang bersyon ng pinagmulan kung anong batayang legal ang ASIR. Ang unang bersyon ng artikulong ito ay "operasyon ng NPC" lang ang nakasaad, samantalang sinasabi ng sanggunian ng larangan na "Digital, Social Media, at mga Pagbabayad," Seksyon 11, na "NPC Circular 2022-04." Gaya ng ipinakita sa Seksyon 3 sa itaas, ang Circular 2022-04 ay tungkol sa rehistro at paghirang ng DPO, kaya ang circular na tungkol sa pamamahala ng paglabag sa personal na datos, NPC Circular 16-03, ay mas angkop na maging batayan ng ASIR. 注 Hindi nakumpirma sa sesyong ito ang legal na batayan mula sa primary source = hindi natukoy. Pareho itong iniwan dito. Kapag binabanggit ang batayan sa ulat, kumpirmahin ito sa orihinal na teksto ng NPC.
• Pag-verify noong 2026-08-25: direktang kinumpirma, gamit ang IRR na nakapost sa opisyal na website ng NPC, na ang Seksyon 38 (72 oras), 39, at 40 ay nasa ilalim ng Rule IX, "Data Breach Notification." Walang maling pagbanggit ng numero ng seksyon.
• Ang Advisory 2026-02, napetsahan Mayo 11, 2026, ay nilinaw ang paraan ng pagsumite ng abiso ng paglabag sa pamamagitan ng DBNMS. 注 Ang mga pagsampang nakabatay pa rin sa dating gawi ng papel o email ay posibleng hindi tanggapin.

5. Cross-border transfer

Walang "adequacy" na sistema tulad ng sa EU, ni prior-approval na sistema ang Pilipinas. Ang pangunahing mekanismo nito ay ang Prinsipyo ng Accountability.

• RA 10173, Seksyon 21 (Principle of Accountability) / IRR Seksyon 50, "Accountability for Transfer of Personal Data" (Rule XII, "Rules on Accountability"): "Ang bawat PIC ay may responsibilidad sa personal na impormasyong nasa ilalim ng kontrol o kustodiya nito, kasama ang impormasyong inilipat sa isang third party para sa pagproseso, dayuhan man o domestic." Kailangang tiyakin ng PIC, sa pamamagitan ng "kontrata o iba pang makatuwirang paraan," ang kaparehong antas ng proteksyon (comparable level of protection) habang pinoproseso ng third party ang datos. (Ang numero ng artikulo, pangalan ng rule, at pananalita ay direktang kinumpirma laban sa IRR na nakapost sa opisyal na website ng NPC sa pag-verify noong 2026-08-25. Walang maling pagbanggit.)
• NPC Advisory 2024-01 (Mayo 30, 2024): isang boluntaryong gabay na naghahambing ng ASEAN MCC, standard contractual clauses ng Council of Europe/EU, Ibero-American MCC, at mga clause mula sa Argentina, New Zealand, at UK ICO's IDTA. Sinasakop nito ang dalawang module: controller-to-controller (C2C) at controller-to-processor (C2P). 注 Malinaw na sinabi ng NPC — "ang gabay na ito ay para sa boluntaryong paggamit at walang idinaragdag na karapatan o obligasyon," at "ang NPC ay hindi tumatanggap ng kahilingan na suriin kung tumutugma ang kontrata sa model clauses." Sa madaling salita, walang paraan para makuha ang selyo ng pagsang-ayon ng regulator.
• Noong Hunyo 2, 2026, ang NPC at ang Personal Information Protection Commission ng Japan ay lumagda sa isang arrangement sa kooperasyon sa proteksyon ng cross-border na datos (Philippine News Agency / Newsbytes.PH / Manila Standard, Hunyo 2, 2026). Isa itong praktikal na tulong para sa mga transfer ng datos sa pagitan ng Japan at Pilipinas ng mga kompanyang Hapon, pero dapat itong ituring na isang balangkas ng kooperasyon, hindi isang "adequacy" determination.
• Pinapatakbo ng NPC ang mga aplikasyon para sa APEC at Global CBPR Accountability Agent certification, na may deadline ng aplikasyon na Marso 20, 2026 (ayon sa anunsyo ng NPC).

6. Mga kaso ng parusa at paglabag sa datos, 2025–2026

6.1 Parusa at usapin sa pribadong sektor

Noong Marso 2026, pinatindi ng PNP ang crackdown, na binanggit ang 47,000 na reklamo tungkol sa mga online lending app (PNA, Marso 17, 2026); inihayag din ng SEC at iba pang ahensya ang koordinadong aksyon (Inquirer.net, Marso 25, 2026). Ipinasa ng Senado ang panukalang batas sa patas na koleksyon ng utang noong Marso 10, 2026 (Manila Bulletin). 注 (Naitama sa pag-verify noong 2026-08-25) direktang sinabi sa unang bersyon na ang pattern ng online lending na "pagbunot ng lahat ng contact tapos hihiyain sa publiko" sa pangongolekta ng utang ay ang pinakamalaking kategorya ng usapin sa pagpapatupad ng privacy sa Pilipinas, pero hindi tinukoy kung anong sukatan ang batayan ng claim na ito na "pinakamalaki." Ang tanging matutukoy na batayan ay ang "binanggit ng PNP ang 47,000 na reklamo kaugnay ng mga online lending app noong Marso 2026" (PNA, Marso 17, 2026) — isang bilang ng reklamo, hindi ng mga aksyon o desisyon sa pagpapatupad ng NPC, kaya hindi makumpirma sa sesyong ito kung ito nga ang pinakamalaking kategorya batay sa sukatang iyon = hindi natukoy. Dapat isulat na "pinakamalaking kategorya batay sa dami ng reklamo," na tahasang binabanggit ang sukatan.

6.2 Mga paglabag sa sektor ng gobyerno (2025–2026)

Sa konteksto ring ito, noong Hulyo 16, 2026, nilagdaan ni Pangulong Marcos ang EO 119, na naglunsad ng domestic storage ng datos ng gobyerno (data residency) at kaugnay na pag-develop ng digital na imprastruktura (Philippine Information Agency, Hulyo 16, 2026 / Tech in Asia, Hulyo 15). Nagpahayag ng suporta ang mga kompanya ng telecom (Inquirer.net / Manila Standard, Hulyo 20).

7. Kaugnayan sa SIM Registration Act (RA 11934, 2022)

Kaugnayan sa DPA: ang database ng SIM registration ay isang kongkat ng "sensitibong personal na impormasyon at mga identifier na inisyu ng gobyerno," at napapailalim sa dobleng regulasyon ng DPA at SIM Registration Act. Kapag nilabag ang database, kailangang isaalang-alang ng operator ng telecom ang pareho ng 72-oras na obligasyon sa abiso sa ilalim ng DPA (IRR Seksyon 38) at ang 24-oras na obligasyon sa pag-uulat ng cyberattack sa ilalim ng SIM Registration Act.

注 Mali ang "natigil na ang scam SMS dahil sa SIM registration." Kahit noong 2025–2026, patuloy na sinasabi ng NTC na "ang pagtaas ng kamalayan pa rin ang unang linya ng depensa" (Philippine Information Agency, Abril 27, 2026), at patuloy ang mga ulat na nagtatanong sa bisa nito (WalasTech, Hunyo 10, 2025).

8. Ang Consumer Act (RA 7394, 1992) at ang papel ng DTI

8.1 Batayang patakaran at hati ng hurisdiksyon

Itinakda ng RA 7394 ang limang layunin: (1) proteksyon laban sa panganib sa kalusugan at kaligtasan, (2) proteksyon laban sa mapanlinlang, di-makatarungan, at hindi makatuwirang gawi sa pagbebenta, (3) impormasyon at edukasyon, (4) paraan ng remedyo, at (5) partisipasyon ng konsyumer sa paggawa ng patakaran.

注 (Kinumpirma ang katayuan ng amyenda sa pag-verify noong 2026-08-26) Hindi lang "nanatiling gaya noong 1992" ang RA 7394. Ang Title IV ("Consumer Credit Transactions"), Artikulo 131–147, ay naibasura na sa ilalim ng repealing clause ng RA 11765 (Financial Products and Services Consumer Protection Act, inaprubahan Mayo 6, 2022). Ganito ang orihinal na probisyon: "Articles 131 to 147 of Title IV of Republic Act No. 7394 are hereby repealed." (direktang kinumpirma laban sa teksto ng RA 11765 sa LawPhil sa pag-verify noong 2026-08-26). Ang naibasurang Artikulo 131–147 ay sumasaklaw sa: Artikulo 131 (deklarasyon ng patakaran), 132 (kalkulasyon ng finance charge), 133 (kalkulasyon ng simple annual interest), 134 (delinquency charge), 135 (deferral charge), 136 (finance charge sa refinancing), 137 (karapatang magbayad nang maaga), 138 (rebate sa maagang pagbabayad), 139 (pangkalahatang requirement sa pagsisiwalat ng gastos ng kredito), 140 (obligasyon sa pagsisiwalat sa credit sale), 141 (pagsisiwalat sa open-end credit), 142 (pagsisiwalat sa hindi open-end na consumer loan), 143 (anyo at oras ng pagsisiwalat), 144 (pana-panahong estado), 145 (mga transaksyong exempted), 146 (installment sale), at 147 (parusa). Kaya mali ang isulat na "ang regulasyon sa pagsisiwalat ng credito sa konsyumer sa Pilipinas ay Artikulo 131 pataas ng RA 7394." Ang kasalukuyang batayan ay ang RA 11765 (FCPA) at ang IRR nito (inilalabas nang hiwalay ng BSP, SEC, IC, at CDA). 注Ipinapakita ng LawPhil ang orihinal na naipasang teksto ng RA 7394, kasama ang mga probisyong naibasura na pero nananatiling ipinapakita nang buo, kaya hindi patunay ang pagkakatugma sa LawPhil na ang isang probisyon ay kasalukuyang batas pa rin. 注 Isang komprehensibong panukalang rebisyon (Enhanced Consumer Act, kasama ang House Bill 5386 ng ika-20 Kongreso at iba pa) ay nasa deliberasyon pa at hindi pa naipapasa. Huwag isulat na "na-update na ang Consumer Act" (pinagmulan: teksto ng House Bill 5386, docs.congress.hrep.online).

8.2 Mahahalagang regulasyon

• Kaligtasan ng produkto at recall (Artikulo 10, "Injurious, Dangerous and Unsafe Products"): maaaring mag-utos ng recall, pagbabawal sa pagbebenta, o pagsamsam ang DOH, DA, at DTI sa mga produktong itinuturing na "nakakapinsala, delikado, o mapanganib" (direktang kinumpirma ang pamagat ng artikulo laban sa orihinal na teksto sa LawPhil noong 2026-08-25).
• Remedyo — pagkumpuni, pagpalit, refund (Artikulo 11): kung natukoy na hindi sumusunod sa pamantayan o may malaking depekto ang isang produkto, maaaring mag-utos ang responsableng regulator sa manufacturer, distributor, o nagbenta na (1) itugma ito sa pamantayan o kumpunihin ang depekto (repair), (2) palitan ito ng katumbas na sumusunod na produkto (replace), o (3) ibalik ang presyong binayad nang binawasan ang parteng nagamit na (refund). 注 (Naitama sa pag-verify noong 2026-08-25) inilarawan ito sa unang bersyon bilang "Warranty (Artikulo 4 at iba pa): tahasan at implikadong warranty sa kalidad; remedyo ng pagkumpuni, pagpalit, o refund para sa depektibong produkto," pero ang RA 7394 Artikulo 4 ay aktwal na "Definition of Terms" — probisyong depinisyon, hindi substantibong regulasyon sa warranty o remedyo. Naglalaman lang ito ng depinisyon ng "Guarantee" bilang tahasan o implikadong warranty sa kalidad ng isang produkto o serbisyo. Ang aktwal na batayan ng pagkumpuni/pagpalit/refund ay Artikulo 11 (direktang kinumpirma laban sa orihinal na teksto sa LawPhil). (Bahagyang nalutas noong 2026-08-26) ang kabanata ng Warranties ng RA 7394 ay Title III, Chapter 3, "Consumer Product and Service Warranties." Ang kaugnay na artikulo ay Artikulo 66 (implementing agency: DTI) / Artikulo 67 (Applicable Law on Warranties — aplikable ang mga probisyon ng Civil Code sa kondisyon at warranty) / Artikulo 68 (Additional Provisions on Warranties — requirement sa pagsulat ng tahasang warranty, epektibo ang warranty mula sa oras ng pagbenta, obligasyon ng distributor na mag-ulat sa loob ng 30 araw, at ang kinakailangang label na "Full warranty"/"Limited warranty") / Artikulo 71 (warranty para sa serbisyo) / Artikulo 72 (mga ipinagbabawal na gawi) / Artikulo 73 (parusa — ang paglabag sa Artikulo 67 ay ₱500–₱5,000 at/o 3 buwan–2 taon, na may pagbawi ng lisensya sa negosyo para sa umuulit na paglabag). 注Pinagtatalunan sa iba't ibang pinagmulan kung ang Artikulo 65 ay bahagi ng kabanatang ito o ng nakaraang kabanata (hindi pa nalulutas). Nakumpirma rin, sa pamamagitan ng table of contents ng ChanRobles, na ang Title III, Chapter 1 ay sumasaklaw sa Artikulo 48–60, at ang Chapter 2 (timbangan at sukatan) ay sumasaklaw sa Artikulo 61–64. 注Ang teksto ng mga artikulo sa kabanatang ito ay naputol sa parehong LawPhil at ChanRobles sa paligid ng Artikulo 64, at hindi naabot ang orihinal na teksto ng artikulo = hindi naabot ang primary source. Palaging suriin ang numero ng artikulo laban sa orihinal na teksto kapag binabanggit ito.
• Mapanlinlang na pagbebenta (Artikulo 50): ipinagbabawal ang maling representasyon tungkol sa sponsorship, kalidad, kondisyon, presyo, o warranty.
• Hindi makatuwirang (unconscionable) pagbebenta (Artikulo 52): ipinagbabawal ang pagsasamantala sa "pisikal o mental na kapansanan, kamangmangan, iliterasi, o kakulangan sa oras" ng konsyumer upang makagawa ng lubos na di-pantay na transaksyon.
• Ipinagbabawal na skema: pyramid/chain sale (Artikulo 53), hindi wastong referral sale (Artikulo 59).
• Halimbawang parusa: paglabag sa kaligtasan ng produkto (Artikulo 19, "Penalties") ₱1,000–₱10,000 at 2 buwan–1 taon; paglabag sa pagkain/gamot (Artikulo 41, "Penalties") ₱5,000–₱10,000 at 1–5 taon; mapanganib na substansya (Artikulo 47, "Penalties, exception") hindi bababa sa ₱1,000 at 6 na buwan–5 taon; mapanlinlang na pagbebenta (Artikulo 60) ₱500–₱10,000 at 5 buwan–1 taon. Pag-verify noong 2026-08-25: direktang kinumpirma ang pamagat at halaga ng multa ng Artikulo 19, 41, at 47 laban sa orihinal na teksto ng RA 7394 sa LawPhil (Artikulo 19: "not less than One thousand pesos (P1,000.00) but not more than Ten thousand pesos (P10,000.00)"; Artikulo 41: "not less than Five thousand pesos (P5,000.00) but not more than Ten thousand pesos (P10,000.00)"). 注 Hindi natukoy ang Artikulo 60, dahil naputol ang nakuhang pahina sa paligid ng Artikulo 59.

注 Dahil ipinasa ito noong 1992, sobrang baba ng multa. Hindi na ang kriminal na parusa ng RA 7394 ang nagbibigay ng epektibong disuwasyon kundi ang multa sa ilalim ng ITA (RA 11967), ang administratibong multa ng FCPA (RA 11765), at ang kapangyarihan ng DTI sa business permit at blacklist. Kung sinasabi ng isang lumang reference book na "ang proteksyon ng konsyumer sa Pilipinas ay hanggang ₱10,000 lang na multa," galing iyon sa paliwanag na tumingin lang sa RA 7394.

8.3 Mga daluyan ng DTI para sa konsyumer

• Pagtanggap ng reklamo: ang DTI Customer Contact Center (1-DTI (384) / (632) 7791-3100, ask@dti.gov.ph). Ang mga transaksyon online ay gumagamit ng sistemang eReport (aktibo mula Nobyembre 2024, naa-access din sa pamamagitan ng eGovPH app).
• Pagbabantay sa presyo (e-Presyo, suggested retail price para sa mga pangunahing pangangailangan), ang Bagwis Awards, at pamantayan/pagkakatugma ng produkto (BPS — Bureau of Philippine Standards).
• Umabot sa 12,600 ang reklamo tungkol sa online transaction hanggang katapusan ng Abril 2026 (BusinessWorld Online, Hunyo 23, 2026).

9. Ang Internet Transactions Act (RA 11967, 2023)

9.1 Balangkas

9.2 Obligasyon ng e-marketplace at online merchant

• Malinaw na pagpapakita ng mga tuntunin ng transaksyon; pangongolekta at paglalathala ng impormasyon ng nagbebenta (pangalan, tirahan, contact details); pagpapanatili ng na-update na listahan ng nagbebenta
• Proteksyon ng datos ng konsyumer nang naaayon sa DPA ( dito nagtatagpo ang ITA at DPA)
• Pagbabawal sa pagbebenta ng mga regulated na produkto nang walang lisensya/permit; pagbibigay ng epektibong mekanismo ng paglutas ng reklamo

9.3 Subsidiary liability

Mananagot ang isang e-marketplace nang subsidiary kung (1) hindi ito nagpakita ng karaniwang pag-iingat (ordinary diligence) tungkol sa pagsunod, (2) hindi nito agad na inalis ang nilalamang lumalabag matapos maabisuhan, o (3) hindi nito ibinigay ang impormasyon sa pakikipag-ugnayan sa nagbebenta kung walang legal na presensya sa Pilipinas ang nagbebentang iyon.

→ Ito ang dahilan kung bakit hinihingan ng mahigpit na pagsusumite ng dokumento ng pagkakakilanlan at KYC ng operator ng mall ang mga kompanyang Hapon na nagbubukas ng tindahan sa isang mall platform sa Pilipinas. Sa totoo, pinahigpit ng Shopee ang mga tuntunin nito noong Hunyo 2025 (iniulat Hunyo 25, 2025).

9.4 Multa sa ilalim ng RA 11967

9.5 Ang E-Commerce Trustmark (DAO 25-12)

• Legal na batayan: RA 11967 at RA 7394. Inilunsad noong Hulyo 2025 (anunsyo ng DTI, Hulyo 7–10, 2025).
• Ang unang deadline ng pagrehistro ay itinakda sa Setyembre 30, 2025 (PNA, Setyembre 11, 2025), pero matapos isaalang-alang ang extension (Setyembre 19, 2025), nagpalit ang DTI sa patakarang gawing boluntaryo hanggang 2026 (iniulat Disyembre 23, 2025). Nananatili itong libre para sa MSME sa ngayon (Setyembre 19, 2025).
• Mula Enero 8, 2026, valid ID lang na inisyu ng gobyerno ang tinatanggap para sa pag-verify ng pagkakakilanlan (driver's license, PhilSys national ID, passport, TIN, unified SSS ID, o alien registration certificate). Kasalukuyang dinedevelop pa ang feature ng OBD para sa QR-code verification (trustmark.dti.gov.ph, hanggang 2026).

注 Malawakang kumalat sa mga artikulo noong taglagas ng 2025 ang paniwalang "naging sapilitan ang Trustmark noong Setyembre 30, 2025," pero naging boluntaryo na ito matapos ma-relax ang patakaran. Siguraduhing malinaw na paghiwalayin ang luma at bagong bersyon.

9.6 Pagpapatupad ng DTI, 2025–2026

• Agosto 2025: inutusan ang mga e-commerce platform na alisin ang listahan ng ilegal na produktong vape, may parusa kung hindi susunod (PNA at iba pa, Agosto 19, 2025)
• Enero–Pebrero 2026: nakipagkasunduan sa TikTok Shop para sa responsableng e-commerce (Enero 31–Pebrero 2, 2026)
• Marso 12, 2026: inutusan ang mga e-commerce platform na panagutin ang mga peke o counterfeit na produkto
• Marso 20–22, 2026: kasunduan sa DSAP (asosasyon ng direct selling), laban sa online fraud
• Pebrero 2026: nakipagtulungan ang FDA sa mga e-commerce platform sa magkasanib na crackdown sa mga hindi rehistradong produkto (ANC, Pebrero 5, 2026)

10. Financial Products and Services Consumer Protection Act (RA 11765, 2022) at AFASA (RA 12010, 2024)

10.1 FCPA (RA 11765)

Inaprubahan Mayo 6, 2022. (Kinumpirma ang katayuan ng amyenda sa pag-verify noong 2026-08-26) Hanggang Agosto 2026, walang Republic Act na natukoy na nag-amyenda sa RA 11765. 注Ang Insurance Memorandum Circular No. 2023-02 (nagkabisa Marso 28, 2023, nag-amyenda sa Seksyon 5 at 6 ng IMC 2023-01) ay "amyenda sa IRR," hindi amyenda sa batas. May mga artikulong Ingles na nagsasabing "in-amyendahan ng Pilipinas ang batas sa proteksyon ng konsyumer sa pinansyal" na minsan ay ang IRR amendment na ito ang tinutukoy. Ang repealing clause ng RA 11765 ang bumasura sa Artikulo 131–147 ng RA 7394 (Consumer Act) (tingnan ang Seksyon 8.1). May kapangyarihan ang BSP at SEC na maghatol sa purong sibil na transaksyong pinansyal na hindi lalampas sa sampung milyong piso ang claim (orihinal na teksto: "not exceeding the amount of Ten million pesos (P10,000,000.00)"). Ang desisyon ay pinal at maisasagawa, at maaari lang mabaligtad sa pamamagitan ng petisyon para sa certiorari batay sa malubhang pang-aabuso ng discretion o kawalan ng hurisdiksyon (direktang kinumpirma laban sa teksto ng RA 11765 sa LawPhil sa pag-verify noong 2026-08-26).

• May apat na sakop na regulator: BSP (sentral na bangko), SEC, Insurance Commission, at CDA (Cooperative Development Authority).
• Limang protektadong karapatan: (1) patas at hindi diskriminatoryong pagtrato, (2) pagsisiwalat at transparency, (3) proteksyon ng ari-arian (laban sa panloloko at maling paggamit), (4) data privacy at proteksyon, at (5) paglutas ng alitan at remedyo.
• Kapangyarihan ng regulator: paglilimita sa pangongolekta ng sobra o hindi makatuwirang interes/bayarin, pagdiskwalipika sa may responsableng opisyal, pagbibigay ng suspension order nang walang paunang hearing, pagpapahinto sa operasyon ng produkto, pag-uutos ng restitution, at disgorgement ng kita.

Ang FCPA ay epektibong "bersyon pinansyal ng Consumer Act" — ang mga reklamo kaugnay ng bangko, e-money, insurance, seguridad, o kooperatiba ay dinadala sa BSP at kaugnay na ahensya, hindi sa DTI.

10.2 AFASA (RA 12010, 2024)

• Inilabas ng BSP ang IRR ng AFASA noong Hunyo 2025 (BusinessWorld, Hunyo 4, 2025). Binigyan ng palugit ang mga institusyong pinansyal hanggang Hunyo 2026 para palakasin ang kanilang sistema sa pamamahala ng panloloko (GMA Network, Hunyo 11, 2025).
• Noong Pebrero 20, 2026, lumagda ang BSP sa isang kasunduan sa pagbabahagi ng impormasyon kasama ang NBI, CICC, at SEC (GMA Network).

注 Krimen ang "pagpapahiram" ng account. Ang isang Hapon na nakatira sa Pilipinas ay maaaring maharap sa kasong money muling kahit "tumanggap lang ng remittance ng kaibigan sa sarili niyang account." Hindi na aplikable ang pananaw bago 2024.

11. Online at investment fraud, at ang warning list ng SEC

• Dalawang tool ang ginagamit ng SEC: Advisory at Cease and Desist Order (CDO). Isang paglalathala ang Advisory na "hindi rehistrado" o "walang awtoridad na mangolekta ng investment" ang isang entidad, na gumaganang parang warning list na may pangalan.
• Mga pangunahing pangyayari noong 2025–2026:

• Sa panig ng pulisya: umaresto ang PNP-ACG ng mahigit 5,000 dahil sa cybercrime sa unang kalahati ng 2025 (GMA Network, Hunyo 26, 2025). Noong Mayo 26, 2026, sinalakay nito ang mga sentro ng investment scam sa Pasig/Ortigas at nakahuli ng 63 katao, na karamihan sa mga biktima ay matatanda (GMA / Daily Tribune).
• Noong Abril 29, 2026, nagbabala ang NPC tungkol sa "call-bot scam" gamit ang AI voice cloning (Interaksyon). Noong Agosto 12, 2026, malinaw nitong sinabi na "labag sa batas ang paggamit ng mukha o larawan ng tunay na tao sa AI-generated na nilalaman" (Philstar.com). Sinabi rin ng PNP na susubaybayan nito ang mga masamang deepfake (Inquirer.net, Agosto 13, 2026).

注 Hindi ligtas basta wala sa Advisory list ng SEC. Ipinapaskil lang ng SEC kung may rehistro o wala, at ang paglalathala ay after the fact. Sa praktika, mas makatotohanan ang pagsuri sa tatlo: (1) pagtsek sa numero ng rehistro sa SEC, (2) pagtsek kung may Secondary License (para sa panghihikayat ng investment), at (3) pagtsek kung nakalista sa DTI Trustmark/OBD.

12. Kaligtasan ng produkto at recall

• Batayan: RA 7394 (Artikulo 10 at iba pa). Maaaring mag-utos ng recall ang DOH (FDA), DA, at DTI para sa mga produktong itinuring na mapanganib. Sa praktika, ang dominanteng pattern ay ang boluntaryong recall ng kompanya, na inilalathala sa pamamagitan ng isang FDA Advisory.
• Mga halimbawa noong 2026:
• FDA Advisory No. 2026-0030 (Enero 13, 2026): boluntaryong recall ng NAN OPTIPRO at NANKID OPTIPRO (fda.gov.ph)
• Nakipagtulungan ang FDA sa mga e-commerce platform sa magkasanib na crackdown sa pagbebenta ng hindi rehistradong produkto (ANC 24/7, Pebrero 5, 2026)
• Nagbabala ang mga grupong konsyumer tungkol sa panganib na kemikal ng "squeeze-type dumpling toys" (Daily Tribune, Hulyo 22, 2026)
• Sa panig ng DTI, kinokontrol ng BPS (Bureau of Philippine Standards) ang pasukan sa pamamagitan ng PS/ICC mark (para sa mga produktong sapilitan ang pamantayan). 注 Ang pagbebenta ng mga produktong may sapilitang pamantayan (produktong de-kuryente, laruan, materyales sa pagtatayo, atbp.) nang walang PS/ICC mark ay maaaring magresulta sa takedown order ng ITA kasama ang multa.

13. Ang kawalan ng sistema ng class action

注 Wala sa Pilipinas ang opt-out na class action na estilong US.

• Rules of Court, Rule 3, Seksyon 12, "Class Suit": "Kapag ang paksa ng alitan ay isang bagay na may karaniwan o pangkalahatang interes ng maraming tao, na napakadami nito upang maging praktikal na isama silang lahat bilang partido, ang isang bilang na makikita ng korte na sapat na dami at kumakatawan upang lubos na maprotektahan ang interes ng lahat ay maaaring magsakdal o magtanggol para sa kapakinabangan ng lahat."
• Mga katangian: (1) kailangan ng "iisang paksa" ng karaniwan o pangkalahatang interes; (2) mas malamang na tanggihan kung magkaiba ang halaga ng pinsala ng bawat indibidwal na biktima ng konsyumer; at (3) walang opt-out procedure — ang korte mismo ang nagtutukoy kung sapat ang representasyon.
• Bilang resulta, umaasa nang malaki sa collective na administrative remedy ang remedyo ng biktima ng konsyumer sa Pilipinas: mediation at adjudication ng DTI (sa ilalim ng RA 7394), ang own-motion na imbestigasyon at nominal na danyos ng NPC, ang mga utos ng restitution ng BSP at iba pa sa ilalim ng FCPA, at ang CDO at pag-freeze ng ari-arian ng SEC.
• Ang implikasyon para sa mga kompanyang Hapon: "mababa ang panganib ng malaking class-action lawsuit, pero mataas ang panganib ng parusang regulatoryo at suspensyon ng negosyo" — kabaligtaran ang hugis ng panganib kumpara sa US. Kahit sa mga kaso ng paglabag sa datos, mas nakakaapekto sa negosyo ang processing-ban order ng NPC kasama ang multang proporsyonal sa kita, kaysa sa danyos.

14. Epekto ng gulo sa Middle East noong 2026 (mula Pebrero 28)

Walang direktang pagbabago sa batas, pero malinaw ang epekto sa larangan ng proteksyon ng konsyumer at fraud.

Praktikal na implikasyon sa proteksyon ng konsyumer: (1) sa panahon ng pagtaas ng presyo, tumataas ang mga scam na tulad ng "high-yield investment" at "side-gig task reward" (ito nga ang dalawang dominanteng kategorya sa mga babala ng SEC noong 2026); (2) ang pagbaba ng remittance at panganib ng pag-uwi ng mga sambahayang OFW na nasa Middle East ay nagtataas ng demand para sa online lending, kasama ang kaugnay na maling paggamit ng personal na datos at pampublikong pagpapahiya sa pangongolekta ng utang (47,000 na reklamo ng PNP, Marso 2026); (3) 注 ngunit walang opisyal na estadistika na nagpapatunay ng dahilan-at-epektong ugnayan sa pagitan ng gulo sa Middle East at bilang ng kaso ng scam sa Pilipinas ang nakumpirma hanggang Agosto 25, 2026. Dapat itong panatilihin bilang isang inference ng correlation lamang.

15. Praktikal na checklist para sa mga kompanyang Hapon

16. Mga pangunahing pinagmulan (yaong may kumpirmadong orihinal na teksto)

• Teksto ng batas: lawphil.net (RA 10173 / RA 7394 / RA 11765 / RA 11934 / RA 11967 / RA 12010, Rules of Court Rule 3 Seksyon 12)
• National Privacy Commission (NPC): privacy.gov.ph — listahan ng Advisories & Circulars, mga pahina ng gabay sa DPA, ang IRR, PDF ng NPC Circular 2022-01 (administratibong multa), PDF ng NPC Circular 2022-04 (rehistro/DPO), PDF ng NPC Advisory 2024-01 (MCC), PDF ng NPC Advisory 2026-01 (data scraping), listahan ng Decisions
• DTI: dti.gov.ph, trustmark.dti.gov.ph (E-Commerce Trustmark)
• FDA: fda.gov.ph (Advisory No. 2026-0030)
• Balita: Philippine News Agency, BusinessWorld Online, Inquirer.net, Philstar.com, Rappler, GMA Network, Manila Bulletin, The Manila Times, Daily Tribune, ABS-CBN, Newsbytes.PH, Manila Standard, Philippine Information Agency, SCMP, BitPinas, Fintech News Philippines, Biometric Update, Tech in Asia, AFR (na-access sa pamamagitan ng Google News RSS)

注 Ang mga bagay na minarkahan bilang "hindi natukoy" sa artikulong ito (halaga ng multa sa Metro Retail, detalye ng desisyon ng Korte Suprema laban sa FCash, numero ng bagong regulasyon kaugnay ng PIA na iniulat noong Agosto 2026, kumpirmadong bilang ng talaang naapektuhan sa paglabag ng LTO, at opisyal na kumpirmasyon ng paglabag sa NTC) ay dapat i-update kapag nailathala na ang orihinal na teksto.

Buong Japanese version: Bisitahin ang / para sa kumpletong Japanese-language na sanggunian (分野「投資制度・経済特区・許認可」「データ保護と消費者保護」).