EU一般データ保護規則（GDPR）とシンガポールのPersonal Data Protection Act 2012（PDPA）は、組織による個人データの収集、利用、開示、保護および保存を規律する包括的なプライバシーの枠組みです。 いずれの制度も、アカウンタビリティ、目的の限定、セキュリティ、透明性、個人の権利といった原則を共有していますが、コンプライアンスの構造は異なります。GDPRが適法根拠と権利を基礎とする詳細な枠組みを採用しているのに対し、シンガポールのPDPAは、同意、みなし同意、法定の例外、および組織レベルのアカウンタビリティ義務を組み合わせています。 欧州とシンガポールの双方で事業を行う組織にとって、GDPRへの対応は強固な基盤となりますが、それをもって自動的にPDPAにも対応していると考えるべきではありません。
並列比較：GDPR 対 PDPA
| 項目 | 🇪🇺 GDPR | 🇸🇬 PDPA |
|---|---|---|
| 主たる法令 | Regulation (EU) 2016/679 | Personal Data Protection Act 2012 |
| 主な規制当局 | EU加盟国の監督機関＋EDPB | Personal Data Protection Commission（PDPC） |
| 規制モデル | 権利および適法根拠を基礎とする | アカウンタビリティおよび義務を基礎とする |
| 適法な処理 | 第6条の6つの適法根拠 | 同意、みなし同意および所定の例外 |
| DPO | 所定の状況において選任が義務 | すべての組織が少なくとも1名のDPOを指定する必要あり |
| アクセス権 | あり | あり |
| 訂正 | あり | あり |
| 削除 | 第17条に基づく広範な独立した権利（例外あり） | GDPRに直接相当する独立した消去権はない |
| データポータビリティ | 第20条に基づく権利 | 法律に義務の定めはあるが未施行 |
| 侵害通知 | 通知が必要な場合は72時間以内 | 通知対象となる侵害かどうかを評価し、要件に従って通知する必要あり |
| 国際移転 | 十分性認定、SCCs、BCRsその他の第5章に基づく仕組み | 所定の保護措置による同等の保護の確保が要件 |
| ダイレクトマーケティング | GDPR＋適用されるeプライバシー規則 | PDPA＋Do Not Callレジストリ |
| DPOの連絡先の公表 | DPOの選任が必要な場合に義務 | 業務上の連絡先情報の公表が義務 |
| センシティブデータ | 第9条に基づく特別な種類のデータ | センシティブデータを包括的に定める独立した区分はない |
| 子どものデータ | 第8条を含む特別な規定 | 子どもの個人データに関するPDPCの個別ガイダンス |
| 行政上の制裁金の上限 | 2,000万ユーロまたは全世界年間売上高の4% | 要件に該当する大規模な組織については、最大100万シンガポールドルまたはシンガポール国内の年間売上高の10%のいずれか高い方 |
| 認証 | GDPR全体に相当する義務的な認証制度はない | 任意のData Protection Trustmarkを利用可能 |
GDPRとは
一般データ保護規則（GDPR）は、個人データの保護に関するEUの主要な枠組みです。
2018年5月25日から適用されており、その適用範囲内で個人データを処理する組織に対する要件を定めています。
GDPRの対象事項：
- 適法な処理
- 透明性およびプライバシー通知
- データ主体の権利
- データ保護バイデザインおよびバイデフォルト
- 処理活動の記録
- データ保護影響評価
- 管理者および処理者の責任
- データ侵害の通知
- データ保護責任者
- 国際移転
- 監督機関との協力
GDPRは、地理的適用範囲の要件を満たす場合、EU域外の組織にも適用されることがあります。
シンガポールのPDPAとは
シンガポールのPersonal Data Protection Act 2012は、組織による個人データの収集、利用、開示および保護を規律する枠組みを定めています。
PDPAの運用および執行は、Personal Data Protection Commission（PDPC、個人データ保護委員会）が担っています。
PDPAの枠組みには、次の事項に関する義務が含まれます。
- アカウンタビリティ
- 通知
- 同意
- 目的の限定
- 正確性
- 保護
- 保存期間の制限
- 移転の制限
- アクセスおよび訂正
- データ侵害の通知
- データポータビリティ（関連規定の施行後）
PDPAは、一定のマーケティング通信を対象とするシンガポールのDo Not Callレジストリ制度と併せて運用されています。
GDPRとPDPA：異なるコンプライアンスの考え方
最も大きな違いの一つは、2つの法律におけるコンプライアンスの組み立て方です。
GDPR
GDPRは、第6条に基づき、処理に適用される適法根拠を特定することを組織に求めています。
これには次のものが含まれます。
- 同意
- 契約
- 法的義務
- 生命に関する利益
- 公共の任務
- 正当な利益
特別な種類の個人データを処理する場合には、追加の要件が適用されます。
シンガポール PDPA
PDPAは、組織のアカウンタビリティと、個人データを収集、利用および開示する目的の適切性を非常に重視しています。
同意は引き続き重要な仕組みですが、シンガポールの枠組みでは次のものも定められています。
- みなし同意
- 契約上の必要性によるみなし同意
- 通知によるみなし同意
- 正当な利益
- 事業改善その他の法定の例外
- その他の所定の例外
したがって、GDPR第6条とシンガポール PDPAを一対一で対応させようとすべきではありません。
GDPRとPDPA：アカウンタビリティとガバナンス
いずれの枠組みも、プライバシーガバナンスを業務に組み込むことを組織に求めています。
GDPR
組織および処理活動の内容に応じて、GDPRでは次のものが必要となる場合があります。
- データ保護責任者
- 処理活動の記録
- DPIA
- プライバシーバイデザイン
- 処理者との契約
- データ侵害対応の手順
- データ主体からの請求への対応手順
- 移転影響評価および保護措置
シンガポール PDPA
シンガポールでは、適切なポリシー、実務およびガバナンスを通じてアカウンタビリティを示すことが組織に求められます。
組織は、少なくとも1名のデータ保護責任者（DPO）を指定し、DPOの業務上の連絡先情報を公表しなければなりません。DPOの職務は、専任とすることも、既存の役職と兼任とすることもできます。
これは、所定の状況においてのみDPOの選任が義務付けられるGDPRとの重要な違いです。
個人の権利：GDPRとPDPA
いずれの枠組みも個人に自己の個人データに関する権利を与えていますが、GDPRの権利の枠組みはより広範かつ詳細です。
GDPR上の権利
GDPR上の権利には、次のものが含まれます。
- アクセス権
- 訂正権
- 消去権
- 処理の制限を求める権利
- データポータビリティの権利
- 異議を述べる権利
- 自動化された意思決定およびプロファイリングに関する権利
シンガポール PDPA
シンガポール PDPAは、次の権利を定めています。
- アクセス権
- 訂正権
- 該当する状況における、個人データの利用および開示に関する情報を得る権利
PDPAにはデータポータビリティ義務も規定されていますが、PDPCは、この義務は関連規則の制定時に施行されるとしています。したがって、現時点では、GDPR第20条と同等に運用されている制度として扱うべきではありません。
GDPRとPDPA：データ侵害の通知
いずれの制度も、適切なデータ侵害対応プロセスを整備することを組織に求めています。
GDPR
個人データ侵害が通知対象となる場合、管理者は原則として、侵害を認識した後、不当な遅滞なく、可能な場合には72時間以内に、関係する監督機関に通知しなければなりません。
侵害が個人の権利および自由に高いリスクをもたらすおそれがある場合には、GDPRの例外に該当しない限り、本人にも通知しなければなりません。
シンガポール PDPA
組織は、データ侵害が通知対象に該当するかどうかを評価しなければなりません。
侵害が所定の通知要件を満たす場合、組織は、要件に従い、実務上可能な限り速やかにPDPCおよび影響を受ける個人に通知しなければなりません。PDPCは、通知義務の判断における主な考慮要素として、重大な損害と重大な規模を挙げています。
重要なポイント： 実務上の留意点：グローバルなインシデント対応プロセスは共通化できますが、通知の判断フローは法域ごとに維持する必要があります。
国際データ移転
国際移転に対する規制は、GDPRとシンガポール PDPAとで異なります。
GDPR
GDPR第5章は、次のものを含む仕組みを定めています。
- 十分性認定
- 標準契約条項（SCCs）
- 拘束的企業準則（BCRs）
- 該当する状況における、承認された行動規範または認証の仕組み
- 特定の例外
シンガポール PDPA
PDPAの移転制限義務に基づき、シンガポール国外に個人データを移転する組織は、適用される要件および免除に従い、移転されたデータがPDPAと同等の水準の保護を受けるようにしなければなりません。
シンガポールの規則は、これらの要件を満たすための仕組みとして、法的に執行可能な義務、契約上の保護措置、拘束的企業準則、認められた認証の仕組みなどを定めています。
重要なポイント： GDPRのSCCsに基づく移転プログラムについても、自動的に十分であると考えるのではなく、シンガポールの移転要件に照らして確認する必要があります。
GDPRとPDPA：ダイレクトマーケティング
ダイレクトマーケティングも、両者の違いが大きい重要な分野です。
GDPR
マーケティング活動には、一般に、GDPRに基づく適切な適法根拠が必要となるほか、適用される各国およびEUの電子通信に関する規則にも従う必要があります。
シンガポール
シンガポールでは、シンガポールの電話番号宛ての所定のマーケティング通信を対象とするDo Not Callレジストリが運用されています。
したがって、シンガポールでダイレクトマーケティングを行う組織は、次の双方を評価する必要があります。
- PDPAの要件
- 適用されるDo Not Call上の義務
そのため、すでにGDPRに準拠したマーケティングプログラムを運用している組織であっても、シンガポール固有のマーケティングコンプライアンスが重要となります。
GDPRとPDPA：センシティブな個人データ
GDPR
GDPRは、第9条において、特別な種類の個人データという正式な区分を設けています。
これには、次のような事項に関する情報が含まれます。
- 健康
- 所定の状況における生体データ
- 遺伝データ
- 人種的または民族的出自
- 宗教上または思想上の信条
- 政治的意見
- 労働組合への加入
- 性生活または性的指向
シンガポール PDPA
シンガポールのPDPAには、これに相当する「センシティブな個人データ」という包括的な法定の区分はありません。
その代わりに、組織は、適切な保護措置を決定する際、情報の性質、処理の目的、状況およびリスクの程度を評価する必要があります。
GDPRとPDPA：子どものデータ
GDPR
GDPRには子どもに関する特別な規定があり、情報社会サービスに関する同意について定める第8条の枠組みもその一つです。基準年齢は原則16歳ですが、加盟国は13歳を下回らない範囲でこれを引き下げることができます。
シンガポール PDPA
シンガポールのPDPCは、デジタル環境における子どもの個人データに関する個別のガイダンスを公表しています。
同ガイダンスでは、子どもが13歳未満の場合、組織はその親または保護者から同意を取得すべきとされています。
したがって、子ども向けにデジタルサービスを提供する組織は、年齢に応じたプライバシー、同意およびペアレンタルコントロールのプロセスを、シンガポール向けのプログラムに組み込む必要があります。
GDPRとPDPA：制裁
2つの制度の制裁の仕組みは大きく異なります。
GDPR
一定の違反について、GDPRの行政上の制裁金は次の金額に達することがあります。
2,000万ユーロまたは全世界年間売上高の4%のいずれか高い方。
シンガポール PDPA
該当するデータ保護違反について、金銭的制裁の上限は次のとおりです。
シンガポール国内の年間売上高が1,000万シンガポールドルを超える組織の場合、100万シンガポールドルまたはシンガポール国内の年間売上高の10%のいずれか高い方。
実際に科される制裁は、違反の性質および重大性、損害、帰責性、組織の対応といった要素を含む個別の事情によって異なります。
GDPRとPDPA：データ保護責任者
これは、シンガポールの要件のほうがより直接的な分野です。
GDPR
DPOの選任が義務付けられるのは、次のような第37条の要件を満たす場合に限られます。
- 公的機関による処理
- 大規模かつ定期的で体系的なモニタリング
- 特別な種類のデータまたは犯罪に関するデータの大規模な処理
シンガポール PDPA
すべての組織は、少なくとも1名のDPOを指定し、関連する業務上の連絡先情報を公表しなければなりません。DPOは従業員でも、適切に任命された外部の個人でもよく、DPOの一定の職責は外部に委託することができます。
GDPRとPDPA：データ仲介者と処理者
用語も異なります。
GDPR
GDPRは、次の主体を区別しています。
- 管理者
- 共同管理者
- 処理者
処理者は管理者に代わって行動し、特定の契約上および法令上の要件に服します。
シンガポール PDPA
シンガポールでは、次の主体を区別しています。
- 組織
- データ仲介者
データ仲介者は、他の組織に代わって個人データを処理する主体であり、処理の目的および手段を決定する組織とは異なる法令上の義務を負います。
したがって、組織は、「処理者」と「データ仲介者」が法的に置き換え可能であると考えるのではなく、契約上および業務上の責任を整理する必要があります。
シンガポール PDPAはGDPRより厳格か
いずれの枠組みについても、あらゆる面でより厳格であると評価するのは正確ではありません。
GDPRは、一般に次のような分野でより詳細な規定を置いています。
- 個人の権利
- 適法根拠
- データ保護影響評価
- 自動化された意思決定
- データ保護バイデザイン
- 国際移転
シンガポールのPDPAには、次の事項について特徴的な要件があります。
- 組織全体のアカウンタビリティ
- DPOの指定義務
- 同意およびみなし同意の仕組み
- 国外移転における同等の保護
- Do Not Call上の義務
- シンガポール固有の執行および通知に関する要件
したがって、適切なコンプライアンスのアプローチは、各法域がより高い要件または異なる要件を課している箇所を特定することです。
1つのプライバシープログラムでGDPRとシンガポール PDPAの双方に対応できるか
はい。EUとシンガポールの双方で事業を行う組織は、法域ごとの管理策を備えた1つのグローバルなプライバシープログラムを構築できます。
共通のプログラムで対応できる事項：
- データインベントリ
- プライバシーガバナンス
- ベンダー管理
- セキュリティ管理策
- プライバシー通知
- データ主体からの請求の管理
- データ侵害対応
- 国際移転
- 従業員研修
- 記録の保持
- 規制モニタリング
そのうえで、法域ごとの追加対応により次の事項に対処します。
GDPR
適法根拠、該当する場合のEU代理人の要件、DPIA、第9条、第22条、EUの移転の仕組み、およびGDPR上の権利。
シンガポール PDPA
DPOの指定、同意・みなし同意、DNCへの対応、シンガポールの移転要件、PDPCへの侵害通知、およびシンガポール固有のアカウンタビリティ要件。
推奨される運用モデル
- 1つのデータマップ
- 1つのプライバシー管理フレームワーク
- 法域ごとの法的な追加対応
- 継続的なモニタリング
このアプローチにより、GDPRとPDPAを同一の法律として扱うことなく、一貫性を確保できます。
よくあるご質問
シンガポール PDPAはGDPRに似ていますか？
はい。いずれの枠組みも個人データの収集、利用、開示および保護を規律しており、アカウンタビリティ、セキュリティ、透明性、個人の権利および国際移転に関する要件を含んでいます。ただし、法的構造および具体的な義務は異なります。
自社がGDPRに対応していれば、自動的にPDPAにも対応していることになりますか？
いいえ。GDPRへの対応は有用な基盤となりますが、DPOの指定、DNC上の義務、PDPAの移転要件、同意の仕組み、シンガポールの侵害通知制度といったシンガポールの要件は、別途評価する必要があります。
シンガポール PDPAではDPOの選任が必要ですか？
はい。組織は、少なくとも1名のDPOを指定し、DPOの業務上の連絡先情報を公表しなければなりません。
シンガポール PDPAにはデータポータビリティの権利がありますか？
PDPAにはデータポータビリティ義務が規定されていますが、PDPCは、関連規則の制定時に施行されるとしています。したがって、現時点では、GDPR第20条と同等に運用されている制度として扱うべきではありません。
シンガポール PDPAでは72時間以内の侵害通知が必要ですか？
PDPAには義務的なデータ侵害通知の制度がありますが、その要件を一律の「72時間ルール」と単純化すべきではありません。組織は、侵害が通知対象に該当するかどうかを評価し、適用される通知要件を遵守しなければなりません。
シンガポール PDPAは海外企業にも適用されますか？
シンガポールのPDPAは、同法の適用範囲および適用される免除に従い、シンガポールで個人データを取り扱う組織に適用されることがあります。組織は、設立地のみを根拠に判断するのではなく、自らの活動およびPDPA上の役割を評価する必要があります。
シンガポールにはDo Not Callレジストリがありますか？
はい。シンガポールでは、シンガポールの電話番号宛ての所定のマーケティング通信を対象とするDo Not Callレジストリが運用されています。ダイレクトマーケティングを行う企業は、一般的なプライバシーコンプライアンスプログラムとは別に、適用されるDNCの要件を評価する必要があります。
PDPAの制裁の上限はいくらですか？
該当するデータ保護違反について、シンガポール国内の年間売上高が1,000万シンガポールドルを超える組織には、シンガポール国内の年間売上高の10%または100万シンガポールドルのいずれか高い方を上限とする金銭的制裁が科される可能性があります。
GDPR＋シンガポール PDPAのコンプライアンスプログラムを構築する
欧州とシンガポールの双方で事業を行うには、共通の原則と法域固有の要件の両方を踏まえたプライバシープログラムが必要です。
RegulatoryBridgeは、プライバシーコンプライアンス、規制上の代理人サービス、ガバナンスおよび継続的な規制モニタリングを通じて、GDPR、シンガポール PDPAその他の世界各地のプライバシー要件への対応を一体的に進められるよう支援します。
1つのグローバルなプライバシープログラムで、すべての法域に適切な管理策を。
GDPRとPDPAを1つのプログラムでカバーしましょう。
コントロールを一度マッピングすれば、2つの規制に準拠できます。RegulatoryBridgeは、単一のDSARパイプライン、単一のDPO、単一の侵害対応ランブックを提供し、両方のフレームワークをカバーします。