What is the Singapore PDPA?

The Personal Data Protection Act 2012 (Act 26 of 2012), substantially amended in 2020, governs the collection, use, disclosure, and care of personal data in Singapore. Enforcement sits with the Personal Data Protection Commission (PDPC).

What is the maximum PDPA penalty?

For organisations with annual turnover above S$10 million in Singapore, up to 10% of annual turnover. For other organisations, up to S$1,000,000 per breach. Individuals can face fines up to S$5,000 and/or 2 years imprisonment for knowing or reckless mishandling.

Do I need to appoint a DPO in Singapore?

Yes. Section 11(3) of the PDPA requires every organisation to designate one or more individuals as Data Protection Officer(s) responsible for ensuring compliance. The DPO's business contact information must be made publicly available.

How fast must I notify PDPC of a data breach?

Within 72 hours of assessing that a notifiable breach has occurred - where the breach is likely to result in significant harm to affected individuals or involves personal data of 500 or more individuals.

What is the Do Not Call Registry?

A national registry operated by PDPC. Before sending telemarketing voice calls, SMS, or fax to a Singapore number, organisations must check it against the relevant DNC Register (Voice, SMS, or Fax) and respect a user's no-contact preference.

Соответствие PDPA Сингапура и услуги DPO

АктуальноЗакон ЕС об ИИМай 2026Опубликовано руководство по классификации высокорисковых систем ИИ — проверьте свой уровень

Соответствие PDPA и представительство DPO

Комплексное соответствие Закону о защите персональных данных 2012 года — назначенный сотрудник по защите данных, взаимодействие с PDPC, реагирование на нарушения в течение 72 часов, интеграция с реестром DNC и оценки трансграничных передач.

Что такое PDPA?

Закон о защите персональных данных 2012 года (Закон 26 от 2012 года), существенно изменённый в 2020 году, регулирует сбор, использование, раскрытие и обращение с персональными данными в Сингапуре. Поправки 2020 года ввели обязательное уведомление о нарушении данных, усиленные финансовые штрафы и режимы эквивалентности согласия.

Надзор осуществляет Комиссия по защите персональных данных (PDPC), которая публикует Консультативные руководства и ведёт национальный Реестр «Не звонить».

Максимальный штраф

10%

годового оборота в Сингапуре (>S$10 млн выручки)

В противном случае ограничен S$1 000 000 за нарушение.

Шесть основных обязательств PDPA

Плюс шесть дополнительных обязательств — Хранение, Передача, Открытость, Уведомление о нарушении, Подотчётность и DNC.

Согласие

Получите согласие до сбора, использования или раскрытия персональных данных. Применяются исключения предполагаемого согласия и законных интересов.

Ограничение цели

Собирайте и используйте персональные данные только для целей, которые разумное лицо сочло бы уместными.

Уведомление

Уведомляйте лиц о целях до или в момент сбора.

Доступ и исправление

Предоставляйте лицам доступ к их персональным данным и возможность исправлять неточности.

Точность

Прилагайте разумные усилия для обеспечения точности и полноты собираемых персональных данных.

Защита

Принимайте разумные меры безопасности для предотвращения несанкционированного доступа, изменения или уничтожения.

Дополнительные обязательства

Ограничение хранения — прекращайте хранение, когда оно больше не требуется для каких-либо юридических/деловых целей
Ограничение передачи — зарубежные передачи должны обеспечивать сопоставимую защиту (трансграничные ABC)
Открытость — назначьте сотрудника по защите данных и сделайте политики общедоступными
Уведомление о нарушении данных — уведомляйте PDPC в течение 72 часов при достижении порога
Подотчётность — внедряйте, документируйте и демонстрируйте соответствие
«Не звонить» (DNC) — проверяйте Реестр DNC Сингапура перед маркетинговыми звонками/SMS/факсами

Матрица штрафов

Организации с годовым оборотом > S$10 млнДо 10% годового оборота в Сингапуре

Все остальные организацииДо S$1 000 000 за нарушение

Физические лица — умышленное или неосторожное ненадлежащее обращение (с.48D)Штраф до S$5 000 и/или 2 года лишения свободы

Примечательно: SingHealth + IHiS (2019)S$1 миллион в совокупности — 1,5 млн записей пациентов

Примечательно: Commeasure (RedDoorz) (2021)S$74 000 — нарушение методом credential-stuffing

Кому требуется представительство по PDPA

Региональные штаб-квартиры в Сингапуре

Сингапур является хабом APAC для многих ТНК — применяются обязательства как контролёра, так и обработчика.

Финтех и DeFi

Регулируемые MAS организации сталкиваются с PDPA в дополнение к Руководству MAS по управлению технологическими рисками.

Телемаркетинг и DTC

Соблюдение Реестра DNC — самая объёмная область правоприменения.

Трансграничный SaaS

Ограничение передачи требует оценок сопоставимой защиты для обработчиков за пределами Сингапура.

RegulatoryBridge Сингапур

Наша программа PDPA из шести опор

Аутсорсинговый DPO

Опора 01

Обязательный сотрудник по защите данных (с.11(3) PDPA), зарегистрированный в PDPC, с опубликованными именем и контактом.

Комплект уведомлений PDPA

Опора 02

Уведомления о приватности, своевременное согласие и процессы отзыва, согласованные с Консультативными руководствами PDPC.

Реагирование на нарушения в течение 72 часов

Опора 03

Уведомление PDPC и затронутых лиц в рамках обязательства об уведомлении о нарушении данных.

Интеграция с реестром DNC

Опора 04

Автоматическая очистка DNC для голосового, SMS и факс-телемаркетинга на сингапурские номера.

Оценки трансграничных передач

Опора 05

Оценки сопоставимой защиты, договоры и Обязательные корпоративные правила в рамках обязательства об ограничении передачи.

Взаимодействие с PDPC

Опора 06

Ответ на запросы, расследования и обязательства перед Комиссией по защите персональных данных.

Нужен DPO в Сингапуре?

Мы действуем как ваш назначенный сотрудник по защите данных, регистрируемся в PDPC и управляем соблюдением «Не звонить» для ваших программ телемаркетинга.

Провести оценку PDPA Поговорить с экспертом по Сингапуру

Loading…