欧盟《通用数据保护条例》（GDPR）与新加坡 Personal Data Protection Act 2012（PDPA）都是综合性隐私框架，规范组织如何收集、使用、披露、保护和保留个人数据。 两套制度虽然都遵循问责、目的限制、安全、透明和个人权利等原则，但合规结构并不相同。GDPR 采用以合法性基础和权利为核心的细致框架，而新加坡 PDPA 则将同意、视为同意、法定例外与组织层面的问责义务结合在一起。 对于在欧洲和新加坡开展业务的组织，GDPR 合规可以打下坚实基础——但不应将其视为自动符合 PDPA。
并排对比：GDPR 对比 PDPA
| 维度 | 🇪🇺 GDPR | 🇸🇬 PDPA |
|---|---|---|
| 主要立法 | Regulation (EU) 2016/679 | Personal Data Protection Act 2012 |
| 主要监管机构 | 欧盟成员国监管机构 + EDPB | Personal Data Protection Commission (PDPC) |
| 监管模式 | 以权利和合法性基础为核心 | 以问责和义务为核心 |
| 合法处理 | 第 6 条规定的六项合法性基础 | 同意、视为同意及特定例外 |
| DPO | 在特定情形下强制设立 | 每个组织须至少指定一名 DPO |
| 访问权 | 有 | 有 |
| 更正 | 有 | 有 |
| 删除 | 第 17 条规定了范围广泛的独立权利，但有例外 | 没有与 GDPR 直接对应的独立删除权 |
| 数据可携 | 第 20 条规定的权利 | 立法已规定该义务，但尚未生效 |
| 数据泄露通知 | 须通知时为 72 小时 | 须评估是否属于应通知的泄露，并按要求通知 |
| 国际传输 | 充分性认定、SCCs、BCRs 及第五章规定的其他机制 | 要求提供同等保护，并采取规定的保障措施 |
| 直接营销 | GDPR + 适用的 ePrivacy 规则 | PDPA + Do Not Call Registry |
| DPO 公开联系方式 | 须设立 DPO 时必须提供 | 必须公开业务联系信息 |
| 敏感数据 | 第 9 条规定的特殊类别 | 未单独设立全面的敏感数据类别 |
| 儿童数据 | 专门规则，包括第 8 条 | PDPC 针对儿童个人数据发布了专门指引 |
| 行政罚款上限 | 2,000 万欧元或全球年营业额的 4% | 对符合条件的较大型组织，最高为 100 万新加坡元或新加坡年营业额的 10%，以较高者为准 |
| 认证 | 没有覆盖整个 GDPR 的同类强制认证 | 可自愿申请 Data Protection Trustmark |
什么是 GDPR？
《通用数据保护条例》（GDPR）是欧盟保护个人数据的主要框架。
它自 2018 年 5 月 25 日起适用，为其适用范围内处理个人数据的组织设定了要求。
GDPR 涵盖：
- 合法处理
- 透明度与隐私声明
- 数据主体权利
- 设计和默认的数据保护
- 处理活动记录
- 数据保护影响评估
- 控制者与处理者的责任
- 数据泄露通知
- 数据保护官
- 国际传输
- 与监管机构的合作
只要符合其地域适用范围的条件，GDPR 也可适用于欧盟境外的组织。
什么是新加坡 PDPA？
新加坡 Personal Data Protection Act 2012 确立了一套框架，规范组织对个人数据的收集、使用、披露和保护。
PDPA 由 Personal Data Protection Commission（PDPC）负责实施和执法。
PDPA 框架包含以下方面的义务：
- 问责
- 告知
- 同意
- 目的限制
- 准确性
- 保护
- 保留限制
- 传输限制
- 访问与更正
- 数据泄露通知
- 数据可携（待相关条款生效后）
对于部分营销通信，PDPA 还与新加坡的 Do Not Call Registry（谢绝来电登记）制度并行适用。
GDPR vs PDPA：不同的合规理念
两部法律最大的区别之一，在于各自如何构建合规体系。
GDPR
GDPR 要求组织根据第 6 条为处理活动确定适用的合法性基础。
这些基础包括：
- 同意
- 合同
- 法定义务
- 重大利益
- 公共任务
- 正当利益
处理特殊类别个人数据时，还须满足附加要求。
新加坡 PDPA
PDPA 十分强调组织问责，以及收集、使用和披露个人数据的目的是否适当。
同意仍是重要机制，但新加坡的框架还规定了：
- 视为同意
- 基于合同必要性的视为同意
- 基于告知的视为同意
- 正当利益
- 业务改进及其他法定例外
- 其他规定的例外
因此，组织不应试图在 GDPR 第 6 条与新加坡 PDPA 之间建立一一对应的关系。
GDPR vs PDPA：问责与治理
两个框架都要求组织将隐私治理融入日常运营。
GDPR
视组织及其处理活动而定，GDPR 可能要求：
- 数据保护官
- 处理活动记录
- DPIA
- 隐私设计
- 处理者协议
- 数据泄露处置程序
- 数据主体请求处理程序
- 传输影响评估与保障措施
新加坡 PDPA
新加坡要求组织通过适当的政策、做法和治理来证明其履行了问责义务。
组织须至少指定一名数据保护官（DPO），并向公众提供 DPO 的业务联系信息。DPO 职能可以由专职人员承担，也可以与现有岗位合并。
这是与 GDPR 的重要区别：GDPR 仅在特定情形下强制设立 DPO。
个人权利：GDPR vs PDPA
两个框架都赋予个人对其个人数据的权利，但 GDPR 的权利框架范围更广、规定更细。
GDPR 权利
GDPR 权利包括：
- 访问权
- 更正权
- 删除权
- 限制处理权
- 数据可携权
- 反对权
- 与自动化决策和画像有关的权利
新加坡 PDPA
新加坡 PDPA 规定了：
- 访问权
- 更正权
- 在适用情形下，获知个人数据使用和披露情况的权利
PDPA 还包含一项数据可携义务（Data Portability Obligation），但 PDPC 表示，该义务将在相关条例发布后生效。因此，目前不应将其表述为与 GDPR 第 20 条等同的现行制度。
GDPR vs PDPA：数据泄露通知
两套制度都要求组织建立适当的数据泄露响应流程。
GDPR
如个人数据泄露属于应通知的情形，控制者一般须在无不当延误的情况下通知相关监管机构，并在可行时于知悉泄露后 72 小时内完成通知。
如泄露可能给个人的权利与自由带来高风险，还须告知相关个人，GDPR 规定的例外情形除外。
新加坡 PDPA
组织须评估数据泄露是否属于应通知的情形。
如泄露符合适用的通知要求，组织须按要求尽快通知 PDPC 和受影响的个人。PDPC 将重大损害和重大规模列为判断通知义务的关键考量因素。
核心要点： 实务影响：全球可以共用一套事件响应流程，但通知决策树仍应按司法管辖区分别设置。
国际数据传输
GDPR 与新加坡 PDPA 对国际传输的规范方式不同。
GDPR
GDPR 第五章规定的机制包括：
- 充分性认定
- 标准合同条款
- 约束性企业规则
- 适用情形下经批准的行为准则或认证机制
- 特定克减情形
新加坡 PDPA
根据 PDPA 的传输限制义务（Transfer Limitation Obligation），组织向新加坡境外传输个人数据时，须确保所传输的数据获得与 PDPA 同等水平的保护，具体以适用的要求和豁免为准。
新加坡的条例为满足这些要求提供了多种机制，包括具有法律强制力的义务、合同保障措施、约束性企业规则和获认可的认证机制。
核心要点： 以 GDPR SCCs 为基础的传输方案仍应对照新加坡的传输要求加以审查，而不能想当然地认为已经足够。
GDPR vs PDPA：直接营销
直接营销是另一个存在重要差异的领域。
GDPR
营销活动一般需要具备 GDPR 下适当的合法性基础，同时遵守适用的成员国及欧盟电子通信规则。
新加坡
新加坡设有 Do Not Call Registry，涵盖向新加坡电话号码发送的特定营销通信。
因此，在新加坡开展直接营销的组织应同时评估：
- PDPA 要求
- 适用的 Do Not Call 义务
因此，即使组织已有符合 GDPR 的营销方案，针对新加坡的营销合规仍然十分重要。
GDPR vs PDPA：敏感个人数据
GDPR
GDPR 第 9 条正式设立了特殊类别个人数据。
其中包括与以下方面有关的信息：
- 健康
- 特定情形下的生物识别数据
- 基因数据
- 种族或民族出身
- 宗教或哲学信仰
- 政治观点
- 工会成员身份
- 性生活或性取向
新加坡 PDPA
新加坡 PDPA 未设立与之对应的、全面的“敏感个人数据”法定类别。
组织应结合信息的性质、处理目的、具体情形和风险水平，确定适当的保障措施。
GDPR vs PDPA：儿童数据
GDPR
GDPR 对儿童设有专门规则，包括第 8 条关于信息社会服务中同意的框架：默认年龄为 16 岁，成员国可下调，但不得低于 13 岁。
新加坡 PDPA
新加坡 PDPC 已就数字环境中的儿童个人数据发布专门指引。
根据该指引，儿童未满 13 岁的，组织应取得其父母或监护人的同意。
因此，向儿童提供数字服务的组织应在其新加坡合规方案中纳入适龄的隐私、同意和家长控制流程。
GDPR vs PDPA：处罚
两套制度的处罚结构差异很大。
GDPR
对于特定违法行为，GDPR 行政罚款最高可达：
2,000 万欧元或全球年营业额的 4%，以较高者为准。
新加坡 PDPA
对于符合条件的数据保护违法行为，罚款上限可为：
组织的新加坡年营业额超过 1,000 万新加坡元的，为 100 万新加坡元或新加坡年营业额的 10%，以较高者为准。
实际处罚金额视具体情况而定，考量因素包括违法行为的性质和严重程度、损害、过错程度以及组织的应对情况。
GDPR vs PDPA：数据保护官
在这一方面，新加坡的要求更为直接。
GDPR
只有在满足第 37 条条件时才必须设立 DPO，例如：
- 公共机构的处理活动
- 大规模、经常性的系统化监测
- 大规模处理特殊类别数据或刑事犯罪数据
新加坡 PDPA
每个组织须至少指定一名 DPO，并公开相关业务联系信息。DPO 可以是员工，也可以是适当委任的外部人士，部分 DPO 职责可以外包。
GDPR vs PDPA：数据中介与处理者
两者的术语也不相同。
GDPR
GDPR 区分：
- 控制者
- 共同控制者
- 处理者
处理者代表控制者行事，须遵守专门的合同要求和法定要求。
新加坡 PDPA
新加坡区分：
- 组织
- 数据中介
数据中介代表其他组织处理个人数据，其法定义务与决定处理目的和方式的组织有所不同。
因此，组织应梳理合同责任与运营责任，而不应想当然地认为“处理者”与“数据中介”在法律上可以互换。
新加坡 PDPA 比 GDPR 更严格吗？
两个框架都不能被准确地称为在所有方面更严格。
GDPR 在以下领域通常规定得更为细致：
- 个人权利
- 合法性基础
- 数据保护影响评估
- 自动化决策
- 设计的数据保护
- 国际传输
新加坡 PDPA 在以下方面有其独特要求：
- 覆盖整个组织的问责
- 强制指定 DPO
- 同意与视为同意机制
- 境外传输的同等保护
- Do Not Call 义务
- 新加坡特有的执法和通知要求
因此，恰当的合规做法是找出各司法管辖区在哪些方面提出了更高或不同的要求。
一套隐私合规体系能否同时覆盖 GDPR 与新加坡 PDPA？
可以。在欧盟和新加坡开展业务的组织可以建立一套全球隐私合规体系，并辅以各司法管辖区的特定控制措施。
共通的体系可涵盖：
- 数据清单
- 隐私治理
- 供应商管理
- 安全控制措施
- 隐私声明
- 数据主体请求管理
- 数据泄露响应
- 国际传输
- 员工培训
- 记录留存
- 监管监测
在此基础上，再叠加各司法管辖区的特定要求：
GDPR
合法性基础、适用情形下的欧盟代表要求、DPIA、第 9 条、第 22 条、欧盟传输机制以及 GDPR 权利。
新加坡 PDPA
DPO 指定、同意/视为同意、DNC 合规、新加坡传输要求、PDPC 数据泄露通知以及新加坡特有的问责要求。
推荐的运作模式
- 一份数据地图
- 一套隐私控制框架
- 按司法管辖区叠加的法律要求
- 持续监测
这种做法既能保持一致性，又不会把 GDPR 与 PDPA 当作相同的法律。
常见问题
新加坡 PDPA 与 GDPR 相似吗？
相似。两个框架都规范个人数据的收集、使用、披露和保护，并对问责、安全、透明、个人权利和国际传输提出要求。不过，两者的法律结构和具体义务有所不同。
如果我的公司符合 GDPR，是否就自动符合 PDPA？
不是。GDPR 合规是有益的基础，但组织仍应单独评估新加坡的要求，例如 DPO 指定、DNC 义务、PDPA 传输要求、同意机制以及新加坡的数据泄露通知框架。
新加坡 PDPA 是否要求设立 DPO？
是的。组织须至少指定一名 DPO，并向公众提供 DPO 的业务联系信息。
新加坡 PDPA 是否规定了数据可携权？
PDPA 包含一项数据可携义务，但 PDPC 表示，该义务将在相关条例发布后生效。因此，目前不应将其视为与 GDPR 第 20 条等同的现行制度。
新加坡 PDPA 是否要求在 72 小时内通知数据泄露？
PDPA 设有强制性的数据泄露通知框架，但不应将该要求简化为一刀切的“72 小时规则”。组织须评估泄露是否属于应通知的情形，并遵守适用的通知要求。
新加坡 PDPA 是否适用于境外公司？
在该法适用范围内并受适用豁免的限制，新加坡 PDPA 可适用于在新加坡处理个人数据的组织。组织应评估自身在 PDPA 下的活动和角色，而不应仅以注册地为依据。
新加坡是否设有 Do Not Call Registry？
是的。新加坡设有 Do Not Call Registry，适用于向新加坡电话号码发送的特定营销通信。开展直接营销的企业应在一般隐私合规体系之外，单独评估适用的 DNC 要求。
PDPA 的最高处罚是多少？
对于符合条件的数据保护违法行为，新加坡年营业额超过 1,000 万新加坡元的组织，最高可被处以新加坡年营业额的 10% 或 100 万新加坡元的罚款，以较高者为准。
构建 GDPR + 新加坡 PDPA 合规体系
在欧洲和新加坡开展业务，需要一套既体现共通原则、又兼顾各司法管辖区特定要求的隐私合规体系。
RegulatoryBridge 通过隐私合规、监管代表服务、治理和持续监管监测，帮助组织统筹应对 GDPR、新加坡 PDPA 及全球其他隐私要求。
一套全球隐私合规体系，为每个司法管辖区配备合适的控制措施。
在一个计划下涵盖 GDPR 和 PDPA。
控制措施映射一次，合规两次。RegulatoryBridge为您提供单一的DSAR流程、单一的DPO、单一的泄露应急手册--同时涵盖两种框架。