新加坡《个人数据保护法》（“PDPA”）规定了组织收集、使用和披露个人数据的方式，其赋予了个人保护其个人数据的权利，也承认组织出于合理目的而收集、使用和披露个人数据的必要性。

1.1.主要法案、法规、指令

• 2021年个人数据保护条例；
• 2020年个人数据保护（指定执法机构）通知；
• 2015年个人资料保护（指定医疗机构）通知；
• 2021年个人数据保护（执行）条例；
• 2013年个人数据保护（请勿致电登记处）条例；
• 2021年个人数据保护（构成犯罪）条例；
• 2021年个人数据保护（数据泄露通知）条例；
• 2021年个人数据保护（上诉）条例。

1.2.指南

• 《个人数据保护法关键概念咨询指南》（2021年10月1日修订）；
• 《选定主题个人数据保护法咨询指南》（2021年10月4日修订）；
• ICT系统数据保护设计指南；
• 数据保护官（“DPO指南”）；
• 数据保护官能力框架和培训路线图（“DPO框架”）；
• 数据保护官常见问题解答（“DPO常见问题解答”）；
• 数据保护影响评估指南（2021年9月14日）（“DPIA指南”）；
• 《个人数据保护法》下的问责指南（“问责指南”）；
• 数据保护管理计划制定指南（2021年9月14日）（“管理计划指南”）；
• PDPA关键概念咨询指南（2021年2月1日）（“咨询指南”）；和
• 数据保护条款执行咨询指南（2021年2月1日）（“执行指南”）。

2.1.个人范围

• 以个人或家庭身份行事的个人;
• 在受雇于组织期间行事的雇员;
• 公共机构;
• 任何其他组织或个人数据，或可能规定的组织类别或个人数据。

2.2.地域范围

2.3.材料范围

• “业务联系信息”，定义为“个人的姓名、职位名称或头衔、业务电子邮件地址或业务传真号码以及有关个人的任何其他类似信息，并非由个人仅出于其个人目的提供”;
• 已存在至少100年的记录中包含的个人数据;
• 已死亡超过10年的已故个人的个人数据。

PDPC是负责管理和执行PDPA的监管机构。

3.1.主要权力、职责和责任

• 提高新加坡的数据保护意识;
• 提供与数据保护相关的咨询、咨询、技术、管理或其他专业服务;
• 就与数据保护有关的所有事宜向新加坡政府提供建议;
• 在国际上代表政府处理与数据保护有关的事宜;
• 进行调查研究，推广与数据保护有关的教育活动，包括组织和举办与此相关的研讨会、讲习班和座谈会，并支持其他组织开展此类活动;
• 管理与其他组织（包括外国数据保护机构以及国际或政府间组织）在数据保护领域的技术合作和交流，代表自己或代表政府;
• 管理和执行PDPA;
• 履行任何其他成文法赋予PDPC的职能;和
• 从事有关部长可能允许或根据公报上公布的命令分配给PDPC的其他活动并履行此类职能.

• 数据控制者：PDPA不使用术语“数据控制者”。相反，它使用“组织”来指代需要遵守PDPA的实体。“组织”一词广泛涵盖自然人、法人团体（如公司）和非法人团体（如协会），无论他们是否根据新加坡法律成立，是否在新加坡居住或设有办事处或营业地点。
• 数据处理者：PDPA中未使用术语“数据处理者”，而是使用了类似含义的“数据中介”。“数据中介”被定义为代表一个组织处理个人数据。
• 个人数据：PDPA中的“个人数据”是指所有“可以从该组织访问的数据和其他信息中识别出的个人数据，无论真实与否”。无论此类数据是电子形式还是其他形式，也无论敏感程度如何，都适用。
• 敏感数据：尽管PDPA没有敏感个人数据类别，但PDPC认为，更敏感的个人数据应通过更高级别的措施来保护。通常比较敏感的个人数据类型包括：
  此外，PDPC规定如果发生数据泄露，以下数据将被视为对个人造成重大伤害：
• 未公开披露的财务信息;
• 可识别弱势个人的个人数据（例如，导致识别因犯罪而被捕的未成年人）;
• 未公开披露的人寿、意外和健康保险信息;
• 特定的医疗信息，包括艾滋病毒感染的评估和诊断;
• 与收养事宜有关的信息;
• 用于对任何电子记录或交易进行身份验证或对电子记录或交易进行数字签名的私钥;和
• 个人的帐户标识符和用于访问个人帐户的数据。
1. 个人的国民身份证号码（例如国民登记身份证和护照号码）;
2. 财务性质的个人资料（例如银行账户详情、中央存管账户详情、证券持有量、交易及付款摘要）;
3. 保险资料（例如保单持有人的受养人或受益人姓名、保单保额、保费金额及保障类别）;
4. 涉及吸毒和不忠的个人历史;敏感的医疗状况;以及未成年人的个人数据。
• 生物特征数据：术语“生物识别数据”未在PDPA中使用。相反，与健康数据类似，生物特征数据将被视为一种个人数据。
• 假名化：PDPA中没有提及假名化。然而，在《选定主题指南》（Selected Topics Guidelines）中，PDPC将假名化描述为一种匿名化技术，涉及“用其他参考资料替换个人标识符”，并指出，可以对个人数据进行匿名化处理，以实现更多用途，由于匿名数据不可以识别个人身份，因此不是个人数据。

5.1.同意

• 为明显符合个人利益的目的所必需，以及：
• 无法及时获得同意;或
• 个人无明显理由拒绝同意
• 公开可用;
• 符合国家利益;
• 为了组织或他人的合法利益，并且该组织或其他人的合法利益超过对个人的任何不利影响。

1. 视为行为同意
   行为视为同意适用于个人自愿向组织提供其个人数据的情况，且该提供行为是合理的，此时，组织仍有告知处理目的义务。
2. 基于合同必要性视为同意
   合同必要性视为同意是指一个组织A向另一组织B披露个人数据对于个人与组织A之间的合同的履行是必要的。
3. 通过通知视为同意
   通过通知视为同意下，组织需要满足：1）进行DPIA；2）履行告知义务；3）为个人提供随时退出机制。

5.2.与数据主体签订合同

5.3.法律义务

5.4.数据主体的利益

• 无法及时获得同意，且披露明显符合个人利益;或
• 披露对于应对威胁个人或他人生命、健康或安全的紧急情况是必要的。

5.5.公共利益

5.6.数据控制者的合法利益

• 符合组织或他人的合法利益;和
• 组织或其他人的合法利益超过对个人的任何不利影响。

PDPA对组织在其数据活动方面规定了以下数据保护义务：

• 知情同意：组织在出于某种目的收集、使用或披露其个人数据之前，必须征得个人的同意。
• 目的限制：组织只能出于合理人士认为合理的目的收集、使用或披露个人数据。
• 通知义务：组织必须在收集、使用或披露时或之前向个人解释原因及目的。
• 访问和更正：组织必须允许个人访问和更正其拥有的个人数据。此外，组织有义务向个人提供过去一年中使用或披露个人数据的方式。
• 准确性：如果组织使用个人数据做出影响该个人的决定，或向其他组织披露个人数据，则必须做出合理努力确保其收集的个人数据准确完整。
• 保护义务：组织必须实施合理的安全措施来保护其控制的个人数据，以防止：（a）未经授权的访问、收集、使用、披露、复制、修改、处置或类似风险;（b）存储个人数据的任何存储介质或设备的丢失。
• 问责制：组织必须指定一个人负责确保其遵守PDPA（通常称为DPO），并制定和实施所必需的政策和实践，包括接收投诉的程序。此外，组织必须向其员工传达此类政策和做法，并应要求向个人提供有关此类政策和做法的信息。
• 数据可移植性：在组织收到个人的数据移植请求后，组织必须根据要求将数据移植请求中指定的接收组织。

7.1.数据传输

1. 被视为满足跨境传输要求
• 个人同意或被视为同意
• 对于保护数据主体利益是必要的，且组织必须采取合理措施确保接收方不会出于任何其他目的使用或披露个人数据;
• 个人数据是传输中的数据或在新加坡公开的数据
2. 基于法律合同义务
• 合同规定的义务
• 具有约束力的公司规则（BCR）
• 其他具有法律约束力的文书
3. 接收方通过认证
• 组织接收个人数据，并持有有效的APECCBPR认证;
• 数据中介接收个人数据，并持有有效的APECPRP或CBPR认证。

7.2.数据保护影响评估

• 当组织打算依赖“通知视为同意”时;
• 为了组织或其他人的合法利益而收集、使用或披露个人数据时。

• 尽量减少收集的个人数据量;
• 使用后加密或立即删除个人数据;和
• 功能分离、访问控制和其他技术或组织措施，以降低个人数据以可能对个人产生不利影响的方式使用的风险。

7.3.数据保护官任命

7.4.数据泄露通知

• 未经授权访问、收集、使用、披露、复制、修改或处置个人数据;或
• 在可能发生未经授权访问、收集、使用、披露、复制、修改或处置个人数据的情况下，存储个人数据的任何存储介质或设备的丢失。

• 对受影响的个人造成重大伤害或可能导致重大伤害;或
• 是或可能是，具有相当大的规模（即500人或更多人）。

• 在发现“相关事件”后一小时内;和
• “尽快发现外包引起的可能影响组织的任何不利动态”以及“机构集团内部遇到的任何不利动态”。

7.5.数据保留

7.6.儿童数据

7.7.控制者和处理者合同

• 录音;
• 占有;
• 组织、改编或变更;
• 检索;
• 组合;
• 传输;和
• 擦除或销毁。

7.8.Do Not Call

8.1.访问权

• 组织拥有或控制的有关他们的个人数据;和
• 有关组织在请求日期前一年内使用或披露该个人数据的方式的信息。

• 当此类访问将泄露有关另一个人的个人数据或违反国家利益时;
• 如果提供访问权限的负担或费用对组织不合理或与个人利益不成比例;
• 如果请求在其他方面是轻率或无理取闹的。

8.2.更正权

8.3.反对/选择退出的权利

8.4.数据可移植性权利

如果PDPC确信组织违反了PDPA下的数据保护规定，则PDPC有权发布其认为合适的补救措施。其中包括要求组织：

• 停止违反PDPA收集、使用或披露个人数据;
• 销毁违反PDPA收集的个人数据;
• 提供对个人数据的访问或更正;或
• 处以最高为组织在新加坡年营业额10%的经济处罚（如果其在新加坡的年营业额超过1000万新元（约685万欧元））。
  在调查过程中，PDPC可以：
• 通过书面通知，要求组织出示任何指定文件或指定信息，或要求新加坡范围内的任何人出席PDPC;
• 至少提前两个工作天通知打算进入，在没有搜查令的情况下进入组织的场所;和
• 取得搜查令以进入机构的场所并占有或移除任何文件。
  不遵守PDPA的某些规定也可能构成犯罪，可处以罚款或监禁。
  例如，未经许可要求访问或更正他人个人数据的人，一经定罪，可处以不超过5000新元的罚款或不超过12个月的监禁，或两者兼施。

9.1执行决定