世界各国は、一般データ保護規則（GDPR）と同様に、保護強化を求める広範な要求に応え、データプライバシーへの取り組みを強化しています。シンガポールも例外ではありません。2020年、シンガポールは個人データ保護法（PDPA）を改正し、個人のデータ保護への取り組みを強化しました。この記事では、組織が個人データの所有権を持つことを保証するシンガポールの主要な個人データ保護法（PDPA）について解説します。
シンガポールの個人データ保護法とは何ですか？
個人データ保護法（PDPA）は、2012年11月15日にシンガポールで制定され、2014年7月2日に施行されました。PDPAは、
組織による個人データの収集、使用、開示 個人のプライバシーを保護するため。2020年から、個人データ保護法（改正）2020を通じて、PDPAの改正が様々な段階で実施されてきました。2021年2月1日に施行されたこの法律は、
- データ漏洩時の通知
- 犯罪行為を導入する
- みなし同意の範囲を拡大する
- 明示的な同意を得る義務に対する例外を追加する
個人データとは何ですか？
シンガポールの個人データ保護法において、「個人データ」とは、真偽を問わず、以下のいずれかによって識別可能な顧客に関するデータを意味します。(a) 当該データから識別可能な顧客、または (b) 当該データおよび当社が現在または将来アクセスできるその他の情報から識別可能な顧客。これには、以下が含まれますが、これらに限定されません。
- 名前
- 国民居住身分証明書番号
- パスポート番号
- 個人の写真またはビデオ画像
- 携帯電話番号
- 個人のメールアドレス
- 拇印
- 住宅アドレス
PDPAは、個人的な目的のみで提供される場合を除き、ビジネス連絡先情報には適用されません。さらに、「
匿名化されたデータデータ保護の範囲外となる。
PDPAに基づく重要な要件
シンガポール個人データ保護委員会（PDPC）によると、企業はPDPAに基づくデータ保護義務に関して、次の3つの重要な考慮事項を遵守しなければなりません。焦点。
- 個人データの収集
- 個人データの取り扱い
- 個人データに対する個人の権利
データ保護に関する11の義務とは何ですか？
顧客や従業員から委託された個人データを保護するために、11のデータ保護義務があります。これには以下のものが含まれます。
説明責任義務
企業は、個人情報保護法（PDPA）に基づく義務を履行するための措置を講じなければならない。また、データ保護責任者（DPO）を任命し、企業の連絡先情報を一般に公開する必要がある。
届出義務
企業は、顧客のデータを収集、使用、または開示する具体的な目的を顧客に通知しなければならない。
同意義務
企業は、個人が同意した目的のためにのみ、個人データを収集、使用、または開示しなければなりません。個人は、同意を撤回する際に、合理的な予告期間を設け、その結果について通知を受ける権利を有します。同意が撤回された後は、企業は個人データの収集、使用、または開示に関する一切の活動を停止しなければなりません。
目的制限義務
企業は、個人の個人データを適切な目的のためにのみ使用、収集、または開示する場合、同意を得た場合に限らなければならない。さらに、製品やサービスの提供条件として、合理的な範囲を超えて個人データの使用、収集、または開示を許可するよう個人に要求することはできない。
正確性義務
企業は、収集する個人データが完全かつ正確であることを確認するために、合理的な努力を払わなければならない。特に、そのデータが顧客に影響を与える意思決定に利用される可能性が高い場合、または他の企業に開示される可能性がある場合は、なおさらである。
保護義務
組織は、保有する個人データを保護するために、適切なセキュリティ対策を講じる必要があります。これは、個人データへの不正アクセス、使用、収集、または開示といったリスクを回避するためです。
保有制限義務
企業は、業務上または法律上の理由で個人データが必要なくなった場合、個人データの開示を拒否するか、適切に破棄しなければならない。
アクセスおよび訂正義務
組織は、個人からの要求日から1年以内に、個人に対し自身のデータへのアクセスと、そのデータがどのように使用または開示されたかの詳細を提供しなければならない。また、個人データにおける誤りや漏れを速やかに修正しなければならない。その後、1年以内に、データが開示された他の組織に更新されたデータを送付しなければならない。
データ漏洩通知義務
データ漏洩が発生した場合、団体は通知が必要かどうかを判断するための手順を策定しなければなりません。漏洩によって個人に重大な損害が生じた場合は、シンガポール個人データ保護委員会（PDPC）および影響を受けた個人に対し、できるだけ速やかに通知する必要があります。
データポータビリティ義務
企業は、要請があった場合、個人のデータを機械可読で頻繁に使用される形式で他の組織に転送しなければならない。
個人情報保護法（PDPA）の規定を遵守しなかった場合の結果
シンガポール個人データ保護（改正）法案に基づき、組織はPDPAを遵守しない場合、最大100万シンガポールドルまたはシンガポールにおける年間収益の10%の罰金を科される可能性があります。さらに、貴社は個人データの開示、使用、収集ができなくなる可能性があります。具体的には、PDPAに基づき、すべての組織は電話勧誘拒否規定を遵守し、以下の9つの義務を履行しなければなりません。
シンガポールの個人情報保護法（PDPA）を遵守するには？
シンガポール国内で個人データを取り扱う場合、またはシンガポールのデータ主体に関する個人データを取り扱う場合は、PDPA（個人情報保護法）の第III部から第VI部に規定されている特定の義務を遵守しなければなりません。
- 企業はしなければならない 方針と手順を策定し、実施する 会う データ保護 義務事項は一般に公開されるべきである。
- 組織は 個人データの収集手段を削除、匿名化、または排除する 当初の目的が達成された後は、データ主体の要求に法的権利の範囲内で対応する義務も負う。
- すべての組織は処理に責任を負います データ仲介業者による個人データの代理処理したがって、これらの仲介業者が個人情報保護法（PDPA）を遵守しなかった場合、彼らは責任を問われる可能性がある。
- 企業は個人データを保護するために不正アクセスを防止するためのセキュリティ対策を実施する個人情報の開示、使用、または漏洩を防ぐため、個人情報保護法（PDPA）の遵守を監督するデータ保護責任者（DPO）を1名以上任命することをお勧めします。
- 義務事項を遵守する データ侵害通知要件 違反が評価され、報告義務のある違反であると特定された場合。
- 企業は以下のことを確実にしなければならない シンガポール国外へ転送されたデータ 個人情報が保管されている間は、PDPA（個人情報保護法）の要件を遵守する。ただし、受領者がPDPAと同様の法的拘束力のある義務を負っている場合は例外となる。
シンガポールのPDPAの施行
2022年6月、委員会は、Integrated Health Information SystemsとSingapore Health Servicesに対し、それぞれ75万シンガポールドルと25万シンガポールドルの罰金を科した。これは、これまでの罰金としては最高額である。これらの罰金は、データ主体の医療記録を保護するための安全対策が不十分であったために、サイバー攻撃による重大なデータ漏洩が発生したことを受けて科された。
刑事罰
重大なデータ漏洩を起こした企業は、多額の罰金または刑事責任を問われ、場合によっては懲役刑に処される可能性があります。早期発見と対応、迅速なデータ漏洩通知といった軽減要因、および捜査への非協力といった加重要因も考慮されます。
民事責任
データ漏洩が発生した場合、企業は被害を受けた個人に対して責任を問われる可能性があります。被害を受けた個人は、差止命令、損害賠償、その他裁判所が必要と判断する命令、救済措置、または宣言を求めることができます。
データ保護責任者（DPO）の任命
PDPA（個人情報保護法）に基づき、企業／組織が事業活動の過程で個人データを収集する場合、データ保護責任者（DPO）の任命が義務付けられています。貴社のDPOは、PDPA遵守を確保するために、個人またはチーム（従業員または外部委託者）で構成することができます。DPOの主な役割は以下のとおりです。
- 個人データの取り扱いに関するプロセスとポリシーを策定し、実施する。
- 従業員の間でデータ保護文化を醸成し、個人データ保護に関する方針を関係者に周知徹底する。
- 貴社の個人データ保護に関する問い合わせや苦情に対応する。
- データ保護に関して発生する可能性のあるリスクについて、経営陣に警告を発する。
- データ漏洩対策
- 必要に応じて、個人データ保護委員会（PDPC）とデータ保護に関する事項について連絡を取り合う。
InCorpのアドバイザリーソリューションでPDPA（個人情報保護法）を遵守しましょう
事業が罰則を受けないようにするためには、各種個人情報保護法（PDPA）の義務を遵守することが不可欠です。PDPAに関するニーズの評価と管理をサポートする当社のPDPA専門家にご相談ください。
シンガポールのPDPAに関するよくある質問
- PDPAは、真偽を問わず、電子的および非電子的なすべての個人データを対象とする。
- はい、これは、個人データの収集、使用、または開示を行う公的機関、民間企業、個人事業主、パートナーシップ、協会など、すべての組織に適用されます。
- 両方の 生存者および故人の個人データ PDPAによって保護されています。しかし、 少なくとも10年以上前に亡くなっている 個人データ保護法の対象外です。また、記録に保持されている個人データにも適用されません。 最低100年.
- 企業が個人データを海外に移転する場合、個人情報保護法（PDPA）に基づき、データが保護されるよう合理的な措置を講じなければなりません。これには、海外の受領者に対し、データ保護基準に沿ってデータを保護することを契約で義務付けることが含まれる場合があります。
専門家にご相談ください
貴社における個人情報保護法（PDPA）関連事項について、専門家のアドバイスをご利用ください！
著者について
Nipun Arora
ニプンは移転価格に関する14年以上の経験を持ち、そのキャリアの大半を大手4大会計事務所で過ごしてきました。自動車、小売、通信、日用消費財、高級品業界の中小企業や多国籍企業に対し、移転価格に関するアドバイザリーサービスを提供しています。クライアントが移転価格ポリシーを独立企業間原則およびBEPS行動計画に準拠させるため、年末の移転価格文書の作成を支援しています。
ビジネスブログについてもっと詳しく
