Personal Data Protection Act (PDPA) 2012 e Emendas de 2020

País/Jurisdição: Singapura

Nome da Lei
Personal Data Protection Act (PDPA) 2012 e Emendas de 2020
Autoridade Supervisora
Personal Data Protection Commission (PDPC)
Escopo de aplicação/Extraterritorialidade

Aplica-se ao processamento de dados pessoais realizado em Singapura, incluindo entidades fora de Singapura que processem dados de residentes de Singapura (p. 993; §1)

Diferenciação entre controlador e operador

Distingue entre “Controlador” (quem decide os propósitos e meios do processamento) e “Operador” (quem processa dados em nome do Controlador). Ambos têm responsabilidades diretas (p. 995; §2)

Dados Pessoais

Dados, verdadeiros ou não, sobre um indivíduo que pode ser identificado a partir desses dados ou de outros dados disponíveis à organização (p. 994; §1)

Dados Sensíveis

Não há definição específica de dados sensíveis na lei. No entanto, orientações indicam que dados como informações de saúde mental e física são considerados sensíveis e devem receber maior proteção (p. 994; §2)

Bases legais de tratamento de dados

Consentimento explícito, cumprimento de contrato, cumprimento de obrigações legais, interesse legítimo da organização, entre outros (p. 996; §2)

Requisitos de Segurança

Devem ser implementadas medidas de segurança adequadas para proteger os dados pessoais contra acesso não autorizado, modificação, ou perda. Isso inclui criptografia e outras práticas recomendadas (p. 997; §1)

Direitos do Titular de Dados

Direitos incluem acesso, retificação, apagamento, portabilidade de dados e objeção ao processamento, além do direito de retirar o consentimento (p. 996; §1)

Transferências internacionais de dados

Transferências internacionais são permitidas desde que o destinatário ofereça um nível de proteção comparável ao do PDPA. É possível estabelecer acordos contratuais para garantir essa proteção (p. 997; §2)

Encarregado de Proteção de Dados/DPO

Nomeação obrigatória de DPO para garantir a conformidade com o PDPA. O DPO deve ser prontamente contatável em Singapura durante o horário comercial local (p. 995; §3)

Notificação de incidentes

Notificação à PDPC é obrigatória em até três dias após a descoberta de uma violação de dados significativa. Os indivíduos afetados também devem ser notificados (p. 998; §2)

Dados de menores

“Sem informação” (p. 998; §3)

Penalidades e sanções

Multas de até 10% do faturamento anual em Singapura para organizações com faturamento superior a SGD 10 milhões, ou até SGD 1 milhão para outras organizações. Também há sanções criminais para violações graves (p. 998; §4)