標準簡介
新加坡《個人資料保護法》（PDPA）於 2012 年頒佈，2020 年重大修訂，是平衡個人隱私保護與組織合理使用個人資料的基礎法律。該法適用於在新加坡收集、使用或揭露個人資料的各類組織，規定了同意、目的限制、通知、訪問與更正等核心義務，並設立個人資料保護委員會（PDPC）作為監管機構。
對於在新加坡運營或處理新加坡居民個人資料的企業，PDPA 合規是市場準入和信任建立的基礎。違規組織可能面臨 PDPC 的執法行動，套件括警告、整改命令以及最高可達新加坡營業額 10% 或 100 萬新元的罰款（以較高者為準）。本頁彙總了 PDPA 官方文字、最新指南和常見合規要點。
實施路線圖
准备範圍、責任和監管背景
圍繞由組織或資料中介蒐集、使用、揭露、保留、轉移、更正、保护或处理的个人資料定義个人資料保护合規專案範圍。指定責任人，識別適用法律、客戶、認證或市場准入驅動因素，并在整改前約定證據模型。
差距分析和基於風險的計畫
依据 新加坡 PDPA 期望和風險背景評估目前實務。審查問責、同意、通知、目的限制、准确性、保护、保留、轉移限制、存取和更正、資料外洩通知以及資料可携带准备，并按法律暴露、客戶影響、安全或隱私風險以及稽核或提交準備度排列差距優先順序。
實施控制、文件和證據
部署所需流程、控制、審查、訓練、供應商控制和文件化資訊。圍繞資料清单、同意記錄、隱私通知、DPO 任命、存取和更正日誌、外洩評估、轉移保护、处理方协议、保留計畫和訓練記錄建立可追溯證據。
審查、稽核并維護合規
在PDPC 问询或內部隱私稽核前完成內部審查、準備度檢查和矯正措施。產品、供應商、法律、客戶、事件或營運變化后保持專案更新。
合規檢查清單
checklist 範圍与問責
checklist 控制与記錄
checklist 監控与改进
常見問題解答
谁需要 新加坡 PDPA？
expand_more
新加坡 PDPA 適用于活動落入由組織或資料中介蒐集、使用、揭露、保留、轉移、更正、保护或处理的个人資料的組織。採用动因通常来自監管、客戶、採購要求、市場准入，或證明組織能紀律化控制高影響風險的需要。
新加坡 PDPA 的核心目的是什么？
expand_more
核心目的是为問責、同意、通知、目的限制、准确性、保护、保留、轉移限制、存取和更正、資料外洩通知以及資料可携带准备建立可重複執行的專案。不同領域细节不同，但實務目标都是让義務可见、分配責任、執行控制并保持證據最新。
首先应做什么？
expand_more
先確認範圍和所有權。许多失敗源于邊界不清、缺少責任人，或證據与實際產品、服务、系統或資料流不匹配。
實施需要多长時間？
expand_more
聚焦實施通常需要數月。週期取決於成熟度、產品或場所數量、供應商參與度、技術複雜度、測試證據以及外部審查深度。
哪些證據最有用？
expand_more
有用證據包括資料清单、同意記錄、隱私通知、DPO 任命、存取和更正日誌、外洩評估、轉移保护、处理方协议、保留計畫和訓練記錄。稽核员、監管機構、客戶或審評人員通常期望看到控制正在執行，而不仅是政策存在。
应如何管理供應商？
expand_more
供應商責任应通过合約和執行流程明確。高風險供應商需要盡職調查、下傳要求、證據請求、績效監控以及针对發現項或事件的升級路徑。
專案应多久審查一次？
expand_more
審查频率应跟随風險和變化。年度審查很常見，但產品發布、事件、監管變化、客戶要求、重大供應商或稽核发现应更早觸發專項審查。
可以与其他合規專案整合吗？
expand_more
可以。新加坡 PDPA 通常可以与相关標準共享治理、訓練、供應商管理、文件控制、問題追蹤、內部稽核和管理審查，同时保留自身特定法律或技術證據。