东盟六国数据保护法解读：外国投资者指南

东盟六国数据保护法解读：外国投资者指南

印尼

2022年10月，印尼颁布《2022年第27号个人数据保护法》（PDP法），整合了国内分散的数据法规，并借鉴欧盟GDPR标准，实现对个人数据的全面保护。

• 一般个人数据：包括全名、性别、国籍、宗教和婚姻状况等。
• 特定个人数据：涵盖健康信息、生物特征数据、基因数据、犯罪记录、儿童数据、个人财务数据等敏感信息。

• 个人数据主体
• 个人信息控制者
• 个人数据处理者
• 数据保护官（DPO）负责监督合规

• 知情权、更正权、访问权
• 删除和限制处理的权利
• 反对自动决策的权利
• 索赔权、数据可携性权利

• 行政罚款（最高年收入2%）
• 刑事处罚（最高六年监禁、40万美元罚款）

PDP法适用于在印尼境内处理数据的实体及涉及印尼公民境外数据的实体，无论其所在地。

马来西亚

马来西亚修订《个人数据保护法》（PDPA），强化数据治理。重点更新包括：

• DPO任命：要求企业设立专职人员确保合规。
• 扩大责任范围：数据处理者亦需履行义务，违规罚金最高100万令吉或三年监禁。
• 跨境传输改革：废除“白名单”制度，允许具备保障措施的跨境传输。
• 强制泄露通知：要求及时向监管机构和受影响者报告数据泄露。
• 加重处罚：违反原则者可能面临更高罚款或监禁。

企业需重新评估合规体系，加强数据安全与跨境规则应对。

菲律宾

2012年《数据隐私法》确立数据保护基础，由国家隐私委员会（NPC）监管实施。

• 覆盖所有形式的个人信息，适用于菲律宾境内或境外的自然人和法人。

• 知情权、访问权、反对权
• 删除或阻止数据权、数据可携权

• 遵循透明、合法目的、适度原则
• 实施组织、物理、技术安全措施

• NPC通函2023-06明确新安全标准
• 法律修订以适应新技术发展，保持国际一致性

• 面临罚款和监禁

新加坡

新加坡《个人数据保护法》（PDPA）自2012年生效并于2020年更新，平衡隐私保护与商业需求。

• 必须设立数据保护官
• 获取用户同意并告知用途
• 限制数据使用和保留期限
• 重大泄露须报告PDPC及用户
• 支持“禁止致电”注册表管理营销通信

违者最高罚金可达100万新元，由PDPC执法，推动成为值得信赖的数字创新中心。

泰国

泰国PDPA自2019年出台，2022年全面施行，适用于全球范围内处理泰国居民数据的企业。

• 数据分为一般与敏感类（如健康、生物特征）
• 数据主体拥有知情权、访问权、更正权、删除权
• 重大数据泄露需及时报告

• 发布子法规指导数据处理操作
• 制定电信、信用局等行业特别规则
• PDPC强化审计，提升合规水平

• 罚款最高达500万泰铢（约146,820美元）

泰国PDPA持续完善，推动本地合规标准与全球接轨。

越南

越南《个人数据保护法令》于2023年7月生效，确立合法性、透明度等数据处理原则。预计2026年生效的《个人数据保护法草案》将进一步强化监管：

• 增强数据保护官（DPO）专业资质要求
• 将土地信息纳入敏感数据类别
• 新增数据保护组织角色（如数据保护信用评级机构）

东盟六国数据保护合规建议

针对计划进入东盟六国市场的外国投资者，以下合规建议至关重要：

• 制定数据保护策略：确保符合各国特定的数据保护要求。例如，马来西亚和新加坡需任命数据保护官（DPO），印度尼西亚和泰国需遵守严格的违规通知时限，而越南则需应对持续更新的法规。
• 定期审核处理实践：与第三方签订的合同应符合当地标准，并在跨境数据传输中实施保障措施，如约束性公司规则或标准合同条款。
• 关注即将出台的新规：如越南《个人数据保护法草案》将在2026年生效，提前了解有助于应对未来的合规挑战。
• 与本地法律专家合作：借助当地专业力量保持积极主动的数据合规管理策略，提升可信度并保障业务连续性。

遵循这些建议可帮助企业在降低法律风险的同时增强消费者信任，在东盟数字经济增长中占据有利位置。