个人信息保护全球指南（第二版）——新加坡

导言

在新加坡，具体在立法中关于“个人数据”（如所用术语，而不是“个人信息”）的强制性保护随《2012年个人数据保护法案》（“PDPA”）的颁布自2014年始生效。该保护机制旨在解决人们日益关切的问题：如何使用个人数据、如何维持人们对管理数据机构的信任以及如何稳固新加坡作为值得信赖的商业枢纽地位。

1. 您所在的法域中主要的个人信息保护法律或法规有哪些？

PDPA与普通法的救济（如违反保密义务等）同时适用，并遵循特定领域立法（如《官方机密法案》、《银行法案》等）。相比于特定行业自律准则（如《新加坡广告行业准则》），PDPA是“硬法”（即，具有赋予合法权利和救济措施的法律效力）。除适用特定领域立法外，个人数据主要是由PDPA予以保护，包括：

（1）管理由“机构”（包括任何个人或法律实体）以同时认可下述内容的方式收集、使用、披露和保管个人数据——

• 机构出于合法和合理的目的收集、使用或披露个人数据的需求；和

• 个人保护其个人数据的权利。

（2）包括全国谢绝来电登记，这使得个人可以选择不接收来自机构的营销来电、手机短信和传真；及

（3）由各类规定予以补充——

• 附属法例，包括：

  - 2013年个人数据保护（谢绝来电登记）条例；

  - 2013年个人数据保护（犯罪构成）条例；

  - 2014年个人数据保护条例；

  - 2014年个人数据保护（执行）条例；

  - 2015年个人数据保护（申诉）条例。

• 由个人数据保护委员会（“PDPC”）发布的实用工具，包括：

  - PDPC对PDPA规定的解释和对一般性问题及特定领域问题处理的指导意见（区分一般指导意见和特定领域指导意见）；及

  - 协助机构遵守PDPA的通用指南。

2. 个人信息是如何定义的？

根据PDPA，“个人数据”：

（1）被定义为“无论真实与否，与可以通过该数据或通过该数据和机构已经或可能获取的其他信息识别其身份的个人有关的数据”；

（2）可能包含有关个人的且能识别其身份的不同类型的数据，如个人的护照号码；如果是新加坡公民或居民，则包含其国民注册身份证或NRIC号（统称为“国民身份证号”或“ NIN”）、面部图像、声音、指纹或DNA图谱，无论该等数据的真伪，也无论该等数据以电子或其他形式存在；及

（3）不包括——

• 业务联系信息，如职位名称或头衔、业务电话号码、地址、邮件和其他类似的非由个人仅出于私人目的提供的信息；和

• 已存续至少100年的记录中包含的个人数据，或与已去世10年以上的个人有关的个人数据。

3. 有关个人信息保护的关键原则有哪些？

PDPA为数据保护创设了如下关键义务：

（1）同意义务：机构必须确保仅在数据主体同意的情况下收集、使用或披露个人数据（除非同意义务被免除或数据主体被视为同意）。在数据主体撤回同意的情况下，机构必须采取措施确保遵守数据主体撤回同意所产生的要求。

（2）通知义务：机构必须就其收集、使用或披露个人数据的目的给予充分的通知。

（3）目的限制义务：机构必须将收集、使用或披露个人数据仅限于给予和通知同意的目的，或限于免除同意义务的目的（视情况而定）。

（4）保护义务：机构必须采取合理措施来保护其收集、使用、披露或处理的个人数据免遭未经授权的访问、使用或披露，以达到与此类未经授权的访问、使用或披露所造成的损害风险相称的保护水平。

（5）保留义务：机构保留个人数据的时间不得超过满足其业务或法律目的所需的时间。一旦满足所有业务和法律目的，则应匿名或安全处理该个人数据。

（6）转移义务：机构只能按照PDPA的特定要求将个人数据从新加坡转移出去，该特定要求旨在确保遵守与PDPA对于个人数据保护相当的保护标准。

（7）访问和更正义务：经数据主体请求，机构应向该数据主体提供机构持有的或控制的有关该数据主体的个人数据，以及在请求日前一年内该个人数据被收集、使用或被披露的方式。同时，如果数据主体希望纠正某个机构所拥有的有关其个人数据的不准确之处，则该机构有义务纠正，并将该纠正通知先前（在过去一年内）收到该错误个人数据的其他各方。在某些情况下，这项义务受到与访问或更正请求有关的某些排除规定的限制和保留。

（8）准确性义务：机构必须采取合理措施，来确保其在做出影响个人数据所关联的数据主体的决策或向其他机构披露此类个人数据时使用的个人数据的准确性。

（9）透明义务：机构必须提供有关其收集、使用或披露个人数据的信息，并提供数据主体可以对此类收集、使用或披露查询或投诉的方式。

（10）禁止呼叫登记的义务：对于在新加坡禁止呼叫注册表中注册的新加坡电话号码，禁止机构进行与该电话号码相关的电话营销活动（还有出于营销目的发送特定讯息）。

4. 收集个人信息的合规要求有哪些？

除法律要求或授权的收集或规定的特定例外情形，如有紧急情况威胁到与个人数据相关的个人或其他任何个人的生命、健康或安全外，机构收集有关个人的个人数据时应当保证：

（1）机构应当已告知个人收集其个人数据的目的——该等通知的形式和方式由该机构决定，作为通知的最佳方式（通常视为是书面形式）无论是电子或其他文件形式，以便个人对目的清楚明白且在任何争议发生时双方对该等事宜有明确的文件以供参考。

（2）个人针对此目的的收集行为已经做出同意，该同意会——

• 被视为已做出，如果其自愿向机构提供个人数据，且该个人自愿提供个人数据的行为是合理的；

• 无效，如果机构——

  - 作为提供产品或服务的条件，要求个人同意收集个人数据而该等收集超出向该个人提供产品或服务的合理范围；或

  - 通过提供虚假或误导性信息，或采取欺骗性或误导性的行为，取得了或尝试取得上述同意。

5. 处理、使用和披露个人信息的合规要求有哪些？

（1）使用和披露个人数据的要求与上述问题4有关个人数据收集中的答复所陈述的一致。

（2）此外，持有个人数据的机构应遵守上文问题3中的义务，包括：

•尽合理努力保证收集的个人数据准确且完整，如果个人数据可能由该机构用于做出影响该个人的决定或由该机构向另一机构披露；

•为个人数据保护设置合理的安全措施安排，例如防止未经授权的访问、使用或披露；和

•一旦能够合理做出下列假设，就不再保留包含个人数据的文件，或消除个人数据可与特定个人相关联的方式——

  - 保留个人数据不再服务于收集个人数据的目的；及

  - 该等保留于法律或商业目的而言不再必要（未规定特定期间，而是基于合理性标准并考虑到个人数据收集的目的以及保留个人数据所必要的法律或商业目的进行衡量）。

（3）数据中介机构，即代表另一机构处理个人数据的机构，也必须遵守上述安全和消除义务。

6. 是否存在转移个人信息至其他法域的限制？

机构须遵守问题3答复中第（6）条的转移义务，不得将个人数据转移至新加坡境外的其他国家或地区，除非该机构已采取适当措施：

（1）保证其将遵守收集、使用和披露个人数据的义务（如上述问题4和5的答复所陈述的），同时转移的个人数据仍由该机构持有或受其控制；且

（2）确认且保证在新加坡境外的国家或地区的接收人受到法律上可执行的义务约束（如受到任何法律、合同或有约束力的公司规则的约束）按照至少与PDPA的规定相当的标准来保护个人数据。下列情形下，义务视为已履行——

• 转移数据的机构

  - 在向个人提供关于被转移的个人数据将受到与PDPA相当的标准保护的合理书面摘要后正式取得了该个人对转移行为的同意；和

  - 未作为向个人提供任何产品或服务的条件而要求个人同意转移（除非该转移对个人提供该产品或服务而言是合理必要的）；以及

  - 未通过提供关于转移的虚假或误导性的信息，或通过使用其他欺骗性或误导性的实践取得或尝试取得个人的同意；或

• 转移对于下述情形是必要的

  - 个人与转移机构之间的合同履行，或以个人与转移机构达成合同为目的，经个人请求履行任何行为；或

  - 签订或履行转移机构和第三方之间的合同，该合同是经个人请求签订的，或从理性人的角度，该合同系为了该个人的利益；或

  - 在规定的例外情形下使用或披露转移的个人数据而无须个人同意，如有紧急情况威胁到与个人数据相关的个人或任何其他个人的生命、健康或安全，并且机构已采取合理措施保证个人数据不会被接收方出于任何其他目的使用或披露。

7. 被收集个人信息的个人拥有哪些权利？他们可否撤销对第三方保留他们个人信息的同意？以及如果可以，如何撤销？

个人有权：

（1）根据问题3答复中第（7）点的访问义务，要求（例外情形除外，如提供行为会威胁其他个人的安全或对其他个人造成即时的伤害）机构，且经要求（对此可能会收取合理的费用）该机构有义务向个人提供以下信息——

• 该机构持有的或控制的有关该个人的个人数据；和

• 在个人请求日前一年内机构已经或者可能使用或披露个人数据的方式的信息。

（2）根据问题3答复中第（7）点的更正义务，要求持有或控制个人数据的机构更正该等个人数据的错误或遗漏，在此情形下，除非机构能够以合理理由确信该更正不应被做出，该机构必须（不收取任何费用）——

• 在可行范围内尽快更正个人数据；

• 将更正后的个人数据发送给在个人请求日前一年内该机构向其披露过个人数据的其他机构，除非其他机构出于任何法律或商业目的不需要更正后的个人数据；和

• 自收到请求后30日内，如果机构无法在该30日内更正的，书面通知个人机构能够更正个人数据的时间。

（3）撤销已做出的或视为已做出的对机构出于任何目的收集、使用或披露其个人数据行为的同意，可通过向机构做出合理的撤销通知方式撤销。该机构——

•必须自收到通知起

  - 通知个人撤销同意可能的后果；且

  - 不再（并促使其数据中介机构和代理不再）收集、使用或披露个人数据；

•尽管经个人请求并未被要求删除或销毁个人数据，但机构仍有义务不再保留或移除任何能将个人与个人数据在上述问题5中第（2）点陈述的情境下相联系的方式。以及

（4）对于个人因机构违反其关于收集、使用、披露、授权访问、更正和保管该个人的个人数据的义务而直接遭受的任何损失或损害而向法院提起民事诉讼程序的权利——

• 就救济而言，包括：

  - 通过禁令或权利公告的方式；

  - 以损害赔偿的形式；

  - 法院认为合适的其他救济；和/或

•如果PDPC对同一违反行为做出了决定，当针对该决定的申诉权被用尽后，该决定变成终局性的。

8. 雇员的个人信息保护是否有所不同？如有不同，有哪些不同？除了雇员的个人信息，是否有受特殊保护的其他类型的个人信息？

（1）受限于任何适用的法定义务，包括保密义务和劳动合同规定的义务：

• PDPA包含处理雇员个人数据的规定，包括在特定条件下限制同意义务的规定，比如允许机构未经同意在下述情况下收集、使用和/或披露雇员或潜在雇员的个人数据 ——

  - 该等收集、使用和/或披露为评估目的所必要，评估目的包括决定雇员在劳动关系存续期间晋升或留任的适当性、合格性和资格；或

  - 该等收集和后续的使用和/或披露对于管理或终止与雇员的劳动关系的目的而言是合理的，只要雇主将目的和业务联系信息提前通知雇员，且雇员能通过该业务联系信息联系到雇主机构中特定的能对于其提出的问题给予指导的人；及

• 就业法案还赋予每一位雇主义务 ——

  - 收集和保管关于其与每一位雇员和前任雇员劳动关系的完整且准确信息的记录，其中包含各类规定的详细说明，含特定个人信息（“雇员记录”）；

  - 在劳动关系存续期间和劳动关系终止后一年内（若适用）（“保留期间”）保留关于个人数据的该等雇员记录；和

  - 保证在该保留期间，视情况而定，雇员记录随时可供该雇员或前任雇员访问。

（2）除上述情形外，PDPA并未就个人数据的类型做出任何其他的区别，尽管在其指导意见和决定中，PDPC已经：

•承认特定类型的个人数据就其性质而言通常会更为敏感，如银行账户细节；并

•建议机构 ——

  -当采取安全措施安排以保护其持有或控制的个人数据时，在收集、使用和/或披露更为敏感的个人数据方面，刻以更高的保护标准且采取相关的预防措施；和

  - 如果个人数据的不准确性会对相关个人产生严重的后果，如未成年人，应采取额外的措施来核实个人数据的准确性。

9. 在您所在的法域，什么监管机构负责实施和执行个人信息保护法律？

PDPC是负责实施和执行PDPA的机构，出于该目的，PDPC可以委任下列人员：

（1）个人数据保护主任；和

（2）如PDPC认为必要，一定数量的个人数据保护副主任，个人数据保护的助理主任和检查员。

更多关于PDPC的信息，包括联系信息、执法行动等，可在其网站上找到，网址为

http：//www.pdpc.gov.sg。

10. 如果违反任何个人信息保护法律，是否有任何处罚、责任或救济？

违反PDPA关于个人数据保护规定可能会：

（1）招致PDPC的执法行动，该行动受限于申诉程序，其形式由PDPC自由裁量并确保符合PDPA，包括要求违规机构——

• 停止违反PDPA的个人数据收集、使用或披露；

• 销毁违反PDPA所收集的个人数据；

• 遵守PDPC就个人提出的正如上述问题7中第（1）点和第（2）点所讨论的要求访问或更改其个人数据的争议请求的调查结果：和/或，

• 支付金额不超过一百万新币的罚金。

（2）正如上述问题7中第（4）点所讨论的，由直接因违规而遭受损失或损害的个人对违规机构向法院提起民事诉讼；和/或

（3）在特定情形下，构成PDPA下的犯罪，例如当个人——

• 要求机构在没有个人授权的情况下访问或更改该个人的个人数据，该犯罪行为人将会被处以以下处罚——

  - 不超过5,000新币的罚金；和/或

  - 期限不超过12个月的监禁；或

• 处置、变造、篡改、隐匿或销毁包含个人数据或关于收集、使用或披露个人数据的信息的记录（或指导他人实施该等行为）该犯罪行为人将会被处以不超过以下金额的罚金——

  - 个人的情形下，5,000新币；或

  - 非个人的情形下，50,000新币。

11. 新加坡最近在数据隐私/数据保护方面是否有任何显著的发展？是否有您认为将来可能会影响数据隐私/数据保护的情况？例如，您所在的法域是否正在计划通过任何新的立法以保护个人信息？个人信息保护领域在您所在的法域预计会如何发展？

自本指南的最新更新以来：

（1）PDPC已经——

• 颁布了《关于NRIC和其他国家身份证号码的个人数据保护法的咨询指引》，其中明确规定了许可收集、使用、披露或保留由新加坡政府颁发给每个新加坡公民和居民以及其他NIN的唯一NRIC（即国家身份证注册卡）的一般禁令和适用标准。该咨询指南旨在减少对NRIC、护照号码和其他NIN的过度收集、使用或披露（请参见上述问题2的答复的第（2）点）；和

• 发布了某些其他指南（均可从https：//www.pdpc.gov.sg Legislation-and-Guidelines / Guidelines / Other Guides访问），例如：

  -《制定数据保护管理计划的指南》；

  -《NRIC和其他国民身份证号码的<个人数据保护法>咨询指引的技术指南》；

  -《管理数据泄露指南2.0》；

  -《积极执法指南》；

  -《资讯及通讯科技系统的贯彻数据保障设计指南》；和

  -《<个人数据保护法>下的问责制指南》；

（2）预计PDPC也将实施

• 强制性违规报告，其框架已经发布并就此进行了公众咨询；和

• 数据可移植性和数据创新条款，这些条款将赋予数据主体权利，要求机构在特定条件下并满足某些要求时，应要求将机构以数字形式存储的某些个人数据转移给另一机构。这些条款最近已进行了公众咨询，亟待发布；和

（3）PDPC于2019年1月发布了《人工智能监管框架范例》（“AI框架范例”），从而涉足了数据分析和人工智能领域。虽然AI框架范例不具有法律约束力，对个人数据也不严格相关，但这有助于我们深入了解PDPC关于AI应用程序收集、使用、披露或处理个人数据方面的预期和想法。

原文：JOYCE A. TAN & PARTNERS

中文：汇衡律师事务所