该事务所的服务理念旨在为客户厘清情况，并在可能出现的各种需求之间为客户提供流畅无忧的服务体验。为践行这一理念，该事务所在其工作和策略上采取主动、密切协调且商业实际可行的工作方式，并确保与客户保持一致。该事务所执业的主要领域包括：
公司与商业交易
私募股权和投资
商业融资
公司合规
雇佣与移民
知识产权
信息技术
电信与广播
媒体与出版
娱乐
争议管理与诉讼
仲裁、调解与其他替代性争议解决方式
家事和个人法律
该事务所常规性地在跨境环境中提供法律服务，凭借其高度而敏锐的多辖区意识和事务处理方式，可以自如地处理本国和外国相关法律事务。
联系人：
JOYCE A.TAN
joyce@joylaw.com
DANIEL LIM
daniel@joylaw.com
+65 6333 6383
www.joylaw.com
导言
在新加坡，具体在立法中关于“个人数据”（如所用术语，而不是“个人信息”）的强制性保护仅随《2012年个人数据保护法案》（“PDPA”）的颁布自2014年始生效。该保护机制旨在解决人们日益关切的如何使用个人数据、维持人们对管理数据机构的信任以及增强新加坡作为值得信赖的商业枢纽地位。
1. 您所在的法域中主要的个人信息保护法律或法规有哪些？
除普通法上的救济（如违反保密义务等）、特定领域立法（如《官方机密法案》、《银行法案》等）和特定行业自律准则（如《新加坡广告行业准则》）外，个人数据主要是由PDPA予以保护。PDPA：
(1) 管理由“机构”（包括任何个人或法律实体）以同时认可下述内容的方式收集、使用、披露和保管个人数据 ——
机构出于合法和合理的目的收集、使用或披露个人数据的需求；和
个人保护其个人数据的权利；
(2) 包括全国谢绝来电登记，这使得个人可以选择不接收来自机构的营销来电、手机短信和传真；及
(3) 由各类规定予以补充 ——
附属法例，包括
- 2013年个人数据保护（谢绝来电登记）条例；
- 2013年个人数据保护（犯罪构成）规定；
- 2014年个人数据保护条例；
- 2014年个人数据保护（执行）条例；
- 2015年个人数据保护（申诉）规定；
由个人数据保护委员会（“PDPC”）发布的实用工具，包括
- PDPC对PDPA规定的解释和对一般性问题及特定领域问题处理的指导意见；及
- 协助组织遵守PDPA的通用指南。
2. 个人信息是如何定义的？
根据PDPA，“个人数据”：
(1) 被定义为“无论真实与否，与可以通过该数据或通过该数据和机构已经或可能获取的其他信息识别其身份的个人有关的数据”；
(2) 可能包含有关个人的且能识别其身份的不同类型的数据，如个人的护照号码、面部图像、声音、指纹或DNA图谱，无论该等数据的真伪，也无论该等数据以电子或其他形式存在；及
(3) 不包括 ——
业务联系信息，如职位名称或头衔、业务电话号码、地址、邮件和其他类似的非由个人仅出于私人目的提供的信息；和
已存续至少100年的记录中包含的个人数据，或与已去世10年以上的个人有关的个人数据。
3. 有关个人信息保护的关键原则有哪些？
PDPA以下列原则为基础：
(1) 问责制：机构对其持有或控制的个人数据负责。若个人数据受机构控制，该机构应指定一人或多人负责PDPA项下的合规事宜。
(2) 特定目的：机构收集个人数据的目的应由机构详细说明。
(3) 同意：收集、使用或披露其个人数据须取得个人的同意，除非在例外情形下视为个人同意或不需要个人同意。
(4) 合理收集：收集个人数据限于一个理性人在该情形下会认为合适的特定目的所必要的限度内。
(5) 授权使用、披露和保留：
不得出于收集该数据的特定目的之外的目的使用或向第三方披露个人数据，除非个人同意该等使用或披露，或在例外情形下允许未经同意的使用或披露。个人数据应仅限于实现特定目的所必要的时间内保留。
(6) 准确：如果个人数据可能用于做出影响与该数据相关个人的决定或可能由该机构向另一机构披露的，机构应尽合理努力保证收集的个人数据准确且完整。
(7) 保障措施：机构应采取合理的安全措施安排保护其持有或控制的个人数据，防范未经授权的访问、收集、使用、披露、复制、更改、处理或类似风险。
(8) 公开：机构应公开(a)与机构履行其在PDPA项下的义务所必要的政策和实践相关的信息；和(b)与投诉程序相关的信息，用以接收和回应可能产生的投诉。
(9) 个人访问和更正：经个人请求，机构应向该个人提供机构持有的或控制的有关该个人的个人数据和在请求日前一年内该个人数据可能被使用或被披露的方式。存在机构无须、或不应向个人提供经请求的个人数据的例外。个人可以请求机构更正该机构所持有或受其控制的有关其个人数据中的错误或遗漏。
(10) 可控的合规本：PDPA旨在将合规成本保持在企业可控的范围内，特别是对于小型和中型企业（SME）而言。根据该原则，应采用以投诉为基础的模式，而不是更严格的以审计为基础的模式。法律对违约通知并没有强制性要求，但如下所述，推荐采用通知方式。
(11) 与国际标准一致：数据保护机制的制定与数据保护的国际标准相一致，如OECD指南以及关键法域的数据保护体系，包括加拿大、新西兰、香港和欧盟。
(12) 促进跨领域的数据流动：PDPA旨在成为适用于各领域的一般性基准法律。PDPA与特定领域的法规共存，特定领域的法规可能施加更严格的数据保护要求。基准法律在私人领域赢得消费者更大的信任，同时促进数据流动以取得积极的经济成果。
4. 收集个人信息的合规要求有哪些？
除法律要求或授权的收集或规定的特定例外情形，如有紧急情况威胁到与个人数据相关的个人或其他任何个人的生命、健康或安全外，机构收集有关个人的个人数据应当保证：
(1) 机构应当已告知个人收集其个人数据的目的——该等通知的形式和方式由该机构决定，作为通知的最佳方式（通常视为是书面形式）无论是电子或其他文件形式，以便个人对目的清楚明白且在任何争议发生时双方对该等事宜有明确的文件以参考。
(2) 个人针对此目的的收集行为已经做出同意，该同意会 ——
被视为已做出，如果其自愿向机构提供个人数据，且该个人自愿提供个人数据的行为是合理的；
无效，如果机构 ——
- 作为提供产品或服务的条件，要求个人同意收集个人数据而该等收集超出向该个人提供产品或服务的合理范围；或
- 通过提供虚假或误导性信息，或采取欺骗性的或误导性的行为，取得了或尝试取得上述同意。
5. 处理、使用和披露个人信息的合规要求有哪些？
(1) 使用和披露个人数据的要求与上述问题4有关个人数据收集中的答复所陈述的一致。
(2) 此外，持有个人数据的机构有义务：
尽合理努力保证收集的个人数据准确且完整，如果个人数据可能由该机构用于作出影响该个人的决定或由该机构向另一机构披露；
为个人数据保护设置合理的安全措施安排，例如防止未经授权的访问、使用或披露；和
一旦能够合理作出下列假设，就不再保留包含个人数据的文件，或消除个人数据可与特定个人相关联的方式 ——
- 保留个人数据不再服务于收集个人数据的目的；及
- 该等保留于法律或商业目的而言不再必要（未规定特定期间，而是基于合理性标准并考虑到个人数据收集的目的以及保留个人数据所必要的法律或商业目的进行衡量）。
(3) 数据中介机构，即代表另一机构处理个人数据的机构，也必须遵守上述安全和消除义务。
6. 是否存在转移个人信息至其他法域的限制？
不允许机构将个人的个人数据转移至新加坡境外的其他国家或地区，除非该机构已采取适当措施：
(1) 保证其将遵守收集、使用和披露个人数据的义务（如上述问题4和5的答复所陈述的），同时转移的个人数据仍由该机构持有或受其控制；且
(2) 确认且保证在新加坡境外的国家或地区的接收人受到法律上可执行的义务约束（如受到任何法律、合同或有约束力的公司规则的约束）按照至少与PDPA的规定相当的标准来保护个人数据。下列情形下，义务视为已履行 ——
转移数据的机构
- 在向个人提供关于被转移的个人数据将按照与PDPA项下标准相当的标准受到保护的合理书面摘要后正式取得了该个人对转移行为的同意；和
- 未作为向个人提供任何产品或服务的条件而要求个人同意转移（除非该转移对个人提供该产品或服务而言是合理必要的）；以及
- 未通过提供关于转移的虚假的或误导性的信息，或通过使用其他欺骗性的或误导性的实践取得或尝试取得个人的同意；或
转移对于下述情形是必要的
- 个人与转移机构之间的合同履行，或以个人与转移机构达成合同为目的，经个人请求履行任何行为；或
- 签订或履行转移机构和第三方之间的合同，该合同是经个人请求签订的，或从理性人的角度，该合同系为了该个人的利益；或
- 在规定的例外情形下使用或披露转移的个人数据而无须个人同意，如有紧急情况威胁到与个人数据相关的个人或任何其他个人的生命、健康或安全，并且机构已采取合理措施保证个人数据不会被接收方出于任何其他目的使用或披露。
7. 被收集个人信息的个人拥有哪些权利？他们可否撤销对第三方保留他们个人信息的同意？以及如果可以，如何撤销？
个人有权：
(1) 要求（例外情形除外，如提供行为会威胁其他个人的安全或对其他个人造成即时的伤害）机构，且经要求（对此可能会收取合理的费用）该机构有义务向个人提供以下信息 ——
该机构持有的或控制的有关该个人的个人数据；和
在个人请求日前一年内机构可能使用或披露个人数据的方式的信息。
(2) 要求持有或控制个人数据的机构更正该等个人数据的错误或遗漏，在此情形下，除非机构能够以合理理由确信该更正不应被做出，该机构必须（不收取任何费用） ——
在可行范围内尽快更正个人数据；
将更正后的个人数据发送给在个人请求日前一年内该机构向其披露过个人数据的每一其他机构，除非其他机构出于任何法律或商业目的不需要更正后的个人数据；和
自收到请求后30日内，如果机构无法在该30日内更正的，书面通知个人机构能够更正个人数据的时间。
(3) 撤销已作出的或视为已作出的对机构出于任何目的收集、使用或披露其个人数据行为的同意，可通过向机构作出合理的撤销通知方式撤销。该机构 ——
必须自收到通知起
- 通知个人撤销同意可能的后果；且
- 不再（并促使其数据中介机构和代理不再）收集、使用或披露个人数据；
但是，经个人请求并非必须删除或销毁个人数据，尽管如此，机构仍有义务不再保留或移除任何能将个人与个人数据在上述问题5中第(2)点陈述的情境下相联系的方式。以及
(4) 对于个人因机构违反其关于收集、使用、披露、授权访问、更正和保管该个人的个人数据的义务而直接遭受的任何损失或损害而向法院提起民事诉讼程序的权利 ——
就救济而言，包括
- 通过禁令或权利公告；
- 以损害赔偿的形式；
- 法院认为合适的其他救济；和/或
如果PDPC对同一违反行为作出了决定，当针对该决定的申诉权被用尽后，该决定变成终局性的。
8. 雇员的个人信息保护是否有所不同？如有不同，有哪些不同？除了雇员的个人信息，是否有受特殊保护的其他类型的个人信息？
(1) 受限于任何适用的法定义务，包括保密义务和劳动合同规定的义务：
视情况而定，PDPA允许机构未经同意在下述情况下收集、使用和/或披露雇员或潜在雇员的个人数据 ——
- 该等收集、使用和/或披露为评估目的所必要，评估目的包括决定雇员在劳动关系存续期间晋升或留任的适当性、合格性和资格；或
- 该等收集和后续的使用和/或披露对于管理或终止与雇员的劳动关系的目的而言是合理的；及
就业法案赋予每一位雇主义务 ——
- 保管关于其与每一位雇员和前任雇员劳动关系的完整且准确信息的记录，其中包含各类规定的详细说明，含特定个人信息（“雇员记录”）；
- 在劳动关系存续期间和劳动关系终止后一年内（若适用）（“保留期间”）保留关于个人数据的该等雇员记录；和
- 保证在该保留期间，视情况而定，雇员记录随时可供该雇员或前任雇员访问。
(2) 除上述情形外，PDPA并未就个人数据的类型作出任何其他的区别，尽管在其指导意见和决定中，PDPC已经：
承认特定类型的个人数据就其性质而言通常会更为敏感，如银行账户细节；并
建议机构 ——
- 当采取安全措施安排保护其持有或控制的个人数据时，在收集、使用和/或披露更为敏感的个人数据方面，刻以更高的保护标准且采取相关的预防措施；和
- 如果个人数据的不准确会对相关个人产生严重的后果，如未成年人，采取额外的措施来核实个人数据的准确性。
9. 在您所在的法域，什么监管机构负责实施和执行个人信息保护法律？
PDPC是负责施行和执行PDPA的机构，出于该目的，PDPC可以委任下列人员：
(1) 个人数据保护主任；和
(2) 如PDPC认为必要，一定数量的个人数据保护副主任，个人数据保护的助理主任和检查员。
更多关于PDPC的信息，包括联系信息、执法行动等，可在其网站上找到，网址为http://www.pdpc.gov.sg。
10. 如果违反任何个人信息保护法律，是否有任何处罚、责任或救济？
违反PDPA关于个人数据保护规定可能会：
(1) 招致PDPC的执法行动，该行动受限于申诉程序，其形式由PDPC自由裁量并确保符合PDPA，包括要求违规机构 ——
停止违反PDPA的个人数据收集、使用或披露；
销毁违反PDPA所收集的个人数据；
遵守PDPC就个人提出的正如上述问题7中第(1)点和第(2)点所讨论的要求访问或更改其个人数据的争议请求的调查结果：和/或，
支付金额不超过一百万新币的罚金。
(2) 正如上述问题7中第(4)点所讨论的，由直接因违规而遭受损失或损害的个人对违规机构向法院提起民事诉讼；和/或
(3) 在特定情形下，构成PDPA下的犯罪，例如当个人 ——
要求机构在没有个人授权的情况下访问或更改该个人的个人数据，该犯罪行为人将会被处以以下处罚 ——
- 不超过5,000新币的罚金；和/或
- 期限不超过12个月的监禁；或
处置、变造、篡改、隐匿或销毁包含个人数据或关于收集、使用或披露个人数据的信息的记录（或指导他人实施该等行为）该犯罪行为人将会被处以不超过以下金额的罚金 ——
- 个人的情形下，5,000新币；或
- 非个人的情形下，50,000新币。
11. 您所在的法域是否正在计划通过任何新的立法以保护个人信息？个人信息保护领域在您所在的法域预计会如何发展？
(1) PDPC近期在2018年6月完成了关于下列方面的公共咨询活动：
PDPA中谢绝来电规定的审查，以保证这些规定在如今数字营销工具运用日渐增多（例如社会媒体和即时通信平台）的情形下仍然发挥作用；和
引入强化版实用指南框架 ——
- 在现行指南未明确规定的方面为PDPC提供具有监管确定性的指导意见；和
- 因新加坡正逐渐向数字经济发展，该框架旨在便利全新的创新数据服务发展，认可使用数据相关的创新机会。
(2) 基于公众对上述议题的反馈，PDPC可能会提出对PDPA的修正案，和/或引入新法规落实强化版实用指南框架。
点击下方“阅读原文”下载《个人信息保护全球指南——新加坡》