Das Persönliche Datenschutzgesetz von Singapur 2012 (PDPA): Ein umfassender Leitfaden

Das Singapurische Gesetz zum Schutz personenbezogener Daten 2012 (PDPA) ist ein umfassendes Gesetz, das die Erhebung, Nutzung und Offenlegung von personenbezogenen Daten in Singapur regelt. Es bietet einen Rahmen für Organisationen, um die personenbezogenen Daten ihrer Kunden und Mitarbeiter zu schützen, während es gleichzeitig Einzelpersonen das Recht gibt, ihre persönlichen Informationen zu kontrollieren. In diesem Artikel bieten wir einen umfassenden Überblick über das PDPA, einschließlich seiner Schlüsselbestimmungen, der Rechte und Pflichten von Organisationen sowie der Konsequenzen bei Nichtbeachtung.

Was versteht man im PDPA unter persönlichen Daten?

Der PDPA definiert persönliche Daten, oft als personenbezogene Daten (PII) bezeichnet, als alle Daten, die sich auf eine Person beziehen, die aus diesen Daten oder aus diesen Daten und anderen Informationen, auf die die Organisation Zugriff hat, ermittelt werden kann. Dies schließt unter anderem den Namen einer Person, die NRIC-Nummer, die Adresse, die Telefonnummer und die E-Mail-Adresse ein.

Der PDPA gilt für Organisationen, die im Rahmen ihrer Geschäftstätigkeit persönliche Daten erheben, nutzen oder weitergeben. Persönliche Daten beziehen sich auf jegliche Informationen, die zur Identifizierung einer Person verwendet werden können, einschließlich, aber nicht beschränkt auf, Namen, NRIC-Nummern, Adressen und Kontaktdaten.

Wie vergleicht sich der PDPA mit anderen Datenschutzgesetzen?

Der PDPA gilt allgemein als das bisher strikteste Datenschutzgesetz, da er Grenzen dafür festlegt, wann und wie persönliche Daten erhoben und verarbeitet werden dürfen. Außerdem enthält er Vorgaben zur Information der Datensubjekte über bestimmte Offenlegungen und das Recht, die Einwilligung zu widerrufen.

Im Vergleich zu anderen Datenschutzgesetzen, wie der Datenschutz-Grundverordnung (DSGVO) der EU, ist der PDPA spezifischer und detaillierter in seinen Anforderungen an den Datenschutz, was ihn effektiver für den Schutz von Benutzerdaten macht. Darüber hinaus legt der PDPA höhere Standards für den Datenschutz fest, was es schwieriger macht, Benutzerdaten ohne die richtige Zustimmung zu verarbeiten und verhindert, dass Unternehmen mehr Daten erheben, als notwendig sind. Um Datenschutzbestimmungen wie den PDPA zu erfüllen, müssen Organisationen sicherstellen, dass ihre Strategien zur Cybersicherheitsrisikomanagement entsprechend ausgerichtet sind.

Hauptsächliche Bestimmungen des PDPA

Der PDPA enthält mehrere wichtige Bestimmungen, an die sich Organisationen halten müssen, einschließlich:

1. Zustimmung

Organisationen müssen die Zustimmung des Einzelnen einholen, bevor sie dessen persönliche Daten sammeln, verwenden oder weitergeben dürfen. Diese Zustimmung muss freiwillig gegeben, spezifisch und informiert sein.

2. Zweckbegrenzung

Organisationen dürfen persönliche Daten nur für die Zwecke sammeln, verwenden und weitergeben, für die sie erhoben wurden, und für keine anderen Zwecke.

3. Datenqualität

Organisationen müssen angemessene Schritte unternehmen, um sicherzustellen, dass die von ihnen gesammelten persönlichen Daten korrekt, vollständig und aktuell sind.

4. Datenaufbewahrung

Organisationen müssen persönliche Daten, die nicht mehr für die Zwecke benötigt werden, für die sie erhoben wurden, zerstören oder anonymisieren.

5. Datensicherheit

Organisationen müssen angemessene Maßnahmen ergreifen, um persönliche Daten vor unberechtigtem Zugang, Sammlung, Gebrauch, Offenlegung, Kopieren, Modifizierung oder Entsorgung zu schützen.

Rechte und Pflichten der Organisationen im PDPA

Im Rahmen des PDPA haben Organisationen mehrere Verpflichtungen, einschließlich:

1. Informationspflicht

Organisationen müssen Einzelpersonen über ihre Richtlinien und Praktiken hinsichtlich der Sammlung, Nutzung und Weitergabe von persönlichen Daten informieren.

2. Schutzpflicht

Organisationen müssen angemessene Maßnahmen ergreifen, um persönliche Daten vor unberechtigtem Zugang, Sammlung, Gebrauch, Offenlegung, Kopieren, Modifizierung oder Entsorgung zu schützen.

3. Korrekturpflicht

Organisationen müssen angemessene Schritte unternehmen, um sicherzustellen, dass personenbezogene Daten korrekt, vollständig und aktuell sind.

4. Pflichten der Datenkontrolleure und Datenverarbeiter

Datenkontrolleure sind verantwortlich für die Sammlung und Nutzung von personenbezogenen Daten, und Datenverarbeiter sind verantwortlich für die Verarbeitung der personenbezogenen Daten im Auftrag des Datenkontrolleurs. Sowohl Datenkontrolleure als auch Datenverarbeiter müssen angemessene Maßnahmen zum Schutz der personenbezogenen Daten, die sie verarbeiten, implementieren.

Einhaltung der PDPA

Organisationen müssen die PDPA und ihre Vorschriften einhalten. Der Durchsetzungsprozess umfasst Untersuchungen und Durchsetzungsmaßnahmen, wie Warnungen, Anweisungen und finanzielle Strafen. Um die Compliance zu gewährleisten, sollten Organisationen Datenschutzrichtlinien und -verfahren einführen und einen Datenschutzbeauftragten (DPO) zur Überwachung der Compliance ernennen.

Folgen der Nichtbeachtung der PDPA

Organisationen, die gegen die PDPA verstoßen, können erhebliche Konsequenzen haben, einschließlich:

1. Finanzielle Strafen

Organisationen können mit Strafen von bis zu SGD 1 Million für schwerwiegende Verstöße gegen die PDPA belegt werden.

2. Reputationsverlust

Organisationen, die gegen die PDPA verstoßen, können erheblichen Reputationsverlust erleiden, der sich negativ auf ihre Geschäftsbetrieb auswirken kann.

3. Vertrauensverlust

Organisationen, die gegen die PDPA verstoßen, können das Vertrauen ihrer Kunden und Mitarbeiter verlieren, was schwer wiederzugewinnen sein kann.

Auswirkungen der PDPA auf Unternehmen in Singapur

Die PDPA hat erhebliche Auswirkungen auf Unternehmen in Singapur, da sie diese dazu verpflichtet, strenge Datenschutzmaßnahmen zu implementieren, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dazu gehören regelmäßige Schulungen für Mitarbeiter, die Entwicklung von Datenschutzrichtlinien und -verfahren und Investitionen in Technologie zur Datensicherung.

Zu den realen Szenarien, in denen die PDPA Anwendung findet, gehören Online-Zahlungstransaktionen, Kundenumfragen und Mitarbeiterdatensätze. Jüngste Durchsetzungsmaßnahmen betrafen Organisationen, die es versäumt hatten, angemessene Maßnahmen zum Schutz personenbezogener Daten zu ergreifen, was zu Geldstrafen und anderen Sanktionen führte.

Gilt die PDPA auch für personenbezogene Daten, die außerhalb von Singapur gesammelt, genutzt oder offen gelegt werden?

Ja, die PDPA gilt für personenbezogene Daten, die außerhalb von Singapur gesammelt, genutzt oder offengelegt werden, solange die Daten sich auf eine Person beziehen, die in Singapur ansässig ist. Das bedeutet, dass Unternehmen und Organisationen, die solche Daten verarbeiten, die Grundsätze des Schutzes und der Verantwortlichkeit einhalten müssen, wie sie von der PDPA vorgeschrieben sind. Die PDPA gilt auch für personenbezogene Daten, die in Singapur verarbeitet und dann in andere Länder oder Regionen übertragen werden.

Kiteworks Private Content Network und das PDPA

Unternehmen aus dem privaten Sektor müssen das PDPA einhalten, indem sie digitale Kommunikationen, die personenbezogene Daten von Personen in Singapur enthalten, verfolgen, kontrollieren und sichern. Traditionell haben Unternehmen viele verschiedene Werkzeuge zum sicheren Senden und Austauschen von Daten verwendet, wie beispielsweise E-Mails, Filesharing, Managed File Transfer, Web-Formulare und Anwendungsprogrammierschnittstellen (APIs). Dies stellt eine Herausforderung für Unternehmen dar, eine zentralisierte und automatisierte Governance von sensiblen Daten sowie einen integrierten Risikomanagementansatz aufrechtzuerhalten.

Kiteworks vereint alle verschiedenen Kommunikationskanäle für Inhalte auf einer Plattform. Administratoren können einheitliche Richtlinien auf der Ebene von einzelnen Benutzern und Datenklassifikationen anwenden und Tracking und Reporting nutzen, um die Einhaltung des PDPA sowie anderer Datenschutzvorschriften wie der Datenschutzgrundverordnung (DSGVO), des California Consumer Privacy Act (CCPA) und des Personal Information Protection and Electronic Documents Act (PIPEDA), unter anderem, nachzuweisen.

Das Kiteworks Private Content Network ist mit der gehärteten virtuellen Appliance von Kiteworks geschützt, die mit einer integrierten Netzwerk-Firewall und WAF, Null-Vertrauens-Zugriff mit geringsten Privilegien entwickelt wurde und die Angriffsfläche minimiert. Die gehärtete virtuelle Appliance von Kiteworks aktiviert auch interne Schutzschichten, einschließlich KI-gesteuerter Anomalie-Erkennung, fortgeschrittener Intrusion-Detection und -Warnungen sowie Blockierung von Zero-Day-Bedrohungen, um den Einfluss von Sicherheitslücken und Cyberangriffen zu reduzieren.

Weitere Informationen über die Fähigkeit des Kiteworks Private Content Network, Unternehmen dabei zu unterstützen, die Einhaltung des PDPA und anderer Datenschutzvorschriften nachzuweisen, erhalten Sie in einer individuell zugeschnittenen Demo noch heute.

 

Zurück zum Risiko- & Compliance-Glossar