Loi de 2012 sur la protection des données personnelles à Singapour (PDPA) : Guide complet

La loi singapourienne sur la protection des données personnelles de 2012 (PDPA) est une loi exhaustive qui régit la collecte, l’utilisation et la divulgation des données personnelles à Singapour. Elle fournit un cadre pour les organisations afin de protéger les données personnelles de leurs clients et employés, tout en donnant aux individus le droit de contrôler leurs informations personnelles. Dans cet article, nous fournirons un aperçu complet de la PDPA, y compris ses dispositions clés, les droits et obligations des organisations, et les conséquences du non-respect.

Qu’est-ce que les données personnelles selon la définition de la PDPA ?

La PDPA définit les données personnelles, souvent désignées informations personnelles identifiables (PII), comme toute donnée se rapportant à une personne qui peut être identifiée à partir de cette donnée, ou à partir de cette donnée et d’autres informations auxquelles l’organisation a accès. Cela inclut, mais n’est pas limité à, le nom d’une personne, le numéro NRIC, l’adresse, le numéro de téléphone et l’adresse électronique.

La PDPA s’applique aux organisations qui collectent, utilisent ou divulguent des données personnelles dans le cadre de leurs activités commerciales. Les données personnelles font référence à toute information qui peut être utilisée pour identifier une personne, y compris mais sans s’y limiter, les noms, les numéros NRIC, les adresses et les coordonnées.

Comment la PDPA se compare-t-elle à d’autres lois sur la protection des données ?

La PDPA est généralement considérée comme la loi de protection des données la plus stricte actuellement en vigueur, car elle impose des limites sur quand et comment les données personnelles peuvent être collectées et traitées. Elle inclut également des exigences pour informer les sujets des données de certaines divulgations et du droit de retirer leur consentement.

Comparée à d’autres lois sur la protection des données, comme le Règlement général sur la protection des données (RGPD) de l’UE, la PDPA est plus spécifique et détaillée dans ses exigences de protection des données, ce qui la rend plus efficace pour protéger les données des utilisateurs. De plus, la PDPA établit des normes plus élevées pour la protection des données, rendant plus difficile le traitement des données des utilisateurs sans le consentement approprié, et empêchant les entreprises de collecter plus de données que nécessaire. Pour répondre aux réglementations sur la confidentialité des données comme la PDPA, les organisations doivent s’assurer que leurs stratégies de gestion des risques de cybersécurité sont alignées.

Principales dispositions de la PDPA

La PDPA comporte plusieurs dispositions clés auxquelles les organisations doivent se conformer, notamment :

1. Consentement

Les organisations doivent obtenir le consentement de l’individu avant de collecter, d’utiliser ou de divulguer ses données personnelles. Ce consentement doit être donné volontairement, être spécifique et éclairé.

2. Limitation de l’objectif

Les organisations ne doivent collecter, utiliser et divulguer des données personnelles que pour les fins pour lesquelles elles ont été collectées, et pour aucune autre fin.

3. Qualité des données

Les organisations doivent prendre des mesures raisonnables pour s’assurer que les données personnelles qu’elles collectent sont exactes, complètes et à jour.

4. Conservation des données

Les organisations doivent détruire ou anonymiser les données personnelles qui ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées.

5. Sécurité des données

Les organisations doivent prendre des mesures raisonnables pour protéger les données personnelles contre l’accès, la collecte, l’utilisation, la divulgation, la copie, la modification ou l’élimination non autorisés.

Droits et obligations des organisations en vertu de la PDPA

En vertu de la PDPA, les organisations ont plusieurs obligations, notamment :

1. Obligation d’informer

Les organisations doivent informer les individus de leurs politiques et pratiques concernant la collecte, l’utilisation et la divulgation des données personnelles.

2. Obligation de protéger

Les organisations doivent prendre des mesures raisonnables pour protéger les données personnelles contre l’accès non autorisé, la collecte, l’utilisation, la divulgation, la copie, la modification ou l’élimination.

3. Obligation de corriger

Les organisations doivent prendre des mesures raisonnables pour garantir que les données personnelles sont exactes, complètes et à jour.

4. Devoirs des contrôleurs de données et des processeurs de données

Les contrôleurs de données sont responsables de la collecte et de l’utilisation des données personnelles, et les processeurs de données sont responsables du traitement des données personnelles au nom du contrôleur de données. Les contrôleurs de données et les processeurs de données doivent mettre en œuvre des mesures appropriées pour protéger les données personnelles qu’ils gèrent.

Conformité avec la PDPA

Les organisations doivent se conformer à la PDPA et à ses réglementations. Le processus d’application comprend des enquêtes et des actions d’application, telles que des avertissements, des directives et des sanctions financières. Pour garantir la conformité, les organisations devraient établir des politiques et des procédures de protection des données et nommer un Responsable de la Protection des Données (DPO) pour superviser la conformité.

Conséquences du non-respect de la PDPA

Les organisations qui violent la PDPA peuvent faire face à des conséquences significatives, y compris:

1. Sanctions financières

Les organisations peuvent être condamnées à une amende allant jusqu’à SGD 1 million pour des violations graves de la PDPA.

2. Dommages à la réputation

Les organisations qui violent la PDPA peuvent subir des dommages significatifs à leur réputation, ce qui peut avoir un impact négatif sur leurs opérations commerciales.

3. Perte de confiance

Les organisations qui violent la PDPA peuvent perdre la confiance de leurs clients et de leurs employés, ce qui peut être difficile à regagner.

Impact de la PDPA sur les entreprises à Singapour

La PDPA a un impact significatif sur les entreprises à Singapour, car elle les oblige à mettre en œuvre des mesures strictes de protection des données pour garantir la sécurité des données personnelles. Cela comprend une formation régulière pour les employés, l’élaboration de politiques et de procédures de protection des données et l’investissement dans la technologie pour sécuriser les données.

Les scénarios réels où la PDPA s’applique comprennent les transactions de paiement en ligne, les enquêtes auprès des clients et les dossiers des employés. Les actions d’application récentes ont impliqué des organisations qui n’ont pas pris de mesures adéquates pour protéger les données personnelles, entraînant des amendes et d’autres sanctions.

La PDPA s’applique-t-elle aux informations personnelles identifiables collectées, utilisées ou divulguées en dehors de Singapour?

Oui, la PDPA s’applique aux données personnelles qui sont collectées, utilisées ou divulguées en dehors de Singapour, tant que les données concernent une personne qui est résidente de Singapour. Cela signifie que les entreprises et les organisations qui traitent ces données doivent adhérer aux principes de protection et de responsabilité établis par la PDPA. La PDPA s’applique également aux données personnelles qui sont traitées à Singapour puis transférées vers d’autres pays ou régions.

Le réseau de contenu privé Kiteworks et la PDPA

Les entreprises du secteur privé doivent se conformer à la PDPA en suivant, contrôlant et sécurisant les communications numériques impliquant des informations personnelles identifiables appartenant à des individus à Singapour. Traditionnellement, les entreprises ont utilisé de nombreux outils différents pour envoyer et partager des données en toute sécurité, tels que l’e-mail, le partage sécurisé de fichiers, le transfert sécurisé de fichiers, les formulaires web sécurisés, et les interfaces de programmation d’applications (APIs). Cela rend difficile pour les entreprises de maintenir une gouvernance centralisée et automatisée des données sensibles, ainsi qu’une approche intégrée de gestion des risques.

Kiteworks unifie tous les différents canaux de communication de contenu en une seule plateforme. Les administrateurs peuvent appliquer des politiques cohérentes au niveau des utilisateurs individuels et des classifications de données et utiliser le suivi et les rapports pour démontrer la conformité avec la PDPA, ainsi qu’avec d’autres réglementations sur la protection des données comme le Règlement général sur la protection des données (RGPD), la California Consumer Privacy Act (CCPA), et la Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA), entre autres.

Le réseau de contenu privé Kiteworks est protégé par l’appliance virtuelle durcie Kiteworks, qui est architecturée avec un pare-feu réseau intégré et un WAF, un accès à privilèges minimaux de confiance zéro, et minimise la surface d’attaque. L’appliance virtuelle durcie Kiteworks invoque également des couches internes de protection, y compris la détection d’anomalies basée sur l’intelligence artificielle (IA), la détection avancée d’intrusions et les alertes, et le blocage des menaces de jour zéro, qui réduisent l’impact des vulnérabilités et des cyberattaques.

Pour plus d’informations sur la manière dont le réseau de contenu privé Kiteworks permet aux organisations de démontrer leur conformité avec la PDPA et d’autres réglementations sur la confidentialité, planifiez une démonstration sur mesure dès aujourd’hui.

 

Retour au glossaire Risque & Conformité