اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) وقانون Personal Data Protection Act 2012 في سنغافورة (PDPA) إطاران شاملان للخصوصية ينظّمان طريقة جمع المؤسسات للبيانات الشخصية واستخدامها والإفصاح عنها وحمايتها والاحتفاظ بها. ومع أن النظامين يشتركان في مبادئ مثل المساءلة وتقييد الغرض والأمن والشفافية وحقوق الأفراد، فإن بنية الامتثال فيهما مختلفة. تعتمد GDPR إطارًا مفصلًا قائمًا على الأساس القانوني والحقوق، بينما يجمع PDPA سنغافورة بين الموافقة والموافقة المفترضة والاستثناءات القانونية والتزامات المساءلة على مستوى المؤسسة. للمؤسسات العاملة في أوروبا وسنغافورة، يمكن أن يشكّل الامتثال لـ GDPR أساسًا متينًا، لكن لا ينبغي عدّه امتثالًا تلقائيًا لـ PDPA.
جنبًا إلى جنب: GDPR مقابل PDPA
| البُعد | 🇪🇺 GDPR | 🇸🇬 PDPA |
|---|---|---|
| التشريع الأساسي | Regulation (EU) 2016/679 | Personal Data Protection Act 2012 |
| الجهة التنظيمية الرئيسية | السلطات الإشرافية في الدول الأعضاء في الاتحاد الأوروبي + EDPB | Personal Data Protection Commission (PDPC) |
| النموذج التنظيمي | قائم على الحقوق والأساس القانوني | قائم على المساءلة والالتزامات |
| المعالجة المشروعة | ستة أسس قانونية بموجب المادة 6 | الموافقة والموافقة المفترضة واستثناءات محددة |
| DPO | إلزامي في حالات محددة | على كل مؤسسة تعيين DPO واحد على الأقل |
| حق الوصول | نعم | نعم |
| التصحيح | نعم | نعم |
| الحذف | حق مستقل واسع بموجب المادة 17، مع استثناءات | لا يوجد حق محو مستقل يقابل مباشرةً ما في GDPR |
| نقل البيانات (قابلية النقل) | حق بموجب المادة 20 | التزام منصوص عليه في التشريع لكنه لم يدخل حيز النفاذ بعد |
| الإخطار بخرق البيانات | 72 ساعة متى كان الإخطار مطلوبًا | يجب تقييم الخروقات الواجب الإخطار بها والإخطار بها وفق المطلوب |
| النقل الدولي للبيانات | قرارات الكفاية وSCCs وBCRs وغيرها من آليات الفصل الخامس | اشتراط حماية مماثلة مع ضمانات مقررة |
| التسويق المباشر | GDPR + قواعد ePrivacy المنطبقة | PDPA + سجل Do Not Call |
| بيانات الاتصال العامة بـ DPO | مطلوبة متى انطبق متطلب DPO | يُشترط إتاحة بيانات الاتصال المهنية للعموم |
| البيانات الحساسة | الفئات الخاصة بموجب المادة 9 | لا توجد فئة شاملة مستقلة للبيانات الحساسة |
| بيانات الأطفال | قواعد خاصة، منها المادة 8 | إرشادات خاصة من PDPC بشأن البيانات الشخصية للأطفال |
| الحد الأقصى للغرامة الإدارية | 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية | حتى مليون دولار سنغافوري أو 10% من الإيرادات السنوية في سنغافورة للمؤسسات الكبرى المستوفية للشروط، أيهما أعلى |
| الشهادات | لا توجد شهادة إلزامية مماثلة على مستوى GDPR | علامة Data Protection Trustmark الاختيارية متاحة |
ما هي GDPR؟
اللائحة العامة لحماية البيانات (GDPR) هي الإطار الرئيسي لحماية البيانات الشخصية في الاتحاد الأوروبي.
تسري منذ 25 مايو 2018 وتضع متطلبات على المؤسسات التي تعالج بيانات شخصية ضمن نطاقها.
تشمل GDPR:
- المعالجة المشروعة
- الشفافية وإشعارات الخصوصية
- حقوق أصحاب البيانات
- حماية البيانات بالتصميم وبشكل افتراضي
- سجلات أنشطة المعالجة
- تقييمات أثر حماية البيانات
- مسؤوليات المتحكم في البيانات ومعالجها
- الإخطار بخرق البيانات
- مسؤولي حماية البيانات
- النقل الدولي للبيانات
- التعاون مع السلطات الإشرافية
قد تنطبق GDPR كذلك على مؤسسات خارج الاتحاد الأوروبي متى استوفيت شروط نطاقها الإقليمي.
ما هو PDPA سنغافورة؟
يضع قانون Personal Data Protection Act 2012 في سنغافورة إطارًا يحكم جمع المؤسسات للبيانات الشخصية واستخدامها والإفصاح عنها وحمايتها.
تتولى Personal Data Protection Commission (PDPC) تطبيق PDPA وإنفاذه.
يتضمن إطار PDPA التزامات تشمل:
- المساءلة
- الإشعار
- الموافقة
- تقييد الغرض
- الدقة
- الحماية
- تقييد مدة الاحتفاظ
- تقييد النقل
- الوصول والتصحيح
- الإخطار بخرق البيانات
- نقل البيانات عند دخول الأحكام ذات الصلة حيز النفاذ
يعمل PDPA كذلك إلى جانب نظام سجل Do Not Call في سنغافورة بشأن بعض الرسائل التسويقية.
GDPR مقابل PDPA: فلسفتان مختلفتان للامتثال
من أكبر الفروق طريقة كل من القانونين في هيكلة الامتثال.
GDPR
تُلزم GDPR المؤسسات بتحديد أساس قانوني منطبق للمعالجة بموجب المادة 6.
وتشمل:
- الموافقة
- العقد
- الالتزام القانوني
- المصالح الحيوية
- المهمة العامة
- المصالح المشروعة
تنطبق متطلبات إضافية عند معالجة الفئات الخاصة من البيانات الشخصية.
PDPA سنغافورة
يركّز PDPA تركيزًا كبيرًا على مساءلة المؤسسة وعلى ملاءمة أغراض جمع البيانات الشخصية واستخدامها والإفصاح عنها.
تبقى الموافقة آلية مهمة، لكن إطار سنغافورة ينص كذلك على:
- الموافقة المفترضة
- الموافقة المفترضة للضرورة التعاقدية
- الموافقة المفترضة بالإشعار
- المصالح المشروعة
- تحسين الأعمال وغيره من الاستثناءات القانونية
- استثناءات مقررة أخرى
لذا لا ينبغي للمؤسسات أن تحاول إقامة تطابق حرفي بين المادة 6 من GDPR وPDPA سنغافورة.
GDPR مقابل PDPA: المساءلة والحوكمة
يتوقع الإطاران من المؤسسات أن تدمج حوكمة الخصوصية في عملياتها.
GDPR
بحسب المؤسسة وأنشطة المعالجة، قد تتطلب GDPR:
- مسؤول حماية البيانات
- سجلات أنشطة المعالجة
- تقييمات DPIA
- الخصوصية بالتصميم
- اتفاقيات معالجي البيانات
- إجراءات خرق البيانات
- إجراءات طلبات أصحاب البيانات
- تقييمات أثر النقل والضمانات
PDPA سنغافورة
تُلزم سنغافورة المؤسسات بإثبات المساءلة عبر سياسات وممارسات وحوكمة مناسبة.
على المؤسسات تعيين مسؤول حماية بيانات (DPO) واحد على الأقل وإتاحة بيانات الاتصال المهنية به للعموم. ويمكن أن تكون وظيفة DPO دورًا متفرغًا أو أن تُدمج في دور قائم.
هذا فرق مهم عن GDPR، حيث لا يكون DPO إلزاميًا إلا في حالات محددة.
حقوق الأفراد: GDPR مقابل PDPA
يمنح الإطاران الأفراد حقوقًا على بياناتهم الشخصية، لكن GDPR توفر إطار حقوق أوسع وأكثر تفصيلًا.
الحقوق بموجب GDPR
تشمل الحقوق بموجب GDPR:
- الحق في الوصول
- الحق في التصحيح
- الحق في المحو
- الحق في تقييد المعالجة
- الحق في نقل البيانات
- الحق في الاعتراض
- الحقوق المتعلقة باتخاذ القرار الآلي والتنميط
PDPA سنغافورة
يكفل PDPA سنغافورة:
- حقوق الوصول
- حقوق التصحيح
- الحق في الحصول على معلومات عن استخدام البيانات الشخصية والإفصاح عنها في الحالات المنطبقة
يتضمن PDPA كذلك التزامًا بنقل البيانات (Data Portability Obligation)، لكن PDPC تفيد بأن هذا الالتزام سيدخل حيز النفاذ عند صدور اللوائح ذات الصلة. لذا لا ينبغي عرضه حاليًا بوصفه مقابلًا عمليًا للمادة 20 من GDPR.
GDPR مقابل PDPA: الإخطار بخرق البيانات
يُلزم النظامان المؤسسات بوضع إجراءات مناسبة للاستجابة لخرق البيانات.
GDPR
متى كان خرق البيانات الشخصية واجب الإخطار، فعلى المتحكم في البيانات عمومًا إخطار السلطة الإشرافية المعنية دون تأخير غير مبرر، وخلال 72 ساعة من علمه بالخرق متى أمكن ذلك.
ويجب كذلك إبلاغ الأفراد إذا كان من المرجح أن ينطوي الخرق على مخاطر عالية على حقوقهم وحرياتهم، مع مراعاة الاستثناءات الواردة في GDPR.
PDPA سنغافورة
على المؤسسات تقييم ما إذا كان خرق البيانات واجب الإخطار.
إذا استوفى الخرق متطلبات الإخطار المنطبقة، وجب على المؤسسة إخطار PDPC والأفراد المتضررين وفق المطلوب وفي أقرب وقت ممكن عمليًا. وتعدّ PDPC الضرر الجسيم واتساع النطاق اعتبارين رئيسيين في تحديد التزامات الإخطار.
الخلاصة الرئيسية: الأثر العملي: يمكن اعتماد إجراء عالمي مشترك للاستجابة للحوادث، لكن ينبغي أن تبقى شجرة قرار الإخطار خاصة بكل ولاية قضائية.
النقل الدولي للبيانات
يختلف تنظيم النقل الدولي بين GDPR وPDPA سنغافورة.
GDPR
يتيح الفصل الخامس من GDPR آليات منها:
- قرارات الكفاية
- البنود التعاقدية النموذجية
- القواعد المؤسسية الملزمة
- مدونات السلوك المعتمدة أو آليات الاعتماد في الحالات المنطبقة
- استثناءات محددة
PDPA سنغافورة
بموجب التزام تقييد النقل في PDPA، على المؤسسات التي تنقل بيانات شخصية إلى خارج سنغافورة أن تضمن حصول البيانات المنقولة على مستوى حماية مماثل لما يقرره PDPA، مع مراعاة المتطلبات والإعفاءات المنطبقة.
تتيح اللوائح السنغافورية عدة آليات لاستيفاء هذه المتطلبات، منها الالتزامات واجبة النفاذ قانونًا، والضمانات التعاقدية، والقواعد المؤسسية الملزمة، وآليات الاعتماد المعترف بها.
الخلاصة الرئيسية: ينبغي مع ذلك مراجعة برنامج النقل القائم على SCCs بموجب GDPR في ضوء متطلبات النقل السنغافورية، لا افتراض كفايته تلقائيًا.
GDPR مقابل PDPA: التسويق المباشر
التسويق المباشر مجال مهم آخر يتباين فيه الإطاران.
GDPR
تتطلب الأنشطة التسويقية عمومًا أساسًا قانونيًا مناسبًا بموجب GDPR، إلى جانب القواعد الوطنية والأوروبية المنطبقة على الاتصالات الإلكترونية.
سنغافورة
تشغّل سنغافورة سجل Do Not Call الذي يشمل رسائل تسويقية محددة موجهة إلى أرقام هواتف سنغافورية.
لذا ينبغي للمؤسسات التي تمارس التسويق المباشر في سنغافورة أن تقيّم كلًّا من:
- متطلبات PDPA
- التزامات Do Not Call المنطبقة
وهذا يجعل الامتثال التسويقي الخاص بسنغافورة مهمًا حتى إن كانت المؤسسة تشغّل بالفعل برنامجًا تسويقيًا ممتثلًا لـ GDPR.
GDPR مقابل PDPA: البيانات الشخصية الحساسة
GDPR
تنص GDPR على فئة رسمية هي الفئات الخاصة من البيانات الشخصية بموجب المادة 9.
وتشمل معلومات تتعلق بمجالات مثل:
- الصحة
- البيانات البيومترية في حالات محددة
- البيانات الجينية
- الأصل العرقي أو الإثني
- المعتقدات الدينية أو الفلسفية
- الآراء السياسية
- العضوية النقابية
- الحياة الجنسية أو التوجه الجنسي
PDPA سنغافورة
لا يستخدم PDPA سنغافورة فئة قانونية شاملة مماثلة باسم «البيانات الشخصية الحساسة».
وبدلًا من ذلك، ينبغي للمؤسسات تقييم طبيعة المعلومات وغرض المعالجة والظروف ومستوى المخاطر عند تحديد الضمانات المناسبة.
GDPR مقابل PDPA: بيانات الأطفال
GDPR
تتضمن GDPR قواعد خاصة بالأطفال، منها إطار المادة 8 للموافقة في ما يتعلق بخدمات مجتمع المعلومات، بسن افتراضية هي 16 عامًا يجوز للدول الأعضاء خفضها إلى ما لا يقل عن 13 عامًا.
PDPA سنغافورة
أصدرت PDPC في سنغافورة إرشادات خاصة بالبيانات الشخصية للأطفال في البيئة الرقمية.
وبموجب تلك الإرشادات، إذا كان الطفل دون 13 عامًا، فعلى المؤسسات الحصول على موافقة أحد والديه أو وصيه.
لذا ينبغي للمؤسسات التي تقدم خدمات رقمية للأطفال أن تدمج في برنامجها الخاص بسنغافورة إجراءات للخصوصية والموافقة والرقابة الأبوية تلائم الفئة العمرية.
GDPR مقابل PDPA: العقوبات
تختلف بنية العقوبات في النظامين اختلافًا كبيرًا.
GDPR
في بعض المخالفات، قد تصل الغرامات الإدارية بموجب GDPR إلى:
20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى.
PDPA سنغافورة
في مخالفات حماية البيانات المستوفية للشروط، قد يبلغ الحد الأقصى للعقوبة المالية:
مليون دولار سنغافوري أو 10% من الإيرادات السنوية في سنغافورة، أيهما أعلى، متى تجاوزت إيرادات المؤسسة السنوية في سنغافورة 10 ملايين دولار سنغافوري.
تتوقف العقوبة المفروضة فعليًا على الظروف، ومنها عوامل مثل طبيعة الخرق وجسامته والضرر ودرجة المسؤولية وطريقة استجابة المؤسسة.
GDPR مقابل PDPA: مسؤول حماية البيانات
في هذا المجال تأتي متطلبات سنغافورة أكثر مباشرة.
GDPR
لا يكون DPO إلزاميًا إلا متى استوفيت شروط المادة 37، مثل:
- المعالجة التي تجريها السلطات العامة
- الرصد المنتظم والمنهجي واسع النطاق
- المعالجة واسعة النطاق للفئات الخاصة أو لبيانات الجرائم الجنائية
PDPA سنغافورة
على كل مؤسسة تعيين DPO واحد على الأقل وإتاحة بيانات الاتصال المهنية ذات الصلة للعموم. ويجوز أن يكون DPO موظفًا أو شخصًا خارجيًا معيّنًا على النحو المناسب، كما يمكن إسناد بعض مسؤولياته إلى جهة خارجية.
GDPR مقابل PDPA: وسطاء البيانات ومعالجوها
تختلف المصطلحات كذلك.
GDPR
تميّز GDPR بين:
- المتحكمين في البيانات
- المتحكمين المشتركين في البيانات
- معالجي البيانات
يتصرف معالجو البيانات نيابةً عن المتحكمين فيها ويخضعون لمتطلبات تعاقدية وقانونية محددة.
PDPA سنغافورة
تميّز سنغافورة بين:
- المؤسسات
- وسطاء البيانات
يعالج وسيط البيانات البيانات الشخصية نيابةً عن مؤسسة أخرى، وتقع عليه مجموعة التزامات قانونية تختلف عن التزامات المؤسسة التي تحدد أغراض المعالجة ووسائلها.
لذا ينبغي للمؤسسات تحديد المسؤوليات التعاقدية والتشغيلية بدلًا من افتراض أن «معالج البيانات» و«وسيط البيانات» مترادفان قانونًا.
هل PDPA سنغافورة أكثر صرامة من GDPR؟
لا يصح وصف أيٍّ من الإطارين بأنه أكثر صرامة على الإطلاق.
تتسم GDPR عمومًا بتفصيل أكبر في مجالات مثل:
- حقوق الأفراد
- الأسس القانونية
- تقييمات أثر حماية البيانات
- اتخاذ القرار الآلي
- حماية البيانات بالتصميم
- النقل الدولي للبيانات
يتضمن PDPA سنغافورة متطلبات مميزة في ما يخص:
- المساءلة على مستوى المؤسسة كلها
- التعيين الإلزامي لـ DPO
- آليات الموافقة والموافقة المفترضة
- الحماية المماثلة عند النقل إلى الخارج
- التزامات Do Not Call
- متطلبات الإنفاذ والإخطار الخاصة بسنغافورة
لذا فإن نهج الامتثال المناسب هو تحديد المواضع التي تفرض فيها كل ولاية قضائية متطلبًا أشد أو مختلفًا.
هل يمكن لبرنامج خصوصية واحد أن يغطي GDPR وPDPA سنغافورة؟
نعم. يمكن للمؤسسات العاملة في الاتحاد الأوروبي وسنغافورة بناء برنامج خصوصية عالمي واحد مع ضوابط خاصة بكل ولاية قضائية.
يمكن أن يغطي البرنامج المشترك:
- جرد البيانات
- حوكمة الخصوصية
- إدارة الموردين
- الضوابط الأمنية
- إشعارات الخصوصية
- إدارة طلبات أصحاب البيانات
- الاستجابة لخرق البيانات
- النقل الدولي للبيانات
- تدريب الموظفين
- حفظ السجلات
- الرصد التنظيمي
ثم تعالج الطبقات الخاصة بكل ولاية قضائية ما يأتي:
GDPR
الأسس القانونية، ومتطلبات ممثل الاتحاد الأوروبي عند الاقتضاء، وتقييمات DPIA، والمادة 9، والمادة 22، وآليات النقل الأوروبية، والحقوق بموجب GDPR.
PDPA سنغافورة
تعيين DPO، والموافقة/الموافقة المفترضة، والامتثال لـ DNC، ومتطلبات النقل السنغافورية، وإخطار PDPC بخرق البيانات، ومتطلبات المساءلة الخاصة بسنغافورة.
نموذج التشغيل الموصى به
- خريطة بيانات واحدة
- إطار واحد لضوابط الخصوصية
- طبقات قانونية خاصة بكل ولاية قضائية
- رصد مستمر
يحقق هذا النهج الاتساق دون التعامل مع GDPR وPDPA كأنهما قانونان متطابقان.
الأسئلة الشائعة
هل PDPA سنغافورة مشابه لـ GDPR؟
نعم. ينظّم الإطاران جمع البيانات الشخصية واستخدامها والإفصاح عنها وحمايتها، ويتضمنان متطلبات للمساءلة والأمن والشفافية وحقوق الأفراد والنقل الدولي. غير أن بنيتهما القانونية والتزاماتهما المحددة تختلف.
إذا كانت شركتي ممتثلة لـ GDPR، فهل تكون ممتثلة لـ PDPA تلقائيًا؟
لا. الامتثال لـ GDPR يوفر أساسًا مفيدًا، لكن ينبغي للمؤسسات أن تقيّم على حدة المتطلبات السنغافورية مثل تعيين DPO، والتزامات DNC، ومتطلبات النقل في PDPA، وآليات الموافقة، وإطار سنغافورة للإخطار بخرق البيانات.
هل يشترط PDPA سنغافورة تعيين DPO؟
نعم. على المؤسسات تعيين DPO واحد على الأقل وإتاحة بيانات الاتصال المهنية به للعموم.
هل يتضمن PDPA سنغافورة حقًا في نقل البيانات؟
يتضمن PDPA التزامًا بنقل البيانات (Data Portability Obligation)، لكن PDPC تفيد بأنه سيدخل حيز النفاذ عند صدور اللوائح ذات الصلة. لذا لا ينبغي التعامل معه حاليًا بوصفه مقابلًا عمليًا للمادة 20 من GDPR.
هل يشترط PDPA سنغافورة الإخطار بخرق البيانات خلال 72 ساعة؟
يتضمن PDPA إطارًا إلزاميًا للإخطار بخرق البيانات، لكن لا ينبغي اختزال المتطلب في «قاعدة 72 ساعة» عامة. على المؤسسات تقييم ما إذا كان الخرق واجب الإخطار والامتثال لمتطلبات الإخطار المنطبقة.
هل ينطبق PDPA سنغافورة على الشركات الأجنبية؟
قد ينطبق PDPA سنغافورة على المؤسسات التي تتعامل مع بيانات شخصية في سنغافورة، وفق نطاق القانون والإعفاءات المنطبقة. وينبغي للمؤسسات تقييم أنشطتها ودورها بموجب PDPA لا الاكتفاء بالنظر إلى مكان تأسيسها.
هل لدى سنغافورة سجل Do Not Call؟
نعم. تشغّل سنغافورة سجل Do Not Call لرسائل تسويقية محددة موجهة إلى أرقام هواتف سنغافورية. وعلى الشركات التي تمارس التسويق المباشر تقييم متطلبات DNC المنطبقة بمعزل عن برنامجها العام للامتثال للخصوصية.
ما الحد الأقصى للعقوبة بموجب PDPA؟
في مخالفات حماية البيانات المستوفية للشروط، قد تواجه المؤسسات التي تتجاوز إيراداتها السنوية في سنغافورة 10 ملايين دولار سنغافوري عقوبة مالية قصوى تبلغ 10% من إيراداتها السنوية في سنغافورة أو مليون دولار سنغافوري، أيهما أعلى.
ابنِ برنامج امتثال لـ GDPR وPDPA سنغافورة
العمل في أوروبا وسنغافورة يتطلب برنامج خصوصية يراعي المبادئ المشتركة والمتطلبات الخاصة بكل ولاية قضائية معًا.
تساعد RegulatoryBridge المؤسسات على تنسيق متطلبات GDPR وPDPA سنغافورة وغيرها من متطلبات الخصوصية العالمية عبر الامتثال للخصوصية والتمثيل التنظيمي والحوكمة والرصد التنظيمي المستمر.
برنامج خصوصية عالمي واحد. الضوابط المناسبة لكل ولاية قضائية.
غطِّ GDPR وPDPA ضمن برنامج واحد.
خطّط الضوابط مرة واحدة، والتزم مرتين. يمنحك RegulatoryBridge مسار DSAR واحدًا، ومسؤول حماية بيانات (DPO) واحدًا، ودليل إجراءات واحدًا للخروقات - يغطي كلا الإطارين.