El Reglamento General de Protección de Datos de la UE (GDPR) y la Personal Data Protection Act 2012 (PDPA) de Singapur son marcos integrales de privacidad que regulan cómo las organizaciones recogen, utilizan, divulgan, protegen y conservan los datos personales. Aunque ambos regímenes comparten principios como la responsabilidad proactiva, la limitación de la finalidad, la seguridad, la transparencia y los derechos de las personas, sus estructuras de cumplimiento son diferentes. El GDPR utiliza un marco detallado basado en bases jurídicas y derechos, mientras que la PDPA de Singapur combina el consentimiento, el consentimiento presunto, las excepciones legales y obligaciones de responsabilidad a nivel de organización. Para las organizaciones que operan en Europa y Singapur, el cumplimiento del GDPR puede ofrecer una base sólida, pero no debe considerarse un cumplimiento automático de la PDPA.
Comparativa: GDPR frente a PDPA
| Dimensión | 🇪🇺 GDPR | 🇸🇬 PDPA |
|---|---|---|
| Legislación principal | Reglamento (UE) 2016/679 | Personal Data Protection Act 2012 |
| Regulador principal | Autoridades de control de los Estados miembros de la UE + EDPB | Personal Data Protection Commission (PDPC) |
| Modelo regulatorio | Basado en derechos y en bases jurídicas | Basado en la responsabilidad y en obligaciones |
| Licitud del tratamiento | Seis bases jurídicas del artículo 6 | Consentimiento, consentimiento presunto y excepciones específicas |
| DPO | Obligatorio en circunstancias específicas | Toda organización debe designar al menos un DPO |
| Derecho de acceso | Sí | Sí |
| Rectificación | Sí | Sí |
| Supresión | Derecho autónomo y amplio conforme al artículo 17, con sujeción a excepciones | Sin un derecho de supresión autónomo directamente equivalente al del GDPR |
| Portabilidad de los datos | Derecho del artículo 20 | Obligación prevista en la legislación, pero aún no en vigor |
| Notificación de brechas | 72 horas cuando la notificación es obligatoria | Las brechas notificables deben evaluarse y notificarse según lo exigido |
| Transferencias internacionales | Adecuación, SCCs, BCRs y otros mecanismos del capítulo V | Requisito de protección comparable con garantías prescritas |
| Marketing directo | GDPR + normas de ePrivacy aplicables | PDPA + Do Not Call Registry |
| Contacto público del DPO | Obligatorio cuando se exige un DPO | Obligatorio publicar los datos de contacto profesional |
| Datos sensibles | Categorías especiales conforme al artículo 9 | Sin una categoría integral y separada de datos sensibles |
| Datos de menores | Normas especiales, incluido el artículo 8 | Directrices específicas de la PDPC sobre los datos personales de menores |
| Multa administrativa máxima | 20 millones de euros o el 4 % del volumen de negocios anual mundial | Hasta 1 millón de dólares de Singapur o el 10 % del volumen de negocios anual en Singapur para las organizaciones de mayor tamaño que cumplan los requisitos, si esta cuantía es superior |
| Certificación | Sin una certificación obligatoria equivalente para todo el ámbito del GDPR | Disponible el sello voluntario Data Protection Trustmark |
¿Qué es el GDPR?
El Reglamento General de Protección de Datos (GDPR) es el principal marco de la Unión Europea para la protección de los datos personales.
Es aplicable desde el 25 de mayo de 2018 y establece requisitos para las organizaciones que tratan datos personales dentro de su ámbito de aplicación.
El GDPR abarca:
- Licitud del tratamiento
- Transparencia y avisos de privacidad
- Derechos de los interesados
- Protección de datos desde el diseño y por defecto
- Registros de las actividades de tratamiento
- Evaluaciones de impacto relativas a la protección de datos
- Responsabilidades del responsable y del encargado del tratamiento
- Notificación de brechas de datos
- Delegados de protección de datos
- Transferencias internacionales
- Cooperación con las autoridades de control
El GDPR también puede aplicarse a organizaciones de fuera de la UE cuando se cumplen los requisitos de su ámbito territorial.
¿Qué es la PDPA de Singapur?
La Personal Data Protection Act 2012 de Singapur establece un marco que regula la recogida, el uso, la divulgación y la protección de los datos personales por parte de las organizaciones.
La Personal Data Protection Commission (PDPC) administra la PDPA y vela por su cumplimiento.
El marco de la PDPA incluye obligaciones relativas a:
- Responsabilidad proactiva
- Notificación
- Consentimiento
- Limitación de la finalidad
- Exactitud
- Protección
- Limitación de la conservación
- Limitación de las transferencias
- Acceso y rectificación
- Notificación de brechas de datos
- Portabilidad de los datos, cuando entren en vigor las disposiciones pertinentes
La PDPA también se aplica junto con el régimen del Do Not Call Registry de Singapur para determinadas comunicaciones de marketing.
GDPR vs. PDPA: filosofías de cumplimiento diferentes
Una de las mayores diferencias radica en cómo estructuran el cumplimiento ambas leyes.
GDPR
El GDPR exige a las organizaciones identificar una base jurídica aplicable al tratamiento conforme al artículo 6.
Entre ellas figuran:
- Consentimiento
- Contrato
- Obligación legal
- Intereses vitales
- Misión de interés público
- Interés legítimo
Se aplican requisitos adicionales cuando se tratan categorías especiales de datos personales.
PDPA de Singapur
La PDPA pone un énfasis considerable en la responsabilidad de la organización y en que las finalidades de la recogida, el uso y la divulgación de datos personales sean apropiadas.
El consentimiento sigue siendo un mecanismo importante, pero el marco de Singapur también prevé:
- Consentimiento presunto
- Consentimiento presunto por necesidad contractual
- Consentimiento presunto por notificación
- Interés legítimo
- Mejora del negocio y otras excepciones legales
- Otras excepciones prescritas
Por ello, las organizaciones no deben intentar establecer una correspondencia unívoca entre el artículo 6 del GDPR y la PDPA de Singapur.
GDPR vs. PDPA: responsabilidad proactiva y gobernanza
Ambos marcos esperan que las organizaciones integren la gobernanza de la privacidad en sus operaciones.
GDPR
En función de la organización y de las actividades de tratamiento, el GDPR puede exigir:
- Delegado de protección de datos
- Registros de las actividades de tratamiento
- DPIAs
- Privacidad desde el diseño
- Contratos de encargo del tratamiento
- Procedimientos ante brechas de datos
- Procedimientos para las solicitudes de los interesados
- Evaluaciones de impacto de las transferencias y garantías
PDPA de Singapur
Singapur exige a las organizaciones demostrar su responsabilidad mediante políticas, prácticas y gobernanza adecuadas.
Las organizaciones deben designar al menos un delegado de protección de datos (DPO) y poner a disposición del público sus datos de contacto profesional. La función de DPO puede ser un puesto específico o combinarse con un puesto ya existente.
Se trata de una diferencia importante respecto del GDPR, en el que el DPO solo es obligatorio en circunstancias específicas.
Derechos de las personas: GDPR vs. PDPA
Ambos marcos otorgan a las personas derechos sobre sus datos personales, pero el GDPR ofrece un marco de derechos más amplio y detallado.
Derechos del GDPR
Los derechos del GDPR incluyen:
- Derecho de acceso
- Derecho de rectificación
- Derecho de supresión
- Derecho a la limitación del tratamiento
- Derecho a la portabilidad de los datos
- Derecho de oposición
- Derechos relativos a las decisiones automatizadas y la elaboración de perfiles
PDPA de Singapur
La PDPA de Singapur prevé:
- Derechos de acceso
- Derechos de rectificación
- Derechos de información sobre el uso y la divulgación de los datos personales en las circunstancias aplicables
La PDPA también contiene una obligación de portabilidad de los datos, pero la PDPC indica que esta obligación surtirá efecto cuando se dicte la normativa de desarrollo correspondiente. Por tanto, actualmente no debe presentarse como un equivalente operativo del artículo 20 del GDPR.
GDPR vs. PDPA: notificación de brechas de datos
Ambos regímenes exigen a las organizaciones establecer procesos adecuados de respuesta a las brechas de datos.
GDPR
Cuando una violación de la seguridad de los datos personales es notificable, el responsable del tratamiento debe, por lo general, notificarla a la autoridad de control competente sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que haya tenido constancia de ella.
También debe informarse a las personas cuando sea probable que la brecha entrañe un alto riesgo para sus derechos y libertades, con sujeción a las excepciones del GDPR.
PDPA de Singapur
Las organizaciones deben evaluar si una brecha de datos es notificable.
Cuando una brecha cumple los requisitos de notificación aplicables, la organización debe notificarla a la PDPC y a las personas afectadas según lo exigido y tan pronto como sea posible. La PDPC señala el daño significativo y la escala significativa como consideraciones clave para determinar las obligaciones de notificación.
Conclusión clave: Implicación práctica: puede compartirse un proceso global de respuesta a incidentes, pero el árbol de decisión sobre la notificación debe seguir siendo específico de cada jurisdicción.
Transferencias internacionales de datos
Las transferencias internacionales se regulan de forma diferente en el GDPR y en la PDPA de Singapur.
GDPR
El capítulo V del GDPR prevé mecanismos como:
- Decisiones de adecuación
- Cláusulas contractuales tipo
- Normas corporativas vinculantes
- Códigos de conducta aprobados o mecanismos de certificación en las circunstancias aplicables
- Excepciones específicas
PDPA de Singapur
Conforme a la obligación de limitación de las transferencias de la PDPA, las organizaciones que transfieren datos personales fuera de Singapur deben garantizar que los datos transferidos reciban un nivel de protección comparable al previsto en la PDPA, con sujeción a los requisitos y exenciones aplicables.
La normativa de Singapur prevé varios mecanismos para cumplir estos requisitos, entre ellos obligaciones jurídicamente exigibles, garantías contractuales, normas corporativas vinculantes y mecanismos de certificación reconocidos.
Conclusión clave: Un programa de transferencias basado en las SCCs del GDPR debe revisarse igualmente a la luz de los requisitos de transferencia de Singapur, en lugar de darse por sentado que es automáticamente suficiente.
GDPR vs. PDPA: marketing directo
El marketing directo es otro ámbito importante de divergencia.
GDPR
Las actividades de marketing requieren, por lo general, una base jurídica adecuada conforme al GDPR, junto con las normas nacionales y de la UE aplicables en materia de comunicaciones electrónicas.
Singapur
Singapur gestiona un Do Not Call Registry que abarca determinadas comunicaciones de marketing dirigidas a números de teléfono de Singapur.
Por ello, las organizaciones que realizan marketing directo en Singapur deben evaluar tanto:
- Los requisitos de la PDPA
- Las obligaciones Do Not Call aplicables
Esto hace que el cumplimiento específico de Singapur en materia de marketing sea importante incluso cuando la organización ya cuenta con un programa de marketing conforme con el GDPR.
GDPR vs. PDPA: datos personales sensibles
GDPR
El GDPR establece una categoría formal de categorías especiales de datos personales en el artículo 9.
Estas incluyen información relativa a ámbitos como:
- Salud
- Datos biométricos en circunstancias específicas
- Datos genéticos
- Origen racial o étnico
- Convicciones religiosas o filosóficas
- Opiniones políticas
- Afiliación sindical
- Vida sexual u orientación sexual
PDPA de Singapur
La PDPA de Singapur no utiliza una categoría legal integral equivalente de «datos personales sensibles».
En su lugar, las organizaciones deben valorar la naturaleza de la información, la finalidad del tratamiento, las circunstancias y el nivel de riesgo a la hora de determinar las garantías adecuadas.
GDPR vs. PDPA: datos de menores
GDPR
El GDPR contiene normas específicas para los menores, incluido el régimen del artículo 8 sobre el consentimiento en relación con los servicios de la sociedad de la información, con una edad por defecto de 16 años que los Estados miembros pueden reducir hasta un mínimo de 13 años.
PDPA de Singapur
La PDPC de Singapur ha publicado directrices específicas sobre los datos personales de menores en el entorno digital.
Conforme a esas directrices, cuando un menor tiene menos de 13 años, las organizaciones deben obtener el consentimiento de uno de sus progenitores o de su tutor.
Por ello, las organizaciones que ofrecen servicios digitales a menores deben integrar en su programa para Singapur procesos de privacidad, consentimiento y control parental adecuados a la edad.
GDPR vs. PDPA: sanciones
Los dos regímenes tienen estructuras sancionadoras considerablemente diferentes.
GDPR
Para determinadas infracciones, las multas administrativas del GDPR pueden alcanzar:
20 millones de euros o el 4 % del volumen de negocios anual mundial, si esta cuantía es superior.
PDPA de Singapur
Para las infracciones de protección de datos que cumplan los requisitos, la sanción económica máxima puede ser de:
1 millón de dólares de Singapur o el 10 % del volumen de negocios anual en Singapur, si esta cuantía es superior, cuando el volumen de negocios anual de la organización en Singapur supere los 10 millones de dólares de Singapur.
La sanción efectivamente impuesta depende de las circunstancias, incluidos factores como la naturaleza y la gravedad de la infracción, el daño, la culpabilidad y la respuesta de la organización.
GDPR vs. PDPA: delegado de protección de datos
Este es un ámbito en el que los requisitos de Singapur son más directos.
GDPR
El DPO solo es obligatorio cuando se cumplen los requisitos del artículo 37, por ejemplo:
- Tratamiento por parte de autoridades públicas
- Seguimiento habitual y sistemático a gran escala
- Tratamiento a gran escala de categorías especiales o de datos relativos a infracciones penales
PDPA de Singapur
Toda organización debe designar al menos un DPO y hacer públicos los datos de contacto profesional pertinentes. El DPO puede ser un empleado o una persona externa debidamente designada, y determinadas responsabilidades del DPO pueden externalizarse.
GDPR vs. PDPA: intermediarios de datos y encargados del tratamiento
La terminología también difiere.
GDPR
El GDPR distingue entre:
- Responsables del tratamiento
- Corresponsables del tratamiento
- Encargados del tratamiento
Los encargados del tratamiento actúan por cuenta de los responsables y están sujetos a requisitos contractuales y legales específicos.
PDPA de Singapur
Singapur distingue entre:
- Organizaciones
- Intermediarios de datos
Un intermediario de datos trata datos personales por cuenta de otra organización y tiene un conjunto de obligaciones legales distinto del de la organización que determina los fines y los medios del tratamiento.
Por ello, las organizaciones deben identificar las responsabilidades contractuales y operativas, en lugar de dar por sentado que «encargado del tratamiento» e «intermediario de datos» son jurídicamente intercambiables.
¿Es la PDPA de Singapur más estricta que el GDPR?
Ninguno de los dos marcos puede describirse con exactitud como universalmente más estricto.
El GDPR es, por lo general, más detallado en ámbitos como:
- Derechos de las personas
- Bases jurídicas
- Evaluaciones de impacto relativas a la protección de datos
- Decisiones automatizadas
- Protección de datos desde el diseño
- Transferencias internacionales
La PDPA de Singapur tiene requisitos propios en torno a:
- Responsabilidad en toda la organización
- Designación obligatoria de un DPO
- Mecanismos de consentimiento y consentimiento presunto
- Protección comparable para las transferencias al extranjero
- Obligaciones Do Not Call
- Requisitos de aplicación y notificación específicos de Singapur
Por tanto, el enfoque de cumplimiento adecuado consiste en identificar dónde impone cada jurisdicción el requisito más exigente o uno diferente.
¿Puede un único programa de privacidad cubrir el GDPR y la PDPA de Singapur?
Sí. Las organizaciones que operan en la UE y en Singapur pueden crear un único programa global de privacidad con controles específicos para cada jurisdicción.
Un programa común puede abarcar:
- Inventario de datos
- Gobernanza de la privacidad
- Gestión de proveedores
- Controles de seguridad
- Avisos de privacidad
- Gestión de las solicitudes de los interesados
- Respuesta a brechas de datos
- Transferencias internacionales
- Formación de los empleados
- Conservación de registros
- Monitorización regulatoria
A continuación, las capas específicas de cada jurisdicción pueden abordar:
GDPR
Bases jurídicas, requisitos del representante en la UE cuando proceda, DPIAs, artículo 9, artículo 22, mecanismos de transferencia de la UE y derechos del GDPR.
PDPA de Singapur
Designación del DPO, consentimiento y consentimiento presunto, cumplimiento del régimen DNC, requisitos de transferencia de Singapur, notificación de brechas a la PDPC y requisitos de responsabilidad específicos de Singapur.
Modelo operativo recomendado
- Un único mapa de datos
- Un único marco de controles de privacidad
- Capas jurídicas específicas para cada jurisdicción
- Monitorización continua
Este enfoque aporta coherencia sin tratar el GDPR y la PDPA como leyes idénticas.
Preguntas frecuentes
¿Es la PDPA de Singapur similar al GDPR?
Sí. Ambos marcos regulan la recogida, el uso, la divulgación y la protección de los datos personales e incluyen requisitos de responsabilidad proactiva, seguridad, transparencia, derechos de las personas y transferencias internacionales. Sin embargo, sus estructuras jurídicas y sus obligaciones específicas difieren.
Si mi empresa cumple el GDPR, ¿cumple automáticamente la PDPA?
No. El cumplimiento del GDPR ofrece una base útil, pero las organizaciones deben evaluar por separado los requisitos de Singapur, como la designación del DPO, las obligaciones DNC, los requisitos de transferencia de la PDPA, los mecanismos de consentimiento y el régimen de notificación de brechas de Singapur.
¿Exige la PDPA de Singapur un DPO?
Sí. Las organizaciones deben designar al menos un DPO y poner a disposición del público sus datos de contacto profesional.
¿Reconoce la PDPA de Singapur el derecho a la portabilidad de los datos?
La PDPA contiene una obligación de portabilidad de los datos, pero la PDPC indica que surtirá efecto cuando se dicte la normativa de desarrollo correspondiente. Por tanto, actualmente no debe considerarse un equivalente operativo del artículo 20 del GDPR.
¿Exige la PDPA de Singapur notificar las brechas en un plazo de 72 horas?
La PDPA cuenta con un régimen obligatorio de notificación de brechas de datos, pero el requisito no debe reducirse a una «regla de las 72 horas» de carácter general. Las organizaciones deben evaluar si una brecha es notificable y cumplir los requisitos de notificación aplicables.
¿Se aplica la PDPA de Singapur a las empresas extranjeras?
La PDPA de Singapur puede aplicarse a las organizaciones que manejan datos personales en Singapur, con sujeción al ámbito de aplicación de la ley y a las exenciones aplicables. Las organizaciones deben evaluar sus actividades y su función conforme a la PDPA, en lugar de basarse únicamente en su lugar de constitución.
¿Tiene Singapur un Do Not Call Registry?
Sí. Singapur gestiona un Do Not Call Registry para determinadas comunicaciones de marketing dirigidas a números de teléfono de Singapur. Las empresas que realizan marketing directo deben evaluar los requisitos DNC aplicables de forma separada de su programa general de cumplimiento en materia de privacidad.
¿Cuál es la sanción máxima de la PDPA?
Para las infracciones de protección de datos que cumplan los requisitos, las organizaciones con un volumen de negocios anual en Singapur superior a 10 millones de dólares de Singapur pueden enfrentarse a una sanción económica máxima del 10 % del volumen de negocios anual en Singapur o de 1 millón de dólares de Singapur, si esta cuantía es superior.
Cree un programa de cumplimiento del GDPR y la PDPA de Singapur
Operar en Europa y Singapur requiere un programa de privacidad que reconozca tanto los principios comunes como los requisitos específicos de cada jurisdicción.
RegulatoryBridge ayuda a las organizaciones a coordinar el GDPR, la PDPA de Singapur y otros requisitos globales de privacidad mediante el cumplimiento en materia de privacidad, la representación regulatoria, la gobernanza y la monitorización regulatoria continua.
Un único programa global de privacidad. Los controles adecuados para cada jurisdicción.
Cubre GDPR y PDPA con un solo programa.
Mapea los controles una vez y cumple dos veces. RegulatoryBridge te ofrece un único flujo de DSAR, un único DPO y un único manual de respuesta ante brechas, abarcando ambos marcos.