O General Data Protection Regulation (GDPR) da UE e o Personal Data Protection Act 2012 (PDPA) de Singapura são marcos regulatórios abrangentes de privacidade que regulam como as organizações coletam, usam, divulgam, protegem e retêm dados pessoais. Embora os dois regimes compartilhem princípios como responsabilização, limitação da finalidade, segurança, transparência e direitos dos indivíduos, suas estruturas de conformidade são diferentes. O GDPR adota um modelo detalhado, baseado em bases legais e em direitos, enquanto a PDPA de Singapura combina consentimento, consentimento presumido, exceções legais e obrigações de responsabilização no nível da organização. Para organizações que operam na Europa e em Singapura, a conformidade com o GDPR pode oferecer uma base sólida — mas não deve ser tratada como conformidade automática com a PDPA.
Lado a lado: GDPR vs. PDPA
| Dimensão | 🇪🇺 GDPR | 🇸🇬 PDPA |
|---|---|---|
| Legislação principal | Regulamento (UE) 2016/679 | Personal Data Protection Act 2012 |
| Principal autoridade reguladora | Autoridades supervisoras dos Estados-Membros da UE + EDPB | Personal Data Protection Commission (PDPC) |
| Modelo regulatório | Baseado em direitos e orientado por bases legais | Baseado em responsabilização e em obrigações |
| Tratamento lícito | Seis bases legais do artigo 6 | Consentimento, consentimento presumido e exceções específicas |
| DPO | Obrigatório em circunstâncias específicas | Toda organização deve designar pelo menos um DPO |
| Direito de acesso | Sim | Sim |
| Correção | Sim | Sim |
| Eliminação | Direito autônomo amplo no artigo 17, sujeito a exceções | Não há direito autônomo ao apagamento diretamente equivalente ao do GDPR |
| Portabilidade dos dados | Direito previsto no artigo 20 | Obrigação prevista na legislação, mas ainda não em vigor |
| Notificação de violação de dados | 72 horas, quando a notificação é exigida | As violações notificáveis devem ser avaliadas e notificadas conforme exigido |
| Transferências internacionais | Adequação, SCCs, BCRs e outros mecanismos do Capítulo V | Exigência de proteção comparável, com salvaguardas prescritas |
| Marketing direto | GDPR + regras de ePrivacy aplicáveis | PDPA + Do Not Call Registry |
| Contato público do DPO | Exigido quando há obrigação de DPO | Exige-se a divulgação pública das informações de contato comercial |
| Dados sensíveis | Categorias especiais do artigo 9 | Não há uma categoria abrangente e separada de dados sensíveis |
| Dados de crianças | Regras especiais, incluindo o artigo 8 | Orientações específicas da PDPC para dados pessoais de crianças |
| Multa administrativa máxima | € 20 milhões ou 4% do faturamento anual mundial | Até S$ 1 milhão ou 10% do faturamento anual em Singapura para organizações maiores qualificadas, o que for maior |
| Certificação | Não há certificação obrigatória equivalente em todo o âmbito do GDPR | Selo voluntário Data Protection Trustmark disponível |
O que é o GDPR?
O General Data Protection Regulation (GDPR) é o principal marco regulatório da União Europeia para a proteção de dados pessoais.
Ele é aplicável desde 25 de maio de 2018 e estabelece requisitos para organizações que tratam dados pessoais dentro de seu âmbito de aplicação.
O GDPR abrange:
- Tratamento lícito
- Transparência e avisos de privacidade
- Direitos dos titulares dos dados
- Proteção de dados desde a concepção e por padrão
- Registros das atividades de tratamento
- Avaliações de impacto sobre a proteção de dados
- Responsabilidades de controladores e operadores
- Notificação de violação de dados
- Encarregados de proteção de dados (DPOs)
- Transferências internacionais
- Cooperação com as autoridades supervisoras
O GDPR também pode se aplicar a organizações de fora da UE quando os requisitos de seu âmbito territorial são atendidos.
O que é a PDPA de Singapura?
O Personal Data Protection Act 2012 de Singapura estabelece um marco que rege a coleta, o uso, a divulgação e a proteção de dados pessoais pelas organizações.
A Personal Data Protection Commission (PDPC) administra e fiscaliza a PDPA.
O marco da PDPA inclui obrigações que abrangem:
- Responsabilização
- Notificação
- Consentimento
- Limitação da finalidade
- Exatidão
- Proteção
- Limitação da retenção
- Limitação de transferências
- Acesso e correção
- Notificação de violação de dados
- Portabilidade dos dados, quando as disposições pertinentes entrarem em vigor
A PDPA também opera em conjunto com o regime do Do Not Call Registry de Singapura para determinadas comunicações de marketing.
GDPR vs PDPA: filosofias de conformidade diferentes
Uma das maiores diferenças está na forma como as duas leis estruturam a conformidade.
GDPR
O GDPR exige que as organizações identifiquem uma base legal aplicável ao tratamento, nos termos do artigo 6.
Elas incluem:
- Consentimento
- Contrato
- Obrigação legal
- Interesses vitais
- Missão de interesse público
- Legítimo interesse
Requisitos adicionais se aplicam ao tratamento de categorias especiais de dados pessoais.
PDPA de Singapura
A PDPA dá grande ênfase à responsabilização organizacional e a finalidades adequadas para a coleta, o uso e a divulgação de dados pessoais.
O consentimento continua sendo um mecanismo importante, mas o marco de Singapura também prevê:
- Consentimento presumido
- Consentimento presumido por necessidade contratual
- Consentimento presumido por notificação
- Legítimo interesse
- Melhoria dos negócios e outras exceções legais
- Outras exceções prescritas
Por isso, as organizações não devem tentar criar uma correspondência direta entre o artigo 6 do GDPR e a PDPA de Singapura.
GDPR vs PDPA: responsabilização e governança
Os dois marcos regulatórios esperam que as organizações incorporem a governança de privacidade às suas operações.
GDPR
Dependendo da organização e das atividades de tratamento, o GDPR pode exigir:
- Encarregado de proteção de dados (DPO)
- Registros das atividades de tratamento
- DPIAs
- Privacidade desde a concepção
- Contratos com operadores
- Procedimentos para violações de dados
- Procedimentos para solicitações de titulares dos dados
- Avaliações de impacto de transferência e salvaguardas
PDPA de Singapura
Singapura exige que as organizações demonstrem responsabilização por meio de políticas, práticas e governança adequadas.
As organizações devem designar pelo menos um encarregado de proteção de dados (Data Protection Officer, DPO) e disponibilizar ao público as informações de contato comercial do DPO. A função de DPO pode ser um cargo dedicado ou combinada com uma função existente.
Esta é uma distinção importante em relação ao GDPR, em que o DPO é obrigatório apenas em circunstâncias específicas.
Direitos dos indivíduos: GDPR vs PDPA
Os dois marcos regulatórios conferem aos indivíduos direitos sobre seus dados pessoais, mas o GDPR oferece um conjunto de direitos mais amplo e detalhado.
Direitos do GDPR
Os direitos do GDPR incluem:
- Direito de acesso
- Direito de retificação
- Direito ao apagamento
- Direito à limitação do tratamento
- Direito à portabilidade dos dados
- Direito de oposição
- Direitos relativos a decisões automatizadas e à definição de perfis
PDPA de Singapura
A PDPA de Singapura prevê:
- Direitos de acesso
- Direitos de correção
- Direitos à informação sobre o uso e a divulgação de dados pessoais, nas circunstâncias aplicáveis
A PDPA também contém uma Obrigação de Portabilidade de Dados (Data Portability Obligation), mas a PDPC afirma que essa obrigação entrará em vigor quando os regulamentos pertinentes forem publicados. Portanto, ela não deve ser apresentada, por ora, como um equivalente operacional do artigo 20 do GDPR.
GDPR vs PDPA: notificação de violação de dados
Os dois regimes exigem que as organizações estabeleçam processos adequados de resposta a violações de dados.
GDPR
Quando uma violação de dados pessoais é notificável, o controlador deve, em geral, notificar a autoridade supervisora competente sem demora injustificada e, sempre que possível, em até 72 horas após tomar conhecimento da violação.
Os indivíduos também devem ser informados quando a violação for suscetível de resultar em alto risco para seus direitos e liberdades, observadas as exceções do GDPR.
PDPA de Singapura
As organizações devem avaliar se uma violação de dados é notificável.
Quando uma violação atende aos requisitos de notificação aplicáveis, a organização deve notificar a PDPC e os indivíduos afetados conforme exigido e assim que possível. A PDPC aponta o dano significativo e a escala significativa como considerações centrais para determinar as obrigações de notificação.
Ponto principal: Implicação prática: um processo global de resposta a incidentes pode ser compartilhado, mas a árvore de decisão sobre notificação deve continuar sendo específica para cada jurisdição.
Transferências internacionais de dados
As transferências internacionais são reguladas de forma diferente no GDPR e na PDPA de Singapura.
GDPR
O Capítulo V do GDPR prevê mecanismos que incluem:
- Decisões de adequação
- Cláusulas contratuais padrão
- Regras corporativas vinculantes
- Códigos de conduta aprovados ou mecanismos de certificação, nas circunstâncias aplicáveis
- Derrogações específicas
PDPA de Singapura
De acordo com a Obrigação de Limitação de Transferências (Transfer Limitation Obligation) da PDPA, as organizações que transferem dados pessoais para fora de Singapura devem garantir que os dados transferidos recebam um padrão de proteção comparável ao da PDPA, observados os requisitos e as isenções aplicáveis.
Os regulamentos de Singapura preveem vários mecanismos para atender a esses requisitos, incluindo obrigações juridicamente exigíveis, salvaguardas contratuais, regras corporativas vinculantes e mecanismos de certificação reconhecidos.
Ponto principal: Um programa de transferências baseado em SCCs do GDPR ainda deve ser revisado à luz dos requisitos de transferência de Singapura, em vez de ser presumido como automaticamente suficiente.
GDPR vs PDPA: marketing direto
O marketing direto é outra área importante de divergência.
GDPR
Em geral, as atividades de marketing exigem uma base legal adequada nos termos do GDPR, além das regras nacionais e da UE aplicáveis às comunicações eletrônicas.
Singapura
Singapura mantém um Do Not Call Registry que abrange determinadas comunicações de marketing destinadas a números de telefone de Singapura.
Por isso, as organizações que fazem marketing direto em Singapura devem avaliar tanto:
- Os requisitos da PDPA
- As obrigações de Do Not Call aplicáveis
Isso torna importante a conformidade de marketing específica para Singapura, mesmo quando a organização já opera um programa de marketing em conformidade com o GDPR.
GDPR vs PDPA: dados pessoais sensíveis
GDPR
O GDPR prevê uma categoria formal de categorias especiais de dados pessoais no artigo 9.
Elas incluem informações relativas a áreas como:
- Saúde
- Dados biométricos em circunstâncias específicas
- Dados genéticos
- Origem racial ou étnica
- Convicções religiosas ou filosóficas
- Opiniões políticas
- Filiação sindical
- Vida sexual ou orientação sexual
PDPA de Singapura
A PDPA de Singapura não usa uma categoria legal abrangente equivalente de “dados pessoais sensíveis”.
Em vez disso, as organizações devem avaliar a natureza das informações, a finalidade do tratamento, as circunstâncias e o nível de risco ao determinar as salvaguardas adequadas.
GDPR vs PDPA: dados de crianças
GDPR
O GDPR tem regras específicas para crianças, incluindo o regime do artigo 8 para o consentimento em relação a serviços da sociedade da informação, com idade padrão de 16 anos, que os Estados-Membros podem reduzir para até 13 anos.
PDPA de Singapura
A PDPC de Singapura publicou orientações específicas sobre dados pessoais de crianças no ambiente digital.
De acordo com essas orientações, quando a criança tem menos de 13 anos, as organizações devem obter o consentimento de um dos pais ou do responsável pela criança.
Por isso, as organizações que oferecem serviços digitais a crianças devem incorporar ao seu programa de Singapura processos de privacidade, consentimento e controle parental adequados à idade.
GDPR vs PDPA: sanções
Os dois regimes têm estruturas de sanções significativamente diferentes.
GDPR
Para determinadas infrações, as multas administrativas do GDPR podem chegar a:
20 milhões de euros ou 4% do faturamento anual mundial, o que for maior.
PDPA de Singapura
Para infrações qualificadas de proteção de dados, a sanção financeira máxima pode ser de:
S$ 1 milhão ou 10% do faturamento anual em Singapura, o que for maior, quando o faturamento anual da organização em Singapura ultrapassar S$ 10 milhões.
A sanção efetivamente aplicada depende das circunstâncias, incluindo fatores como a natureza e a gravidade da violação, o dano, a culpabilidade e a resposta da organização.
GDPR vs PDPA: encarregado de proteção de dados (DPO)
Esta é uma área em que os requisitos de Singapura são mais diretos.
GDPR
O DPO é obrigatório apenas quando os requisitos do artigo 37 são atendidos, como em casos de:
- Tratamento por autoridade pública
- Monitoramento regular e sistemático em larga escala
- Tratamento em larga escala de categorias especiais ou de dados relativos a infrações penais
PDPA de Singapura
Toda organização deve designar pelo menos um DPO e disponibilizar publicamente as informações de contato comercial pertinentes. O DPO pode ser um funcionário ou uma pessoa externa devidamente nomeada, e determinadas responsabilidades do DPO podem ser terceirizadas.
GDPR vs PDPA: intermediários de dados e operadores
A terminologia também é diferente.
GDPR
O GDPR distingue entre:
- Controladores
- Controladores conjuntos
- Operadores
Os operadores atuam em nome dos controladores e estão sujeitos a requisitos contratuais e legais específicos.
PDPA de Singapura
Singapura distingue entre:
- Organizações
- Intermediários de dados
Um intermediário de dados trata dados pessoais em nome de outra organização e tem um conjunto de obrigações legais diferente do da organização que determina as finalidades e os meios do tratamento.
Por isso, as organizações devem mapear as responsabilidades contratuais e operacionais, em vez de presumir que “operador” e “intermediário de dados” são juridicamente intercambiáveis.
A PDPA de Singapura é mais rigorosa que o GDPR?
Nenhum dos dois marcos regulatórios pode ser descrito com precisão como universalmente mais rigoroso.
Em geral, o GDPR é mais detalhado em áreas como:
- Direitos dos indivíduos
- Bases legais
- Avaliações de impacto sobre a proteção de dados
- Decisões automatizadas
- Proteção de dados desde a concepção
- Transferências internacionais
A PDPA de Singapura tem requisitos próprios em relação a:
- Responsabilização em toda a organização
- Designação obrigatória de DPO
- Mecanismos de consentimento e de consentimento presumido
- Proteção comparável para transferências ao exterior
- Obrigações de Do Not Call
- Requisitos de fiscalização e de notificação específicos de Singapura
A abordagem de conformidade adequada é, portanto, identificar onde cada jurisdição impõe o requisito mais rigoroso ou diferente.
Um único programa de privacidade pode abranger o GDPR e a PDPA de Singapura?
Sim. Organizações que operam na UE e em Singapura podem criar um único programa global de privacidade com controles específicos para cada jurisdição.
Um programa comum pode abranger:
- Inventário de dados
- Governança de privacidade
- Gestão de fornecedores
- Controles de segurança
- Avisos de privacidade
- Gestão de solicitações de titulares dos dados
- Resposta a violações de dados
- Transferências internacionais
- Treinamento de funcionários
- Manutenção de registros
- Monitoramento regulatório
As camadas específicas de cada jurisdição podem então tratar de:
GDPR
Bases legais, requisitos de representante na UE quando aplicáveis, DPIAs, artigo 9, artigo 22, mecanismos de transferência da UE e direitos do GDPR.
PDPA de Singapura
Designação de DPO, consentimento/consentimento presumido, conformidade com o DNC, requisitos de transferência de Singapura, notificação de violações à PDPC e requisitos de responsabilização específicos de Singapura.
Modelo operacional recomendado
- Um único mapa de dados
- Uma única estrutura de controles de privacidade
- Camadas jurídicas específicas por jurisdição
- Monitoramento contínuo
Essa abordagem garante consistência sem tratar o GDPR e a PDPA como leis idênticas.
Perguntas frequentes
A PDPA de Singapura é semelhante ao GDPR?
Sim. Os dois marcos regulatórios regulam a coleta, o uso, a divulgação e a proteção de dados pessoais e incluem requisitos de responsabilização, segurança, transparência, direitos dos indivíduos e transferências internacionais. No entanto, suas estruturas jurídicas e obrigações específicas são diferentes.
Se minha empresa está em conformidade com o GDPR, ela está automaticamente em conformidade com a PDPA?
Não. A conformidade com o GDPR oferece uma base útil, mas as organizações devem avaliar separadamente os requisitos de Singapura, como a designação de DPO, as obrigações do DNC, os requisitos de transferência da PDPA, os mecanismos de consentimento e o regime de notificação de violações de Singapura.
A PDPA de Singapura exige um DPO?
Sim. As organizações devem designar pelo menos um DPO e disponibilizar ao público as informações de contato comercial do DPO.
A PDPA de Singapura prevê o direito à portabilidade dos dados?
A PDPA contém uma Obrigação de Portabilidade de Dados (Data Portability Obligation), mas a PDPC afirma que ela entrará em vigor quando os regulamentos pertinentes forem publicados. Portanto, não deve ser tratada, por ora, como um equivalente operacional do artigo 20 do GDPR.
A PDPA de Singapura exige a notificação de violações em até 72 horas?
A PDPA tem um regime obrigatório de notificação de violação de dados, mas a exigência não deve ser reduzida a uma “regra de 72 horas” genérica. As organizações devem avaliar se uma violação é notificável e cumprir os requisitos de notificação aplicáveis.
A PDPA de Singapura se aplica a empresas estrangeiras?
A PDPA de Singapura pode se aplicar a organizações que lidam com dados pessoais em Singapura, observados o âmbito de aplicação da lei e as isenções aplicáveis. As organizações devem avaliar suas atividades e seu papel no âmbito da PDPA, em vez de se basear apenas no local em que foram constituídas.
Singapura tem um Do Not Call Registry?
Sim. Singapura mantém um Do Not Call Registry para determinadas comunicações de marketing destinadas a números de telefone de Singapura. As empresas que fazem marketing direto devem avaliar os requisitos de DNC aplicáveis separadamente de seu programa geral de conformidade em privacidade.
Qual é a sanção máxima da PDPA?
Para infrações qualificadas de proteção de dados, organizações com faturamento anual em Singapura superior a S$ 10 milhões podem estar sujeitas a uma sanção financeira máxima de 10% do faturamento anual em Singapura ou de S$ 1 milhão, o que for maior.
Crie um programa de conformidade com o GDPR e a PDPA de Singapura
Operar na Europa e em Singapura exige um programa de privacidade que reconheça tanto os princípios comuns quanto os requisitos específicos de cada jurisdição.
A RegulatoryBridge ajuda organizações a coordenar os requisitos do GDPR, da PDPA de Singapura e de outras leis globais de privacidade por meio de conformidade em privacidade, representação regulatória, governança e monitoramento regulatório contínuo.
Um único programa global de privacidade. Os controles certos para cada jurisdição.
Cubra GDPR e PDPA em um único programa.
Mapeie os controles uma vez e cumpra duas. A RegulatoryBridge oferece um único pipeline de DSAR, um único DPO, um único runbook de violações - cobrindo ambas as estruturas.