Общий регламент ЕС по защите данных (GDPR) и сингапурский закон Personal Data Protection Act 2012 (PDPA) - это комплексные нормативные режимы в области конфиденциальности, которые регулируют, как организации собирают, используют, раскрывают, защищают и хранят персональные данные. Хотя оба режима опираются на общие принципы - подотчётность, ограничение целей, безопасность, прозрачность и права физических лиц, - соответствие в них устроено по-разному. GDPR использует детальную систему правовых оснований и прав, тогда как PDPA Сингапура сочетает согласие, подразумеваемое согласие, установленные законом исключения и обязанности по подотчётности на уровне организации. Для организаций, работающих в Европе и Сингапуре, соответствие GDPR может стать прочной основой - но его нельзя считать автоматическим соответствием PDPA.
Сравнение: GDPR против PDPA
| Параметр | 🇪🇺 GDPR | 🇸🇬 PDPA |
|---|---|---|
| Основной законодательный акт | Регламент (ЕС) 2016/679 | Personal Data Protection Act 2012 |
| Основной регулятор | Надзорные органы государств - членов ЕС + EDPB | Personal Data Protection Commission (PDPC) |
| Модель регулирования | Основана на правах и правовых основаниях | Основана на подотчётности и обязанностях |
| Законность обработки | Шесть правовых оснований по статье 6 | Согласие, подразумеваемое согласие и установленные исключения |
| DPO | Обязателен в установленных случаях | Каждая организация должна назначить хотя бы одного DPO |
| Право на доступ | Да | Да |
| Исправление | Да | Да |
| Удаление | Широкое самостоятельное право по статье 17 с учётом исключений | Самостоятельного права на удаление, прямо аналогичного GDPR, нет |
| Переносимость данных | Право по статье 20 | Обязанность предусмотрена законом, но ещё не вступила в силу |
| Уведомление об утечке данных | 72 часа, если уведомление обязательно | Утечки, подлежащие уведомлению, необходимо оценить и сообщить о них в установленном порядке |
| Международная передача данных | Решения об адекватности, SCCs, BCRs и другие механизмы главы V | Требование сопоставимой защиты с установленными гарантиями |
| Прямой маркетинг | GDPR + применимые правила ePrivacy | PDPA + реестр Do Not Call |
| Публичные контактные данные DPO | Обязательны, если требуется DPO | Обязательна публикация деловых контактных данных |
| Чувствительные данные | Особые категории по статье 9 | Отдельной всеобъемлющей категории чувствительных данных нет |
| Данные детей | Особые правила, включая статью 8 | Специальные рекомендации PDPC по персональным данным детей |
| Максимальный административный штраф | 20 млн евро или 4% мирового годового оборота | До 1 млн сингапурских долларов или 10% годового оборота в Сингапуре для подпадающих под критерии крупных организаций - в зависимости от того, какая сумма больше |
| Сертификация | Обязательной сертификации, единой для всего GDPR, нет | Доступен добровольный знак Data Protection Trustmark |
Что такое GDPR?
Общий регламент по защите данных (GDPR) - основной нормативный режим Европейского союза в области защиты персональных данных.
Он применяется с 25 мая 2018 года и устанавливает требования к организациям, которые обрабатывают персональные данные в рамках его сферы действия.
GDPR охватывает:
- Законность обработки
- Прозрачность и уведомления о конфиденциальности
- Права субъектов данных
- Защиту данных на этапе проектирования и по умолчанию
- Реестры операций по обработке
- Оценки воздействия на защиту данных
- Обязанности контролёров и обработчиков
- Уведомление об утечке данных
- Инспекторов по защите данных
- Международную передачу данных
- Сотрудничество с надзорными органами
GDPR может также применяться к организациям за пределами ЕС, если выполнены условия его территориальной сферы действия.
Что такое PDPA Сингапура?
Сингапурский закон Personal Data Protection Act 2012 устанавливает правила сбора, использования, раскрытия и защиты персональных данных организациями.
Применение PDPA и надзор за его соблюдением обеспечивает Personal Data Protection Commission (PDPC).
PDPA включает обязанности в следующих областях:
- Подотчётность
- Уведомление
- Согласие
- Ограничение целей
- Точность
- Защита
- Ограничение хранения
- Ограничение передачи
- Доступ и исправление
- Уведомление об утечке данных
- Переносимость данных - когда соответствующие положения вступят в силу
PDPA также действует наряду с сингапурским режимом реестра Do Not Call, который распространяется на отдельные маркетинговые сообщения.
GDPR vs PDPA: разные подходы к соответствию
Одно из главных различий - то, как эти два закона выстраивают соответствие.
GDPR
GDPR требует, чтобы организации определяли применимое правовое основание обработки по статье 6.
К ним относятся:
- Согласие
- Договор
- Юридическая обязанность
- Жизненно важные интересы
- Задача в общественных интересах
- Законные интересы
При обработке особых категорий персональных данных применяются дополнительные требования.
PDPA Сингапура
PDPA делает существенный акцент на подотчётности организации и на надлежащих целях сбора, использования и раскрытия персональных данных.
Согласие остаётся важным механизмом, но сингапурский режим также предусматривает:
- Подразумеваемое согласие
- Подразумеваемое согласие в силу договорной необходимости
- Подразумеваемое согласие в силу уведомления
- Законные интересы
- Совершенствование бизнеса и другие установленные законом исключения
- Иные установленные исключения
Поэтому организациям не следует пытаться выстроить взаимно-однозначное соответствие между статьёй 6 GDPR и PDPA Сингапура.
GDPR vs PDPA: подотчётность и управление
Оба режима ожидают, что организации встроят управление конфиденциальностью в свою деятельность.
GDPR
В зависимости от организации и операций по обработке GDPR может требовать:
- Инспектора по защите данных
- Реестры операций по обработке
- DPIA
- Конфиденциальность на этапе проектирования
- Договоры с обработчиками
- Процедуры на случай утечки данных
- Процедуры обработки запросов субъектов данных
- Оценки воздействия передачи и гарантии
PDPA Сингапура
Сингапур требует, чтобы организации подтверждали подотчётность надлежащими политиками, практиками и системой управления.
Организации должны назначить хотя бы одного инспектора по защите данных (DPO) и сделать его деловые контактные данные общедоступными. Функция DPO может быть отдельной должностью или совмещаться с существующей.
Это важное отличие от GDPR, где DPO обязателен только в установленных случаях.
Права физических лиц: GDPR vs PDPA
Оба режима наделяют физических лиц правами в отношении их персональных данных, но GDPR предусматривает более широкую и детальную систему прав.
Права по GDPR
Права по GDPR включают:
- Право на доступ
- Право на исправление
- Право на удаление
- Право на ограничение обработки
- Право на переносимость данных
- Право на возражение
- Права, связанные с автоматизированным принятием решений и профилированием
PDPA Сингапура
PDPA Сингапура предусматривает:
- Права на доступ
- Права на исправление
- Права на получение информации об использовании и раскрытии персональных данных в применимых случаях
PDPA также содержит обязанность по переносимости данных (Data Portability Obligation), однако PDPC указывает, что она вступит в силу после издания соответствующих подзаконных актов. Поэтому сейчас её не следует представлять как действующий аналог статьи 20 GDPR.
GDPR vs PDPA: уведомление об утечке данных
Оба режима требуют, чтобы организации выстроили надлежащие процессы реагирования на утечки данных.
GDPR
Если утечка персональных данных подлежит уведомлению, контролёр, как правило, обязан уведомить соответствующий надзорный орган без неоправданной задержки и, если это возможно, в течение 72 часов после того, как ему стало известно об утечке.
Физических лиц также необходимо проинформировать, если утечка может повлечь высокий риск для их прав и свобод, с учётом исключений, предусмотренных GDPR.
PDPA Сингапура
Организации должны оценить, подлежит ли утечка данных уведомлению.
Если утечка отвечает применимым критериям уведомления, организация обязана уведомить PDPC и затронутых физических лиц в установленном порядке и в кратчайший практически возможный срок. В качестве ключевых факторов при определении обязанности уведомить PDPC называет значительный вред и значительный масштаб.
Главный вывод: Практический вывод: глобальный процесс реагирования на инциденты может быть общим, но дерево решений об уведомлении должно оставаться отдельным для каждой юрисдикции.
Международная передача данных
GDPR и PDPA Сингапура регулируют международную передачу данных по-разному.
GDPR
Глава V GDPR предусматривает, в частности, следующие механизмы:
- Решения об адекватности
- Стандартные договорные условия
- Обязательные корпоративные правила
- Утверждённые кодексы поведения или механизмы сертификации в применимых случаях
- Отдельные исключения
PDPA Сингапура
Согласно предусмотренной PDPA обязанности по ограничению передачи (Transfer Limitation Obligation), организации, передающие персональные данные за пределы Сингапура, должны обеспечить, чтобы переданные данные получали уровень защиты, сопоставимый с уровнем PDPA, с учётом применимых требований и исключений.
Подзаконные акты Сингапура предусматривают несколько механизмов выполнения этих требований, включая юридически обязывающие обязательства, договорные гарантии, обязательные корпоративные правила и признанные механизмы сертификации.
Главный вывод: Программу передачи данных, построенную на SCCs по GDPR, всё равно следует проверить на соответствие сингапурским требованиям к передаче, а не считать её автоматически достаточной.
GDPR vs PDPA: прямой маркетинг
Прямой маркетинг - ещё одна важная область расхождений.
GDPR
Маркетинговая деятельность, как правило, требует надлежащего правового основания по GDPR, а также соблюдения применимых национальных правил и правил ЕС об электронных коммуникациях.
Сингапур
В Сингапуре действует реестр Do Not Call, который охватывает определённые маркетинговые сообщения на сингапурские телефонные номера.
Поэтому организациям, которые ведут прямой маркетинг в Сингапуре, следует оценить и то, и другое:
- Требования PDPA
- Применимые обязанности в рамках Do Not Call
Поэтому соответствие маркетинга сингапурским требованиям важно даже тогда, когда организация уже ведёт маркетинговую программу, соответствующую GDPR.
GDPR vs PDPA: чувствительные персональные данные
GDPR
GDPR закрепляет в статье 9 формальную категорию - особые категории персональных данных.
К ним относятся сведения, касающиеся, в частности, следующего:
- Здоровье
- Биометрические данные в установленных случаях
- Генетические данные
- Расовое или этническое происхождение
- Религиозные или философские убеждения
- Политические взгляды
- Членство в профсоюзах
- Половая жизнь или сексуальная ориентация
PDPA Сингапура
PDPA Сингапура не использует аналогичной всеобъемлющей законодательной категории «чувствительные персональные данные».
Вместо этого при определении надлежащих гарантий организациям следует оценивать характер информации, цель обработки, обстоятельства и уровень риска.
GDPR vs PDPA: данные детей
GDPR
GDPR содержит особые правила в отношении детей, включая предусмотренный статьёй 8 порядок получения согласия применительно к услугам информационного общества: по умолчанию возраст составляет 16 лет, и государства-члены могут снизить его, но не ниже 13 лет.
PDPA Сингапура
Сингапурская PDPC выпустила специальные рекомендации по персональным данным детей в цифровой среде.
Согласно этим рекомендациям, если ребёнку меньше 13 лет, организациям следует получать согласие его родителя или опекуна.
Поэтому организациям, предлагающим цифровые услуги детям, следует включить в свою сингапурскую программу процессы обеспечения конфиденциальности, получения согласия и родительского контроля, соответствующие возрасту.
GDPR vs PDPA: санкции
Структура санкций в двух режимах существенно различается.
GDPR
За отдельные нарушения административные штрафы по GDPR могут достигать:
20 млн евро или 4% мирового годового оборота - в зависимости от того, какая сумма больше.
PDPA Сингапура
За подпадающие под критерии нарушения в области защиты данных максимальный финансовый штраф может составлять:
1 млн сингапурских долларов или 10% годового оборота в Сингапуре - в зависимости от того, какая сумма больше, - если годовой оборот организации в Сингапуре превышает 10 млн сингапурских долларов.
Фактический размер штрафа зависит от обстоятельств, включая такие факторы, как характер и тяжесть нарушения, причинённый вред, степень вины и ответные действия организации.
GDPR vs PDPA: инспектор по защите данных
В этой области требования Сингапура более прямолинейны.
GDPR
DPO обязателен только при выполнении условий статьи 37, например:
- Обработка органом публичной власти
- Масштабный регулярный и систематический мониторинг
- Масштабная обработка особых категорий данных или данных об уголовных правонарушениях
PDPA Сингапура
Каждая организация должна назначить хотя бы одного DPO и сделать соответствующие деловые контактные данные общедоступными. DPO может быть сотрудником или надлежащим образом назначенным внешним лицом, а отдельные обязанности DPO можно передать на аутсорсинг.
GDPR vs PDPA: посредники по обработке данных и обработчики
Терминология также различается.
GDPR
GDPR различает:
- Контролёров
- Совместных контролёров
- Обработчиков
Обработчики действуют от имени контролёров и подчиняются особым договорным и установленным законом требованиям.
PDPA Сингапура
Сингапур различает:
- Организации
- Посредников по обработке данных
Посредник по обработке данных (data intermediary) обрабатывает персональные данные от имени другой организации, и его установленные законом обязанности отличаются от обязанностей организации, которая определяет цели и средства обработки.
Поэтому организациям следует сопоставить договорные и операционные обязанности, а не считать, что «обработчик» и «посредник по обработке данных» юридически взаимозаменяемы.
Строже ли PDPA Сингапура, чем GDPR?
Ни один из режимов нельзя точно назвать более строгим во всех отношениях.
GDPR, как правило, более детален в таких областях, как:
- Права физических лиц
- Правовые основания
- Оценки воздействия на защиту данных
- Автоматизированное принятие решений
- Защита данных на этапе проектирования
- Международная передача данных
PDPA Сингапура содержит особые требования в следующих областях:
- Подотчётность на уровне всей организации
- Обязательное назначение DPO
- Механизмы согласия и подразумеваемого согласия
- Сопоставимая защита при передаче за рубеж
- Обязанности в рамках Do Not Call
- Сингапурские требования к правоприменению и уведомлению
Поэтому правильный подход к соответствию - определить, где каждая юрисдикция предъявляет более строгое или иное требование.
Может ли одна программа конфиденциальности охватить GDPR и PDPA Сингапура?
Да. Организации, работающие в ЕС и Сингапуре, могут построить одну глобальную программу конфиденциальности с мерами контроля для каждой юрисдикции.
Общая программа может охватывать:
- Реестр данных
- Управление конфиденциальностью
- Управление поставщиками
- Меры безопасности
- Уведомления о конфиденциальности
- Управление запросами субъектов данных
- Реагирование на утечки данных
- Международную передачу данных
- Обучение сотрудников
- Ведение учёта
- Регуляторный мониторинг
Дополнительные слои для отдельных юрисдикций затем могут охватить:
GDPR
Правовые основания, требования о представителе в ЕС, где применимо, DPIA, статью 9, статью 22, механизмы передачи данных ЕС и права по GDPR.
PDPA Сингапура
Назначение DPO, согласие и подразумеваемое согласие, соответствие требованиям DNC, сингапурские требования к передаче данных, уведомление PDPC об утечках и специфичные для Сингапура требования к подотчётности.
Рекомендуемая операционная модель
- Единая карта данных
- Единая система мер контроля конфиденциальности
- Правовые слои для отдельных юрисдикций
- Непрерывный мониторинг
Такой подход обеспечивает единообразие и при этом не приравнивает GDPR и PDPA друг к другу.
Часто задаваемые вопросы
Похож ли PDPA Сингапура на GDPR?
Да. Оба режима регулируют сбор, использование, раскрытие и защиту персональных данных и содержат требования к подотчётности, безопасности, прозрачности, правам физических лиц и международной передаче данных. Однако их правовая структура и конкретные обязанности различаются.
Если моя компания соответствует GDPR, соответствует ли она автоматически PDPA?
Нет. Соответствие GDPR даёт полезную основу, но организациям следует отдельно оценить сингапурские требования: назначение DPO, обязанности в рамках DNC, требования PDPA к передаче данных, механизмы согласия и сингапурский порядок уведомления об утечках.
Требует ли PDPA Сингапура назначения DPO?
Да. Организации должны назначить хотя бы одного DPO и сделать его деловые контактные данные общедоступными.
Есть ли в PDPA Сингапура право на переносимость данных?
PDPA содержит обязанность по переносимости данных (Data Portability Obligation), однако PDPC указывает, что она вступит в силу после издания соответствующих подзаконных актов. Поэтому сейчас её не следует считать действующим аналогом статьи 20 GDPR.
Требует ли PDPA Сингапура уведомлять об утечке в течение 72 часов?
PDPA предусматривает обязательный порядок уведомления об утечках данных, но это требование не следует сводить к универсальному «правилу 72 часов». Организации должны оценить, подлежит ли утечка уведомлению, и выполнить применимые требования к уведомлению.
Применяется ли PDPA Сингапура к зарубежным компаниям?
PDPA Сингапура может применяться к организациям, которые работают с персональными данными в Сингапуре, с учётом сферы действия закона и применимых исключений. Организациям следует оценивать свою деятельность и роль по PDPA, а не полагаться только на место регистрации.
Есть ли в Сингапуре реестр Do Not Call?
Да. В Сингапуре действует реестр Do Not Call для определённых маркетинговых сообщений на сингапурские телефонные номера. Компаниям, которые ведут прямой маркетинг, следует оценивать применимые требования DNC отдельно от общей программы соответствия в области конфиденциальности.
Каков максимальный штраф по PDPA?
За подпадающие под критерии нарушения в области защиты данных организациям с годовым оборотом в Сингапуре свыше 10 млн сингапурских долларов может грозить максимальный финансовый штраф в размере 10% годового оборота в Сингапуре или 1 млн сингапурских долларов - в зависимости от того, какая сумма больше.
Создайте программу соответствия GDPR и PDPA Сингапура
Работа в Европе и Сингапуре требует программы конфиденциальности, которая учитывает и общие принципы, и требования отдельных юрисдикций.
RegulatoryBridge помогает организациям согласованно выполнять требования GDPR, PDPA Сингапура и других законов о защите данных по всему миру: соответствие в области конфиденциальности, представительство перед регуляторами, управление и постоянный регуляторный мониторинг.
Одна глобальная программа конфиденциальности. Нужные меры контроля для каждой юрисдикции.
Охватите GDPR и PDPA в рамках одной программы.
Сопоставьте средства контроля один раз, соответствуйте дважды. RegulatoryBridge предоставляет вам единый конвейер DSAR, единого DPO, единый план реагирования на нарушения - охватывающий обе системы.