【元达·黄仲兰 尤白璐等】新加坡数据保护与跨境传输合规实务解读

随着全球经济局势的飞速转变，中国本土企业出海寻求发展空间成为时代选择。中国企业在国际化的发展过程中面临着各出海目的地不同领域不同程度的合规需求，包括但不限于市场准入与外资审批要求、货币与外汇管制要求、融资要求、进出口与海关监管要求、劳动用工、数据保护、反垄断和反腐败要求等。其中，随着全球数字化发展，各国家/地区愈发在数据保护领域实施更为明确的监管要求。

为了顺应企业走出去的新浪潮，我们将从数据保护与跨境传输规则角度发布一系列针对企业不同出海目的地的政策解读文章。

新加坡是东南亚唯一的发达经济体，政策与法规环境有利于商业发展。当前，面对欧美市场激烈的竞争态势，新加坡具备增量市场和便利的投资政策，数字经济发展强劲，基础设施、技术架构和人才实力等数字经济竞争力指标也处于国际领先地位[1]，已成为中国企业出海的重要方向。

新加坡位于亚洲中心，由于地理位置优越，基础设施完善，众多电信和互联网服务商在此部署了服务器和数据中心，这使得新加坡成为亚洲网络流量的枢纽、全球互联网的关键交换点之一。同时，新加坡数据立法完善，数据保护水平位居世界前列。中国企业出海新加坡时，需要特别关注新加坡数据合规相关要求，避免触及监管红线。本文将主要介绍新加坡的数据保护和跨境传输规则，为企业出海前提前确认新加坡的数据流动架构及合规布局提供参考。

一
新加坡数据保护领域主要立法情况概览

新加坡数据保护领域主要的法律法规包括《个人数据保护法》（Personal  Data  Protection Act 2012，以下简称“PDPA”）、《网络安全法》（Cybersecurity Act 2018）、涉及个保法实施重点领域的《个人数据保护条例》（Personal Data Protection Regulations，以下简称“条例”）和其他的通知性文件。此外，某些特定行业的法律，如《银行法》和《证券和期货法》，其中也涉及了保护某些个人数据（如银行客户账户详情）的规定。

总体而言，新加坡在数据保护领域的立法重点以个人数据保护为主，PDPA为新加坡的个人数据保护提供了基线标准，是出海企业的合规重点。

表 1

为有效实施上述法律规范，新加坡设置了负责对应监督管理执法的主管部门：

2013年，新加坡设置个人数据保护委员会（Personal Data Protection Commission，以下简称“委员会”），隶属于新加坡信息通信媒体发展局，负责PDPA及相关条例的监督执行。此外，委员会还发布了一系列指南（Guidelines），例如《主要概念的咨询指南》、《关于谢绝来电的咨询指南》、《教育行业咨询指南》、《管理公司咨询指南》、《中小企业网站建设指南》等。这些指南虽然不具备强制力，但对数据合规实务有着重要的指导意义。

2015年，新加坡网络安全局成立，负责《网络安全法》的监督执行，保护网络安全和国家安全。

二
新加坡PDPA的主要内容

PDPA于2012年颁布，确立了新加坡个人数据保护的基本框架，在2020年进行了修订，修订版本于2021年2月1日生效。PDPA的立法目的是规范组织收集、使用和披露个人数据的方式，承认个人保护其个人数据的权利，以及组织在特殊情况下以适当目的收集、使用或披露个人数据的必要性。

1.适用范围

PDPA将核心概念个人数据定义为：在世或已故个人的数据，无论其真实与否，能够单独或者与组织已获取或可能获取的其他信息关联后识别出个人。

对于适用主体，PDPA使用组织（Organisation）一词，指代所有在新加坡收集、使用或披露个人数据的自然人、个体工商户、合伙企业、公司、或其他组织机构，无论他们实际位于新加坡境内还是境外。部分主体被豁免于适用范围之外：（1）以个人或家庭身份行事的个人；（2）在受雇于组织的过程中行事的雇员；（3）政府机构。

PDPA的适用客体是所有以电子或非电子形式存储的个人数据，但以下数据除外：（1）已存在至少100年的记录中包含的个人数据；（2）已故超过10年个人的个人数据；（3）商务联系信息，如个人姓名，职务，工作电话，地址，工作邮箱等。

综上，PDPA适用于所有在新加坡收集、使用、披露个人数据的自然人和企业实体，无论其是否在新加坡物理存在，但不对个人或家庭行为、员工职务行为和政府行为进行规制。PDPA对个人数据的解释较为宽泛，强调可识别性的抽象规则，未明确列举哪些属于个人数据，保护范围涵盖在世个人和符合条件的已故个人的个人数据，但不保护商务联系信息。

2.授权同意

个人数据处理的合法性是基于信息主体的同意。根据PDPA第14条，除法律规定可以豁免同意和视为同意的场合外，组织收集、使用或披露个人数据原则上需要履行告知义务并取得个人同意。作出同意后，个人也可以随时向组织发出撤回同意的通知。下表对PDPA中的同意模式和具体场景进行了梳理：

表 2

值得注意的是，新加坡允许组织以商业改进目的收集、使用、披露个人数据，且满足特定条件时可以豁免当事人同意。而中国仅有处理已公开个人信息和涉及公共利益时才能豁免同意，以商业改进为目的处理个人信息需要获得信息主体的明示同意，可见PDPA在该场景下对个人数据处理者的要求较之中国《个保法》明显宽松。然而，为防止该条款被滥用，并非以商业改进目的作出的一切行为都能够豁免同意，还需要满足特定的条件。例如，PDPA指出，对于使用个人数据进行直接营销，发送营销信息等，必须获取个人的明示同意，不能采用豁免同意的方式。

3.电子营销

新加坡对于营销信息发送监管较严，设立了“谢绝来电”制度作为PDPA中的单独一章，还于2013年颁布了《个人数据保护（谢绝来电登记）条例》。对于“谢绝来电”登记簿登记的号码，商家不得向其拨打营销电话或是以短信或传真方式发送营销信息，否则将面临投诉和处罚。同时，正在修订的《网络安全法》也增加了相应规定，禁止向即时消息账户发送未经请求的电子信息。委员会提供了线上、短信、电话三种登记方式（如图1），并为消费者和组织制定了使用指引。

图 1

一般来说，希望向新加坡电话号码发送营销信息的组织应当获得个人的明示同意，该同意必须同时满足以下条件：（1）以书面或其他形式证明，以便日后查阅；（2）不得作为提供货品、服务、土地、权益或机会的条件；（3）不得通过提供虚假或误导性信息或通过欺骗、误导获得。

4.数据保护义务

根据委员会发布的《个保法关键概念咨询指南》中对PDPA的解读，PDPA对组织设置了一系列个人数据保护的义务，如下表所示：

表 3

PDPA对违反数据保护义务规定了比较严格的处罚，包括刑事犯罪、行政处罚、民事责任三个方面，与中国个保法罚则对比如下表：

表 4

新加坡对数据违法的处罚总体轻于中国，仅有行政罚款一项可能高于中国。刑事方面，侵犯公民个人信息情节严重时，在中国可处最高7年有期徒刑，而新加坡对数据犯罪施以监禁的年限为不超过3年。民事方面，中国对个人信息保护诉讼适用过错推定，加重个人信息处理者的举证责任，侧重于保护信息主体的利益，而新加坡没有规定专门的隐私权，举证责任也正常分配。行政处罚上，PDPA在2020年修订时，将上限修改至1百万新加坡元或组织年营业额10%，以两者中较高者为准，中国则是不超过上一年度营业额的5%，体现了新加坡对保护个人数据的重视。且与中国同时处罚违法公司和主管人员的做法不同，新加坡把雇员行为排除在PDPA的适用范围外，仅对违法组织本身进行处罚。

5.委员会执法概览

笔者使用委员会官网的检索工具进行案例检索，2016年4月至2024年1月期间，委员会共作出244个行政决定，其中有21个决定不违法，将余下案例中违反义务类型和罚款数额统计如下表。

表 4

由此可见，常见的处罚理由主要是组织违反保护义务、责任制义务、同意义务，小额罚单多（低于25,000新加坡元）。历史上最高的罚款为100万新加坡元，是PDPA设置的最高处罚，该罚款针对新加坡保健服务集团（Singapore Health Services，简称“Singhealth”）和综合保健信息系统公司（Integrated Health Information Systems，简称“IHiS”）的个人数据泄露事件下发。该事件由于网络攻击引发，攻击者利用病毒软件获得了Singhealth工作站的远程控制权限，并于2018年6月27至7月4日之间设法盗取了150万的患者信息，包括诊断报告、药物记录等。委员会认为，负责公共医疗机构资讯通信系统的IHiS有义务提供更高的数据保护标准。

6.结论

相较于中国《个保法》而言，新加坡对个人数据的保护范围更窄，从个人数据的保护中排除了姓名、职位、工作电话、工作邮箱等商务联系信息，同时规定以合法、正常的商业改进目的使用个人数据可以免于同意，体现了PDPA在鼓励商业发展和保护个人数据上的灵活性。

新加坡在数据立法领域体现的态度是寻求个人信息保护与数据利用的动态平衡，在规定了组织的数据保护义务的同时，促进数据流动和数据经济发展。总体来说，PDPA的监管重点集中在电子营销、数据安全、告知同意、组织内部合规管理上。中国企业出海时要格外注意上述方面的合规管理。同时，与中国要求部分主体设置数据保护官（DPO）的规定不同，依据PDPA第11（3）条[2]，所有组织内至少设立一名DPO，可以是专职或现有员工兼任，被任命的DPO还可以将某些职责委托给其他员工。PDPA对DPO的资格没有具体要求，仅要求向委员会进行登记，并向公众提供至少一名DPO的联系信息。

三
新加坡数据跨境传输要求与路径

数字经济已经成为经济增长的新动能，数据要素的重要性日益凸显，如何在维护数据安全的前提下促进数据跨境流动是数字经济时代的重要命题。新加坡对于数据流动持开放进取的态度，2020年6月12日，新加坡联合智利和新西兰签署《数字经济伙伴关系协定》（“DEPA”）。在跨境数据自由流动方面，各缔约国原则上应允许数据（包括个人信息）跨境自由流动，禁止要求数据本地存储或处理，还新加入了人工智能、开放政府数据、数字身份、数据监管沙盒等创新性条款[3]。

PDPA在2020年修订了数据跨境传输的相关规定：除非根据PDPA相关要求确保接收方对传输的个人数据提供至少与PDPA同等的保护，不得将任何个人数据传输到新加坡以外的国家或地区。该规定在《条例》中进一步细化：“组织只有在采取适当措施，确保数据接收方受法律强制义务的约束，对传输的个人数据提供与PDPA同等的保护标准时，才能将个人数据向第三国转移。”

数据接收方的法律强制义务一般来源于成文法律、跨境传输合同、具有内部约束力的公司规则（Binding Corporate Rules，简称“BCRs”）或其他具有法律约束力的文书。可通过下表方式获得数据跨境传输的合法性基础：

表 5

综合来看，新加坡PDPA以及相关配套规则允许跨境传输个人数据，但个人数据传输方应确保境外接收方为个人数据提供不低于PDPA标准的保护措施，实务中推荐与数据接收方签署跨境传输合同或BCRs。除此之外，如果传输方获取了个人数据主体关于跨境事项的有效同意、个人数据为过境中转数据或已公开数据、接收方企业具备新加坡政府要求的认证等，可以直接进行传输。

四
新加坡《网络安全法》的主要内容

2018年2月5日，新加坡议会通过了《网络安全法》。该法是落实新加坡网络安全战略的重要举措，为涉及关键信息基础设施（CII）的公司提供明确的指导方针，说明其保护CII免受网络攻击的义务。新加坡《网络安全法》的主要内容包括：
（1）加强对CII的保护，防范网络攻击，涉及CII的行业包括能源、水利、银行和金融、医疗保健、运输（包括陆地、海事和航空）、信息通信、媒体、安全和应急服务以及政府；（2）授权新加坡网络安全局预防和应对网络安全威胁和事件，并且可以根据网络安全威胁或事件的严重程度以及响应所需的措施来调整可行使的权力；（3）建立共享网络安全信息的框架；（4）为网络安全服务提供商设立许可证制度，目前仅要求提供渗透测试服务、管理网络安全营运中心服务的企业必须申请许可证。因为这两类服务提供商可以访问客户的敏感信息，对整体安全格局有重大影响。
五
新加坡人工智能监管动态

生成式人工智能作为一项突破性技术，拥有更强的理解和生成能力，应用场景更为广泛，人工智能已成为各国未来重点关注领域之一。新加坡政府曾表示，目前没有考虑监管人工智能，在决定是否需要从监管方面做更多工作之前，要先了解人工智能的使用方式[4]。

2023年12月，新加坡发布了更新后的《国家人工智能战略2.0》，对2019年发布的《国家人工智能战略》进行替代，其中数据是基础设施与环境建设的抓手之一，战略文件对此提出了两点：一是建立数据服务和隐私增强技术方面的能力；二是开放公共数据，以服务于公共利益。

同月，委员会发布了《关于在人工智能推荐和决策系统中使用个人数据的咨询指南》草案（以下简称“《指南》”）。作为PDPA的指导性文件，《指南》强调企业负有确保其选择使用的人工智能系统能够满足其在PDPA下义务的首要责任，尤其是同意义务和通知义务。用个人数据进行人工智能开发、测试和监测时，企业必须告知信息主体收集、使用和披露个人数据的目的，并对此取得个人同意。《指南》还提出，在人工智能系统开发、测试和监测中，企业可能适用豁免同意的场景为商业改进例外和研究例外。适用商业改进例外时，企业需确保个人数据提供的必要性和合理性。适用研究例外时，企业须确保个人数据的提供具有必要性、合理性、公益性，并且研究结果不会被用于作出影响信息主体的决策，公布研究结果时需要进行匿名化处理。

总体来说，新加坡对人工智能的发展采取比较积极自由的监管态度，暂未对企业施加PDPA以外的合规义务，有利于人工智能及高科技企业的发展。

六
总结

总的来说，新加坡的数据合规要求更为注重数据安全和商业发展的平衡，避免对企业施加过重的合规义务，对中国企业出海来说是一个好的目的地。但从趋势来看，最新修订的新加坡PDPA提高了数据违法的罚款上限，委员会持续发布合规指引，违反数据保护的执法案例屡见不鲜，未来监管形势依然不可小觑。出海企业需要严格审查自身，关注中国和新加坡两国数据领域最新的合规要求，做好合规管理。


[1] 牛东芳, 张宇宁, 黄梅波：《新加坡数字经济竞争力与全球治理贡献》，载《亚太经济》2023(03)。
[2] “An organisation must designate one or more individuals to be responsible for ensuring that the organisation complies with this Act.”
[3] 上海数据交易所：《全球数据跨境流动规则全景图》，2023年11月26日。
[4] https://www.thepaper.cn/newsDetail_forward_23552408，2024年2月23日访问。

撰稿人

黄仲兰创始人与管理合伙人+86 21 6105 0588jzhuang@yuandawinston.com

尤白璐顾问+86 21 6105 0565doyou@yuandawinston.com
· EXIN国际认证DPO 欧盟数据保护官· BSI国际认证ISO/IEC27701隐私信息管理体系实施专家· BSI国际认证ISO 37301合规管理体系合规师· EXIN国际认证ISO/IEC27001 信息安全官


程盈律师+86 21 6105 0926rcheng@yuandawinston.com