CevroSingapur: Singapore PDPA y lo que exige
Personal Data Protection Act 2012 (PDPA): marco legal consolidado, con aplicación efectiva. Supervisión: Personal Data Protection Commission (PDPC).
Requisitos clave de un vistazo
| Registro ante la autoridad | No obligatorio |
|---|---|
| Delegado de protección de datos | Obligatorio |
| Notificación de brechas | En un máximo de 72 horas |
| Restricciones a transferencias internacionales | Obligatorio |
| Localización de datos | No obligatorio |
Sanciones y aplicación
Sanciones económicas de hasta el 10 % de los ingresos anuales en Singapur para organizaciones grandes (topes fijos menores en los demás casos).
Qué saber en la práctica
Plazo de notificación: informar a la PDPC dentro de los 3 días naturales siguientes a evaluar que la brecha es notificable (daño significativo o 500 o más personas), contados desde la evaluación y no desde la brecha. Se aplica a organizaciones extranjeras que recogen, usan o divulgan datos personales en Singapur. Las transferencias al extranjero exigen una protección comparable.
El deber de seguridad
Según s.24: Deber de protección: medidas de seguridad razonables para prevenir el acceso, la recogida, el uso y la divulgación no autorizados y riesgos similares. Fuente: texto publicado, verificado en 2026-10.
Cómo ayuda Cevro
- Asocia Singapore PDPA con el resto de tu programa de cumplimiento, de modo que las evidencias recogidas para SOC 2 o ISO 27001 también cuentan aquí cuando coinciden.
- Cuenta tus comprobaciones técnicas automáticas como evidencia del deber de seguridad (s.24).
- Da a cada control fallido una corrección concreta y una forma de volver a comprobarlo.
Preguntas frecuentes
Singapur: ¿quién supervisa la protección de datos?
Personal Data Protection Commission (PDPC) supervisa la aplicación de Personal Data Protection Act 2012 (PDPA).
Singapore PDPA: ¿es obligatoria la notificación de brechas?
La ley fija un plazo de 72 horas para notificar a la autoridad una brecha de datos personales, por lo que se necesita detección y un proceso de incidentes capaces de cumplirlo.
Singapur: ¿se restringen las transferencias internacionales de datos?
Sí. La salida de datos personales de la jurisdicción está restringida, así que confirma una base lícita de transferencia antes de que los datos salgan.
Singapore PDPA: ¿hay que designar un delegado de protección de datos?
Sí. La designación de un delegado de protección de datos es obligatoria.
Singapur: ¿qué sanciones hay por incumplimiento?
Sanciones económicas de hasta el 10 % de los ingresos anuales en Singapur para organizaciones grandes (topes fijos menores en los demás casos).