Asie · Protection des données

Singapour : Singapore PDPA et ses exigences

Personal Data Protection Act 2012 (PDPA) : cadre juridique établi, avec une application effective. Supervision : Personal Data Protection Commission (PDPC).

Référentiel vérifié pour la dernière fois en 2026-09.

Les exigences clés en un coup d'œil

Enregistrement auprès de l'autorité	Non obligatoire
Délégué à la protection des données	Obligatoire
Notification des violations	Sous 72 heures
Restrictions aux transferts internationaux	Obligatoire
Localisation des données	Non obligatoire

Sanctions et application

Sanctions financières pouvant atteindre 10 % du chiffre d'affaires annuel à Singapour pour les grandes organisations (plafonds fixes plus bas sinon).

À retenir en pratique

Délai de notification : informer la PDPC dans les 3 jours calendaires suivant l'évaluation d'une violation comme devant être notifiée (préjudice important, ou 500 personnes ou plus), à compter de l'évaluation et non de la violation. S'applique aux organisations étrangères qui collectent, utilisent ou communiquent des données personnelles à Singapour. Les transferts à l'étranger exigent une protection comparable.

L'obligation de sécurité

Selon s.24 : Obligation de protection : dispositions de sécurité raisonnables pour prévenir l'accès, la collecte, l'utilisation, la divulgation non autorisés et les risques similaires. Source: texte publié, vérifié en 2026-10.

Comment Cevro vous aide

Rattache Singapore PDPA au reste de votre programme de conformité : les preuves collectées pour SOC 2 ou ISO 27001 comptent aussi ici lorsqu'elles se recoupent.
Compte vos contrôles techniques automatisés comme preuves de l'obligation de sécurité (s.24).
Donne à chaque contrôle en échec une correction précise et un moyen de le revérifier.

Questions fréquentes

Singapour : qui supervise la protection des données ?

Personal Data Protection Commission (PDPC) supervise l'application de Personal Data Protection Act 2012 (PDPA).

Singapore PDPA : la notification des violations est-elle obligatoire ?

Le texte prévoit un délai de 72 heures pour informer l'autorité d'une violation de données personnelles ; il faut donc un dispositif de détection et un processus d'incident capables de le respecter.

Singapour : les transferts internationaux de données sont-ils restreints ?

Oui. Les transferts de données personnelles hors de la juridiction sont encadrés : confirmez une base de transfert licite avant que les données ne la quittent.

Singapore PDPA : faut-il désigner un délégué à la protection des données ?

Oui. La désignation d'un délégué à la protection des données est obligatoire.

Singapour : quelles sanctions en cas de non-conformité ?

Sanctions financières pouvant atteindre 10 % du chiffre d'affaires annuel à Singapour pour les grandes organisations (plafonds fixes plus bas sinon).

Juridictions voisines : Asie

Référence à titre informatif uniquement, ne constitue pas un avis juridique. Compilée à partir d'une source de septembre 2026 examinant les textes de protection des données ; les lois évoluent, tout comme la pratique de leur application. Vérifiez les exigences en vigueur auprès d'un conseil local qualifié avant toute décision de conformité.