CevroSingapura: Singapore PDPA e o que exige
Personal Data Protection Act 2012 (PDPA): marco legal consolidado, com aplicação efetiva. Supervisão: Personal Data Protection Commission (PDPC).
Principais requisitos em resumo
| Registro na autoridade | Não obrigatório |
|---|---|
| Encarregado de proteção de dados | Obrigatório |
| Notificação de violações | Em até 72 horas |
| Restrições a transferências internacionais | Obrigatório |
| Localização de dados | Não obrigatório |
Sanções e fiscalização
Sanções financeiras de até 10% da receita anual em Singapura para grandes organizações (tetos fixos menores nos demais casos).
O que saber na prática
Prazo de notificação: comunicar à PDPC em até 3 dias corridos após avaliar que a violação é notificável (dano significativo ou 500 ou mais pessoas), contado da avaliação e não da violação. Aplica-se a organizações estrangeiras que coletam, usam ou divulgam dados pessoais em Singapura. Transferências ao exterior exigem proteção comparável.
O dever de segurança
Conforme s.24: Dever de proteção: providências de segurança razoáveis para prevenir acesso, coleta, uso, divulgação não autorizados e riscos semelhantes. Fonte: texto publicado, verificado em 2026-10.
Como a Cevro ajuda
- Associa Singapore PDPA ao restante do seu programa de conformidade, de modo que as evidências coletadas para SOC 2 ou ISO 27001 também valem aqui quando se sobrepõem.
- Conta suas verificações técnicas automáticas como evidência do dever de segurança (s.24).
- Dá a cada controle reprovado uma correção específica e uma forma de verificá-lo de novo.
Perguntas frequentes
Singapura: quem supervisiona a proteção de dados?
Personal Data Protection Commission (PDPC) supervisiona a aplicação de Personal Data Protection Act 2012 (PDPA).
Singapore PDPA: a notificação de violações é obrigatória?
A lei fixa um prazo de 72 horas para comunicar à autoridade uma violação de dados pessoais; por isso é preciso ter detecção e um processo de incidentes capazes de cumpri-lo.
Singapura: as transferências internacionais de dados são restritas?
Sim. A saída de dados pessoais da jurisdição é restrita, portanto confirme uma base legal de transferência antes de os dados saírem.
Singapore PDPA: é preciso nomear um encarregado de proteção de dados?
Sim. A nomeação de um encarregado de proteção de dados é obrigatória.
Singapura: quais são as sanções por descumprimento?
Sanções financeiras de até 10% da receita anual em Singapura para grandes organizações (tetos fixos menores nos demais casos).