《个人数据保护法修正案（2020）》

新加坡《个人数据保护法》，参见文露，北京德和衡（上海）律师事务所；张继红，《个人数据保护法国别研究》。

《个人数据保护法修正案（2020）

• 一、制度背景
  • （一）数字政策的推动
    • 2018年《东盟—澳大利亚数字贸易框架倡议》
    • 2018年《数字经济行动框架》
    • 2020年《数字经济伙伴关系协定》等
  • （二）国际经验的借鉴
    • 英国《数据保护法案》
    • 经合组织《隐私权保护及个人数据跨境流动指引》等
  • （三）技术发展的挑战
    • 云计算、数据分析、人工智能等信息技术发展带来的挑战
• 二、主要内容
  • （一）核心概念
    • 1.个人与组织
      • 个人（数据主体）：自然人
      • 组织（数据处理行为）：自然人、法人或非法人组织
        • 组织 ≈ 我国数据处理者/欧盟数据控制者； 数据中介商 ≈ 我国受托加工处理/欧盟数据处理者。
    • 2.个人数据
      • 能从该数据中直接识别个人的；
      • 能从组织（可以或可能）获取的该数据或其他信息中间接识别个人的。
    • 3.敏感个人数据
      • 证件号、个人财务数据、个人保险信息、涉及吸毒或不诚信的过往历史信息、敏感就诊情况及未成年个人信息。
  • （二）适用范围
    • 从事数据处理活动的组织
  • （三）核心原则 （法律上没有规定，来源于实践）
    • 1.透明化原则
    • 2.合法处理原则
    • 3.用途限制原则
    • 4.限制保留原则
    • 5.安全性原则
    • 6.准确性原则
    • 7.转移限制原则
  • （四）组织义务
    • 1.获得同意义务
    • 2.用途限制义务
    • 3.访问及修正义务
    • 4.准确性义务
    • 5.安全义务
    • 6.限制保留义务
    • 7.限制转移义务
    • 8.通知义务
    • 9.问责义务
  • （五）个人数据权利
    • 1.数据访问权
    • 2.数据修正权
    • 3.拒绝处理权
    • 4.限制处理权
    • 5.数据可移植权
    • 6.拒绝广告权
    • 7.投诉权
  • （六）同意原则的例外情形
    • 1.出于个人重大利益考虑
    • 2.出于公共利益的考量
      • 例如：符合国家利益的、为新闻活动进行处理的等
    • 3.基于合法利益
      • 例如：组织或他人的合法利益大于对个人的不利影响
    • 4.商业资产交易
    • 5.业务改进目的
  • （七）数据保护合规官
    • 组织应指定一名或多名人员负责确保组织遵守PDPA
    • 组织应公开数据保护合规官的业务联系信息
    • 受委任的数据保护合规官有权将自身的职责转委托给其他合适人选
  • （八）监管机构：个人数据保护委员会
    • 由个人数据保护委员会负责贯彻落实本法
  • （九）罚则
    • 1.责令整改
    • 2.行政罚款
    • 3.有期徒刑
• 三、主要特点
  • （一）关于个人数据的定义：更为抽象，可识别是关键
    • 匿名数据不具有可识别性，不属于个人数据；如果虚拟识别符（如IP地址、cookie标识）具有识别自然人身份的功能，则属于个人数据。
  • （二）关于个人数据保护对象：更灵活的“个人”范畴
    • 1.对已故超过10年的自然人，不保护
    • 2.对已保留超过100年的个人数据，不保护
  • （三）关于个人数据的适用对象：“组织”与“用户（个人）”的概念相呼应
  • （四）赋予的用户权利中，不包括删除权
  • （五）关于儿童个人数据保护：没有单独设计儿童数据保护条款
  • （六）关于数据保护合规官：重视程度较高
    • PDPA要求所有组织，无论规模大小、人员多少，均应任命数据保护合规官
    • PDPA规定数据保护合规官的工作联系方式必须向公众完全公开，GDPR只要求向数据主体及监管机构公开即可。
  • （七）关于跨境数据流动：监管更严、限制程度更高
  • （八）数据合规执法机构：更为灵活、高效、务实
    • 1.执法权：可以要求组织或个人配合调查并强制交出某特定文件或提供某些信息；可以进行现场搜查，甚至无需出具搜查令。
    • 2.投诉复议权、制定政策指导等。
• 《个人数据保护法（2020）》 PDPA