转载：出海指南 | 新加坡数据合规
2023-04-22 缘分 24696(2) PDPC调查结果及处罚决定
PDPC调查发现，T新加坡主体在向第三方HR系统上传员工个人数据时违反PDPA第26条数据传输限制义务，须追究T新加坡主体该方面的责任。PDPC理由为：
- T新加坡主体作为数据传输方应履行PDPA第26条规定的数据跨境传输义务，包括但不限于通过签署数据处理协议的方式进行；
- 尽管HR系统采购协议已约定该系统供应商的数据保护义务，但该协议签署主体为T母公司和HR系统供应商，不包括T新加坡主体。因此，T新加坡主体不能以该采购协议主张其已通过签署数据处理条款的方式履行数据跨境传输义务；
- 根据集团各主体签署的企业服务协议（“CSAs”），1）尽管CSAs约定了T母公司负责向集团各子公司提供IT政策、策略以及技术支持服务，也授权T母公司聘用第三方供应商，但排除T母公司负责IT设备的运营和维护工作；2）CSAs也未约定T母公司代集团各子公司行使相关数据保护义务。基于上述两点安排，新加坡服务器所涉的相关数据保护义务实际仍由T新加坡主体自行承担。
(3) 合规启示
从PDPC处罚决定看，对于向总部统一采购的供应商等第三方跨境传输数据，PDPC并非强制要求新加坡主体与第三方另行签订数据处理协议，而是允许新加坡主体通过与母公司签订协议明确双方关于数据跨境传输、保护的权利义务，授权母公司代集团各子公司集中履行相关数据跨境传输、保护义务，以形成义务履行的链条。
因此，笔者建议企业在出海过程中应特别注意，1）通过签订数据处理协议明确母公司与新加坡主体之间关于数据保护权利义务的分配。如数据跨境、数据保护义务仍由新加坡主体履行，则应由新加坡主体与个人数据接收方签署数据跨境传输协议，履行数据跨境传输限制义务。2）考虑到发生数据泄露事件很可能触发PDPC对组织PDPA义务履行情况的全面调查，母公司和新加坡主体应采取数据安全管理措施，在集团、当地主体及接收数据的供应商等第三方确保数据安全，避免数据泄露事件发生，下一节笔者将就如何履行数据安全保护义务进一步展开介绍。
(三) 数据安全保护
PDPA第24条要求组织应采取合理措施避免1）数据被未经授权访问、收集、使用、披露、复制、修改、处置等类似风险；2）存储个人数据的存储介质或设备丢失。根据PDPC发布的指引，当前没有统一的数据保护方案，每个组织应根据个人数据性质（是否为敏感个人数据）、个人数据泄露对个人的影响等因素综合制定数据保护方案。PDPC建议组织可以采取以下措施，包括1）综合考虑上述因素制定数据安全保护方案，包括物理措施、技术措施及管理措施；2）设置数据安全保护专业人员；3）制定内部制度和操作流程，分级保护个人数据；3）能够快速、有效应对信息安全事件；4）综合考虑组织规定、个人数据规模和类型、有权访问个人数据的内部人员、是否委托第三方处理个人数据开展风险评估，以确定相关数据保护方案是否重组。须注意，数据安全保护仍是PDPC执法较为活跃的领域，且可能因发生数据泄露事件而引发对其他义务履行情况的调查，建议出海企业根据自身情况采取数据安全保护措施，避免数据泄露事件发生。
如发生数据泄露事件，且相关事件根据PDPA第26B条构成应告知的信息泄露事件（Notifiable Data Breach）[3]，则组织应在发现该事件可告知后的3个工作日内向PDPC告知；如果数据泄露导致或可能导致对受影响个人的重大伤害，组织必须在通知PDPC时或之后通知受影响个人，以便PDPC在收到通知后能够协助受影响个人。
(四) 营销监管
1、取得明确同意
如“告知-同意”部分介绍，PDPA要求利用个人数据开展营销活动应取得个人明确同意。因此，无论是利用个人电话号码开展电话营销、简讯营销，或利用个人邮箱地址开展邮件营销，均需告知个人营销活动，并取得个人明确同意。
2、“拒绝来电”制度
如涉及电话营销、简讯营销，在询问个人是否同意接收营销信息前，出海企业还应查阅电话号码是否已在“拒绝来电”登记簿（Do Not Call Registry，以下简称“DNC 登记簿”）中登记。如已在“拒绝来电”登记簿中登记，组织不得向其拨打营销电话、发送营销简讯。但如果构成下述情形，可豁免组织查阅DNC登记簿的义务，主要包括1）为完成或确认交易所必需，且个人已事先同意该交易；2）提供产品召回信息、或与产品或服务有关的安全或保障信息；3）向个人提供事前合同约定的个人有权获得的产品和服务，包括产品更新。4）组织与用户存在持续关系（Ongoing Relationship）[4]并且发送的营销信息仅与此持续关系有关；5）为开展市场调查；6）个人以书面或其他形式明确同意公司发送营销信息；7）B2B市场推广的目的。
3、营销信息内容
在发送营销消息时，营销消息应提供发送或被授权发送营销信息的公司信息以及其联系方式，并同步提供退订机制。
(五) 信息内容监管
在信息内容监管方面，新加坡早年发布的《互联网业务准则（Internet Code of Practice）》以及《防止网络假信息和网络操纵法案》（Protection from Online Falsehoods and Manipulation Act）、《防止骚扰法》（Protection From Harassment Act）规定互联网信息内容审查义务以及违禁内容范围，以防范违禁内容传播以及在线危害（如虚假信息的传播、人肉搜索情形）的发生。
2023年2月1日生效的《在线安全法案（修正版）》（Online Safety (Miscellaneous Amendments) Bill）旨在进一步加强在线通信服务的信息内容监管。该法案适用于位于新加坡境内外、新加坡用户能够通过互联网访问或通过互联网向新加坡用户提供内容的任何在线通信服务。具体适用的在线通信服务类型将在该法案附录4中列明，当前仅社交媒体服务被列入在内，未来适用服务类型将进一步增加。该法案规定自杀或自残、身体暴力或性暴力、恐怖主义以及挑拨新加坡种族和宗教矛盾等内容属于“恶劣内容”（Egregious Content）。如发现存在恶劣内容，IMDA作为主管部门有权要求在线通信服务提供者下架、删除内容，如在线通信服务提供者违反IMDA指令，可能面临最高100万新加坡元的罚款。此外，为配合法案落地，新加坡预计发布《在线安全业务守则》（the Code of Practice for Online Safety）、《社交媒体服务内容守则》（the Content Code for Social Media Services）两项守则，从而进一步细化信息内容审查要求及流程，建议相关出海企业关注立法进展。
未完待续,请点击[下一页]继续阅读
