新加坡國會於2020年11月通過個人資料保護法之修正案

  新加坡通訊暨資訊部(Ministry of Communications and Information, MCI)於2020年11月2日發布新聞稿表示,新加坡國家議會(Parliament of Singapore)通過個人資料保護法(Personal Data Protection Act, PDPA)修正案。主要由新加坡個人資料保護委員會(Personal Data Protection Commission, PDPC)擔任執行與管理機關,而新加坡個人資料保護法僅適用於私人企業、非公務機關。

  新加坡通訊暨資訊部特別強調,該個人資料保護法於2013年1月生效,而近年物聯網、人工智慧等新興科技瞬息萬變,隨著資料量急遽增長,企業組織利用個人資料進行創新,成為了社會、經濟和生活的一部分,此次修法意在因應新興科技的進步與新商業模式的發展,使該法可適應、接軌於複雜的數位經濟趨勢,同步維護消費者在數位經濟中的權益,更加符合國際框架,使總部位於新加坡的公司在擴展全球市場時,有助其調整和降低合規成本與風險。主要將加強消費者保護並支持企業業務創新,希望以最大程度提高私部門收益、減少蒐集和利用個人資料的風險,以取得平衡,修訂重點整理如下:

  1. 透過組織問責制度,加強消費者之信任;
  2. 加強組織使用個人資料開發創新產品,提供個人化服務、提高組織之營運效率;
  3. 資料外洩時的強制性通知規定、責任(可參見26A條以下);
  4. 提高企業造成資料外洩時的罰款最高額度,當企業組織年營業額超過1000萬美金者,可處以該組織在新加坡年營業額的10%,或100萬新加坡幣(約62萬歐元),以較高者為準(可參見48J條以下);
  5. 強化個人資料保護委員會的執法權限,提高執法效率;
  6. 為了強化消費者的自主權(consumer autonomy)、對其個資的控制權,規範資料可攜義務(data portability obligation),使個人能要求將其個人資料的副本傳輸到另一個組織(可參見26F條以下);
  7. 允許企業在特定合法利益(legitimate interests)、業務改善(business improvement purpose)之目的情況下,對於個資之蒐集、使用、揭露,得例外不經當事人同意,意即不需經當事人事先同意,即可蒐集、利用或揭露消費者個資,例如開發改善產品和進行市場調查研究、在支付系統中進行異常檢測以防止詐欺或洗錢、改善營運效率和服務等目的。(可參見附表一第三、第五部分)
  8. 允許關聯企業(related corporations)間,在基於「明確定義相關限制」(clearly defined limits)之相同目的前提下,例如透過具有拘束力的公司規則(binding corporate rules)施以一定限制時,可在彼此內部間蒐集、揭露個人資料。(可參見附表一第四部分)
  9. 針對「視為同意」(deemed consent)之相關規定,包含告知後同意(consent by notification)做進一步修訂,將允許企業組織在具契約必要性等特定情形下,在未明確徵得當事人同意之下,向另一個組織或外部承包商(contractors)揭露其個人資料,以利履行契約(fulfil contracts),但該組織與該當事人之間的契約中需有明示條款(express terms)。(可參見15A條以下)

相關連結
你可能會想參加
※ 新加坡國會於2020年11月通過個人資料保護法之修正案, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8580&no=55&tp=1 (最後瀏覽日:2025/11/21)
引註此篇文章
你可能還會想看
資通安全法律案例宣導彙編 第2輯

歐盟針對個人資料傳輸第三國之規範提出參考指引

  歐盟資料保護監督機關(European Data Protection Supervisor, 下稱EDPS)於2014年7月14日,針對利用雲端運算以及行動設備,將個人資料從歐盟境內傳輸至非歐盟國家之部分,提出意見書作為參考指引。EDPS通常會針對雲端業者在從事商業服務時,進行監督審查,當個人資料透過雲端運算服務進行傳輸或處理時,會由EDPS先行確認,以確保該傳輸是否符合歐盟之個人資料保護指令(Directive 95/46/EC)與規則(Regulation (EC) No 45/2001)之規範。   有鑑於跨境合作或使用傳輸服務等需求,歐盟境內將個人資料傳輸至第三國或國際組織之情形日益劇增,此參考指引之主要目的在於詳加解釋歐盟資料保護規則(Regulation (EC) No 45/2001)中關於國際間個人資料傳輸之規定以及應該如何適用。   首先,該指引針對何謂個人資料傳輸以及歐盟資料保護規則第9條之範圍做出說明,後續則分別就適當保護之意涵,以及由歐盟執委會基於規則第9.5條之規定依權限得決定第三國是否已達適當保護標準之國家等部分加以論述。最後,該指引則提供確認表,在資料傳輸前應經過一定的確認流程,包括確認資料接收的國家或組織是否已有適當的保護層級,若無,則是否尚有其他資料可證明。如上述皆無法證明,則應考慮是否有例外情況,例如:取得資料所有人同意得進行傳輸、資料所有人與資料控管者因契約約定同意傳輸、資料控管者與第三人因契約約定,基於資料所有人之利益而傳輸、基於重要公益事由或其他法律上之事項必要傳輸、基於保護資料所有人之重要利益而傳輸、基於資料提供於大眾而傳輸等。倘缺乏以上例外情形,則可考慮資料控管者是否得援引自己已經具備適當的安全機制而可進行資料傳輸。最後,如無任何安全之保護,則資料將無法進行傳輸至第三國。   綜上,歐盟針對資料傳輸予第三國之部分做出更詳細之說明作為參考指引,使資料之傳輸與流通更有明確的規範方向,其後續適用之成效為何應可持續觀察。

美國修正通過外國情報偵察法(FISA)

  美國近期通過「外國情報偵察法」(Foreign Intelligence Surveillance Act, FISA)之修正案,其中,原先於1月份到期的第七章(Title VII)702條款(Section 702),重新延長授權6年,直至2023年12月31日。   此法案於1978年生效,為美國第一個要求政府須先獲得法院許可,始能進行電子監視的法律。法案宗旨係為平衡國家安全以及人民權利,基於憲法第四修正案對人民的保障,使身處美國領土內的人民免於被恣意監視,國家在通常情況下,須獲得外國情報偵察法院(Foreign Intelligence Surveillance Court, FISC)搜索票(warrant)才可對人民進行搜查。   本次法案修正通過後,使聯邦調查局能夠持續使用情報數據資料庫,以獲取有關美國人的信息,但法案新增要求聯邦調查局在預測性刑事調查中(predicated criminal investigation)如要索取與國家安全無關的內容,必須事先經FISC法院審查許可(court order)。   因911恐攻事件後出現的反恐需要,2008年增訂第七章702條款為FISA的正式條款,原本在今年1月到期,法案修正通過後,此條款延長授權6年。目的為美國公民提供隱私保護,禁止政府針對美國公民和位於美國境內的外國人為監視對象;僅處於國外的外國人,涉及外國情報資訊才可被列為本條進行監視的目標。允許情報部門,在三個政府部門(外國情報偵察法院,行政部門和國會)的監督下,收集關於國際恐怖分子,武器散布者以及其他位於美國境外的重要外國情報。   此項修正案保留702條款的操作靈活性,並加入了一些增強隱私措施及要求。惟,受質疑且具爭議的是,702條款條文內容規範,允許美國政府的情報機構--國家安全局(National Security Agency, NSA)基於該條款,例外不需法院搜索票,可向Google、Apple、微軟、Facebook或電信業者等美國企業蒐集、調閱國外非美國人用戶的海外通訊內容(包含電子郵件、電話、其他私人信息等),當這些被監聽的國外用戶之通訊對象係涉及美國人時亦同;意即,若美國人曾接觸被鎖定的國外對象,也會被納入調查並取得通訊紀錄等個資,且禁止業者通知受影響的用戶。曾有國會參議員試圖修改此法案,加入隱私保護條款,但最終並未獲多數同意。

歐洲議會呼籲尊重網路人權

  歐洲議會於2009年3月26日,以大多數支持Lambrinidis報告中關於網路上個人自由保護之投票結果,反對法國政府和著作權行業提出的修正案。歐洲議會的態度是「保障所有公民接近使用網路就如同保障所有公民接受教育」,而且「政府或私人組織不能以處罰之方式拒給這種接近使用的權利」。歐洲議會議員要求會員國政府需體認到網路是一個有效增加公民權利義務之特殊機會,就這方面而言,使用網路及網路內容是一個關鍵要素。   這份報告被歐洲議會議員所採用,得以認識到提供安全措施來保護網路使用者(特別是孩童)之必要性,由於使用者可能會因使用網路,而暴露在成為罪犯或恐怖份子的犯罪工具的風險中。報告中提出方案對抗網路犯罪,但同時也要求在安全及網路使用者基本權利保障中尋求平衡點。 此報告否定法國所提之修正案,歐洲議會又再度否決由法國努力推動「網路侵權三振法案」(three strikes file-sharing law)。歐洲議會認為對於所有網路使用者的監測活動及對於侵權者之處罰有違比例原則。歐洲議會亦公開支持「網路權利憲章」(Internet Bill of Rights)以及推動「隱私權設計」(privacy by design)宗旨。

TOP