Cumplimiento de la Ley de Protección de Datos Personales (PDPA) de Singapur
Pandectes GDPR Compliance ayuda a las tiendas Shopify a cumplir los requisitos de la PDPA de Singapur: recoge el consentimiento para las cookies, las detecta y clasifica, y conserva registros del consentimiento.
Empiece gratis
La app de consentimiento de cookies n.º 1 para Shopify, con la confianza de 185k tiendas
¿Qué es la PDPA?
La Personal Data Protection Act 2012 (PDPA), Ley de Protección de Datos Personales de 2012, es la ley general de protección de datos de Singapur. Regula cómo las organizaciones del sector privado recogen, usan y comunican datos personales, y también creó el registro Do Not Call de Singapur para los mensajes de marketing. La ley la administra y la hace cumplir la Comisión de Protección de Datos Personales (Personal Data Protection Commission, PDPC).
La PDPA se articula en torno a una serie de obligaciones de protección de datos, entre ellas:
- Consentimiento: las organizaciones solo pueden recoger, usar o comunicar datos personales con el consentimiento de la persona, salvo que se aplique una excepción. En algunas situaciones el consentimiento puede presumirse, por ejemplo cuando alguien facilita voluntariamente sus datos para una finalidad.
- Notificación: se debe informar a las personas de las finalidades para las que se recogen, usan y comunican sus datos, en el momento de la recogida o antes.
- Limitación de la finalidad: los datos solo pueden usarse para las finalidades que una persona razonable consideraría adecuadas.
- Acceso y rectificación: las personas pueden solicitar sus datos y saber cómo se han usado, y pedir que se corrijan los errores.
- Protección y conservación: los datos deben protegerse con medidas de seguridad razonables y no conservarse más tiempo del necesario.
- Limitación de las transferencias: los datos enviados fuera de Singapur deben recibir un nivel de protección comparable al de la PDPA.
- Notificación de brechas de datos: las brechas de datos notificables deben comunicarse a la PDPC en un plazo máximo de 3 días naturales desde que la organización las evalúa y, en muchos casos, a las personas afectadas.
¿A quién se aplica la PDPA?
La PDPA se aplica a las organizaciones que recogen, usan o comunican datos personales en Singapur, estén o no constituidas en Singapur o tengan o no una oficina allí. Por tanto, una tienda online con sede en otro lugar que recoge datos personales de clientes de Singapur puede quedar incluida.
¿Qué ocurre si no cumplo la PDPA?
La PDPC puede investigar reclamaciones y brechas de datos, y puede dictar instrucciones para que una organización pase a cumplir la ley. Las consecuencias pueden incluir:
- Sanciones económicas: hasta el 10 % de la facturación anual en Singapur para las organizaciones cuya facturación en Singapur supere los 10 millones de S$, o hasta 1 millón de S$ en los demás casos.
- Instrucciones: órdenes de dejar de recoger, usar o comunicar datos, de destruir los datos recogidos infringiendo la PDPA o de adoptar otras medidas para cumplirla.
- Reclamaciones civiles: las personas que sufran pérdidas o daños por el incumplimiento de determinadas obligaciones pueden presentar una reclamación ante los tribunales.
- Publicación de decisiones: la PDPC publica sus decisiones de ejecución, lo que puede afectar a su reputación.
¿Cuándo entró en vigor la PDPA?
La PDPA se aprobó en 2012. Sus disposiciones de protección de datos entraron en vigor el 2 de julio de 2014, después de que las disposiciones Do Not Call entraran en vigor a principios de ese mismo año. Las modificaciones de 2020 se aplican desde el 1 de febrero de 2021 y añadieron la notificación obligatoria de brechas de datos y nuevas formas de consentimiento presunto, y las sanciones económicas más elevadas se aplican desde el 1 de octubre de 2022.
Cómo cumplir la PDPA
Para una tienda Shopify que vende a clientes de Singapur, las obligaciones de consentimiento y notificación son las más relevantes para las cookies y el seguimiento. Cuando las cookies o herramientas similares recogen datos personales, por ejemplo para crear perfiles de analítica o publicidad, se debe informar a los visitantes de qué se recoge y por qué, y obtener su consentimiento. Los visitantes pueden retirar su consentimiento en cualquier momento con un preaviso razonable, y entonces usted debe dejar de recoger y usar los datos correspondientes.
Como la mayoría de las tiendas dependen de proveedores de fuera de Singapur, compruebe que sus proveedores de plataforma, pagos y marketing protegen los datos transferidos con un nivel comparable, por ejemplo mediante contratos. También debe poder responder a las solicitudes de acceso y rectificación, y tener un plan para evaluar y notificar las brechas de datos.
Una plataforma de gestión del consentimiento (CMP) como Pandectes GDPR Compliance le ayuda con la parte de todo esto que ocurre en su tienda online. Muestra un banner de cookies y bloquea las cookies no esenciales hasta que el visitante dé su consentimiento, detecta y clasifica automáticamente las cookies de su tienda y genera una declaración de cookies para su política. Conserva registros del consentimiento como prueba, le ayuda a gestionar las solicitudes de los interesados y le permite configurar el banner por región mediante geolocalización, para que los visitantes de Singapur vean un banner adaptado a la PDPA.
La PDPC publica directrices orientativas detalladas, y su aplicación depende de su tienda, así que revise su configuración con un asesor legal cuando proceda.