Conformità al Personal Data Protection Act (PDPA) di Singapore
Pandectes GDPR Compliance aiuta i negozi Shopify a rispettare i requisiti del PDPA di Singapore raccogliendo il consenso ai cookie, individuando e classificando i cookie e conservando i registri del consenso.
Inizia gratis
L'app di consenso ai cookie n. 1 per Shopify, scelta da 185k negozi
Cos’è il PDPA?
Il Personal Data Protection Act 2012 (PDPA) è la legge generale sulla protezione dei dati di Singapore. Regola il modo in cui le organizzazioni del settore privato raccolgono, usano e comunicano i dati personali e ha inoltre istituito il Do Not Call Registry di Singapore per i messaggi di marketing. La legge è amministrata e fatta applicare dalla Personal Data Protection Commission (PDPC).
Il PDPA si fonda su una serie di obblighi di protezione dei dati, tra cui:
- Consenso: le organizzazioni possono raccogliere, usare o comunicare dati personali solo con il consenso della persona, salvo che si applichi un’eccezione. In alcune situazioni il consenso può essere presunto, ad esempio quando una persona fornisce volontariamente i propri dati per una finalità.
- Informazione: le persone devono essere informate delle finalità per cui i loro dati vengono raccolti, usati e comunicati, al momento della raccolta o prima.
- Limitazione della finalità: i dati possono essere usati solo per finalità che una persona ragionevole considererebbe appropriate.
- Accesso e rettifica: le persone possono chiedere i propri dati e come sono stati usati, e chiedere la correzione degli errori.
- Protezione e conservazione: i dati devono essere protetti con misure di sicurezza ragionevoli e non conservati più a lungo del necessario.
- Limitazione dei trasferimenti: i dati inviati al di fuori di Singapore devono ricevere un livello di protezione paragonabile a quello del PDPA.
- Notifica delle violazioni dei dati: le violazioni dei dati soggette a notifica devono essere segnalate alla PDPC entro 3 giorni di calendario da quando l’organizzazione le ha valutate e, in molti casi, alle persone coinvolte.
A chi si applica il PDPA?
Il PDPA si applica alle organizzazioni che raccolgono, usano o comunicano dati personali a Singapore, indipendentemente dal fatto che siano costituite a Singapore o vi abbiano un ufficio. Un negozio online con sede altrove che raccoglie dati personali di clienti a Singapore può quindi rientrare nel suo ambito.
Cosa succede se non rispetto il PDPA?
La PDPC può indagare su reclami e violazioni dei dati e impartire direttive per rendere conforme un’organizzazione. Le conseguenze possono includere:
- Sanzioni economiche: fino al 10% del fatturato annuo a Singapore per le organizzazioni il cui fatturato a Singapore supera i 10 milioni di S$, oppure fino a 1 milione di S$ in tutti gli altri casi.
- Direttive: ordini di interrompere la raccolta, l’uso o la comunicazione dei dati, di distruggere i dati raccolti in violazione del PDPA o di adottare altre misure per conformarsi.
- Azioni civili: le persone che subiscono perdite o danni a causa della violazione di determinati obblighi possono agire in giudizio.
- Pubblicazione delle decisioni: la PDPC pubblica le proprie decisioni sanzionatorie, che possono incidere sulla Sua reputazione.
Quando è entrato in vigore il PDPA?
Il PDPA è stato approvato nel 2012. Le sue disposizioni sulla protezione dei dati sono entrate in vigore il 2 luglio 2014, dopo le disposizioni sul Do Not Call, entrate in vigore all’inizio dello stesso anno. Le modifiche del 2020 si applicano dal 1° febbraio 2021 e hanno introdotto la notifica obbligatoria delle violazioni dei dati e nuove forme di consenso presunto, mentre le sanzioni economiche più elevate si applicano dal 1° ottobre 2022.
Come rispettare il PDPA
Per un negozio Shopify che vende a clienti a Singapore, gli obblighi di consenso e informazione sono quelli più rilevanti per cookie e tracciamento. Quando i cookie o strumenti simili raccolgono dati personali, ad esempio per creare profili a fini di analisi o pubblicità, i visitatori devono essere informati su cosa viene raccolto e perché, e occorre ottenere il loro consenso. I visitatori possono revocare il consenso in qualsiasi momento con un ragionevole preavviso, e a quel punto Lei deve interrompere la raccolta e l’uso collegati.
Poiché la maggior parte dei negozi si affida a fornitori al di fuori di Singapore, verifichi che i Suoi fornitori di piattaforma, pagamenti e marketing proteggano i dati trasferiti con un livello paragonabile, ad esempio tramite contratti. Dovrebbe inoltre essere in grado di rispondere alle richieste di accesso e rettifica e disporre di un piano per valutare e segnalare le violazioni dei dati.
Una piattaforma di gestione del consenso (CMP) come Pandectes GDPR Compliance La aiuta con la parte di questi obblighi che riguarda la vetrina del negozio. Mostra un banner dei cookie e blocca i cookie non essenziali finché il visitatore non dà il consenso, individua e classifica automaticamente i cookie del Suo negozio e genera una dichiarazione dei cookie per la Sua informativa. Conserva i registri del consenso come prova del consenso, La aiuta a gestire le richieste degli interessati e Le permette di configurare il banner per area geografica tramite geolocalizzazione, così i visitatori da Singapore possono vedere un banner adatto al PDPA.
La PDPC pubblica linee guida consultive dettagliate, e la loro applicazione dipende dal Suo negozio, quindi, se opportuno, verifichi la Sua configurazione con un consulente legale.