Voldoen aan de Singapore Personal Data Protection Act (PDPA)

Wat is de PDPA?

De Personal Data Protection Act 2012 (PDPA) is de algemene wet op de gegevensbescherming van Singapore. De wet regelt hoe organisaties in de private sector persoonsgegevens verzamelen, gebruiken en openbaar maken, en richtte ook het Do Not Call Registry van Singapore op voor marketingberichten. De wet wordt uitgevoerd en gehandhaafd door de Personal Data Protection Commission (PDPC).

De PDPA is opgebouwd rond een reeks verplichtingen voor gegevensbescherming, waaronder:

• Toestemming: organisaties mogen persoonsgegevens alleen verzamelen, gebruiken of openbaar maken met toestemming van de betrokkene, tenzij er een uitzondering geldt. In sommige situaties kan toestemming als gegeven worden beschouwd, bijvoorbeeld als iemand zijn gegevens vrijwillig voor een bepaald doel verstrekt.
• Informatie: mensen moeten bij of vóór het verzamelen te horen krijgen voor welke doelen hun gegevens worden verzameld, gebruikt en openbaar gemaakt.
• Doelbinding: gegevens mogen alleen worden gebruikt voor doelen die een redelijk persoon passend zou vinden.
• Inzage en correctie: mensen kunnen hun gegevens opvragen en vragen hoe die zijn gebruikt, en kunnen vragen om fouten te corrigeren.
• Bescherming en bewaren: gegevens moeten met redelijke beveiligingsmaatregelen worden beschermd en mogen niet langer worden bewaard dan nodig.
• Beperking van doorgifte: gegevens die buiten Singapore worden verstuurd, moeten een beschermingsniveau krijgen dat vergelijkbaar is met dat van de PDPA.
• Melding van datalekken: meldingsplichtige datalekken moeten uiterlijk 3 kalenderdagen nadat de organisatie ze heeft beoordeeld, worden gemeld bij de PDPC, en in veel gevallen ook bij de getroffen personen.

Wat gebeurt er als ik me niet aan de PDPA houd?

De PDPC kan klachten en datalekken onderzoeken en aanwijzingen geven om een organisatie aan de wet te laten voldoen. Mogelijke gevolgen:

• Financiële sancties: tot 10% van de jaaromzet in Singapore voor organisaties met een omzet in Singapore van meer dan S$10 miljoen, of anders tot S$1 miljoen.
• Aanwijzingen: bevelen om te stoppen met het verzamelen, gebruiken of openbaar maken van gegevens, om gegevens te vernietigen die in strijd met de PDPA zijn verzameld, of om andere stappen te zetten om aan de wet te voldoen.
• Civiele claims: mensen die verlies of schade lijden door een schending van bepaalde verplichtingen, kunnen naar de rechter stappen.
• Gepubliceerde besluiten: de PDPC publiceert haar handhavingsbesluiten, wat je reputatie kan schaden.

Aan de PDPA voldoen

Voor een Shopify-winkel die aan klanten in Singapore verkoopt, zijn de verplichtingen rond toestemming en informatie het meest relevant voor cookies en tracking. Als cookies of vergelijkbare tools persoonsgegevens verzamelen, bijvoorbeeld om profielen op te bouwen voor analyse of advertenties, moeten bezoekers te horen krijgen wat er wordt verzameld en waarom, en moet hun toestemming worden gevraagd. Bezoekers kunnen hun toestemming op elk moment met een redelijke opzegtermijn intrekken, en je moet dan stoppen met het bijbehorende verzamelen en gebruiken.

Omdat de meeste winkels afhankelijk zijn van aanbieders buiten Singapore, moet je controleren of je platform-, betaal- en marketingaanbieders doorgegeven gegevens op een vergelijkbaar niveau beschermen, bijvoorbeeld via contracten. Zorg er ook voor dat je verzoeken om inzage en correctie kunt beantwoorden en dat je een plan hebt om datalekken te beoordelen en te melden.

Een Consent Management Platform (CMP) zoals Pandectes GDPR Compliance helpt bij de onderdelen die in je webwinkel plaatsvinden. Het toont een cookiebanner en blokkeert niet-essentiële cookies tot de bezoeker toestemming geeft, scant en deelt de cookies in je winkel automatisch in, en maakt een cookieverklaring voor je beleid. Het bewaart toestemmingslogs als bewijs van toestemming, helpt je verzoeken van betrokkenen af te handelen en laat je de bannerinstellingen per regio instellen met geolocatie, zodat bezoekers uit Singapore een banner zien die past bij de PDPA.

De PDPC publiceert gedetailleerde adviesrichtlijnen, en hoe die van toepassing zijn, hangt af van je winkel. Bekijk je instellingen daarom waar nodig samen met een jurist.