Untersuchung von TPRM in Singapurs Gesetz zum Schutz personenbezogener Daten

Der Schutz personenbezogener Daten hat in den regulatorischen Rahmenbedingungen auf der ganzen Welt oberste Priorität. Singapur ist bekannt für seinen umfassenden Personal Data Protection Act (PDPA), der sicherstellt, dass Unternehmen beim Umgang mit personenbezogenen Daten die höchsten Standards einhalten. Ein entscheidender Aspekt des PDPA, der an Bedeutung gewonnen hat, ist das Third-Party Risk Management (TPRM). Da sich Unternehmen für geschäftliche Zwecke zunehmend auf externe Stellen verlassen, ist es wichtig, TPRM im Rahmen der Beratungsrichtlinien des PDPA zu verstehen.

In diesem Blog werden wir die TPRM-Anforderungen im PDPA von Singapur untersuchen und ihre Bedeutung und Best Practices hervorheben, um die Einhaltung des Schutzstandards zu gewährleisten.

Was ist das Gesetz zum Schutz personenbezogener Daten?

Im Jahr 2013 führte Singapur den Personal Data Protection Act (PDPA) ein, der die Erhebung, Verwendung und Offenlegung personenbezogener Daten regelt. Es erkennt das Recht des Einzelnen an, seine Daten zu schützen, und ermöglicht es Organisationen, personenbezogene Daten für Zwecke zu sammeln, zu verwenden oder offenzulegen, die eine vernünftige Person unter den gegebenen Umständen als angemessen erachten würde.

Das PDPA stellt sicher, dass Organisationen verantwortungsbewusst und rechenschaftspflichtig mit personenbezogenen Daten umgehen. Diese Datenschutzverordnung beinhaltet datenschutzrechtliche Verpflichtungen und eine Do Not Call (DNC)-Bestimmung, oft auch DNC-Register genannt, für Telefonnummern in Singapur.

Verpflichtungen zu personenbezogenen Daten

Der PDA beschreibt neun Verpflichtungen, die Unternehmen beim Umgang mit personenbezogenen Daten erfüllen müssen. Zu diesen Verpflichtungen gehören:

Einwilligungspflicht: Organisationen müssen vor der Erfassung, Verwendung oder Offenlegung der personenbezogenen Daten die Einwilligung einholen, außer in rechtlichen oder medizinischen Notfällen.
Verpflichtung zur Zweckbindung: Personenbezogene Daten dürfen nur für angemessene Zwecke und mit Wissen der Person verwendet werden.
Meldepflicht: Organisationen müssen Einzelpersonen über die Erfassung, Verwendung und Offenlegung von Daten informieren.
Auskunfts- und Berichtigungspflicht: Organisationen müssen Einzelpersonen den unverzüglichen Zugriff auf und die Berichtigung personenbezogener Daten ermöglichen.
Genauigkeitspflicht: Organisationen müssen die Richtigkeit und Vollständigkeit der gesammelten personenbezogenen Daten sicherstellen, um Fehlentscheidungen oder ähnliche Risiken zu vermeiden.
Schutzverpflichtung: Unternehmen müssen angemessene Sicherheitsvorkehrungen treffen, um sensible Daten vor unbefugtem Zugriff, Erfassung, Verwendung, Offenlegung, Kopieren, Ändern oder Entsorgung zu schützen.
Verpflichtung zur Einschränkung der Aufbewahrung: Unternehmen dürfen personenbezogene Daten nur für die notwendigen Zwecke aufbewahren und sicher entsorgen, wenn sie nicht mehr benötigt werden.
Verpflichtung zur Begrenzung der Übertragung: Datenübertragungen aus Singapur sind nur zulässig, wenn bestimmte Bedingungen erfüllt sind, um sicherzustellen, dass das Empfängerland oder die Empfängerorganisation ein vergleichbares Datenschutzsystem bietet.
Offenheitspflicht: Unternehmen müssen Datenschutzrichtlinien entwickeln und kommunizieren, um die PDPA-Verpflichtungen zu erfüllen.

Wer muss das Gesetz zum Schutz personenbezogener Daten einhalten?

Das PDPA gilt für "Organisationen", die eine Vielzahl von Unternehmen in Singapur umfassen. Diese Definition umfasst Einzelpersonen, Unternehmen, Verbände und mehr, die an der Verarbeitung personenbezogener Daten beteiligt sind. Organisationen, die nicht physisch in Singapur präsent sind, aber die personenbezogenen Daten von Personen in Singapur verwenden, unterliegen ebenfalls dem PDPA.

Weitere Beispiele für "Organisationen" sind:

Unternehmen und Unternehmen des privaten Sektors, unabhängig von Größe oder Branche
Gemeinnützige Organisationen
Berufsverbände und -verbände

Darüber hinaus gilt der PDPA auch für Datenintermediäre, bei denen es sich um Organisationen handelt, die personenbezogene Daten im Auftrag anderer Organisationen verarbeiten. Obwohl Datenintermediäre von vielen der Datenschutzverpflichtungen im PDPA befreit sind (da die Hauptverantwortung bei der Organisation liegt, der die Daten gehören), müssen sie dennoch die Verpflichtungen zum Schutz und zur Begrenzung der Aufbewahrung einhalten.

Es gibt Ausnahmen vom PDPA, die Einzelpersonen oder Organisationen davon befreien. Beispiele für diese Ausschlüsse sind:

Personen, die in persönlicher oder häuslicher Eigenschaft handeln
Mitarbeiter, die im Rahmen ihrer Beschäftigung bei einer Organisation tätig sind
Öffentliche Stellen und Organisationen, die im Auftrag von öffentlichen Stellen über bestimmte Aktivitäten handeln

Strafen bei Nichteinhaltung

Die Personal Data Protection Commission (PDPC) überwacht und setzt den PDPA durch. Sie sind dafür verantwortlich, dass Organisationen den PDPA einhalten, und können verschiedene Maßnahmen, einschließlich Geldstrafen, gegen Organisationen ergreifen, die gegen das Gesetz verstoßen. Der PDPC bietet auch Benachrichtigungen über Datenschutzverletzungen und Ratschläge zur Auslegung und Anwendung des PDPA, um Organisationen dabei zu helfen, ihre Verpflichtungen zu verstehen und sicherzustellen, dass sie verantwortungsbewusst und angemessen mit personenbezogenen Daten umgehen. Bei Problemen kann die Organisation auch verpflichtet sein, sich an eine Datenschutzbehörde zu wenden und einen Datenschutzbeauftragten zu haben.

Organisationen, die sich nicht an das PDPA halten, können mit Geldstrafen und anderen Maßnahmen belegt werden. Einige Beispiele für diese Strafen bei Nichteinhaltung sind:

Finanzielle Strafen: Organisationen können mit einer Geldstrafe von bis zu 1 Million S$belegt werden, wenn sie gegen das PDPA verstoßen. Die Höhe der Geldstrafe hängt von der Schwere des Verstoßes, der Höhe des verursachten Schadens und anderen Schwellenwerten ab.
Anweisungen des PDPC: Der PDPC ist befugt, Anweisungen zu erteilen, um die Einhaltung sicherzustellen. Dazu kann gehören, dass Organisationen angewiesen werden, die Erfassung, Verwendung oder Offenlegung personenbezogener Daten einzustellen, die Vernichtung illegal gesammelter Daten angeordnet und die Einhaltung durch bestimmte Methoden vorgeschrieben wird.
Strafrechtliche Verantwortlichkeit: Organisationen, die PDPC-Beamte behindern oder behindern, falsche Aussagen gegenüber der PDPC machen oder den Anweisungen der PDPC nicht nachkommen, können mit strafrechtlichen Sanktionen rechnen, einschließlich Geldstrafen, Freiheitsstrafen oder beidem.
Zivilklagen: Gemäß den PDPA-Änderungen können Einzelpersonen rechtliche Schritte gegen Organisationen einleiten, wenn ihre Daten aufgrund von Sicherheitsverletzungen verletzt werden, was bedeutet, dass Organisationen auch mit Zivilklagen von betroffenen Personen konfrontiert werden können.

Risikomanagement für Dritte und das Gesetz zum Schutz personenbezogener Daten

Das Gesetz zum Schutz personenbezogener Daten in Singapur konzentriert sich auf den Schutz personenbezogener Daten, überschneidet sich aber auch mit Risikomanagementstrategien und Datenschutzrisiken von Drittanbietern. Dies geschieht in erster Linie im Zusammenhang mit den Verpflichtungen von Organisationen, wenn sie Dritte zur Verarbeitung, Verarbeitung oder Speicherung personenbezogener Daten einsetzen. In diesen Szenarien ist auch eine Datenschutz-Folgenabschätzung wichtig.

Third-Party-Risikomanagement ist die Art und Weise, wie Unternehmen die Datenschutzrisiken im Zusammenhang mit diesen Engagements von Drittanbietern bewerten, überwachen und mindern, um sicherzustellen, dass sie die gleichen Datenschutzstandards einhalten, die vom PDPA vorgeschrieben sind. Im Folgenden sind einige häufige Situationen aufgeführt, in denen Unternehmen das Risikomanagement von Drittanbietern in Betracht ziehen müssen, um den PDPA einzuhalten.

Erfahren Sie mehr über die besten Third-Party-Risikomanagement-Lösungen auf dem Markt >

Schutzpflicht & Auslagerung

Die Schutzverpflichtung nach dem Personal Data Protection Act (PDPA) verlangt von Unternehmen, angemessene Sicherheitsmaßnahmen zu ergreifen, um unbefugten Zugriff, unbefugte Erfassung und Verwendung von Daten zu verhindern. Diese Verpflichtung bleibt unabhängig davon bestehen, ob die Datenverarbeitung an Dritte ausgelagert wird, was bedeutet, dass Unternehmen sicherstellen müssen, dass Dritte über vergleichbare Datenschutzstandards verfügen.

Um dies zu erreichen, können Unternehmen Sicherheitsfragebögen versenden und die Sicherheitsstandards eines Drittanbieters durch ein Tool wie Security Ratings kontinuierlich überwachen.

Verpflichtung zur Begrenzung der Übertragung

Gemäß dem PDPA müssen personenbezogene Daten, die aus Singapur übertragen werden, ein gleichwertiges Schutzniveau erhalten. Daten können während der Übertragungsprozesse sehr anfällig sein und werden fortgesetzt, wenn diese Daten an ihrem endgültigen Bestimmungsort ankommen. Um die Pflege personenbezogener Daten zu priorisieren, müssen Unternehmen das Sicherheitsniveau eines ausgelagerten Unternehmens berücksichtigen und prüfen, ob es die Standards des PDPA erfüllt.

Unternehmen können TPRM verwenden, um die Einhaltung der Vorschriften durch Dritte zu überwachen, insbesondere wenn sie im Ausland ansässig sind oder Rechenzentren in Übersee nutzen, um sicherzustellen, dass diese Anforderung erfüllt wird.

Rechenschaftspflicht und Aufsicht

Obwohl Dritte mit den Daten umgehen können, ist die primäre Organisation letztendlich für alle Versäumnisse beim Datenschutz im Rahmen des PDPA verantwortlich. Die Implementierung von TPRM-Praktiken unterstützt Organisationen bei der Überwachung und Überwachung von Aktivitäten Dritter und garantiert, dass sie die PDPA-Konformität einhalten.

Zu diesen Praktiken gehören die kontinuierliche Überwachung von Drittanbietern, Datenschutzgesetze, Abhilfe- und Abhilfeprozesse, Sicherheitsfragebögen, Zugriffskontrollen für Dritte und vieles mehr.

Vertragsklauseln und -vereinbarungen

Ein wichtiger Aspekt von TPRM ist die Festlegung klarer Vertragsbedingungen mit Drittanbietern, die Rollen, Verantwortlichkeiten und Verpflichtungen in Bezug auf den Datenschutz definieren. Dies steht im Einklang mit den Anforderungen des PDPA und stellt sicher, dass Dritte die Bestimmungen des Gesetzes einhalten.

Bei Abschluss neuer Verträge mit Dritten sind spezifische Datenschutzzusammenhänge zu berücksichtigen. Dazu gehören die Verpflichtung eines Drittanbieters, bestimmte Sicherheitsstandards zu implementieren, ein umfassender Plan zur Reaktion auf Vorfälle im Falle einer Datenschutzverletzung und regelmäßige Audits, um die Wirksamkeit der Sicherheitsmaßnahmen zu bewerten.

Incident Management und Benachrichtigung über Sicherheitsverletzungen

Im Falle einer Datenschutzverletzung schreibt das PDPA spezifische Melde- und Handlungspflichten vor. Datenschutzverletzungen können personenbezogene Daten gefährden und sollten umgehend eingedämmt werden.

Unternehmen müssen sicherstellen, dass Dritte, die mit personenbezogenen Daten arbeiten, Systeme und Verfahren implementieren müssen, um Datenschutzverletzungen schnell zu erkennen. Es geht auch darum, die Reaktionen zu koordinieren, um die Anforderungen des PDPA einzuhalten.

Vendor Risk ist unsere All-in-One-TPRM-Plattform, mit der Sie die Vendor Risk Management-Prozesse Ihres Unternehmens steuern können. Vendor Risk ermöglicht es Ihnen, Ihre Workflows zur Risikobewertung von Drittanbietern zu automatisieren und Echtzeit-Benachrichtigungen über die Sicherheit Ihrer Lieferanten in einem zentralen Dashboard zu erhalten. Zu den zusätzlichen Funktionen des Anbieterrisikos gehören:

Sicherheitsfragebögen: Automatisieren Sie Sicherheitsfragebögen mit Workflows, um tiefere Einblicke in die Sicherheit Ihrer Anbieter zu erhalten, und verwenden Sie Vorlagen und benutzerdefinierte Fragebögen für Ihre spezifischen Anforderungen
Sicherheitsbewertungen: Verschaffen Sie sich sofort einen Überblick über die Sicherheitslage Ihrer Anbieter mit unseren datengestützten, objektiven und dynamischen Sicherheitsbewertungen
Risikobewertungen: Lassen Sie sich von uns bei jedem Schritt begleiten, von der Sammlung von Nachweisen über die Risikobewertung bis hin zur Beantragung von Abhilfemaßnahmen
Überwachung des Anbieterrisikos: Überwachen Sie Ihre Lieferanten täglich und sehen Sie sich die Details an, um zu verstehen, welche Risiken sich auf die Sicherheitslage eines Anbieters auswirken
Berichterstattung und Einblicke: Die Berichtsbibliothek von UpGuard macht es Ihnen einfacher und schneller, auf maßgeschneiderte Berichte für verschiedene Stakeholder zuzugreifen
Managed Third-Party Risks: Überlassen Sie unseren erfahrenen Analysten die Verwaltung Ihres Third-Party-Risikomanagementprogramms und weisen Sie Ihre Sicherheitsressourcen zu.