Jurisdicción seleccionada: Singapur — Personal Data Protection Act 2012 (PDPA), modificada en 2020
Concepto clave 1 — Datos personales
Un dato personal es cualquier información sobre una persona natural identificada o identificable. La definición es amplia a propósito, y es la misma idea en casi todas las leyes de protección de datos.
Concepto clave 2 — Datos sensibles
Los datos sensibles (también llamados categorías especiales de datos personales) pueden llevar a discriminación, exclusión u otros daños graves. Las categorías varían de una ley a otra, así que revise siempre la lista local.
Qué significa en la práctica: condiciones más estrictas, como el consentimiento expreso o por escrito, más seguridad, acceso solo para quien lo necesita y, en muchas leyes, una evaluación de riesgos antes de empezar.
La PDPA no tiene una lista legal de categorías especiales, pero la PDPC espera un nivel de protección mayor para los datos sensibles, y las sanciones son más altas cuando se ven afectados. Desde el 31 de diciembre de 2026 los números NRIC no pueden usarse para la autenticación.
Concepto clave 3 — Tratamiento y roles
El tratamiento abarca todo el ciclo de vida: recopilar, registrar, almacenar, usar, compartir, modificar y suprimir datos, en papel o en sistemas informáticos. Cada tratamiento tiene roles claros.
La PDPA se aplica a las organizaciones del sector privado que recaban, usan o comunican datos personales en Singapur. La información de contacto profesional queda excluida de la mayoría de las obligaciones; los organismos públicos tienen sus propias reglas.
Concepto clave 4 — Los principios básicos
Los nombres cambian de una ley a otra, pero las ideas son casi universales. Los talleres siguientes convierten cada principio en medidas concretas.
Principio en foco — Licitud
La licitud significa que cada tratamiento necesita una base legal o una justificación. Es el punto en que más difieren las leyes: algunas se basan en el consentimiento, otras ofrecen varias bases legales equivalentes.
El consentimiento válido es libre, específico, informado e inequívoco, y puede revocarse en cualquier momento. Las casillas premarcadas y el consentimiento escondido en los términos y condiciones no cuentan.
El consentimiento es la regla general, incluido el consentimiento presunto por conducta, por necesidad contractual o por notificación. Entre las excepciones están los intereses legítimos y los fines de mejora del negocio.
Concepto clave 5 — Transferencias de datos
Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.
Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.
Según la obligación de limitación de transferencias, los datos solo pueden salir de Singapur si el destinatario ofrece un nivel de protección comparable, garantizado mediante obligaciones jurídicamente exigibles (ley, contrato o normas corporativas vinculantes) o certificaciones como APEC CBPR o PRP. Los intermediarios de datos necesitan un contrato y están sujetos ellos mismos a las obligaciones de protección, limitación de la conservación y notificación de violaciones.
Concepto clave 6 — Consecuencias del incumplimiento
La mayoría de los casos sancionadores empiezan con algo evitable: una brecha de seguridad, una base legal que falta, una solicitud de un cliente sin responder o la queja de un empleado.
Autoridad de control: Personal Data Protection Commission (PDPC)
Su jurisdicción de un vistazo — Singapur
Autoridad: Personal Data Protection Commission (PDPC)
Compruebe lo aprendido y próximos pasos
Resultado esperado de la Tarea 1: todos los miembros del equipo del proyecto entienden los términos y principios clave de la protección de datos en los que se basan los talleres siguientes.