2012 年个人数据保护法
新加坡国会 · 个人数据保护委员会（PDPC）执法 · Act 26 of 2012 (2020 Rev Ed; amended by Act 40 of 2020, Act 25 of 2021 and Act 19 of 2025)
PDPA 是新加坡统一的个人数据保护法，围绕同意、告知、目的限制、准确性、保护、保留限制、境外传输、查阅与更正、问责九项义务构建，并自 2021 年起叠加强制泄露通报制度。它同时区分“机构”（organisation）与“数据中介”（data intermediary）：第 4(2) 条规定，数据中介就其依**书面证明或书面订立的合同**代另一机构并为其目的处理个人数据的部分，仅承担第 24 条保护义务、第 25 条保留限制义务，以及第 26C(3)(a) 条向委托方通报泄露、第 26E 条的相关义务——没有书面合同即不享有该豁免，须按一般机构承担全部义务。第 4(3) 条另明确：委托处理的事实不减免委托方自身的任何责任。PDPC 的执法以指令加财务罚款为主，2022 年 10 月起罚款上限与营业额挂钩。
中国 AI 企业在以下任一情形落入 PDPA：（1）在新加坡设立子公司或分支机构处理个人数据；（2）向新加坡企业客户提供 SaaS、API 或模型推理服务，并因此接触其终端用户的姓名、联系方式、工单内容、语音或人脸数据——此时通常被认定为数据中介，须承担保护与保留限制义务；（3）新加坡客户把个人数据传回中国境内的训练或运维环境，客户须证明你方受“可强制执行义务”约束，实践中体现为你方必须签署符合第 11 条的数据处理附录；（4）以新加坡为亚太总部并在当地雇佣员工、开展招聘或客户营销。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、AI 智能体、计算机视觉
2021-02-01
2021 年个人数据保护条例第三部分适用，境外传输规则重写
自该日起对外传输个人数据的，须先确认接收方受第 11 条意义上的“可强制执行义务”约束，或持有第 12 条认可的认证。
2021-02-01
强制性数据泄露评估与通报制度生效
第 26B–26D 条与《2021 年数据泄露通知条例》开始适用，500 人门槛与 3 个日历日报告时限落地。
2022-10-01
提高后的财务罚款上限开始适用
自该日起发生的违法行为，新加坡年营业额超过 1,000 万新元的机构最高可处其新加坡年营业额的 10%，其余情形上限 100 万新元。
每条都写明触发条件、需要留存的证据与条款出处
制定并落实一套覆盖 PDPA 全部义务的书面制度与操作规程，指定至少一名数据保护官（DPO）并公开其联系方式，同时建立投诉处理流程；应用请求时须向个人提供制度说明。
首次达标投入估算：5–12 人日（估算，非承诺）
在收集、使用或披露个人数据前取得有效同意（或确认适用视为同意/法定例外），并在收集之时或之前告知目的；新增目的须在使用前另行告知。不得以同意超出提供产品所需范围的数据处理作为提供产品或服务的条件；处理目的须为合理人认为适当者。
首次达标投入估算：5–15 人日（估算，非承诺）
按数据敏感度与处理规模部署物理、技术、流程与合同层面的控制措施，防止未经授权的访问、收集、使用、披露、复制、修改或处置；数据中介同样直接承担本项义务。
首次达标投入估算：10–30 人日（估算，非承诺）
当收集目的不再存在、且法律或业务上无继续保留必要时，停止保留含个人数据的文档，或去除可将数据与特定个人关联的手段。AI 场景中须专门覆盖训练集、提示词与推理日志、向量库与模型检查点。
首次达标投入估算：5–12 人日（估算，非承诺）
向新加坡境外传输个人数据前，须采取适当步骤查明并确保接收方受“可强制执行义务”约束，使被传输数据获得至少可比于 PDPA 的保护标准；可强制执行义务包括法律、合同、约束性企业规则或其他具法律约束力的文书，接收方持有受认可的指定认证的亦视为满足。若改以个人同意为依据，须先以书面向其提供该国保护水平的合理摘要，且不得把同意作为提供产品或服务的条件（除非该传输为提供该产品或服务所合理必需）。
首次达标投入估算：8–20 人日（估算，非承诺）
知悉可能发生数据泄露后须以合理且迅速的方式开展评估；一旦评估认定构成可通报泄露，须在作出该认定之日起 3 个日历日内、并尽快通报 PDPC，随后通知受影响个人（仅“重大损害”类须通知个人）。“规模显著”的法定门槛为受影响人数不少于 500 人。若已采取或事前已部署使重大损害不大可能发生的技术措施，可免于通知个人。
首次达标投入估算：5–15 人日（估算，非承诺）
应个人请求提供其个人数据以及过去一年内该数据被使用或披露的方式，并在合理时限内更正错误或遗漏；受控制但由数据中介持有的数据亦须纳入响应范围。拒绝时须符合法定例外并作出说明。
首次达标投入估算：3–8 人日（估算，非承诺）
第 48J 条：对故意或过失违反第 3、4、5、6、6A 或 6B 部分的机构，可处财务罚款；上限为——新加坡年营业额超过 1,000 万新元的机构，不超过其新加坡年营业额的 10%；其他情形不超过 100 万新元（自 2022-10-01 起的违法行为适用）。营业额以处罚时可得的最近一期经审计账目为准。PDPC 亦可发出整改指令并接受自愿承诺。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。