前言
2012年新加坡《个人数据保护法》（PDPA）为私营部门的个人数据保护明确了基本要求，赋予新加坡个人数据保护委员会（PDPC）执法权力，就违反PDPA事件，包括个人数据泄露事件，进行调查和执法。个人数据泄露事件是指组织管控下的个人数据暴露于未经授权的查阅、收集、使用、披露、复制、修改、处置或类似风险之下的事件。PDPC的执法目标，就是确保针对违反PDPA的组织采取适当的执法行动，以维护消费者与组织之间的信任。2021年2月1日，新加坡修订了《个人数据保护法》，增加了违反该法的最高经济处罚。在考虑适当的执法结果时，PDPC以以下四个主要目标为指导：（1）对违反PDPA的行为做出有效回应，特别是会对大量个人数据造成不利影响的违法行为；（2）针对违反PDPA的组织所采取的执法行动应当保持适当和一致性；（3）对违法者的处罚会产生威慑作用；（4）确保违法机构采取适当步骤，纠正在个人数据保护方面存在的漏洞。相应地，PDPC于2022年10月1日更新了《积极执法指南》（Guide on Active Enforcement）。根据新版指南，PDPC的执法权力得到加强，可以接受自愿承诺作为其执行制度的一部分。此外 ，组织可能面临的经济处罚上限提高，对于本地年营业额超过1000万新元的组织，违反新加坡《个人数据保护法》可能施加的经济处罚从先前固定的100万新元增加到该组织在新加坡年营业额的10%。
CONTENTS目录
目录（译文）
第一部分 引言
第二部分 调查流程
第三部分 执行结果的类型
第四部分 经济处罚
第五部分 额外资源
附件A：调查结束的预估时间表
PART01 引言
《积极执法指南》是对PDPC执行政策的解读，围绕积极执行框架，同时针对消费者和处理个人数据的组织。指南重申了PDPC在寻求申诉人与有关组织之间的便利和调解解决方案时最大限度使用的一般方法，概述了PDPC处理数据保护投诉、调查事件以及PDPC在各种情况下可能实施的执法结果类型。最后，指南解释了确定施加的罚款金额的一般原则。
在引言的“框架概述”部分，PDPC将“施加的处罚是对不遵守《个人数据保护法》的有效威慑”增加为其关键目标，与《个人数据保护法》修正案中增加罚款数额的内容相呼应。
PART02 调查流程
事件首先通过投诉、自我通知等方式呈现给PDPC。此后，PDPC需确定该事件是否涉及收集、使用或披露个人资料。如果没有，那么不会展开任何调查。如果PDPC认定存在违法数据保护义务的情况，在经过调解等程序后，案件进入调查。调查事实收集过程包括制作文件和信息的通知，访谈和陈述，实地考察等。最终，PDPC进行决策。
PART03 执行结果的类型
调查后的执行结果包括三类，一是暂停或停止调查，二是自愿承诺，三是违规调查结果。全面调查后PDPC将给出调查结果，结果包括无违规行为，警告，指示，经济处罚，指示和经济处罚。
一般类型
一般来说，PDPC可考虑在影响被评估为较低或有限的情况下停止调查。
自愿承诺旨在让组织有机会在指定的时间内实施与事件有关的补救计划，由组织以书面形式在调查开始或调查的早期阶段向PDPC提出。组织执行自愿承诺并不等于承认《个人数据保护法》。组织能证明其有负责任的政策和实践，且已准备好制定补救计划，并承诺立即实施的，存在自愿承诺的可能性。
高影响力事件
对于被评估为高影响性的事件，PDPC将立即启动一个全面的调查程序。这些事件通常是大量个人受到影响和/或披露的个人数据可能造成重大伤害。更新后的指南指出，在完成全面调查并根据执行结果后，PDPC将发布初步决定，说明拟发布的指示或拟实施的经济处罚通知。组织可选择附加相关证明文件。在发布最终决定之前，PDPC将考虑在初步决定中所提出的陈述。
加快决策程序
此外，存在加快决策程序，使上述调查程序在更短的时间内完成。在该程序下，执行结果不发生变化。加快决策程序需由组织以书面形式向PDPC提出。为了利用该程序，组织必须在PDPC调查的早期阶段透露其意图，并提供相关材料。
PART04 经济处罚
经济法处罚上限的调整
对于任何故意或疏忽违反，根据《个人数据保护法》，该组织应当支付最高100万新元或该组织在新加坡的年营业额的10%（如果该组织在新加坡的年营业额超过1000万新元）的罚款，以较高者为准。
施加经济处罚的考虑因素
在决定是实施经济处罚时，PDPC将：
1. 根据《个人数据保护法》规定的伤害和罪责原则对事件进行评估；
(i)“ 伤害”包括受影响的人数、受影响的个人数据类别、事件的持续时间等。PDPC将根据上述因素确定危害程度；
(ii) “罪责”是指该组织在该事件中的行为。PDPC将考虑具体违反《个人数据保护法》的性质，以及组织对《个人数据保护法》的整体遵守情况；
2. 考虑其他需要增加或减少罚款的相关因素。这些因素包括但不限于：
(i) 该组织或个人是否采取任何行动以减轻不遵守规定的影响和后果，以及该行动的及时性和有效性；
(ii) 该组织或个人以前是否未遵守《个人数据保护法》等；
(iii) 是否自愿承认责任，包括是否根据加速决定程序进行；
(iv) 在调查过程中是否与PDPC合作；
(v) 该组织或个人是否为初犯。
综合各方因素，调整处罚方案
通过考虑对组织或个人可能产生的影响，以及考虑在实现合规和阻止不合规方面，该处罚是否适当和有效，来调整经济处罚。
PART05 结语
较高经济处罚条款是本次修改的重点。与此同时，指南中将惩罚的有效震慑被列为关键目标。这些变动反映了该委员会在未来的执法方向，PDPC的执行力将进一步得到强化。更高的经济处罚上限增加了组织在新加坡违反数据保护法规的风险和成本。鉴于较高的经济处罚，组织必须审查其相关政策和实践措施以符合新规定。
2012年新加坡《个人数据保护法》（PDPA）为私营部门的个人数据保护明确了基本要求，赋予新加坡个人数据保护委员会（PDPC）执法权力，就违反PDPA事件，包括个人数据泄露事件，进行调查和执法。个人数据泄露事件是指组织管控下的个人数据暴露于未经授权的查阅、收集、使用、披露、复制、修改、处置或类似风险之下的事件。PDPC的执法目标，就是确保针对违反PDPA的组织采取适当的执法行动，以维护消费者与组织之间的信任。2021年2月1日，新加坡修订了《个人数据保护法》，增加了违反该法的最高经济处罚。在考虑适当的执法结果时，PDPC以以下四个主要目标为指导：（1）对违反PDPA的行为做出有效回应，特别是会对大量个人数据造成不利影响的违法行为；（2）针对违反PDPA的组织所采取的执法行动应当保持适当和一致性；（3）对违法者的处罚会产生威慑作用；（4）确保违法机构采取适当步骤，纠正在个人数据保护方面存在的漏洞。相应地，PDPC于2022年10月1日更新了《积极执法指南》（Guide on Active Enforcement）。根据新版指南，PDPC的执法权力得到加强，可以接受自愿承诺作为其执行制度的一部分。此外 ，组织可能面临的经济处罚上限提高，对于本地年营业额超过1000万新元的组织，违反新加坡《个人数据保护法》可能施加的经济处罚从先前固定的100万新元增加到该组织在新加坡年营业额的10%。
CONTENTS目录
目录（译文）
第一部分 引言
第二部分 调查流程
第三部分 执行结果的类型
第四部分 经济处罚
第五部分 额外资源
附件A：调查结束的预估时间表
PART01 引言
《积极执法指南》是对PDPC执行政策的解读，围绕积极执行框架，同时针对消费者和处理个人数据的组织。指南重申了PDPC在寻求申诉人与有关组织之间的便利和调解解决方案时最大限度使用的一般方法，概述了PDPC处理数据保护投诉、调查事件以及PDPC在各种情况下可能实施的执法结果类型。最后，指南解释了确定施加的罚款金额的一般原则。
在引言的“框架概述”部分，PDPC将“施加的处罚是对不遵守《个人数据保护法》的有效威慑”增加为其关键目标，与《个人数据保护法》修正案中增加罚款数额的内容相呼应。
PART02 调查流程
事件首先通过投诉、自我通知等方式呈现给PDPC。此后，PDPC需确定该事件是否涉及收集、使用或披露个人资料。如果没有，那么不会展开任何调查。如果PDPC认定存在违法数据保护义务的情况，在经过调解等程序后，案件进入调查。调查事实收集过程包括制作文件和信息的通知，访谈和陈述，实地考察等。最终，PDPC进行决策。
PART03 执行结果的类型
调查后的执行结果包括三类，一是暂停或停止调查，二是自愿承诺，三是违规调查结果。全面调查后PDPC将给出调查结果，结果包括无违规行为，警告，指示，经济处罚，指示和经济处罚。
一般类型
一般来说，PDPC可考虑在影响被评估为较低或有限的情况下停止调查。
自愿承诺旨在让组织有机会在指定的时间内实施与事件有关的补救计划，由组织以书面形式在调查开始或调查的早期阶段向PDPC提出。组织执行自愿承诺并不等于承认《个人数据保护法》。组织能证明其有负责任的政策和实践，且已准备好制定补救计划，并承诺立即实施的，存在自愿承诺的可能性。
高影响力事件
对于被评估为高影响性的事件，PDPC将立即启动一个全面的调查程序。这些事件通常是大量个人受到影响和/或披露的个人数据可能造成重大伤害。更新后的指南指出，在完成全面调查并根据执行结果后，PDPC将发布初步决定，说明拟发布的指示或拟实施的经济处罚通知。组织可选择附加相关证明文件。在发布最终决定之前，PDPC将考虑在初步决定中所提出的陈述。
加快决策程序
此外，存在加快决策程序，使上述调查程序在更短的时间内完成。在该程序下，执行结果不发生变化。加快决策程序需由组织以书面形式向PDPC提出。为了利用该程序，组织必须在PDPC调查的早期阶段透露其意图，并提供相关材料。
PART04 经济处罚
经济法处罚上限的调整
对于任何故意或疏忽违反，根据《个人数据保护法》，该组织应当支付最高100万新元或该组织在新加坡的年营业额的10%（如果该组织在新加坡的年营业额超过1000万新元）的罚款，以较高者为准。
施加经济处罚的考虑因素
在决定是实施经济处罚时，PDPC将：
1. 根据《个人数据保护法》规定的伤害和罪责原则对事件进行评估；
(i)“ 伤害”包括受影响的人数、受影响的个人数据类别、事件的持续时间等。PDPC将根据上述因素确定危害程度；
(ii) “罪责”是指该组织在该事件中的行为。PDPC将考虑具体违反《个人数据保护法》的性质，以及组织对《个人数据保护法》的整体遵守情况；
2. 考虑其他需要增加或减少罚款的相关因素。这些因素包括但不限于：
(i) 该组织或个人是否采取任何行动以减轻不遵守规定的影响和后果，以及该行动的及时性和有效性；
(ii) 该组织或个人以前是否未遵守《个人数据保护法》等；
(iii) 是否自愿承认责任，包括是否根据加速决定程序进行；
(iv) 在调查过程中是否与PDPC合作；
(v) 该组织或个人是否为初犯。
综合各方因素，调整处罚方案
通过考虑对组织或个人可能产生的影响，以及考虑在实现合规和阻止不合规方面，该处罚是否适当和有效，来调整经济处罚。
PART05 结语
较高经济处罚条款是本次修改的重点。与此同时，指南中将惩罚的有效震慑被列为关键目标。这些变动反映了该委员会在未来的执法方向，PDPC的执行力将进一步得到强化。更高的经济处罚上限增加了组织在新加坡违反数据保护法规的风险和成本。鉴于较高的经济处罚，组织必须审查其相关政策和实践措施以符合新规定。