出海必备——东南亚数据合规监管要点（新加坡、越南篇）

前言
上一篇文章《出海必备——东南亚数据合规监管要点（泰国、印尼篇）》中，我们探讨了泰国和印度尼西亚的数据合规要点。本文，我们的合规足迹将踏至新加坡及越南。新加坡因具备独特的地理位置、丰富的市场机会，曾被媒体誉为全球营商环境最佳的国家之一。早在2012年，新加坡就对个人信息进行专门立法保护，现已具有较为完备、成熟的数据合规监管体系，并设立了专门机构——个人信息保护委员会（下称PDPC）。
越南则是当今东盟人口最年轻、增长最快的经济体之一。过去五年，数字经济是越南增长最快的经济产业。其数字经济领域活跃的、大量的用户参与，反映了该国在这一新兴经济形态中蕴藏的广阔机遇。新加坡与越南近年来成为企业出海及数据处理活动的热门目的地，本文将梳理其数据合规主要监管要求，供出海企业参考。
【新加坡】
主要法律法规
《个人数据保护法》（2012年11月发布，2014年7月生效，2021年2月修订）
《个人数据保护（指定执法机构）通知》
《个人资料保护（指定医疗机构）通知》
《个人数据保护（执行）条例》
《个人数据保护（请勿致电登记处）条例》
《个人数据保护（构成犯罪）条例》
《个人数据保护（数据泄露通知）条例》
《个人数据保护（上诉）条例》
(详细法律法规可参阅：https://sso.agc.gov.sg/)
Q1：个人数据保护法（Personal Data Protection Act 2012，下称“PDPA”）规定数据控制者的主要义务是什么？
同意义务、目的限制义务、通知义务、访问和更正义务、准确性义务、保护义务、保留限制义务、转让限制义务、数据披露通知义务、问责义务。
Q2：企业应当如何获得用户的同意？
新加坡PDPA中要求数据控制者和数据处理者遵循“告知－同意”要求。根据新加坡PDPA第14条，除新加坡PDPA规定的豁免同意义务情形以及其他法律要求的个人数据收集、使用和披露情形外，组织收集、使用或披露个人数据原则上应取得个人同意。
新加坡PDPA约定了“视为同意”情形。根据新加坡PDPA要求，构成“视为同意”的情形主要包括个人自愿、主动提供、个人同意（包括视为同意）组织为特定目的向另一组织披露其个人数据，也视为其同意另一组织为该特定目的收集、使用或披露个人数据、履行合同所必需、如果组织充分通知个人收集、使用或披露个人数据的目的，且个人未在合理的时间内告知组织其不同意，则也构成“视为同意”。
新加坡PDPA中特别提及了“豁免同意”义务，除允许为组织合法利益、个人切身利益（如为生命、健康或安全的紧急情况）、影响公共利益、满足一定条件下的商业资产交易目的等情形豁免组织取得个人的同意的义务，PDPA允许为商业改进目的收集个人数据。当个人数据处理活动无法满足“视为同意”、“豁免同意”或其他法定的个人数据收集条件时，组织必须获取个人的明确同意，明确同意包括书面形式的同意，也包括口头表达的同意。
新加坡PDPC在《关于PDPA中关键概念的咨询指南》指出，若企业不方便取得个人书面同意，可以选择取得用户口头表达的同意，但建议企业在取得口头同意后，以书面形式确认或记录个人口头表达同意的事实。这一点，如后续发生数据权益相关争议，企业可避免缺失重要证据。
Q3：企业需要设置DPO吗？
根据新加坡PDPA要求，企业应当设置数据保护官员（Data Protection Officer，下称DPO），负责确保遵守PDPA，并向公众提供 DPO 的业务联系信息。DPO可以由专人担任，也可以是组织中担任其他角色的官员。
如果人力资源不足的组织还可以将DPO外包给相关服务提供商。具体注册网页及流程可参阅：
https://www.pdpc.gov.sg/Overview-of-PDPA/Data-Protection/Business-Owner/Data-Protection-Officers
Q4：如果企业因业务需求进行电话营销，需要注意些什么？
新加坡PDPA第九部分约定了“谢绝来电”制度（DO NOT CALL REGISTRY，下称DNC），PDPC负责监督“谢绝来电”登记处的开发和运营，禁止任何机构向谢绝来电登记簿登记的新加坡电话号码发送营销信息，以确保个人只收到他们想要的电话营销信息。（可详见网址：https://www.pdpc.gov.sg/Overview-of-PDPA/Do-Not-Call-Registry/Individual/Do-Not-Call-Registry-and-You）。
新加坡PDPA规定，对于发送营销信息，组织不能通过“通知”方式取得同意。目前常见的违规行为有未经同意开展营销、出售营销线索、未经用户同意公开披露个人数据等。
因此企业在进行电话营销时，需特别注意遵守“告知－同意”原则。否则，企业可能承担 100 万新元罚款。若该企业在新加坡的年营业额超过 1000万新元，则该企业可能面临在新加坡的年营业额的 10%罚款。
Q5：若发生了数据泄露事件，对企业有何要求？
在下述情况下，数据泄露构成“应通报的数据泄露”：对受影响的个人造成或可能造成重大伤害（包括损害《个人数据保护（数据泄露通知）条例》规定的个人数据的伤害）或者为大规模泄露（即影响 500 人或更多人）。
企业必须在切实可行的情况下尽快通知PDPC，无论如何不得迟于企业对于应通报的数据泄露进行上述评估之日后的三个日历日内。如果数据泄露对受影响的个人造成或可能造成重大影响，组织还必须以在当时情况下合理的任何方式通知每个受影响的个人。
Q6:若企业违反了新加坡PDPA的要求，将面临什么处罚？
对违反新加坡PDPA的行为，将处以高额的罚款，最高罚款额为100万新元（约等于535万元人民币）或一个机构组织在新加坡年营业额的10％，以金额最高者为准。因违反 PDPA 中的数据保护义务而遭受损失或损害的个人拥有私人诉讼权，并可以对该组织提起民事诉讼。
【越南】
主要法律法规
《个人数据保护法令》（2023年4月发布，2023年7月生效）
《网络安全法》
《网络信息安全法》
《全国信息安全事件协调应对规定》
(详细法律法规可参阅：https://vbpl.vn/TW/Pages/vbpqen.aspx)
Q1：越南个人数据保护法令（Decree No.13/2023/ND on the Protection of Personal Data，下称'PDPD'）中“敏感数据”包括哪些？
政治观点、宗教观点，病历中记录的健康状况和私生活，不包括血型信息，与种族出身和民族血统有关的信息，有关个体遗传或获得的遗传特征的信息，有关个人身体属性和生物特征的信息，有关个人性生活和性取向的信息，执法机构收集和存储的犯罪和犯罪行为数据，信贷机构、外国银行分行、支付中介服务提供商及其他授权机构的客户信息等。
Q2：企业应当如何获取用户的同意？
越南PDPD以获得数据主体同意为原则，并规定数据主体的同意仅在数据主体自愿且明确知晓以下内容时有效。
数据处理者需要告知处理的个人数据类型、目的、授权处理个人数据的实体以及数据主体的权利和义务。数据主体的同意必须以书面、语音、检查同意框、文本同意语法、选择同意技术设置或通过其他证明这一点的动作明确而具体地表达。
数据主体的同意必须以可打印、书面复制的格式表达，包括电子或可验证的格式。此外，越南PDPD还指出数据主体的沉默或不回应不视为同意。
Q3:企业在越南进行营销和广告服务，需要注意什么要点？
（1）提供营销、广告产品介绍服务的组织和个人，仅可在征得数据主体同意的情况下，将通过其业务活动收集的客户个人数据用于提供营销、介绍服务、推荐广告产品。
（2）为提供营销服务和介绍广告产品而处理客户个人数据，必须在客户明确了解产品介绍的内容、方式、形式、频率的基础上，得到客户的同意。
（3）提供营销服务、介绍广告产品的组织和个人，有责任证明其介绍产品的客户个人数据的使用情况符合上述的规定。
Q4:作为在越南开展跨境商业活动的境外企业，其数据应当存储在哪里？
（1）第53/2022/ND-CP号法令（“第53号法令”）规定，在越南从事下列领域之一的商业活动的境外数字化服务提供商必须将以下数据存储在越南：
电信服务；在网络空间中存储和共享数据；为越南的服务用户提供国家或国际域名；电子商务；网上支付；支付中介；通过网络空间的交通连接服务；社交网络和社交媒体；在线视频游戏；以消息、语音通话、视频通话、电子邮件和在线聊天等形式提供、管理或运营网络空间其他信息的服务。
（2）同时上述境外数字化服务提供商在收到越南公安部要求后，或基于公安部网络安全和高技术犯罪防治司通知、指导、监测、督促企业遵守数据存储要求的，该境外企业可能需要在越南设立分支机构或代表机构。
Q5:若业务可能涉及未成年人信息的收集的，企业需要注意什么？
越南PDPD要求，儿童个人数据处理需要遵循保护儿童权利和最大利益原则。
根据越南PDPD规定，数据控制者和数据处理者必须在处理儿童的个人数据之前验证儿童的年龄，并按照规定征得其父母或监护人的同意，如果儿童年满 7 岁或以上，除法律另有规定外，必须得到儿童本人的同意。
Q6:企业违反越南PDPD要求，将会面临何种后果？
若违反越南PDPD规定的，企业可能会面临行政制裁或刑事诉讼。
根据越南PDPD规定，不同违规行为所受到的罚款不同。若企业在收集数据之前未获得个人同意，将面临4,000万到2亿越南盾不等的罚款（约等于1.2万元到6万元人民币）。根据其违法行为的程度，公司可被处以基本罚款金额的2-5倍，甚至被处以最近一个财政年度总收入的3%—5%的罚款。
本次出海指南聚焦于东南亚四国——泰国、印度尼西亚、新加坡及越南。这些国家作为中国企业拓展海外业务的重要目的地，对其法律监管环境的理解，是稳妥开启国际市场的重要条件。后续，我们的系列文章将关注北美地区，总结梳理加拿大和美国的数据合规要点，助力企业探索更广阔的国际市场。