Singapurský zákon PDPA: vaše práva podle zákona o ochraně osobních údajů

Singapurský zákon o ochraně osobních údajů (Personal Data Protection Act, PDPA) platí od roku 2014, přesto si mnoho Singapurců stále neuvědomuje, jaká práva jim dává. V městském státě, kde téměř každá transakce — od jízdy taxíkem po nákup bubble tea — zahrnuje nějakou formu sběru dat, není znalost vlastních práv na soukromí něčím navíc. Je nezbytná.

PDPA upravuje, jak organizace shromažďují, používají, zpřístupňují a uchovávají vaše osobní údaje. Jeho dodržování vymáhá Komise pro ochranu osobních údajů (Personal Data Protection Commission, PDPC), která má pravomoc prošetřovat stížnosti, vydávat pokyny a ukládat finanční sankce až do výše 1 milionu S$ za jedno porušení.

Na co se PDPA vztahuje

Osobní údaje podle PDPA

Osobní údaje jsou definovány jako jakékoli údaje, podle kterých lze identifikovat jednotlivce, ať už samostatně, nebo v kombinaci s dalšími informacemi. Patří sem:

Typ	Příklady
Identifikátory	Číslo NRIC, FIN, číslo pasu
Kontaktní údaje	Telefonní číslo, e-mailová adresa, adresa bydliště
Finanční údaje	Čísla bankovních účtů, údaje o platebních kartách, příjem
Pracovní údaje	Pracovní pozice, zaměstnavatel, plat, hodnocení výkonu
Zdravotní údaje	Zdravotní záznamy, recepty, pojistné události
Biometrické údaje	Otisky prstů, data rozpoznávání obličeje
Digitální identifikátory	IP adresy, ID zařízení, historie prohlížení
Snímky a záznamy	Záznamy z kamer CCTV, fotografie, hlasové nahrávky

Na co se nevztahuje

PDPA se nevztahuje na:

• Státní orgány (ty se řídí příručkou Government Instruction Manual)
• Osobní nebo domácí účely (váš osobní seznam kontaktů)
• Pracovní kontaktní údaje používané pro obchodní účely
• Údaje o zesnulých osobách (déle než 10 let po úmrtí)

Vašich 5 klíčových práv podle PDPA

1. Právo na souhlas

Organizace musí získat váš souhlas dříve, než vaše osobní údaje shromáždí, použijí nebo zpřístupní. Musíte být informováni o účelu sběru a váš souhlas musí být dobrovolný. Souhlas můžete kdykoli odvolat, organizace vás však může upozornit na důsledky.

Praktický tip: Pokud po vás obchod chce NRIC kvůli věrnostnímu programu, můžete odmítnout. Službu vám musí poskytnout, aniž by vyžadoval zbytečné osobní údaje.

2. Právo na přístup

Můžete požádat o přístup ke svým osobním údajům, které má kterákoli organizace, i o informace, jak byly vaše údaje za poslední rok použity nebo komu byly zpřístupněny. Organizace musí odpovědět do 30 dnů.

Praktický tip: Můžete napsat kterékoli firmě a zeptat se, jaké osobní údaje o vás uchovává. Ze zákona vám to musí sdělit.

3. Právo na opravu

Pokud jsou vaše osobní údaje u organizace nepřesné nebo neúplné, máte právo požádat o opravu. Organizace musí údaje opravit a opravenou verzi zaslat všem dalším organizacím, se kterými je za poslední rok sdílela.

4. Právo odvolat souhlas

Souhlas s tím, aby organizace shromažďovala, používala nebo zpřístupňovala vaše osobní údaje, můžete kdykoli odvolat. Organizace musí vaší žádosti v přiměřené lhůtě vyhovět a informovat vás o případných důsledcích (například že vám nebude moci poskytovat některé služby).

5. Právo na přenositelnost údajů (novela z roku 2021)

Povinnost přenositelnosti údajů, zavedená novelou PDPA z roku 2021, vám umožňuje požádat, aby byly vaše údaje předány jiné organizaci v běžně používaném formátu. Týká se to údajů, které jste poskytli vy sami a které jsou v elektronické podobě.

Pravidla pro sběr NRIC

Jedna z nejvýznamnějších směrnic PDPA se týká sběru čísel NRIC. Od září 2019 platí:

Situace	Smějí shromáždit vaše úplné NRIC?
Založení bankovního účtu	Ano — vyžaduje to zákon
Registrace v nemocnici	Ano — vyžaduje to zákon
Personální záznamy zaměstnance	Ano — vyžaduje to zákon
Kniha návštěv budovy	Ne — použijte poslední 4 znaky nebo jiný doklad
Věrnostní program obchodu	Ne — použijte jiné identifikátory
Registrace do slosování	Ne — použijte jiné identifikátory
Členství v posilovně	Ne — použijte jiné identifikátory

Co dělat: Pokud po vás služba, která ho nezbytně nepotřebuje, chce úplné NRIC, můžete odmítnout a odvolat se na poradenské směrnice PDPA k číslům NRIC (PDPA Advisory Guidelines).

Registr Do Not Call (DNC)

PDPA zřídil singapurský registr Do Not Call (DNC), který vám umožňuje odhlásit se z telemarketingových hovorů, SMS a faxů. Svá čísla můžete zaregistrovat na dnc.gov.sg.

Registr	Ochrana
No Call Register	Blokuje telemarketingové hlasové hovory
No Text Register	Blokuje telemarketingové SMS
No Fax Register	Blokuje telemarketingové faxy

Organizacím hrozí pokuty až 10 000 S$ za každou neoprávněnou marketingovou zprávu.

Jak podat stížnost podle PDPA

Pokud se domníváte, že organizace s vašimi osobními údaji naložila nesprávně:

Krok 1: Obraťte se přímo na organizaci

Napište pověřenci pro ochranu osobních údajů (Data Protection Officer, DPO) dané organizace. Každá organizace, na kterou se PDPA vztahuje, musí DPO jmenovat. Jasně popište, co se stalo a co od ní požadujete.

Krok 2: Podejte stížnost u PDPC

Pokud organizace do 30 dnů uspokojivě neodpoví, podejte stížnost u PDPC na pdpc.gov.sg. Uveďte:

• Své osobní údaje
• Údaje o organizaci
• Popis incidentu
• Důkazy (snímky obrazovky, e-maily, korespondenci)
• Jaké řešení požadujete

Krok 3: Šetření PDPC

PDPC stížnost posoudí a může zahájit šetření. Mezi možné výsledky patří:

• Pokyn organizaci, aby se sběrem či zpracováním údajů přestala
• Pokyn ke zničení neoprávněně shromážděných údajů
• Finanční sankce až do výše 1 milionu S$
• Veřejné rozhodnutí o vymáhání (zveřejněné na webu PDPC)

Významné případy vymáhání PDPA

Rok	Organizace	Porušení	Sankce
2019	SingHealth	Únik 1,5 milionu záznamů pacientů	250 000 S$
2019	IHiS (IT dodavatel)	Selhání bezpečnostních opatření při úniku ze SingHealth	750 000 S$
2020	Integrated Health Information Systems	Neoprávněné zpřístupnění údajů	50 000 S$
2021	Různé malé a střední podniky	Nesprávný sběr NRIC	Varování a pokyny
2022	Řada organizací	Úniky dat kvůli nedostatečnému zabezpečení	Různé sankce

Praktické tipy k PDPA pro každodenní život

1. Čtěte zásady ochrany soukromí dřív, než se ke službě zaregistrujete — vězte, jaké údaje se shromažďují
2. Využijte registr DNC, abyste zastavili nevyžádané marketingové zprávy
3. Požádejte o smazání údajů u služeb, které už nepoužíváte
4. Vězte, kdy odmítnout sběr NRIC — odvolejte se na poradenské směrnice PDPA
5. Nahlaste úniky dat, na které narazíte, komisi PDPC
6. Vyžádejte si kontakt na DPO, když organizace shromažďuje vaše údaje
7. Uplatňujte své právo na přístup, abyste zjistili, jaké údaje o vás firmy mají

Sdílejte osobní údaje bezpečně

Podle PDPA musí organizace vaše údaje chránit. Svou roli v ochraně vlastních informací ale máte i vy. Když potřebujete sdílet osobní údaje — NRIC kvůli žádosti v bance, finanční údaje kvůli transakci nebo zdravotní záznamy kvůli doporučení k lékaři — neposílejte je jako prostý text přes WhatsApp nebo Messenger.

Použijte LOCK.PUB a vytvořte odkaz chráněný heslem, který obsahuje vaše citlivé údaje. Příjemce zadá heslo, aby je zobrazil, a pokud nastavíte dobu platnosti (Pro), odkaz se po jejím uplynutí už neotevře. Snížíte tak riziko, že vaše osobní údaje uniknou přes kompromitované účty v aplikacích pro zasílání zpráv nebo při krádeži zařízení.

Shrnutí

PDPA vám v Singapuru dává skutečná a vymahatelná práva k vašim osobním údajům. Nejdůležitější poznatek: máte právo vědět, jaké údaje o vás organizace shromažďují, právo odmítnout zbytečný sběr a právo podat stížnost, když se s vašimi údaji zachází nesprávně.

Tato práva aktivně uplatňujte. Odmítejte zbytečný sběr NRIC, zaregistrujte se v registru DNC, žádejte o smazání údajů u nepoužívaných služeb, a když už osobní informace sdílet musíte, použijte LOCK.PUB, abyste to udělali bezpečně. Soukromí není luxus — je to právo chráněné singapurským zákonem.