新加坡数据泄露通知义务：3天规则

自2021年2月1日起，新加坡所有机构在发生特定数据泄露时，必须依法通知PDPC（个人数据保护委员会）。这是PDPA修订案下的强制义务。

未通知可能面临高达年营业额10%或S$100万（取较高者）的罚款。

什么情况需要通知？

并非所有数据泄露都需要通知。满足以下任一条件即为可通知泄露：

条件	标准
重大危害	泄露已导致或可能导致受影响个人遭受重大危害
规模	无论是否有危害，影响500人或以上

什么算"重大危害"？

• 身份盗用或欺诈
• 财务损失
• 人身安全威胁
• 勒索或敲诈
• 骚扰
• 就业机会丧失
• 名誉损害

3天通知时间线

评估泄露为可通知后，必须在3个日历日内通知PDPC。

必要步骤

步骤	行动	时间
1	遏制泄露	立即
2	评估泄露——判断是否需通知	尽快
3	通知PDPC	评估后3个日历日内
4	通知受影响个人——如有重大危害风险	尽快
5	记录和审查	持续

实际案例

• SingHealth（2018年）：150万患者数据泄露，SingHealth和IHIS各被罚S$250,000
• Grabcar（2019年）：数据暴露被罚S$10,000

安全共享泄露报告

泄露发生时，应急团队需要与利益相关方共享敏感的评估报告和取证结果。通过微信或普通电子邮件发送存在风险。

LOCK.PUB提供密码保护的备忘录，让您安全地共享泄露评估文件，并可设置过期时间限制访问。

提前准备

• 记录应急计划
• 确定通知团队
• 预先起草通知模板
• 进行桌面演练
• 每年审查更新

需要安全共享泄露相关文件时，使用LOCK.PUB。在泄露发生之前就做好准备。