外國企業的法規要求、執照申請與持續性合規義務。
有可能。判斷資料是不是個人資料，不能只看裡面有沒有姓名。 即使一項資料本身看不出是誰，只要你的公司能取得其他資料，把它們放在一起後就能認出這個人，這項資料就仍可能是個資。因此，公司透過 Cookie 蒐集同一位使用者的多項資料，也可能已經是在蒐集個資。Cookie 是網站存在使用者電腦或手機裡、用來記錄瀏覽行為的小檔案。
為什麼1、新加坡《2012 年個人資料保護法》（Personal Data Protection Act 2012，PDPA，以下稱新加坡個資法）對個人資料的定義很廣。不論資料是否真實，只要組織能單靠這項資料認出一個人，或把它和組織已經取得、或可能取得的其他資訊放在一起後，認出這個人，就屬於個人資料。 2、新加坡個人資料保護委員會（Personal Data Protection Commission，PDPC）的《特定主題諮詢指引》指出，如果組織透過同一個唯一識別碼，例如 IP 位址、Cookie 或裝置識別碼，把一個人的多項資料連在一起，累積的資料越多，就越可能認出這個人。因此，即使沒有姓名，這些資料也越可能構成個資。 3、和台灣不同的是，在新加坡，公司要蒐集、使用或揭露個資，原則上要先取得當事人的同意。如果沒有取得同意，公司就要確認：新加坡個資法是否另有規定，允許公司在這種情況下使用這些資料。 台灣的規定方式不同。台灣《個人資料保護法》（以下稱台灣個資法）第 19 條第 1 項列了 8 種民間企業可以蒐集或處理個資的情形，「經當事人同意」只是其中一種。因此，公司在台灣可能不是靠取得同意，而是符合其他法定情形來蒐集或處理個資；到了新加坡，就要依新加坡個資法重新確認，不能直接沿用台灣的做法。 不過，兩邊都不能把「沒有姓名」當成「不是個資」。台灣個資法第 2 條第 1 款把「其他得以直接或間接方式識別該個人之資料」列為個人資料；台灣《個人資料保護法施行細則》第 3 條把「間接方式識別」定義為「僅以該資料不能直接識別，須與其他資料對照、組合、連結等，始能識別該特定之個人」。 所以，這些 Cookie 資料一旦構成個資，你把它們交給新加坡的廣告合作夥伴，就是揭露個資。你要先告訴使用者資料會用在這個目的，並取得同意；如果不取得同意，就要確認新加坡個資法另有規定允許公司這樣做。
怎麼做1、你可以在新加坡網站上設置彈出視窗，告訴使用者公司的 Cookie 政策，以及網站會蒐集哪些資料，降低違反新加坡個資法的風險。 2、如果有些 Cookie 不是網站運作所必需的，你要讓使用者可以自行選擇停用。 3、在讓使用者繼續瀏覽網站之前，你要請他確認並同意 Cookie 政策，或讓他設定允許使用哪些 Cookie，也可以同時採取這兩種做法。
新加坡分公司把個資傳回台灣，即使是傳給自己的總公司，也要遵守新加坡《2012 年個人資料保護法》（Personal Data Protection Act 2012，PDPA，以下稱新加坡個資法）的跨境移轉限制義務，也就是把個資傳出新加坡之前，必須先符合相關保護要求。 把客戶的個資傳回台灣，也是在使用或揭露客戶的個資，因此，你應向客戶取得同意。
為什麼1、公司不能只決定把資料傳出去，還要在傳輸之前，先符合新加坡個資法對境外傳輸的要求。 2、你的公司要先了解台灣總公司會怎麼保護這些資料，並採取適當措施，確保資料傳到台灣後，仍受到至少和新加坡個資法相當的保護。 3、和台灣不同的是，新加坡要求公司在把個資傳出境之前，就先確保境外收受方能提供相當的保護。即使資料是傳給自己的總公司，也要先做這件事。 台灣《個人資料保護法》第 21 條則沒有全面禁止民間企業把個資傳到國外，而是規定在以下 4 種情況下，主管機關可以限制： （1）涉及國家重大利益。 （2）國際條約或協定有特別規定。 （3）接受國對個資的保護沒有完善的法規，致有損害當事人權益之虞。 （4）以迂迴方法向第三國或地區傳輸個資，規避個資法。 所以，即使台灣總公司平常都是直接接收分公司傳回的資料，新加坡分公司仍要先透過合約或企業內部規則，把資料傳回後的保護要求訂清楚。
怎麼做1、新加坡分公司可以和台灣總公司訂立合約，要求總公司對傳回的個資提供至少和新加坡個資法相當的保護。合約也要寫明，這些資料可以依合約傳到哪些國家或地區。 2、公司也可以採用具拘束力的企業內部規則。這是集團內各成員共同遵守、可以拘束各成員的個資保護規則，英文稱為 binding corporate rules。這套規則必須符合上述保護要求，以及新加坡個資法規定的其他要求。 3、你可以在提供給客戶的隱私權政策裡，寫明客戶的個資可能會傳到台灣總公司，讓客戶知道這項安排並取得同意。 4、你要在客戶提供個資之前，請他先閱讀並同意隱私權政策的條款。
通常不夠。把台灣版隱私權政策翻譯成另一種語言，不代表內容就符合新加坡的要求。 你的公司已經遵守台灣《個人資料保護法》（以下稱台灣個資法），也不代表同時符合新加坡《2012 年個人資料保護法》（Personal Data Protection Act 2012，PDPA，以下稱新加坡個資法）。
為什麼1、台灣和新加坡的個資法，架構雖然可能有些相似，但公司必須做哪些事、做到什麼程度，兩邊的規定並不相同。 2、和台灣不同的是，下面「怎麼做」要檢查的內容裡，至少有 2 項不能直接沿用台灣版。 第一項是公司如何取得同意。台灣個資法第 19 條第 1 項列了 8 種民間企業可以蒐集或處理個資的情形，「經當事人同意」只是其中一種。因此，台灣版政策可能是因為公司和當事人有契約關係，才蒐集個資，而不是以取得同意作為依據。到了新加坡，公司原則上要先取得同意；如果不取得同意，就要確認新加坡個資法是否另有規定允許公司這樣做。 第二項是使用者可以要求公司做什麼。台灣個資法第 3 條列了 5 項當事人權利：查詢或請求閱覽、請求製給複製本、請求補充或更正、請求停止蒐集、處理或利用，以及請求刪除。 新加坡個資法規定的是查閱與更正（第 21 條、第 22 條），以及撤回同意（第 16 條）。新加坡個人資料保護委員會（Personal Data Protection Commission，PDPC）的指引說明，使用者撤回同意後，公司不必因此直接刪除資料；什麼時候不能再保存，要依保存限制義務（第 25 條）判斷。 所以，隱私權政策裡說明「公司如何取得同意」及「使用者有哪些權利」的內容，要依新加坡規定重寫，不能只翻譯台灣版。
怎麼做1、你可以把台灣版隱私權政策當作起點，但要依新加坡個資法的要求，重新檢查並調整內容。 2、你要特別檢查，政策是否已經說清楚以下 5 件事： （1）公司為什麼要蒐集、使用或揭露個資。 （2）公司如何取得及處理使用者的同意。 （3）公司是否會把個資傳到境外，以及相關安排。 （4）使用者有哪些權利。 （5）公司會保存個資多久。 3、除了修改隱私權政策，你也要另外檢查公司的內部政策、作業流程和保護措施，確認它們適合新加坡業務的運作。
公司只要在新加坡蒐集、使用或揭露個資，就必須遵守新加坡《2012 年個人資料保護法》（Personal Data Protection Act 2012，PDPA，以下稱新加坡個資法）的各項個資保護義務。 因此，你要在開始為新加坡業務取得個資之前，先確認公司準備怎麼履行這些義務。
為什麼1、公司不能為了任何目的，就蒐集、使用或揭露個資。這些目的必須合理，而且在法律要求的情況下，公司要先把目的告訴當事人。 2、新加坡個資法的完整義務清單包括以下 11 項： （1）問責義務：組織要採取具體做法，確保自己遵守新加坡個資法。例如，有人提出要求時，提供公司的個資保護政策、實際做法和申訴流程；指定個資保護負責人（DPO），並公開業務聯絡資訊。 （2）告知義務：組織要告訴當事人，準備為了哪些目的蒐集、使用或揭露他的個資。 （3）同意義務：組織只能為當事人已經同意的目的，蒐集、使用或揭露他的個資。 （4）目的限制義務：組織蒐集、使用或揭露個資的目的，必須是一個合理的人在當時情況下會認為適當的目的，而且當事人已經同意。 （5）正確性義務：組織要盡合理努力，確認蒐集的個資正確、完整。尤其當公司可能用這些資料作成影響當事人的決定，或把資料揭露給其他組織時，更要注意。 （6）保護義務：組織要對持有的個資採取合理的安全措施，防止沒有獲得授權的人存取、蒐集、使用或揭露資料，以及其他類似風險。 （7）保存限制義務：當公司已經不再為任何業務或法律目的需要這些個資，就要停止保存，或以適當方式處置資料。 （8）跨境移轉限制義務：組織要先符合新加坡個資法相關規則的要求，才能把個資傳到其他國家。這包括確保境外收受方對資料提供的保護，和新加坡個資法要求的水準相當。 （9）查閱及更正義務：當事人提出請求時，組織要讓他查閱自己的個資，並告訴他，在提出請求前 1 年內，資料如何被使用或揭露；組織也要讓他更正資料中的錯誤或遺漏。 （10）資料外洩通報義務：發生資料外洩時，組織要先評估是否需要通報。如果外洩可能對當事人造成重大傷害，或達到重大規模，或兩者都有，組織就要在實際情況允許下，儘快通知新加坡個人資料保護委員會（Personal Data Protection Commission，PDPC）和受影響的當事人。 （11）資料可攜義務，目前尚未施行：當事人提出要求時，組織要用常用、可供機器讀取的格式，把他的資料傳給另一個組織。 3、和台灣不同的是，上面有 2 項義務，台灣現行的《個人資料保護法》（以下稱台灣個資法）本身沒有對民間企業作出同樣的要求。 第一項是指定個資保護負責人。新加坡個資法第 11 條第 3 項要求組織至少指定一名人員，負責確保組織遵守新加坡個資法；第 5 項要求組織公開其中至少一人的業務聯絡資訊。 台灣現行個資法本身沒有要求民間企業設置這種人員。2025 年修正的台灣個資法雖然要求設置「個人資料保護長」，但對象是公務機關，而且修正條文何時施行，要由行政院另定，目前還沒有施行。 第二項是資料外洩後要通知誰。新加坡要求通報 PDPC 和受影響的當事人。台灣現行個資法第 12 條只要求企業查明後通知當事人；2025 年修正的第 12 條雖然增加向主管機關通報的規定，但同樣還沒有施行。另外，部分產業的主管機關另訂有通報規定。 所以，公司在開始取得新加坡用戶的資料之前，要先指定負責人員並公開聯絡資訊，也要建立資料外洩後的評估和通報流程，不能只沿用台灣個資法本身的要求。
怎麼做1、你要先確認公司準備蒐集哪些個資、為什麼要蒐集和使用，以及是否會把資料揭露給其他人；如果會，也要確認對象是誰。 2、你要確認，這些蒐集、使用或揭露是否需要先取得同意。如果不取得同意，就要確認新加坡個資法是否另有規定，允許公司這樣做。 3、你要對照「為什麼重要」列出的 11 項義務，逐項確認公司在開始取得新加坡用戶的資料之前，已經準備好對應的做法。
新加坡個人資料保護委員會（Personal Data Protection Commission，PDPC）已經說明，公司不必把每一項涉及個資的活動，都逐一寫進隱私權政策。 但你仍要把用途寫清楚，讓使用者讀完後，知道公司為什麼、在什麼情況下，會蒐集、使用或揭露他的個資。
為什麼1、依新加坡《2012 年個人資料保護法》（Personal Data Protection Act 2012，PDPA）第 18 條，公司蒐集、使用或揭露個資的目的，必須是一個合理的人在當時情況下會認為適當的目的。 2、題目中的「服務及改善客戶體驗」，讓人理解的是，公司會把客戶的個資用來改善服務品質和客戶體驗。 3、目的說明要達到的效果，是讓當事人讀得懂，公司會把他的個資用來做什麼。 4、和台灣不同的是，兩邊判斷目的寫得夠不夠清楚的方式不一樣。台灣《個人資料保護法》第 8 條要求企業蒐集個資時，告訴當事人蒐集的目的。台灣企業撰寫這些內容時，常對照法務部公告的「個人資料保護法之特定目的及個人資料之類別」，例如「○九○ 消費者、客戶管理與服務」、「一四八 網路購物及其他電子商務服務」。 新加坡不是看公司有沒有寫出清單上的名稱，而是看使用者讀完後，能不能理解公司為什麼、在什麼情況下，會蒐集、使用或揭露他的個資。 所以，只把台灣版政策裡的目的名稱翻譯過去，不一定能讓新加坡用戶看懂，也不一定符合新加坡的要求。
怎麼做1、你在決定用途要寫到多細時，要考慮以下 5 件事： （1）文字是否清楚、簡潔。 （2）這個用途是提供產品或服務時一定需要的，還是使用者可以選擇要不要接受的其他用途。 （3）如果公司會把個資揭露給其他組織，你要怎麼讓使用者知道這些組織是誰。 （4）多寫一些細節，會讓使用者更容易理解資料的用途，還是反而讓他更難看懂。 （5）依公司實際怎麼做生意、怎麼運作，寫到什麼程度才適當。 2、如果公司還打算把個資用在「改善服務品質和客戶體驗」以外的特定用途，你就要把那些用途另外寫清楚。
依新加坡《2012 年個人資料保護法》（Personal Data Protection Act 2012，PDPA，以下稱新加坡個資法），當事人有權要求查看你的公司持有哪些他的個資，也有權要求更正。 如果公司沒有依新加坡個資法處理他的請求，他可以向新加坡個人資料保護委員會（Personal Data Protection Commission，PDPC）提出申訴。
為什麼1、PDPC 可以審查當事人的申訴，並調查公司是否可能違反新加坡個資法。 2、PDPC 審查後，可以發出指示，要求公司遵守規定，也可能對公司處以罰款。 3、新加坡個資法也在特定情況下提供私人訴權。如果當事人直接因為公司違反新加坡個資法而受到損失或損害，他可以自己向法院提起民事訴訟。 4、和台灣不同的是，台灣《個人資料保護法》第 3 條把「請求停止蒐集、處理或利用」和「請求刪除」都列為當事人的權利；新加坡個資法沒有把刪除列為當事人可以提出的請求。 在新加坡，用戶要求公司停止使用個資，要依撤回同意的規定（第 16 條）處理。也就是說，用戶撤回先前給公司的同意後，公司要停止蒐集、使用和揭露他的個資。 不過，PDPC 的指引說明，撤回同意不代表公司必須同時刪除資料。資料什麼時候不能再保存，要另外依保存限制義務（第 25 條）判斷。 所以，如果公司原本把「停止利用、刪除」放在同一套台灣流程裡處理，收到新加坡用戶的要求時，就要改依撤回同意的規定處理，也要讓替公司處理這些資料的外包廠商一起停止。
怎麼做1、收到有效的查閱請求或更正請求時，公司一般必須依新加坡個資法第 21 條及第 22 條回覆，除非有適用的例外。 2、如果公司拒絕讓用戶查閱，依新加坡個資法第 21 條第 6 項，公司必須回覆他，說明拒絕的理由。 3、如果公司沒有依用戶的請求更正資料，依新加坡個資法第 22 條第 5 項，公司必須在他的個資上加註，記錄他要求更正、但公司沒有更正的內容。 4、收到停止使用的要求時，你要依新加坡個資法第 16 條處理： （1）依第 16 條第 1 項，用戶只要給公司合理的通知，就可以隨時撤回同意。 （2）依第 16 條第 2 項，公司收到通知後，要告訴用戶，撤回同意可能帶來哪些後果。 （3）依第 16 條第 4 項，公司要停止蒐集、使用或揭露他的個資，也要讓代替公司處理資料的資料中介者和代理人停止。只有在新加坡個資法或其他成文法要求或允許公司不經同意繼續時，才屬例外。
管得到。組織只要在新加坡蒐集、使用或揭露個資，就適用新加坡《2012 年個人資料保護法》（Personal Data Protection Act 2012，PDPA，以下稱新加坡個資法）。 公司在哪裡成立、是否依新加坡法律設立或受到承認，都不影響這項要求。組織是否居住於新加坡，或在新加坡有沒有辦公室、營業場所，也一樣。
為什麼1、境外組織向新加坡用戶蒐集資料，也必須遵守新加坡個資法。 2、新加坡個人資料保護委員會（Personal Data Protection Commission，PDPC）的《新加坡個資法關鍵概念諮詢指引》（Advisory Guidelines on Key Concepts in the PDPA）說明，新加坡個資法所說的「組織」，不只包括公司，也包括個人和團體。不論這些組織是否依新加坡法律設立或受到承認、是否居住在新加坡，或在當地有沒有辦公處所或營業處所，只要在新加坡蒐集、使用或揭露個資，都要遵守新加坡個資法，除非屬於法律排除的類別。 3、和台灣不同的是，兩邊決定法律管到哪裡的方式不一樣。台灣《個人資料保護法》（以下稱台灣個資法）第 51 條第 2 項規定，即使在台灣領域外，蒐集、處理或利用中華民國人民的個資，也適用台灣個資法。這項規定看的是當事人是不是中華民國人民。 新加坡看的是個資的蒐集、使用或揭露是否發生在新加坡，不是公司在哪裡成立。 所以，台灣公司不能只因為自己沒有在新加坡設公司，就認為不必遵守新加坡個資法。
怎麼做1、你要先確認，公司的網站或服務是否從新加坡用戶蒐集個資。即使沒有姓名，只要和其他資料放在一起後可以認出一個人，也算個資，見第 1 題。 2、如果有，新加坡個資法的各項義務原則上都適用到你的公司，逐項見第 4 題。其中，你要依新加坡個資法第 11 條第 3 項、第 5 項，指定至少一名人員，負責確保公司遵守新加坡個資法，並向公眾公開其中至少一人的業務聯絡資訊。 3、你要依新加坡個資法的要求，重新檢查及修改隱私權政策，不能只把台灣版翻譯過去，見第 3 題。
如果馬尼拉團隊是受你的公司委託，為了公司的目的，代替公司處理個資，這個團隊就是新加坡《2012 年個人資料保護法》（Personal Data Protection Act 2012，PDPA，以下稱新加坡個資法）所稱的資料中介者。 依新加坡個資法第 4 條第 3 項，即使資料交給外包團隊處理，公司仍要負起和自己處理這些資料時相同的法律義務。
為什麼1、資料中介者，就是代替另一個組織處理個資的組織。 2、馬尼拉團隊在新加坡境外，所以公司把個資傳給這個團隊時，也要遵守跨境移轉限制義務。 3、公司要確保，資料傳到馬尼拉團隊後，仍受到和新加坡個資法要求相當的保護。 4、和台灣不同的是，你不只要管好外包團隊怎麼處理資料。因為馬尼拉團隊在新加坡境外，你還要在傳輸之前，先確保資料傳過去後，能受到和新加坡個資法相當的保護。 台灣《個人資料保護法施行細則》第 8 條也要求委託方適當監督受託方，並列出至少要監督哪些事項。例如，先訂清楚受託方準備蒐集、處理或利用哪些範圍、類別的個資，為了什麼特定目的，以及會持續多久；也要約定受託方違法時應該通知哪些事項、採取哪些補救措施，以及委託結束後如何返還和刪除資料。這些要求和下面的清單有不少重疊，所以公司現有的台灣委外監督做法，可以當作起點。 但台灣《個人資料保護法》第 21 條，只規定主管機關在 4 種情形下可以限制國際傳輸，沒有要求委託方在傳輸前，先確保境外受託方的保護水準。新加坡另外要求的，就是這一層。
怎麼做1、你要採取措施，確保馬尼拉團隊能依新加坡個資法處理個資。可以包括以下 8 項： （1）先訂清楚，要外包哪些客服工作，以及團隊要達到哪些目標和要求。 （2）和馬尼拉團隊訂立具有拘束力的合約，寫清楚外包範圍，以及團隊處理個資時必須做哪些事。 （3）確保團隊只存取和處理提供客服所必要的個資，而且只為原本蒐集這些資料的目的使用。 （4）建立適當的控管措施，管好誰可以存取個資、要採取哪些安全措施、資料如何保存和刪除，以及是否使用轉委託的對象；也要在適當情況下刪除個資。 （5）在合約裡要求團隊，一旦發生資料外洩，就要通知你的公司，不能無故拖延。這也是新加坡個資法的要求。 （6）確認團隊有符合新加坡個資法所需的制度和措施，能依規定保護個資。 （7）主動監督團隊，並透過稽核和到場檢查，確認團隊確實遵守規定。 （8）先訂好外包結束時的退場管理計畫，以及團隊停止保存個資的時程。 2、為了符合跨境移轉限制義務，你要做適當的盡職調查，實際了解馬尼拉團隊怎麼保護資料，並取得團隊的保證，確認它已有適當的政策、實際做法及保護措施。