Il Personal Data Protection Act 2012

Ambito di applicazione e obblighi

L'Act si applica a ogni organizzazione che raccoglie, utilizza o comunica dati personali a Singapore. Sono esclusi gli enti pubblici e le persone fisiche che agiscono a titolo personale.¹ Sono dati personali i dati relativi a una persona fisica identificabile in base a tali dati oppure in base a tali dati unitamente ad altre informazioni a cui l'organizzazione ha o verosimilmente avrà accesso. Gli obblighi sono raggruppati sotto rubriche divenute standard nella prassi di compliance di Singapore: consenso, limitazione della finalità, informazione, accesso e rettifica, esattezza, protezione, limitazione della conservazione, limitazione del trasferimento, notifica delle violazioni dei dati e responsabilizzazione.² Le modifiche del 2020, in vigore dal 1º febbraio 2021, hanno introdotto la notifica obbligatoria delle violazioni, un meccanismo di consenso presunto mediante informazione e un'eccezione fondata sul legittimo interesse. Hanno inoltre innalzato la sanzione pecuniaria massima al 10 per cento del fatturato annuo realizzato a Singapore dall'organizzazione, qualora tale fatturato superi S$ 10 milioni. Le sanzioni più elevate sono entrate in vigore il 1º ottobre 2022.³

Un prestatore autorizzato di servizi relativi a digital payment token detiene una grande quantità di dati personali: raccoglie documenti d'identità, indirizzi, prove sull'origine dei fondi, dati sui dispositivi e sugli indirizzi IP, storici delle transazioni e indirizzi di wallet, e ciascuno di questi elementi costituisce un dato personale. L'Act impone al prestatore di comunicare le proprie finalità, di ottenere il consenso o di avvalersi di un'eccezione, di proteggere i dati con misure di sicurezza ragionevoli e di cancellarli quando non sono più necessari per una finalità legale o commerciale. La Personal Data Protection Commission ha inflitto sanzioni a organizzazioni del settore finanziario per protezione inadeguata a seguito di violazioni, e le piattaforme cripto sono un bersaglio evidente per gli aggressori che cercano i documenti d'identità di persone notoriamente in possesso di cripto-asset.

Notifica delle violazioni

Un'organizzazione che ha motivo di ritenere che si sia verificata una violazione dei dati deve valutarla con sollecitudine. Se la violazione è soggetta a notifica, l'organizzazione deve informarne la Commission entro tre giorni di calendario da tale valutazione e le persone interessate non appena possibile. Una violazione è soggetta a notifica se provoca o è verosimile che provochi un danno significativo alle persone interessate oppure se riguarda 500 o più persone.⁴ Per una piattaforma cripto, una fuga di dati identificativi dei clienti è quasi sempre soggetta a notifica, perché tali dati possono essere utilizzati per colpire i clienti con phishing e coercizione fisica. Un attacco all'hot wallet della piattaforma che non espone dati personali non costituisce una violazione dei dati ai sensi dell'Act, anche se fa scattare gli obblighi di segnalazione degli incidenti della MAS previsti dalla Technology Risk Management Notice.⁵

Note

Personal Data Protection Act 2012, ss 2 (definizioni) e 4 (ambito di applicazione). ↩
Personal Data Protection Act 2012, Parts 3 to 6B, in particolare ss 13 (consenso), 18 (limitazione della finalità), 20 (informazione), 21–22 (accesso e rettifica), 23 (esattezza), 24 (protezione), 25 (limitazione della conservazione), 26 (limitazione del trasferimento) e 26A–26E (notifica delle violazioni dei dati). ↩
Personal Data Protection (Amendment) Act 2020, entrato in vigore per fasi a partire dal 1º febbraio 2021. La sanzione pecuniaria aumentata ai sensi della s 48J è entrata in vigore il 1º ottobre 2022. ↩
Personal Data Protection Act 2012, ss 26B–26D, e Personal Data Protection (Notification of Data Breaches) Regulations 2021. ↩
MAS Notice on Technology Risk Management, che richiede la notifica degli incidenti rilevanti entro un'ora. La Parte K, Capitolo II e la Parte L, Capitolo VII trattano gli obblighi di segnalazione regolamentare. ↩

Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.

Italiano

Contatto

Dr Alexander Ressos, TEP

Of Counsel, KGP Legal LLC

Sono Of Counsel presso KGP Legal LLC a Singapore, dove lavoro con una clientela internazionale di imprenditori di successo e delle loro famiglie, gestori patrimoniali indipendenti, società di commercio di materie prime e altri clienti commerciali. Sono avvocato tedesco e svizzero, abilitato inoltre come solicitor in Inghilterra e Galles e a Hong Kong. Divido il mio tempo tra Zug in Svizzera, Singapore e Hong Kong. Dal 2017 ho lavorato con clienti internazionali su oltre 700 progetti relativi a cripto-attività e asset digitali. Ho inoltre un’ampia esperienza nel contenzioso e nell’arbitrato transfrontalieri a Singapore, a Hong Kong e in altri mercati del Sud-Est asiatico e della Grande Cina.

Opero nei principali centri finanziari del Sud-Est asiatico, del Medio Oriente e della Svizzera, con particolare attenzione alla protezione del patrimonio, alla pianificazione fiscale e successoria internazionale, nonché ai trust, all’amministrazione societaria e ad altri servizi fiduciari. La mia filosofia è essere per i miei clienti l’interlocutore di fiducia per la consulenza sul diritto di Singapore, lavorando a stretto contatto con loro e aiutandoli a raggiungere i loro obiettivi commerciali.

Tutta la consulenza in materia di diritto di Singapore è prestata tramite KGP Legal LLC, uno studio affermato e regolarmente autorizzato di advocates and solicitors di Singapore.

KGP Legal LLC è uno studio legale di medie dimensioni a Singapore, in grado di offrire l’intera gamma dei servizi legali e delle attività di amministrazione societaria. Qualora desideri ulteriori informazioni, La prego di contattarmi direttamente all’indirizzo [email protected].

Mi contatti →

Articoli e approfondimenti

Intende insediarsi o espandersi a Singapore?

SingaporeIQ è curato dal Dr Alexander Ressos, avvocato d’affari internazionale con oltre 15 anni di esperienza sul posto a Singapore come residente permanente, avvocato straniero registrato a Singapore e managing partner di uno studio legale straniero a Singapore. Oltre a una significativa esperienza in investimenti e operazioni transfrontaliere, nell’assistenza a clienti privati UHNWI e in materia di sanzioni e controlli sulle esportazioni, il Dr Ressos vanta un’ampia esperienza negli affari transfrontalieri e nei progetti relativi a cripto-attività e asset digitali a Singapore, maturata in oltre 700 progetti dal 2017.

Se sta pianificando la costituzione di una società, un investimento, una struttura di holding o l’ingresso in un mercato tramite Singapore, può contattare il Dr Ressos direttamente all’indirizzo [email protected]. La consulenza sul diritto di Singapore è prestata da KGP Legal LLC, uno studio autorizzato di advocates and solicitors di Singapore. In quanto studio legale di Singapore, KGP Legal LLC è autorizzato ai sensi del Legal Profession Act 1966 a prestare consulenza sul diritto di Singapore e a rappresentare i clienti dinanzi ai tribunali di Singapore; agli studi legali stranieri con una sede a Singapore, di regola, non è consentita né l’una né l’altra attività. Il Dr Ressos e il suo team rendono accessibile l’intera gamma di servizi legali, di compliance e di amministrazione societaria a Singapore, tra cui la costituzione di società, le operazioni societarie, i contratti commerciali, le cripto-attività e gli asset digitali, la regolamentazione finanziaria e la risoluzione delle controversie, compreso il contenzioso dinanzi ai tribunali di Singapore. Per i servizi legali, fiscali e fiduciari in Svizzera, consulti helveticaregister.com.