個人データ保護法（Personal Data Protection Act 2012）
適用範囲と義務
同法は、シンガポールにおいて個人データを収集、利用または開示するすべての組織に適用されます。公的機関と個人的な立場で行動する個人は除外されます。1 個人データとは、そのデータから、またはそのデータと組織がアクセスできる若しくはアクセスする可能性が高いその他の情報とを組み合わせることで、識別可能な個人に関するデータをいいます。義務は、シンガポールのコンプライアンス実務で定着した項目に整理されています。すなわち、同意、目的の限定、通知、アクセスと訂正、正確性、保護、保存の制限、移転の制限、データ侵害の通知、そしてアカウンタビリティです。2 2021年2月1日に施行された2020年改正により、データ侵害の通知義務、通知によるみなし同意の仕組み、正当な利益の例外が追加されました。また、この改正により、シンガポールにおける年間売上高が1,000万シンガポールドルを超える組織については、金銭的制裁の上限がその年間売上高の10％に引き上げられました。この引き上げられた制裁は2022年10月1日に発効しました。3
ライセンスを受けたデジタル・ペイメント・トークン（DPT）サービス・プロバイダーは、大量の個人データを保有しています。本人確認書類、住所、資金源の証拠、端末およびIPのデータ、取引履歴、ウォレットアドレスを収集します。そのいずれもが個人データです。同法は、プロバイダーに対し、目的を通知し、同意を得るか例外に依拠し、合理的なセキュリティ措置によってデータを保護し、法律上または事業上の目的のために不要となった時点で削除することを求めています。個人データ保護委員会（Personal Data Protection Commission）は、データ侵害を受けて保護が不十分であった金融セクターの組織に制裁金を科してきました。暗号資産プラットフォームは、暗号資産を保有していることが分かっている人々の本人確認書類を狙う攻撃者にとって、格好の標的です。
データ侵害の通知
データ侵害が発生したと信じる理由がある組織は、速やかにそれを評価しなければなりません。侵害が通知対象である場合、その評価から3暦日以内に委員会に通知し、影響を受けた個人にはできる限り速やかに通知しなければなりません。侵害は、個人に重大な損害をもたらす場合若しくはもたらす可能性が高い場合、または500人以上の個人に影響を及ぼす場合に、通知対象となります。4 暗号資産プラットフォームにとって、顧客の本人確認データの漏えいはほぼ必ず通知対象となります。そのデータは、フィッシングや物理的な強要によって顧客を狙うために使われ得るからです。個人データが露出しないプラットフォームのホットウォレットへの侵害は、同法上のデータ侵害には当たりません。ただし、テクノロジー・リスク管理に関する通達（Technology Risk Management Notice）に基づくシンガポール金融管理局（Monetary Authority of Singapore、MAS）のインシデント報告要件の対象となります。5
注
- Personal Data Protection Act 2012, ss 2（定義）および4（適用）。 ↩
- Personal Data Protection Act 2012, Parts 3–6B、特にss 13（同意）、18（目的の限定）、20（通知）、21–22（アクセスと訂正）、23（正確性）、24（保護）、25（保存の制限）、26（移転の制限）および26A–26E（データ侵害の通知）。 ↩
- Personal Data Protection (Amendment) Act 2020。2021年2月1日から段階的に施行。s 48Jに基づく引き上げられた金銭的制裁は2022年10月1日に発効しました。 ↩
- Personal Data Protection Act 2012, ss 26B–26DおよびPersonal Data Protection (Notification of Data Breaches) Regulations 2021。 ↩
- MAS Notice on Technology Risk Management。関連するインシデントについて1時間以内の通知を求めています。規制上の報告義務については第K部第II章および第L部第VII章で扱っています。 ↩
このページは一般的な情報提供のみを目的としています。本記事は法律上または税務上の助言ではなく、個別の案件に関する助言に代わるものでもありません。また、弁護士と依頼者の関係を生じさせるものではありません。10月 2026時点の法状況に基づいています。