新加坡IT外包PDPA合規檢查清單

簡而言之： 在新加坡外包IT，並不會把你的PDPA義務一併轉移給供應商——根據《個人資料保護法》（PDPA），即使由第三方代為處理個人資料，你的企業在法律上仍需承擔責任。一份符合PDPA的IT外包安排，需要與供應商簽訂資料處理協議、明確的違規通知責任、與資料敏感度相匹配的適當安全措施，以及清楚了解資料究竟存放在何處——這五件事，值得在簽約前而非事故迫使你面對之後才確認。

如果你的新加坡企業正在評估或重新審視一份IT外包安排，PDPA合規是供應商合約需要妥善處理的實際事項之一——並非事後才想起的法律附加條款，而是真正會影響供應商日常如何處理你資料的營運要求。本指南是一份用於對照PDPA審視IT外包安排的實用清單，與我們的新加坡外包IT的MAS TRM檢查清單有所區別——那篇文章涵蓋受MAS監管實體在PDPA之外還需額外滿足的金融業專屬要求；本指南則針對無論行業為何、每家新加坡企業都面臨的一般PDPA義務。

PDPA實際要求什麼

新加坡《個人資料保護法》規定了任何組織在收集、使用、揭露與保護個人資料方面應遵守的義務——同意義務（資料一般只能在獲得個人同意或符合有效例外情形下收集、使用或揭露）、目的限制義務（資料只能用於一般人認為合理、且已告知個人的目的）、保護義務（採取合理的安全措施，防止未經授權的存取、更改或處置），以及通知義務（個人及在重大違規情形下的個人資料保護委員會（PDPC），須在特定時限內獲得通知）。將IT外包給第三方，並不會讓這些義務消失——它們是你的組織作為資料控制者所承擔的義務，而PDPA明確表明，使用資料中介機構並不會將法律責任從你身上轉移出去。

外包IT時具體涉及的資料保護義務

當你的IT供應商代表你處理個人資料——託管你的系統、管理你的郵件、備份你的資料——PDPA將其視為「資料中介機構」，儘管該中介機構對保護與保留負有自身的直接義務，但作為決定處理目的與方式的一方，你的組織仍需承擔責任。這一區分具有實際意義：這意味著你與供應商的合約需要具體涉及資料保護義務，而不僅僅是一般性的服務水準條款；也意味著一旦資料出現問題，「我們已外包給供應商」絕非一個完整答案——監管機構與受影響個人仍會首先追究你的組織。

符合PDPA的合約應包含的供應商條款

一份真正符合PDPA的IT外包合約，應明確規定：供應商將接觸哪些個人資料以及具體用於何種目的；供應商承諾維持的安全措施，且應與所涉資料的敏感度相匹配；資料保留與刪除條款，包括合約終止時你的資料將如何處理；供應商在發生實際或疑似資料外洩時須及時通知你的義務，並明確具體時限，而非籠統的「在合理可行的情況下盡快」；稽核或檢查權利，讓你能核實供應商的實際安全實務，而非僅憑其一面之詞；以及關於分包的明確說明——如果你的供應商使用自身的分包商或雲端基礎設施提供商，同樣的保護措施也需要向下延伸至這些環節。

違規通知：時限與門檻

PDPA的通知義務要求組織評估資料外洩事件，若該事件可能對受影響個人造成重大傷害，或屬於重大規模（一般以影響500人或以上作為基準），須在完成評估後盡快、且無論如何不遲於3個日曆日內通知PDPC——這是一個確實相當緊迫的時間窗口，這使得你供應商自身發現違規與發出通知的速度，成為真正的營運依賴，而非一份文書形式。如果被入侵的正是你IT供應商的系統，你的組織能否趕上這3天的時限，完全取決於供應商多快告知你發生了什麼——這正是為何供應商合約中的通知義務，本身需要一個具體、短暫的時限，而不能任由其自行裁量。

新加坡中小企業是否需要資料保護主任？

需要——PDPA要求每個組織（包括中小企業）指定至少一名個人擔任其資料保護主任（DPO），負責確保組織內部符合PDPA。對大多數中小企業而言，這不必是一個專職全職職位——該角色通常作為更廣泛職責的一部分，指派給現有員工（常見於營運、法務或IT部門），不過DPO的聯絡方式需向公眾公開，並應PDPC要求提供。在外包IT時，你的DPO（或擔任該職能的人員）應是真正審閱供應商合約資料保護條款的人，而非簽署一份自己從未讀過的資料處理協議的人。

PDPA與其他區域框架的關係

如果你的新加坡企業同時在香港或中國大陸營運，值得了解的是，PDPA只是一幅真正各不相同的區域合規圖景中的一塊，而非一套統一適用於全區域的標準——香港的PDPO框架與中國大陸的等保與PIPL要求，與PDPA共享一些概念性的基因（同意、目的限制、違規通知），但在具體義務、門檻與執法機制上各不相同。一家真正在這三個市場都具備經驗的供應商，應能具體說明這些差異，而不是把「亞太合規」當作一整塊不加區分的東西來對待——如果一家供應商在被直接問及時，連PDPA與PDPO都分不清，這本身就是一個值得重視的警訊。

「合理安全措施」在實踐中究竟意味著什麼

PDPA的保護義務刻意不對具體技術管控措施做出規定，這意味著「合理安全措施」是相對於資料敏感度與外洩可能造成的傷害風險來判斷的——而非每家企業都必須同等滿足的固定清單。實務上，對大多數外包IT的中小企業而言，這轉化為具體、可核實的措施：限制供應商內部誰能真正接觸你資料的存取控制、傳輸與靜態資料加密、定期修補與弱點管理、能偵測未經授權存取嘗試的監控，以及一套記錄在案的事件回應流程。一家無法具體描述這些措施、只能泛泛保證「安全是我們的重點」的供應商，實際上並未把保護義務落實為任何在監管機構詢問採取了何種保障措施時你能拿出來的具體內容。

這如何與你更廣泛的IT關係相配合

當PDPA合規被融入負責你日常IT營運的同一段關係之中，而非被當作疊加其上的獨立合規工作時，效果往往最好。負責你修補管理、存取控制與監控的同一家供應商，最有能力證明保護義務在技術層面確實得到滿足，而不僅僅是合約上的承諾——「誰管理我們的系統」與「誰確保PDPA合規」之間的落差，往往正是在3天的PDPC通知時限已經開始倒數之際，產生相互推諉、拖慢事件回應與違規評估的根源。這正是具備PDPA意識的管理型IT與雲端服務，與事後才附加一條合規條款的一般供應商真正不同之處的原因之一。

簽約前的實用篩選清單

簽約前，應與任何IT外包供應商逐項過一遍以下清單：索取供應商標準資料處理協議範本，檢查其是否涵蓋上述具體條款，而非僅有籠統的保密語言；詢問你的資料實際會以實體或邏輯方式存放在何處，以及是否會作為供應商自身基礎設施或分包安排的一部分而離開新加坡；要求供應商以書面形式確認對你的承諾違規通知時限，理想情況下應大幅短於PDPA自身的3天時限，以便你的組織有時間評估並在需要時通知PDPC；索取供應商實際安全認證或稽核歷史的證據，而非口頭保證；並確認供應商內部由誰對PDPA相關問題負責——若供應商對此沒有明確答案，這本身就是一個值得認真對待的信號。

新加坡中小企業常犯的錯誤

當PDPA合規在外包關係中出問題時，有幾種模式會反覆出現。有些企業以為外包IT就把合規風險一併外包了出去——如上所述，事實並非如此。有些企業簽署供應商的標準格式合約，卻未檢查其是否真正具體涉及資料保護，誤以為一般性保密條款等同於此（並非如此——圍繞違規通知與資料保留的PDPA專屬義務，在預設的通用服務合約中很少出現）。有些企業在紙面上指定了DPO，但該人員實際上從未真正審閱過供應商合約，這就使這一角色形同虛設。還有些企業，直到事故迫使他們面對這個問題，才發現供應商實際的資料存放地點與分包安排，而非事先就予以確認。

續簽既有合約：哪些會變、哪些是新增

如果你的企業幾年前已簽署一份IT外包合約，值得把續約當作一次專門對照PDPA重新核實的機會，而非原樣照舊續簽。自許多現有中小企業合約最初簽訂以來，PDPA的執法環境已日趨成熟，PDPC也發布了越來越詳盡的指引與執法裁決，讓「合理」在實踐中的真正含義，比舊合約起草時更加清晰。續約同樣是一個自然的時機，可直接詢問供應商，自最初簽約以來，其自身的安全態勢與分包安排發生了哪些變化——基礎設施、雲端服務商，甚至所有權，都可能在一份多年期合約期間發生變動，除非合約明確要求揭露此類變化，否則客戶未必會被告知。

純內部IT vs 一般離岸MSP vs 受新加坡治理的管理型IT合作夥伴

純內部IT——對資料處理擁有完全的可見性與控制權，但小型團隊可能缺乏專門的PDPA專業知識，且無需管理外部供應商風險——不過這並不能免除PDPA義務，因為這些義務同樣適用於內部處理。
一般離岸MSP——或許成本更低，但往往預設採用一份通用的國際服務合約，未能具體涵蓋PDPA的資料保護與違規通知要求，且可能不熟悉新加坡的具體監管期望，而是套用其他司法轄區的隱私框架。
受新加坡治理的管理型IT合作夥伴（Brocent模式）——從新加坡的全球總部營運，採用具備PDPA意識的合約條款、專門支援保護義務的安全服務，並真正理解PDPA與香港PDPO、中國PIPL之間的差異，服務於跨區域營運的企業。

常見問題

如果我們外包IT，出現資料外洩時，法律責任在供應商還是我們身上？

根據PDPA，你的組織作為資料控制者，仍需承擔責任，即便你的IT供應商（作為資料中介機構）對資料保護與保留負有自身的直接義務。這正是為何你與供應商之間的合約需要清楚劃分責任與通知時限——「供應商負責」並非PDPA承認能免除你自身責任的立場。

我們的資料是否必須實體留在新加坡境內？

PDPA並不像某些其他司法轄區那樣，一概要求資料本地化，但它確實要求採取合理的安全措施，且對於跨境資料傳輸，須在目的地維持相當水準的保護標準。實務上，應與供應商確認資料實際存放與處理的地點，並確保任何跨境安排仍符合PDPA的保護標準，而非假設「總部在新加坡」就無需進一步核實。

PDPA與你們另一篇新加坡指南中的MAS TRM要求有何不同？

PDPA是一部普遍適用於新加坡境內任何處理個人資料的組織的一般性法律，無論行業為何。金融管理局（MAS）的科技風險管理（TRM）指引，則專門適用於受MAS監管的金融機構，在PDPA之上疊加了行業專屬要求——外包風險評估、具體的科技風險管控措施，以及有別於PDPA自身的監管通知義務。如果你身處金融服務業，兩者都需要遵守；若非如此，PDPA本身就是相關框架，也正是本指南所涵蓋的內容。

我們需要一位全職資料保護主任嗎？

不需要——PDPA要求指定至少一名DPO，但對大多數中小企業而言，這是指派給現有員工、作為其其他職責之外的一項角色，而非專職全職職位。比頭銜更重要的是，此人是否真正審閱供應商合約與資料處理實務，而非僅僅掛名卻不做實際工作。

資料外洩實際上須多快上報？

若外洩事件可能造成重大傷害，或影響500人或以上（作為一般門檻），PDPA要求在完成評估後盡快、且不遲於3個日曆日內通知PDPC——這是一個緊迫的窗口，很大程度上取決於你的IT供應商多快告知你其一方發生了事故，這正是為何供應商自身合約中的通知速度如此重要。

我們應具體檢查現有IT供應商合約中的哪些內容？

應查看是否有明確的資料保護條款（而非僅有一般性保密條款）、供應商具體的違規通知時限、合約終止時資料保留與刪除的明確規定、稽核或檢查權利，以及供應商所使用的任何分包商或雲端服務商的揭露情況——若其中任何一項缺失或含糊不清，值得在下次續約前直接向供應商提出。

使用一家總部設在新加坡的供應商，是否就自動意味著我們符合PDPA？

不是——單憑地點並不能保證合規。一家總部設在新加坡的供應商，理應比主要為其他司法轄區隱私框架而打造的供應商，更真正理解PDPA的具體要求，但實際的合約條款、安全實務與違規通知承諾，仍需直接核實，而非僅憑供應商所在地就想當然。

根據PDPA，什麼才算得上「合理安全措施」？

並沒有一份固定的技術清單——其標準是相對於你資料的敏感度與外洩可能造成的傷害而言，需保持相稱。實務上，應期待存取控制、傳輸與靜態資料加密、修補與弱點管理、針對未經授權存取的監控，以及一套記錄在案的事件回應流程。一家只能給出籠統保證、卻無法描述具體措施的供應商，實際上並未真正落實這項義務。

PDPA合規應由負責我們日常IT的同一家供應商處理，還是應分開處理？

將兩者捆綁處理，實務上往往效果更好——負責你修補管理、存取控制與監控的供應商，最有能力證明保護義務在技術層面確實得到滿足，而非僅僅停留在紙面承諾。誰管理你的系統與誰對PDPA合規負責之間若存在落差，往往會在3天的PDPC通知時限已經開始倒數之際，恰恰造成混亂與延誤。

建立一套符合PDPA的IT外包安排

IT外包關係中的PDPA合規，歸根結底是一份真正可供核查的清單——一份妥善的資料處理協議、清晰的違規通知時限、適當的安全措施，以及一位真正會去審閱的DPO——而非假設外包就能免除這項義務。Brocent從新加坡自身的全球總部營運，為新加坡企業提供採用PDPA合規意識合約條款的管理型IT與雲端服務與管理型IT安全服務，以及新加坡企業可信賴的IT支援。如果你想對照這些標準審視你目前的外包安排，歡迎聯絡我們，或參閱我們的價格頁面了解管理型IT服務的架構方式。