La mayoría de las organizaciones de Singapur transfieren datos personales al extranjero cada día: a proveedores en la nube, empresas del grupo, servicios de nómina y proveedores SaaS. Según la obligación de limitación de transferencias (Transfer Limitation Obligation) de la PDPA, cada transferencia necesita una garantía reconocida legalmente. En 2026 se actualizaron las reglas sobre una de esas garantías: las certificaciones. Este artículo explica qué ha cambiado y qué significa en la práctica. Nuestro artículo sobre las demás novedades de la PDPA de este año trata el plazo del NRIC, las directrices sobre IA generativa y las sanciones recientes.
Qué ha cambiado en 2026
- 2 de marzo de 2026: entraron en vigor las Personal Data Protection (Amendment) Regulations 2026. Modifican la regulación 12(2) de las Personal Data Protection Regulations 2021 y amplían las certificaciones reconocidas para transferencias al extranjero.
- Abril de 2026: la PDPC publicó una cláusula modelo para transferencias a organizaciones certificadas en los sistemas APEC y Global CBPR y PRP.
- 1 de abril de 2027: IMDA, que gestiona los programas de certificación en Singapur, indica que a partir de esta fecha se aplican requisitos actualizados. Las organizaciones que planeen solicitar la certificación deben comprobar qué versión les corresponde.
Global CBPR y Global PRP en resumen
El sistema Global Cross-Border Privacy Rules (CBPR) certifica las prácticas de privacidad de los responsables del tratamiento. El sistema Global Privacy Recognition for Processors (PRP) certifica a los encargados del tratamiento. Ambos proceden de los sistemas de APEC y hoy los gestiona el Global CBPR Forum; en Singapur, IMDA actúa como organismo de certificación.
Según IMDA, Singapur reconoce las certificaciones Global CBPR y PRP para las transferencias al extranjero bajo la PDPA. En la práctica, una organización de Singapur puede transferir datos personales a un destinatario certificado en el extranjero sin establecer garantías adicionales, como cláusulas contractuales, para esa transferencia.
Qué significa para su organización
Como emisor de datos
Al elegir o revisar un proveedor extranjero, pregunte si tiene una certificación Global CBPR o Global PRP. Una certificación válida simplifica la evaluación de la transferencia, pero usted sigue siendo responsable: compruebe su alcance, su vigencia y si cubre los servicios que realmente utiliza.
Como destinatario o proveedor de servicios
Las organizaciones de Singapur que prestan servicios a clientes en el extranjero pueden solicitar la certificación. Esto puede acortar la due diligence con clientes internacionales y demostrar prácticas de privacidad maduras, especialmente para proveedores SaaS, de outsourcing y fintech.
Los contratos siguen siendo la norma
Las certificaciones son una opción entre varias. La mayoría de las transferencias seguirán basándose en cláusulas contractuales, normas corporativas vinculantes dentro de grupos o, en casos limitados, en el consentimiento. Lo importante es que cada transferencia tenga una base documentada.
Lista de verificación para transferencias internacionales
- Mapee sus transferencias: enumere cada proveedor y empresa del grupo que recibe o puede acceder a datos personales desde fuera de Singapur
- Registre la garantía de cada transferencia: contrato, certificación, normas corporativas vinculantes u otra base reconocida
- Verifique las certificaciones en los directorios oficiales antes de confiar en ellas y anote su fecha de vencimiento
- Revise sus contratos frente a las cláusulas modelo de la PDPC cuando no exista certificación
- Actualice su aviso de privacidad para que las personas sepan que sus datos pueden transferirse al extranjero
Nuestra guía sobre transferencias internacionales de datos en Singapur explica la Transfer Limitation Obligation con más detalle.
Cómo puede ayudar ResGuard
El Gestor de Protección de Datos de ResGuard reúne sus aplicaciones, proveedores y transferencias en un único inventario, y nuestro módulo de gestión de proveedores envía cuestionarios de seguridad y privacidad, con apoyo de IA para prellenar las respuestas. Nuestros expertos en la PDPA pueden revisar su documentación de transferencias. Contáctenos para empezar.
Este artículo ofrece información general a 20 de octubre de 2026 y no constituye asesoramiento jurídico. Fuentes: Singapore Statutes Online, páginas de IMDA sobre Global CBPR y PRP, guías de la PDPC y resúmenes publicados de las Amendment Regulations.