Một trong những điểm thay đổi quan trọng trong Luật Bảo vệ dữ liệu cá nhân (sửa đổi) 2020 là việc tăng mức hình phạt tối đa tối đa mà một công ty có thể bị phạt do vi phạm dữ liệu. Số tiền một công ty vi phạm có thể bị phạt là 10% doanh thu hàng năm của họ ở Singapore hoặc 1 triệu dollar Singapore, tùy theo mức nào cao hơn. Trước đó, mức phạt tối đa mà một công ty có thể bị phạt vì vi phạm dữ liệu là 1 triệu dollar Singapore.
Quy định này ban đầu cũng gây khá nhiều tranh cãi khi được đưa ra thảo luận tại Nghị viện. Một số người phản đối cho rằng, việc tăng số tiền phạt có thể tạo ra ấn tượng rằng mức chế tài trong chế độ bảo mật dữ liệu của Singapore khắc nghiệt hơn nhiều so với các nước láng giềng và khiến các công ty nước ngoài chọn các quốc gia châu Á khác thay vì Singapore để hoạt động.
Tuy nhiên, Bộ trưởng Thông tin và Truyền thông Singapore S.Iswaran khi đó đã lập luận rằng, luật pháp phải đủ nghiêm để tạo cho người tiêu dùng tin tưởng rằng dữ liệu cá nhân của họ sẽ được bảo mật và được sử dụng có trách nhiệm.
Luật mới cũng yêu cầu các tổ chức hiện nay phải thông báo cho cả PDPC và các cá nhân bị ảnh hưởng về các vi phạm dữ liệu có khả năng gây ra thiệt hại đáng kể.
Dự luật cũng cho phép các tổ chức thu thập, sử dụng hoặc tiết lộ dữ liệu cá nhân mà không cần sự đồng ý của các cá nhân trong các trường hợp được phân loại là "lợi ích hợp pháp", miễn là các tổ chức này tiến hành đánh giá để loại bỏ hoặc giảm thiểu rủi ro liên quan và bảo đảm lợi ích tổng thể lớn hơn bất kỳ tác dụng phụ nào.
Các tình huống như vậy bao gồm việc sử dụng dữ liệu cá nhân để phát hiện các điểm bất thường trong hệ thống thanh toán nhằm ngăn chặn gian lận hoặc dữ liệu từ camera an ninh hoặc các thiết bị Internet of Things khác để hỗ trợ công tác điều tra hoặc tố tụng. Ngoài ra, quy định trên cũng có thể được áp dụng trong trường hợp tổ chức tiến hành cải tiến hoạt động kinh doanh. Cụ thể là khi tổ chức đó thực hiện cải tiến hiệu quả hoạt động và dịch vụ; phát triển hoặc nâng cao sản phẩm/dịch vụ.
Một điều khoản mới đáng chú khác là cho phép các tổ chức thông báo cho người tiêu dùng về mục đích mới mà dữ liệu cá nhân của họ sẽ được sử dụng và cung cấp một khoảng thời gian hợp lý để họ từ chối. Trong những trường hợp như vậy, các tổ chức sẽ phải tiến hành đánh giá rủi ro để bảo đảm rằng các cá nhân không bị ảnh hưởng xấu bởi mục đích mới. Chẳng hạn một tổ chức tài chính có thể muốn sử dụng dữ liệu giọng nói như một phương tiện thay thế để xác thực và xác minh khách hàng của mình. Với những sửa đổi này, tổ chức tài chính có thể thông báo cho khách hàng về mục đích sử dụng dữ liệu thoại của họ, cung cấp cho họ một khoảng thời gian hợp lý để họ đưa ra câu trả lời đồng ý hay từ chối và cung cấp số điện thoại liên hệ để khách hàng có thể dễ dàng thắc mắc hay khiếu nại.
