Судя по информации в официальных источниках, NRIC&FIN защищены PDPA, но в самом PDPA сказано, что он не применяется к физическим лицам.

Привет, да, это не gdpr, он менее строгий. Однако консент от юзера на обработку данных, как дата процессор, должен быть получен. Подразумеваю, что данные никакие храниться нигде не будут...