Singapore PDPA: Skal din hjemmeside have et cookiebanner?

Hvornår kræver en cookie samtykke?

PDPA gælder, når cookies indsamler personoplysninger: data om en person, der kan identificeres ud fra dem, alene eller sammen med andre oplysninger, som du har eller sandsynligvis får adgang til (§ 2). Kapitel 7 i PDPC’s Advisory Guidelines on Selected Topics anvender dette på cookies.

1. En cookie, der ikke indsamler personoplysninger

PDPC’s vejledning: samtykke er ikke nødvendigt for cookies, der ikke indsamler personoplysninger, f.eks. en sessionscookie, der kun gemmer de tekniske data, som skal bruges til at afspille en video.

Tjek det, før du drager den konklusion: Jo flere datapunkter du over tid knytter til en identifikator som en IP-adresse, desto mere sandsynligt bliver det, at en person kan identificeres.

2. En cookie knyttet til en identificerbar bruger for en funktion, brugeren har bedt om

PDPC’s vejledning: ved aktiviteter, som brugeren tydeligt har bedt om, er det muligvis ikke nødvendigt at indhente samtykke, hvis brugeren kender formålet og frivilligt har givet dataene, f.eks. ved gennemførelse af et køb, login, sikkerhed, præferencer og streaming.

Det svarer til formodet samtykke ved adfærd (§ 15(1)), som kun dækker formål, der er åbenlyse ud fra omstændighederne. At logge ind for at booke en holdtime er ikke accept af, at sessionsdataene bruges til annoncering.

3. Valgfrie annoncecookies

PDPC’s vejledning: annoncemålretning, der indsamler og bruger personoplysninger via cookies, kræver samtykke, og som god praksis anbefaler PDPC cookieindstillinger på selve hjemmesiden. Forpligtelsen ligger hos den, der indsamler dataene, så tjek, om det er din hjemmeside eller en tredjepart.

Praktisk tip: hold annoncecookies slået fra, indtil den besøgende aktivt giver samtykke, og tilbyd et link til indstillinger, der åbner valget igen. PDPA foreskriver intet bestemt bannerformat, men på denne måde registreres samtykket, og det bliver lettere at trække det tilbage.

Behandlingsgrundlag og deres begrænsninger

Efter § 13 kræves samtykke, medmindre PDPA eller en anden lov tillader behandling uden samtykke. Hvert grundlag har betingelser; intet af dem er en generel tilladelse til at spore:

• Samtykke (§§ 13–14): kun gyldigt, når du har oplyst formålene, og ikke hvis du kræver mere, end tjenesten har brug for, eller vildleder.
• Formodet samtykke ved adfærd (§ 15(1)): data, der gives frivilligt til et åbenlyst formål, f.eks. betaling for en ordre, men ikke til urelateret markedsføring.
• Formodet samtykke ved kontraktmæssig nødvendighed (§ 15(3)–(7)): videregivelse, der er rimeligt nødvendig for at indgå eller opfylde en kontrakt med personen, f.eks. til en betalingsudbyder eller et kurerfirma.
• Formodet samtykke ved underretning (§ 15A): en forudgående vurdering af negative konsekvenser, fyldestgørende underretning og en rimelig frist til at sige fra; ikke til at sende direkte markedsføringsbeskeder.
• Undtagelsen for legitime interesser: en vurdering af negative konsekvenser, en interesseafvejning, hvis der stadig er negative konsekvenser, og offentliggørelse. PDPC’s eksempler er forebyggelse af svig, sikkerhed og forebyggelse af misbrug af tjenester.
• Undtagelsen for forretningsforbedring: brug af data, som du allerede lovligt har, til at forbedre produkter eller forstå præferencer, når identificerbare data er nødvendige, og brugen er rimelig. Den dækker ikke ny indsamling uden for en koncern.

Praktisk tip: notér grundlaget for hvert formål. Hvis du ikke kan vise, at betingelserne er opfyldt, så bed om samtykke.

Underretning og tilbagetrækning

Krav i PDPA: når du bygger på samtykke, skal du oplyse dine formål ved eller før indsamlingen og på anmodning oplyse en kontaktperson for spørgsmål (§ 20). PDPC foreslår lagdelte oplysninger; se PDPC’s Guide to Notification.

Krav i PDPA: personer kan trække samtykke tilbage, også formodet samtykke, med rimeligt varsel. Forklar de sandsynlige konsekvenser, og stop indsamlingen, brugen eller videregivelsen, også hos databehandlere (data intermediaries), medmindre loven tillader den uden samtykke (§ 16).

PDPC’s vejledning: ti arbejdsdage er en tommelfingerregel for rimeligt varsel, og PDPC siger, at personer skal kunne trække samtykke til valgfrie formål tilbage uden at miste de nødvendige.

Praktisk tip: et link til indstillinger, der åbner banneret igen, gør det hurtigt at trække samtykke tilbage; tjek derefter, at tags og målgruppelister følger med. Se Lad besøgende ændre eller trække deres samtykke tilbage.

Eksempel: et fitnesscenters bookingside

Et fitnesscenter i Singapore tager imod bookinger af holdtimer online: Medlemmer logger ind, indtaster kontaktoplysninger og betaler med kort. Siden kører også webanalyse og en remarketingpixel.

Login-cookien og bookingformularen kan bygge på samtykke givet i formularen eller på formodet samtykke ved adfærd, og videregivelsen af kortoplysninger til betalingsudbyderen kan bygge på kontraktmæssig nødvendighed. Remarketingpixlen målretter annoncer med personoplysninger, så den venter på et aktivt samtykke (opt-in). Webanalyse, der kun tæller besøg uden at identificere nogen, kan falde uden for PDPA.

Cookievalg og andre markedsføringskanaler

Krav i PDPA: markedsføringsopkald, sms’er og faxer til telefonnumre i Singapore falder under de særskilte Do Not Call-bestemmelser med deres eget register og egne samtykkeregler. Et cookievalg opfylder dem ikke.

PDPC’s vejledning: indhent udtrykkeligt, aktivt samtykke (opt-in) til direkte markedsføringsbeskeder; forudafkrydsede felter er ikke passende, og formodet samtykke ved underretning, legitime interesser og forretningsforbedring kan ikke bruges til at sende dem.

Praktisk tip: gem tilladelser til cookies, e-mail og telefonmarkedsføring som separate felter, så et “ja” til annoncecookies aldrig bliver læst som tilladelse til at ringe eller sende e-mails.

Tjekliste til hjemmesiden

• Klassificér cookies: markér, hvilke der indsamler personoplysninger, alene eller kombineret.
• Vælg et grundlag: notér samtykke, formodet samtykke eller undtagelse for hvert formål.
• Test annoncecookies: bekræft, at de forbliver slået fra, indtil den besøgende aktivt giver samtykke.
• Test tilbagetrækning: bekræft, at tags og målgruppeeksporter stopper.
• Adskil kanaler: hold tilladelser til cookies, e-mail og DNC adskilt.
• Anmodninger: sørg for, at anmodninger om indsigt og berigtigelse når frem til de rette (§§ 21–22).

Ofte stillede spørgsmål