PDPA de Singapur: ¿Necesita tu web un banner de cookies?

¿Cuándo necesita consentimiento una cookie?

La PDPA se aplica cuando las cookies recogen datos personales: datos sobre una persona que puede ser identificada a partir de ellos, por sí solos o junto con otra información a la que tienes o probablemente tengas acceso (artículo 2). El capítulo 7 de las Advisory Guidelines on Selected Topics de la PDPC aplica esto a las cookies.

1. Una cookie que no recoge datos personales

Orientación de la PDPC: no se necesita consentimiento para las cookies que no recogen datos personales, como una cookie de sesión que solo almacena los datos técnicos necesarios para reproducir un vídeo.

Compruébalo antes de llegar a esa conclusión: cuantos más datos vinculas con el tiempo a un identificador como una dirección IP, más probable es que una persona pase a ser identificable.

2. Una cookie vinculada a un usuario identificable para una función solicitada

Orientación de la PDPC: para actividades que el usuario ha solicitado claramente, puede que no sea necesario pedir consentimiento cuando el usuario conoce el fin y ha facilitado los datos voluntariamente, por ejemplo, completar una compra, iniciar sesión, la seguridad, las preferencias y el streaming.

Esto refleja el consentimiento presunto por conducta (artículo 15(1)), que solo cubre fines evidentes por las circunstancias. Iniciar sesión para reservar una clase no supone aceptar el uso publicitario de los datos de la sesión.

3. Cookies publicitarias opcionales

Orientación de la PDPC: la segmentación de anuncios que recoge y usa datos personales mediante cookies requiere consentimiento y, como buena práctica, la PDPC recomienda ofrecer preferencias de cookies en la propia web. La obligación recae en quien recoge los datos, así que comprueba si es tu web o un tercero.

Consejo práctico: mantén desactivadas las cookies publicitarias hasta que el visitante dé su consentimiento (opt-in), con un enlace de ajustes que vuelva a abrir la elección. La PDPA no prescribe ningún formato de banner, pero así queda registrado el consentimiento y se facilita su retirada.

Vías de autorización y sus límites

El artículo 13 exige el consentimiento, salvo que la PDPA u otra ley permita el tratamiento sin él. Cada vía tiene sus condiciones; ninguna es una licencia general para rastrear:

• Consentimiento (artículos 13–14): solo es válido después de informar de los fines, y no lo es si exiges más de lo que el servicio necesita o induces a error.
• Consentimiento presunto por conducta (artículo 15(1)): datos facilitados voluntariamente para un fin evidente, como pagar un pedido, pero no para marketing no relacionado.
• Consentimiento presunto por necesidad contractual (artículo 15(3)–(7)): comunicaciones razonablemente necesarias para celebrar o ejecutar un contrato con la persona, por ejemplo a un proveedor de pagos o a una empresa de mensajería.
• Consentimiento presunto por notificación (artículo 15A): una evaluación previa de efectos adversos, un aviso adecuado y un plazo razonable para oponerse; no sirve para enviar mensajes de marketing directo.
• Excepción de interés legítimo: una evaluación de efectos adversos, una ponderación si persisten efectos y su divulgación pública. Los ejemplos de la PDPC son la prevención del fraude, la seguridad y la prevención del uso indebido de los servicios.
• Excepción de mejora empresarial: usar datos que ya tienes de forma lícita para mejorar productos o conocer preferencias, cuando se necesitan datos identificables y el uso es razonable. No cubre nuevas recogidas fuera de un grupo empresarial.

Consejo práctico: registra la vía que usas para cada fin. Si no puedes demostrar que se cumplen sus condiciones, pide el consentimiento.

Notificación y retirada

Requisito de la PDPA: cuando te bases en el consentimiento, indica tus fines en el momento de la recogida o antes y, si te lo piden, facilita un contacto para preguntas (artículo 20). La PDPC sugiere avisos por capas; consulta su Guide to Notification (guía sobre la notificación).

Requisito de la PDPA: las personas pueden retirar su consentimiento, también el presunto, con un preaviso razonable. Explica las consecuencias probables y deja de recoger, usar o comunicar los datos, también a través de intermediarios de datos, salvo que la ley lo permita sin consentimiento (artículo 16).

Orientación de la PDPC: diez días hábiles es una referencia orientativa para un preaviso razonable, y la PDPC indica que se debe permitir retirar el consentimiento para fines opcionales sin perder los necesarios.

Consejo práctico: un enlace de ajustes que vuelva a abrir el banner agiliza la retirada; después, comprueba que las etiquetas y las listas de audiencia la respetan. Consulta Permite que los visitantes cambien o retiren su consentimiento.

Ejemplo: la web de reservas de un estudio de fitness

Un estudio de fitness de Singapur acepta reservas de clases en línea: los socios inician sesión, introducen sus datos de contacto y pagan con tarjeta. La web también usa analítica y un píxel de remarketing.

La cookie de inicio de sesión y el formulario de reserva pueden basarse en el consentimiento dado en el formulario o en el consentimiento presunto por conducta, y la transmisión de los datos de la tarjeta al proveedor de pagos, en la necesidad contractual. El píxel de remarketing segmenta anuncios con datos personales, así que espera a que el visitante dé su consentimiento (opt-in). La analítica que solo cuenta visitas sin identificar a nadie puede quedar fuera de la PDPA.

Decisiones sobre cookies y otros canales de marketing

Requisito de la PDPA: las llamadas, los mensajes de texto y los faxes de marketing a números de teléfono de Singapur se rigen por las disposiciones Do Not Call, que son independientes y tienen su propio Registro y sus propias normas de consentimiento. Una decisión sobre cookies no basta para cumplirlas.

Orientación de la PDPC: obtén un consentimiento expreso (opt-in) para los mensajes de marketing directo; las casillas premarcadas no son apropiadas, y el consentimiento presunto por notificación, el interés legítimo y la mejora empresarial no pueden usarse para enviarlos.

Consejo práctico: guarda los permisos de cookies, de correo electrónico y de marketing telefónico en campos separados, para que un «sí» a las cookies publicitarias nunca se interprete como permiso para llamar o enviar correos.

Lista de comprobación para tu web

• Clasifica las cookies: marca cuáles recogen datos personales, por sí solas o combinadas.
• Asigna una vía: registra el consentimiento, el consentimiento presunto o la excepción para cada fin.
• Prueba las cookies publicitarias: confirma que siguen desactivadas hasta que el visitante dé su consentimiento.
• Prueba la retirada: confirma que las etiquetas y las exportaciones de audiencias se detienen.
• Separa los canales: mantén separados los permisos de cookies, de correo electrónico y DNC.
• Solicitudes: canaliza las solicitudes de acceso y rectificación (artículos 21–22).

Preguntas frecuentes