PDPA de Singapour: Votre site web a-t-il besoin d’un bandeau de cookies ?

Quand un cookie nécessite-t-il un consentement ?

Le PDPA s’applique lorsque des cookies collectent des données personnelles : des données relatives à une personne identifiable à partir de ces données, seules ou combinées à d’autres informations dont vous disposez ou auxquelles vous êtes susceptible d’avoir accès (article 2). Le chapitre 7 des Advisory Guidelines on Selected Topics de la PDPC applique ce principe aux cookies.

1. Un cookie qui ne collecte aucune donnée personnelle

Lignes directrices de la PDPC : le consentement n’est pas nécessaire pour les cookies qui ne collectent pas de données personnelles, comme un cookie de session qui ne stocke que les données techniques nécessaires à la lecture d’une vidéo.

Vérifiez avant d’en conclure ainsi : plus vous associez de données à un identifiant tel qu’une adresse IP au fil du temps, plus une personne risque de devenir identifiable.

2. Un cookie lié à un utilisateur identifiable pour une fonction demandée

Lignes directrices de la PDPC : pour les activités clairement demandées par l’utilisateur, il peut ne pas être nécessaire de demander le consentement lorsque l’utilisateur connaît la finalité et a fourni les données volontairement, par exemple pour finaliser un achat, se connecter, ou pour la sécurité, les préférences et le streaming.

Cela correspond au consentement réputé donné par le comportement (article 15(1)), qui ne couvre que les finalités évidentes au vu des circonstances. Se connecter pour réserver un cours ne vaut pas accord pour l’utilisation publicitaire des données de session.

3. Cookies publicitaires optionnels

Lignes directrices de la PDPC : le ciblage publicitaire qui collecte et utilise des données personnelles au moyen de cookies nécessite un consentement et, à titre de bonne pratique, la PDPC recommande de proposer des préférences de cookies sur le site. L’obligation incombe à celui qui collecte les données : vérifiez donc s’il s’agit de votre site ou d’un tiers.

Conseil pratique : laissez les cookies publicitaires désactivés jusqu’à ce que le visiteur donne son accord (opt-in), avec un lien de paramètres qui rouvre le choix. Le PDPA n’impose aucun format de bandeau, mais cette approche permet d’enregistrer le consentement et facilite son retrait.

Fondements d’autorisation et leurs limites

L’article 13 exige le consentement, sauf si le PDPA ou une autre loi autorise le traitement sans consentement. Chaque fondement est soumis à des conditions ; aucun n’est une autorisation générale de suivi :

• Consentement (articles 13 et 14) : valable seulement après que vous avez notifié les finalités, et non valable si vous exigez plus que ce dont le service a besoin ou si vous induisez la personne en erreur.
• Consentement réputé donné par le comportement (article 15(1)) : données fournies volontairement pour une finalité évidente, comme le paiement d’une commande, mais pas pour du marketing sans rapport.
• Consentement réputé donné par nécessité contractuelle (article 15(3)–(7)) : communications raisonnablement nécessaires pour conclure ou exécuter un contrat avec la personne, par exemple à un prestataire de paiement ou à un transporteur.
• Consentement réputé donné par notification (article 15A) : une évaluation préalable des effets négatifs, une information adéquate et un délai raisonnable pour s’opposer ; ne s’applique pas à l’envoi de messages de marketing direct.
• Exception d’intérêts légitimes : une évaluation des effets négatifs, une mise en balance lorsque des effets subsistent, et une information du public. Les exemples de la PDPC sont la prévention de la fraude, la sécurité et la prévention des utilisations abusives des services.
• Exception d’amélioration de l’activité : utiliser des données que vous détenez déjà légalement pour améliorer des produits ou comprendre des préférences, lorsque des données identifiables sont nécessaires et que l’utilisation est raisonnable. Elle ne couvre pas une nouvelle collecte en dehors d’un groupe de sociétés.

Conseil pratique : documentez le fondement de chaque finalité. Si vous ne pouvez pas démontrer que ses conditions sont remplies, demandez le consentement.

Notification et retrait

Exigence du PDPA : lorsque vous vous appuyez sur le consentement, indiquez vos finalités au moment de la collecte ou avant et, sur demande, désignez un contact pour les questions (article 20). La PDPC suggère des informations à plusieurs niveaux ; consultez son Guide to Notification.

Exigence du PDPA : les personnes peuvent retirer leur consentement, y compris un consentement réputé donné, moyennant un préavis raisonnable. Expliquez les conséquences probables et cessez la collecte, l’utilisation ou la communication, y compris par les intermédiaires de données, sauf si la loi l’autorise sans consentement (article 16).

Lignes directrices de la PDPC : dix jours ouvrés constituent une règle empirique pour un préavis raisonnable, et la PDPC indique que les personnes doivent pouvoir retirer leur consentement pour des finalités optionnelles sans perdre le bénéfice des finalités nécessaires.

Conseil pratique : un lien de paramètres qui rouvre le bandeau permet un retrait rapide ; vérifiez ensuite que les balises et les listes d’audience suivent ce choix. Consultez Permettre aux visiteurs de modifier ou de retirer leur consentement.

Exemple : le site de réservation d’un studio de fitness

Un studio de fitness à Singapour prend les réservations de cours en ligne : les membres se connectent, saisissent leurs coordonnées et paient par carte. Le site utilise aussi un outil d’analyse d’audience et un pixel de remarketing.

Le cookie de connexion et le formulaire de réservation peuvent reposer sur le consentement donné dans le formulaire ou sur le consentement réputé donné par le comportement, et la transmission des données de carte au prestataire de paiement sur la nécessité contractuelle. Le pixel de remarketing cible des publicités à l’aide de données personnelles : il attend donc un opt-in. Un outil d’analyse qui se contente de compter les visites sans identifier personne peut échapper au PDPA.

Choix de cookies et autres canaux marketing

Exigence du PDPA : les appels, SMS et fax marketing vers des numéros de téléphone singapouriens relèvent des dispositions Do Not Call, distinctes, avec leur propre registre et leurs propres règles de consentement. Un choix de cookies ne suffit pas à les respecter.

Lignes directrices de la PDPC : obtenez un consentement exprès et préalable (opt-in) pour les messages de marketing direct ; les cases précochées ne conviennent pas, et le consentement réputé donné par notification, les intérêts légitimes et l’amélioration de l’activité ne peuvent pas servir de fondement à leur envoi.

Conseil pratique : enregistrez les autorisations relatives aux cookies, au marketing par e-mail et au marketing téléphonique dans des champs distincts, afin qu’un « oui » aux cookies publicitaires ne soit jamais interprété comme une autorisation d’appeler ou d’envoyer un e-mail.

Liste de contrôle pour votre site web

• Classez les cookies : indiquez lesquels collectent des données personnelles, seuls ou combinés.
• Associez un fondement : documentez le consentement, le consentement réputé donné ou l’exception pour chaque finalité.
• Testez les cookies publicitaires : vérifiez qu’ils restent désactivés jusqu’à l’opt-in du visiteur.
• Testez le retrait : vérifiez que les balises et les exports d’audience s’arrêtent.
• Séparez les canaux : gardez distinctes les autorisations relatives aux cookies, à l’e-mail et au DNC.
• Demandes : organisez le traitement des demandes d’accès et de rectification (articles 21 et 22).

FAQ