PDPA di Singapore: Il tuo sito web ha bisogno di un banner cookie?

Quando un cookie richiede il consenso?

Il PDPA si applica quando i cookie raccolgono dati personali, cioè dati relativi a una persona fisica identificabile da tali dati, da soli o insieme ad altre informazioni a cui hai o probabilmente avrai accesso (sezione 2). Il capitolo 7 delle Advisory Guidelines on Selected Topics della PDPC applica questo principio ai cookie.

1. Un cookie che non raccoglie dati personali

Indicazioni della PDPC: il consenso non è necessario per i cookie che non raccolgono dati personali, come un cookie di sessione che memorizza solo i dati tecnici necessari per riprodurre un video.

Verifica bene prima di arrivare a questa conclusione: più dati colleghi nel tempo a un identificatore come un indirizzo IP, più diventa probabile che una persona sia identificabile.

2. Un cookie collegato a un utente identificabile per una funzione richiesta

Indicazioni della PDPC: per le attività chiaramente richieste dall’utente, può non essere necessario chiedere il consenso se l’utente conosce la finalità e ha fornito i dati volontariamente, per esempio per completare un acquisto, per il login, la sicurezza, le preferenze e lo streaming.

Questo rispecchia il consenso presunto per comportamento concludente (sezione 15(1)), che copre solo le finalità evidenti dalle circostanze. Accedere per prenotare una lezione non equivale ad accettare l’uso dei dati di sessione a fini pubblicitari.

3. Cookie pubblicitari facoltativi

Indicazioni della PDPC: il targeting pubblicitario che raccoglie e usa dati personali tramite cookie richiede il consenso e, come buona prassi, la PDPC raccomanda di offrire preferenze sui cookie direttamente sul sito. L’obbligo ricade su chi raccoglie i dati, quindi verifica se si tratta del tuo sito o di una terza parte.

Consiglio pratico: tieni disattivati i cookie pubblicitari finché il visitatore non dà il consenso, con un link alle impostazioni che riapre la scelta. Il PDPA non prescrive un formato per il banner, ma in questo modo il consenso viene registrato e la revoca diventa più semplice.

Le basi per il trattamento e i loro limiti

La sezione 13 richiede il consenso, a meno che il PDPA o un’altra legge consentano il trattamento senza consenso. Ogni base ha le sue condizioni; nessuna è un’autorizzazione generale al tracciamento:

• Consenso (sezioni 13–14): valido solo dopo che hai comunicato le finalità, e non se pretendi più di quanto serve al servizio o fornisci informazioni ingannevoli.
• Consenso presunto per comportamento concludente (sezione 15(1)): dati forniti spontaneamente per una finalità evidente, come pagare un ordine, ma non per marketing non correlato.
• Consenso presunto per necessità contrattuale (sezione 15(3)–(7)): comunicazioni ragionevolmente necessarie per concludere o eseguire un contratto con la persona, per esempio a un fornitore di servizi di pagamento o a un corriere.
• Consenso presunto mediante notifica (sezione 15A): una valutazione preventiva degli effetti negativi, un’informativa adeguata e un periodo ragionevole per opporsi; non vale per l’invio di messaggi di marketing diretto.
• Eccezione del legittimo interesse: una valutazione degli effetti negativi, un bilanciamento degli interessi se restano effetti negativi e una comunicazione pubblica. Gli esempi della PDPC sono la prevenzione delle frodi, la sicurezza e la prevenzione dell’uso improprio dei servizi.
• Eccezione per il miglioramento dell’attività: usare dati che già detieni legittimamente per migliorare i prodotti o comprendere le preferenze, quando sono necessari dati identificabili e l’uso è ragionevole. Non copre nuove raccolte al di fuori di un gruppo societario.

Consiglio pratico: registra la base usata per ciascuna finalità. Se non puoi dimostrare che le sue condizioni sono soddisfatte, chiedi il consenso.

Informativa e revoca

Obbligo previsto dal PDPA: quando ti basi sul consenso, indica le tue finalità al momento della raccolta o prima e, su richiesta, indica un contatto per le domande (sezione 20). La PDPC suggerisce informative a più livelli; consulta la sua Guide to Notification.

Obbligo previsto dal PDPA: le persone possono revocare il consenso, anche quello presunto, con un preavviso ragionevole. Spiega le probabili conseguenze e interrompi la raccolta, l’uso o la comunicazione, anche da parte degli intermediari di dati, salvo che la legge li consenta senza consenso (sezione 16).

Indicazioni della PDPC: dieci giorni lavorativi sono un’indicazione di massima per un preavviso ragionevole, e la PDPC afferma che le persone devono poter revocare il consenso per le finalità facoltative senza perdere quelle necessarie.

Consiglio pratico: un link alle impostazioni che riapre il banner rende la revoca rapida; poi verifica che tag ed elenchi di audience si adeguino. Consulta Consentire ai visitatori di modificare o revocare il consenso.

Esempio: il sito di prenotazioni di uno studio fitness

Uno studio fitness di Singapore accetta prenotazioni online per le lezioni: gli iscritti accedono, inseriscono i dati di contatto e pagano con carta. Il sito usa anche strumenti di analisi e un pixel di remarketing.

Il cookie di accesso e il modulo di prenotazione possono basarsi sul consenso dato nel modulo o sul consenso presunto per comportamento concludente, e la trasmissione dei dati della carta al fornitore dei pagamenti sulla necessità contrattuale. Il pixel di remarketing indirizza annunci usando dati personali, quindi attende un opt-in. Gli strumenti di analisi che contano solo le visite senza identificare nessuno possono non rientrare nel PDPA.

Scelte sui cookie e altri canali di marketing

Obbligo previsto dal PDPA: chiamate, SMS e fax di marketing verso numeri di telefono di Singapore rientrano nelle distinte disposizioni Do Not Call, con un proprio Registro e proprie regole sul consenso. Una scelta sui cookie non basta a soddisfarle.

Indicazioni della PDPC: ottieni un consenso espresso, di tipo opt-in, per i messaggi di marketing diretto; le caselle preselezionate non sono appropriate, e il consenso presunto mediante notifica, il legittimo interesse e il miglioramento dell’attività non possono essere usati per inviarli.

Consiglio pratico: memorizza le autorizzazioni per cookie, email e marketing telefonico in campi separati, così un “sì” ai cookie pubblicitari non viene mai interpretato come permesso di chiamare o inviare email.

Checklist per il sito web

• Classifica i cookie: indica quali raccolgono dati personali, da soli o combinati.
• Abbina una base: registra consenso, consenso presunto o eccezione per ciascuna finalità.
• Testa i cookie pubblicitari: verifica che restino disattivati finché il visitatore non dà il consenso.
• Testa la revoca: verifica che tag ed esportazioni di audience si fermino.
• Separa i canali: tieni distinte le autorizzazioni per cookie, email e DNC.
• Richieste: prevedi un percorso per le richieste di accesso e rettifica (sezioni 21–22).

Domande frequenti