Le Data Privacy Act philippin : ce qu’il implique pour les cookies

Qu’est-ce que le Data Privacy Act ?

Le Republic Act No. 10173, le Data Privacy Act of 2012 (DPA), est la loi générale philippine sur la protection des données. Il a été approuvé le 15 août 2012 et a créé la National Privacy Commission (NPC), un organisme indépendant qui met en œuvre la loi, publie des circulaires et des avis, traite les plaintes et tranche les litiges. Les règles d’application ont été publiées en 2016. Depuis, la NPC a précisé les détails par des circulaires, dont la circulaire 2022-01 sur les amendes administratives, publiée le 8 août 2022, et la circulaire 2023-04 sur le consentement, publiée le 7 novembre 2023.

À qui s’applique le DPA ?

La loi s’applique au traitement de tous les types d’informations personnelles par toute personne physique ou morale du secteur public ou privé. La section 6 l’étend aux actes accomplis hors des Philippines lorsque le traitement porte sur des informations personnelles concernant un citoyen ou un résident philippin et que l’entité a un lien avec les Philippines, par exemple un contrat conclu dans le pays, une succursale, un bureau ou une filiale sur place, une direction et un contrôle centraux exercés sur place, une activité commerciale exercée dans le pays, ou la détention d’informations personnelles collectées aux Philippines. Une boutique en ligne étrangère qui vend à des clients aux Philippines a de bonnes chances d’être concernée.

Les cookies exigent-ils un consentement aux Philippines ?

Le DPA ne mentionne pas les cookies, et aucune circulaire de la NPC ne les traite spécifiquement. Ils sont couverts lorsqu’ils collectent des informations personnelles, c’est-à-dire des informations à partir desquelles l’identité d’une personne est apparente ou peut être raisonnablement et directement établie, ou qui identifient une personne lorsqu’elles sont combinées à d’autres informations.

La section 12 permet le traitement d’informations personnelles lorsqu’au moins une condition est remplie : le consentement ; un contrat avec la personne ou des mesures prises à sa demande avant sa conclusion ; une obligation légale ; les intérêts vitaux ; une urgence nationale, l’ordre public ou l’exercice de l’autorité publique ; ou les intérêts légitimes du responsable de traitement ou d’un tiers, sauf si les droits fondamentaux de la personne prévalent. Les informations personnelles sensibles, comme la santé ou les identifiants officiels, exigent un consentement spécifique ou une autre exception étroite (section 13).

Cela laisse une marge de choix. Les cookies strictement nécessaires peuvent reposer sur le contrat ou sur les intérêts légitimes. La mesure d’audience peut reposer sur les intérêts légitimes après une évaluation. La circulaire 2023-04 indique qu’un responsable de traitement peut considérer la prospection directe utilisant des informations personnelles comme un intérêt légitime si son évaluation le justifie, mais doit obtenir un consentement lorsque le traitement affecterait de manière significative les droits et libertés de la personne. Les cookies publicitaires et de profilage intersites sont donc le cas le plus net où le consentement s’impose. Quelle que soit la base, la personne doit être informée du traitement, et la circulaire 2023-04 fait des avis contextuels (just-in-time) et à plusieurs niveaux le format par défaut.

À quoi doit ressembler le consentement ?

La section 3(b) de la loi définit le consentement comme une manifestation de volonté libre, spécifique et éclairée, attestée par un moyen écrit, électronique ou enregistré. La circulaire 2023-04 ajoute :

• Une action d’acceptation claire. Le consentement doit être donné expressément par une action qui signifie l’accord aux finalités précises. Le consentement ne peut jamais être présumé, et l’absence de réponse ou le consentement implicite ne sont pas valables.
• Libre. Il ne doit y avoir ni pression ni conséquence défavorable en cas de refus, et les responsables de traitement ne doivent pas utiliser d’interfaces trompeuses, dark patterns compris, pour obtenir le consentement. Proposer une contrepartie n’est pas automatiquement trompeur.
• Spécifique et éclairé. Des formulations vagues ou générales ne produisent pas de consentement valable, et la personne doit recevoir les informations pertinentes avant de donner son accord.
• Un retrait simple. Retirer son consentement doit être aussi simple, voire plus simple, que de le donner. Une fois le consentement retiré et en l’absence d’autre base, le traitement doit cesser et les données être supprimées. Un responsable de traitement qui s’appuyait sur le consentement ne peut pas basculer vers les intérêts légitimes après le retrait.
• Profilage. Les personnes doivent être informées du profilage ou du traitement automatisé avant que leurs données n’entrent dans le système.

Pour les sites web, cela décrit un bandeau avec une action Accepter explicite, une option Refuser de même poids, aucune catégorie de suivi présélectionnée et un lien permanent pour modifier son choix.

Comment les transferts à l’étranger sont-ils encadrés ?

Le DPA ne prévoit pas de système d’adéquation. La section 21, le principe de responsabilité, rend le responsable de traitement responsable des informations personnelles transférées à un tiers pour traitement, aux Philippines ou à l’étranger. Il doit recourir à des contrats ou à d’autres moyens raisonnables pour assurer un niveau de protection comparable pendant le traitement par le tiers, et désigner des personnes responsables de la conformité. Les contrats avec les prestataires étrangers de mesure d’audience et de publicité devraient donc comporter des clauses de protection des données.

Qui fait appliquer le DPA, et quelles sont les sanctions ?

La NPC peut enquêter, trancher les plaintes, accorder des indemnités, émettre des ordres de cessation et infliger des amendes administratives. Selon la circulaire 2022-01, les infractions graves sont passibles d’amendes de 0,5 % à 3 % du revenu brut annuel de l’année précédente, et les infractions majeures de 0,25 % à 2 %, mais l’amende totale pour un même acte ne peut pas dépasser 5 millions de PHP. Une atteinte aux principes généraux de protection de la vie privée ou aux droits des personnes concernées touchant plus de 1 000 personnes est considérée comme grave, et les infractions répétées sont automatiquement graves.

La loi crée aussi des infractions pénales. Traiter des informations personnelles sans consentement ni autre autorisation est passible de 1 à 3 ans de prison et d’une amende de 500 000 à 2 millions de PHP, portées à 3 à 6 ans et jusqu’à 4 millions de PHP pour les informations sensibles (section 25). Un cumul d’infractions est passible de 3 à 6 ans et jusqu’à 5 millions de PHP (section 33), et le maximum s’applique lorsqu’au moins 100 personnes sont touchées (section 35). Pour les sociétés, ce sont les dirigeants responsables qui sont punis.

L’affaire la plus connue de la NPC est la violation de 2016 de la base de données des électeurs de la Commission on Elections. Dans une décision datée du 28 décembre 2016, elle a constaté que l’organisme avait enfreint la loi, ordonné des mesures correctives et recommandé des poursuites pénales contre son président.

Que doit faire un site qui s’adresse aux Philippines ?

• Recenser les cookies et choisir la base légale de chacun ; le scanner de cookies liste ce que vos pages déposent.
• Utiliser un avis contextuel à plusieurs niveaux qui explique chaque catégorie.
• Demander un consentement par une action claire pour les cookies publicitaires et de profilage, sans dark patterns.
• Conserver une trace du consentement, puisqu’il doit être attesté par un moyen électronique ou enregistré.

Les Philippines ne figurent pas dans la liste par défaut des pays réglementés de Cookiequiet, mais le ciblage géographique est gratuit dans chaque offre : vous pouvez donc les ajouter à une liste personnalisée. Les visiteurs qui s’y trouvent voient alors le bandeau de consentement préalable avec « Tout accepter » et « Tout refuser » de même poids, et le registre des consentements enregistre chaque choix. Voir aussi l’Indonésie, Singapour et le RGPD.