Le PDPA de Singapour : quand les cookies exigent un consentement

Qu’est-ce que le PDPA ?

Le Personal Data Protection Act 2012 est la loi générale singapourienne sur la protection des données. Ses dispositions sur la protection des données s’appliquent depuis le 2 juillet 2014, et le Personal Data Protection (Amendment) Act 2020 a ajouté la notification obligatoire des violations, de nouvelles formes de consentement présumé, une exception d’intérêts légitimes et des sanctions plus lourdes, pour l’essentiel à partir du 1er février 2021, le plafond de sanction relevé s’appliquant depuis le 1er octobre 2022. La Personal Data Protection Commission (PDPC) fait appliquer la loi et publie des lignes directrices qui expliquent comment elle la lit, dont un chapitre sur les cookies.

Le PDPA contient aussi les dispositions Do Not Call sur les messages marketing envoyés à des numéros de téléphone singapouriens, distinctes des règles sur les cookies abordées ici.

À qui s’applique le PDPA ?

La loi définit une organisation comme toute personne physique, société, association ou groupement de personnes, constitué ou reconnu ou non en droit singapourien, et résident ou non à Singapour ou y disposant ou non d’un bureau ou d’un établissement. Les lignes directrices Key Concepts de la PDPC indiquent que toute organisation doit respecter la loi pour la collecte, l’utilisation et la communication de données personnelles à Singapour, sauf si elle relève d’une catégorie exclue, comme les organismes publics ou les particuliers agissant à titre personnel. Un site étranger qui collecte des données personnelles auprès de personnes à Singapour est donc concerné. Les organisations qui ne traitent des données que pour le compte d’une autre, appelées data intermediaries, ont des obligations plus restreintes.

Les cookies exigent-ils un consentement à Singapour ?

Le chapitre 7 des Advisory Guidelines on the PDPA for Selected Topics de la PDPC répond à la question par étapes.

• Pas de données personnelles, pas de consentement. Le PDPA s’applique à la collecte, à l’utilisation ou à la communication de données personnelles au moyen de cookies. Tous les cookies ne collectent pas de données personnelles, et le consentement n’est pas nécessaire pour ceux qui n’en collectent pas, comme un cookie de session qui ne stocke que des données techniques pour lire une vidéo.
• Les activités clairement demandées par l’utilisateur. Il peut ne pas être nécessaire de demander un consentement lorsque l’utilisateur connaît les finalités et fournit volontairement les données, par exemple pour conserver ce qu’il saisit dans un formulaire afin de finaliser un achat, ou pour des activités raisonnables qui ne peuvent pas fonctionner sans cookies, comme l’authentification et la sécurité, les préférences de l’utilisateur, la gestion du réseau et la diffusion en continu.
• Le ciblage publicitaire. Lorsque le ciblage des publicités implique la collecte et l’utilisation de données personnelles au moyen de cookies, le consentement de la personne est requis. À titre de bonne pratique, la PDPC indique que les organisations devraient permettre aux personnes de régler leurs préférences cookies sur le site, pour activer ou désactiver les cookies utilisés pour la publicité personnalisée.

Les lignes directrices ajoutent deux points qui comptent pour les bandeaux. Le consentement peut ressortir des réglages du navigateur : une personne qui configure son navigateur pour accepter certains cookies et en refuser d’autres peut avoir consenti à ceux qu’elle accepte. Mais le simple fait de ne pas gérer les réglages du navigateur ne vaut pas consentement à la collecte par tous les sites. Par ailleurs, l’obligation d’obtenir le consentement pèse sur l’organisation qui collecte les données personnelles ; lorsqu’un tiers collecte des données par l’intermédiaire de votre site et que vous ne le faites pas, l’obligation d’obtenir le consentement incombe au tiers.

Le fait qu’un cookie collecte ou non des données personnelles dépend du contexte. Le même chapitre indique qu’une adresse IP ou un cookie de suivi peut devenir une donnée personnelle lorsqu’il est rapproché d’un historique de navigation, d’un historique d’achats ou d’autres données qui permettent à l’organisation d’identifier une personne.

À quoi doit ressembler le consentement ?

Selon les sections 13 et 14, une organisation doit obtenir le consentement et indiquer les finalités avant ou au moment de la collecte, et ne peut pas exiger un consentement au-delà de ce qui est raisonnable pour fournir un produit ou un service. Un consentement obtenu au moyen d’informations fausses ou trompeuses n’est pas valable. La section 15 reconnaît un consentement présumé lorsqu’une personne fournit volontairement des données pour une finalité et qu’il est raisonnable qu’elle le fasse, et lorsque la communication est nécessaire à l’exécution d’un contrat. La section 15A permet un consentement présumé par notification : l’organisation évalue que la finalité n’est pas susceptible d’avoir un effet négatif, informe les personnes de la finalité et leur laisse un délai raisonnable pour s’y opposer avant de commencer. Ni le consentement présumé par notification ni l’exception d’intérêts légitimes ne peuvent servir à envoyer des messages de prospection directe ; ceux-ci exigent un consentement exprès.

L’exception d’intérêts légitimes de la partie 3 de la première annexe permet à une organisation de collecter, utiliser ou communiquer des données personnelles sans consentement lorsqu’elle a évalué les effets négatifs, conclu que ses intérêts l’emportent sur eux, et indiqué qu’elle s’appuie sur cette exception. Le retrait du consentement doit être possible moyennant un préavis raisonnable.

Comment les transferts à l’étranger sont-ils encadrés ?

La section 26, la Transfer Limitation Obligation, interdit de transférer des données personnelles hors de Singapour autrement que conformément aux exigences des Personal Data Protection Regulations 2021. En pratique, l’organisation doit s’assurer que le destinataire est tenu par des obligations juridiquement contraignantes qui assurent aux données un niveau de protection comparable à celui du PDPA. Ces obligations peuvent découler du droit du pays de destination, d’un contrat, de règles d’entreprise contraignantes pour les sociétés liées, ou d’une certification comme les APEC Cross-Border Privacy Rules. Les Regulations admettent aussi un consentement donné après que la personne a été informée de la manière dont les données seront protégées à l’étranger, et les transferts raisonnablement nécessaires à un contrat avec la personne.

Qui fait appliquer le PDPA, et quelles sont les sanctions ?

La PDPC enquête sur plainte ou de sa propre initiative et peut donner des instructions de cesser la collecte, de détruire des données ou de payer une sanction financière. Pour les manquements commis à partir du 1er octobre 2022, la sanction financière maximale est de 10 % du chiffre d’affaires annuel de l’organisation à Singapour si ce chiffre d’affaires dépasse 10 millions de S$, et de 1 million de S$ dans les autres cas (section 48J et Enforcement Regulations 2021). La PDPC publie ses décisions. La plupart portent sur des défauts de protection des données personnelles : le 28 octobre 2025, elle a infligé 315 000 S$ à Marina Bay Sands après qu’un attaquant a utilisé les identifiants de six membres pour accéder aux données d’environ 665 495 membres de son programme de fidélité. Aucune décision publiée n’a sanctionné une organisation pour des cookies seulement.

Que doit faire un site qui s’adresse à Singapour ?

• Déterminer quels cookies collectent des données personnelles ; le scanner de cookies liste ce que vos pages déposent.
• Laisser actifs les cookies strictement fonctionnels, et les expliquer dans l’avis de confidentialité.
• Demander un consentement avant les cookies publicitaires qui profilent les personnes, et offrir un moyen de modifier ce choix sur le site, comme le recommande la PDPC.
• Vérifier que les prestataires de mesure d’audience et de publicité situés hors de Singapour sont tenus par une protection comparable.

Singapour ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet, mais le ciblage géographique est gratuit dans chaque offre : vous pouvez donc ajouter Singapour à une liste personnalisée ou afficher le bandeau partout. Son centre de préférences permet aux visiteurs d’activer ou de désactiver la catégorie marketing, et chaque choix est conservé dans le registre des consentements. Voir aussi la Thaïlande, l’Indonésie et le RGPD.