Conformité au Personal Data Protection Act (PDPA) de Singapour
Pandectes GDPR Compliance aide les boutiques Shopify à respecter les exigences du PDPA de Singapour en recueillant le consentement aux cookies, en scannant et classant les cookies et en conservant les preuves de consentement.
Commencer gratuitement
L'application de consentement aux cookies n° 1 sur Shopify, adoptée par 185k boutiques
Qu’est-ce que le PDPA ?
Le Personal Data Protection Act 2012 (PDPA) est la loi générale de Singapour sur la protection des données. Il encadre la manière dont les organisations du secteur privé collectent, utilisent et communiquent les données personnelles, et il a aussi créé le registre Do Not Call de Singapour pour les messages marketing. La loi est administrée et appliquée par la Personal Data Protection Commission (PDPC).
Le PDPA repose sur un ensemble d’obligations de protection des données, notamment :
- Consentement : les organisations ne peuvent collecter, utiliser ou communiquer des données personnelles qu’avec le consentement de la personne, sauf exception. Dans certaines situations, le consentement peut être présumé, par exemple lorsqu’une personne fournit volontairement ses données dans un but précis.
- Information : les personnes doivent être informées des finalités pour lesquelles leurs données sont collectées, utilisées et communiquées, au plus tard au moment de la collecte.
- Limitation des finalités : les données ne peuvent être utilisées qu’à des fins qu’une personne raisonnable jugerait appropriées.
- Accès et rectification : les personnes peuvent demander à obtenir leurs données et à savoir comment elles ont été utilisées, et demander la correction des erreurs.
- Protection et conservation : les données doivent être protégées par des mesures de sécurité raisonnables et ne pas être conservées plus longtemps que nécessaire.
- Limitation des transferts : les données envoyées hors de Singapour doivent bénéficier d’un niveau de protection comparable à celui du PDPA.
- Notification des violations de données : les violations de données à notifier doivent être signalées à la PDPC au plus tard 3 jours calendaires après leur évaluation par l’organisation et, dans de nombreux cas, aux personnes concernées.
À qui s’applique le PDPA ?
Le PDPA s’applique aux organisations qui collectent, utilisent ou communiquent des données personnelles à Singapour, qu’elles soient constituées à Singapour ou non, et qu’elles y aient un bureau ou non. Une boutique en ligne établie ailleurs qui collecte des données personnelles de clients à Singapour peut donc être concernée.
Que se passe-t-il si je ne respecte pas le PDPA ?
La PDPC peut enquêter sur des plaintes et des violations de données, et peut donner des instructions pour mettre une organisation en conformité. Les conséquences peuvent notamment être les suivantes :
- Sanctions financières : jusqu’à 10 % du chiffre d’affaires annuel réalisé à Singapour pour les organisations dont ce chiffre d’affaires dépasse 10 millions S$, ou jusqu’à 1 million S$ dans les autres cas.
- Instructions : ordres de cesser de collecter, d’utiliser ou de communiquer des données, de détruire les données collectées en violation du PDPA ou de prendre d’autres mesures de mise en conformité.
- Actions civiles : les personnes qui subissent une perte ou un préjudice du fait du manquement à certaines obligations peuvent saisir la justice.
- Publication des décisions : la PDPC publie ses décisions d’application, ce qui peut nuire à votre réputation.
Quand le PDPA est-il entré en vigueur ?
Le PDPA a été adopté en 2012. Ses dispositions sur la protection des données sont entrées en vigueur le 2 juillet 2014, après les dispositions Do Not Call, entrées en vigueur plus tôt la même année. Les modifications de 2020 s’appliquent depuis le 1er février 2021 : elles ont ajouté la notification obligatoire des violations de données et de nouvelles formes de consentement présumé. Les sanctions financières plus élevées s’appliquent depuis le 1er octobre 2022.
Se conformer au PDPA
Pour une boutique Shopify qui vend à des clients à Singapour, ce sont les obligations de consentement et d’information qui concernent le plus les cookies et le suivi. Lorsque des cookies ou des outils similaires collectent des données personnelles, par exemple pour constituer des profils à des fins d’analyse ou de publicité, les visiteurs doivent être informés de ce qui est collecté et pourquoi, et leur consentement doit être obtenu. Les visiteurs peuvent retirer leur consentement à tout moment moyennant un préavis raisonnable, et vous devez alors cesser la collecte et l’utilisation correspondantes.
Comme la plupart des boutiques font appel à des prestataires situés hors de Singapour, vérifiez que vos prestataires de plateforme, de paiement et de marketing protègent les données transférées selon un niveau comparable, par exemple au moyen de contrats. Vous devez aussi pouvoir répondre aux demandes d’accès et de rectification, et disposer d’un plan pour évaluer et signaler les violations de données.
Une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance vous aide pour tout ce qui se passe sur votre vitrine. Elle affiche une bannière de cookies et bloque les cookies non essentiels jusqu’à ce que le visiteur donne son consentement, scanne et classe automatiquement les cookies de votre boutique, et génère une déclaration de cookies pour votre politique. Elle conserve des journaux de consentement comme preuve, vous aide à traiter les demandes des personnes concernées et vous permet de configurer la bannière par région grâce à la géolocalisation, afin que les visiteurs de Singapour voient une bannière adaptée au PDPA.
La PDPC publie des lignes directrices détaillées, dont l’application dépend de votre boutique : faites vérifier votre configuration par un conseiller juridique si nécessaire.