Le règlement général sur la protection des données de l'UE (GDPR) et le Personal Data Protection Act 2012 (PDPA) de Singapour sont des cadres complets de protection des données qui régissent la manière dont les organisations collectent, utilisent, divulguent, protègent et conservent les données à caractère personnel. Bien que les deux régimes partagent des principes tels que la responsabilité, la limitation des finalités, la sécurité, la transparence et les droits des personnes, leurs structures de conformité sont différentes. Le GDPR repose sur un cadre détaillé fondé sur les bases juridiques et les droits, tandis que le PDPA de Singapour associe consentement, consentement présumé, exceptions légales et obligations de responsabilité à l'échelle de l'organisation. Pour les organisations présentes en Europe et à Singapour, la conformité au GDPR peut constituer une base solide – mais elle ne doit pas être assimilée à une conformité automatique au PDPA.
Côte à côte : GDPR vs PDPA
| Dimension | 🇪🇺 GDPR | 🇸🇬 PDPA |
|---|---|---|
| Législation principale | Règlement (UE) 2016/679 | Personal Data Protection Act 2012 |
| Autorité principale | Autorités de contrôle des États membres de l'UE + EDPB | Personal Data Protection Commission (PDPC) |
| Modèle réglementaire | Fondé sur les droits et les bases juridiques | Fondé sur la responsabilité et les obligations |
| Licéité du traitement | Six bases juridiques de l'article 6 | Consentement, consentement présumé et exceptions prévues |
| DPO | Obligatoire dans des circonstances déterminées | Toute organisation doit désigner au moins un DPO |
| Droit d'accès | Oui | Oui |
| Correction | Oui | Oui |
| Suppression | Droit autonome étendu au titre de l'article 17, sous réserve d'exceptions | Aucun droit autonome à l'effacement directement équivalent à celui du GDPR |
| Portabilité des données | Droit prévu à l'article 20 | Obligation prévue par la législation, mais pas encore en vigueur |
| Notification de violation de données | 72 heures lorsque la notification est requise | Les violations soumises à notification doivent être évaluées et notifiées conformément aux exigences |
| Transferts internationaux | Adéquation, SCCs, BCRs et autres mécanismes du chapitre V | Exigence de protection comparable assortie de garanties prescrites |
| Marketing direct | GDPR + règles ePrivacy applicables | PDPA + Do Not Call Registry |
| Coordonnées publiques du DPO | Requises lorsqu'un DPO est désigné | Coordonnées professionnelles publiques obligatoires |
| Données sensibles | Catégories particulières au titre de l'article 9 | Aucune catégorie générale distincte de données sensibles |
| Données des enfants | Règles particulières, dont l'article 8 | Lignes directrices spécifiques de la PDPC sur les données personnelles des enfants |
| Amende administrative maximale | 20 M€ ou 4 % du chiffre d'affaires annuel mondial | Jusqu'à 1 M S$ ou 10 % du chiffre d'affaires annuel réalisé à Singapour pour les grandes organisations éligibles, le montant le plus élevé étant retenu |
| Certification | Aucune certification obligatoire équivalente à l'échelle du GDPR | Label volontaire Data Protection Trustmark disponible |
Qu'est-ce que le GDPR ?
Le règlement général sur la protection des données (GDPR) est le principal cadre de l'Union européenne en matière de protection des données à caractère personnel.
Il s'applique depuis le 25 mai 2018 et fixe des exigences pour les organisations qui traitent des données à caractère personnel relevant de son champ d'application.
Le GDPR couvre :
- La licéité du traitement
- La transparence et les mentions d'information
- Les droits des personnes concernées
- La protection des données dès la conception et par défaut
- Les registres des activités de traitement
- Les analyses d'impact relatives à la protection des données
- Les responsabilités du responsable du traitement et du sous-traitant
- La notification de violation de données
- Les délégués à la protection des données
- Les transferts internationaux
- La coopération avec les autorités de contrôle
Le GDPR peut également s'appliquer aux organisations établies hors de l'UE lorsque les conditions de son champ d'application territorial sont remplies.
Qu'est-ce que le PDPA de Singapour ?
Le Personal Data Protection Act 2012 de Singapour établit un cadre régissant la collecte, l'utilisation, la divulgation et la protection des données à caractère personnel par les organisations.
La Personal Data Protection Commission (PDPC) administre le PDPA et en assure l'application.
Le cadre du PDPA comprend des obligations portant sur :
- La responsabilité
- L'information
- Le consentement
- La limitation des finalités
- L'exactitude
- La protection
- La limitation de la conservation
- La limitation des transferts
- L'accès et la correction
- La notification de violation de données
- La portabilité des données, lorsque les dispositions concernées entreront en vigueur
Le PDPA s'articule également avec le régime singapourien du Do Not Call Registry pour certaines communications marketing.
GDPR et PDPA : des philosophies de conformité différentes
L'une des différences majeures tient à la manière dont les deux lois structurent la conformité.
GDPR
Le GDPR impose aux organisations d'identifier une base juridique applicable au traitement au titre de l'article 6.
Il s'agit notamment des bases suivantes :
- Consentement
- Contrat
- Obligation légale
- Intérêts vitaux
- Mission d'intérêt public
- Intérêts légitimes
Des exigences supplémentaires s'appliquent au traitement de catégories particulières de données à caractère personnel.
PDPA de Singapour
Le PDPA met fortement l'accent sur la responsabilité de l'organisation et sur le caractère approprié des finalités de collecte, d'utilisation et de divulgation des données à caractère personnel.
Le consentement demeure un mécanisme important, mais le cadre singapourien prévoit également :
- Le consentement présumé
- Le consentement présumé par nécessité contractuelle
- Le consentement présumé par notification
- Les intérêts légitimes
- L'amélioration de l'activité et d'autres exceptions légales
- D'autres exceptions prescrites
Les organisations ne doivent donc pas chercher à établir une correspondance terme à terme entre l'article 6 du GDPR et le PDPA de Singapour.
GDPR et PDPA : responsabilité et gouvernance
Les deux cadres attendent des organisations qu'elles intègrent la gouvernance de la protection des données à leurs activités.
GDPR
Selon l'organisation et les activités de traitement, le GDPR peut exiger :
- Un délégué à la protection des données
- Des registres des activités de traitement
- Des DPIA
- La protection des données dès la conception
- Des contrats de sous-traitance
- Des procédures en cas de violation de données
- Des procédures de traitement des demandes des personnes concernées
- Des analyses d'impact des transferts et des garanties
PDPA de Singapour
Singapour impose aux organisations de démontrer leur responsabilité au moyen de politiques, de pratiques et d'une gouvernance appropriées.
Les organisations doivent désigner au moins un délégué à la protection des données (DPO) et rendre publiques ses coordonnées professionnelles. La fonction de DPO peut constituer un poste à part entière ou être cumulée avec un poste existant.
Il s'agit d'une différence importante par rapport au GDPR, qui n'impose un DPO que dans des circonstances déterminées.
Droits des personnes : GDPR et PDPA
Les deux cadres confèrent aux personnes des droits sur leurs données à caractère personnel, mais le GDPR prévoit un régime de droits plus large et plus détaillé.
Droits prévus par le GDPR
Les droits prévus par le GDPR comprennent :
- Droit d'accès
- Droit de rectification
- Droit à l'effacement
- Droit à la limitation du traitement
- Droit à la portabilité des données
- Droit d'opposition
- Droits relatifs à la prise de décision automatisée et au profilage
PDPA de Singapour
Le PDPA de Singapour prévoit :
- Des droits d'accès
- Des droits de correction
- Des droits à l'information concernant l'utilisation et la divulgation des données à caractère personnel, dans les circonstances applicables
Le PDPA contient également une obligation de portabilité des données (Data Portability Obligation), mais la PDPC indique que cette obligation prendra effet lorsque les règlements correspondants seront publiés. Elle ne doit donc pas, à ce jour, être présentée comme un équivalent opérationnel de l'article 20 du GDPR.
GDPR et PDPA : notification de violation de données
Les deux régimes imposent aux organisations de mettre en place des processus appropriés de réponse aux violations de données.
GDPR
Lorsqu'une violation de données à caractère personnel est soumise à notification, le responsable du traitement doit en règle générale la notifier à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.
Les personnes doivent également être informées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, sous réserve des exceptions prévues par le GDPR.
PDPA de Singapour
Les organisations doivent évaluer si une violation de données est soumise à notification.
Lorsqu'une violation répond aux critères de notification applicables, l'organisation doit en informer la PDPC et les personnes concernées, conformément aux exigences et dès que possible. La PDPC retient le préjudice significatif et l'ampleur significative comme critères clés pour déterminer les obligations de notification.
À retenir : Conséquence pratique : un processus mondial de réponse aux incidents peut être mutualisé, mais l'arbre de décision relatif à la notification doit rester propre à chaque juridiction.
Transferts internationaux de données
Les transferts internationaux sont encadrés différemment par le GDPR et par le PDPA de Singapour.
GDPR
Le chapitre V du GDPR prévoit notamment les mécanismes suivants :
- Décisions d'adéquation
- Clauses contractuelles types
- Règles d'entreprise contraignantes
- Codes de conduite approuvés ou mécanismes de certification, dans les circonstances applicables
- Dérogations spécifiques
PDPA de Singapour
En vertu de l'obligation de limitation des transferts (Transfer Limitation Obligation) du PDPA, les organisations qui transfèrent des données à caractère personnel hors de Singapour doivent veiller à ce que les données transférées bénéficient d'un niveau de protection comparable à celui prévu par le PDPA, sous réserve des exigences et dérogations applicables.
La réglementation singapourienne prévoit plusieurs mécanismes permettant de satisfaire à ces exigences, notamment des obligations juridiquement exécutoires, des garanties contractuelles, des règles d'entreprise contraignantes et des mécanismes de certification reconnus.
À retenir : Un programme de transfert fondé sur les SCCs du GDPR doit tout de même être examiné au regard des exigences singapouriennes en matière de transfert, et non être présumé automatiquement suffisant.
GDPR et PDPA : marketing direct
Le marketing direct constitue un autre domaine de divergence important.
GDPR
Les activités de marketing nécessitent en règle générale une base juridique appropriée au titre du GDPR, ainsi que le respect des règles nationales et européennes applicables aux communications électroniques.
Singapour
Singapour dispose d'un Do Not Call Registry couvrant certaines communications marketing à destination de numéros de téléphone singapouriens.
Les organisations qui mènent des actions de marketing direct à Singapour doivent donc évaluer à la fois :
- Les exigences du PDPA
- Les obligations Do Not Call applicables
La conformité marketing propre à Singapour est donc importante, même lorsqu'une organisation dispose déjà d'un programme marketing conforme au GDPR.
GDPR et PDPA : données personnelles sensibles
GDPR
Le GDPR prévoit, à l'article 9, une catégorie formelle de catégories particulières de données à caractère personnel.
Celles-ci comprennent des informations relatives à des domaines tels que :
- Santé
- Données biométriques dans des circonstances déterminées
- Données génétiques
- Origine raciale ou ethnique
- Convictions religieuses ou philosophiques
- Opinions politiques
- Appartenance syndicale
- Vie sexuelle ou orientation sexuelle
PDPA de Singapour
Le PDPA de Singapour ne prévoit pas de catégorie légale générale équivalente de « données personnelles sensibles ».
Les organisations doivent plutôt évaluer la nature des informations, la finalité du traitement, les circonstances et le niveau de risque pour déterminer les garanties appropriées.
GDPR et PDPA : données des enfants
GDPR
Le GDPR comporte des règles spécifiques pour les enfants, notamment le cadre de l'article 8 relatif au consentement pour les services de la société de l'information, avec un âge par défaut de 16 ans que les États membres peuvent abaisser, sans descendre en dessous de 13 ans.
PDPA de Singapour
La PDPC de Singapour a publié des lignes directrices spécifiques sur les données personnelles des enfants dans l'environnement numérique.
Selon ces lignes directrices, lorsqu'un enfant a moins de 13 ans, les organisations doivent obtenir le consentement de son parent ou de son tuteur.
Les organisations qui proposent des services numériques aux enfants doivent donc intégrer à leur programme singapourien des processus de protection des données, de consentement et de contrôle parental adaptés à l'âge.
GDPR et PDPA : sanctions
Les deux régimes présentent des structures de sanctions sensiblement différentes.
GDPR
Pour certaines infractions, les amendes administratives prévues par le GDPR peuvent atteindre :
20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
PDPA de Singapour
Pour les infractions éligibles en matière de protection des données, la sanction financière maximale peut atteindre :
1 million de dollars de Singapour ou 10 % du chiffre d'affaires annuel réalisé à Singapour, le montant le plus élevé étant retenu, lorsque le chiffre d'affaires annuel de l'organisation à Singapour dépasse 10 millions de dollars de Singapour.
La sanction effectivement prononcée dépend des circonstances, notamment de facteurs tels que la nature et la gravité de la violation, le préjudice, le degré de responsabilité et la réaction de l'organisation.
GDPR et PDPA : délégué à la protection des données
Dans ce domaine, les exigences de Singapour sont plus directes.
GDPR
Un DPO n'est obligatoire que lorsque les conditions de l'article 37 sont remplies, par exemple :
- Traitement effectué par une autorité publique
- Suivi régulier et systématique à grande échelle
- Traitement à grande échelle de catégories particulières de données ou de données relatives aux infractions pénales
PDPA de Singapour
Toute organisation doit désigner au moins un DPO et rendre publiques les coordonnées professionnelles correspondantes. Le DPO peut être un salarié ou une personne externe dûment désignée, et certaines de ses responsabilités peuvent être externalisées.
GDPR et PDPA : intermédiaires de données et sous-traitants
La terminologie diffère également.
GDPR
Le GDPR distingue :
- Les responsables du traitement
- Les responsables conjoints du traitement
- Les sous-traitants
Les sous-traitants agissent pour le compte des responsables du traitement et sont soumis à des exigences contractuelles et légales spécifiques.
PDPA de Singapour
Singapour distingue :
- Les organisations
- Les intermédiaires de données
Un intermédiaire de données traite des données à caractère personnel pour le compte d'une autre organisation et est soumis à un ensemble d'obligations légales différent de celui de l'organisation qui détermine les finalités et les moyens du traitement.
Les organisations doivent donc cartographier les responsabilités contractuelles et opérationnelles plutôt que de présumer que « sous-traitant » et « intermédiaire de données » sont juridiquement interchangeables.
Le PDPA de Singapour est-il plus strict que le GDPR ?
Aucun des deux cadres ne peut être qualifié avec exactitude de systématiquement plus strict.
Le GDPR est généralement plus détaillé dans des domaines tels que :
- Droits des personnes
- Bases juridiques
- Analyses d'impact relatives à la protection des données
- Prise de décision automatisée
- Protection des données dès la conception
- Transferts internationaux
Le PDPA de Singapour comporte des exigences qui lui sont propres en matière de :
- Responsabilité à l'échelle de l'organisation
- Désignation obligatoire d'un DPO
- Mécanismes de consentement et de consentement présumé
- Protection comparable pour les transferts à l'étranger
- Obligations Do Not Call
- Exigences de contrôle et de notification propres à Singapour
La bonne approche de conformité consiste donc à déterminer dans quels cas chaque juridiction impose l'exigence la plus élevée ou une exigence différente.
Un seul programme de protection des données peut-il couvrir le GDPR et le PDPA de Singapour ?
Oui. Les organisations présentes dans l'UE et à Singapour peuvent bâtir un programme mondial unique de protection des données, assorti de contrôles propres à chaque juridiction.
Un programme commun peut couvrir :
- L'inventaire des données
- La gouvernance de la protection des données
- La gestion des fournisseurs
- Les contrôles de sécurité
- Les mentions d'information
- La gestion des demandes des personnes concernées
- La réponse aux violations de données
- Les transferts internationaux
- La formation des collaborateurs
- La tenue des registres
- La veille réglementaire
Des volets propres à chaque juridiction peuvent ensuite traiter :
GDPR
Bases juridiques, exigences relatives au représentant dans l'UE le cas échéant, DPIA, article 9, article 22, mécanismes de transfert de l'UE et droits prévus par le GDPR.
PDPA de Singapour
Désignation d'un DPO, consentement / consentement présumé, conformité DNC, exigences singapouriennes en matière de transfert, notification de violation à la PDPC et exigences de responsabilité propres à Singapour.
Modèle opérationnel recommandé
- Une cartographie unique des données
- Un référentiel unique de contrôles de protection des données
- Des volets juridiques propres à chaque juridiction
- Une veille continue
Cette approche garantit la cohérence sans traiter le GDPR et le PDPA comme des lois identiques.
Questions fréquentes
Le PDPA de Singapour est-il similaire au GDPR ?
Oui. Les deux cadres encadrent la collecte, l'utilisation, la divulgation et la protection des données à caractère personnel et comportent des exigences en matière de responsabilité, de sécurité, de transparence, de droits des personnes et de transferts internationaux. Toutefois, leurs structures juridiques et leurs obligations précises diffèrent.
Si mon entreprise est conforme au GDPR, est-elle automatiquement conforme au PDPA ?
Non. La conformité au GDPR constitue une base utile, mais les organisations doivent évaluer séparément les exigences singapouriennes, telles que la désignation d'un DPO, les obligations DNC, les exigences du PDPA en matière de transfert, les mécanismes de consentement et le régime singapourien de notification de violation de données.
Le PDPA de Singapour impose-t-il un DPO ?
Oui. Les organisations doivent désigner au moins un DPO et rendre publiques ses coordonnées professionnelles.
Le PDPA de Singapour prévoit-il un droit à la portabilité des données ?
Le PDPA contient une obligation de portabilité des données (Data Portability Obligation), mais la PDPC indique qu'elle prendra effet lorsque les règlements correspondants seront publiés. Elle ne doit donc pas, à ce jour, être considérée comme un équivalent opérationnel de l'article 20 du GDPR.
Le PDPA de Singapour impose-t-il une notification de violation de données dans les 72 heures ?
Le PDPA prévoit un régime obligatoire de notification de violation de données, mais cette exigence ne doit pas être réduite à une « règle des 72 heures » générale. Les organisations doivent évaluer si une violation est soumise à notification et se conformer aux exigences de notification applicables.
Le PDPA de Singapour s'applique-t-il aux entreprises étrangères ?
Le PDPA de Singapour peut s'appliquer aux organisations qui traitent des données à caractère personnel à Singapour, sous réserve du champ d'application de la loi et des dérogations applicables. Les organisations doivent évaluer leurs activités et leur rôle au regard du PDPA plutôt que de se fonder uniquement sur leur lieu d'immatriculation.
Singapour dispose-t-il d'un Do Not Call Registry ?
Oui. Singapour dispose d'un Do Not Call Registry pour certaines communications marketing à destination de numéros de téléphone singapouriens. Les entreprises qui pratiquent le marketing direct doivent évaluer les exigences DNC applicables indépendamment de leur programme général de conformité en matière de protection des données.
Quelle est la sanction maximale prévue par le PDPA ?
Pour les infractions éligibles en matière de protection des données, les organisations dont le chiffre d'affaires annuel à Singapour dépasse 10 millions de dollars de Singapour s'exposent à une sanction financière maximale de 10 % du chiffre d'affaires annuel réalisé à Singapour ou de 1 million de dollars de Singapour, le montant le plus élevé étant retenu.
Bâtir un programme de conformité GDPR + PDPA de Singapour
Exercer ses activités en Europe et à Singapour exige un programme de protection des données qui tienne compte à la fois des principes communs et des exigences propres à chaque juridiction.
RegulatoryBridge aide les organisations à coordonner le GDPR, le PDPA de Singapour et les autres exigences mondiales en matière de protection des données grâce à la conformité, à la représentation réglementaire, à la gouvernance et à une veille réglementaire continue.
Un programme mondial unique de protection des données. Les bons contrôles pour chaque juridiction.
Couvrez GDPR et PDPA au sein d'un seul programme.
Cartographiez les contrôles une fois, conformez-vous deux fois. RegulatoryBridge vous offre un pipeline DSAR unique, un DPO unique, un guide d'intervention en cas de violation unique - couvrant les deux cadres réglementaires.