Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

liers (par ex. en vue de protéger la vie ou l’intégrité physique de quelqu’un, de protéger la santé publique ou dans le cadre de la collaboration avec les autorités; art. 23 APPI). D’une manière générale, des mesures de sécurité visant à éviter la perte ou l’endommagement de données doivent être prises (art. 20 APPI) et les personnes chargées du traitement des données doivent faire l’objet d’une surveillance (art. 21 let. f APPI). La loi ne prévoit en revanche aucun devoir d’information en cas de perte de données.

Outre l’art. 20 APPI déjà mentionné, il n’existe pas d’information relative à des mesures spécifiques visant à promouvoir le principe de protection des données dès la conception et par défaut. On peut cependant s’attendre à ce que l’autorité de surveillance prenne prochainement des mesures en ce sens.

5.5 Singapour

L’autorité de contrôle est la Personal data protection commission (PDPC), créée en 2013 afin de mettre en œuvre le Personal Data Protection Act (PDPA)⁶³, entré en vigueur en 2012. La PDPC exerce, entre autres, une fonction de surveillance et de régulation sur les traitements de données effectués par des organismes privés (le PDPA n’est pas applicable au secteur public). Elle peut à cet égard édicter des directives ou rendre des décisions pour assurer le respect du PDPA et même prononcer une amende d’un montant maximal de 1 million de dollars en cas de non-respect de la loi (art. 28 et 29 PDPA). La PDPC dispose à cet égard d’importants moyens d’investigation, allant du droit de pénétrer sur des biensfonds privés au droit d’exiger la délivrance d’informations et de documents qui peuvent être mis sous séquestre (Annexe 9 PDPA). Cependant, la PDPC peut également tenter de résoudre les litiges par la voie d’une médiation (art. 27 PDPA). En outre, la PDPC élabore et met en œuvre des politiques publiques (par ex. par l’adoption de lignes de conduite) afin de sensibiliser les différentes organisations et les particuliers au respect de la protection des données. Enfin, la PDPC représente le gouvernement singapourien au niveau international pour toutes les questions liées à la protection des données (art. 6 PDPA).

Les personnes concernées peuvent requérir l’accès à leurs données personnelles détenues ou contrôlées par une organisation. Ils ont également le droit d’obtenir des informations sur la façon dont leurs données personnelles ont été utilisées ou divulguées dans l’année précédant leur demande, à moins qu’un intérêt public ou privé prépondérant ne s’y oppose (art. 21 PDPA). Les personnes concernées peuvent en outre exiger la correction d’une erreur ou d’une omission dans leurs données personnelles (art. 22 PDPA).

Les responsables du traitement sont en principe tenus de s’assurer du consentement exprès ou tacite des personnes concernées dès qu’ils collectent, utilisent ou divulguent des données personnelles. L’exigence du consentement de la personne concernée est cependant moins forte que dans les autres ordres juridiques étudiés. En effet, le droit singapourien prévoit de nombreuses exceptions en vertu desquelles le consentement n’est pas nécessaire ou peut être présumé (art. 13 à 15 PDPA). Le traitement des données doit être effectué dans un but connu de la personne concernée ou dans un but qui semblerait raisonnable à tout individu placé dans les mêmes circonstances (art. 18 PDPA). Les responsables du traitement doivent s’efforcer de maintenir l’exactitude des données (art. 23 PDPA) et sont tenus de prendre les mesures de précaution propres à éviter la fuite, la copie ou un accès non autorisé aux données personnelles en leur possession (art. 24 PDPA). Les responsables du traitement doivent détruire ou rendre anonymes les données personnelles dès lors que leur conservation ne correspond plus au but de leur collecte et qu’aucun motif juridique ou économique ne permet de justifier leur maintien (art. 25 PDPA). Enfin, la communication transfrontière de données personnelles n’est autorisée qu’à la condition que le pays destinataire garantisse un niveau de protection équivalent à celui de Singapour (art. 26 PDPA).

Aucune action visant spécifiquement à promouvoir le principe de protection des données dès la conception et par défaut ne semble avoir été prise. Cela étant, le pouvoir de mener des