Shopify est largement utilisé par les marchands de Singapour. Le Personal Data Protection Act (PDPA) est la principale loi sur la protection des données personnelles de Singapour — appliquée par la Personal Data Protection Commission (PDPC).
Ce guide couvre ce que le PDPA exige des boutiques Shopify singaporiennes, les points de défaillance les plus fréquents, et les étapes concrètes pour y remédier.
Avertissement : Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique. Les exigences du PDPA sont interprétées et appliquées par le PDPC. Consultez un avocat qualifié pour obtenir des conseils adaptés à votre situation.
Le PDPA s'applique à toute organisation qui collecte, utilise ou divulgue des données personnelles à Singapour — quel que soit le pays d'immatriculation de l'organisation (PDPA, art. 2, définition d'« organisation » ; lignes directrices du PDPC sur les concepts clés, « Organisations »). Si vous :
...les obligations du PDPA s'appliquent à vous.
Les données personnelles au sens du PDPA comprennent tout ce qui permet d'identifier une personne : nom, adresse e-mail, numéro de téléphone, adresse de livraison, historique d'achats, ainsi que l'adresse IP, les identifiants d'appareils et le comportement de navigation lorsqu'ils peuvent être rattachés à un client identifiable (lignes directrices du PDPC sur certains sujets, paragraphes 7.2 à 7.5).
Votre boutique en collecte l'essentiel via le paiement, les comptes clients et les outils d'analyse.
Vérifiez votre conformité PDPA avant votre prochaine campagne. Lancez un scan PDPA gratuit sur votre boutique Shopify → — voyez quel code de suivi votre page d'accueil sert sans mécanisme de consentement détectable.
La PDPA impose d'obtenir le consentement avant de collecter, d'utiliser ou de divulguer des données personnelles — sauf si une exception s'applique (par exemple, les données sont accessibles au public ou la collecte est imposée par la loi) (PDPA, art. 13 et première annexe).
Pour une boutique Shopify, cela signifie :
Vous ne pouvez utiliser les données personnelles qu'aux fins pour lesquelles elles ont été collectées. Si un client vous communique son adresse e-mail pour exécuter une commande, vous ne pouvez pas utiliser cet e-mail pour lui envoyer des messages marketing sans qu'il ait séparément consenti au marketing.
Erreur courante : importer les e-mails de contact des commandes dans une liste marketing et envoyer des promotions sans opt-in marketing distinct.
La PDPA impose d'informer les clients des données que vous collectez et pourquoi — au moment de la collecte. En pratique, votre boutique Shopify doit disposer d'une politique de confidentialité qui :
Les clients ont le droit d'accéder aux données personnelles que vous détenez à leur sujet et d'en demander la correction. Votre politique de confidentialité doit expliquer comment exercer ce droit, et votre organisation doit être en mesure de répondre aux demandes.
Depuis le 1er février 2021, la notification des violations de données est obligatoire (PDPA, partie 6A, art. 26A à 26E). Lorsqu'une violation est susceptible de causer un préjudice significatif aux personnes concernées, ou qu'elle atteint une ampleur significative (500 personnes ou plus : art. 26B(1) et règlement 4 des Personal Data Protection (Notification of Data Breaches) Regulations 2021), l'art. 26D(1) du PDPA impose à l'organisation d'en informer le PDPC dès que possible, et au plus tard 3 jours calendaires après le jour où elle a établi que la violation devait être notifiée. L'art. 26D(2) impose également de notifier les personnes concernées si la violation est susceptible de leur causer un préjudice significatif, sous réserve des exceptions de l'art. 26D(5) à (7).
Par défaut, une boutique Shopify charge :
La plupart de ces outils peuvent collecter des données personnelles. Le PDPA ne contient aucune règle propre aux cookies, mais son article 13 interdit à une organisation de collecter des données personnelles sans consentement, donné ou réputé, sauf exception, et son article 20 exige que la finalité soit notifiée au plus tard au moment de la collecte. Selon les lignes directrices du PDPC, aucun consentement n'est nécessaire pour les cookies qui ne collectent pas de données personnelles ou qui servent un service clairement demandé par le visiteur (panier, connexion, sécurité) ; il est en revanche requis lorsque des cookies collectent des données personnelles pour cibler la publicité, et un visiteur qui n'a simplement pas modifié les réglages de son navigateur n'a pas consenti (Advisory Guidelines on Selected Topics, paragraphes 7.9 à 7.14). Un traceur qui collecte des données personnelles doit donc disposer de ce consentement avant de collecter, c'est-à-dire en pratique avant de se déclencher.
La solution : Vous avez besoin d'un système de gestion du consentement sur votre boutique Shopify qui :
La bannière de cookies intégrée à Shopify retient les cookies propres à Shopify et les pixels Shopify jusqu'au consentement, mais seulement dans les régions où elle est activée. Par défaut, il s'agit du Royaume-Uni et de l'EEE : Singapour n'est donc couvert que si vous l'ajoutez dans les paramètres de confidentialité des clients. Elle n'arrête pas les scripts codés en dur dans votre thème ni ceux qu'injectent des applications qui ignorent la Customer Privacy API de Shopify ; ceux-là demandent une logique sur mesure ou une application de consentement qui les bloque (centre d'aide Shopify, « Configurer les paramètres de confidentialité des clients »).
Consentmo (offre gratuite et offres payantes) — application de consentement native Shopify. Sa fiche mentionne le blocage automatique des scripts, la géolocalisation et le PDPA parmi les réglementations prises en charge. Une option native Shopify parmi d'autres.
CookieYes pour Shopify — application native Shopify dont la fiche mentionne le blocage automatique des scripts tiers (offre gratuite disponible ; vérifiez les offres actuelles sur la fiche).
Fonctionnalités et offres des applications telles que lues sur les fiches de l'App Store Shopify le 3 octobre 2026 — vérifiez les caractéristiques actuelles sur la fiche Shopify de chaque application.
Le modèle de politique de confidentialité par défaut de Shopify n'est pas suffisant pour le PDPA. Nous recommandons d'y ajouter :
Si votre boutique sert à la fois des clients singaporiens et européens, les deux cadres réglementaires s'appliquent de manière indépendante.
| Aspect | PDPA (Singapour) | RGPD (UE) |
|---|---|---|
| Appliqué par | PDPC | Autorités nationales de protection des données (par ex. la CNIL en France, les autorités des Länder en Allemagne) |
| Amende maximale | Jusqu'à 10 % du chiffre d'affaires annuel réalisé à Singapour si celui-ci dépasse S$10 millions ; sinon jusqu'à S$1 million (art. 48J(3), pour les manquements commis à partir du 1er octobre 2022) | 20 M€ ou 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (art. 83(5)) |
| Délai de notification de violation | Au plus tard 3 jours calendaires après avoir établi que la violation doit être notifiée (art. 26D(1)) | Si possible, au plus tard 72 heures après en avoir pris connaissance (art. 33(1)) |
| Consentement marketing | Opt-in attendu (lignes directrices du PDPC) | Opt-in explicite requis |
| Consentement traceurs/cookies | Requis lorsque le traceur collecte des données personnelles, avant la collecte (sauf consentement réputé ou exception) | Requis (directive ePrivacy) |
| Portée extraterritoriale | Oui — toute organisation qui collecte, utilise ou divulgue des données personnelles à Singapour, quel que soit son lieu d'immatriculation | Oui — données des résidents de l'UE |
| Droit d'accès aux données personnelles | Oui (PDPA art. 21) | Oui (RGPD art. 15) |
Le PDPC publie ses décisions d'application sur pdpc.gov.sg. Principaux schémas relevés dans leur base de décisions :
Si votre boutique Shopify sert à la fois des résidents singaporiens et des clients européens, vous opérez simultanément sous deux régimes de protection des données indépendants. Sitetals couvre les deux. Lancez le scan UE/RGPD pour votre exposition européenne et le scan PDPA pour Singapour.
Pour un contexte plus large sur le RGPD/UE : Amendes RGPD en 2026 : 13 cas réels et ce qu'ils ont coûté. Pour un audit de conformité complet : les 12 vérifications RGPD que la plupart des entreprises oublient.
Collez l'URL de votre boutique Shopify. Le scan gratuit lit votre page d'accueil et la page de confidentialité ou de mentions légales qu'elle cite, et signale le code de suivi servi sans mécanisme de consentement détectable, l'absence de lien vers une politique de confidentialité et l'absence de contact pour la protection des données.
Rapport PDF complet avec références aux décisions du PDPC et liste de contrôle de remédiation : à partir de S$68.
Sources : PDPA 2012, art. 2, 13, 20, 21, 26B, 26D et 48J et première annexe (version consolidée en vigueur depuis le 5 décembre 2025) · Personal Data Protection (Notification of Data Breaches) Regulations 2021 (S 64/2021), règlement 4 · PDPC, Advisory Guidelines on the PDPA for Selected Topics (révisées le 23 mai 2024), chapitre 7 · PDPC, Advisory Guidelines on Key Concepts in the PDPA (révisées le 29 avril 2026) · SingHealth/IHiS [2019] SGPDPC 3 · Goldheart Jewelry Pte. Ltd. [2025] SGPDPC 4 · centre d'aide Shopify, « Configurer les paramètres de confidentialité des clients » (consulté le 3 octobre 2026) · RGPD, art. 15, 33(1) et 83(5)
Rédaction Sitetals