OSRA, OCHA, IMDA : comprendre le système singapourien de sécurité en ligne

Singapour n’a pas adopté une loi unique permettant de faire supprimer n’importe quel contenu préjudiciable. Son dispositif repose plutôt sur plusieurs mécanismes qui se chevauchent : les victimes peuvent demander une intervention ciblée à la Commission pour la sécurité en ligne (OSC), les autorités peuvent perturber des activités liées à des infractions pénales et l’Infocomm Media Development Authority (IMDA) peut imposer des mesures préventives ou ordonner le blocage de contenus particulièrement graves.

Pour comprendre ce système, il faut retenir trois niveaux : le recours individuel, la lutte contre les activités criminelles et la gestion des risques par les plateformes.

1. OSRA offre aux victimes un recours direct et rapide

L’Online Safety (Relief and Accountability) Act 2025, généralement appelé OSRA ou OSRAA, a créé l’OSC, un guichet dédié aux personnes touchées par certaines formes de préjudice en ligne. La Commission a commencé ses activités le 29 juin 2026, date à laquelle certaines dispositions relatives aux actions civiles prévues par la loi sont également entrées en vigueur.

Dans un premier temps, l’OSC se concentre sur cinq catégories :

• le harcèlement en ligne, y compris le harcèlement sexuel ;
• les abus liés aux images intimes ;
• les images représentant des abus sexuels sur des enfants ;
• le doxxing, c’est-à-dire la diffusion d’informations personnelles permettant d’identifier une personne ;
• le stalking ou harcèlement obsessionnel en ligne.

Après réception d’un signalement, le commissaire peut ordonner à l’auteur de la publication, à l’administrateur du groupe ou de la page concernés, ou à la plateforme qui héberge le contenu de mettre fin au préjudice ou d’en limiter la portée. Il peut notamment demander de désactiver l’accès au contenu ou de restreindre le compte de l’auteur. Le non-respect d’une directive de l’OSC constitue une infraction pénale.

Selon la mesure ordonnée, les destinataires peuvent aussi inclure un fournisseur d’accès à internet ou un service de distribution d’applications. Les victimes disposent ainsi d’une voie qui ne dépend pas uniquement de la procédure de signalement interne d’une plateforme, sans être privées des autres recours juridiques éventuellement disponibles.

OSRA comporte également un volet de responsabilisation. Les documents législatifs fournis prévoient des mécanismes permettant, sous réserve des conditions prévues par la loi, d’obtenir des informations susceptibles d’identifier l’auteur présumé du préjudice.

2. OCHA vise les activités en ligne qui facilitent les infractions

L’Online Criminal Harms Act (OCHA) répond à une logique différente. Il ne s’agit pas principalement d’un recours ouvert à une victime pour chaque publication nuisible. La loi permet à des agents habilités d’intervenir lorsqu’une activité en ligne est liée à une infraction déterminée ou constitue une étape préparatoire à sa commission.

Des directives peuvent être adressées à des fournisseurs de services en ligne, à d’autres entités ou à des particuliers lorsqu’il existe un soupçon raisonnable qu’une activité en ligne contribue à la réalisation d’une infraction visée par la loi. Le dispositif couvre notamment des infractions portant atteinte à la sécurité nationale, à l’harmonie entre les communautés et à la sécurité des personnes.

Le seuil d’intervention est adapté pour les escroqueries et les activités cybernétiques malveillantes, qui peuvent se propager très rapidement et à grande échelle. Les directives peuvent limiter l’exposition des utilisateurs à une activité criminelle, imposer la transmission d’informations, restreindre des comptes ou désactiver l’accès à certains contenus. La loi prévoit aussi des mécanismes de blocage et de retrait d’applications.

OCHA est donc particulièrement adapté au démantèlement d’un dispositif en ligne — par exemple un réseau d’escroquerie, un site criminel ou un contenu servant à faciliter une infraction — plutôt qu’au règlement d’un conflit privé entre deux personnes.

3. L’IMDA peut agir contre les contenus particulièrement graves

Les modifications apportées au Broadcasting Act confèrent à l’IMDA un pouvoir distinct en matière de retrait et de blocage de contenus. L’autorité peut demander aux services de réseaux sociaux de désactiver, pour les utilisateurs situés à Singapour, l’accès à des « contenus particulièrement graves ». Cette catégorie comprend notamment les contenus qui encouragent ou expliquent le suicide ou l’automutilation, la violence physique ou sexuelle, le terrorisme, ainsi que les contenus représentant des abus sexuels sur des enfants. Elle couvre également certains contenus présentant un risque pour la santé publique ou susceptibles de provoquer des tensions raciales ou religieuses.

Si un service ne se conforme pas à la directive, l’IMDA peut ordonner aux fournisseurs d’accès à internet de bloquer l’accès au contenu depuis Singapour. L’autorité a déjà utilisé ce mécanisme à propos de contenus représentant des abus sexuels sur des enfants : elle a demandé à un service d’examiner et de supprimer une page et un groupe Facebook, puis a ordonné aux fournisseurs d’accès de bloquer un site associé.

Le non-respect d’une directive de blocage peut entraîner une amende maximale de 20 000 dollars singapouriens par jour, ou fraction de jour, dans la limite de 500 000 dollars au total, selon la disposition législative citée.

La distinction avec l’OSC est importante : les directives de l’OSC répondent à un préjudice signalé par une victime, tandis que les pouvoirs de l’IMDA visent des contenus jugés suffisamment graves pour justifier une intervention réglementaire au nom de la protection du public.

4. Le code de 2023 impose une approche systémique aux réseaux sociaux

Le Code of Practice for Online Safety — Social Media Services, entré en vigueur en 2023 pour les services désignés, ne se limite pas à organiser le retrait de publications individuelles. Il impose des mesures à l’échelle du système pour réduire l’exposition des utilisateurs aux contenus préjudiciables, des outils de signalement efficaces et faciles à utiliser, ainsi qu’une plus grande transparence et une obligation de rendre des comptes.

La protection des enfants occupe une place centrale. Les services désignés doivent prendre des mesures proactives pour détecter et supprimer rapidement, avant que les utilisateurs ne les voient, les contenus représentant des abus sexuels sur des enfants et les contenus liés au terrorisme.

Le code impose également la remise de rapports annuels sur la sécurité en ligne, qui sont ensuite publiés. Ces documents permettent à l’IMDA et au public de mieux comprendre les dispositifs de modération, de signalement et de protection mis en place par les services concernés. Les garanties offertes par les plateformes deviennent ainsi plus visibles qu’à travers les seules décisions individuelles de retrait.

5. Le code de 2025 étend la protection aux boutiques d’applications

Le Code of Practice for Online Safety — App Distribution Services est entré en vigueur le 31 mars 2025. Il étend l’approche préventive de Singapour au-delà des réseaux sociaux, en l’appliquant aux boutiques d’applications désignées.

Ces services doivent mettre en place des mesures systémiques pour réduire le risque que les utilisateurs soient exposés à des contenus préjudiciables par l’intermédiaire d’applications, avec une attention particulière portée aux enfants. Le cadre comprend notamment des garanties concernant la classification par âge, la sécurité des enfants, le contrôle parental, le signalement et la vérification de l’âge.

La protection de l’enfant intervient donc à deux étapes :

1. les boutiques d’applications contribuent à déterminer ce que les utilisateurs — notamment les enfants — peuvent découvrir ou télécharger ;
2. les réseaux sociaux gèrent les contenus préjudiciables et les interactions entre utilisateurs une fois ceux-ci présents sur une plateforme.

Cette distinction compte, car une expérience en ligne dangereuse peut commencer avant même la création d’un compte ou la consultation d’une publication précise.

Comment choisir le mécanisme pertinent ?

Le point de départ doit être la nature du préjudice et le résultat recherché :

• Besoin d’un retrait urgent ou d’une restriction de compte après un préjudice personnel en ligne ? L’OSC est conçue pour certaines catégories, notamment le harcèlement, le doxxing, le stalking et les abus fondés sur des images.
• Un compte, un site ou un service contribue-t-il à la réalisation d’une infraction ? OCHA permet aux agents habilités d’imposer des mesures limitant l’exposition, désactivant un contenu ou restreignant des comptes et des services.
• Le contenu entre-t-il dans les catégories de contenus particulièrement graves définies par l’IMDA ? L’autorité peut demander aux services d’en désactiver l’accès et, si nécessaire, ordonner aux fournisseurs d’accès de le bloquer à Singapour.
• Le problème concerne-t-il la sécurité globale d’une plateforme ? Les codes applicables aux réseaux sociaux et aux boutiques d’applications imposent des attentes en matière de prévention, de signalement, de transparence et de protection des enfants.

Ces mécanismes peuvent fonctionner en parallèle. Une victime d’abus fondés sur des images pourrait demander une directive de l’OSC pour faire cesser la diffusion, signaler aux autorités des faits potentiellement criminels et utiliser la procédure de signalement de la plateforme. Par ailleurs, les pouvoirs réglementaires de l’IMDA pourraient s’appliquer si le contenu relève de sa définition des contenus particulièrement graves ou si un service désigné ne respecte pas ses obligations plus générales de sécurité en ligne.

Le changement essentiel est que la responsabilité ne repose plus uniquement sur les victimes, contraintes de signaler des publications après leur diffusion. Le cadre singapourien combine désormais un recours individuel plus rapide, des pouvoirs publics de perturbation des activités criminelles et des obligations imposées en amont aux plateformes afin de réduire les préjudices prévisibles avant leur propagation.