Südafrikas Gesetz zum Schutz persönlicher Daten (POPIA) erklärt

Weltweit gibt es Datenschutzgesetze, die sich auf Unternehmen auswirken, die personenbezogene Daten der Besucher ihrer Website erfassen und verarbeiten.

In Südafrika werden Einzelpersonen durch das Gesetz zum Schutz persönlicher Daten (Protection of Personal Information Act), auch POPIA oder POPI Act genannt, geschützt.

In diesem Leitfaden erkläre ich, für wen das POPIA gilt, was es von Unternehmen verlangt, welche Strafen bei Verstößen gegen das Gesetz drohen und wie die Einhaltung des POPIA vereinfacht werden kann.

Was ist das südafrikanische Gesetz zum Schutz persönlicher Daten (POPIA)?

Das Gesetz zum Schutz personenbezogener Daten (Protection of Personal Information Act), manchmal auch POPIA oder POPI Act genannt, ist Südafrikas führendes Gesetz zum Schutz von Verbraucherdaten.

Dabei handelt es sich um ein umfassendes Gesetz, das die personenbezogenen Daten von Personen in Südafrika schützt, indem es Anforderungen und Verpflichtungen für Einrichtungen festlegt, die diese Daten erfassen, verarbeiten und nutzen.

Sie weist viele Ähnlichkeiten mit der europäischen Datenschutzverordnung (DSGVO ) auf, unterscheidet sich aber in einigen Punkten - so können beispielsweise Verstöße gegen POPIA mit Gefängnisstrafen geahndet werden.

Wann ist POPIA in Kraft getreten?

Das Parlament hat POPIA im November 2013 verabschiedet, aber es tritt erst am 1. Juli 2020 in Kraft.

Ursprünglich war eine einjährige Frist für Unternehmen vorgesehen, um sich auf die Einhaltung der Vorschriften vorzubereiten, so dass der größte Teil des Gesetzes am 1. Juli 2021 in Kraft treten wird.

Die in Abschnitt 58 enthaltene Verpflichtung, der Datenschutzbehörde mitzuteilen, ob die Datenverarbeitung einer Vorabgenehmigung unterliegt, trat jedoch am 1. Februar 2022 in Kraft.

Heute ist das Gesetz vollständig in Kraft.

POPIA Schlüsselbegriffe und Definitionen

Um zu verstehen, wie POPIA einzuhalten ist, sollten Sie sich mit der Definition bestimmter Begriffe im Gesetz vertraut machen, die ich im Folgenden aufgeführt habe:

Was deckt der Protection of Personal Information Act ab?

Das POPIA erfasst die personenbezogenen Daten von Einzelpersonen in Südafrika und beschreibt die Bedingungen für die rechtmäßige Verarbeitung dieser Daten.

Sie regelt auch den Fluss personenbezogener Daten außerhalb der südafrikanischen Grenzen.

Anforderungen des Gesetzes über den Schutz personenbezogener Daten

Im POPIA sind mehrere rechtliche Anforderungenfür die Erhebung und Verarbeitung personenbezogener Daten festgelegt.

Gründe für die Verarbeitung personenbezogener Daten

Gemäß POPIA dürfen Sie personenbezogene Daten nur aus den folgenden Gründen verarbeiten, die in Kapitel 2, Abschnitt 11 des Gesetzes dargelegt sind:

• Die betroffene Person willigt in die Verarbeitung ein.
• Die Verarbeitung ist für die Durchführung von Maßnahmen zur Erfüllung eines Vertrags erforderlich.
• Die Verarbeitung erfolgt in Erfüllung einer gesetzlichen Verpflichtung des Verantwortlichen.
• Die Verarbeitung schützt das berechtigte Interesse der betroffenen Person.
• Die Verarbeitung ist zur Verfolgung der berechtigten Interessen des Verantwortlichen erforderlich.

Bei Bedarf müssen Unternehmen im Rahmen von POPIA nachweisen, dass sie von den betroffenen Personen eine angemessene Einwilligung erhalten haben.

Die betroffenen Personen können jedoch jederzeit aus einem der oben genannten Gründe der Datenverarbeitung widersprechen, sofern sie nicht gesetzlich dazu verpflichtet sind, und die Verantwortlichen müssen den Anträgen nachkommen.

Zustimmung

Die Zustimmung nach POPIA hat eine spezifische Opt-in-Definition, die sich eng an die Definition des Begriffs in DSGVO anlehnt.

Die Nutzer müssen sich freiwillig und in Kenntnis der Sachlage äußern, und die Zustimmung muss einem bestimmten Zweck der Verarbeitung ihrer personenbezogenen Daten dienen.

Bedingungen für die rechtmäßige Verarbeitung

Es gibt acht Bedingungen für eine rechtmäßige Verarbeitung, die von POPIA umrissen werden und die ich im Folgenden für Sie zusammengefasst habe.

Die Verantwortlichen müssen alle acht der oben genannten Bedingungen für die Verarbeitung einhalten, wenn sie personenbezogene Daten von südafrikanischen Betroffenen erheben und verwenden.

Benachrichtigung über Sicherheitsverstöße

Eine der Bedingungen für eine rechtmäßige Verarbeitung im Rahmen des POPIA sieht vor, dass die Verantwortlichen die betroffenen Personen und die Aufsichtsbehörde für den Datenschutz informieren müssen, wenn ein Unbefugter Zugang zu den Daten erhält.

Wie in Kapitel 3, Abschnitt 22 des Gesetzes erläutert, muss diese Benachrichtigung bis auf wenige Ausnahmen so schnell wie möglich erfolgen.

Die Mitteilung muss schriftlich erfolgen und auf eine der folgenden Arten übermittelt werden:

• Zusendung an die letzte bekannte Adresse der betroffenen Person
• Per E-Mail gesendet
• An prominenter Stelle auf der Website der verantwortlichen Partei platziert
• In den Nachrichten veröffentlicht
• Eine andere Methode, wie von der Informationsregulierungsbehörde vorgegeben

Darüber hinaus muss die Meldung Folgendes enthalten:

• Eine Beschreibung der Folgen der Sicherheitsverletzung
• Die Maßnahmen, die das Unternehmen ergreifen wird, um die Gefährdung zu beheben
• Wie will die verantwortliche Partei verhindern, dass ein solches Vergehen wieder vorkommt?
• Die Identität des Unbefugten, falls bekannt

Internationale Datenübertragungen

POPIA beschreibt die Anforderungen für internationale Datenübermittlungen in Kapitel 9, Abschnitt 72, in dem es heißt, dass die Verantwortlichen personenbezogene Daten nur dann ins Ausland übermitteln dürfen, wenn dies nicht der Fall ist:

• Der Drittempfänger unterliegt einem Gesetz, einer verbindlichen Unternehmensregel oder einer anderen Vereinbarung, die die Grundsätze von POPIA unterstützt.
• Die betroffene Person willigt in die Datenübermittlung ein.
• Die Übermittlung der Daten ist für die Erfüllung oder den Abschluss eines Vertrags erforderlich.
• Die Datenübermittlung kommt der betroffenen Person zugute, und es ist nicht praktikabel, die Zustimmung der betroffenen Person einzuholen, oder wenn dies der Fall wäre, würde sie wahrscheinlich ihre Zustimmung geben.

POPIA vs. Globale Datenschutzgesetze: Gemeinsamkeiten und Unterschiede

Südafrika ist eines von mehreren Ländern und Regionen, die über ein umfassendes Gesetz zum Schutz der Verbraucherdaten verfügen, und es weist einige Ähnlichkeiten mit den folgenden Rechtsvorschriften auf:

• Das kalifornische Verbraucherschutzgesetz (CCPA)
• Die europäische Datenschutzgrundverordnung (DSGVO)
• Brasiliens allgemeines Datenschutzgesetz (LGPD)
• Das argentinische Gesetz zum Schutz personenbezogener Daten (Argentina PDPA)
• Thailands Gesetz zum Schutz personenbezogener Daten (Thailand PDPA)
• Kanadas Gesetz zum Schutz persönlicher Informationen und elektronischer Dokumente (PIPEDA)
• Australisches Datenschutzgesetz von 1988 (das Datenschutzgesetz)
• Neuseelands Datenschutzgesetz 2020

In der nachstehenden Tabelle können Sie POPIA mit anderen globalen Datenschutzgesetzen vergleichen.

*Mit einigen Ausnahmen für bestimmte Gesetze.

Welche Auswirkungen hat das POPIA auf die Verbraucher?

POPIA wirkt sich auf die Verbraucher aus, indem es ihnen verschiedene Rechte einräumt und ihnen die Kontrolle darüber gibt, wie die betroffenen Einrichtungen ihre personenbezogenen Daten erfassen und verwenden.

Gemäß Kapitel 2, Abschnitt 5 des Gesetzes haben die betroffenen Personen das Recht auf:

• Sie werden darüber informiert, dass ihre persönlichen Daten gesammelt werden.
• Sie werden benachrichtigt, wenn eine unbefugte Person auf ihre Daten zugreift.
• Zugang zu ihren persönlichen Informationen.
• die Berichtigung, Vernichtung oder Löschung ihrer Daten zu verlangen.
• der Verarbeitung ihrer personenbezogenen Daten aus triftigen Gründen zu widersprechen.
• Widerspruch gegen die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung.
• keine Entscheidungsfindung auf der Grundlage einer automatisierten Verarbeitung ihrer Daten zuzulassen.

Darüber hinaus haben die betroffenen Personen das Recht, eine Beschwerde bei der Informationsregulierungsbehörde einzureichen, wenn sie der Meinung sind, dass eine betroffene Einrichtung ihre Rechte verletzt, und sie können zivilrechtlich dagegen vorgehen.

Für wen gilt das POPIA?

Nach der Definition des Begriffs " Person" in Abschnitt 1 des Gesetzes zum Schutz personenbezogener Daten gilt das Gesetz sowohl für natürliche als auch für juristische Personen in Südafrika.

Mit anderen Worten, es schützt die persönlichen Daten von Einzelpersonen und Organisationen, die vor Gericht klagen oder verklagt werden können.

Welche Auswirkungen hat das POPIA auf Unternehmen?

Neben den oben erwähnten vertraglichen Verpflichtungen, internationalen Datenübermittlungen und Rechtsgrundlagen für die Datenverarbeitung wirkt sich das Gesetz zum Schutz personenbezogener Daten auch auf die Datenschutz- und Cookie-Richtlinien eines Unternehmens aus.

Wie wirkt sich das POPIA auf meine Datenschutzpolitik aus?

Gemäß Abschnitt 18 des POPIA müssen die Verantwortlichen "angemessene praktische Maßnahmen" ergreifen, um sicherzustellen, dass ihre Verbraucher über ihre Datenverarbeitung informiert sind.

Eine einfache Möglichkeit, diese Standards zu erfüllen, besteht darin, den betroffenen Personen eine POPIA-konforme Datenschutzerklärung zur Verfügung zu stellen, die sie über Folgendes informiert:

• Die gesammelten Informationen und die Quellen, aus denen die Informationen stammen, wenn sie nicht von den Probanden selbst stammen.
• Name und Anschrift der verantwortlichen Partei.
• Der Zweck der Datenerhebung.
• ob die Bereitstellung persönlicher Informationen für die betroffene Person freiwillig ist oder nicht.
• Alle Gesetze, die die Erfassung der Informationen erlauben oder vorschreiben.
• Wenn die verantwortliche Partei beabsichtigt, die Informationen international zu übermitteln.

Außerdem müssen Sie die Empfänger oder Kategorien von Empfängern der Daten, die Art der Informationskategorie und das Bestehen aller Rechte der betroffenen Personen auflisten.

Wie wirkt sich das POPIA auf meine Cookie-Richtlinie aus?

POPIA hat erhebliche Auswirkungen auf die Cookie-Politik und die allgemeine Verwendung von Internet-Cookies.

Da die betroffenen Personen ein Recht darauf haben, zu erfahren, ob ihre Daten gesammelt werden, und Cookies persönliche Informationen sammeln können, müssen Websites den Nutzern eine klare und genaue Cookie-Richtlinie präsentieren.

Das südafrikanische Datenschutzgesetz schreibt außerdem vor, dass Website-Betreiber die Erlaubnis der Nutzer einholen müssen, wenn sie Cookies auf ihren Browsern platzieren wollen, so dass Unternehmen ein Zustimmungsbanner oder einen anderen Mechanismus verwenden müssen, um eine Zustimmung zu erhalten.

Wer muss sich an das POPIA halten?

Ihr Unternehmen muss POPIA einhalten, wenn Sie personenbezogene Daten verarbeiten und in Südafrika ansässig sind oder wenn Sie anderswo ansässig sind, aber in dem Land automatisierte oder nicht automatisierte Mittel einsetzen, wie in Kapitel 2, Abschnitt 3 beschrieben.

Im Gegensatz zu einigen anderen Datenschutzgesetzen gilt das POPIA auch für gemeinnützige Einrichtungen.

Wer ist von dem POPIA ausgenommen?

Daten, die für persönliche oder häusliche Tätigkeiten erhoben und verarbeitet werden, sind von POPIA ausgenommen, ebenso wie bestimmte öffentliche Einrichtungen im Zusammenhang mit der nationalen Sicherheit.

Wie können sich die Unternehmen auf die POPIA vorbereiten?

Um sich auf die Einhaltung des Protection of Personal Information Act vorzubereiten, sollten Unternehmen ihre Datenschutzrichtlinien aktualisieren, um alle im Gesetz festgelegten Meldepflichten zu erfüllen.

Es ist auch notwendig, eine genaue Cookie-Richtlinie zu veröffentlichen und eine cookie banner zu verwenden, damit Ihre südafrikanischen Nutzer von ihrem Recht Gebrauch machen können, der Verarbeitung zu widersprechen.

Sie können auch ein DSAR-Formular (Data Subject Access Request) mit Ihrer Website verknüpfen, damit die Betroffenen ihre Rechte leichter wahrnehmen können.

Wie wird das POPIA durchgesetzt?

Die Informationsregulierungsbehörde setzt alle Aspekte des POPIA durch und führt Untersuchungen durch, wenn ein Unternehmen mutmaßlich gegen das Gesetz verstößt.

Bußgelder und Strafen nach dem Gesetz über den Schutz personenbezogener Daten

Je nach Schwere des Verstoßes kann ein Verstoß gegen POPIA mit einer Geldstrafe von bis zu 10 Millionen Rupien (536.000 $), bis zu 10 Jahren Gefängnis oder beidem geahndet werden.

Geringfügige Verstöße führen zu geringeren Geldstrafen von bis zu einer Million R1 (53.000 $) oder einem Jahr Haft.

Wie kann Termly bei der Einhaltung von POPIA helfen?

Termly kann Ihnen die Einhaltung des POPIA-Gesetzes erleichtern, denn unsere Datenschutzerklärung Generator enthält die notwendigen Klauseln, um die gesetzlichen Meldepflichten zu erfüllen.

Er wurde von unserem Rechtsteam und unseren Datenschutzexperten geprüft und enthält grundlegende Fragen zu Ihrem Unternehmen und seinen Datenverarbeitungsaktivitäten.

Es erstellt auf der Grundlage Ihrer Antworten eine eindeutige Richtlinie, die Sie auf Ihrer Website oder App einbetten und jederzeit direkt in Ihrem Termly Dashboard aktualisieren können.

Wir bieten auch eine Consent Management Platform (CMP) an, die so konfiguriert werden kann, dass sie die POPIA-Opt-out-Anforderungen für gezielte Werbung erfüllt.

Gibt es in Südafrika weitere Gesetze zum Datenschutz?

Neben dem POPIA gibt es in Südafrika noch einige andere Gesetze zum Schutz der Privatsphäre, darunter die folgenden:

• Gesetz über das Finanznachrichtenzentrum(FICA): Verlangt von Finanzinstituten, Finanzunterlagen und Transaktionen mit ihren Kunden bis zu fünf Jahre lang aufzubewahren, um Geldwäsche zu bekämpfen.
• National Strategic Intelligence Act(NSIA): Regelt, welche Behörden an der verdeckten Nachrichtensammlung teilnehmen dürfen, und legt Richtlinien für deren Funktionsweise fest.

Darüber hinaus ergänzen andere branchen- und sektorspezifische Gesetze das POPIA, wie das Verbraucherschutzgesetz(CPA) und das nationale Gesundheitsgesetz(NHA).

Zusammenfassung

Wenn Ihr Unternehmen in den Geltungsbereich des südafrikanischen Gesetzes zum Schutz personenbezogener Daten fällt, sollten Sie sicherstellen, dass Sie alle im Gesetz festgelegten Verpflichtungen erfüllen.

Stellen Sie eine konforme Datenschutzrichtlinie auf Ihre Website, um alle Benachrichtigungsanforderungen zu erfüllen, und verwenden Sie einen cookie consent Banner, der auf Ihre aktualisierte Cookie-Richtlinie verweist.

Halten Sie alle vertraglichen Verpflichtungen ein, wenn Sie mit Drittverarbeitern zusammenarbeiten, und denken Sie daran, angemessene Sicherheitsmaßnahmen zu ergreifen, um personenbezogene Daten zu schützen.

Vereinfachen Sie Ihre POPIA-Konformität mit TermlyDatenschutzerklärung Generator und Consent Management Platform.

Mehr über die Autorin

Geschrieben von Anokhy Desai CIPP/US, CIPT, CIPM

Anokhy ist Anwältin für Datenschutz mit Erfahrung in den Bereichen Datenschutz und Cybersicherheit im öffentlichen und privaten Sektor. Als ehemalige Westin Fellow bei der IAPP veröffentlichte sie mehrere Artikel, White Papers und Infografiken und leitete, koordinierte und moderierte Webinare und Diskussionsrunden zu den Themen Datenschutz und Datenschutztechnologie in den USA. Anokhy erwarb ihren Master an der Carnegie Mellon University und ihren Juris Doctor an der University of Pittsburgh. Mehr über die Autorin