Spiegazione della legge sudafricana sulla protezione delle informazioni personali (POPIA)

Le leggi sulla privacy esistono in tutto il mondo e riguardano le aziende che raccolgono e trattano le informazioni personali dei visitatori del loro sito web.

In Sudafrica, le persone sono protette dal Protection of Personal Information Act, chiamato anche POPIA o POPI Act.

In questa guida spiego a chi si applica il POPIA, cosa richiede alle aziende, le sanzioni in caso di violazione della legge e come semplificare la conformità al POPIA.

Che cos'è il Protection of Personal Information Act (POPIA) del Sudafrica?

La legge sulla protezione delle informazioni personali (Protection of Personal Information Act), talvolta chiamata POPIA o POPI Act, è la principale legge sudafricana sulla privacy dei dati dei consumatori.

Si tratta di una legislazione completa che tutela i dati personali degli individui in Sudafrica, definendo requisiti e obblighi per le entità che raccolgono, elaborano e utilizzano tali informazioni.

Il regolamento condivide molte analogie con il Regolamento generale sulla protezione dei dati (GDPR) europeo, ma si differenzia per alcuni aspetti significativi: ad esempio, le sanzioni per la violazione del POPIA possono comportare il carcere.

Quando è entrato in vigore il POPIA?

Il Parlamento ha approvato il POPIA nel novembre 2013, ma non è entrato in vigore fino al 1° luglio 2020.

Inizialmente era previsto un periodo di grazia di un anno per consentire alle imprese di prepararsi all'adeguamento, quindi la maggior parte della legge è entrata in vigore il 1° luglio 2021.

Tuttavia, l'obbligo di notificare al Garante delle informazioni se il trattamento dei dati è soggetto ad autorizzazione preventiva è entrato in vigore il 1° febbraio 2022.

Oggi la legge è pienamente in vigore.

Termini e definizioni chiave di POPIA

Per comprendere appieno come conformarsi al POPIA, è importante familiarizzare con la definizione che la legge dà di alcuni termini, che ho incluso di seguito:

Cosa prevede la legge sulla protezione dei dati personali?

Il POPIA riguarda i dati personali degli individui in Sudafrica e descrive le condizioni per il trattamento legittimo di tali dati.

Inoltre, regola il flusso di informazioni personali al di fuori dei confini sudafricani.

Requisiti della legge sulla protezione dei dati personali

Il POPIA delinea diversi requisiti legaliper la raccolta e il trattamento dei dati personali.

Motivi del trattamento dei dati personali

Ai sensi del POPIA, è possibile trattare le informazioni personali solo per i seguenti motivi, come indicato nel Capitolo 2, Sezione 11 della legge:

• L'interessato acconsente al trattamento.
• Il trattamento è necessario per eseguire azioni per l'esecuzione di un contratto.
• Il trattamento è conforme a un obbligo imposto dalla legge al responsabile.
• Il trattamento tutela il legittimo interesse dell'interessato.
• Il trattamento è necessario per perseguire i legittimi interessi del responsabile.

Se necessario, le aziende che rientrano nel POPIA hanno la responsabilità di dimostrare di aver ottenuto un consenso adeguato dagli interessati.

Tuttavia, gli interessati possono opporsi al trattamento dei dati in qualsiasi momento per uno qualsiasi dei motivi sopra elencati, a meno che non sia richiesto dalla legge, e i responsabili devono soddisfare le richieste.

Consenso

Il consenso ai sensi del POPIA ha una definizione specifica di "opt-in" che è strettamente in linea con la definizione del GDPR .

Gli utenti devono offrire il proprio contributo volontario con una "manifestazione di volontà informata" e l'accordo deve essere finalizzato a uno scopo specifico per il trattamento dei loro dati personali.

Condizioni per un trattamento legittimo

Il POPIA prevede otto condizioni per un trattamento legittimo, che ho riassunto qui di seguito.

Le parti responsabili devono attenersi a tutte e otto le condizioni di trattamento di cui sopra quando raccolgono e utilizzano informazioni personali di soggetti sudafricani.

Notifica di violazioni della sicurezza

Una delle condizioni per un trattamento legittimo ai sensi del POPIA prevede che le parti responsabili informino gli interessati e l'autorità di regolamentazione delle informazioni se un soggetto non autorizzato accede alle informazioni.

Come spiegato nel Capitolo 3, Sezione 22 della legge, questa notifica deve avvenire non appena ragionevolmente possibile, con poche eccezioni.

La notifica deve essere effettuata per iscritto e comunicata in uno dei seguenti modi:

• Spedito all'ultimo indirizzo conosciuto dell'interessato.
• Inviato via e-mail
• Collocato in una posizione di rilievo sul sito web della parte responsabile
• Pubblicato nelle notizie
• Un altro metodo come indicato dal Regolatore dell'Informazione

Inoltre, la notifica deve includere

• Una descrizione delle conseguenze della violazione della sicurezza
• Le misure che l'azienda adotterà per affrontare la compromissione
• In che modo la parte responsabile prevede di ridurre il rischio di ripetizione di un simile reato
• L'identità della parte non autorizzata, se nota

Trasferimenti internazionali di dati

Il POPIA descrive i requisiti per i trasferimenti internazionali di dati nel Capitolo 9, Sezione 72, che stabilisce che le parti responsabili non possono trasferire dati personali a un paese straniero a meno che:

• Il destinatario terzo è soggetto a una legge, a una norma aziendale vincolante o a un altro accordo che sostiene i principi di POPIA.
• L'interessato acconsente al trasferimento dei dati.
• Il trasferimento dei dati è necessario per l'esecuzione o la conclusione di un contratto.
• Il trasferimento dei dati va a vantaggio dell'interessato e non è possibile ottenere il consenso dell'interessato o, se lo fosse, probabilmente lo darebbe.

POPIA e leggi globali sulla privacy: Similitudini e differenze

Il Sudafrica è uno dei numerosi Paesi e regioni che dispongono di una legge completa sulla privacy dei dati dei consumatori e presenta alcune analogie con i seguenti atti legislativi:

• La legge sulla privacy dei consumatori della California (CCPA)
• Regolamento generale sulla protezione dei datiGDPR) in Europa
• Legge generale sulla protezione dei dati (LGPD) del Brasile
• Legge argentina sulla protezione dei dati personali (PDPA Argentina)
• Legge sulla protezione dei dati personali in Thailandia (Thailand PDPA)
• Legge canadese sulla protezione delle informazioni personali e dei documenti elettronici (PIPEDA)
• Legge sulla privacy dell'Australia del 1988 (la legge sulla privacy)
• Legge sulla privacy della Nuova Zelanda 2020

È possibile confrontare il POPIA con altre leggi globali sulla privacy nella tabella che ho composto qui sotto.

*Con alcune eccezioni per alcune leggi.

Qual è l'impatto del POPIA sui consumatori?

Il POPIA ha un impatto sui consumatori in quanto conferisce loro vari diritti e il controllo sulle modalità di raccolta e utilizzo dei loro dati personali da parte delle entità coperte.

Ai sensi del Capitolo 2, Sezione 5 della legge, gli interessati hanno il diritto di:

• Essere informati che i loro dati personali vengono raccolti.
• Essere avvisati se una persona non autorizzata accede alle loro informazioni.
• Accedere alle loro informazioni personali.
• Richiedere la correzione, la distruzione o la cancellazione delle proprie informazioni.
• Opporsi al trattamento dei propri dati personali per motivi ragionevoli.
• Opporsi al trattamento dei dati personali a fini di marketing diretto.
• Non essere soggetti a un processo decisionale basato sul trattamento automatizzato dei propri dati.

Inoltre, gli interessati hanno il diritto di presentare un reclamo all'Information Regulator se ritengono che un'entità coperta violi i loro diritti e possono intraprendere un'azione civile.

A chi si applica il POPIA?

Secondo la definizione di persona contenuta nella sezione 1 della legge sulla protezione delle informazioni personali, la legge si applica sia alle persone fisiche che a quelle giuridiche in Sudafrica.

In altre parole, protegge le informazioni personali di individui e organizzazioni che possono essere citati in giudizio o essere citati in un tribunale.

Qual è l'impatto del POPIA sulle imprese?

Oltre agli obblighi contrattuali, ai trasferimenti internazionali di dati e alle basi giuridiche per l'elaborazione dei dati di cui sopra, la legge sulla protezione dei dati personali influisce sulla politica sulla privacy e sulla politica sui cookie di un'azienda.

In che modo il POPIA influisce sulla mia politica sulla privacy?

Ai sensi dell'articolo 18 del POPIA, le parti responsabili devono adottare "misure ragionevolmente pratiche" per garantire che i consumatori siano consapevoli delle loro attività di trattamento dei dati.

Un modo semplice per soddisfare questi standard è fornire agli interessati un'informativa sulla privacy conforme a POPIA che li informi di quanto segue:

• Le informazioni raccolte e da quale fonte provengono, se non dai soggetti stessi.
• Nome e indirizzo della parte responsabile.
• Lo scopo della raccolta delle informazioni.
• Se il conferimento dei dati personali è volontario o meno per l'interessato.
• Qualsiasi legge che autorizzi o richieda la raccolta delle informazioni.
• Se il responsabile intende trasferire le informazioni a livello internazionale.

Inoltre, è necessario elencare i destinatari o la categoria di destinatari dei dati, la natura della categoria di informazioni e l'esistenza di tutti i diritti degli interessati.

In che modo il POPIA influisce sulla mia politica sui cookie?

POPIA ha un impatto significativo sulle politiche dei cookie e sull'uso generale dei cookie di Internet.

Poiché gli interessati hanno il diritto di sapere se i loro dati vengono raccolti e i cookie possono raccogliere informazioni personali, i siti web devono presentare agli utenti una politica sui cookie chiara e accurata.

La legge sudafricana sulla privacy dei dati richiede inoltre che i proprietari dei siti web ottengano il consenso degli utenti per l'inserimento dei cookie nei loro browser, pertanto le aziende devono utilizzare un banner di consenso o un altro meccanismo per ottenere un accordo di opt-in.

Chi deve rispettare il POPIA?

La vostra azienda deve conformarsi al POPIA se elabora informazioni personali e ha sede in Sudafrica o se ha sede altrove ma utilizza mezzi automatizzati o non automatizzati nel Paese, come indicato nel Capitolo 2, Sezione 3.

A differenza di altre leggi sulla privacy, il POPIA si applica alle entità non profit.

Chi è esente dal POPIA?

I dati raccolti e trattati per attività personali o domestiche sono esenti dal POPIA, così come alcuni enti pubblici legati alla sicurezza nazionale.

Come possono le aziende prepararsi al POPIA?

Per prepararsi a rispettare la legge sulla protezione dei dati personali, le aziende devono aggiornare la loro politica sulla privacy per soddisfare tutti i requisiti di notifica delineati dalla legge.

È inoltre necessario pubblicare un'accurata informativa sui cookie e utilizzare un cookie banner per consentire ai vostri utenti sudafricani di esercitare il loro diritto di opposizione al trattamento.

Potete anche collegare un modulo di richiesta di accesso ai dati (DSAR) al vostro sito web per aiutare le persone a esercitare i loro diritti.

Come viene applicato il POPIA?

L'Information Regulator fa rispettare tutti gli aspetti del POPIA e svolge indagini quando un'azienda presumibilmente viola la legge.

Multe e sanzioni ai sensi della legge sulla protezione dei dati personali

A seconda della gravità dell'infrazione, la violazione del POPIA può comportare una multa fino a 10 milioni di dollari, fino a 10 anni di carcere o entrambe le cose.

Le infrazioni minori comportano multe minori fino a R1 milioni (53.000 dollari) o un anno di reclusione.

In che modo Termly contribuisce alla conformità POPIA?

Termly può aiutarvi a semplificare la vostra conformità POPIA perché il nostro generatore di informativa sulla privacy include le clausole necessarie per soddisfare i requisiti di notifica previsti dalla legge.

Sottoposta al vaglio del nostro team legale e di esperti in materia di privacy, pone domande di base sulla vostra azienda e sulle sue attività di trattamento dei dati.

Crea una polizza unica basata sulle vostre risposte che potete incorporare nel vostro sito web o nella vostra app e aggiornare in qualsiasi momento direttamente nella vostra dashboard Termly .

Forniamo anche una gestione del consenso Platform (CMP) configurabile per soddisfare i requisiti di opt-out di POPIA in materia di pubblicità mirata.

Esistono altre leggi sulla privacy in Sudafrica?

Oltre al POPIA, in Sudafrica esistono altre leggi sulla privacy, tra cui le seguenti:

• Legge sui centri di informazione finanziaria(FICA): Richiede alle istituzioni finanziarie di conservare i documenti finanziari e le transazioni con i loro clienti per un massimo di cinque anni per combattere il riciclaggio di denaro.
• Legge sull'intelligence strategica nazionale(NSIA): Regolamenta quali agenzie possono partecipare alla raccolta di informazioni segrete e delinea le linee guida per il loro funzionamento.

Inoltre, altre leggi settoriali e specifiche integrano il POPIA, come il Consumer Protection Act(CPA) e il National Health Act(NHA).

Riassunto

Se la vostra azienda rientra nell'ambito di applicazione della legge sudafricana sulla protezione dei dati personali, assicuratevi di adottare le misure necessarie per soddisfare tutti gli obblighi previsti dalla legge.

Pubblicate sul vostro sito un'informativa sulla privacy conforme a tutti i requisiti di notifica e utilizzate un banner di consenso ai cookie che rimanda alla vostra informativa sui cookie aggiornata.

Seguite tutti gli obblighi contrattuali se lavorate con elaboratori terzi e ricordate di implementare misure di sicurezza adeguate per mantenere al sicuro le informazioni personali.

Semplificate la vostra conformità al POPIA utilizzando Termlygeneratore di informativa sulla privacy e gestione del consenso Platform.

Per saperne di più su chi scrive

Scritto da Anokhy Desai CIPP/US, CIPT, CIPM

Anokhy è un avvocato specializzato in privacy con precedenti esperienze in materia di privacy e cybersecurity nel settore pubblico e privato. In qualità di ex Westin Fellow presso l'IAPP, ha pubblicato diversi articoli, white paper e infografiche e ha condotto, coordinato e moderato webinar e panel, tutti riguardanti la privacy e la tecnologia della privacy negli Stati Uniti. Anokhy ha conseguito un master presso la Carnegie Mellon University e un dottorato in giurisprudenza presso l'Università di Pittsburgh. Per saperne di più su chi scrive