POPIA
Protection of Personal Information Act
Südafrikas Datenschutzgesetz arbeitet mit acht Bedingungen für rechtmässige Verarbeitung. Bei Direktmarketing ist es besonders streng — und bei den Sanktionen ungewöhnlich deutlich.
POPIA auf einen Blick
- In Kraft
- Voll anwendbar seit 1. Juli 2021
- Aufsicht
- Information Regulator
- Sanktion
- Bis ZAR 10 Mio. oder Freiheitsstrafe bis zu 10 Jahren
- Modell
- Einwilligung, streng bei Direktmarketing
Was ist POPIA?
Der Protection of Personal Information Act regelt in Südafrika die Verarbeitung personenbezogener Daten anhand von acht Bedingungen — darunter Zweckbindung, Datenminimierung, Transparenz und Sicherheit. Durchgesetzt wird er vom Information Regulator.
Zwei Punkte fallen im internationalen Vergleich auf. Erstens schützt das Gesetz auch Daten juristischer Personen, nicht nur natürlicher. Zweitens sieht der Sanktionskatalog neben Bussen bis zehn Millionen Rand auch Freiheitsstrafen von bis zu zehn Jahren vor.
Wen betrifft POPIA?
Verarbeitung in Südafrika
Wer im Land ansässig ist oder dort Mittel zur Verarbeitung einsetzt, fällt darunter.
Auch Daten von Unternehmen
Anders als DSGVO und LGPD schützt POPIA ausdrücklich auch Daten juristischer Personen.
Direktmarketing besonders geregelt
Elektronische Direktwerbung an Personen, die noch nicht Kundschaft sind, setzt eine vorherige Einwilligung voraus.
Was verlangt POPIA von einer Website?
Rechtmässigkeit und Zweckbindung
Daten dürfen nur für einen festgelegten, ausdrücklichen Zweck erhoben werden — und nicht länger aufbewahrt werden als nötig.
Einwilligung für Direktmarketing
Für elektronische Werbung gilt ein Einwilligungserfordernis mit vorgeschriebenem Verfahren.
Offenlegung der Verarbeitung
Betroffene müssen wissen, wer verarbeitet, wozu, und ob Daten ins Ausland gehen.
Sicherheitsmassnahmen
Angemessene Massnahmen gegen Verlust und unbefugten Zugriff sind zwingend; Vorfälle sind zu melden.
Verantwortliche Person benennen
Jede verantwortliche Stelle braucht einen Information Officer, der beim Regulator registriert ist.
Wie erfüllt Aiara POPIA?
Die POPIA-Anforderungen an eine Website decken sich weitgehend mit dem europäischen Vorgehen — Aiara erfüllt sie mit derselben Konfiguration.
Einwilligung vor dem Setzen
Marketing- und Analyse-Skripte laden erst nach Zustimmung. Das erfüllt die strengste POPIA-Anforderung, jene an Direktmarketing, mit ab.
Zwecke sichtbar getrennt
Jede Kategorie nennt Anbieter, Zweck und Speicherdauer — die Zweckbindung wird für Betroffene nachvollziehbar statt nur behauptet.
Nachweisbares Protokoll
Der Information Regulator verlangt im Prüfungsfall einen Beleg. Aiara protokolliert jede Entscheidung mit Zeitpunkt und Umfang.
Angaben zur Auslandsbekanntgabe
Die erzeugte Datenschutzerklärung weist aus, welche Dienste Daten ins Ausland übermitteln — eine der acht Bedingungen.
Widerruf jederzeit
Der dauerhafte Zugang zu den Einstellungen erlaubt den Widerruf ohne Umweg über eine Kontaktaufnahme.
Häufige Fragen zu POPIA
Amtliche Quellen
Diese Seite fasst die Rechtslage allgemein verständlich zusammen und ersetzt keine Rechtsberatung.