Starten Sie Ihre POPIA-Konformität und vermeiden Sie gesetzliche Bußgelder

Personenbezogene Daten werden im POPIA definiert als „Informationen, die sich auf eine identifizierbare, lebende, natürliche Person und gegebenenfalls eine identifizierbare, existierende juristische Person beziehen“. Es ist wichtig zu beachten, dass die POPIA-Definition von PI auch eine juristische Person umfasst, d. h. eine Organisation, die gesetzlich anerkannt ist und Rechte und Pflichten wie eine natürliche Person hat.

Es gibt einige Ausnahmen für die Anwendbarkeit von POPIA. Es gilt nicht, wenn:

• die Datenverarbeitung für eine persönliche oder häusliche Tätigkeit erfolgt,
• die Daten de-identifiziert werden und nicht wieder identifiziert werden können
• die Datenverarbeitung durch oder im Auftrag einer öffentlichen Einrichtung erfolgt
  • Für die nationale Sicherheit
  • Zum Zwecke der Prävention, Aufdeckung und Unterstützung bei der Ermittlung von Erträgen aus rechtswidrigen Handlungen
  • Durch das Kabinett und seine Ausschüsse oder den Exekutivrat einer Provinz
  • Juristische Aufgaben eines Gerichts oder
  • terroristische und damit verbundene Aktivitäten

POPIA schränkt die Übermittlung personenbezogener Daten außerhalb Südafrikas ein, sofern nicht mindestens eine der im Gesetz vorgeschriebenen Sicherheitsvorkehrungen getroffen wird und die Übermittlung die personenbezogenen Daten nicht dem Risiko einer Verletzung der Vertraulichkeit oder Sicherheit aussetzt.

In Abschnitt 72 des POPIA sind die Bedingungen für die grenzüberschreitende Übermittlung personenbezogener Daten festgelegt. Dazu gehört die Einwilligung der betroffenen Person, der Empfänger der PI unterliegt verbindlichen unternehmensinternen Vorschriften (Binding Corporate Rules, BCR), die Bedingungen für die Verarbeitung sollten „im Einklang mit internationalen Standards“ festgelegt werden und die Übermittlung ist zur Erfüllung eines Vertrags erforderlich.

Die Informationsregulierungsbehörde (Information Regulator) ist die Aufsichtsbehörde für POPIA in Südafrika. Dies ist die unabhängige gesetzliche Einrichtung, die durch das Gesetz geschaffen wurde und für die Überwachung und Durchsetzung der Einhaltung des POPIA durch öffentliche und private Stellen zuständig ist. 

Die Informationsregulierungsbehörde ist befugt, Beschwerden zu untersuchen, Bußgelder zu verhängen und rechtliche Schritte gegen Einrichtungen einzuleiten, die die Vorschriften nicht einhalten. Sie wird sowohl den POPIA als auch das Gesetz zur Förderung des Zugangs zu Informationen (PAIA) regeln.

Die DSGVO hat einen extraterritorialen Geltungsbereich, d. h. Einrichtungen außerhalb der EU/des EWR, die personenbezogene Daten von in der EU/dem EWR ansässigen Personen erheben, können in den Geltungsbereich der DSGVO fallen. 

Das bedeutet, dass Unternehmen in Südafrika, die personenbezogene Daten von EU-Verbrauchern verarbeiten, sicherstellen müssen, dass diese Daten gemäß den DSGVO-Standards angemessen geschützt sind. 

Da POPIA viele Ähnlichkeiten mit der DSGVO aufweist, kann die Einhaltung von POPIA auch ein Schritt zur Einhaltung der DSGVO sein.

Hier sind einige Links, die Sie für weitere Informationen nutzen können:

• Offizieller Text von POPIA
• Vereinfachter Leitfaden zum POPIA Südafrika