Lancez votre mise en conformité avec la POPIA et évitez les amendes

Les informations personnelles au sens de la POPIA sont définies comme « les informations relatives à une personne physique vivante identifiable et, le cas échéant, à une personne morale existante identifiable ? Il est important de noter que la définition des informations personnelles au sens de la POPIA inclut également une personne morale, c’est-à-dire une organisation reconnue par la loi comme ayant des droits et des responsabilités au même titre qu’une personne physique.

Il existe quelques exceptions à l’applicabilité de la POPIA. Elle ne s’applique pas si :

• le traitement des données est effectué dans le cadre d’une activité personnelle ou domestique
• les données sont dépersonnalisées et ne peuvent pas être ré-identifiées
• le traitement des données est réalisé par un organisme public ou pour le compte de celui-ci
  • pour des raisons de sécurité nationale
  • à des fins de prévention, de détection et d’aide à l’identification des produits d’activités illicites
  • par le Cabinet et ses comités ou le Conseil exécutif d’une province
  • dans le cadre des fonctions judiciaires d’un tribunal ou
  • d’activités terroristes et connexes

La POPIA limite le transfert de données à caractère personnel en dehors de l’Afrique du Sud, à moins qu’au minimum une des garanties prescrites par la loi ne soit respectée et que le transfert n’entraîne pas un risque de violation de la confidentialité ou de la sécurité des informations à caractère personnel.

L’article 72 de la POPIA définit les conditions du transfert transfrontalier d’informations à caractère personnel. Ces conditions comprennent le consentement de la personne concernée, le fait que le destinataire des informations personnelles soit soumis à des règles d’entreprise contraignantes (BCR), que les conditions de traitement soient établies « en harmonie avec les normes internationales », et que le transfert est nécessaire à l’exécution des termes d’un contrat.

Le régulateur de l’information est l’autorité règlementaire pour la POPIA en Afrique du Sud. Il s’agit d’un organisme statutaire indépendant établi par la loi et chargé de contrôler et de faire respecter la conformité à la loi POPIA par les organismes publics et privés. 

Le régulateur de l’information a le pouvoir d’enquêter sur les plaintes, d’émettre des amendes et d’intenter des actions en justice contre les entités qui ne se conforment pas à la loi. Il réglementera à la fois la POPIA et la loi sur la promotion de l’accès à l’information (Promotion of Access to Information Act ou PAIA)

Le RGPD a une portée extraterritoriale, ce qui signifie que les entités situées en dehors de l’UE/EEE qui recueillent les données personnelles des résidents de l’UE/EEE peuvent entrer dans le champ d’application du RGPD. 

Cela signifie que les entreprises d’Afrique du Sud qui traitent les données personnelles des consommateurs de l’UE doivent s’assurer qu’elles sont protégées de manière adéquate, conformément aux normes du RGPD. 

Étant donné que la POPIA présente de nombreuses similitudes avec le RGPD, la conformité à la POPIA peut également constituer une étape vers la conformité au RGPD.

Voici quelques liens qui vous guideront vers des informations complémentaires :

• Texte officiel de la POPIA
• Guide simplifié sur la POPIA d’Afrique du Sud