Kickstarta din POPIA-efterlevnad och undvik juridiska böter

Personuppgifter enligt POPIA definieras som “uppgifter som rör en identifierbar, levande, fysisk person och, där det är tillämpligt, en identifierbar, befintlig juridisk person.” Det är viktigt att notera att POPIAs definition av personuppgifter också inkluderar en juridisk person, dvs. en organisation som enligt lag erkänns ha rättigheter och skyldigheter som en fysisk person.

Det finns några undantag från tillämpligheten av POPIA. Den gäller inte om:

• Databehandling utförs för personlig eller hushållsaktivitet,
• Uppgifterna har avidentifierats och inte kan återidentifieras
• Databehandling utförs av eller på uppdrag av ett offentligt organ
  • För nationell säkerhet
  • I syfte att förebygga, upptäcka och hjälpa till att identifiera inkomster från olaglig verksamhet
  • Av regeringen och dess utskott eller verkställande rådet i en provins
  • En domstols juridiska utövande eller
  • Terroristverksamhet och relaterad verksamhet

POPIA begränsar överföringen av personuppgifter utanför Sydafrika såvida inte minst en av de föreskrivna skyddsåtgärderna som anges i lagen och överföringen inte riskerar att personuppgifterna bryter mot sekretess eller säkerhet.

I avsnitt 72 i POPIA anges villkoren för gränsöverskridande överföring av personuppgifter. Dessa inkluderar samtycke från den registrerade personen, och att mottagaren av personuppgifterna omfattas av bindande företagsregler (BCR) och behandlingsvillkor måste fastställas “i harmoni med internationella standarder” och om överföringen är nödvändig för att uppfylla villkoren i ett kontrakt.

Information Regulator (Datainspektionen) är tillsynsmyndighet för POPIA i Sydafrika. Det är det oberoende lagstadgade organ som inrättats genom lagen och ansvarar för att övervaka och verkställa efterlevnaden av POPIA av offentliga och privata organ. 

Information Regulator har befogenhet att utreda klagomål, utfärda böter och vidta rättsliga åtgärder mot enheter som inte uppfyller kraven. De kommer att reglera både POPIA och Promotion of Access to Information Act eller helt kort PAIA.

GDPR har extraterritoriell räckvidd, vilket innebär att enheter utanför EU/EES som samlar in personuppgifter från EU/EES-invånare kan omfattas av GDPR. 

Detta innebär att företag i Sydafrika som behandlar personuppgifter från EU-konsumenter måste se till att de är tillräckligt skyddade, i enlighet med GDPR-standarder. 

Eftersom POPIA delar många likheter med GDPR kan efterlevnad av POPIA också vara ett steg mot efterlevnad av GDPR.

Här är några länkar du kan hänvisa till för ytterligare läsning:

• Officiell text av POPIA
• Förenklad guide om POPIA Sydafrika