Responsabilidad y calidad
La parte responsable responde por el cumplimiento de todas las condiciones y debe mantener los datos completos, correctos y actualizados.
Guía · Normativa sudafricana
POPIA explicada para quienes se monetizan con anuncios
La POPIA es la ley de protección de datos de Sudáfrica. Protege a las personas y también a las empresas, tiene reglas duras para el marketing por correo electrónico y SMS, y prevé multas e incluso prisión. Mira qué pide a un sitio con visitantes sudafricanos y qué cambia en los anuncios.
- ✓Basado en el texto de la ley y en las publicaciones del Information Regulator
- ✓Ejemplos de sitios con anuncios, incluidos sitios brasileños
- ✓Lectura sin modificar el sitio
R10 millonesmulta administrativa máxima que puede aplicar el Information Regulator
8condiciones que todo tratamiento de datos debe cumplir para ser lícito
18años: por debajo de esa edad la persona es tratada como niño por la ley
2021año en que terminó el plazo de adaptación, el 30 de junio
Qué es
Una ley que protege a personas y empresas
La Protection of Personal Information Act, o POPIA, es la Ley 4 de 2013 de Sudáfrica. La mayor parte empezó a regir el 1 de julio de 2020, con un año de adaptación que terminó el 30 de junio de 2021. Quien fiscaliza es el Information Regulator, un organismo independiente que también se ocupa de la ley de acceso a la información del país.
La ley usa nombres propios. Quien decide por qué y cómo se usan los datos es la parte responsable, el equivalente al controlador del GDPR. Quien trata los datos en su nombre es el operador. La persona a quien se refieren los datos es el titular, y aquí hay una diferencia importante: en la POPIA, las empresas y otras personas jurídicas también son titulares protegidos.
La información personal es todo lo que identifica a alguien, como nombre, correo electrónico, teléfono, ubicación, identificadores en línea y opiniones. También existe la información personal especial, que incluye religión, origen racial, salud, vida sexual, opinión política, datos biométricos y antecedentes penales. Los datos de niños, que en la ley son menores de 18 años, tienen protección propia.
La ley rige para la parte responsable establecida en Sudáfrica y para la de fuera que usa medios en el país para tratar datos. Si eso alcanza a un sitio extranjero que solo recibe visitantes sudafricanos es una cuestión de interpretación. El camino prudente para quien tiene ese público es seguir las reglas básicas de transparencia, seguridad y marketing.
Lista de verificación
Lo que debes cumplir
Lo que piden la POPIA y el Information Regulator a un sitio con anuncios que recibe visitantes de Sudáfrica.
Avisa al recopilar
Di qué recopilas, quién es el responsable y su dirección, la finalidad, si dar los datos es voluntario, si los datos van a otro país y cuáles son los derechos, incluido reclamar ante el Regulador. Google también exige que la política diga que terceros, como Google, usan cookies para mostrar anuncios.
EjemploRecopilamos tu correo para enviar alertas de empleos. El envío es voluntario. Puedes pedir acceso, corrección o eliminación y reclamar ante el Information Regulator.
Registra al Information Officer
En una empresa, el Information Officer es por defecto el principal ejecutivo. Solo puede asumir la función después de registrarse en el portal del Information Regulator.
Marketing electrónico con consentimiento
Los correos, SMS y mensajes de marketing solo pueden ir a quien dio su consentimiento o a clientes, sobre productos parecidos. La solicitud de consentimiento puede hacerse una sola vez y solo si la persona no rechazó antes.
Salida en cada mensaje
Cada mensaje de marketing tiene que identificar al remitente y traer un contacto para pedir que se detengan los envíos.
EjemploRecibes este correo de Empresa Ejemplo. Para no recibir más, haz clic en Cancelar suscripción.
Respeta la oposición
La persona puede oponerse al uso basado en interés legítimo y, en cualquier momento, al marketing directo. Después de la oposición, el uso de esos datos tiene que detenerse.
Datos especiales solo con consentimiento
Religión, origen racial, salud, vida sexual, opinión política y biometría están prohibidos por regla general. El consentimiento de la persona es una de las excepciones, y Google no acepta anuncios personalizados basados en esos datos.
Niños con consentimiento previo
Los datos de niños solo pueden tratarse con el consentimiento previo de una persona competente, como el padre, la madre o el tutor, salvo en las excepciones de la ley.
Avisa de los accesos indebidos
Si hay motivo para creer que alguien sin autorización accedió a datos personales, avisa al Regulador y, por regla general, a las personas afectadas, en cuanto sea razonablemente posible.
En la práctica
Lo correcto y lo incorrecto
✕IncorrectoLa casilla de marketing ya viene marcada en el formulario. ✓CorrectoLa casilla para recibir correos de marketing empieza sin marcar. ✕IncorrectoLa política no menciona el envío de datos fuera del país ni los derechos. ✓CorrectoLa política dice quién recopila, para qué, a qué países van los datos y cómo reclamar ante el Regulador. ✕IncorrectoEl sitio usa datos de salud para segmentar anuncios sin preguntar. ✓CorrectoEl sitio pide consentimiento antes de usar datos de salud de un visitante.
Herramientas oficiales
CMPs certificadas y enlaces oficiales
Google no exige una CMP certificada ni tiene un mensaje propio para Sudáfrica, así que los enlaces de abajo son de Google y del Information Regulator.
- Registro del Information Officer (Information Regulator)Explica el registro y lleva al portal de servicios del Regulador.inforegulator.org.za/portal
- Sección 69 de la POPIA: marketing directo electrónico (Information Regulator)Explica cuándo se permiten los correos y SMS de marketing.inforegulator.org.za/knowledge-base/popia-section-69
- Texto de la Protection of Personal Information Act (Gobierno de Sudáfrica)Texto oficial de la ley con las reglas de aviso, niños e incidentes.www.gov.za/documents/protection-personal-information-act
- Tipos de mensaje de Privacidad y mensajes (Google)Muestra que la herramienta de Google tiene mensajes para Europa y para estados de EE. UU., pero no para Sudáfrica.support.google.com/adsense/answer/10923959
- Contenido obligatorio en la política de privacidad (Google AdSense)Lista lo que tu política tiene que decir sobre las cookies de Google y de los socios de anuncios.support.google.com/adsense/answer/1348695
El corazón de la ley
Las 8 condiciones para tratar datos
La POPIA organiza todo en ocho condiciones. Si una falla, el tratamiento deja de ser lícito.
Límite y finalidad
Recopila solo lo necesario, con una justificación válida y para una finalidad específica y explícita, y guarda los datos solo el tiempo necesario.
Uso posterior y transparencia
Un nuevo uso debe ser compatible con el original. Y la persona debe saber, en el momento de la recopilación, quién recopila, para qué y cuáles son sus derechos.
Seguridad y participación
Protege los datos con medidas técnicas y organizativas y permite que la persona acceda a la información, la corrija y pida su eliminación.
Bases legales, cookies y marketing
Cuándo puede el sitio usar los datos
La POPIA acepta seis justificaciones para tratar datos: consentimiento, ejecución de un contrato, obligación legal, protección de un interés legítimo del titular, cumplimiento de un deber público e interés legítimo de la parte responsable o de un tercero. El titular puede oponerse al tratamiento basado en interés legítimo, y desde 2025 esa oposición es gratuita y se puede hacer por varios canales.
La ley no tiene una regla específica sobre cookies, como el PECR británico. Pero las cookies y los identificadores que permiten reconocer a un visitante son información personal, y por eso el sitio necesita una justificación y debe avisar. Para el rastreo de anuncios, el consentimiento es la base más segura y la más fácil de demostrar.
El punto más estricto de la ley es el marketing directo por medios electrónicos, como correo electrónico, SMS y llamadas automáticas. Solo se permite con consentimiento o para clientes que ya compraron algo, siempre que la oferta sea de productos parecidos y que la persona haya recibido, en la recopilación y en cada mensaje, una forma simple y gratuita de rechazar.
El sitio puede pedir ese consentimiento una sola vez, y solo si la persona no lo rechazó antes. Las reglas actualizadas en abril de 2025 dicen que el consentimiento puede obtenerse por cualquier medio accesible, pero no puede presumirse por el silencio ni por una casilla premarcada. Todo mensaje debe identificar al remitente e incluir un contacto para pedir que se detenga.
Derechos de las personas
Lo que puede pedir el titular
Valen para las personas y también para las empresas cuyos datos trata el sitio.
Ser avisado
Saber que se están recopilando los datos y ser informado si hubo un acceso indebido a ellos.
Acceder
Preguntar si el sitio guarda datos sobre ella y recibir una descripción de lo que existe y de quién tuvo acceso.
Corregir y borrar
Pedir la corrección o la eliminación de datos erróneos, excesivos u obtenidos de forma irregular. Desde 2025, la solicitud es gratuita y la respuesta debe llegar en un máximo de 30 días.
Oponerse
Rechazar el tratamiento basado en interés legítimo y, en cualquier momento, el uso de los datos para marketing directo.
No depender solo de una máquina
No ser objeto de decisiones con efecto importante tomadas únicamente por sistemas automatizados, salvo en las excepciones de la ley.
Reclamar y demandar
Presentar una queja ante el Information Regulator y acudir a la justicia para pedir una reparación.
Obligaciones
Lo que debe hacer un sitio con visitantes sudafricanos
- Avisar en la recopilaciónLa política de privacidad y los formularios deben decir quién recopila, para qué, si el suministro es obligatorio, con quién se comparten los datos, si van a otro país y cuáles son los derechos del titular, incluido el de reclamar ante el Regulador.
- Tener un Information OfficerToda parte responsable tiene un encargado, que por defecto es el ejecutivo principal. Debe estar registrado en el portal del Information Regulator antes de asumir la función.
- Pedir consentimiento donde es la basePara las cookies de anuncios y las listas de correo, registra el consentimiento con fecha, origen y texto mostrado. Nada de casillas premarcadas.
- Proteger los datosAdopta medidas de seguridad adecuadas y ten un contrato con los operadores, como el alojamiento y las herramientas de correo, que exija el mismo cuidado.
- Notificar los incidentesSi hay un acceso indebido a datos personales, avisa al Regulador y a los afectados lo antes posible, con información suficiente para que puedan protegerse.
- Cuidar las transferenciasEnviar datos al exterior exige que el destino ofrezca una protección adecuada, que haya un contrato con garantías o el consentimiento del titular, entre otros supuestos de la ley.
Supervisión y multas
Qué pasa cuando se incumple la ley
El Regulador recibe quejas, investiga y emite notificaciones de cumplimiento. Ignorar una notificación es el camino más rápido hacia la multa.
Multa administrativa
El Regulador puede aplicar una multa de hasta 10 millones de rands mediante una notificación de infracción. Desde 2025, es posible negociar el pago en cuotas.
Delitos con prisión
Obstruir al Regulador o incumplir una notificación de cumplimiento puede llevar a hasta 10 años de prisión, multa o ambas. Otras infracciones tienen una pena de hasta 12 meses.
Primera multa
En julio de 2023, el Regulador aplicó la primera multa de la ley: 5 millones de rands al Departamento de Justicia, por no cumplir una notificación vinculada a fallas de seguridad.
Acciones judiciales
El titular, o el Regulador en su nombre, puede pedir una indemnización por daños causados por un tratamiento irregular.
Cronología
De la aprobación a la fiscalización
La POPIA tardó años en salir del papel. Estas son las fechas principales.
- 2013
Ley aprobada
La POPIA se sanciona como Ley 4 de 2013, pero casi todo el texto queda a la espera de una fecha de inicio.
- 11 de abril de 2014
Base para el Regulador
Entran en vigor las definiciones y las reglas que crean el Information Regulator.
- 1 de julio de 2020
La ley empieza a regir
Entran en vigor las obligaciones principales, con 12 meses para que las empresas se adapten.
- 30 de junio de 2021
Fin de la adaptación
Termina el plazo de transición y la ley pasa a exigirse por completo.
- Julio de 2023
Primera multa
El Regulador multa al Departamento de Justicia con 5 millones de rands.
- 17 de abril de 2025
Reglamento actualizado
Nuevas reglas sobre oposición gratuita, solicitudes de corrección, consentimiento para marketing directo y reclamaciones empiezan a regir de inmediato.
Para quienes tienen AdSense o Ad Manager
Qué cambia en la práctica para los ingresos
Google no exige una CMP certificada ni el IAB TCF para Sudáfrica. Esa exigencia rige para el Espacio Económico Europeo, el Reino Unido y Suiza. Por eso, el tráfico sudafricano sigue recibiendo anuncios personalizados sin el mensaje del TCF.
Esto no quita al sitio las obligaciones de la POPIA. La política de privacidad debe mencionar el uso de cookies y los socios de anuncios, y el visitante debe tener cómo oponerse y cómo ejercer sus derechos. Si el sitio quiere pedir consentimiento para cookies de anuncios en el país, la CMP puede hacerlo por región, y Consent Mode transmite la elección a las etiquetas de Google.
Imagina un sitio brasileño de ofertas de empleo en inglés que recibe visitantes de Johannesburgo y Ciudad del Cabo y ofrece alertas de empleo por correo. El banner de cookies puede ser simple, pero el formulario de alertas necesita un consentimiento claro, sin casilla marcada, y cada correo debe tener un enlace para darse de baja.
Como la POPIA protege también a las empresas, un sitio que capta contactos corporativos, por ejemplo para anunciantes, debe tratar esos datos con el mismo cuidado que los datos de personas.
En la práctica
Qué se puede y qué no se puede con la POPIA
Ejemplos del día a día de sitios de contenido, empleo y finanzas con público sudafricano.
Sí se puede
- Mostrar anuncios personalizados de Google sin el mensaje del TCF a visitantes de Sudáfrica
- Enviar un boletín a quien se suscribió y marcó la casilla por su cuenta
- Enviar ofertas parecidas a quien ya te compró, con opción de darse de baja en cada mensaje
- Pedir consentimiento para marketing una sola vez a quien nunca lo rechazó
- Atender solicitudes de eliminación y de oposición por correo, WhatsApp o formulario, sin cobrar
No se puede
- Inscribir visitantes en listas de correo con la casilla ya marcada
- Insistir en pedir consentimiento después de que la persona lo rechazó
- Comprar listas de correos o celulares y enviar ofertas masivas
- Enviar marketing sin identificar al remitente y sin enlace para darse de baja
- Recopilar datos de menores de 18 años sin el consentimiento de un responsable
Errores comunes
Dónde fallan más los sitios
Fallas frecuentes en sitios que reciben público de Sudáfrica.
Creer que, sin exigencia de Google, no hay regla
La falta de una CMP obligatoria en el país no exime de la política de privacidad, del derecho de oposición ni de las reglas de marketing.
Olvidar que las empresas también son titulares
Los contactos de anunciantes, proveedores y socios también son datos protegidos por la POPIA.
Formulario de boletín sin consentimiento real
Una casilla premarcada o un texto escondido no valen. El reglamento de 2025 lo dejó explícito.
Information Officer no registrado
La ley exige que el encargado esté registrado en el portal del Regulador antes de asumir la función.
Política sin transferencia internacional
Los datos de los visitantes van a servidores de Google y de otros socios fuera del país. La política debe decirlo.
Solicitudes sin respuesta
Las solicitudes de corrección y eliminación deben responderse en un máximo de 30 días, y el sitio debe tener un canal claro para recibirlas.
En ConsentMode
Qué revisa la auditoría para la POPIA
- Abre el sitio como visitante de Sudáfrica y registra si hay banner, qué botones ofrece y qué se activa antes de la elección.
- Identifica la CMP por el código de la página, cuando existe, y lee las señales de Consent Mode enviadas a Google.
- Comprueba si la política de privacidad incluye responsable, finalidades, socios de anuncios, transferencia internacional, derechos y contacto del encargado.
- Verifica los formularios de boletín y de registro en busca de casillas premarcadas y de aviso de finalidad.
- Entrega capturas y un plan de corrección con prioridad según la gravedad.
Preguntas frecuentes
¿Necesito un banner de cookies para visitantes de Sudáfrica?
La POPIA no tiene una regla específica sobre banners. El sitio debe avisar sobre las cookies y tener una justificación para usarlas. Para el rastreo de anuncios, pedir consentimiento es la forma más segura, y una CMP configurada por región lo resuelve sin afectar a otros públicos.
¿Google exige algo para ese tráfico?
No se exige una CMP certificada para Sudáfrica. Las políticas generales de Google para editores siguen vigentes, como tener una política de privacidad que mencione las cookies y los socios de anuncios.
¿Puedo enviar correos a quien dejó su contacto en un comentario?
No para marketing. El contacto se dio con otra finalidad. Para enviar ofertas, necesitas consentimiento o una relación de cliente con un producto parecido.
¿Quién puede ser el Information Officer?
Por defecto es el ejecutivo principal de la empresa, que puede designar adjuntos. El registro se hace en el portal del Information Regulator.
¿La POPIA se parece a la LGPD?
En muchos puntos, sí: bases legales, derechos y encargado. Las diferencias más visibles son la protección de las empresas como titulares, la edad de 18 años para el niño y la regla estricta de marketing electrónico.
¿De verdad existe la prisión?
Sí, para delitos específicos, como obstruir al Regulador o incumplir una notificación de cumplimiento. Para la mayoría de las fallas del día a día, el camino es la notificación y la multa administrativa.
Biblioteca
Fuentes oficiales
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
- Information Regulator: sección 69 de la POPIA, marketing directo por comunicaciones electrónicasinforegulator.org.za/knowledge-base/popia-section-69
- Information Regulator: capítulo 8 de la POPIA, derechos sobre marketing directo y decisiones automatizadasinforegulator.org.za/knowledge-base/category/popia/chapter-8-rights-of-data-subjects-regarding-direct-marketing-by-means-of-unsolicited-electronic-communications-directories-and-automated-decision-making
- Gobierno de Sudáfrica: multa de 5 millones de rands al Departamento de Justiciawww.sanews.gov.za/node/64098
- Gobierno de Sudáfrica: texto de la Protection of Personal Information Actwww.gov.za/documents/protection-personal-information-act
- Information Regulator: registro del Information Officerinforegulator.org.za/portal
- Google AdSense: tipos de mensaje disponibles en Privacidad y mensajessupport.google.com/adsense/answer/10923959
Descubre si tu sitio está listo para el público sudafricano
La auditoría abre el sitio desde Sudáfrica y muestra qué corregir en el banner, los formularios y la política, sin cambiar nada.