Ouvrir l'espace

Guide · Réglementation sud-africaine

La POPIA expliquée à ceux qui se monétisent avec des annonces

La POPIA est la loi de protection des données de l'Afrique du Sud. Elle protège les personnes et aussi les entreprises, a des règles strictes pour le marketing par e-mail et SMS et prévoit des amendes et même de la prison. Voyez ce qu'elle demande à un site ayant des visiteurs sud-africains et ce que cela change pour les annonces.

Auditer la confidentialité de mon siteLire le guide
  • ✓Basé sur le texte de la loi et sur les publications de l'Information Regulator
  • ✓Exemples de sites avec publicités, y compris brésiliens
  • ✓Lecture sans modifier le site
10 M Ramende administrative maximale que l'Information Regulator peut appliquer
8conditions que tout traitement de données doit remplir pour être licite
18ans : en dessous de cet âge, la personne est traitée comme un enfant par la loi
2021année où le délai d'adaptation s'est terminé, le 30 juin

Définition

Une loi qui protège les personnes et les entreprises

La Protection of Personal Information Act, ou POPIA, est la loi 4 de 2013 d'Afrique du Sud. La plus grande partie est entrée en vigueur le 1er juillet 2020, avec un an d'adaptation qui s'est terminé le 30 juin 2021. L'application est assurée par l'Information Regulator, un organisme indépendant qui s'occupe aussi de la loi d'accès à l'information du pays.

La loi utilise ses propres termes. Celui qui décide pourquoi et comment les données sont utilisées est la partie responsable, l'équivalent du responsable du traitement du GDPR. Celui qui traite les données en son nom est l'opérateur. La personne concernée par les données est la personne concernée, et il y a ici une différence importante : dans la POPIA, les entreprises et autres personnes morales sont aussi des personnes concernées protégées.

Une information personnelle est tout ce qui identifie quelqu'un, comme le nom, l'e-mail, le téléphone, la localisation, les identifiants en ligne et les opinions. Il existe aussi l'information personnelle spéciale, qui comprend la religion, l'origine raciale, la santé, la vie sexuelle, l'opinion politique, la biométrie et les antécédents judiciaires. Les données des enfants, qui dans la loi sont les moins de 18 ans, bénéficient d'une protection propre.

La loi s'applique à la partie responsable établie en Afrique du Sud et à celle de l'extérieur qui utilise des moyens dans le pays pour traiter des données. Savoir si cela atteint un site étranger qui reçoit simplement des visiteurs sud-africains est une question d'interprétation. La voie prudente pour qui a ce public est de suivre les règles de base de transparence, de sécurité et de marketing.

Checklist

Ce que vous devez respecter

Ce que la POPIA et l'Information Regulator exigent d'un site avec des annonces qui reçoit des visiteurs d'Afrique du Sud.

  1. Prévenez à la collecte

    Dites ce que vous collectez, qui est le responsable et son adresse, la finalité, si fournir les données est volontaire, si les données vont dans un autre pays et quels sont les droits, y compris celui de se plaindre auprès du Regulator. Google exige aussi que la politique précise que des tiers, comme Google, utilisent des cookies pour afficher des annonces.

    Exemple

    Nous collectons votre e-mail pour envoyer des alertes d'offres d'emploi. La communication est volontaire. Vous pouvez demander l'accès, la correction ou la suppression et vous plaindre auprès de l'Information Regulator.

  2. Enregistrez l'Information Officer

    Dans une entreprise, l'Information Officer est par défaut le principal dirigeant. Il ne peut assumer la fonction qu'après avoir été enregistré sur le portail de l'Information Regulator.

  3. Marketing électronique avec consentement

    Les e-mails, SMS et messages de marketing ne peuvent aller qu'à ceux qui ont consenti ou aux clients, pour des produits similaires. La demande de consentement ne peut être faite qu'une seule fois et seulement si la personne n'a pas refusé auparavant.

  4. Une sortie dans chaque message

    Chaque message de marketing doit identifier l'expéditeur et fournir un contact pour demander l'arrêt des envois.

    Exemple

    Vous recevez cet e-mail de l'Entreprise Exemple. Pour ne plus en recevoir, cliquez sur Se désinscrire.

  5. Respectez l'opposition

    La personne peut s'opposer à l'usage fondé sur l'intérêt légitime et, à tout moment, au marketing direct. Après l'opposition, l'usage de ces données doit cesser.

  6. Données spéciales uniquement avec consentement

    La religion, l'origine raciale, la santé, la vie sexuelle, l'opinion politique et la biométrie sont interdites en règle générale. Le consentement de la personne est l'une des exceptions, et Google n'accepte pas les annonces personnalisées basées sur ces données.

  7. Enfants avec consentement préalable

    Les données d'enfants ne peuvent être traitées qu'avec le consentement préalable d'une personne compétente, comme un parent ou un responsable, sauf dans les exceptions de la loi.

  8. Signalez les accès non autorisés

    S'il y a des raisons de croire que quelqu'un sans autorisation a accédé à des données personnelles, prévenez le Regulator et, en règle générale, les personnes concernées, dès que cela est raisonnablement possible.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Google n'exige pas de CMP certifiée ni n'a de message propre pour l'Afrique du Sud, donc les liens ci-dessous viennent de Google et de l'Information Regulator.

Le cœur de la loi

Les 8 conditions pour traiter des données

La POPIA organise tout en huit conditions. Si l'une d'elles fait défaut, le traitement cesse d'être licite.

Responsabilité et qualité

La partie responsable répond du respect de toutes les conditions et doit garder les données complètes, exactes et à jour.

Limitation et finalité

Ne collectez que le nécessaire, avec une justification valable, pour une finalité précise et explicite, en conservant les données uniquement le temps nécessaire.

Utilisation ultérieure et transparence

Un nouvel usage doit être compatible avec l'original. Et la personne doit savoir, au moment de la collecte, qui collecte, pourquoi et quels sont ses droits.

Sécurité et participation

Protégez les données par des mesures techniques et organisationnelles et permettez à la personne d'accéder aux informations, de les corriger et d'en demander la suppression.

Bases légales, cookies et marketing

Quand le site peut utiliser les données

La POPIA accepte six justifications pour traiter des données : le consentement, l'exécution d'un contrat, l'obligation légale, la protection d'un intérêt légitime de la personne concernée, l'accomplissement d'une mission publique et l'intérêt légitime de la partie responsable ou d'un tiers. La personne concernée peut s'opposer au traitement fondé sur l'intérêt légitime, et depuis 2025 cette opposition est gratuite et peut se faire par plusieurs canaux.

La loi n'a pas de règle spécifique sur les cookies, comme le PECR britannique. Mais les cookies et identifiants qui permettent de reconnaître un visiteur sont des informations personnelles, et le site a donc besoin d'une justification et doit informer. Pour le suivi publicitaire, le consentement est la base la plus sûre et la plus facile à démontrer.

Le point le plus strict de la loi est le marketing direct par voie électronique, comme l'e-mail, le SMS et les appels automatiques. Il n'est permis qu'avec consentement ou pour des clients ayant déjà acheté quelque chose, à condition que l'offre porte sur des produits similaires et que la personne ait reçu, à la collecte et dans chaque message, un moyen simple et gratuit de refuser.

Le site peut demander ce consentement une seule fois, et seulement si la personne ne l'a pas refusé auparavant. Les règles mises à jour en avril 2025 disent que le consentement peut être obtenu par tout moyen accessible, mais ne peut pas être présumé par le silence ni par une case précochée. Chaque message doit identifier l'expéditeur et fournir un contact pour demander l'arrêt.

Droits des personnes

Ce que la personne concernée peut demander

Cela vaut pour les personnes et aussi pour les entreprises dont le site traite les données.

Être informé

Savoir que les données sont collectées et être informé en cas d'accès indu à celles-ci.

Accéder

Demander si le site conserve des données la concernant et recevoir une description de ce qui existe et de qui y a eu accès.

Corriger et supprimer

Demander la correction ou la suppression de données erronées, excessives ou obtenues de façon irrégulière. Depuis 2025, la demande est gratuite et la réponse doit arriver sous 30 jours.

S'opposer

Refuser le traitement fondé sur l'intérêt légitime et, à tout moment, l'utilisation des données pour le marketing direct.

Ne pas dépendre uniquement d'une machine

Ne pas faire l'objet de décisions à effet important prises uniquement par des systèmes automatisés, sauf dans les exceptions de la loi.

Se plaindre et poursuivre

Déposer une plainte auprès de l'Information Regulator et saisir la justice pour demander réparation.

Obligations

Ce que doit faire un site ayant des visiteurs sud-africains

  1. Informer à la collecteLa politique de confidentialité et les formulaires doivent indiquer qui collecte, pourquoi, si la fourniture est obligatoire, avec qui les données sont partagées, si elles vont dans un autre pays et quels sont les droits de la personne concernée, y compris celui de se plaindre auprès du Regulator.
  2. Avoir un Information OfficerToute partie responsable a un délégué, qui est par défaut le dirigeant principal. Il doit être enregistré sur le portail de l'Information Regulator avant de prendre ses fonctions.
  3. Demander le consentement là où il est la basePour les cookies publicitaires et les listes d'e-mails, enregistrez le consentement avec la date, l'origine et le texte affiché. Pas de case précochée.
  4. Protéger les donnéesAdoptez des mesures de sécurité adéquates et ayez un contrat avec les opérateurs, comme l'hébergement et les outils d'e-mail, exigeant le même soin.
  5. Notifier les incidentsEn cas d'accès indu à des données personnelles, prévenez le Regulator et les personnes concernées dès que possible, avec suffisamment d'informations pour qu'elles puissent se protéger.
  6. Encadrer les transfertsEnvoyer des données hors du pays exige que la destination offre une protection adéquate, qu'il existe un contrat avec des garanties ou le consentement de la personne concernée, entre autres cas prévus par la loi.

Contrôle et amendes

Ce qui se passe quand la loi n'est pas respectée

Le Regulator reçoit les plaintes, enquête et émet des avis de mise en conformité. Ignorer un avis est le chemin le plus rapide vers l'amende.

Amende administrative

Le Regulator peut appliquer une amende pouvant atteindre 10 millions de rands par un avis d'infraction. Depuis 2025, il est possible de négocier le paiement en plusieurs fois.

Infractions passibles de prison

Entraver le Regulator ou ne pas respecter un avis de mise en conformité peut conduire jusqu'à 10 ans de prison, à une amende ou aux deux. Les autres infractions sont passibles de peines pouvant aller jusqu'à 12 mois.

Première amende

En juillet 2023, le Regulator a appliqué la première amende de la loi : 5 millions de rands au Department of Justice, pour ne pas avoir respecté un avis lié à des failles de sécurité.

Actions en justice

La personne concernée, ou le Regulator en son nom, peut demander une indemnisation pour les dommages causés par un traitement irrégulier.

Chronologie

De l'adoption à l'application

La POPIA a mis des années à se concrétiser. Voici les dates principales.

  1. 2013

    Loi adoptée

    La POPIA est promulguée comme loi 4 de 2013, mais presque tout le texte reste en attente d'une date de début.

  2. 11 avril 2014

    Base pour le Regulator

    Les définitions et les règles qui créent l'Information Regulator entrent en vigueur.

  3. 1er juillet 2020

    La loi commence à s'appliquer

    Les obligations principales entrent en vigueur, avec 12 mois pour que les entreprises s'adaptent.

  4. 30 juin 2021

    Fin de l'adaptation

    Le délai de transition se termine et la loi est désormais exigée dans son intégralité.

  5. Juillet 2023

    Première amende

    Le Regulator inflige une amende de 5 millions de rands au Department of Justice.

  6. 17 avril 2025

    Réglementation mise à jour

    De nouvelles règles sur l'opposition gratuite, les demandes de correction, le consentement au marketing direct et les plaintes entrent en vigueur immédiatement.

Pour ceux qui ont AdSense ou Ad Manager

Ce qui change concrètement pour les revenus

Google n'exige ni CMP certifiée ni IAB TCF pour l'Afrique du Sud. Cette exigence vaut pour l'Espace économique européen, le Royaume-Uni et la Suisse. Le trafic sud-africain continue donc de recevoir des annonces personnalisées sans le message du TCF.

Cela ne dispense pas le site des obligations de la POPIA. La politique de confidentialité doit mentionner l'utilisation de cookies et les partenaires publicitaires, et le visiteur doit avoir un moyen de s'opposer et d'exercer ses droits. Si le site veut demander le consentement aux cookies publicitaires dans le pays, la CMP peut le faire par région, et Consent Mode transmet le choix aux balises Google.

Imaginez un site brésilien d'offres d'emploi en anglais qui reçoit des visiteurs de Johannesburg et du Cap et propose des alertes d'offres par e-mail. La bannière de cookies peut être simple, mais le formulaire d'alertes a besoin d'un consentement clair, sans case cochée, et chaque e-mail doit contenir un lien de désabonnement.

Comme la POPIA protège aussi les entreprises, un site qui recueille des contacts d'entreprises, par exemple pour des annonceurs, doit traiter ces données avec le même soin que les données de personnes.

En pratique

Ce qui est permis et ce qui ne l'est pas avec la POPIA

Exemples du quotidien de sites de contenu, d'emploi et de finance avec un public sud-africain.

Autorisé

  • Afficher des annonces personnalisées de Google sans le message du TCF aux visiteurs d'Afrique du Sud
  • Envoyer une newsletter à ceux qui se sont inscrits et ont coché la case d'eux-mêmes
  • Envoyer des offres similaires à ceux qui ont déjà acheté chez vous, avec une option de désabonnement dans chaque message
  • Demander le consentement au marketing une seule fois à ceux qui n'ont jamais refusé
  • Traiter les demandes de suppression et d'opposition par e-mail, WhatsApp ou formulaire, sans frais

Interdit

  • Inscrire des visiteurs à des listes d'e-mails avec une case déjà cochée
  • Insister pour obtenir le consentement après que la personne a refusé
  • Acheter des listes d'e-mails ou de numéros de mobile et envoyer des offres en masse
  • Envoyer du marketing sans identifier l'expéditeur et sans lien de désabonnement
  • Collecter des données de moins de 18 ans sans le consentement d'un responsable

Erreurs courantes

Où les sites trébuchent le plus

Défaillances fréquentes sur les sites qui reçoivent un public d'Afrique du Sud.

Croire que, sans exigence de Google, il n'y a pas de règle

L'absence de CMP obligatoire dans le pays ne dispense ni de la politique de confidentialité, ni du droit d'opposition, ni des règles de marketing.

Oublier que les entreprises sont aussi des personnes concernées

Les contacts d'annonceurs, de fournisseurs et de partenaires sont aussi des données protégées par la POPIA.

Formulaire de newsletter sans vrai consentement

Une case précochée ou un texte caché ne comptent pas. La réglementation de 2025 l'a rendu explicite.

Information Officer non enregistré

La loi exige que le délégué soit enregistré sur le portail du Regulator avant de prendre ses fonctions.

Politique sans transfert international

Les données des visiteurs vont vers des serveurs de Google et d'autres partenaires hors du pays. La politique doit le dire.

Demandes sans réponse

Les demandes de correction et de suppression doivent recevoir une réponse sous 30 jours, et le site doit avoir un canal clair pour les recevoir.

Dans ConsentMode

Ce que l'audit vérifie pour la POPIA

  • Ouvre le site comme un visiteur d'Afrique du Sud et enregistre s'il y a une bannière, quels boutons elle propose et ce qui se déclenche avant le choix.
  • Identifie la CMP grâce au code de la page, quand elle existe, et lit les signaux Consent Mode envoyés à Google.
  • Vérifie si la politique de confidentialité mentionne le responsable, les finalités, les partenaires publicitaires, le transfert international, les droits et le contact du délégué.
  • Vérifie les formulaires de newsletter et d'inscription à la recherche de cases précochées et d'un avis sur la finalité.
  • Fournit des captures et un plan de correction priorisé par gravité.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Ai-je besoin d'une bannière de cookies pour les visiteurs d'Afrique du Sud ?

La POPIA n'a pas de règle spécifique sur les bannières. Le site doit informer sur les cookies et avoir une justification pour les utiliser. Pour le suivi publicitaire, demander le consentement est le moyen le plus sûr, et une CMP configurée par région règle la question sans affecter les autres publics.

Google exige-t-il quelque chose pour ce trafic ?

Il n'y a pas d'exigence de CMP certifiée pour l'Afrique du Sud. Les règles générales de Google pour les éditeurs continuent de s'appliquer, comme avoir une politique de confidentialité qui mentionne les cookies et les partenaires publicitaires.

Puis-je envoyer un e-mail à quelqu'un qui a laissé ses coordonnées dans un commentaire ?

Pas pour du marketing. Le contact a été donné pour une autre finalité. Pour envoyer des offres, vous avez besoin d'un consentement ou d'une relation client avec un produit similaire.

Qui peut être l'Information Officer ?

Par défaut, c'est le dirigeant principal de l'entreprise, qui peut désigner des adjoints. L'enregistrement se fait sur le portail de l'Information Regulator.

La POPIA ressemble-t-elle à la LGPD ?

Sur beaucoup de points, oui : bases légales, droits et délégué. Les différences les plus visibles sont la protection des entreprises comme personnes concernées, l'âge de 18 ans pour l'enfant et la règle stricte du marketing électronique.

Y a-t-il vraiment de la prison ?

Oui, pour des infractions précises, comme entraver le Regulator ou ne pas respecter un avis de mise en conformité. Pour la plupart des manquements du quotidien, la voie est l'avis et l'amende administrative.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Découvrez si votre site est prêt pour le public sud-africain

L'audit ouvre le site depuis l'Afrique du Sud et montre ce qu'il faut corriger dans la bannière, les formulaires et la politique, sans rien modifier.

Lancer l'audit