Abrir workspace

Guia · Regulamento sul-africano

POPIA explicada para quem monetiza com anúncios

A POPIA é a lei de proteção de dados da África do Sul. Ela protege pessoas e também empresas, tem regras duras para marketing por e-mail e SMS e prevê multas e até prisão. Veja o que ela pede de um site com visitantes sul-africanos e o que isso muda nos anúncios.

Auditar a privacidade do meu siteLer o guia
  • ✓Baseado no texto da lei e nas publicações do Information Regulator
  • ✓Exemplos de sites com anúncios, inclusive brasileiros
  • ✓Leitura sem alterar o site
R10 mimulta administrativa máxima que o Information Regulator pode aplicar
8condições que todo tratamento de dados precisa cumprir para ser lícito
18anos: abaixo dessa idade a pessoa é tratada como criança pela lei
2021ano em que terminou o prazo de adaptação, em 30 de junho

O que é

Uma lei que protege pessoas e empresas

A Protection of Personal Information Act, ou POPIA, é a Lei 4 de 2013 da África do Sul. A maior parte dela passou a valer em 1º de julho de 2020, com um ano de adaptação que terminou em 30 de junho de 2021. Quem fiscaliza é o Information Regulator, um órgão independente que também cuida da lei de acesso à informação do país.

A lei usa nomes próprios. Quem decide por que e como os dados são usados é a parte responsável, o equivalente ao controlador do GDPR. Quem trata os dados em nome dela é o operador. A pessoa a quem os dados se referem é o titular, e aqui está uma diferença importante: na POPIA, empresas e outras pessoas jurídicas também são titulares protegidos.

Informação pessoal é tudo o que identifica alguém, como nome, e-mail, telefone, localização, identificadores online e opiniões. Existe ainda a informação pessoal especial, que inclui religião, origem racial, saúde, vida sexual, opinião política, biometria e antecedentes criminais. Dados de crianças, que na lei são menores de 18 anos, têm proteção própria.

A lei vale para a parte responsável estabelecida na África do Sul e para a de fora que usa meios no país para tratar dados. Se isso alcança um site estrangeiro que apenas recebe visitantes sul-africanos é uma questão de interpretação. O caminho prudente para quem tem esse público é seguir as regras básicas de transparência, segurança e marketing.

Checklist

O que você precisa cumprir

O que a POPIA e o Information Regulator pedem de um site com anúncios que recebe visitantes da África do Sul.

  1. Avise na coleta

    Diga o que coleta, quem é o responsável e o endereço, a finalidade, se fornecer é voluntário, se os dados vão para outro país e quais os direitos, inclusive reclamar ao Regulador. O Google também exige que a política diga que terceiros, como o Google, usam cookies para mostrar anúncios.

    Exemplo

    Coletamos seu e-mail para enviar alertas de vagas. O envio é voluntário. Você pode pedir acesso, correção ou exclusão e reclamar ao Information Regulator.

  2. Registre o Information Officer

    Numa empresa, o Information Officer é por padrão o principal executivo. Ele só pode assumir a função depois de registrado no portal do Information Regulator.

  3. Marketing eletrônico com consentimento

    E-mail, SMS e mensagens de marketing só podem ir para quem consentiu ou para clientes, sobre produtos parecidos. O pedido de consentimento pode ser feito uma única vez e só se a pessoa não recusou antes.

  4. Saída em cada mensagem

    Cada mensagem de marketing precisa identificar o remetente e trazer um contato para pedir o fim dos envios.

    Exemplo

    Você recebe este e-mail da Empresa Exemplo. Para não receber mais, clique em Cancelar inscrição.

  5. Respeite a oposição

    A pessoa pode se opor ao uso baseado em interesse legítimo e, a qualquer momento, ao marketing direto. Depois da oposição, o uso daqueles dados precisa parar.

  6. Dados especiais só com consentimento

    Religião, origem racial, saúde, vida sexual, opinião política e biometria são proibidos em regra. O consentimento da pessoa é uma das exceções, e o Google não aceita anúncios personalizados baseados nesses dados.

  7. Crianças com consentimento prévio

    Dados de crianças só podem ser tratados com o consentimento prévio de uma pessoa competente, como pai, mãe ou responsável, salvo nas exceções da lei.

  8. Avise sobre acesso indevido

    Se houver motivo para crer que alguém sem autorização acessou dados pessoais, avise o Regulador e, em regra, as pessoas afetadas, assim que for razoavelmente possível.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem tem mensagem própria para a África do Sul, então os links abaixo são do Google e do Information Regulator.

O coração da lei

As 8 condições para tratar dados

A POPIA organiza tudo em oito condições. Se uma delas falha, o tratamento deixa de ser lícito.

Responsabilidade e qualidade

A parte responsável responde pelo cumprimento de todas as condições e precisa manter os dados completos, corretos e atualizados.

Limite e finalidade

Colete só o necessário, com uma justificativa válida, e para uma finalidade específica e explícita, guardando os dados só pelo tempo preciso.

Uso posterior e transparência

Um novo uso precisa ser compatível com o original. E a pessoa precisa saber, no momento da coleta, quem coleta, para quê e quais são os direitos dela.

Segurança e participação

Proteja os dados com medidas técnicas e organizacionais e permita que a pessoa acesse, corrija e peça a exclusão das informações.

Bases legais, cookies e marketing

Quando o site pode usar os dados

A POPIA aceita seis justificativas para tratar dados: consentimento, execução de contrato, obrigação legal, proteção de um interesse legítimo do titular, cumprimento de dever público e interesse legítimo da parte responsável ou de um terceiro. O titular pode se opor ao tratamento baseado em interesse legítimo, e desde 2025 essa oposição é gratuita e pode ser feita por vários canais.

A lei não tem uma regra específica sobre cookies, como o PECR britânico. Mas cookies e identificadores que permitem reconhecer um visitante são informação pessoal, e por isso o site precisa de uma justificativa e precisa avisar. Para rastreamento de anúncios, o consentimento é a base mais segura e a mais fácil de demonstrar.

O ponto mais rígido da lei é o marketing direto por meios eletrônicos, como e-mail, SMS e ligações automáticas. Ele só é permitido com consentimento ou para clientes que já compraram algo, desde que a oferta seja de produtos parecidos e que a pessoa tenha recebido, na coleta e em cada mensagem, um jeito simples e gratuito de recusar.

O site pode pedir esse consentimento uma única vez, e só se a pessoa não o tiver recusado antes. As regras atualizadas em abril de 2025 dizem que o consentimento pode ser obtido por qualquer meio acessível, mas não pode ser presumido pelo silêncio nem por caixa pré-marcada. Toda mensagem precisa identificar o remetente e trazer um contato para pedir a interrupção.

Direitos das pessoas

O que o titular pode pedir

Valem para pessoas e também para empresas cujos dados o site trata.

Ser avisado

Saber que os dados estão sendo coletados e ser informado se houve acesso indevido a eles.

Acessar

Perguntar se o site guarda dados sobre ela e receber uma descrição do que existe e de quem teve acesso.

Corrigir e apagar

Pedir a correção ou a exclusão de dados errados, excessivos ou obtidos de forma irregular. Desde 2025, o pedido é gratuito e a resposta deve vir em até 30 dias.

Se opor

Recusar o tratamento baseado em interesse legítimo e, a qualquer momento, o uso dos dados para marketing direto.

Não depender só de máquina

Não ser alvo de decisões com efeito importante tomadas apenas por sistemas automatizados, salvo nas exceções da lei.

Reclamar e processar

Apresentar queixa ao Information Regulator e entrar na Justiça para pedir reparação.

Obrigações

O que um site com visitantes sul-africanos precisa fazer

  1. Avisar na coletaA política de privacidade e os formulários precisam dizer quem coleta, para quê, se o fornecimento é obrigatório, com quem os dados são compartilhados, se vão para outro país e quais são os direitos do titular, incluindo o de reclamar ao Regulador.
  2. Ter um Information OfficerToda parte responsável tem um encarregado, que por padrão é o principal executivo. Ele precisa ser registrado no portal do Information Regulator antes de assumir a função.
  3. Pedir consentimento onde ele é a basePara cookies de anúncios e listas de e-mail, registre o consentimento com data, origem e texto mostrado. Nada de caixa pré-marcada.
  4. Proteger os dadosAdote medidas de segurança adequadas e tenha contrato com operadores, como hospedagem e ferramentas de e-mail, exigindo o mesmo cuidado.
  5. Notificar incidentesSe houver acesso indevido a dados pessoais, avise o Regulador e os afetados o quanto antes, com informação suficiente para que se protejam.
  6. Cuidar das transferênciasEnviar dados para fora do país exige que o destino ofereça proteção adequada, que haja contrato com garantias ou consentimento do titular, entre outras hipóteses da lei.

Fiscalização e multas

O que acontece quando a lei é descumprida

O Regulador recebe queixas, investiga e emite notificações de cumprimento. Ignorar uma notificação é o caminho mais rápido para a multa.

Multa administrativa

O Regulador pode aplicar multa de até 10 milhões de rands por meio de uma notificação de infração. Desde 2025, é possível negociar o pagamento em parcelas.

Crimes com prisão

Obstruir o Regulador ou descumprir uma notificação de cumprimento pode levar a até 10 anos de prisão, multa ou ambos. Outras infrações têm pena de até 12 meses.

Primeira multa

Em julho de 2023, o Regulador aplicou a primeira multa da lei: 5 milhões de rands ao Departamento de Justiça, por não cumprir uma notificação ligada a falhas de segurança.

Ações na Justiça

O titular, ou o Regulador em nome dele, pode pedir indenização por danos causados por tratamento irregular.

Linha do tempo

Da aprovação à fiscalização

A POPIA levou anos para sair do papel. Estas são as datas principais.

  1. 2013

    Lei aprovada

    A POPIA é sancionada como Lei 4 de 2013, mas quase todo o texto fica aguardando data de início.

  2. 11 de abril de 2014

    Base para o Regulador

    Entram em vigor as definições e as regras que criam o Information Regulator.

  3. 1º de julho de 2020

    A lei começa a valer

    As obrigações principais entram em vigor, com 12 meses para as empresas se adaptarem.

  4. 30 de junho de 2021

    Fim da adaptação

    Termina o prazo de transição e a lei passa a ser cobrada por inteiro.

  5. Julho de 2023

    Primeira multa

    O Regulador multa o Departamento de Justiça em 5 milhões de rands.

  6. 17 de abril de 2025

    Regulamento atualizado

    Novas regras para oposição gratuita, pedidos de correção, consentimento para marketing direto e reclamações passam a valer imediatamente.

Para quem tem AdSense ou Ad Manager

O que muda na prática para a receita

O Google não exige CMP certificada nem IAB TCF para a África do Sul. Essa exigência vale para o Espaço Econômico Europeu, o Reino Unido e a Suíça. Por isso, o tráfego sul-africano continua recebendo anúncios personalizados sem a mensagem do TCF.

Isso não tira do site as obrigações da POPIA. A política de privacidade precisa citar o uso de cookies e os parceiros de anúncios, e o visitante precisa ter como se opor e como exercer os direitos dele. Se o site quiser pedir consentimento para cookies de anúncios no país, a CMP pode fazer isso por região, e o Consent Mode repassa a escolha às tags do Google.

Imagine um site brasileiro de vagas de emprego em inglês que recebe visitantes de Joanesburgo e da Cidade do Cabo e oferece alertas de vagas por e-mail. O banner de cookies pode ser simples, mas o formulário de alertas precisa de consentimento claro, sem caixa marcada, e cada e-mail precisa ter um link para cancelar.

Como a POPIA protege também empresas, um site que capta contatos corporativos, por exemplo para anunciantes, precisa tratar esses dados com o mesmo cuidado que trata dados de pessoas.

Na prática

O que pode e o que não pode com a POPIA

Exemplos do dia a dia de sites de conteúdo, vagas e finanças com público sul-africano.

Pode

  • Exibir anúncios personalizados do Google sem a mensagem do TCF para visitantes da África do Sul
  • Mandar newsletter para quem se cadastrou e marcou a caixa por conta própria
  • Enviar ofertas parecidas a quem já comprou de você, com opção de sair em cada mensagem
  • Pedir consentimento para marketing uma única vez a quem nunca recusou
  • Atender pedidos de exclusão e de oposição por e-mail, WhatsApp ou formulário, sem cobrar

Não pode

  • Cadastrar visitantes em listas de e-mail com caixa já marcada
  • Insistir no pedido de consentimento depois que a pessoa recusou
  • Comprar listas de e-mails ou celulares e disparar ofertas
  • Enviar marketing sem identificar o remetente e sem link para cancelar
  • Coletar dados de menores de 18 anos sem o consentimento de um responsável

Erros comuns

Onde os sites mais escorregam

Falhas frequentes em sites que recebem público da África do Sul.

Achar que, sem exigência do Google, não há regra

A falta de CMP obrigatória no país não dispensa a política de privacidade, o direito de oposição nem as regras de marketing.

Esquecer que empresas também são titulares

Contatos de anunciantes, fornecedores e parceiros também são dados protegidos pela POPIA.

Formulário de newsletter sem consentimento real

Caixa pré-marcada ou texto escondido não valem. O regulamento de 2025 deixou isso explícito.

Information Officer não registrado

A lei exige que o encarregado seja registrado no portal do Regulador antes de assumir a função.

Política sem transferência internacional

Dados de visitantes vão para servidores do Google e de outros parceiros fora do país. A política precisa dizer isso.

Pedidos sem resposta

Pedidos de correção e exclusão precisam ser respondidos em até 30 dias, e o site precisa ter um canal claro para recebê-los.

No ConsentMode

O que a auditoria confere para a POPIA

  • Abre o site como visitante da África do Sul e registra se há banner, quais botões ele oferece e o que dispara antes da escolha.
  • Identifica a CMP pelo código da página, quando existe, e lê os sinais do Consent Mode enviados ao Google.
  • Confere se a política de privacidade traz responsável, finalidades, parceiros de anúncios, transferência internacional, direitos e contato do encarregado.
  • Verifica formulários de newsletter e cadastro em busca de caixas pré-marcadas e de aviso de finalidade.
  • Entrega prints e um plano de correção com prioridade por gravidade.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Preciso de banner de cookies para visitantes da África do Sul?

A POPIA não tem uma regra específica de banner. O site precisa avisar sobre os cookies e ter uma justificativa para usá-los. Para rastreamento de anúncios, pedir consentimento é o jeito mais seguro, e uma CMP configurada por região resolve sem afetar outros públicos.

O Google exige alguma coisa para esse tráfego?

Não há exigência de CMP certificada para a África do Sul. As políticas gerais do Google para editores continuam valendo, como ter uma política de privacidade que mencione os cookies e os parceiros de anúncios.

Posso mandar e-mail para quem deixou contato num comentário?

Não para marketing. O contato foi dado para outra finalidade. Para enviar ofertas, você precisa de consentimento ou de uma relação de cliente com produto parecido.

Quem pode ser o Information Officer?

Por padrão é o principal executivo da empresa, que pode designar adjuntos. O registro é feito no portal do Information Regulator.

A POPIA é parecida com a LGPD?

Em muitos pontos, sim: bases legais, direitos e encarregado. As diferenças mais visíveis são a proteção de empresas como titulares, a idade de 18 anos para criança e a regra rígida de marketing eletrônico.

Existe prisão mesmo?

Sim, para crimes específicos, como obstruir o Regulador ou descumprir uma notificação de cumprimento. Para a maioria das falhas do dia a dia, o caminho é a notificação e a multa administrativa.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Descubra se o seu site está pronto para o público sul-africano

A auditoria abre o site a partir da África do Sul e mostra o que corrigir em banner, formulários e política, sem alterar nada.

Começar a auditoria