जवाबदेही और गुणवत्ता
जिम्मेदार पक्ष सभी शर्तों के पालन के लिए जवाबदेह है और उसे डेटा पूरा, सही और अप-टू-डेट रखना होता है।
गाइड · दक्षिण अफ्रीका का नियम
POPIA दक्षिण अफ्रीका का डेटा सुरक्षा कानून है। यह लोगों की और कंपनियों की भी रक्षा करता है, ईमेल और SMS मार्केटिंग के लिए कड़े नियम रखता है और जुर्माने व जेल तक का प्रावधान करता है। देखें कि यह दक्षिण अफ्रीकी विज़िटर वाली साइट से क्या मांगता है और विज्ञापनों में क्या बदलता है।
यह क्या है
Protection of Personal Information Act, यानी POPIA, दक्षिण अफ्रीका का 2013 का अधिनियम 4 है। इसका ज्यादातर हिस्सा 1 जुलाई 2020 से लागू हुआ, और अनुकूलन का एक साल 30 जून 2021 को खत्म हुआ। निगरानी Information Regulator करता है, जो एक स्वतंत्र संस्था है और देश के सूचना तक पहुंच के कानून को भी देखती है।
कानून अपने अलग शब्द इस्तेमाल करता है। डेटा का उपयोग क्यों और कैसे हो, यह तय करने वाला जिम्मेदार पक्ष है, यानी GDPR के कंट्रोलर के बराबर। उसकी ओर से डेटा प्रोसेस करने वाला ऑपरेटर है। जिस व्यक्ति का डेटा है वह डेटा सब्जेक्ट है, और यहां एक अहम फर्क है: POPIA में कंपनियां और दूसरे कानूनी व्यक्ति भी संरक्षित डेटा सब्जेक्ट हैं।
निजी जानकारी वह सब है जो किसी की पहचान कराए, जैसे नाम, ईमेल, फोन, लोकेशन, ऑनलाइन आईडी और राय। विशेष निजी जानकारी भी है, जिसमें धर्म, नस्लीय मूल, स्वास्थ्य, यौन जीवन, राजनीतिक राय, बायोमेट्रिक और आपराधिक पृष्ठभूमि शामिल हैं। बच्चों का डेटा, जो कानून में 18 साल से कम के हैं, अपनी सुरक्षा रखता है।
कानून दक्षिण अफ्रीका में स्थापित जिम्मेदार पक्ष पर लागू होता है और बाहर के उस पक्ष पर भी जो देश में साधनों से डेटा प्रोसेस करे। क्या यह किसी विदेशी साइट तक पहुंचता है जो बस दक्षिण अफ्रीकी विज़िटर पाती है, यह व्याख्या का सवाल है। जिन्हें यह ऑडियंस मिलती है उनके लिए समझदारी भरा रास्ता पारदर्शिता, सुरक्षा और मार्केटिंग के बुनियादी नियम मानना है।
चेकलिस्ट
POPIA और Information Regulator उस विज्ञापन वाली साइट से क्या माँगते हैं जिस पर दक्षिण अफ़्रीका के विज़िटर आते हैं।
बताएँ कि आप क्या इकट्ठा करते हैं, ज़िम्मेदार कौन है और उसका पता, उद्देश्य, डेटा देना स्वैच्छिक है या नहीं, डेटा दूसरे देश जाता है या नहीं, और अधिकार क्या हैं, नियामक से शिकायत करना भी। Google यह भी माँगता है कि नीति में लिखा हो कि Google जैसे तीसरे पक्ष विज्ञापन दिखाने के लिए कुकीज़ का उपयोग करते हैं।
हम नौकरी की अलर्ट भेजने के लिए आपका ईमेल इकट्ठा करते हैं। इसे देना स्वैच्छिक है। आप एक्सेस, सुधार या हटाने का अनुरोध कर सकते हैं और Information Regulator से शिकायत कर सकते हैं।
किसी कंपनी में Information Officer डिफ़ॉल्ट रूप से मुख्य कार्यकारी होता है। वह Information Regulator के पोर्टल पर पंजीकृत होने के बाद ही यह भूमिका संभाल सकता है।
ईमेल, SMS और मार्केटिंग संदेश केवल उन्हें भेजे जा सकते हैं जिन्होंने सहमति दी है, या ग्राहकों को, मिलते-जुलते उत्पादों के बारे में। सहमति का अनुरोध सिर्फ़ एक बार किया जा सकता है और तभी जब व्यक्ति ने पहले इनकार न किया हो।
हर मार्केटिंग संदेश में भेजने वाले की पहचान होनी चाहिए और भेजना बंद करने का अनुरोध करने के लिए एक संपर्क होना चाहिए।
आपको यह ईमेल Empresa Exemplo से मिल रहा है। और न पाने के लिए सदस्यता रद्द करें पर क्लिक करें।
व्यक्ति वैध हित पर आधारित उपयोग पर आपत्ति कर सकता है और किसी भी समय डायरेक्ट मार्केटिंग पर भी। आपत्ति के बाद उस डेटा का उपयोग रुक जाना चाहिए।
धर्म, नस्लीय मूल, स्वास्थ्य, यौन जीवन, राजनीतिक राय और बायोमेट्रिक्स आम तौर पर निषिद्ध हैं। व्यक्ति की सहमति अपवादों में से एक है, और Google इन डेटा पर आधारित वैयक्तिकृत विज्ञापन स्वीकार नहीं करता।
बच्चों का डेटा केवल किसी सक्षम व्यक्ति, जैसे माता, पिता या अभिभावक, की पूर्व सहमति से प्रोसेस हो सकता है, सिवाय कानून के अपवादों के।
अगर यह मानने का कारण हो कि किसी अनधिकृत व्यक्ति ने व्यक्तिगत डेटा एक्सेस किया है, तो जैसे ही उचित रूप से संभव हो, नियामक को और आम तौर पर प्रभावित लोगों को सूचित करें।
असल में
आधिकारिक टूल
Google दक्षिण अफ़्रीका के लिए प्रमाणित CMP नहीं माँगता और उसका अपना कोई संदेश भी नहीं है, इसलिए नीचे के लिंक Google और Information Regulator के हैं।
कानून का दिल
POPIA सब कुछ आठ शर्तों में बांटता है। अगर उनमें से एक भी टूटे, तो प्रोसेसिंग वैध नहीं रहती।
जिम्मेदार पक्ष सभी शर्तों के पालन के लिए जवाबदेह है और उसे डेटा पूरा, सही और अप-टू-डेट रखना होता है।
सिर्फ जरूरी इकट्ठा करें, वैध कारण से और खास, साफ उद्देश्य के लिए, और डेटा उतने ही समय रखें जितना जरूरी हो।
नया उपयोग मूल उपयोग के अनुकूल होना चाहिए। और व्यक्ति को संग्रह के समय पता होना चाहिए कि कौन इकट्ठा कर रहा है, किसलिए और उसके अधिकार क्या हैं।
तकनीकी और संगठनात्मक उपायों से डेटा की रक्षा करें और व्यक्ति को जानकारी देखने, सुधारने और मिटाने की मांग करने दें।
कानूनी आधार, cookies और मार्केटिंग
POPIA डेटा प्रोसेस करने के छह औचित्य मानता है: सहमति, अनुबंध का निष्पादन, कानूनी बाध्यता, डेटा सब्जेक्ट के वैध हित की रक्षा, सार्वजनिक कर्तव्य का पालन और जिम्मेदार पक्ष या तीसरे पक्ष का वैध हित। डेटा सब्जेक्ट वैध हित पर आधारित प्रोसेसिंग पर आपत्ति कर सकता है, और 2025 से यह आपत्ति मुफ्त है और कई चैनलों से की जा सकती है।
कानून में cookies पर कोई खास नियम नहीं है, जैसा ब्रिटेन के PECR में है। लेकिन cookies और ऐसे आइडेंटिफ़ायर जो विज़िटर को पहचानने देते हैं, निजी जानकारी हैं, इसलिए साइट को औचित्य चाहिए और सूचना देनी होगी। विज्ञापन ट्रैकिंग के लिए सहमति सबसे सुरक्षित आधार है और उसे साबित करना सबसे आसान है।
कानून का सबसे कड़ा बिंदु इलेक्ट्रॉनिक साधनों, जैसे ईमेल, SMS और ऑटोमैटिक कॉल, से डायरेक्ट मार्केटिंग है। यह सिर्फ सहमति से या उन ग्राहकों के लिए मान्य है जिन्होंने पहले कुछ खरीदा हो, बशर्ते ऑफर मिलते-जुलते प्रोडक्ट का हो और व्यक्ति को संग्रह के समय और हर संदेश में मना करने का आसान, मुफ्त तरीका मिला हो।
साइट यह सहमति सिर्फ एक बार मांग सकती है, और तभी जब व्यक्ति ने पहले मना न किया हो। अप्रैल 2025 में अपडेट हुए नियम कहते हैं कि सहमति किसी भी सुलभ माध्यम से ली जा सकती है, लेकिन चुप्पी या पहले से चेक किए बॉक्स से मानी नहीं जा सकती। हर संदेश में भेजने वाले की पहचान और रोकने के लिए संपर्क होना चाहिए।
लोगों के अधिकार
ये व्यक्तियों पर और उन कंपनियों पर भी लागू होते हैं जिनका डेटा साइट प्रोसेस करती है।
जानना कि डेटा इकट्ठा हो रहा है और बताया जाना कि उस तक अनुचित पहुंच हुई या नहीं।
पूछना कि साइट उसके बारे में डेटा रखती है या नहीं और पाना कि क्या है और किसे पहुंच मिली।
गलत, जरूरत से ज्यादा या गलत तरीके से मिले डेटा के सुधार या मिटाने की मांग करना। 2025 से अनुरोध मुफ्त है और जवाब 30 दिन के भीतर आना चाहिए।
वैध हित पर आधारित प्रोसेसिंग से, और किसी भी समय डायरेक्ट मार्केटिंग के लिए डेटा के उपयोग से, इनकार करना।
सिर्फ स्वचालित सिस्टम से लिए गए महत्वपूर्ण असर वाले फैसलों का निशाना न बनना, कानून के अपवादों को छोड़कर।
Information Regulator में शिकायत दर्ज करना और मुआवजे के लिए अदालत जाना।
ज़िम्मेदारियां
निगरानी और जुर्माने
रेगुलेटर शिकायतें लेता है, जांच करता है और अनुपालन के नोटिस जारी करता है। नोटिस को अनदेखा करना जुर्माने का सबसे तेज रास्ता है।
रेगुलेटर उल्लंघन के नोटिस के जरिए 10 मिलियन रैंड तक का जुर्माना लगा सकता है। 2025 से किस्तों में भुगतान पर बातचीत संभव है।
रेगुलेटर के काम में बाधा डालना या अनुपालन के नोटिस का पालन न करना 10 साल तक की जेल, जुर्माना या दोनों ला सकता है। दूसरे उल्लंघनों में 12 महीने तक की सजा है।
जुलाई 2023 में रेगुलेटर ने कानून का पहला जुर्माना लगाया: न्याय विभाग पर 5 मिलियन रैंड, सुरक्षा खामियों से जुड़े अनुपालन के नोटिस का पालन न करने के लिए।
डेटा सब्जेक्ट, या उसकी ओर से रेगुलेटर, गलत प्रोसेसिंग से हुए नुकसान का हर्जाना मांग सकता है।
टाइमलाइन
POPIA को कागज से जमीन पर आने में सालों लगे। ये मुख्य तारीखें हैं।
POPIA पर 2013 के अधिनियम 4 के रूप में हस्ताक्षर हुए, लेकिन लगभग पूरा पाठ शुरुआत की तारीख का इंतजार करता रहा।
वे परिभाषाएं और नियम लागू होते हैं जो Information Regulator बनाते हैं।
मुख्य जिम्मेदारियां लागू होती हैं, कंपनियों को अनुकूलन के लिए 12 महीने मिलते हैं।
संक्रमण की अवधि खत्म होती है और कानून पूरी तरह लागू किया जाने लगता है।
रेगुलेटर न्याय विभाग पर 5 मिलियन रैंड का जुर्माना लगाता है।
मुफ्त आपत्ति, सुधार के अनुरोध, डायरेक्ट मार्केटिंग की सहमति और शिकायतों के नए नियम तुरंत लागू होते हैं।
AdSense या Ad Manager वालों के लिए
Google दक्षिण अफ्रीका के लिए प्रमाणित CMP या IAB TCF की मांग नहीं करता। यह शर्त यूरोपीय आर्थिक क्षेत्र, यूनाइटेड किंगडम और स्विट्ज़रलैंड पर लागू है। इसलिए दक्षिण अफ्रीका का ट्रैफ़िक TCF संदेश के बिना भी पर्सनलाइज्ड विज्ञापन पाता रहता है।
इससे साइट की POPIA की जिम्मेदारियां नहीं हटतीं। प्राइवेसी पॉलिसी में cookies के उपयोग और विज्ञापन पार्टनरों का जिक्र होना चाहिए, और विज़िटर के पास आपत्ति करने और अपने अधिकार इस्तेमाल करने का तरीका होना चाहिए। अगर साइट देश में विज्ञापन cookies के लिए सहमति मांगना चाहे, तो CMP यह क्षेत्र के अनुसार कर सकता है, और Consent Mode चुनाव को Google के टैग तक पहुंचा देता है।
सोचिए अंग्रेजी में नौकरियों की एक ब्राज़ीलियन साइट, जिसके विज़िटर जोहान्सबर्ग और केप टाउन से आते हैं और जो ईमेल से नौकरी के अलर्ट देती है। cookies का बैनर सादा हो सकता है, लेकिन अलर्ट के फॉर्म को साफ सहमति चाहिए, बिना चेक किए बॉक्स के, और हर ईमेल में सदस्यता रद्द करने का लिंक चाहिए।
क्योंकि POPIA कंपनियों की भी रक्षा करता है, कॉर्पोरेट संपर्क इकट्ठा करने वाली साइट, जैसे विज्ञापनदाताओं के लिए, को उस डेटा के साथ वही सावधानी बरतनी चाहिए जो लोगों के डेटा के साथ बरतती है।
असल में
दक्षिण अफ्रीका की ऑडियंस वाली कंटेंट, नौकरी और वित्त साइटों के रोजमर्रा के उदाहरण।
आम गलतियां
दक्षिण अफ्रीका की ऑडियंस पाने वाली साइटों की आम गलतियां।
देश में CMP अनिवार्य न होने से प्राइवेसी पॉलिसी, आपत्ति के अधिकार और मार्केटिंग के नियमों से छूट नहीं मिलती।
विज्ञापनदाताओं, सप्लायरों और पार्टनरों के संपर्क भी POPIA से संरक्षित डेटा हैं।
पहले से चेक किया बॉक्स या छिपा टेक्स्ट मान्य नहीं। 2025 के नियम ने इसे साफ कर दिया।
कानून मांगता है कि अधिकारी पद संभालने से पहले रेगुलेटर के पोर्टल पर पंजीकृत हो।
विज़िटर का डेटा देश के बाहर Google और दूसरे पार्टनरों के सर्वर पर जाता है। पॉलिसी में यह लिखा होना चाहिए।
सुधार और मिटाने के अनुरोधों का जवाब 30 दिन में देना चाहिए, और साइट के पास उन्हें लेने का साफ चैनल होना चाहिए।
ConsentMode में
POPIA में बैनर का कोई खास नियम नहीं है। साइट को cookies के बारे में सूचित करना होगा और उन्हें इस्तेमाल करने का औचित्य रखना होगा। विज्ञापन ट्रैकिंग के लिए सहमति मांगना सबसे सुरक्षित है, और क्षेत्र के अनुसार सेट किया CMP बाकी ऑडियंस को प्रभावित किए बिना यह हल कर देता है।
दक्षिण अफ्रीका के लिए प्रमाणित CMP की शर्त नहीं है। Google की पब्लिशर्स के लिए सामान्य नीतियां लागू रहती हैं, जैसे ऐसी प्राइवेसी पॉलिसी रखना जिसमें cookies और विज्ञापन पार्टनरों का जिक्र हो।
मार्केटिंग के लिए नहीं। संपर्क किसी और उद्देश्य से दिया गया था। ऑफर भेजने के लिए आपको सहमति चाहिए या मिलते-जुलते प्रोडक्ट के साथ ग्राहक का रिश्ता।
डिफ़ॉल्ट रूप से कंपनी का मुख्य कार्यकारी, जो डिप्टी नियुक्त कर सकता है। पंजीकरण Information Regulator के पोर्टल पर होता है।
कई बिंदुओं पर हां: कानूनी आधार, अधिकार और अधिकारी। सबसे दिखने वाले फर्क हैं कंपनियों का डेटा सब्जेक्ट के रूप में संरक्षण, बच्चे के लिए 18 साल की उम्र और इलेक्ट्रॉनिक मार्केटिंग का कड़ा नियम।
हां, खास अपराधों के लिए, जैसे रेगुलेटर के काम में बाधा डालना या अनुपालन के नोटिस का पालन न करना। रोजमर्रा की ज्यादातर चूकों में रास्ता नोटिस और प्रशासनिक जुर्माने का है।
लाइब्रेरी
यह गाइड इन आधिकारिक पेजों से लिखी गई है। सीधे स्रोत पर पढ़ें:
ऑडिट साइट को दक्षिण अफ्रीका से खोलता है और बिना कुछ बदले दिखाता है कि बैनर, फॉर्म और पॉलिसी में क्या ठीक करें।