Apri lo spazio

Guida · Normativa sudafricana

POPIA spiegata a chi monetizza con gli annunci

La POPIA è la legge sulla protezione dei dati del Sudafrica. Protegge le persone e anche le aziende, ha regole severe per il marketing via e-mail e SMS e prevede sanzioni e persino il carcere. Scopri cosa richiede a un sito con visitatori sudafricani e cosa cambia per gli annunci.

Controlla la privacy del mio sitoLeggi la guida
  • ✓Basato sul testo della legge e sulle pubblicazioni dell'Information Regulator
  • ✓Esempi di siti con annunci, anche brasiliani
  • ✓Lettura senza modificare il sito
R10 mlnsanzione amministrativa massima che l'Information Regulator può applicare
8condizioni che ogni trattamento di dati deve rispettare per essere lecito
18anni: sotto questa età la persona è trattata come minore dalla legge
2021anno in cui è terminato il periodo di adeguamento, il 30 giugno

Che cos'è

Una legge che protegge persone e aziende

La Protection of Personal Information Act, o POPIA, è la legge 4 del 2013 del Sudafrica. La maggior parte è entrata in vigore il 1° luglio 2020, con un anno di adeguamento terminato il 30 giugno 2021. L'autorità di controllo è l'Information Regulator, un ente indipendente che si occupa anche della legge sull'accesso alle informazioni del paese.

La legge usa termini propri. Chi decide perché e come i dati vengono usati è la parte responsabile, l'equivalente del titolare del trattamento del GDPR. Chi tratta i dati per suo conto è l'operatore. La persona a cui i dati si riferiscono è l'interessato, e qui c'è una differenza importante: nella POPIA anche le aziende e le altre persone giuridiche sono interessati protetti.

Le informazioni personali sono tutto ciò che identifica qualcuno, come nome, e-mail, telefono, posizione, identificatori online e opinioni. Esistono poi le informazioni personali speciali, che comprendono religione, origine razziale, salute, vita sessuale, opinioni politiche, dati biometrici e precedenti penali. I dati dei minori, che per la legge sono le persone sotto i 18 anni, hanno una protezione propria.

La legge vale per la parte responsabile stabilita in Sudafrica e per quella estera che usa mezzi nel paese per trattare dati. Se questo riguardi un sito straniero che si limita a ricevere visitatori sudafricani è una questione di interpretazione. La strada prudente per chi ha questo pubblico è seguire le regole di base su trasparenza, sicurezza e marketing.

Checklist

Cosa devi rispettare

Cosa richiedono la POPIA e l'Information Regulator a un sito con annunci che riceve visitatori dal Sudafrica.

  1. Avvisa alla raccolta

    Di' cosa raccogli, chi è il responsabile e il suo indirizzo, la finalità, se fornire i dati è volontario, se i dati vanno in un altro paese e quali sono i diritti, compreso il reclamo al Regolatore. Google richiede anche che l'informativa dica che terzi, come Google, usano i cookie per mostrare annunci.

    Esempio

    Raccogliamo la tua e-mail per inviarti avvisi di lavoro. Fornirla è volontario. Puoi chiedere accesso, rettifica o eliminazione e presentare reclamo all'Information Regulator.

  2. Registra l'Information Officer

    In un'azienda, l'Information Officer è per impostazione predefinita il dirigente principale. Può assumere il ruolo solo dopo essere stato registrato nel portale dell'Information Regulator.

  3. Marketing elettronico con consenso

    E-mail, SMS e messaggi di marketing possono andare solo a chi ha dato il consenso o ai clienti, su prodotti simili. La richiesta di consenso può essere fatta una sola volta e solo se la persona non ha rifiutato prima.

  4. Disiscrizione in ogni messaggio

    Ogni messaggio di marketing deve identificare il mittente e riportare un contatto per chiedere la fine degli invii.

    Esempio

    Ricevi questa e-mail da Empresa Exemplo. Per non riceverne più, clicca su Annulla l'iscrizione.

  5. Rispetta l'opposizione

    La persona può opporsi all'uso basato sul legittimo interesse e, in qualsiasi momento, al marketing diretto. Dopo l'opposizione, l'uso di quei dati deve cessare.

  6. Dati particolari solo con il consenso

    Religione, origine razziale, salute, vita sessuale, opinione politica e biometria sono vietati di regola. Il consenso della persona è una delle eccezioni, e Google non accetta annunci personalizzati basati su questi dati.

  7. Bambini con consenso preventivo

    I dati dei bambini possono essere trattati solo con il consenso preventivo di una persona competente, come padre, madre o tutore, salvo le eccezioni della legge.

  8. Avvisa degli accessi non autorizzati

    Se ci sono motivi per credere che qualcuno senza autorizzazione abbia avuto accesso a dati personali, avvisa il Regolatore e, di regola, le persone coinvolte, appena ragionevolmente possibile.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né ha un messaggio dedicato per il Sudafrica, quindi i link qui sotto sono di Google e dell'Information Regulator.

Il cuore della legge

Le 8 condizioni per trattare i dati

La POPIA organizza tutto in otto condizioni. Se una di esse non è rispettata, il trattamento non è più lecito.

Responsabilità e qualità

La parte responsabile risponde del rispetto di tutte le condizioni e deve mantenere i dati completi, corretti e aggiornati.

Limiti e finalità

Raccogli solo il necessario, con una giustificazione valida e per una finalità specifica ed esplicita, conservando i dati solo per il tempo necessario.

Ulteriore utilizzo e trasparenza

Un nuovo utilizzo deve essere compatibile con quello originale. E la persona deve sapere, al momento della raccolta, chi raccoglie, per cosa e quali sono i suoi diritti.

Sicurezza e partecipazione

Proteggi i dati con misure tecniche e organizzative e permetti alla persona di accedere alle informazioni, correggerle e chiederne la cancellazione.

Basi giuridiche, cookie e marketing

Quando il sito può usare i dati

La POPIA accetta sei giustificazioni per trattare i dati: consenso, esecuzione di un contratto, obbligo di legge, tutela di un interesse legittimo dell'interessato, adempimento di un dovere pubblico e interesse legittimo della parte responsabile o di un terzo. L'interessato può opporsi al trattamento basato sull'interesse legittimo e, dal 2025, questa opposizione è gratuita e può essere fatta attraverso più canali.

La legge non ha una regola specifica sui cookie, come il PECR britannico. Ma i cookie e gli identificatori che permettono di riconoscere un visitatore sono informazioni personali, e per questo il sito ha bisogno di una giustificazione e deve informare. Per il tracciamento degli annunci, il consenso è la base più sicura e la più facile da dimostrare.

Il punto più rigido della legge è il marketing diretto con mezzi elettronici, come e-mail, SMS e chiamate automatiche. È consentito solo con il consenso o per clienti che hanno già acquistato qualcosa, purché l'offerta riguardi prodotti simili e la persona abbia ricevuto, alla raccolta e in ogni messaggio, un modo semplice e gratuito di rifiutare.

Il sito può chiedere questo consenso una sola volta, e solo se la persona non lo ha rifiutato prima. Le regole aggiornate ad aprile 2025 dicono che il consenso può essere ottenuto con qualsiasi mezzo accessibile, ma non può essere presunto dal silenzio né da una casella preselezionata. Ogni messaggio deve identificare il mittente e includere un contatto per chiedere l'interruzione.

Diritti delle persone

Cosa può chiedere l'interessato

Valgono per le persone e anche per le aziende i cui dati il sito tratta.

Essere avvisato

Sapere che i dati vengono raccolti ed essere informato se c'è stato un accesso non autorizzato.

Accedere

Chiedere se il sito conserva dati che la riguardano e ricevere una descrizione di ciò che esiste e di chi vi ha avuto accesso.

Correggere e cancellare

Chiedere la correzione o la cancellazione di dati errati, eccessivi o ottenuti in modo irregolare. Dal 2025, la richiesta è gratuita e la risposta deve arrivare entro 30 giorni.

Opporsi

Rifiutare il trattamento basato sull'interesse legittimo e, in qualsiasi momento, l'uso dei dati per il marketing diretto.

Non dipendere solo da una macchina

Non essere oggetto di decisioni con effetti importanti prese solo da sistemi automatizzati, salvo le eccezioni previste dalla legge.

Reclamare e fare causa

Presentare un reclamo all'Information Regulator e rivolgersi al tribunale per chiedere un risarcimento.

Obblighi

Cosa deve fare un sito con visitatori sudafricani

  1. Informare al momento della raccoltaL'informativa sulla privacy e i moduli devono indicare chi raccoglie, per cosa, se il conferimento è obbligatorio, con chi i dati vengono condivisi, se vanno in un altro paese e quali sono i diritti dell'interessato, compreso quello di reclamo all'autorità di controllo.
  2. Avere un Information OfficerOgni parte responsabile ha un incaricato, che per impostazione predefinita è il massimo dirigente. Deve essere registrato sul portale dell'Information Regulator prima di assumere l'incarico.
  3. Chiedere il consenso dove è la basePer i cookie pubblicitari e le liste e-mail, registra il consenso con data, origine e testo mostrato. Niente caselle preselezionate.
  4. Proteggere i datiAdotta misure di sicurezza adeguate e stipula un contratto con gli operatori, come hosting e strumenti e-mail, richiedendo la stessa attenzione.
  5. Notificare gli incidentiSe c'è un accesso non autorizzato a dati personali, avvisa l'autorità di controllo e le persone coinvolte il prima possibile, con informazioni sufficienti perché possano proteggersi.
  6. Curare i trasferimentiInviare dati fuori dal paese richiede che la destinazione offra una protezione adeguata, che ci sia un contratto con garanzie o il consenso dell'interessato, tra le altre ipotesi della legge.

Controlli e sanzioni

Cosa succede quando la legge non viene rispettata

L'autorità di controllo riceve reclami, indaga ed emette avvisi di conformità. Ignorare un avviso è la via più rapida verso la sanzione.

Sanzione amministrativa

L'autorità può applicare una sanzione fino a 10 milioni di rand tramite un avviso di violazione. Dal 2025 è possibile negoziare il pagamento a rate.

Reati con pena detentiva

Ostacolare l'autorità di controllo o non rispettare un avviso di conformità può portare fino a 10 anni di carcere, una multa o entrambi. Altre violazioni hanno una pena fino a 12 mesi.

Prima sanzione

A luglio 2023, l'autorità ha applicato la prima sanzione della legge: 5 milioni di rand al Dipartimento di Giustizia, per non aver rispettato un avviso legato a falle di sicurezza.

Azioni in tribunale

L'interessato, o l'autorità di controllo per suo conto, può chiedere un risarcimento per i danni causati da un trattamento irregolare.

Cronologia

Dall'approvazione ai controlli

La POPIA ha impiegato anni per passare dalla carta alla pratica. Queste sono le date principali.

  1. 2013

    Legge approvata

    La POPIA viene promulgata come legge 4 del 2013, ma quasi tutto il testo resta in attesa di una data di inizio.

  2. 11 aprile 2014

    Base per l'autorità di controllo

    Entrano in vigore le definizioni e le regole che creano l'Information Regulator.

  3. 1° luglio 2020

    La legge inizia a valere

    Entrano in vigore gli obblighi principali, con 12 mesi per l'adeguamento delle aziende.

  4. 30 giugno 2021

    Fine dell'adeguamento

    Termina il periodo di transizione e la legge viene applicata per intero.

  5. Luglio 2023

    Prima sanzione

    L'autorità di controllo sanziona il Dipartimento di Giustizia con 5 milioni di rand.

  6. 17 aprile 2025

    Regolamento aggiornato

    Le nuove regole su opposizione gratuita, richieste di correzione, consenso per il marketing diretto e reclami entrano subito in vigore.

Per chi ha AdSense o Ad Manager

Cosa cambia in pratica per i ricavi

Google non richiede una CMP certificata né l'IAB TCF per il Sudafrica. Questo requisito vale per lo Spazio economico europeo, il Regno Unito e la Svizzera. Per questo, il traffico sudafricano continua a ricevere annunci personalizzati senza il messaggio TCF.

Questo non toglie al sito gli obblighi della POPIA. L'informativa sulla privacy deve citare l'uso dei cookie e i partner pubblicitari, e il visitatore deve avere un modo per opporsi e per esercitare i propri diritti. Se il sito vuole chiedere il consenso per i cookie pubblicitari nel paese, la CMP può farlo per regione, e Consent Mode trasmette la scelta ai tag di Google.

Immagina un sito brasiliano di offerte di lavoro in inglese che riceve visitatori da Johannesburg e Città del Capo e offre avvisi di offerte via e-mail. Il banner dei cookie può essere semplice, ma il modulo per gli avvisi richiede un consenso chiaro, senza casella preselezionata, e ogni e-mail deve avere un link per disiscriversi.

Poiché la POPIA protegge anche le aziende, un sito che raccoglie contatti aziendali, ad esempio per gli inserzionisti, deve trattare questi dati con la stessa cura dei dati delle persone.

In pratica

Cosa è consentito e cosa no con la POPIA

Esempi quotidiani di siti di contenuti, offerte di lavoro e finanza con pubblico sudafricano.

Consentito

  • Mostrare annunci personalizzati di Google senza il messaggio TCF ai visitatori del Sudafrica
  • Inviare la newsletter a chi si è iscritto e ha spuntato la casella di propria iniziativa
  • Inviare offerte simili a chi ha già acquistato da te, con l'opzione di uscire in ogni messaggio
  • Chiedere il consenso per il marketing una sola volta a chi non ha mai rifiutato
  • Rispondere alle richieste di cancellazione e di opposizione via e-mail, WhatsApp o modulo, senza far pagare

Non consentito

  • Iscrivere i visitatori a liste e-mail con la casella già spuntata
  • Insistere nella richiesta di consenso dopo che la persona ha rifiutato
  • Comprare liste di e-mail o numeri di cellulare e inviare offerte in massa
  • Inviare marketing senza identificare il mittente e senza link per disiscriversi
  • Raccogliere dati di minori di 18 anni senza il consenso di un responsabile

Errori comuni

Dove i siti sbagliano di più

Errori frequenti nei siti che ricevono pubblico dal Sudafrica.

Pensare che, senza un obbligo di Google, non ci siano regole

L'assenza di una CMP obbligatoria nel paese non dispensa dall'informativa sulla privacy, dal diritto di opposizione né dalle regole di marketing.

Dimenticare che anche le aziende sono interessati

I contatti di inserzionisti, fornitori e partner sono anch'essi dati protetti dalla POPIA.

Modulo newsletter senza vero consenso

Una casella preselezionata o un testo nascosto non valgono. Il regolamento del 2025 lo ha reso esplicito.

Information Officer non registrato

La legge richiede che l'incaricato sia registrato sul portale dell'autorità di controllo prima di assumere l'incarico.

Informativa senza trasferimento internazionale

I dati dei visitatori vanno a server di Google e di altri partner fuori dal paese. L'informativa deve dirlo.

Richieste senza risposta

Le richieste di correzione e cancellazione devono ricevere risposta entro 30 giorni, e il sito deve avere un canale chiaro per riceverle.

In ConsentMode

Cosa controlla l'audit per la POPIA

  • Apre il sito come visitatore del Sudafrica e registra se c'è un banner, quali pulsanti offre e cosa si attiva prima della scelta.
  • Identifica la CMP dal codice della pagina, quando esiste, e legge i segnali di Consent Mode inviati a Google.
  • Verifica se l'informativa sulla privacy riporta responsabile, finalità, partner pubblicitari, trasferimento internazionale, diritti e contatto dell'incaricato.
  • Controlla i moduli di newsletter e iscrizione per trovare caselle preselezionate e l'avviso sulla finalità.
  • Consegna screenshot e un piano di correzione con priorità in base alla gravità.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Mi serve un banner dei cookie per i visitatori del Sudafrica?

La POPIA non ha una regola specifica sul banner. Il sito deve informare sui cookie e avere una giustificazione per usarli. Per il tracciamento degli annunci, chiedere il consenso è il modo più sicuro, e una CMP configurata per regione risolve senza influire sugli altri pubblici.

Google richiede qualcosa per questo traffico?

Non c'è alcun obbligo di CMP certificata per il Sudafrica. Le norme generali di Google per gli editori restano valide, come avere un'informativa sulla privacy che citi i cookie e i partner pubblicitari.

Posso inviare un'e-mail a chi ha lasciato un contatto in un commento?

Non per il marketing. Il contatto è stato fornito per un'altra finalità. Per inviare offerte, ti serve il consenso o un rapporto di clientela con un prodotto simile.

Chi può essere l'Information Officer?

Per impostazione predefinita è il massimo dirigente dell'azienda, che può designare dei sostituti. La registrazione si fa sul portale dell'Information Regulator.

La POPIA è simile alla LGPD?

In molti punti sì: basi giuridiche, diritti e incaricato. Le differenze più evidenti sono la protezione delle aziende come interessati, l'età di 18 anni per il minore e la regola rigida sul marketing elettronico.

Esiste davvero il carcere?

Sì, per reati specifici, come ostacolare l'autorità di controllo o non rispettare un avviso di conformità. Per la maggior parte degli errori quotidiani, la strada è l'avviso e la sanzione amministrativa.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri se il tuo sito è pronto per il pubblico sudafricano

L'audit apre il sito dal Sudafrica e mostra cosa correggere in banner, moduli e informativa, senza modificare nulla.

Avvia l'audit