Мой кабинет

Руководство · Южноафриканский закон

POPIA простыми словами для тех, кто зарабатывает на рекламе

POPIA это закон о защите данных Южной Африки. Он защищает людей, а также компании, содержит жёсткие правила для маркетинга по e-mail и SMS и предусматривает штрафы и даже тюремное заключение. Здесь описано, что он требует от сайта с южноафриканскими посетителями и как это влияет на рекламу.

Проверить конфиденциальность моего сайтаЧитать руководство
  • ✓Основано на тексте закона и публикациях Information Regulator
  • ✓Примеры сайтов с рекламой, в том числе бразильских
  • ✓Проверка без изменения сайта
R10 млнмаксимальный административный штраф, который может наложить Information Regulator
8условий, которым должна соответствовать любая обработка данных, чтобы быть законной
18лет: до этого возраста человек считается по закону ребёнком
2021год, когда закончился переходный срок, 30 июня

Что это

Закон, защищающий людей и компании

Protection of Personal Information Act, или POPIA, это Закон 4 от 2013 года Южной Африки. Большая его часть начала действовать 1 июля 2020 года, а переходный срок в один год закончился 30 июня 2021 года. Контроль осуществляет Information Regulator, независимый орган, который также отвечает за закон страны о доступе к информации.

Закон использует собственные термины. Тот, кто решает, зачем и как используются данные, называется ответственной стороной, это аналог контролёра по GDPR. Тот, кто обрабатывает данные от его имени, называется оператором. Человек, к которому относятся данные, называется субъектом данных, и здесь есть важное отличие: по POPIA защищаемыми субъектами данных являются также компании и другие юридические лица.

Персональная информация это всё, что идентифицирует человека, например имя, e-mail, телефон, местоположение, онлайн-идентификаторы и мнения. Есть также особая персональная информация, которая включает религию, расовое происхождение, здоровье, сексуальную жизнь, политические взгляды, биометрию и судимости. Данные детей, то есть лиц младше 18 лет по закону, имеют собственную защиту.

Закон действует для ответственной стороны, учреждённой в Южной Африке, и для стороны из-за рубежа, которая использует средства в стране для обработки данных. Распространяется ли он на иностранный сайт, который лишь получает южноафриканских посетителей, это вопрос толкования. Осторожный путь для тех, у кого такая аудитория: следовать базовым правилам прозрачности, безопасности и маркетинга.

Чек-лист

Что нужно выполнить

Что требуют POPIA и Information Regulator от сайта с рекламой, который принимает посетителей из Южной Африки.

  1. Предупреждайте при сборе

    Сообщите, что вы собираете, кто ответственный и его адрес, цель, добровольно ли предоставление данных, передаются ли данные в другую страну и какие у человека права, в том числе подать жалобу Регулятору. Google также требует, чтобы в политике говорилось, что третьи стороны, например Google, используют cookie для показа рекламы.

    Пример

    Мы собираем ваш e-mail, чтобы отправлять оповещения о вакансиях. Предоставление данных добровольно. Вы можете запросить доступ, исправление или удаление и пожаловаться в Information Regulator.

  2. Зарегистрируйте Information Officer

    В компании Information Officer по умолчанию это главный руководитель. Он может приступить к обязанностям только после регистрации на портале Information Regulator.

  3. Электронный маркетинг с согласием

    E-mail, SMS и маркетинговые сообщения можно отправлять только тем, кто дал согласие, или клиентам, и только о похожих продуктах. Запрос согласия можно сделать только один раз и только если человек не отказывался ранее.

  4. Отказ в каждом сообщении

    Каждое маркетинговое сообщение должно указывать отправителя и содержать контакт, чтобы попросить прекратить рассылку.

    Пример

    Вы получаете это письмо от компании «Пример». Чтобы больше не получать его, нажмите «Отписаться».

  5. Уважайте возражение

    Человек может возражать против использования на основании законного интереса и в любой момент против прямого маркетинга. После возражения использование этих данных должно прекратиться.

  6. Особые данные только с согласия

    Религия, расовое происхождение, здоровье, сексуальная жизнь, политические взгляды и биометрия, как правило, запрещены. Согласие человека это одно из исключений, а Google не принимает персонализированную рекламу на основе таких данных.

  7. Дети с предварительным согласием

    Данные детей можно обрабатывать только с предварительного согласия компетентного лица, например отца, матери или опекуна, кроме исключений, предусмотренных законом.

  8. Сообщайте о несанкционированном доступе

    Если есть основания полагать, что кто-то без разрешения получил доступ к персональным данным, сообщите Регулятору и, как правило, пострадавшим, как только это разумно возможно.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует сертифицированную CMP и не имеет отдельного сообщения для Южной Африки, поэтому ссылки ниже ведут на Google и Information Regulator.

Суть закона

8 условий обработки данных

POPIA организует всё в восьми условиях. Если одно из них не выполнено, обработка перестаёт быть законной.

Ответственность и качество

Ответственная сторона отвечает за соблюдение всех условий и должна поддерживать данные полными, верными и актуальными.

Ограничение и цель

Собирайте только необходимое, с обоснованием и для конкретной явной цели, и храните данные только нужное время.

Дальнейшее использование и прозрачность

Новое использование должно быть совместимо с первоначальным. А человек должен знать при сборе, кто собирает, зачем и какие у него права.

Безопасность и участие

Защищайте данные техническими и организационными мерами и позвольте человеку получать доступ к информации, исправлять её и просить об удалении.

Правовые основания, cookie и маркетинг

Когда сайт может использовать данные

POPIA признаёт шесть оснований для обработки данных: согласие, исполнение договора, юридическая обязанность, защита законного интереса субъекта данных, выполнение публичной обязанности и законный интерес ответственной стороны или третьего лица. Субъект данных может возразить против обработки на основании законного интереса, и с 2025 года это возражение бесплатно и возможно по нескольким каналам.

У закона нет специального правила о cookie, как у британского PECR. Но cookie и идентификаторы, позволяющие узнать посетителя, это персональная информация, поэтому сайту нужно основание и нужно предупреждать. Для отслеживания рекламы согласие самое надёжное основание, и его проще всего подтвердить.

Самая жёсткая часть закона это прямой маркетинг электронными средствами, такими как e-mail, SMS и автоматические звонки. Он разрешён только с согласия или для клиентов, которые уже что-то купили, если предложение касается похожих товаров и человеку при сборе данных и в каждом сообщении дали простой и бесплатный способ отказаться.

Сайт может запросить такое согласие только один раз и только если человек не отказывался раньше. Правила, обновлённые в апреле 2025 года, говорят, что согласие можно получить любым доступным способом, но его нельзя предполагать по молчанию или по заранее отмеченному полю. Каждое сообщение должно идентифицировать отправителя и содержать контакт, чтобы попросить остановить рассылку.

Права людей

Что может потребовать субъект данных

Права действуют для людей, а также для компаний, чьи данные обрабатывает сайт.

Быть уведомлённым

Знать, что данные собираются, и быть проинформированным, если к ним был получен неправомерный доступ.

Доступ

Спросить, хранит ли сайт данные о нём, и получить описание того, что есть и кто имел доступ.

Исправить и удалить

Просить исправить или удалить неверные, избыточные или полученные неправомерно данные. С 2025 года запрос бесплатен, и ответ должен прийти в течение 30 дней.

Возразить

Отказаться от обработки на основании законного интереса и в любой момент от использования данных для прямого маркетинга.

Не зависеть только от машины

Не быть объектом решений с важными последствиями, принятых только автоматизированными системами, кроме исключений закона.

Пожаловаться и подать в суд

Подать жалобу в Information Regulator и обратиться в суд за возмещением.

Обязанности

Что должен сделать сайт с южноафриканскими посетителями

  1. Предупреждать при сбореПолитика конфиденциальности и формы должны сообщать, кто собирает данные, зачем, обязательно ли их предоставление, с кем они передаются, уходят ли они в другую страну и какие права у субъекта данных, включая право пожаловаться в Regulator.
  2. Назначить Information OfficerУ каждой ответственной стороны есть ответственное лицо, которым по умолчанию является главный руководитель. Его нужно зарегистрировать на портале Information Regulator до вступления в должность.
  3. Просить согласие там, где оно является основаниемДля рекламных cookie и списков e-mail записывайте согласие с датой, источником и показанным текстом. Никаких заранее отмеченных полей.
  4. Защищать данныеПринимайте подходящие меры безопасности и заключайте договоры с операторами, такими как хостинг и сервисы e-mail, требуя той же заботы.
  5. Сообщать об инцидентахЕсли был неправомерный доступ к персональным данным, как можно скорее уведомите Regulator и пострадавших, с информацией, достаточной для их защиты.
  6. Следить за передачей данныхПередача данных за пределы страны требует, чтобы получатель обеспечивал надлежащую защиту, чтобы был договор с гарантиями или согласие субъекта данных, среди прочих случаев, предусмотренных законом.

Контроль и штрафы

Что происходит при нарушении закона

Regulator принимает жалобы, проводит расследования и выпускает уведомления о соблюдении. Игнорировать уведомление: самый быстрый путь к штрафу.

Административный штраф

Regulator может наложить штраф до 10 миллионов рандов через уведомление о нарушении. С 2025 года возможно договориться об оплате в рассрочку.

Преступления с тюремным заключением

Препятствие работе Regulator или неисполнение уведомления о соблюдении может привести к тюремному заключению до 10 лет, штрафу или к тому и другому. За другие нарушения наказание до 12 месяцев.

Первый штраф

В июле 2023 года Regulator наложил первый штраф по закону: 5 миллионов рандов на Department of Justice за неисполнение уведомления, связанного с недостатками безопасности.

Иски в суд

Субъект данных, или Regulator от его имени, может требовать компенсацию за ущерб, причинённый неправомерной обработкой.

Хронология

От принятия до контроля

POPIA потребовалось несколько лет, чтобы заработать на практике. Вот главные даты.

  1. 2013

    Закон принят

    POPIA подписан как Закон 4 от 2013 года, но почти весь текст ждёт даты начала действия.

  2. 11 апреля 2014 года

    Основа для Regulator

    Вступают в силу определения и правила, создающие Information Regulator.

  3. 1 июля 2020 года

    Закон начинает действовать

    Основные обязательства вступают в силу, и у компаний есть 12 месяцев на адаптацию.

  4. 30 июня 2021 года

    Конец переходного срока

    Переходный срок заканчивается, и закон начинает применяться полностью.

  5. Июль 2023 года

    Первый штраф

    Regulator штрафует Department of Justice на 5 миллионов рандов.

  6. 17 апреля 2025 года

    Обновлённый регламент

    Новые правила о бесплатном возражении, запросах на исправление, согласии на прямой маркетинг и жалобах начинают действовать немедленно.

Для тех, у кого есть AdSense или Ad Manager

Что меняется на практике для дохода

Google не требует сертифицированной CMP или IAB TCF для Южной Африки. Это требование действует для Европейской экономической зоны, Великобритании и Швейцарии. Поэтому южноафриканский трафик продолжает получать персонализированную рекламу без сообщения TCF.

Это не снимает с сайта обязательства по POPIA. Политика конфиденциальности должна упоминать использование cookie и рекламных партнёров, а у посетителя должна быть возможность возразить и реализовать свои права. Если сайт хочет запрашивать согласие на рекламные cookie в стране, CMP может делать это по регионам, а Consent Mode передаёт выбор тегам Google.

Представьте бразильский сайт вакансий на английском, который получает посетителей из Йоханнесбурга и Кейптауна и предлагает оповещения о вакансиях по e-mail. Баннер cookie может быть простым, но форма оповещений требует чёткого согласия, без отмеченного поля, и в каждом письме должна быть ссылка для отписки.

Поскольку POPIA защищает и компании, сайт, который собирает корпоративные контакты, например для рекламодателей, должен обращаться с этими данными так же бережно, как с данными людей.

На практике

Что можно и что нельзя с POPIA

Повседневные примеры для сайтов с контентом, вакансиями и финансами с южноафриканской аудиторией.

Можно

  • Показывать персонализированную рекламу Google без сообщения TCF посетителям из Южной Африки
  • Отправлять рассылку тем, кто сам подписался и отметил поле
  • Отправлять похожие предложения тем, кто уже у вас покупал, с возможностью отписки в каждом сообщении
  • Один раз запросить согласие на маркетинг у тех, кто никогда не отказывался
  • Выполнять запросы на удаление и возражения по e-mail, WhatsApp или через форму, без оплаты

Нельзя

  • Добавлять посетителей в списки e-mail с уже отмеченным полем
  • Настаивать на запросе согласия после отказа человека
  • Покупать списки e-mail или телефонов и рассылать предложения
  • Отправлять маркетинг без указания отправителя и без ссылки для отписки
  • Собирать данные лиц младше 18 лет без согласия законного представителя

Частые ошибки

Где сайты ошибаются чаще всего

Частые ошибки на сайтах с аудиторией из Южной Африки.

Думать, что без требования Google правил нет

Отсутствие обязательной CMP в стране не освобождает от политики конфиденциальности, права на возражение и правил маркетинга.

Забыть, что компании тоже являются субъектами данных

Контакты рекламодателей, поставщиков и партнёров тоже защищены POPIA.

Форма рассылки без реального согласия

Заранее отмеченное поле или скрытый текст не считаются. Регламент 2025 года сделал это явным.

Незарегистрированный Information Officer

Закон требует, чтобы ответственное лицо было зарегистрировано на портале Regulator до вступления в должность.

Политика без международной передачи

Данные посетителей уходят на серверы Google и других партнёров за пределами страны. Политика должна об этом сказать.

Запросы без ответа

На запросы об исправлении и удалении нужно отвечать в течение 30 дней, и у сайта должен быть понятный канал для их приёма.

В ConsentMode

Что аудит проверяет для POPIA

  • Открывает сайт как посетитель из Южной Африки и фиксирует, есть ли баннер, какие кнопки он предлагает и что срабатывает до выбора.
  • Определяет CMP по коду страницы, если она есть, и читает сигналы Consent Mode, отправляемые в Google.
  • Проверяет, содержит ли политика конфиденциальности ответственную сторону, цели, рекламных партнёров, международную передачу, права и контакт ответственного лица.
  • Проверяет формы рассылки и регистрации на заранее отмеченные поля и уведомление о цели.
  • Выдаёт скриншоты и план исправлений с приоритетом по серьёзности.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

Нужен ли баннер cookie для посетителей из Южной Африки?

В POPIA нет специального правила о баннере. Сайт должен предупреждать о cookie и иметь основание для их использования. Для отслеживания рекламы запрос согласия самый надёжный путь, а CMP, настроенная по региону, решает задачу, не затрагивая другую аудиторию.

Требует ли Google что-то для этого трафика?

Требования к сертифицированной CMP для Южной Африки нет. Общие правила Google для издателей продолжают действовать, например наличие политики конфиденциальности, которая упоминает cookie и рекламных партнёров.

Могу ли я написать на e-mail тому, кто оставил контакт в комментарии?

Не для маркетинга. Контакт был дан для другой цели. Чтобы отправлять предложения, нужно согласие или отношения клиента с похожим продуктом.

Кто может быть Information Officer?

По умолчанию это главный руководитель компании, который может назначить заместителей. Регистрация выполняется на портале Information Regulator.

POPIA похож на LGPD?

Во многом да: правовые основания, права и ответственное лицо. Самые заметные отличия: защита компаний как субъектов данных, возраст 18 лет для ребёнка и жёсткое правило электронного маркетинга.

Тюрьма действительно есть?

Да, за конкретные преступления, такие как препятствие работе Regulator или неисполнение уведомления о соблюдении. Для большинства повседневных нарушений путь это уведомление и административный штраф.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Узнайте, готов ли ваш сайт к южноафриканской аудитории

Аудит открывает сайт из Южной Африки и показывает, что исправить в баннере, формах и политике, ничего не меняя.

Начать аудит