打开空间

指南 · 南非法规

写给通过广告变现的人的 POPIA 说明

POPIA 是南非的数据保护法。它保护个人，也保护企业，对电子邮件和短信营销有严格规定，并规定了罚款甚至监禁。下面介绍它对有南非访客的网站有什么要求，以及对广告有什么影响。

审核我网站的隐私阅读指南
  • ✓基于法律文本和 Information Regulator 的出版物
  • ✓有广告网站的示例，包括巴西网站
  • ✓只读取，不修改网站
1000 万兰特Information Regulator 可处以的最高行政罚款
8所有数据处理要合法所必须满足的条件
18岁：低于这个年龄的人，在法律上被视为儿童
2021适应期结束的年份，即 6 月 30 日

是什么

一部既保护个人、也保护企业的法律

Protection of Personal Information Act，简称 POPIA，是南非 2013 年第 4 号法律。其大部分内容自 2020 年 7 月 1 日起生效，并有一年的适应期，于 2021 年 6 月 30 日结束。负责执行的是 Information Regulator，这是一个独立机构，同时也负责该国的信息获取法。

这部法律使用自己的术语。决定为什么以及如何使用数据的一方是负责方，相当于 GDPR 中的控制者。代表负责方处理数据的是处理者。数据所指的人是数据主体，这里有一个重要区别：在 POPIA 中，企业和其他法人也是受保护的数据主体。

个人信息是指可以识别某人的一切信息，如姓名、邮箱、电话、位置、在线标识符和观点。此外还有特殊个人信息，包括宗教、种族出身、健康、性生活、政治观点、生物识别信息和犯罪记录。儿童（法律中指 18 岁以下的人）的数据享有专门的保护。

这部法律适用于在南非设立的负责方，也适用于在国内使用手段处理数据的境外负责方。至于它是否涵盖仅仅接收南非访客的外国网站，则取决于如何解释。对于有这类受众的网站，稳妥的做法是遵守关于透明、安全和营销的基本规则。

清单

你需要做到的事项

POPIA 和 Information Regulator 对接待南非访客的、带广告的网站有哪些要求。

  1. 收集时告知

    说明您收集什么、负责人是谁及其地址、目的、提供是否自愿、数据是否会发往其他国家，以及有哪些权利，包括向监管机构投诉。Google 还要求政策说明，包括 Google 在内的第三方会使用 cookie 来展示广告。

    示例

    我们收集您的电子邮箱，用于发送职位提醒。提供邮箱是自愿的。您可以要求访问、更正或删除，也可以向 Information Regulator 投诉。

  2. 登记 Information Officer

    在企业中，Information Officer 默认是最高管理者。他只有在 Information Regulator 的门户网站登记之后，才能担任这一职务。

  3. 经同意的电子营销

    电子邮件、短信和营销信息，只能发送给已同意的人，或发送给客户（针对类似产品）。征求同意只能进行一次，并且只能在对方之前没有拒绝的情况下进行。

  4. 每条信息中的退出方式

    每条营销信息都必须标明发送者，并提供一个联系方式，用于要求停止发送。

    示例

    您收到这封电子邮件，是因为示例公司。如不想再收到，请点击“取消订阅”。

  5. 尊重反对

    个人可以反对基于合法利益的使用，并可以随时反对直接营销。反对之后，必须停止使用这些数据。

  6. 特殊数据只有取得同意才能处理

    宗教、种族出身、健康、性生活、政治观点和生物识别，原则上是禁止的。个人的同意是例外之一，而且 Google 不接受基于这些数据的个性化广告。

  7. 儿童需要事先同意

    儿童的数据，只有在有行为能力的人（如父亲、母亲或监护人）事先同意后才能处理，法律规定的例外情况除外。

  8. 对未经授权的访问要通知

    如果有理由相信未经授权的人访问了个人数据，要在合理可行的情况下尽快通知监管机构，并且原则上通知受影响的人。

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对南非没有要求使用认证 CMP，也没有专门的消息，所以下面的链接来自 Google 和 Information Regulator。

这部法律的核心

处理数据的 8 项条件

POPIA 把一切都归入八项条件。只要其中一项没有满足，处理就不再合法。

责任与质量

负责方要对遵守所有条件负责，并且必须保持数据完整、准确和最新。

限制与目的

只收集必要的数据，要有正当理由，并服务于具体、明确的目的，数据只保留必要的时间。

进一步使用与透明

新的用途必须与最初的用途相容。而且用户在收集时必须知道是谁在收集、为什么收集，以及自己有哪些权利。

安全与参与

用技术和组织措施保护数据，并允许用户访问、更正和要求删除信息。

法律依据、Cookie 和营销

网站什么时候可以使用数据

POPIA 接受六种处理数据的理由：同意、履行合同、法律义务、保护数据主体的正当利益、履行公共职责，以及负责方或第三方的合法利益。数据主体可以反对基于合法利益的处理，自 2025 年起，这种反对是免费的，并且可以通过多种渠道提出。

这部法律没有像英国的 PECR 那样关于 Cookie 的专门规则。但能够识别访客的 Cookie 和标识符属于个人信息，因此网站需要有正当理由并履行告知。对于广告追踪，同意是最稳妥、也最容易证明的依据。

这部法律最严格的一点，是通过电子方式进行的直接营销，如电子邮件、短信和自动电话。只有在获得同意，或对已经购买过东西的客户提供类似产品的优惠，并且在收集时以及每条信息中都向对方提供简单、免费的拒绝方式时，才被允许。

网站只能征求一次这种同意，而且只能在对方此前没有拒绝过的情况下。2025 年 4 月更新的规则指出，可以通过任何便于获取的方式取得同意，但不能因沉默或预先勾选的复选框而推定同意。每条信息都必须标明发送者，并附上用于要求停止的联系方式。

个人的权利

数据主体可以提出哪些要求

这些权利适用于个人，也适用于其数据被网站处理的企业。

被告知

知道数据正在被收集，并在数据被不当访问时得到通知。

访问

询问网站是否保存有关自己的数据，并获得对现有内容及访问者的说明。

更正与删除

要求更正或删除错误的、过多的或以不当方式获得的数据。自 2025 年起，该请求免费，答复须在 30 天内作出。

反对

拒绝基于合法利益的处理，并可随时拒绝将数据用于直接营销。

不只依赖机器

不成为仅由自动化系统作出的重大决定的对象，法律规定的例外情形除外。

投诉与起诉

向 Information Regulator 提出投诉，并向法院起诉要求赔偿。

义务

有南非访客的网站必须做什么

  1. 在收集时告知隐私政策和表单必须说明是谁在收集、为了什么、提供是否为强制性的、数据与谁共享、是否会传到其他国家，以及数据主体的权利，包括向监管机构投诉的权利。
  2. 设立 Information Officer每个负责方都有一名负责人员，默认由首席执行官担任。他必须在 Information Regulator 的门户网站上登记，才能履行职责。
  3. 在以同意为依据的地方征求同意对于广告 Cookie 和邮件列表，请记录同意的日期、来源和所展示的文字。不能使用预先勾选的复选框。
  4. 保护数据采取适当的安全措施，并与处理者（如托管服务和邮件工具）签订合同，要求同样的谨慎。
  5. 通报事件如果个人数据被不当访问，请尽快通知监管机构和受影响的人，并提供足够的信息，让他们能够保护自己。
  6. 管理好跨境传输向境外发送数据，要求目的地提供充分的保护，或者有带保障措施的合同，或者取得数据主体的同意，法律还规定了其他情形。

执法和罚款

违反法律会怎样

监管机构接收投诉、展开调查，并发出合规通知。无视通知是最快招致罚款的做法。

行政罚款

监管机构可以通过违规通知处以最高 1000 万兰特的罚款。自 2025 年起，可以协商分期支付。

可判监禁的犯罪

妨碍监管机构或不遵守合规通知，可被处以最高 10 年监禁、罚款，或两者并罚。其他违法行为的刑期最高为 12 个月。

首张罚单

2023 年 7 月，监管机构开出了这部法律的第一张罚单：因未遵守与安全缺陷有关的通知，对司法部处以 500 万兰特。

法院诉讼

数据主体，或监管机构代表其，可以就不当处理造成的损害要求赔偿。

时间线

从通过到执法

POPIA 用了好几年才落地。以下是主要日期。

  1. 2013

    法律通过

    POPIA 作为 2013 年第 4 号法律签署，但几乎全部内容都在等待生效日期。

  2. 2014 年 4 月 11 日

    监管机构的基础

    定义以及设立 Information Regulator 的规则开始生效。

  3. 2020 年 7 月 1 日

    法律开始生效

    主要义务开始生效，企业有 12 个月的时间适应。

  4. 2021 年 6 月 30 日

    适应期结束

    过渡期结束，法律开始被全面执行。

  5. 2023 年 7 月

    首张罚单

    监管机构对司法部处以 500 万兰特的罚款。

  6. 2025 年 4 月 17 日

    更新后的条例

    关于免费反对、更正请求、直接营销同意和投诉的新规则立即生效。

面向使用 AdSense 或 Ad Manager 的网站

这对收入在实践中意味着什么

Google 并不要求南非使用认证 CMP 或 IAB TCF。这项要求适用于欧洲经济区、英国和瑞士。因此，南非流量在没有 TCF 消息的情况下，仍然可以获得个性化广告。

这并不免除网站依据 POPIA 的义务。隐私政策必须提到 Cookie 的使用和广告合作伙伴，访客必须有途径表示反对并行使自己的权利。如果网站希望在该国为广告 Cookie 征求同意，CMP 可以按地区来做，Consent Mode 会把选择传递给 Google 的标签。

设想一个巴西的英文招聘网站，有来自约翰内斯堡和开普敦的访客，并提供邮件职位提醒。Cookie 横幅可以很简单，但职位提醒的表单需要明确的同意，不能预先勾选，而且每封邮件都要有取消订阅的链接。

由于 POPIA 也保护企业，收集企业联系人（例如面向广告主）的网站，需要像对待个人数据一样谨慎地对待这些数据。

实际案例

在 POPIA 下可以做什么，不可以做什么

适用于有南非受众的内容、招聘和金融网站的日常示例。

可以

  • 向南非访客展示没有 TCF 消息的 Google 个性化广告
  • 向自己主动注册并勾选复选框的人发送新闻邮件
  • 向已经向您购买过的人发送类似的优惠，并在每条信息中提供退出选项
  • 向从未拒绝过的人只征求一次营销同意
  • 通过邮件、WhatsApp 或表单处理删除和反对请求，且不收费

不可以

  • 用预先勾选的复选框把访客加入邮件列表
  • 对方拒绝之后仍坚持征求同意
  • 购买邮箱或手机号列表并群发优惠
  • 发送营销信息时不标明发送者，也没有取消订阅链接
  • 未经监护人同意，收集 18 岁以下人群的数据

常见错误

网站最容易出错的地方

有南非受众的网站上经常出现的缺陷。

以为没有 Google 的要求，就没有规则

该国没有强制要求的 CMP，并不能免除隐私政策、反对权和营销规则。

忘了企业也是数据主体

广告主、供应商和合作伙伴的联系人，同样是受 POPIA 保护的数据。

没有真正同意的新闻邮件表单

预先勾选的复选框或隐藏的文字都不算数。2025 年的条例对此作了明确规定。

Information Officer 没有登记

法律要求负责人员在履行职责之前，必须在监管机构的门户网站上登记。

政策中没有国际传输

访客的数据会传到 Google 及其他合作伙伴位于国外的服务器。政策必须说明这一点。

没有答复的请求

更正和删除请求必须在 30 天内答复，网站必须有清晰的渠道来接收这些请求。

在 ConsentMode 中

审核会检查哪些与 POPIA 相关的内容

  • 以南非访客的身份打开网站，记录是否有横幅、提供了哪些按钮，以及在做出选择之前触发了什么。
  • 如果存在 CMP，则通过页面代码识别它，并读取发送给 Google 的 Consent Mode 信号。
  • 检查隐私政策是否包含负责人、目的、广告合作伙伴、国际传输、权利以及负责人员的联系方式。
  • 检查新闻邮件和注册表单，查找预先勾选的复选框，以及目的说明。
  • 提供截图，以及按严重程度排序的修复计划。
开始审核查看所有检查项

常见问题

南非访客需要 Cookie 横幅吗？

POPIA 没有关于横幅的专门规则。网站需要告知 Cookie 的使用，并且要有使用它们的正当理由。对于广告追踪，征求同意是最稳妥的做法，而按地区配置的 CMP 可以解决问题，又不影响其他受众。

Google 对这部分流量有什么要求吗？

南非没有认证 CMP 的要求。Google 的通用发布商政策仍然适用，例如要有一份提到 Cookie 和广告合作伙伴的隐私政策。

我可以给在评论里留下联系方式的人发邮件吗？

不能用于营销。对方留下联系方式是出于另一个目的。要发送优惠，您需要取得同意，或者与对方存在购买类似产品的客户关系。

谁可以担任 Information Officer？

默认是公司的首席执行官，他可以指定副手。登记在 Information Regulator 的门户网站上办理。

POPIA 和 LGPD 相似吗？

在很多方面是的：法律依据、权利和负责人员。最明显的区别是企业也作为数据主体受到保护、儿童的年龄界限是 18 岁，以及严格的电子营销规则。

真的会坐牢吗？

会，针对特定的犯罪，例如妨碍监管机构或不遵守合规通知。对于日常大多数的疏漏，处理方式是通知和行政罚款。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

查看您的网站是否已为南非受众做好准备

审核会从南非打开网站，并告诉您在横幅、表单和政策上需要修复什么，不会更改任何内容。

开始审核