Qu'est-ce que la POPIA ? Le POPI Act sud-africain expliqué
La POPIA, aussi appelée POPI Act, est la Protection of Personal Information Act 4 of 2013 (loi sur la protection des informations personnelles), la principale loi sur la protection des données en Afrique du Sud. Ses sections clés sont entrées en vigueur le 1er juillet 2020 et, après une période de grâce d'un an, elle est pleinement appliquée par l'Information Regulator depuis le 1er juillet 2021. La POPIA fixe les règles selon lesquelles toute organisation collecte, utilise, conserve, partage et supprime des informations personnelles en Afrique du Sud, y compris les données collectées via les sites web, les cookies et les e-mails marketing.
Ce guide présente le champ d'application de la POPIA, les huit conditions d'un traitement licite, le consentement et le marketing direct, les cookies, les droits des personnes concernées, les Information Officers, les transferts internationaux, la notification des violations de sécurité, les sanctions, la comparaison avec le RGPD et une check-list pratique pour les sites web.
La POPIA en bref
| Nom complet | Protection of Personal Information Act 4 of 2013 |
| Noms courts | POPIA, POPI Act |
| Entrée en vigueur | 1er juillet 2020 (la plupart des sections) |
| Appliquée depuis | 1er juillet 2021, après une période de grâce de 12 mois |
| Autorité | Information Regulator (Afrique du Sud) |
| Protège | Les personnes physiques et les personnes morales (entreprises) |
| Sanction maximale | Amende jusqu'à 10 millions de rands et/ou jusqu'à 10 ans d'emprisonnement |
| Notification des violations | Obligatoire, via le portail eServices de l'autorité depuis avril 2025 |
À qui s'applique la POPIA ?
La POPIA s'applique à toute partie responsable qui traite des informations personnelles et qui est domiciliée en Afrique du Sud, ou qui n'y est pas domiciliée mais utilise des moyens automatisés ou non automatisés en Afrique du Sud pour les traiter (sauf si ces moyens servent uniquement à faire transiter des informations par le pays).
La POPIA utilise ses propres termes :
- Personne concernée (data subject) : la personne à laquelle se rapportent les informations personnelles.
- Partie responsable (responsible party) : l'organisme public ou privé ou la personne qui détermine la finalité et les moyens du traitement (le « responsable du traitement » du RGPD).
- Opérateur (operator) : une personne qui traite des informations personnelles pour le compte d'une partie responsable en vertu d'un contrat ou d'un mandat (le « sous-traitant » du RGPD).
- Information Officer : la personne chargée de la conformité à la POPIA au sein de l'organisation.
Les personnes morales sont aussi protégées
Contrairement au RGPD, la POPIA protège les personnes morales, comme les sociétés et les close corporations, en plus des personnes physiques. Dans la POPIA, une « personne » désigne une personne physique ou morale : les informations relatives aux entreprises clientes, aux fournisseurs et aux contacts professionnels peuvent donc aussi relever de la loi.
Les 8 conditions d'un traitement licite
La POPIA repose sur huit conditions. Une partie responsable doit toutes les respecter chaque fois qu'elle traite des informations personnelles.
| # | Condition | Ce que cela signifie en pratique |
|---|---|---|
| 1 | Responsabilité | La partie responsable doit garantir, et pouvoir démontrer, le respect de toutes les conditions |
| 2 | Limitation du traitement | Traiter de manière licite, minimale et sur une base valable comme le consentement |
| 3 | Spécification de la finalité | Collecter les données pour une finalité précise, explicitement définie et licite, et ne les conserver que le temps nécessaire |
| 4 | Limitation du traitement ultérieur | Tout traitement ultérieur doit être compatible avec la finalité initiale |
| 5 | Qualité de l'information | Garder les informations personnelles complètes, exactes et à jour |
| 6 | Transparence | Tenir une documentation et informer les personnes de ce qui est collecté et pourquoi |
| 7 | Mesures de sécurité | Protéger les informations personnelles par des mesures techniques et organisationnelles appropriées |
| 8 | Participation de la personne concernée | Permettre aux personnes d'accéder à leurs informations personnelles et de les corriger |
Bases légales et consentement selon la POPIA
La section 11 de la POPIA n'autorise le traitement d'informations personnelles que si l'une de ces bases s'applique :
- La personne concernée (ou une personne compétente, pour un enfant) y consent.
- Le traitement est nécessaire à la conclusion ou à l'exécution d'un contrat avec la personne concernée.
- Le traitement respecte une obligation imposée par la loi.
- Le traitement protège un intérêt légitime de la personne concernée.
- Le traitement est nécessaire à un organisme public pour accomplir une mission de droit public.
- Le traitement est nécessaire aux intérêts légitimes de la partie responsable ou d'un tiers.
La POPIA définit le consentement comme « toute manifestation de volonté libre, spécifique et éclairée par laquelle une autorisation est donnée pour le traitement d'informations personnelles ». La charge de la preuve du consentement incombe à la partie responsable, et la personne concernée peut retirer son consentement à tout moment. Des registres de consentement fiables sont donc indispensables.
Marketing direct : la section 69 impose l'opt-in
La section 69 interdit le marketing direct par communication électronique (e-mail, SMS, fax ou automates d'appel) sauf si la personne a donné son consentement ou est un client existant.
- Clients existants : vous pouvez promouvoir vos propres produits ou services similaires si vous avez obtenu les coordonnées dans le cadre d'une vente et avez proposé un moyen simple et gratuit de s'y opposer lors de la collecte et dans chaque message.
- Tous les autres : vous ne pouvez demander le consentement qu'une seule fois, et seulement si la personne ne l'a pas déjà refusé.
- Chaque message doit identifier l'expéditeur et indiquer des coordonnées permettant au destinataire de demander l'arrêt des envois.
Le règlement POPIA modifié, en vigueur depuis le 17 avril 2025, confirme qu'un opt-out ne vaut pas consentement pour le marketing direct par communications électroniques non sollicitées. Le consentement peut désormais être demandé sous une forme substantiellement similaire au formulaire 4 prescrit, et par d'autres canaux comme l'e-mail, le SMS ou le téléphone ; les demandes faites par téléphone doivent être enregistrées.
La POPIA exige-t-elle un consentement aux cookies ?
La POPIA ne contient pas de règle spécifique aux cookies comme la directive ePrivacy de l'UE. Toutefois, sa définition des informations personnelles inclut les identifiants en ligne, les données de localisation et d'autres attributions identifiantes. Les cookies, identifiants d'appareil, adresses IP et pixels de suivi capables d'identifier un visiteur sont donc des informations personnelles, et leur dépôt constitue un traitement qui doit reposer sur une base légale et respecter les huit conditions.
En pratique :
- Les cookies strictement nécessaires (sécurité, répartition de charge, panier) peuvent généralement s'appuyer sur le contrat ou l'intérêt légitime.
- Les cookies d'analyse, publicitaires et de réseaux sociaux sont difficiles à justifier sans consentement, surtout lorsqu'ils créent des profils ou partagent des données avec des tiers hors d'Afrique du Sud.
- La transparence exige une information claire sur les cookies : ce qui est collecté, par qui et pourquoi.
- Le consentement doit pouvoir être prouvé : il vous faut un registre indiquant qui a accepté quoi et quand.
Un bandeau cookies qui bloque les balises non essentielles jusqu'à l'accord du visiteur et enregistre chaque choix est le moyen le plus pratique de respecter la POPIA pour le suivi sur votre site.
Droits des personnes concernées selon la POPIA
Les personnes concernées ont le droit :
- D'être informées de la collecte de leurs informations personnelles et d'être notifiées d'une violation de sécurité.
- De demander l'accès à leurs informations personnelles.
- De demander la rectification, la destruction ou la suppression de leurs informations personnelles.
- De s'opposer au traitement pour des motifs raisonnables, et de s'opposer au traitement à des fins de marketing direct.
- De ne pas recevoir de marketing direct électronique non sollicité sans consentement.
- De ne pas faire l'objet de décisions fondées uniquement sur un traitement automatisé produisant des effets juridiques ou significatifs.
- De déposer une plainte auprès de l'Information Regulator.
- D'engager une action civile en dommages et intérêts.
Un portail de confidentialité en libre-service et un processus DSAR clair facilitent la réception, la vérification et le traitement de ces demandes dans les délais.
Enregistrement de l'Information Officer
Chaque organisation a un Information Officer. Dans une entreprise privée, il s'agit par défaut du dirigeant de l'organisation, par exemple le CEO, qui peut déléguer ses fonctions à un ou plusieurs Deputy Information Officers. La section 55(2) exige que les Information Officers soient enregistrés auprès de l'Information Regulator avant de prendre leurs fonctions. L'enregistrement se fait via le portail eServices de l'autorité.
L'Information Officer encourage la conformité, traite les demandes des personnes concernées, coopère avec l'autorité lors des enquêtes et élabore un cadre de conformité ainsi qu'un manuel PAIA. Son rôle est comparable à celui du Délégué à la protection des données (DPO) prévu par le RGPD.
Transferts internationaux (section 72)
Une partie responsable ne peut transférer des informations personnelles à un tiers dans un pays étranger que si :
- Le destinataire est soumis à une loi, à des règles d'entreprise contraignantes ou à un accord contraignant offrant un niveau de protection adéquat, substantiellement similaire aux conditions de la POPIA ;
- La personne concernée consent au transfert ;
- Le transfert est nécessaire à l'exécution d'un contrat avec la personne concernée, ou à des mesures précontractuelles prises à sa demande ;
- Le transfert est nécessaire à un contrat conclu avec un tiers dans l'intérêt de la personne concernée ; ou
- Le transfert profite à la personne concernée, il n'est pas raisonnablement possible d'obtenir son consentement et elle y consentirait vraisemblablement.
Les sites web qui chargent des outils d'analyse, de publicité ou de chat hébergés à l'étranger transfèrent des informations personnelles hors d'Afrique du Sud : ces règles concernent donc chaque script tiers de votre site.
Notification des violations de sécurité (section 22)
S'il existe des motifs raisonnables de croire qu'une personne non autorisée a accédé à des informations personnelles ou les a obtenues, la partie responsable doit en informer l'Information Regulator et les personnes concernées dès que raisonnablement possible. Les opérateurs doivent avertir immédiatement la partie responsable.
Depuis avril 2025, l'Information Regulator exige que les violations de sécurité soient notifiées via son portail eServices, et les notifications par e-mail ne sont plus acceptées. Contrairement au RGPD, la POPIA ne prévoit ni délai fixe de 72 heures ni seuil de risque : toute violation doit être notifiée.
Le règlement POPIA modifié en 2025
L'Information Regulator a publié des modifications du règlement POPIA, en vigueur depuis le 17 avril 2025. Principaux changements :
- Un opt-out ne constitue pas un consentement au marketing direct électronique.
- Le consentement au marketing direct peut être demandé sous une forme substantiellement similaire au formulaire 4, et par davantage de canaux.
- Davantage de moyens pour les personnes concernées de s'opposer, de demander des rectifications et de déposer plainte, et un cercle élargi de plaignants recevables.
- Une procédure de plainte simplifiée.
Sanctions prévues par la POPIA
La POPIA est appliquée au moyen de sanctions pénales, d'amendes administratives et d'actions civiles :
| Outil de sanction | Maximum |
|---|---|
| Infractions graves, comme entraver l'autorité ou ne pas respecter une mise en demeure | Amende et/ou emprisonnement jusqu'à 10 ans |
| Infractions moins graves | Amende et/ou emprisonnement jusqu'à 12 mois |
| Amende administrative infligée par l'Information Regulator | Jusqu'à 10 millions de rands |
| Action civile des personnes concernées | Dommages et intérêts, y compris pour préjudice extrapatrimonial |
L'autorité peut aussi émettre des mises en demeure (enforcement notices) obligeant une organisation à cesser ou à modifier son traitement. L'atteinte à la réputation causée par une mise en demeure publique peut coûter plus cher que l'amende elle-même.
POPIA vs RGPD
La POPIA s'inspire largement du droit européen de la protection des données : les organisations qui travaillent déjà à leur conformité au RGPD ont donc une longueur d'avance. Les principales différences :
| Sujet | POPIA | RGPD |
|---|---|---|
| Personnes protégées | Personnes physiques et morales | Personnes physiques uniquement |
| Rôles | Partie responsable, opérateur | Responsable du traitement, sous-traitant |
| Responsable de la conformité | Information Officer, enregistré auprès de l'autorité | DPO, obligatoire seulement dans certains cas |
| Notification des violations | Dès que raisonnablement possible, pour toute violation | Sous 72 heures, sauf risque improbable |
| Marketing direct électronique | Consentement opt-in ou client existant (s69) | Principalement régi par les règles ePrivacy |
| Cookies | Pas de règle spécifique ; les cookies sont des informations personnelles | Consentement aux cookies selon la directive ePrivacy |
| Amende maximale | Amende administrative de 10 millions de rands | 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial |
| Emprisonnement | Jusqu'à 10 ans pour les infractions graves | Non prévu par le RGPD lui-même |
Découvrez comment les autres pays se comparent dans notre panorama des lois mondiales sur la vie privée.
Check-list POPIA pour votre site web
- Enregistrez votre Information Officer et vos éventuels Deputy Information Officers sur le portail eServices de l'autorité.
- Cartographiez vos données : listez chaque formulaire, cookie, balise et outil tiers qui collecte des informations personnelles.
- Scannez votre site web pour détecter les cookies et traceurs, et classez-les.
- Déployez un bandeau cookies qui explique chaque finalité et bloque les cookies non essentiels jusqu'au consentement.
- Conservez des journaux de consentement pour prouver qui a consenti, à quoi et quand.
- Publiez une politique de confidentialité claire couvrant les informations exigées par la section 18, ainsi qu'une politique de cookies.
- Utilisez le consentement opt-in pour le marketing par e-mail et SMS, et ajoutez un lien de désinscription à chaque message.
- Vérifiez les transferts internationaux vers les fournisseurs d'analyse, d'ad tech et de cloud au regard de la section 72.
- Signez des accords avec vos opérateurs qui les obligent à sécuriser les informations et à signaler les violations.
- Mettez en place un processus pour les demandes des personnes concernées, notamment l'accès, la rectification et la suppression.
- Préparez un plan de réponse aux violations incluant la notification via le portail eServices.
- Révisez régulièrement, surtout lorsque vous ajoutez de nouvelles balises ou de nouveaux outils marketing.
Comment UniConsent vous aide à respecter la POPIA
UniConsent est une plateforme de gestion du consentement qui transforme la partie web de la POPIA en quelques réglages simples :
- Bandeau cookies : un bandeau et une notice personnalisables qui expliquent chaque finalité en langage clair, en plusieurs langues.
- Scan des cookies : détection et classification automatiques des cookies et traceurs de votre site.
- Blocage préalable : les balises d'analyse, de publicité et de réseaux sociaux restent bloquées jusqu'au consentement du visiteur.
- Journaux de consentement : chaque choix est horodaté et enregistré, ce qui vous donne une preuve du consentement si l'autorité la demande.
- Centre de préférences : les visiteurs peuvent modifier ou retirer leur consentement à tout moment, aussi facilement qu'ils l'ont donné.
- Portail de confidentialité : un point unique pour les demandes d'accès, de rectification et de suppression.
- Google Consent Mode v2 et IAB TCF : les signaux de consentement sont transmis automatiquement à vos outils d'analyse et de publicité.
- Couverture mondiale : une seule configuration couvre la POPIA, le RGPD et de nombreuses autres lois sur la vie privée, avec des règles selon la localisation du visiteur.
Commencez gratuitement avec UniConsent et rendez votre site conforme à la POPIA en quelques minutes.
Ce guide est fourni à titre d'information générale et ne constitue pas un avis juridique.
Gestionnaire de consentement UniConsent pour la conformité à la POPIA
- Analyse et divulgation des cookies
- Blocage des balises JavaScript et des cookies
- Journaux de consentement comme preuve du consentement
- Portail de confidentialité
- CMP certifié IAB
- Implémentation en une seule balise
- Prise en charge de plusieurs langues
- Solution facile en libre-service
- En savoir plus sur Guide des lois mondiales sur la vie privée
Conformez-vous aux réglementations mondiales sur la confidentialité
Commencez à rendre votre site web et votre application conformes au RGPD de l'UE, au CPRA des États-Unis, au PIPEDA de la CA, etc.
S'inscrireGardez une longueur d'avance sur la confidentialité et le consentement
Lois sur la confidentialité, consentement et conformité, quelques e-mails par mois.