POPIA: la legge sudafricana sulla protezione delle informazioni personali

Cos'è la POPIA? Il POPI Act sudafricano spiegato

La POPIA, chiamata anche POPI Act, è il Protection of Personal Information Act 4 of 2013 (legge sulla protezione delle informazioni personali), la principale legge sulla protezione dei dati del Sudafrica. Le sue sezioni principali sono entrate in vigore il 1° luglio 2020 e, dopo un periodo di tolleranza di un anno, dal 1° luglio 2021 è pienamente applicata dall'Information Regulator. La POPIA stabilisce le regole con cui qualsiasi organizzazione raccoglie, utilizza, conserva, condivide e cancella informazioni personali in Sudafrica, compresi i dati raccolti tramite siti web, cookie ed e-mail di marketing.

Questa guida spiega a chi si applica la POPIA, le otto condizioni per un trattamento lecito, il consenso e il marketing diretto, i cookie, i diritti degli interessati, gli Information Officer, i trasferimenti all'estero, la notifica delle violazioni di sicurezza, le sanzioni, il confronto con il GDPR e una checklist pratica per i siti web.

La POPIA in sintesi

Nome completo	Protection of Personal Information Act 4 of 2013
Nomi abbreviati	POPIA, POPI Act
Entrata in vigore	1° luglio 2020 (la maggior parte delle sezioni)
Applicata dal	1° luglio 2021, dopo un periodo di tolleranza di 12 mesi
Autorità	Information Regulator (Sudafrica)
Tutela	Persone fisiche e persone giuridiche (aziende)
Sanzione massima	Multa fino a 10 milioni di rand e/o reclusione fino a 10 anni
Notifica delle violazioni	Obbligatoria, tramite il portale eServices dell'autorità da aprile 2025

A chi si applica la POPIA?

La POPIA si applica a qualsiasi parte responsabile che tratta informazioni personali ed è domiciliata in Sudafrica, oppure che non è domiciliata in Sudafrica ma utilizza in Sudafrica mezzi automatizzati o non automatizzati per trattarle (a meno che tali mezzi servano solo a far transitare le informazioni attraverso il Paese).

La POPIA usa una terminologia propria:

• Interessato (data subject): la persona a cui si riferiscono le informazioni personali.
• Parte responsabile (responsible party): l'ente pubblico o privato o la persona che decide le finalità e i mezzi del trattamento (il "titolare del trattamento" del GDPR).
• Operatore (operator): la persona che tratta informazioni personali per conto di una parte responsabile in base a un contratto o mandato (il "responsabile del trattamento" del GDPR).
• Information Officer: la persona responsabile della conformità alla POPIA all'interno dell'organizzazione.

Anche le persone giuridiche sono tutelate

A differenza del GDPR, la POPIA tutela non solo le persone fisiche ma anche le persone giuridiche, come le società e le close corporation. Nella POPIA "persona" indica una persona fisica o giuridica, quindi anche le informazioni su aziende clienti, fornitori e contatti commerciali possono rientrare nell'ambito della legge.

Le 8 condizioni per un trattamento lecito

La POPIA si fonda su otto condizioni. Una parte responsabile deve rispettarle tutte ogni volta che tratta informazioni personali.

#	Condizione	Cosa significa in pratica
1	Responsabilizzazione	La parte responsabile deve garantire, e poter dimostrare, il rispetto di tutte le condizioni
2	Limitazione del trattamento	Trattare in modo lecito, minimo e su una base valida come il consenso
3	Specificazione della finalità	Raccogliere i dati per una finalità specifica, esplicitamente definita e lecita, e conservarli solo per il tempo necessario
4	Limitazione del trattamento ulteriore	Ogni trattamento ulteriore deve essere compatibile con la finalità originaria
5	Qualità delle informazioni	Mantenere le informazioni personali complete, esatte e aggiornate
6	Trasparenza	Tenere documentazione e informare gli interessati su cosa viene raccolto e perché
7	Misure di sicurezza	Proteggere le informazioni personali con misure tecniche e organizzative adeguate
8	Partecipazione dell'interessato	Consentire alle persone di accedere alle proprie informazioni personali e di correggerle

Basi giuridiche e consenso secondo la POPIA

La sezione 11 della POPIA consente il trattamento di informazioni personali solo se ricorre una di queste basi:

• L'interessato (o una persona competente, nel caso di un minore) presta il consenso.
• Il trattamento è necessario per concludere o eseguire un contratto con l'interessato.
• Il trattamento adempie a un obbligo di legge.
• Il trattamento tutela un interesse legittimo dell'interessato.
• Il trattamento è necessario a un ente pubblico per svolgere una funzione di diritto pubblico.
• Il trattamento è necessario per gli interessi legittimi della parte responsabile o di un terzo.

La POPIA definisce il consenso come "qualsiasi manifestazione di volontà libera, specifica e informata con cui si autorizza il trattamento di informazioni personali". L'onere della prova del consenso grava sulla parte responsabile e l'interessato può revocare il consenso in qualsiasi momento. Per questo registri del consenso affidabili sono indispensabili.

Marketing diretto: la sezione 69 richiede l'opt-in

La sezione 69 vieta il marketing diretto tramite comunicazioni elettroniche (e-mail, SMS, fax o sistemi di chiamata automatica) a meno che la persona abbia prestato il consenso o sia un cliente esistente.

• Clienti esistenti: potete promuovere i vostri prodotti o servizi simili se avete ottenuto i dati di contatto nell'ambito di una vendita e avete offerto un modo semplice e gratuito per opporsi al momento della raccolta e in ogni messaggio.
• Tutti gli altri: potete chiedere il consenso una sola volta e solo se la persona non lo ha già rifiutato.
• Ogni messaggio deve identificare il mittente e includere i recapiti a cui il destinatario può chiedere di interrompere gli invii.

Il Regolamento POPIA modificato, in vigore dal 17 aprile 2025, conferma che un opt-out non costituisce consenso per il marketing diretto tramite comunicazioni elettroniche non richieste. Il consenso può ora essere richiesto in una forma sostanzialmente simile al Modulo 4 prescritto e attraverso altri canali come e-mail, SMS o telefono; le richieste telefoniche devono essere registrate.

La POPIA richiede il consenso ai cookie?

La POPIA non contiene una norma specifica sui cookie come la Direttiva ePrivacy dell'UE. Tuttavia, la sua definizione di informazioni personali comprende gli identificativi online, i dati di localizzazione e altri elementi identificativi. Cookie, ID dei dispositivi, indirizzi IP e pixel di tracciamento in grado di identificare un visitatore sono quindi informazioni personali, e la loro installazione è un trattamento che richiede una base giuridica e deve rispettare le otto condizioni.

In pratica:

• I cookie strettamente necessari (sicurezza, bilanciamento del carico, carrello) possono di solito basarsi sul contratto o sull'interesse legittimo.
• I cookie analitici, pubblicitari e dei social media sono difficili da giustificare senza consenso, soprattutto quando creano profili o condividono dati con terzi fuori dal Sudafrica.
• La trasparenza richiede un'informativa sui cookie chiara che spieghi cosa viene raccolto, da chi e perché.
• Il consenso deve essere dimostrabile, quindi servono registri di chi ha accettato cosa e quando.

Un banner dei cookie che blocca i tag non essenziali finché il visitatore non accetta e registra ogni scelta è il modo più pratico per rispettare la POPIA nel tracciamento del sito.

Diritti degli interessati secondo la POPIA

Gli interessati hanno il diritto di:

• Essere informati della raccolta delle loro informazioni personali ed essere avvisati di una violazione di sicurezza.
• Chiedere l'accesso alle proprie informazioni personali.
• Chiedere la rettifica, la distruzione o la cancellazione delle proprie informazioni personali.
• Opporsi al trattamento per motivi ragionevoli e opporsi al trattamento a fini di marketing diretto.
• Non ricevere marketing diretto elettronico non richiesto senza consenso.
• Non essere sottoposti a decisioni basate unicamente su un trattamento automatizzato con effetti giuridici o significativi.
• Presentare un reclamo all'Information Regulator.
• Avviare un'azione civile per il risarcimento dei danni.

Un portale privacy self-service e un processo DSAR chiaro rendono più semplice ricevere, verificare e soddisfare queste richieste nei tempi previsti.

Registrazione dell'Information Officer

Ogni organizzazione ha un Information Officer. In un'azienda privata è, per impostazione predefinita, il vertice dell'organizzazione, ad esempio il CEO, che può delegare i compiti a uno o più Deputy Information Officer. La sezione 55(2) richiede che gli Information Officer siano registrati presso l'Information Regulator prima di assumere le loro funzioni. La registrazione avviene tramite il portale eServices dell'autorità.

L'Information Officer promuove la conformità, gestisce le richieste degli interessati, collabora con l'autorità durante le indagini e sviluppa un quadro di conformità e un manuale PAIA. Il ruolo è simile, nella funzione, a quello del Responsabile della protezione dei dati (DPO) previsto dal GDPR.

Trasferimenti all'estero (sezione 72)

Una parte responsabile può trasferire informazioni personali a un terzo in un Paese estero solo se:

• Il destinatario è soggetto a una legge, a norme vincolanti d'impresa o a un accordo vincolante che garantisce un livello di protezione adeguato, sostanzialmente simile alle condizioni della POPIA;
• L'interessato acconsente al trasferimento;
• Il trasferimento è necessario per eseguire un contratto con l'interessato o per adottare misure precontrattuali su sua richiesta;
• Il trasferimento è necessario per un contratto concluso con un terzo nell'interesse dell'interessato; oppure
• Il trasferimento va a beneficio dell'interessato, non è ragionevolmente possibile ottenerne il consenso e l'interessato probabilmente lo presterebbe.

I siti web che caricano strumenti di analisi, pubblicità o chat ospitati all'estero trasferiscono informazioni personali fuori dal Sudafrica, quindi queste regole riguardano ogni script di terze parti presente sul sito.

Notifica delle violazioni di sicurezza (sezione 22)

Se vi sono motivi ragionevoli per ritenere che una persona non autorizzata abbia avuto accesso a informazioni personali o le abbia acquisite, la parte responsabile deve informare l'Information Regulator e gli interessati coinvolti il prima possibile, per quanto ragionevolmente possibile. Gli operatori devono avvisare immediatamente la parte responsabile.

Da aprile 2025 l'Information Regulator richiede che le violazioni di sicurezza siano notificate tramite il suo portale eServices e non accetta più notifiche via e-mail. A differenza del GDPR, la POPIA non prevede un termine fisso di 72 ore né una soglia di rischio: ogni violazione deve essere notificata.

Il Regolamento POPIA modificato nel 2025

L'Information Regulator ha pubblicato modifiche al Regolamento POPIA, in vigore dal 17 aprile 2025. Le principali novità:

• Un opt-out non costituisce consenso al marketing diretto elettronico.
• Il consenso al marketing diretto può essere richiesto in una forma sostanzialmente simile al Modulo 4 e attraverso più canali.
• Più strumenti per gli interessati per opporsi, chiedere rettifiche e presentare reclami, e una platea più ampia di soggetti legittimati a reclamare.
• Una procedura di reclamo semplificata.

Sanzioni POPIA

La POPIA viene applicata tramite sanzioni penali, sanzioni amministrative e azioni civili:

Strumento sanzionatorio	Massimo
Reati gravi, come ostacolare l'autorità o non rispettare un provvedimento esecutivo	Multa e/o reclusione fino a 10 anni
Reati meno gravi	Multa e/o reclusione fino a 12 mesi
Sanzione amministrativa dell'Information Regulator	Fino a 10 milioni di rand
Azione civile degli interessati	Risarcimento dei danni, anche non patrimoniali

L'autorità può anche emettere provvedimenti esecutivi (enforcement notice) che obbligano un'organizzazione a interrompere o modificare il trattamento. Il danno reputazionale di un provvedimento pubblico può costare più della sanzione stessa.

POPIA vs GDPR

La POPIA è stata fortemente influenzata dalla normativa europea sulla protezione dei dati, quindi le organizzazioni che già lavorano alla conformità al GDPR partono avvantaggiate. Le principali differenze:

Tema	POPIA	GDPR
Soggetti tutelati	Persone fisiche e giuridiche	Solo persone fisiche
Ruoli	Parte responsabile, operatore	Titolare, responsabile del trattamento
Referente per la conformità	Information Officer, registrato presso l'autorità	DPO, obbligatorio solo in alcuni casi
Notifica delle violazioni	Il prima possibile, per ogni violazione	Entro 72 ore, salvo rischio improbabile
Marketing diretto elettronico	Consenso opt-in o cliente esistente (s69)	Disciplinato principalmente dalle norme ePrivacy
Cookie	Nessuna norma specifica; i cookie sono informazioni personali	Consenso ai cookie secondo la Direttiva ePrivacy
Sanzione massima	Sanzione amministrativa di 10 milioni di rand	20 milioni di euro o il 4% del fatturato annuo mondiale
Reclusione	Fino a 10 anni per i reati gravi	Non prevista dal GDPR stesso

Scoprite come si confrontano gli altri Paesi nella nostra panoramica sulle leggi globali sulla privacy.

Checklist POPIA per il sito web

1. Registrate il vostro Information Officer ed eventuali Deputy Information Officer sul portale eServices dell'autorità.
2. Mappate i dati: elencate ogni modulo, cookie, tag e strumento di terze parti che raccoglie informazioni personali.
3. Scansionate il sito web alla ricerca di cookie e tracker e classificateli.
4. Installate un banner dei cookie che spieghi ogni finalità e blocchi i cookie non essenziali fino al consenso.
5. Conservate i registri del consenso per dimostrare chi ha acconsentito, a cosa e quando.
6. Pubblicate un'informativa privacy chiara con le informazioni richieste dalla sezione 18, oltre a una cookie policy.
7. Usate il consenso opt-in per il marketing via e-mail e SMS e inserite un link di disiscrizione in ogni messaggio.
8. Verificate i trasferimenti all'estero verso fornitori di analisi, ad tech e cloud ai sensi della sezione 72.
9. Firmate accordi con gli operatori che li obblighino a proteggere le informazioni e a segnalare le violazioni.
10. Definite un processo per le richieste degli interessati, compresi accesso, rettifica e cancellazione.
11. Preparate un piano di risposta alle violazioni che includa la notifica tramite il portale eServices.
12. Rivedete periodicamente, soprattutto quando aggiungete nuovi tag o strumenti di marketing.

Come UniConsent aiuta a rispettare la POPIA

UniConsent è una piattaforma di gestione del consenso che trasforma la parte web della POPIA in poche semplici impostazioni:

• Banner dei cookie: un banner e un'informativa personalizzabili che spiegano ogni finalità con un linguaggio chiaro, in più lingue.
• Scansione dei cookie: rilevamento e classificazione automatici dei cookie e dei tracker presenti sul sito.
• Blocco preventivo: i tag di analisi, pubblicità e social media restano bloccati finché il visitatore non acconsente.
• Registri del consenso: ogni scelta viene salvata con data e ora, offrendovi una prova del consenso se l'autorità la richiede.
• Centro preferenze: i visitatori possono modificare o revocare il consenso in qualsiasi momento, con la stessa facilità con cui l'hanno dato.
• Portale privacy: un unico punto per inviare richieste di accesso, rettifica e cancellazione.
• Google Consent Mode v2 e IAB TCF: i segnali di consenso arrivano automaticamente ai vostri strumenti di analisi e pubblicità.
• Copertura globale: un'unica configurazione copre la POPIA, il GDPR e molte altre leggi sulla privacy, con regole in base alla posizione del visitatore.

Iniziate gratis con UniConsent e rendete il vostro sito conforme alla POPIA in pochi minuti.

Questa guida ha scopo puramente informativo e non costituisce consulenza legale.