POPIA：南非《个人信息保护法》

什么是 POPIA？南非 POPI Act 详解

POPIA，也称 POPI Act，即《2013 年第 4 号个人信息保护法》（Protection of Personal Information Act 4 of 2013），是南非最主要的数据保护法律。其核心条款于 2020 年 7 月 1 日生效，经过一年宽限期后，自 2021 年 7 月 1 日起由南非信息监管机构（Information Regulator）全面执法。POPIA 规定了任何组织在南非收集、使用、存储、共享和删除个人信息的规则，包括通过网站、Cookie 和营销邮件收集的数据。

本指南介绍 POPIA 的适用对象、合法处理的八项条件、同意与直接营销、Cookie、数据主体权利、信息官（Information Officer）、跨境传输、安全事件通知、处罚、POPIA 与 GDPR 的对比，以及一份实用的网站合规清单。

POPIA 概览

全称	Protection of Personal Information Act 4 of 2013
简称	POPIA、POPI Act
生效时间	2020 年 7 月 1 日（大部分条款）
执法时间	2021 年 7 月 1 日起，此前有 12 个月宽限期
监管机构	南非信息监管机构（Information Regulator）
保护对象	自然人和法人（公司）
最高处罚	最高 1,000 万兰特罚款和/或最长 10 年监禁
安全事件报告	强制要求，自 2025 年 4 月起须通过监管机构的 eServices 门户报告

POPIA 适用于谁？

POPIA 适用于任何处理个人信息的责任方，只要其住所在南非，或虽不在南非但在南非境内使用自动化或非自动化手段处理个人信息（仅用于让信息过境转发的情况除外）。

POPIA 使用自己的术语：

• 数据主体（Data Subject）：个人信息所涉及的人。
• 责任方（Responsible Party）：决定处理目的和方式的公共或私人机构或个人（相当于 GDPR 中的"控制者"）。
• 运营方（Operator）：根据合同或委托为责任方处理个人信息的人（相当于 GDPR 中的"处理者"）。
• 信息官（Information Officer）：组织内部负责 POPIA 合规的人员。

法人同样受到保护

与 GDPR 不同，POPIA 不仅保护个人，还保护公司、封闭式公司（close corporation）等法人。在 POPIA 中，"人"指自然人或法人，因此有关企业客户、供应商和商业联系人的信息也可能受该法约束。

合法处理的 8 项条件

POPIA 建立在八项条件之上。责任方每次处理个人信息时都必须满足全部八项条件。

#	条件	实践含义
1	问责	责任方必须确保并能够证明所有条件均已满足
2	处理限制	合法、最小化地处理，并具备同意等有效依据
3	目的明确	为具体、明确界定且合法的目的收集数据，并仅在必要期限内保存
4	进一步处理限制	任何进一步处理都必须与原始目的相符
5	信息质量	保持个人信息完整、准确并及时更新
6	公开透明	保存处理记录，并告知数据主体收集了什么以及原因
7	安全保障	通过适当的技术和组织措施保护个人信息
8	数据主体参与	允许个人访问并更正其个人信息

POPIA 下的合法依据与同意

POPIA 第 11 条规定，只有在符合以下任一依据时才能处理个人信息：

• 数据主体（如为儿童，则由有权代理人）同意。
• 处理是订立或履行与数据主体之间合同所必需的。
• 处理是履行法律义务所必需的。
• 处理是为了保护数据主体的合法利益。
• 处理是公共机构履行公法职责所必需的。
• 处理是责任方或第三方合法利益所必需的。

POPIA 将同意定义为"任何自愿、具体且知情的意愿表达，据此允许处理个人信息"。证明已获得同意的举证责任由责任方承担，数据主体可以随时撤回同意。因此，可靠的同意记录必不可少。

直接营销：第 69 条要求事先同意（Opt-in）

第 69 条禁止通过电子通信（电子邮件、短信、传真或自动拨号系统）进行直接营销，除非对方已给予同意或是现有客户。

• 现有客户：如果您是在销售过程中获得的联系方式，并且在收集时以及每条消息中都提供了免费、简便的退订方式，则可以向其推广自己的同类产品或服务。
• 其他所有人：您只能请求一次同意，且前提是对方此前未曾拒绝。
• 每条消息都必须标明发送方身份，并提供收件人可要求停止发送的联系方式。

自 2025 年 4 月 17 日起生效的 POPIA 修订条例明确，对于通过未经请求的电子通信进行的直接营销，退订（Opt-out）不构成同意。现在可以采用与法定表格 4（Form 4）实质相似的形式请求同意，也可以通过电子邮件、短信或电话等其他渠道请求，通过电话提出的请求必须录音。

POPIA 是否要求 Cookie 同意？

POPIA 没有像欧盟 ePrivacy 指令那样专门针对 Cookie 的规定。但是，POPIA 对个人信息的定义包括在线标识符、位置信息和其他识别性标识。因此，能够识别访客的 Cookie、设备 ID、IP 地址和跟踪像素都属于个人信息，设置它们就是一种处理行为，需要具备合法依据并满足八项条件。

在实践中，这意味着：

• 严格必要的 Cookie（安全、负载均衡、购物车）通常可以依据合同或合法利益。
• 分析、广告和社交媒体 Cookie 在没有同意的情况下很难证明其合理性，尤其是当它们用于建立用户画像或与南非境外的第三方共享数据时。
• 公开透明要求提供清晰的 Cookie 告知，说明收集什么、由谁收集以及为何收集。
• 同意必须可证明，因此您需要记录谁在何时同意了什么。

使用 Cookie 横幅，在访客同意前阻止非必要标签，并记录每一次选择，是网站跟踪满足 POPIA 要求最实用的方式。

POPIA 下的数据主体权利

数据主体有权：

• 获知其个人信息正在被收集，并在发生安全事件时获得通知。
• 请求访问其个人信息。
• 请求更正、销毁或删除其个人信息。
• 基于合理理由反对处理，以及反对出于直接营销目的的处理。
• 在未同意的情况下不接收未经请求的电子直接营销。
• 不受仅基于自动化处理、且产生法律或重大影响的决定约束。
• 向信息监管机构投诉。
• 提起民事诉讼要求损害赔偿。

自助式隐私门户和清晰的 DSAR 流程可以让您更轻松地接收、核实并按时回复这些请求。

信息官注册

每个组织都有一名信息官。对于私营公司，默认由组织负责人（如 CEO）担任，其可以将职责委派给一名或多名副信息官（Deputy Information Officer）。第 55(2) 条要求信息官在履职前须向信息监管机构注册。注册通过监管机构的 eServices 门户完成。

信息官负责推动合规、处理数据主体请求、在调查期间配合监管机构，并制定合规框架和 PAIA 手册。其职能与 GDPR 下的数据保护官（DPO）类似。

跨境传输（第 72 条）

责任方只有在以下情况下，才能将个人信息传输给外国的第三方：

• 接收方受法律、具有约束力的公司规则或具有约束力的协议约束，且其提供的保护水平充分，与 POPIA 的条件实质相似；
• 数据主体同意该传输；
• 传输是履行与数据主体之间的合同，或应其要求采取合同前措施所必需的；
• 传输是为数据主体利益与第三方订立的合同所必需的；或
• 传输有利于数据主体，获得同意并不合理可行，且数据主体很可能会同意。

加载托管在境外的分析、广告或在线客服工具的网站，都在将个人信息传出南非，因此这些规则适用于您网站上的每一个第三方脚本。

安全事件通知（第 22 条）

如果有合理理由认为个人信息已被未经授权的人访问或获取，责任方必须在合理可行的情况下尽快通知信息监管机构和受影响的数据主体。运营方必须立即通知责任方。

自 2025 年 4 月起，信息监管机构要求通过其 eServices 门户报告安全事件，不再接受电子邮件报告。与 GDPR 不同，POPIA 没有固定的 72 小时期限，也没有风险门槛：所有安全事件都必须报告。

2025 年修订的 POPIA 条例

信息监管机构发布了 POPIA 条例修订案，自 2025 年 4 月 17 日起生效。主要变化包括：

• 对于电子直接营销，退订（Opt-out）不构成同意。
• 可以采用与表格 4 实质相似的形式，并通过更多渠道请求直接营销同意。
• 数据主体提出反对、请求更正和提交投诉的途径更多，有权投诉的主体范围更广。
• 投诉流程更加简化。

POPIA 处罚

POPIA 通过刑事处罚、行政罚款和民事索赔来执行：

执法手段	上限
严重犯罪，例如妨碍监管机构或不遵守执法通知	罚款和/或最长 10 年监禁
较轻犯罪	罚款和/或最长 12 个月监禁
信息监管机构开出的行政罚款	最高 1,000 万兰特
数据主体提起的民事诉讼	损害赔偿，包括非财产损失

监管机构还可以发出执法通知（Enforcement Notice），要求组织停止或改变其处理活动。公开执法通知带来的声誉损失可能比罚款本身代价更高。

POPIA 与 GDPR 对比

POPIA 深受欧盟数据保护法的影响，因此已经在推进 GDPR 合规的组织具有先发优势。主要区别如下：

主题	POPIA	GDPR
保护对象	自然人和法人	仅自然人
角色	责任方、运营方	控制者、处理者
合规负责人	信息官，须向监管机构注册	DPO，仅在特定情况下强制设立
数据泄露通知	合理可行时尽快通知，所有事件均须报告	72 小时内通知，除非不太可能产生风险
电子直接营销	事先同意或现有客户（第 69 条）	主要受 ePrivacy 规则约束
Cookie	无专门规定；Cookie 属于个人信息	依据 ePrivacy 指令须获得 Cookie 同意
最高罚款	1,000 万兰特行政罚款	2,000 万欧元或全球年营业额的 4%
监禁	严重犯罪最长 10 年	GDPR 本身未规定

在我们的全球隐私法律概览中了解其他国家的情况。

POPIA 网站合规清单

1. 注册信息官及副信息官（如有），通过监管机构的 eServices 门户完成。
2. 梳理数据：列出所有收集个人信息的表单、Cookie、标签和第三方工具。
3. 扫描网站中的 Cookie 和跟踪器，并进行分类。
4. 部署 Cookie 横幅，说明每项用途，并在获得同意前阻止非必要 Cookie。
5. 保存同意记录，证明谁在何时同意了什么。
6. 发布清晰的隐私声明，涵盖第 18 条要求的信息，并提供 Cookie 政策。
7. 对电子邮件和短信营销采用事先同意，并在每条消息中提供退订链接。
8. 根据第 72 条审查跨境传输，包括分析、广告技术和云服务提供商。
9. 与运营方签订协议，要求其保护信息安全并报告安全事件。
10. 建立数据主体请求处理流程，包括访问、更正和删除。
11. 制定数据泄露应对计划，包括通过 eServices 门户进行报告。
12. 定期复查，尤其是在添加新标签或营销工具时。

UniConsent 如何帮助您实现 POPIA 合规

UniConsent 是一款同意管理平台，可将 POPIA 中与网站相关的要求简化为几项简单设置：

• Cookie 横幅：可自定义的横幅和告知，以清晰的语言和多种语言说明每项用途。
• Cookie 扫描：自动发现并分类网站上的 Cookie 和跟踪器。
• 事先阻止：在访客同意之前，分析、广告和社交媒体标签始终处于阻止状态。
• 同意记录：每一次选择都带有时间戳并被记录，在监管机构要求时可作为同意证明。
• 偏好中心：访客可以随时更改或撤回同意，与给予同意一样简单。
• 隐私门户：集中受理访问、更正和删除请求。
• Google Consent Mode v2 和 IAB TCF：同意信号自动传递给您的分析和广告工具。
• 全球覆盖：一次设置即可覆盖 POPIA、GDPR 及众多其他隐私法律，并可按访客所在地应用不同规则。

免费开始使用 UniConsent，几分钟内让您的网站符合 POPIA 要求。

本指南仅供一般参考，不构成法律意见。