POPIA: Südafrikas Datenschutzgesetz

Was ist POPIA?

Der Protection of Personal Information Act (POPIA) ist Südafrikas umfassendes Datenschutzgesetz; seine wesentlichen Bestimmungen gelten vollständig seit Juli 2021. Der räumliche Anwendungsbereich hängt nicht von der Staatsangehörigkeit ab: Erfasst sind verantwortliche Stellen mit Sitz in Südafrika oder solche, die dort Verarbeitungsmittel einsetzen, vorbehaltlich der Ausnahme für reine Weiterleitung.

POPIA schafft einen eigenständigen südafrikanischen Rahmen mit Anwendungsbereich, Verarbeitungsbedingungen, Rechten, Aufsicht und Durchsetzung; DSGVO-Begriffe lassen sich nicht ungeprüft übertragen.

Acht Verarbeitungsbedingungen

Rechenschaftspflicht: Die verantwortliche Partei muss die Einhaltung sicherstellen.

Verarbeitungsbeschränkung: Personenbezogene Daten müssen rechtmäßig verarbeitet werden.

Zweckbestimmung: Informationen müssen für einen bestimmten, ausdrücklich definierten und rechtmäßigen Zweck erhoben werden.

Beschränkung der Weiterverarbeitung: Eine weitere Verarbeitung muss mit dem ursprünglichen Zweck vereinbar sein.

Informationsqualität: Daten müssen soweit praktisch möglich vollständig, richtig und nicht irreführend sein.

Offenheit: Verarbeitungen sind zu dokumentieren und Betroffene müssen die vorgeschriebenen Hinweise erhalten.

Sicherheitsmaßnahmen: Geeignete technische und organisatorische Maßnahmen müssen Informationen schützen.

Beteiligung der betroffenen Person: Betroffene haben Rechte auf Zugang und gegebenenfalls Berichtigung oder Löschung.

Einwilligung unter POPIA

Einwilligung ist unter POPIA nur eine von mehreren Rechtfertigungen. Wird sie genutzt, trägt die verantwortliche Stelle die Nachweispflicht; die Person kann sie mit Wirkung für die Zukunft widerrufen. Für elektronisches Direktmarketing gelten zusätzliche Regeln. Eine CMP unterstützt Website-Auswahl und Nachweise, deckt aber nicht alle POPIA-Pflichten ab.