Compliance mit POPIA durch ConsentX

Der Protection of Personal Information Act 4 of 2013 (POPIA) ist Südafrikas Datenschutzgesetz. Es legt Bedingungen für die rechtmäßige Verarbeitung personenbezogener Informationen fest und gewährt Personen und anderen betroffenen Personen Rechte und Schutz.

POPIA gilt für Verantwortliche und andere Organisationen, die personenbezogene Informationen im Anwendungsbereich des Gesetzes verarbeiten. Dazu können in Südafrika ansässige Organisationen ebenso zählen wie bestimmte Organisationen außerhalb Südafrikas, die personenbezogene Informationen in Südafrika verarbeiten.

POPIA nennt acht Bedingungen für die rechtmäßige Verarbeitung: Rechenschaftspflicht, Beschränkung der Verarbeitung, Zweckfestlegung, Beschränkung der Weiterverarbeitung, Informationsqualität, Offenheit, Sicherheitsmaßnahmen und Beteiligung der betroffenen Person.

Die Einwilligung ist eine mögliche Rechtfertigung für eine rechtmäßige Verarbeitung nach POPIA. Das Gesetz kennt jedoch mehrere Gründe für eine rechtmäßige Verarbeitung, sodass nicht jede Verarbeitungsaktivität zwingend eine Einwilligung erfordert. Organisationen sollten für jede Verarbeitungsaktivität die passende Rechtsgrundlage bestimmen.

Beruht die Verarbeitung auf einer Einwilligung, können betroffene Personen diese widerrufen – vorbehaltlich der geltenden rechtlichen Anforderungen und Folgen. Organisationen sollten einen leicht zugänglichen Mechanismus zur Verwaltung von Einwilligungspräferenzen bereitstellen.

POPIA gewährt betroffenen Personen verschiedene Rechte in Bezug auf ihre personenbezogenen Informationen, darunter das Recht auf Auskunft, auf Berichtigung oder Löschung in den einschlägigen Fällen, auf Widerspruch gegen bestimmte Verarbeitungen sowie auf Ausübung weiterer im Gesetz vorgesehener Rechte.

POPIA ist nicht ausschließlich ein Cookie-Einwilligungsgesetz. Seine Anforderungen gelten für die Verarbeitung personenbezogener Informationen. Soweit Cookies, Tracker oder ähnliche Technologien personenbezogene Informationen erheben oder verarbeiten, sollten Organisationen die einschlägigen POPIA-Anforderungen und geeignete Datenschutzkontrollen prüfen.

Ja. POPIA enthält besondere Bestimmungen zum Direktmarketing mittels unerbetener elektronischer Kommunikation. Organisationen sollten ihre Marketingaktivitäten prüfen und sicherstellen, dass die einschlägigen Einwilligungs- und Opt-out-Anforderungen ordnungsgemäß umgesetzt sind.

Ja. POPIA enthält Anforderungen an die Übermittlung personenbezogener Informationen außerhalb Südafrikas. Organisationen sollten prüfen, ob das Zielland, der Empfänger oder der Übermittlungsmechanismus ein angemessenes Schutzniveau bietet oder anderweitig die vom Gesetz zugelassenen Voraussetzungen erfüllt.

POPIA verpflichtet Verantwortliche, Integrität und Vertraulichkeit der in ihrem Besitz oder unter ihrer Kontrolle befindlichen personenbezogenen Informationen durch angemessene, vernünftige technische und organisatorische Maßnahmen zu sichern, um Verlust, Beschädigung, unbefugte Vernichtung sowie unrechtmäßigen Zugriff oder unrechtmäßige Verarbeitung zu verhindern.

ConsentX stellt Technologie bereit, die wichtige Datenschutzabläufe nach POPIA unterstützt, darunter Einwilligungsmanagement, zweckbasierte Wahlmöglichkeiten, Widerruf der Einwilligung, Tracker-Erkennung, Skript-Blockierung vor Einwilligung, Einwilligungsnachweise und Workflows für Anfragen betroffener Personen. ConsentX allein garantiert jedoch keine POPIA-Konformität. Organisationen müssen ihre gesamten Datenverarbeitungsaktivitäten, Richtlinien, Sicherheitsmaßnahmen, Verträge und rechtlichen Pflichten bewerten.