POPIA コンプライアンスをConsentXで

Protection of Personal Information Act 4 of 2013（POPIA）は、南アフリカのデータ保護法です。個人情報の適法な処理に関する条件を定め、個人その他のデータ主体に権利と保護を与えています。

POPIAは、同法の適用範囲内で個人情報を処理する責任当事者その他の組織に適用されます。これには、南アフリカに拠点を置く組織のほか、南アフリカ国内で個人情報を処理する一定の国外組織も含まれ得ます。

POPIAは、説明責任、処理の限定、目的の特定、追加処理の限定、情報の品質、公開性、セキュリティ対策、データ主体の関与という、適法な処理に関する8つの条件を定めています。

同意は、POPIAにおける適法な処理を正当化し得る根拠の1つです。ただしPOPIAは複数の適法根拠を認めているため、すべての処理活動に必ず同意が必要というわけではありません。組織は処理活動ごとに適切な適法根拠を判断する必要があります。

処理が同意に基づく場合、データ主体は適用される法的要件と結果に従って同意を撤回できます。組織は、同意のプリファレンスを管理できる分かりやすい手段を提供すべきです。

POPIAは、自身の個人情報へのアクセス、該当する状況における訂正・削除の請求、一定の処理に対する異議申立て、その他同法が定める権利など、データ主体にさまざまな権利を認めています。

POPIAはCookie同意のみを扱う法律ではありません。その要件は個人情報の処理に適用されます。Cookie、トラッカー、類似のテクノロジーが個人情報を収集・処理する場合、組織は適用されるPOPIAの要件と適切なプライバシー制御を評価する必要があります。

はい。POPIAには、求められていない電子的コミュニケーションによるダイレクトマーケティングに関する固有の規定があります。組織は自社のマーケティング活動を評価し、該当する同意およびオプトアウトの要件を適切に実装する必要があります。

はい。POPIAには、南アフリカ国外への個人情報の移転を規律する要件が定められています。組織は、移転先の国、受領者、移転の仕組みが適切な保護水準を提供しているか、あるいは同法が認める条件を満たしているかを評価する必要があります。

POPIAは責任当事者に対し、紛失、毀損、不正な破壊、違法なアクセスや処理を防ぐための適切かつ合理的な技術的・組織的措置を講じ、自らが保有または管理する個人情報の完全性と機密性を確保することを求めています。

ConsentXは、同意管理、目的別の選択肢、同意の撤回、トラッカー検出、事前スクリプトブロック、同意の証跡、データ主体からの請求対応ワークフローなど、POPIAの重要なプライバシー運用を支えるテクノロジーを提供します。ただし、ConsentXだけでPOPIAへの準拠が保証されるわけではありません。組織は、自社のデータ処理活動全体、方針、セキュリティ対策、契約、法的義務を評価する必要があります。