'Só gaan ek Popia toepas' – reguleerder | Netwerk24
Deur Jana Marx 17 Junie 2021 06:33
Dis dalk soos "Dawid teen Goliat", maar sy gaan voort met regstappe teen WhatsApp, wat Popia met sy nuwe privaatheidsbeleid skend, het adv. Pansy Tlakula aan Jana Marx gesê.
Adv. Pansy Tlakula is gereed vir haar groot taak as Suid-Afrika se Inligtingsreguleerder.
Oor twee weke kan die Nasionale Inligtingsreguleerder die Wet op die Beskerming van Persoonlike Inligting (Popia) begin afdwing.
Vir adv. Pansy Tlakula, voorsitter van die Inligtingsreguleerder, wat oor Popia moet toesig hou, is 1 Julie die dag wanneer jare se bloedsweet uiteindelik vrug sal dra.
"Maak jou oë toe en stel jou voor jy is aangestel as voorsitter van 'n instelling wat nog nooit bestaan het nie. Hierdie instelling het 'n ingewikkelde mandaat wat wêreldwyd nog aan die ontwikkel is . . ."
Dit was in 2016. Weens 'n gebrek aan 'n kantoor en administrasiepersoneel is die spannetjie van vyf prokureurs in die departement van justisie se raadsaal ingestuur om lewe in Suid-Afrika se Inligtingsreguleerder te blaas.
Niemand het aanvanklik Popia se groot invloed besef nie. "Ek dink mense wat 'n wet op databeskerming voorgestel het, het versiendheid aan die dag gelê. Ek dink nie hulle het destyds 'n situasie voorsien waar ek en jy aanlyn kan werk en waar data 'n betaalmiddel in die wêreld geword het nie. Mense vergelyk nou data met olie of noem dit 'die nuwe goud' om die waarde en belangrikheid daarvan te beskryf."
Sy beskou die Inligtingsreguleerder as 'n "menseregtekommissie" wat verantwoordelik is vir mense se reg op privaatheid ten opsigte van die verwerking van persoonlike inligting. Die tweede deel van haar mandaat is om die reg op toegang tot inligting tot uitvoer te bring. Die Wet op die Bevordering van Toegang tot Inligting (Paia) loop hand aan hand met Popia.
Die eerste dag daar in die raadsaal was maar net die begin van 'n lang reis.
"Almal van ons is prokureurs. Niemand van ons is organisatoriese ontwikkelingspesialiste nie. Maar daar moes ons 'n organisatoriese struktuur skep – op ons eie!"
Suid-Afrika is een van die min lande ter wêreld met 'n wet wat persoonlike data beskerm. Die vyfstuks het gevolglik by Kanada, Duitsland en Brittanje gaan aanklop om te leer. Toe volg die skryf van beleide, regulasies en riglyne. Die vyf moes deur 600 openbare kommentare en voorstelle werk en elkeen motiveer – of hulle dit aanvaar of nie.
"Ons het nie die luukse gehad om (werk) uit te kontrakteer nie."
Die departement van justisie kon aanvanklik vir die nuwe Inligtingsreguleerder een administratiewe persoon "leen".
Later het hulle nog drie afgestaan.
"Ons moes al die werk op ons eie doen tot waar ons vandag is. Daar is nog 'n lang pad om te loop, maar as ek terugkyk na waar ons vandaan kom, dink ek dat ons betreklik goed gevaar het."
Spesialis by uitstek
Tlakula, een van die Suid-Afrikaanse Menseregtekommissie (MRK) se stigterslede, het al diep spore in die akademie, staats- en private sektor getrap.
Van haar vorige poste sluit in voorsitter van die Nasionale Kredietreguleerder se direksie, hoofverkiesingsbeampte, voorsitter van die Verkiesingskommissie en nie-uitvoerende direkteur van die Bidvest-groep.
Met 'n LLM aan die Harvard-universiteit in Amerika, was sy by verskillende plaaslike universiteite betrokke – as senior lektor by die destydse Universiteit van Bophuthatswana, as voorsitter van die Noordwes-Universiteitraad en selfs kanselier van die Vaal-Universiteit vir Tegnologie.
Sy is steeds voorsitter van die Afrika-Unie se Afrika-kommissie vir mense- en volkereregte, asook die spesiale waarnemer oor vryheid van uitdrukking en toegang tot inligting in Afrika.
Meeste klagtes hiér
Hoewel sy nie voor 1 Julie sanksies kan toepas nie, het die Inligtingsreguleerder oor jare heen alle klagtes aangeteken.
"Ons het besluit om . . . hierdie klagtes te ontvang en op 'n proaktiewe wyse te hanteer omdat ons nie die wet kon afdwing nie. Dit het ons ook 'n idee gegee uit watter sektore die meeste klagtes kom."
Die drie sektore wat die meeste klagtes veroorsaak het, is telekommunikasie, finansiële dienste en regstreekse bemarking. Voorheen is berig dat Popia nie 'n einde aan telebemarkingsoproepe gaan bring nie, maar dat dit vir telebemarkers moeiliker gaan word om mense se nommers in die hande te kry. Popia steek egter 'n stokkie voor outomatiese oproepe of robocalls.
• Lees 'n vorige diepteartikel hier.
'WhatsApp sal nié ons inligting vir Facebook gee nie'
"Dis soos Dawid en Goliat," skerts Tlakula, wat oorgehaal is om WhatsApp te pak nadat die kletsdiens met sy gewysigde privaatheidsbeleid Suid-Afrikaners se persoonlike inligting met Facebook en sy filiale wil deel.
Dit strook nie met Popia nie.
"Ons het aan WhatsApp geskryf en gesê: 'Kyk, ons dink nie dis aanvaarbaar nie.'
"Hulle het gereageer en eintlik net hul privaatheidsbeleid herhaal, sonder om op die kwessies te reageer.
"Ons het toe wéér geskryf en gesê: 'Ons hoor julle, maar julle het nie op ons vrae gereageer nie. Ons hou vol dat jul privaatheidsbeleid wat die nuwe bepalings en voorwaardes betref, ons wet oortree en ons voel julle het ander privaatheidstandaarde vir gebruikers in Europa.'
"Intussen is die Inligtingsreguleerder besig om regsadvies in te win vir regstappe."
"Dawid" roep tans versterking in.
Die reguleerder is reeds in kontak met die Afrika-databeskermingsnetwerk, wat uit 'n paar databeskermingsowerhede op die vasteland bestaan, asook die internasionale privaatheidsalliansie.
'My inligting, my besluit'
Tlakula verduidelik Popia aan die hand van 'n huis-analogie: "Mense beskou eiendom as tasbaar, want dis waaraan ons gewoond is. My huis, my geld, en so meer. My persoonlike inligting hou ten nouste hiermee verband, want dit word deel van my menswaardigheid. Dis my privaatheid en niemand het enige reg om daarmee te doen wat hulle wil nie, net soos niemand die reg het om te doen wat hulle wil binne my huis nie. Dis mý huis. Niemand kan dit kom wegvat of vandaliseer of sonder my toestemming beset nie. Hierdie beginsels geld ook persoonlike inligting.
"Popia sê: Voordat jy doen wat jy wil met my persoonlike inligting, wees minstens gaaf genoeg en vra my toestemming."
Sy benadruk vinnig dat daar wél gevalle is waar toestemming nie nodig is nie, soos as 'n persoon vir 'n misdaad ondersoek word. Maar dis die uitsondering. Inligting mag ook net gebruik word vir die doel waarvoor dit ingesamel is.
"Ek gaan na 'n selfoondiensverskaffer en deel persoonlike inligting met die doel om 'n diens te kry – 'n selfoondiens. Dit mag net gebruik word vir daardie doel. Sodra ek die maatskappy verlaat en na 'n ander selfoondiensverskaffer gaan, moet die vorige verskaffer my persoonlike inligting vernietig."
En terwyl 'n maatskappy jou inligting wettig in sy besit het, moet hy seker maak dis veilig, sê sy.
Só word jou klagtes verwerk
Klagtes oor die nienakoming van Popia, "soos as jy regstreekse bemarkingsboodskappe sonder jou toestemming ontvang", kan skriftelik ingedien word.
Stuur 'n e-pos na IR@justice.gov.za.
Die Inligtingsreguleerder is besig om met die MRK en die openbare beskermer (OB) te onderhandel om hul plaaslike kantore te gebruik.
Klagtes werk so:
Hulle was op hul eie aangewese om lewe in die Inligtingsreguleerder te blaas. Hulle moes selfs die logo self uitdink. Grafiese ontwerpers by die departement van justisie het daarmee gehelp.
• Die Inligtingsreguleerder ontvang 'n klag en oorweeg oplossings soos mediasie of konsiliasie.
• Sou sy besluit om 'n volledige ondersoek te doen, word dit na die toepassingskomitee verwys, wat uit vyf lede bestaan. "Ons is besig om 'n afgetrede regter (as voorsitter) te identifiseer." Die komitee bestaan voorts uit 'n lid van die reguleerder en drie ander lede.
• Die komitee kan 'n saak "op papier" beslis of mondelinge getuienis aanhoor. Indien nodig, sal hulle forensiese kenners en data-ontleders se hulp kry.
• Die komitee maak dan 'n aanbeveling aan die reguleerder met moontlike stappe vir skadevergoeding.
• Wanneer die reguleerder 'n aanbeveling aanvaar, moet die kantoor 'n "kennisgewing vir opdwinging" uitreik, wat uitstippel hoe mense gestraf kan word.
"Die besluit is bindend," sê Tlakula. "As jy nie met die besluit saamstem nie, moet jy in die hooggeregshof daarteen gaan appelleer."
Dit is anders as in die geval van byvoorbeeld die OB, waar die konstitusionele hof gelas het dat die OB se besluit staan totdat dit op hersiening tersyde gestel word. "Ons s'n is nie 'n hersieningsproses nie. Ons s'n is 'n appèl. Dis waarom ons meen die komitee moet deur 'n regter gelei word."
Soms gaan die Inligtingsreguleerder met die polisie en ander owerhede moet saamwerk, soos wanneer hulle 'n beslagleggingsbevel vir 'n ondersoek moet bekom.
Die owerhede sal soos gewoonlik strafsake hanteer. "Die Inligtingsreguleerder is nie 'n vervolgingsgesag nie." In só 'n geval ondersoek die polisie 'n saak en verwys dit na die nasionale vervolgingsgesag vir strafregtelike vervolging. Popia bepaal dat boetes van tot R10 miljoen, tronkstraf van tot tien jaar of 'n boete en tronkstraf opgelê kan word as iemand skuldig bevind word. Net joernaliste word tans deur die Inligtingsreguleerder vrygeskeld, mits hulle aan die Perskode en interne etiekkodes voldoen.
'n Paar vrae aan die Inligtingsreguleerder
• Watter rol speel Popia om kubermisdaad te bekamp?
Pres. Cyril Ramaphosa het onlangs die Wet op Kubermisdade bekragtig. Popia en kubermisdade hou met mekaar verband.
Volgens Tlakula is daar kragtens Popia agt voorwaardes waaraan almal wat persoonlike inligting verwerk, moet voldoen. Een hiervan is dat die verantwoordelike party wat die persoonlike inligting insamel "voldoende en billike veiligheidsmaatreëls" moet instel om persoonlike inligting te beskerm.
Iemand het die kredietburo Experian verlede jaar bedrieg toe hy hom voorgedoen het as die verteenwoordiger van Experian se kliënt. Die kredietburo het toe 24 miljoen Suid-Afrikaners se persoonlike inligting aan hom verkoop.
"Wanneer 'n kubermisdaad plaasvind, sal die polisie dit ingevolge die Wet op Kubermisdade ondersoek. Wat by Experian gebeur het, was 'n databreuk. By Popia vra ons dan: Het Experian voldoende en billike tegniese en organisatoriese maatreëls gehad om die inligting te beskerm?"
• Is ons owerhede opgelei vir databeskerming?
Sy reken ons huidige datawette is so gespesialiseerd, die polisie sal 'n spesiale eenheid op die been moet bring wat daarvoor opgelei is.
Selfs die regter in beheer van die komitee sal moet "leer soos ons".
"Universiteite wat 'n diploma in databeskerming aanbied – dis alles steeds teoreties. Niemand het dit al prakties toegepas nie. Ongelukkig is Popia 'n ingewikkelde stuk wetgewing. Die prokureurs wat hulself Popia-kenners noem, sal ook van 1 Julie af moet leer hoe om die wet toe te pas."
• Gaan ons van 1 Julie af te doen kry met die volle mag van die Inligtingsreguleerder, soos oudits om te sien wie oortree die wet?
"Ons het nie die hulpbronne om oudits te doen nie. Natuurlik gee die wet ons die mandaat om 'n impakstudie op eie inisiatief of op versoek te doen, maar ons gaan dit nie nou doen nie."
• Wie is die inligtingsbeampte?
Elke instelling wat met persoonlike data omgaan, moet 'n inligtingsbeampte hê. Tlakula verduidelik dat die aanwysing van 'n inligtingsbeampte kragtens Popia verskil van ander jurisdiksies, soos die Europese Unie se algemene databeskermingsregulasies (GDPR).
"Kragtens die GDPR kan 'n verantwoordelike party privaatheidsbeamptes aanstel," verduidelik sy.
Maar Popia skryf voor wie die rol vervul: "By private instellings is die inligtingsbeampte die uitvoerende hoof van die maatskappy. By staatsdepartemente kom die inligtingsbeampte op drie vlakke voor: direkteur-generaal (nasionale vlak), munisipale bestuurder (op munisipale vlak) en uitvoerende hoof (by staatsondernemings)."
• Kan die inligtingsbeampte magte delegeer?
Adv. Pansy Tlakula toe sy nog die voorsitter van die Verkiesingskommissie was. Foto: Argief
Popia maak dit vir 'n inligtingsbeampte moontlik om 'n waarnemende inligtingsbeampte aan te wys. Die wet maak ook voorsiening vir delegering van magte na sogenaamde adjunk-inligtingsbeamptes. 'n Groot maatskappy kan selfs meer as een adjunk hê.
En wat van 'n groep maatskappye? "As jy 'n groep het, het jy 'n groephoof. Die groephoof sal dan die inligtingsbeampte vir die beherende maatskappy wees. Besturende direkteure of uitvoerende hoofde van filiale sal elk 'n inligtingsbeampte uit eie reg wees."
Daar is egter steeds uitdagings wat hulle moet hanteer.
Een daarvan is wanneer 'n maatskappy net een persoon of een bestuurder in diens het – soos 'n fondsbestuurmaatskappy waarmee die Inligtingsreguleerder onlangs te doen gekry het.
Popia vereis dat 'n inligtingsbeampte se standplaas in Suid-Afrika moet wees.
'n Ander probleem is gevalle waar 'n maatskappy se uitvoerende hoof in die buiteland werk.
"Ons meen as 'n maatskappy in Suid-Afrika geregistreer is, hulle iemand in Suid-Afrika moet plaas wat gemagtig is om 'n inligtingsbeampte te wees, al is daardie persoon nie op die hoogste vlak nie – soos 'n landverteenwoordiger. Ek kan nie 'n Paia-versoek rig aan 'n inligtingsbeampte in Italië nie."
• Is die inligtingsbeampte altyd die regsaanspreeklike beampte?
Volgens Tlakula bepaal Popia dat die "verantwoordelike party" aanspreeklik is. "Dit sê nie 'inligtingsbeampte' nie. So 'n besluit sal geneem moet word oor wie verantwoordelik is vir nienakoming (van Popia)."
• Wat van staatsinstellings wat reeds 'n inligtingsbeampte vir Paia-doeleindes het?
"Die inligtingsbeampte wat daar was vir Paia, kan slegs hul Popia-rol uitvoer nadat hulle by die Inligtingsreguleerder geregistreer is."
• In ander lande was daar al groepsgedinge teen maatskappye wat datawette oortree het. Sien jy dit hier gebeur?
"Ek dink dis moontlik. Een van die dinge wat ons nog moet uitwerk, is of ons gaan toelaat dat klagtes 'in die openbare belang' ingedien kan word. Of 'n party of organisasie namens slagoffers klagtes kan indien. 'Openbare litigasie' word hier toegelaat."