Popi-wet amptelik in werking - Solidariteit WêreldSolidariteit Wêreld
Tuis › Nuuskantoor › Popi-wet amptelik in werking
Die Suid-Afrikaanse Wet op die Beskerming van Persoonlike Inligting (Popi) tree amptelik op 1 Julie 2020 in werking.
Dié Wet is reeds oor 'n aantal jare in werking gestel en talle dele is al sedert April 2014 geïmplementeer.
Artikels 2 tot 38; 55 tot 109; artikel 111; en artikel 114 (1), (2), en (3) word op 1 Julie in werking gestel.
Ander dele van die wet soos artikel 110 en 114 (4) tree eers op 30 Junie 2021 in werking.
Persoonlike inligting is 'n breë term en het betrekking tot 'n identifiseerbare, natuurlike persoon of regspersoon en sluit in, maar is nie beperk nie tot:
Kontakbesonderhede – telefoonnommer, e-posadres, adres ens.
Biometriese inligting – bloedgroep ens.
Demografiese inligting – ouderdom, geslag, ras, geboortedatum, etnisiteit ens.
Menings van en oor 'n persoon of groep
Geskiedenis – indiensneming, finansiële inligting, mediese geskiedenis, kriminele geskiedenis asook opvoedkundige geskiedenis.
Die Popi-wet is van toepassing op elke onderneming in Suid-Afrika (selfs internasionale maatskappye wat in Suid-Afrika besigheid doen) wat persoonlike inligting van 'n datasubjek (die natuurlike of regspersoon op wie die inligting betrekking het) versamel, gebruik, stoor of vernietig (ongeag of sodanige prosessering outomaties is al dan nie).
Wat is die verpligtinge van ondernemings onder Popi?
Van die verpligtinge sluit in:
Om slegs inligting vir 'n spesifieke doel in te samel;
om te verseker dat inligting relevant en op datum is;
om redelike sekuriteitsmaatreëls in plek te hê om die inligting te beskerm;
om net die nodige inligting te hou; en
om toe te laat dat die datasubjek sy of haar inligting op aanvraag mag sien of bekom.
Voorbeelde van aktiwiteite deur maatskappye wat die Popi-wet oortree sluit in die insameling van e-posadresse via 'n invulvorm op die web, die stoor van 'n lys van kliënte se adresse, die stuur van bemarkingsboodskappe of kommunikasie aan mense.
Wettige prosessering van persoonlike inligting
Prosessering behels enigiets wat met die persoonlike inligting gedoen word en sluit in die insameling, gebruik, bewaring, disseminasie, modifikasie of vernietiging van persoonlike inligting (ongeag of die prosessering outomaties gebeur al dan nie).
Die Popi-wetgewing bestaan uit die volgende belangrike inligtingsprosesseringsbeginsels:
Aanspreeklikheid: Besighede moet verseker dat die inligtingsprosesseringsbeginsels nagekom word.
Prosesseringsbeperking: Die prosessering moet regmatig geskied en persoonlike inligting mag slegs verwerk word indien dit voldoende, relevant en nie oormatig is gegewe die doel waarvoor dit verwerk word nie.
Doelspesifikasie: Persoonlike inligting moet versamel word vir 'n spesifieke én gedefinieerde en wettige doel met betrekking tot 'n funksie of aktiwiteit van die betrokke onderneming.
Openheid: Sekere voorgeskrewe inligting moet aan die datasubjek deur die onderneming verskaf word, insluitend die inligting wat versamel word, die naam en adres van die verantwoordelike party, die doel waarvoor die inligting ingesamel word en of die verskaffing van die inligting deur die datasubjek vrywillig of verpligtend is.
Verdere prosesseringsbeperkings: Dit is waar persoonlike inligting van 'n derde party ontvang en oorgedra word aan 'n ander verantwoordelike party vir die verwerking.
Sekuriteitsmaatreëls: Die onderneming moet die integriteit van die persoonlike inligting in sy besit en onder sy beheer beskerm deur te verseker dat maatreëls in plek is om verlies van, skade aan of ongemagtigde vernietiging van persoonlike inligting te voorkom.
Datasubjekdeelname: 'n Datasubjek het die reg om:
persoonlike inligting wat die onderneming hou gratis aan te vra; 2. persoonlike inligting wat nie korrek, irrelevant, oorbodig, misleidend of onregmatig verkry is, op te dateer of te vernietig; en 3. 'n rekord van persoonlike inligting te vernietig wat onnodig is vir die onderneming om te hou.
Mag persoonlike inligting na die buiteland gestuur word en kan inligting terug na Suid-Afrika gestuur word?
Die antwoord is ja, maar daar is wel beperkings wat sal afhang van wette van lande waarheen die inligting gestuur word en ook waarvandaan die inligting vandaan kom. Dit is veral "wolk-gebaseerde" stelsels wat probleme met Popi kan veroorsaak.
Moet besighede 'n "opt-in" of "opt-uit" opsie voorsien vir direkte bemarking?
Elke onderneming moet gebruik maak van 'n "opt-in" en "opt-uit" opsie wanneer hulle 'n datasubjek vir bemarkingsdoeleindes kontak. Baie maatskappye bied reeds die opsie wanneer hulle boodskappe per SMS stuur en baie e-posse wat vir bemarkingsdoeleindes aan datasubjekte gestuur word bied die opsie om die datasubjek se e-posadres te verwyder. Die opsie moet aangebied word sodat die datasubjek verstaan waarvoor hy of sy toestemming gee of beswaar teen maak.
Hoe lank mag persoonlike inligting deur 'n maatskappy gehou word?
Enige persoon se inligting mag nie langer gehou as wat dit nodig is om die doel waarvoor dit ingesamel is te bereik nie.
Kan 'n onderneming wat die Popi-wet oortree in die moeilikheid beland?
Die Popi-wet het streng regulasies waaraan elke maatskappy moet voldoen en afhangend van die aard van die oortreding kan besighede sowel as individue gestraf word. Oortreders kan tot en met R10 miljoen beboet word en kan selfs tronkstraf toegedien word.
Elke onderneming het twaalf maande (vanaf 1 Julie 2020) om ten volle te voldoen aan dié Wet.
Volgens die regsfirma DLA Piper sal maatskappye aandag moet gee aan die volgende aspekte om seker te maak dat hulle aan die regte kant van die Wet staan:
Die hersiening en opdatering van alle klant-, kliënt-, verskaffer- en derdeparty-ooreenkomste
Implementering van tegniese en organisatoriese maatreëls om ongemagtigde toegang tot en verkryging van persoonlike inligting te beskerm en te voorkom
Voorbereiding van toestemmingsdokumentasie en privaatheidskennisgewings
Heroorweging en/of maatreëls in plek stel vir geïdentifiseerde grensvloei van persoonlike inligting – soek vooraf toestemming van die inligtingsreguleerder en implementering van data-oordragooreenkomste
Die ontwikkeling van 'n kultuur van privaatheid deur opleiding van personeel, die opdatering en implementering van beleide en prosedures en die implementering van bewusmakingsveldtogte
Implementering van 'n data-oortreding en voorval-reaksieplan en -beleid
Implementering van 'n stelsel vir die bestuur van toegangsregte vir die betrokkene ingevolge die Popi- en PAIA-wetgewing
Volgens Elizabeth de Stadler, 'n kenner van verbruikersreg en medeskrywer van onder meer A Guide to the Protection of Personal Information Act, beteken die Wet dat die publiek iewers het om te gaan kla indien hulle van mening is dat 'n maatskappy hulle inligting sonder hulle wete bekom het of iets daarmee gedoen het waaroor hulle nie beheer gehad het nie. Volgens de Stadler beskerm die Wet die publiek teen lastige oproepsentrums en teen data-diefstal. Sy meen dat die wetgewing dit baie moeiliker gaan maak vir maatskappye om jou data te bekom en ook om dit selfs te koop.
Die Inligtingsreguleerder (IR) is op aanbeveling van die Nasionale Vergadering deur die president aangestel en is aan die Nasionale Vergadering verantwoordelik. Die pligte van die Inligtingsreguleerder is uiteenlopend en hy of sy het die mag en die gesag om alle aangeleenthede rakende die Popi-wet te hanteer. Vir meer inligting oor die Inligtingsreguleerder besoek gerus https://www.justice.gov.za/inforeg/index.html