Stručná odpověď: Jihoafrický zákon o ochraně osobních údajů (POPIA) je komplexní zákon o ochraně osobních údajů, který se vztahuje na jakoukoli organizaci zpracovávající osobní údaje obyvatel Jihoafrické republiky, bez ohledu na to, kde se tato organizace nachází. Globální podniky, které shromažďují, ukládají nebo používají jihoafrické osobní údaje, musí dodržovat tento zákon, jinak jim hrozí pokuty až do výše 10 milionů ZAR a potenciální trestní odpovědnost. Dodržování vyžaduje jmenování pověřence pro informace, provedení auditu dat, aktualizaci zásad ochrany osobních údajů a zavedení zákonných podmínek zpracování.
Klíčové poznatky
- POPIA je plně vymahatelný v roce 2026 a Informační regulátor vstoupil do aktivní fáze vymáhání s širším rozsahem vyšetřovacích pravomocí.
- Zákon platí extrateritoriálně: pokud vaše firma zpracovává osobní údaje patřící jihoafrickým subjektům údajů, POPIA se na vás vztahuje, i když působíte zcela mimo Jihoafrickou republiku.
- Osm zákonných podmínek zpracování odráží principy GDPR, ale obsahuje specifické jihoafrické požadavky, včetně povinné registrace pověřence pro informace.
- Od roku 2025 zavedly novelizované předpisy POPIA povinné hlášení narušení dat prostřednictvím e-portálu, které nahrazuje předchozí manuální proces oznamování. [1]
- Pokuty dosahují 10 milionů ZAR za porušení a až 10 let odnětí svobody za nejzávažnější trestné činy.
- Program dodržování POPIA obvykle zahrnuje audit dat, analýzu mezer, aktualizované smlouvy, školení zaměstnanců a vyhovující oznámení o ochraně osobních údajů.
- Nástroje pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), mohou pomoci provozovatelům webových stránek získat a zaznamenat zákonný souhlas podle požadavků POPIA.
- POPIA a PICA (zákon o podpoře přístupu k informacím) jsou odlišné zákony, které spolupracují; jejich zaměňování je běžnou chybou v dodržování předpisů.
Co je POPIA a proč je důležitý pro mé podnikání
POPIA, zákon o ochraně osobních údajů č. 4 z roku 2013, je primárním jihoafrickým zákonem o ochraně dat, široce modelovaným podle mezinárodních rámců, jako je GDPR EU. Upravuje, jak „odpovědné strany“ (správci dat) shromažďují, zpracovávají, ukládají a sdílejí osobní údaje fyzických a právnických osob. [7]
Zákon je důležitý, protože vymáhání již není teoretické. Informační regulátor, jihoafrický dozorový úřad, signalizoval fázi zásahu s rozšířenými vyšetřovacími a vymáhacími zdroji. Jakákoli organizace, která zpracovává jihoafrické osobní údaje bez zákonného základu, adekvátních bezpečnostních opatření nebo řádných postupů oznamování narušení, je nyní podstatně ohrožena.
Proč by se globální podniky měly starat konkrétně:
- Jihoafrická republika je jedním z největších spotřebitelských trhů v Africe, což znamená, že nadnárodní e-commerce, SaaS a firmy poskytující finanční služby téměř jistě zpracovávají jihoafrické osobní údaje.
- Poškození pověsti z veřejně známé vymáhací akce v Jihoafrické republice může ovlivnit důvěru v značku napříč kontinentem.
- Novely předpisů POPIA z roku 2025 zpřísnily lhůty pro oznamování narušení a zavedly povinný systém hlášení prostřednictvím e-portálu. [3]
Jak se POPIA liší od GDPR
POPIA a GDPR sdílejí společné intelektuální dědictví, oba vycházejí z principů spravedlivých informací OECD, ale liší se v několika provozně významných ohledech. [9]
| Funkce | POPIA (Jihoafrická republika) | GDPR (EU) |
|---|---|---|
| Územní rozsah | Zpracovává osobní údaje v Jihoafrické republice nebo jihoafrických subjektů údajů | Cílí na subjekty údajů z EU |
| Právní základy | 8 podmínek zpracování | 6 zákonných základů |
| Pověřenec pro informace | Povinná registrace u regulátora | DPO vyžadován pouze ve specifických případech |
| Oznámení o narušení | Povinný e-portál v „přiměřené“ lhůtě | Pravidlo 72 hodin pro dozorový úřad |
| Maximální pokuta | 10 milionů ZAR (~550 tisíc USD) | 20 milionů EUR nebo 4 % celosvětového obratu |
| Trestní odpovědnost | Ano, až 10 let odnětí svobody | Žádná přímá trestní odpovědnost podle GDPR |
Klíčový praktický rozdíl: POPIA vyžaduje, aby každá odpovědná strana zaregistrovala jmenovaného pověřence pro informace u Informačního regulátora. To není volitelné a neregistrace je sama o sobě porušením. Požadavek GDPR na pověřence pro ochranu osobních údajů je užšího rozsahu.
Které podniky musí dodržovat jihoafrický POPIA
Jakákoli „odpovědná strana“, která zpracovává osobní údaje v Jihoafrické republice nebo zpracovává osobní údaje jihoafrických subjektů údajů, musí dodržovat tento zákon. [2] To zahrnuje:
- Nadnárodní korporace s jihoafrickými zákazníky, zaměstnanci nebo dodavateli
- Zahraniční e-commerce platformy zasílající zboží na jihoafrické adresy
- Poskytovatelé SaaS, jejichž jihoafrickí klienti nahrávají osobní údaje na jejich platformy
- Marketingové agentury provádějící kampaně zaměřené na jihoafrické spotřebitele
- Vývojáři vytvářející aplikace používané jihoafrickými obyvateli
Výjimky jsou úzké. Zpracování pro čistě osobní nebo domácí účely je vyloučeno. Některé novinářské a výzkumné činnosti mají omezené výjimky. Komerční subjekty by však měly předpokládat, že se na ně POPIA vztahuje, pokud nezískaly specifické právní poradenství potvrzující opak. [4]
Jaké osobní údaje POPIA skutečně chrání
POPIA definuje „osobní údaje“ široce tak, aby zahrnovaly jakékoli informace, které identifikují nebo by mohly identifikovat žijící fyzickou osobu nebo existující právnickou osobu. [7] To zahrnuje:
- Jména, identifikační čísla a kontaktní údaje
- Biometrické údaje (otisky prstů, data rozpoznávání obličeje)
- Zdravotní a lékařské záznamy
- Finanční informace a historie transakcí
- Údaje o poloze a online identifikátory (IP adresy, cookies)
- Korespondence a obsah komunikace
- Trestní rejstříky a historie zaměstnání
Zvláštní kategorie, včetně zdravotních údajů, náboženského přesvědčení, politického přesvědčení, členství v odborech a biometrických údajů, podléhají zvýšené ochraně a obecně vyžadují výslovný souhlas nebo jiný specifický zákonný důvod.
Musím dodržovat POPIA, pokud jsem mimo Jihoafrickou republiku
Ano, ve většině případů. POPIA se uplatňuje, když zpracování probíhá „v republice“ nebo když má odpovědná strana sídlo mimo Jihoafrickou republiku, ale používá automatizované nebo neautomatizované prostředky umístěné v Jihoafrické republice, pokud tyto prostředky nejsou používány výhradně pro tranzit. [2]
V praxi to znamená, že americká společnost SaaS, jejíž jihoafrickí klienti zpracovávají údaje zaměstnanců nebo zákazníků prostřednictvím její platformy, je pravděpodobně „operátorem“ (zpracovatelem) podle POPIA a jihoafrický klient je odpovědnou stranou. Obě strany nesou povinnosti. Smlouvy mezi odpovědnými stranami a operátory musí obsahovat specifické doložky o zpracování dat. [4]
Okrajový případ: Pokud je vaše jediné spojení s Jihoafrickou republikou to, že jihoafrický uživatel občas navštíví váš web, analýza je nuancovanější. Podniky, které aktivně prodávají nebo cílí na jihoafrické spotřebitele, by měly považovat dodržování POPIA za povinné.
Jaké jsou hlavní sankce za porušení POPIA
Informační regulátor může uložit správní pokuty až do výše 10 milionů ZAR za porušení. Kromě pokut POPIA stanoví trestné činy s trestem odnětí svobody až na 10 let za nejzávažnější porušení, včetně obstrukce regulátora a nezákonného zpracování zvláštních kategorií osobních údajů. [8]
Nástroje pro vymáhání regulátora zahrnují:
- Vydávání donucovacích oznámení vyžadujících nápravná opatření
- Provádění vyšetřování a vynucování předkládání dokumentů
- Předávání záležitostí Národnímu státnímu zastupitelství k trestnímu stíhání
- Zveřejňování donucovacích akcí (důsledek pro pověst)
Vymáhání je nyní rutinní. Organizace, které odložily programy dodržování, by měly rok 2026 považovat za rok, kdy se mezery uzavřou, nikoli za rok, kdy se plánují budoucí akce.
Jaký je rozdíl mezi POPIA a PICA
POPIA (zákon o ochraně osobních údajů) a PICA (zákon o podpoře přístupu k informacím č. 2 z roku 2000) jsou samostatné zákony, které fungují paralelně. [9]
- POPIA upravuje, jak organizace shromažďují a zpracovávají osobní údaje; je to zákon o ochraně dat.
- PICA upravuje právo jednotlivců a organizací žádat o přístup k záznamům vedeným veřejnými a soukromými subjekty; je to zákon o přístupu k informacím.
Běžnou chybou v dodržování je zaměňování těchto dvou. Žádost subjektu údajů o přístup podle POPIA (právo vědět, jaké osobní údaje jsou o vás uchovávány) se liší od žádosti podle PICA (právo na přístup k jakémukoli záznamu). Obě práva lze uplatnit současně, ale postupy, lhůty a odpovědní úředníci se liší.
Jak dosáhnout souladu s POPIA: Rámec krok za krokem
Dodržování POPIA pro globální podnikání se řídí strukturovanou posloupností. Spěchání s politikou ochrany osobních údajů bez dokončení základních kroků je nejčastější a nejdražší chybou. [4]
Krok 1, Jmenujte a zaregistrujte pověřence pro informace Určete vedoucího pracovníka odpovědného za dodržování POPIA a zaregistrujte jej u Informačního regulátora prostřednictvím e-portálu.
Krok 2, Proveďte audit dat (aktualizace manuálu PAIA) Zmapujte každou kategorii osobních údajů, které vaše organizace shromažďuje, účel, právní základ, místo uložení, dobu uchovávání a příjemce třetích stran. Aktualizujte svůj manuál PAIA odpovídajícím způsobem.
Krok 3, Proveďte analýzu mezer Porovnejte současné postupy s osmi podmínkami zpracování POPIA: Odpovědnost, Omezení zpracování, Specifikace účelu, Omezení dalšího zpracování, Kvalita informací, Otevřenost, Bezpečnostní záruky a Účast subjektu údajů.
Krok 4, Aktualizujte smlouvy a dohody s operátory Všichni zpracovatelé třetích stran musí být vázáni písemnými smlouvami, které obsahují doložky o zpracování dat v souladu s POPIA. [2]
Krok 5, Aktualizujte své oznámení o ochraně osobních údajů a mechanismy souhlasu Vaše zásady ochrany osobních údajů na webových stránkách musí uvádět kategorie shromažďovaných dat, účely, doby uchovávání a práva subjektů údajů. Pro zpracování založené na souhlasu použijte platformu pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), k zachycení, zaznamenání a správě souhlasu uživatelů způsobem, který splňuje požadavky POPIA.
Krok 6, Zaveďte postupy pro reakci na narušení Po novelách z roku 2025 musí být narušení dat hlášena prostřednictvím povinného e-portálu Informačního regulátora. [1] Zaveďte interní plán reakce na incidenty, který spouští tento proces oznamování.
Krok 7, Proškolte zaměstnance Všichni pracovníci, kteří nakládají s osobními údaji, musí absolvovat školení POPIA odpovídající jejich roli. Dokumentujte dokončení školení.
Jak provést audit dat POPIA
Audit dat POPIA je strukturovaný soupis všech toků osobních údajů v rámci vaší organizace a skrze ni. Začněte identifikací každého systému, aplikace a procesu, který se dotýká osobních údajů. Pro každý tok dat zdokumentujte:
- Jaké osobní údaje jsou shromažďovány a od koho
- Zákonnou podmínku zpracování, na kterou se spoléhá
- Kde jsou data uložena (včetně cloudových regionů a přenosů do třetích zemí)
- Jak dlouho jsou data uchovávána a proces mazání
- Kdo má přístup interně a externě
Výstup auditu se přímo promítá do vašeho manuálu PAIA, vašeho oznámení o ochraně osobních údajů a vaší analýzy mezer. Považujte jej za živý dokument, který je revidován alespoň jednou ročně nebo po jakékoli významné změně systému.
Co by měla obsahovat moje zásada ochrany osobních údajů POPIA
Zásada ochrany osobních údajů v souladu s POPIA musí minimálně obsahovat: [7]
- Identitu a kontaktní údaje odpovědné strany a pověřence pro informace
- Kategorie shromažďovaných osobních údajů
- Účel, pro který jsou informace shromažďovány
- Zákonnou podmínku zpracování, na kterou se spoléhá
- Zda je poskytnutí informací dobrovolné nebo povinné
- Důsledky neposkytnutí informací
- Práva subjektu údajů (přístup, oprava, vymazání, námitka)
- Třetí strany, kterým mohou být informace sděleny
- Záruky pro přeshraniční přenos, pokud jsou relevantní
- Doby uchovávání
Pro webové stránky shromažďující data prostřednictvím cookies nebo sledovacích technologií zajišťuje vrstvené oznámení o souhlasu spravované nástrojem, jako je Biscotti CMP (www.biscotti-cmp.com), že souhlas je svobodně udělený, konkrétní, informovaný a jednoznačný, což je standard, který POPIA vyžaduje.
Jak dlouho musím uchovávat data podle POPIA
Podmínka specifikace účelu POPIA vyžaduje, aby osobní údaje byly uchovávány pouze po dobu nezbytnou k naplnění účelu, pro který byly shromážděny, nebo jak vyžaduje zákon. [9] Neexistuje žádná jednotná univerzální doba uchovávání. Místo toho musí organizace:
- Definovat doby uchovávání pro každou kategorii dat na základě provozní potřeby a platných právních povinností (např. daňové záznamy, záznamy o zaměstnání)
- Tyto doby zdokumentovat v plánu uchovávání
- Implementovat automatizované nebo procedurální mazání nebo deidentifikaci na konci doby uchovávání
Běžná chyba: Uchovávání dat na neurčito „pro každý případ“ je porušením POPIA. Výchozí pozicí musí být vymazání nebo anonymizace, jakmile je účel splněn.
Kolik stojí dodržování POPIA
Neexistují žádné pevné náklady na dodržování POPIA; ty se odvíjejí od složitosti organizace. Odhady se značně liší a závisí na faktorech, jako je objem zpracovávaných osobních údajů, vyspělost stávající správy dat a zda je zapojen právní poradce. [8]
Indikativní faktory nákladů zahrnují:
- Právní poplatky za analýzu mezer a revizi smluv
- Školení a registrace pověřence pro informace
- Technologické náklady (platformy pro správu souhlasu, nástroje pro mapování dat, bezpečnostní upgrady)
- Programy školení zaměstnanců
- Průběžné monitorování dodržování
Pro malé a střední podniky s omezeným zpracováním dat lze zaměřený program dodržování dokončit nákladově efektivně. Pro nadnárodní společnosti se složitými toky dat napříč jurisdikcemi jsou náklady podstatně vyšší. Náklady na nedodržení, pokuty ve výši 10 milionů ZAR plus poškození pověsti, téměř vždy převyšují náklady na řádně vymezený program dodržování.
Jaké jsou běžné chyby při dodržování POPIA
Nejčastěji pozorované selhání v dodržování zahrnují: [4] [8]
- Nezaregistrování pověřence pro informace, což je nejčastější opomenutí a je samostatně postižitelné.
- Kopírování zásad ochrany osobních údajů GDPR bez jejich přizpůsobení specifickým požadavkům POPIA, jako je odkaz na manuál PAIA a jazyk práv subjektů údajů v Jihoafrické republice.
- Žádné písemné dohody s operátory s třetími stranami zpracovateli, včetně poskytovatelů cloudu a marketingových platforem.
- Nedostatečné postupy pro reakci na narušení, zejména selhání použití povinného e-portálu zavedeného v novelách z roku 2025. [1]
- Zaměňování povinností POPIA a PICA při reagování na žádosti subjektů údajů.
- Uchovávání dat na neurčito bez zdokumentovaného plánu uchovávání.
- Předpoklad, že se POPIA nevztahuje, protože sídlo podniku je mimo Jihoafrickou republiku.
Jaká jsou moje práva jako subjektu údajů podle POPIA
Jihoafrické subjekty údajů mají podle POPIA silný soubor práv, která musí odpovědné strany být připraveny dodržovat: [7]
- Právo na přístup: Požadovat potvrzení, zda jsou osobní údaje uchovávány, a získat kopii.
- Právo na opravu nebo vymazání: Požadovat opravu nepřesných informací nebo vymazání informací zpracovávaných nezákonně.
- Právo vznést námitku: Vznést námitku proti zpracování z oprávněných důvodů, včetně účelů přímého marketingu.
- Právo odvolat souhlas: Pokud je zpracování založeno na souhlasu, odvolat jej kdykoli.
- Právo podat stížnost: Podat stížnost Informačnímu regulátorovi.
- Právo na náhradu škody: Podat občanskoprávní žalobu na náhradu škody utrpěné v důsledku porušení POPIA.
Odpovědné strany musí reagovat na žádosti subjektů údajů v přiměřené lhůtě a nesmí účtovat poplatky, které by účinně bránily výkonu těchto práv.
Často kladené otázky
Otázka: Kdy se POPIA stala plně vymahatelnou? Ustanovení POPIA o vymáhání se stala účinnými 1. července 2021, což organizacím poskytlo roční přechodné období, které vypršelo 1. července 2022. Do roku 2026 je plné vymáhání rutinní a Informační regulátor aktivně vyšetřuje stížnosti a provádí proaktivní audity.
Otázka: Musím zaregistrovat svého pověřence pro informace, než udělám cokoli jiného? Ano. Registrace pověřence pro informace u Informačního regulátora je předpokladem pro dodržování a měla by být prvním formálním krokem. Provoz bez registrovaného pověřence pro informace je sám o sobě porušením.
Otázka: Mohu se spolehnout na svůj program dodržování GDPR, abych splnil POPIA? Částečně. Dodržování GDPR poskytuje silný základ, ale POPIA má odlišné požadavky, včetně povinné registrace pověřence pro informace, manuálu PAIA a jazyka práv subjektů údajů specifického pro Jihoafrickou republiku, které vyžadují dodatečnou práci. Zásady GDPR nelze použít tak, jak jsou.
Otázka: Co je povinný e-portál pro hlášení narušení? Po novelách předpisů POPIA z roku 2025 zavedl Informační regulátor povinný elektronický portál, prostřednictvím kterého musí být podávána všechna oznámení o narušení dat. Manuální nebo e-mailová oznámení již nejsou dostatečná. [1]
Otázka: Vztahuje se POPIA na B2B data? Ano. POPIA chrání osobní údaje jak fyzických osob, tak existujících právnických osob (společností). B2B data, která zahrnují kontaktní údaje jednotlivců v klientských organizacích, spadají do rozsahu POPIA.
Otázka: Jak souvisí cookies a sledovací technologie s POPIA? Cookies, které shromažďují osobní údaje (jako jsou IP adresy nebo chování při prohlížení spojené s jednotlivcem), podléhají podmínkám zpracování POPIA. Souhlas je obvykle vyžadován pro nepodstatné cookies. Platforma pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), může pomoci provozovatelům webových stránek spravovat tento požadavek.
Otázka: Co je manuál PAIA a je povinný? Manuál PAIA je dokument vyžadovaný zákonem o podpoře přístupu k informacím, který popisuje, jaké záznamy organizace uchovává a jak požádat o přístup k nim. Je povinný pro soukromé subjekty a úzce souvisí s dodržováním POPIA, protože dokumentuje kategorie osobních údajů a toky.
Otázka: Může Informační regulátor proaktivně vyšetřovat mé podnikání, bez stížnosti? Ano. Informační regulátor má pravomoc provádět vyšetřování z vlastní iniciativy. Postoj k vymáhání v roce 2026 zahrnuje proaktivní sektorově specifická vyšetřování, nikoli pouze vymáhání na základě stížností.
Otázka: Existuje výjimka pro malé podniky podle POPIA? Neexistuje žádná plošná výjimka pro malé podniky. Informační regulátor však může zohlednit velikost a zdroje organizace při určování nápravných opatření. Všechny organizace zpracovávající osobní údaje zůstávají předmětem základních požadavků POPIA.
Otázka: Jaká pravidla pro přeshraniční přenos platí podle POPIA? Osobní údaje mohou být přeneseny do třetí země pouze v případě, že tato země má odpovídající úroveň ochrany, subjekt údajů udělil souhlas, přenos je nezbytný pro plnění smlouvy nebo je splněna jiná specifická podmínka. [2] Jihoafrická republika dosud nezveřejnila formální seznam adekvátnosti, takže se obvykle používají smluvní záruky.
Závěr
Jihoafrický POPIA již není událostí na obzoru dodržování, je to aktivní regulační realita, kterou si globální podniky nemohou dovolit považovat za budoucí úvahu. Regulační novely z roku 2025, povinné hlášení narušení prostřednictvím e-portálu a rozšířený postoj Informačního regulátora k vymáhání činí z roku 2026 rok, kdy se mají uzavřít mezery v dodržování, nikoli je otevírat.
Akční další kroky pro globální podniky:
- Okamžitě jmenujte a zaregistrujte pověřence pro informace u Informačního regulátora, pokud tak již nebylo učiněno.
- Zadejte audit dat k mapování všech toků osobních údajů, včetně těch, které zahrnují jihoafrické subjekty údajů.
- Zkontrolujte a aktualizujte všechny smlouvy s třetími stranami zpracovateli tak, aby obsahovaly doložky o zpracování dat v souladu s POPIA.
- Aktualizujte své oznámení o ochraně osobních údajů tak, aby splňovalo požadavky POPIA na zveřejňování, a implementujte řešení pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), pro získávání souhlasu na webových stránkách.
- Zaveďte postup pro reakci na narušení, který používá povinný e-portál pro oznámení.
- Proškolte všechny zaměstnance, kteří nakládají s osobními údaji, a zdokumentujte toto školení.
Organizace, které považují dodržování POPIA za jednorázový projekt spíše než za průběžný program, se ocitnou v ohrožení, jakmile se vymáhání zintenzivní. Vybudování udržitelného rámce pro správu dat nyní chrání před regulačními opatřeními, buduje důvěru zákazníků a připravuje vaše podnikání na odpovědné používání dat napříč africkými trhy.
Odkazy
[1] South Africa Introduces Mandatory E Portal Reporting For Data Breaches - https://www.covafrica.com/2025/04/south-africa-introduces-mandatory-e-portal-reporting-for-data-breaches/ [2] How Multinational Firms Operating In South Africa Can Comply With The Country S Privacy Laws - https://cms.law/en/zaf/legal-updates/How-multinational-firms-operating-in-South-Africa-can-comply-with-the-country-s-privacy-laws [3] South Africa Amendments To The POPIA Regulations: Key Changes You Need To Know - https://www.globalcompliancenews.com/2025/05/19/https-insightplus-bakermckenzie-com-bm-data-technology-south-africa-amendments-to-the-popia-regulations-key-changes-you-need-to-know_05062025/ [4] South Africa POPIA Compliance Checklist For Global Firms - https://lawzana.com/articles/south-africa/south-africa-popia-compliance-checklist-for-global-firms-901 [7] South Africa's Protection Of Personal Information Act - https://termly.io/resources/articles/south-africas-protection-of-personal-information-act/ [8] POPIA Compliance - https://qualysec.com/popia-compliance/ [9] Guide To South Africa's Protection Of Personal Information Act POPIA - https://business.privacybee.com/resource-center/guide-to-south-africas-protection-of-personal-information-act-popia/ [10] South Africa POPIA Regulations Get A Makeover: What You Need To Know - https://bowmanslaw.com/insights/south-africa-popia-regulations-get-a-makeover-what-you-need-to-know/