Risposta Rapida: La legge sulla protezione delle informazioni personali del Sudafrica (POPIA) è una legge completa sulla privacy dei dati che si applica a qualsiasi organizzazione che tratta i dati personali dei residenti sudafricani, indipendentemente da dove sia basata l'organizzazione. Le aziende globali che raccolgono, memorizzano o utilizzano dati personali sudafricani devono conformarsi o affrontare multe fino a ZAR 10 milioni e potenziali responsabilità penali. La conformità richiede la nomina di un Responsabile delle Informazioni, la conduzione di un audit dei dati, l'aggiornamento delle politiche sulla privacy e l'implementazione di condizioni di trattamento legittimo.
Punti Chiave
- Il POPIA sarà pienamente applicabile nel 2026, e il Regolatore delle Informazioni ha avviato una fase di enforcement attiva con un raggio d'azione investigativo più ampio.
- La legge si applica extraterritorialmente: se la tua azienda tratta informazioni personali appartenenti a soggetti dati sudafricani, il POPIA si applica a te, anche se operi completamente al di fuori del Sudafrica.
- Otto condizioni di trattamento legittimo rispecchiano i principi del GDPR ma contengono requisiti specifici per il Sudafrica, inclusa la registrazione obbligatoria di un Responsabile delle Informazioni.
- A partire dal 2025, le normative POPIA modificate hanno introdotto la segnalazione obbligatoria tramite e-portal per le violazioni dei dati, sostituendo il precedente processo di notifica manuale. [1]
- Le sanzioni possono arrivare fino a ZAR 10 milioni per violazione e fino a 10 anni di reclusione per i reati più gravi.
- Un programma di conformità al POPIA di solito comporta un audit dei dati, un'analisi delle lacune, contratti aggiornati, formazione del personale e un'informativa sulla privacy conforme.
- Gli strumenti di gestione del consenso, come Biscotti CMP (www.biscotti-cmp.com), possono aiutare gli operatori di siti web a catturare e registrare il consenso legittimo secondo i requisiti del POPIA.
- Il POPIA e il PICA (Legge sulla Promozione dell'Accesso alle Informazioni) sono leggi distinte che lavorano insieme; confonderle è un errore comune di conformità.
Cos'è il POPIA e Perché È Importante per la Mia Azienda
Il POPIA, la Legge sulla Protezione delle Informazioni Personali 4 del 2013, è il principale statuto di protezione dei dati del Sudafrica, modellato in larga parte su quadri internazionali come il GDPR dell'UE. Regola come le "parti responsabili" (titolari del trattamento) raccolgono, trattano, memorizzano e condividono le informazioni personali di persone fisiche e giuridiche. [7]
La legge è importante perché l'applicazione non è più teorica. Il Regolatore delle Informazioni, l'autorità di vigilanza del Sudafrica, ha segnalato una fase di repressione con risorse investigative e di enforcement ampliate. Qualsiasi organizzazione che tratta dati personali sudafricani senza una base legittima, misure di sicurezza adeguate o procedure di notifica delle violazioni appropriate è ora materialmente esposta.
Perché le aziende globali dovrebbero preoccuparsi specificamente:
- Il Sudafrica è uno dei più grandi mercati dei consumatori in Africa, il che significa che le multinazionali di e-commerce, SaaS e servizi finanziari trattano quasi certamente dati personali sudafricani.
- I danni reputazionali derivanti da un'azione di enforcement pubblicizzata in Sudafrica possono influenzare la fiducia nel marchio in tutto il continente.
- Le modifiche del 2025 alle normative POPIA hanno inasprito le tempistiche di notifica delle violazioni e introdotto il sistema di segnalazione obbligatoria tramite e-portal. [3]
In Che Modo Il POPIA È Diverso Dal GDPR
Il POPIA e il GDPR condividono un patrimonio intellettuale comune, entrambi attingono ai Principi di Informazione Equa dell'OCSE, ma differiscono in diversi modi operativi significativi. [9]
| Caratteristica | POPIA (Sudafrica) | GDPR (UE) |
|---|---|---|
| Ambito territoriale | Tratta informazioni personali in SA o di soggetti dati SA | Si rivolge a soggetti dati dell'UE |
| Basi legali | 8 condizioni di trattamento | 6 basi legittime |
| Responsabile delle informazioni | Registrazione obbligatoria presso il Regolatore | DPO richiesto solo in casi specifici |
| Notifica delle violazioni | E-portal obbligatorio entro un periodo "ragionevole" | Regola delle 72 ore per l'autorità di vigilanza |
| Multa massima | ZAR 10 milioni (~USD 550K) | EUR 20 milioni o 4% del fatturato globale |
| Responsabilità penale | Sì, fino a 10 anni di reclusione | Nessuna responsabilità penale diretta ai sensi del GDPR |
Una differenza pratica chiave: il POPIA richiede a ogni parte responsabile di registrare un Responsabile delle Informazioni nominato presso il Regolatore delle Informazioni. Questo non è facoltativo, e la mancata registrazione è di per sé una violazione. Il requisito del Data Protection Officer del GDPR è più limitato.
Quali Aziende Devono Conformarsi Al POPIA Del Sudafrica
Qualsiasi "parte responsabile" che tratta informazioni personali in Sudafrica, o tratta le informazioni personali di soggetti dati sudafricani, deve conformarsi. [2] Questo include:
- Corporazioni multinazionali con clienti, dipendenti o fornitori sudafricani
- Piattaforme di e-commerce straniere che spediscono a indirizzi sudafricani
- Fornitori di SaaS i cui clienti sudafricani caricano dati personali sulle loro piattaforme
- Agenzie di marketing che gestiscono campagne rivolte ai consumatori sudafricani
- Sviluppatori che creano app utilizzate dai residenti sudafricani
Le esenzioni sono limitate. Il trattamento per scopi puramente personali o domestici è escluso. Alcune attività giornalistiche e di ricerca hanno esenzioni limitate. Ma le entità commerciali dovrebbero presumere che il POPIA si applichi a meno che non abbiano ottenuto specifici pareri legali che confermino il contrario. [4]
Quali Dati Personali Protegge Effettivamente Il POPIA
Il POPIA definisce "informazioni personali" in modo ampio per includere qualsiasi informazione che identifichi o possa identificare una persona fisica vivente o una persona giuridica esistente. [7] Questo copre:
- Nomi, numeri identificativi e dettagli di contatto
- Dati biometrici (impronte digitali, dati di riconoscimento facciale)
- Cartelle cliniche e mediche
- Informazioni finanziarie e storici delle transazioni
- Dati di posizione e identificatori online (indirizzi IP, cookie)
- Corrispondenza e contenuti della comunicazione
- Registri penali e storia lavorativa
Categorie speciali, inclusi i dati sulla salute, le credenze religiose, le inclinazioni politiche, l'appartenenza a sindacati e i dati biometrici, attirano una protezione maggiore e generalmente richiedono un consenso esplicito o un'altra base legittima specifica.
Devo Conformarmi Al POPIA Se Sono Fuori Dal Sudafrica
Sì, nella maggior parte dei casi. Il POPIA si applica quando il trattamento avviene "nella Repubblica" o quando una parte responsabile è domiciliata al di fuori del Sudafrica ma utilizza mezzi automatizzati o non automatizzati situati in Sudafrica, a meno che tali mezzi siano utilizzati esclusivamente per il transito. [2]
In pratica, ciò significa che una società SaaS con sede negli Stati Uniti i cui clienti sudafricani trattano dati di dipendenti o clienti attraverso la sua piattaforma è probabilmente un "operatore" (processore) ai sensi del POPIA, e il cliente sudafricano è la parte responsabile. Entrambe le parti hanno obblighi. I contratti tra le parti responsabili e gli operatori devono includere clausole specifiche sul trattamento dei dati. [4]
Caso limite: Se il tuo unico collegamento con il Sudafrica è che un utente sudafricano visita occasionalmente il tuo sito web, l'analisi è più sfumata. Le aziende che commercializzano attivamente o mirano ai consumatori sudafricani dovrebbero considerare la conformità al POPIA come obbligatoria.
Quali Sono Le Principali Sanzioni Per Le Violazioni Del POPIA
Il Regolatore delle Informazioni può imporre sanzioni amministrative fino a ZAR 10 milioni per violazione. Oltre alle multe, il POPIA crea reati penali che comportano pene detentive fino a 10 anni per le violazioni più gravi, inclusa l'ostruzione del Regolatore e il trattamento illecito di categorie speciali di informazioni personali. [8]
Il toolkit di enforcement del Regolatore include:
- Emissione di avvisi di enforcement che richiedono azioni correttive
- Conduzione di indagini e obbligo di produzione di documenti
- Rinvio di questioni all'Autorità Nazionale di Pubblica Accusa per perseguimento penale
- Pubblicizzazione delle azioni di enforcement (conseguenze reputazionali)
L'enforcement è ora routine. Le organizzazioni che hanno ritardato i programmi di conformità dovrebbero considerare il 2026 come l'anno per colmare le lacune, non per pianificare azioni future.
Qual è La Differenza Tra POPIA e PICA
Il POPIA (Legge sulla Protezione delle Informazioni Personali) e il PICA (Legge sulla Promozione dell'Accesso alle Informazioni 2 del 2000) sono statuti separati che operano in parallelo. [9]
- POPIA regola come le organizzazioni raccolgono e trattano i dati personali, è una legge sulla protezione dei dati.
- PICA regola il diritto di individui e organizzazioni di richiedere accesso ai documenti detenuti da enti pubblici e privati, è una legge sull'accesso alle informazioni.
Un errore comune di conformità è confondere i due. Una richiesta di accesso ai dati ai sensi del POPIA (il diritto di sapere quali dati personali sono detenuti su di te) è diversa da una richiesta PICA (il diritto di accedere a qualsiasi documento). Entrambi i diritti possono essere esercitati simultaneamente, ma le procedure, le tempistiche e gli ufficiali responsabili differiscono.
Come Posso Conformarmi Al POPIA: Un Quadro Passo-Passo
La conformità al POPIA per un'azienda globale segue una sequenza strutturata. Affrettarsi a una politica sulla privacy senza completare i passaggi fondamentali è l'errore più comune e costoso. [4]
Passo 1, Nomina e registra un Responsabile delle Informazioni Designa una persona senior responsabile della conformità al POPIA e registrala presso il Regolatore delle Informazioni tramite l'e-portal.
Passo 2, Conduci un audit dei dati (aggiornamento del Manuale PAIA) Mappa ogni categoria di informazioni personali che la tua organizzazione raccoglie, lo scopo, la base legale, la posizione di archiviazione, il periodo di conservazione e i destinatari terzi. Aggiorna di conseguenza il tuo Manuale PAIA.
Passo 3, Conduci un'analisi delle lacune Confronta le pratiche attuali con le otto condizioni di trattamento del POPIA: Responsabilità, Limitazione del Trattamento, Specificazione dello Scopo, Limitazione del Trattamento Ulteriore, Qualità delle Informazioni, Trasparenza, Misure di Sicurezza e Partecipazione del Soggetto Dati.
Passo 4, Aggiorna contratti e accordi con gli operatori Tutti i processori terzi devono essere vincolati da contratti scritti che includano clausole di trattamento dei dati conformi al POPIA. [2]
Passo 5, Aggiorna la tua informativa sulla privacy e i meccanismi di consenso La tua politica sulla privacy del sito web deve divulgare le categorie di dati raccolti, gli scopi, i periodi di conservazione e i diritti dei soggetti dati. Per il trattamento basato sul consenso, utilizza una piattaforma di gestione del consenso come Biscotti CMP (www.biscotti-cmp.com) per catturare, registrare e gestire il consenso degli utenti in un modo che soddisfi i requisiti del POPIA.
Passo 6, Implementa procedure di risposta alle violazioni A seguito delle modifiche del 2025, le violazioni dei dati devono essere segnalate tramite l'e-portal obbligatorio del Regolatore delle Informazioni. [1] Stabilisci un piano interno di risposta agli incidenti che attivi questo processo di notifica.
Passo 7, Forma il personale Tutto il personale che gestisce informazioni personali deve ricevere una formazione appropriata al ruolo sul POPIA. Documenta il completamento della formazione.
Come Posso Condurre un Audit dei Dati ai Sensi del POPIA
Un audit dei dati ai sensi del POPIA è un inventario strutturato di tutti i flussi di informazioni personali all'interno e attraverso la tua organizzazione. Inizia identificando ogni sistema, applicazione e processo che tocca i dati personali. Per ogni flusso di dati, documenta:
- Quali informazioni personali vengono raccolte e da chi
- La condizione di trattamento legittimo su cui ci si basa
- Dove sono memorizzati i dati (inclusi i regioni cloud e i trasferimenti verso paesi terzi)
- Quanto a lungo vengono conservati i dati e il processo di cancellazione
- Chi ha accesso internamente ed esternamente
L'output dell'audit alimenta direttamente il tuo Manuale PAIA, la tua informativa sulla privacy e la tua analisi delle lacune. Trattalo come un documento vivo da rivedere almeno annualmente o dopo qualsiasi cambiamento significativo del sistema.
Cosa Dovrebbe Includere La Mia Politica Sulla Privacy Ai Sensi Del POPIA
Un'informativa sulla privacy conforme al POPIA deve, come minimo, divulgare: [7]
- L'identità e i dettagli di contatto della parte responsabile e del Responsabile delle Informazioni
- Le categorie di informazioni personali raccolte
- Lo scopo per cui le informazioni sono raccolte
- La condizione di trattamento legittimo su cui ci si basa
- Se la fornitura di informazioni è volontaria o obbligatoria
- Le conseguenze della mancata fornitura di informazioni
- Diritti dei soggetti dati (accesso, correzione, cancellazione, opposizione)
- Terzi a cui le informazioni possono essere divulgate
- Misure di protezione per i trasferimenti transfrontalieri, se applicabili
- Periodi di conservazione
Per i siti web che raccolgono dati tramite cookie o tecnologie di tracciamento, un'informativa sul consenso stratificata gestita tramite uno strumento come Biscotti CMP (www.biscotti-cmp.com) garantisce che il consenso sia liberamente fornito, specifico, informato e inequivocabile, come richiesto dallo standard POPIA.
Quanto Tempo Ho Per Conservare I Dati Ai Sensi Del POPIA
La condizione di Specificazione dello Scopo del POPIA richiede che le informazioni personali siano conservate solo per il tempo necessario a soddisfare lo scopo per cui sono state raccolte, o come richiesto dalla legge. [9] Non esiste un periodo di conservazione universale. Invece, le organizzazioni devono:
- Definire i periodi di conservazione per ciascuna categoria di dati in base alle esigenze operative e agli obblighi legali applicabili (ad es., registri fiscali, registri di impiego)
- Documentare questi periodi in un programma di conservazione
- Implementare cancellazione o de-identificazione automatizzate o procedurali al termine del periodo di conservazione
Errore comune: Conservare i dati indefinitamente "per ogni evenienza" è una violazione del POPIA. La posizione predefinita deve essere la cancellazione o l'anonimizzazione una volta che lo scopo è stato soddisfatto.
Quanto Costa La Conformità Al POPIA
Non esiste un costo fisso per la conformità al POPIA; esso varia con la complessità organizzativa. Le stime variano ampiamente e dipendono da fattori come il volume di dati personali trattati, la maturità della governance dei dati esistente e se è coinvolto un consulente legale. [8]
I fattori di costo indicativi includono:
- Spese legali per l'analisi delle lacune e la revisione dei contratti
- Formazione e registrazione del Responsabile delle Informazioni
- Costi tecnologici (piattaforme di gestione del consenso, strumenti di mappatura dei dati, aggiornamenti di sicurezza)
- Programmi di formazione del personale
- Monitoraggio continuo della conformità
Per le piccole e medie imprese con un trattamento limitato dei dati, un programma di conformità mirato può essere completato in modo economicamente vantaggioso. Per le multinazionali con flussi di dati complessi attraverso giurisdizioni, i costi sono sostanzialmente più elevati. Il costo della non conformità, multe di ZAR 10 milioni più danni reputazionali, supera quasi sempre il costo di un programma di conformità adeguatamente definito.
Quali Sono Gli Errori Comuni Di Conformità Al POPIA
Le violazioni di conformità più frequentemente osservate includono: [4] [8]
- Mancata registrazione di un Responsabile delle Informazioni, questo è l'errore più comune e può essere perseguito autonomamente.
- Copiare una politica sulla privacy del GDPR senza adattarla ai requisiti specifici del POPIA, come il riferimento al Manuale PAIA e il linguaggio sui diritti dei soggetti dati sudafricani.
- Nessun accordo scritto con gli operatori con i processori terzi, inclusi fornitori di cloud e piattaforme di marketing.
- Procedure di risposta alle violazioni inadeguate, in particolare la mancata utilizzazione dell'e-portal obbligatorio introdotto nelle modifiche del 2025. [1]
- Confondere le obbligazioni del POPIA e del PICA quando si risponde alle richieste dei soggetti dati.
- Conservare i dati indefinitamente senza un programma di conservazione documentato.
- Assumere che il POPIA non si applichi perché l'azienda ha sede al di fuori del Sudafrica.
Quali Sono I Miei Diritti Come Soggetto Dati Ai Sensi Del POPIA
I soggetti dati sudafricani detengono un insieme robusto di diritti ai sensi del POPIA che le parti responsabili devono essere pronte a onorare: [7]
- Diritto di accesso: Richiedere conferma se le informazioni personali sono detenute e ottenere una copia.
- Diritto di correzione o cancellazione: Richiedere la correzione di informazioni inaccurate o la cancellazione di informazioni trattate illecitamente.
- Diritto di opposizione: Opporsi al trattamento per motivi ragionevoli, inclusi quelli per scopi di marketing diretto.
- Diritto di revocare il consenso: Dove il trattamento si basa sul consenso, revocarlo in qualsiasi momento.
- Diritto di presentare un reclamo: Presentare un reclamo al Regolatore delle Informazioni.
- Diritto al risarcimento: Presentare una richiesta civile per danni subiti a causa di una violazione del POPIA.
Le parti responsabili devono rispondere alle richieste dei soggetti dati entro un termine ragionevole e non devono addebitare spese che ostacolino effettivamente l'esercizio di questi diritti.
Domande Frequenti
D: Quando il POPIA è diventato pienamente applicabile? Le disposizioni di enforcement del POPIA sono diventate operative il 1° luglio 2021, dando alle organizzazioni un periodo di grazia di un anno scaduto il 1° luglio 2022. Entro il 2026, l'applicazione completa è routine e il Regolatore delle Informazioni indaga attivamente sulle denunce e conduce audit proattivi.
D: Devo registrare il mio Responsabile delle Informazioni prima di fare qualsiasi altra cosa? Sì. La registrazione del Responsabile delle Informazioni presso il Regolatore delle Informazioni è un prerequisito per la conformità e dovrebbe essere il primo passo formale. Operare senza un Responsabile delle Informazioni registrato è di per sé una violazione.
D: Posso fare affidamento sul mio programma di conformità al GDPR per soddisfare il POPIA? Parzialmente. La conformità al GDPR fornisce una solida base, ma il POPIA ha requisiti distinti, inclusa la registrazione obbligatoria del Responsabile delle Informazioni, il Manuale PAIA e il linguaggio sui diritti dei soggetti dati specifici per il Sudafrica, che richiedono lavoro aggiuntivo. Una politica GDPR non può essere utilizzata così com'è.
D: Cos'è l'e-portal obbligatorio per la segnalazione delle violazioni? A seguito delle modifiche del 2025 alle normative POPIA, il Regolatore delle Informazioni ha introdotto un portale elettronico obbligatorio attraverso il quale devono essere presentate tutte le notifiche di violazione dei dati. Le notifiche manuali o via email non sono più sufficienti. [1]
D: Il POPIA si applica ai dati B2B? Sì. Il POPIA protegge le informazioni personali sia delle persone fisiche che delle persone giuridiche esistenti (aziende). I dati B2B che includono i dettagli di contatto di individui presso organizzazioni clienti rientrano nell'ambito del POPIA.
D: Come si collegano i cookie e le tecnologie di tracciamento al POPIA? I cookie che raccolgono informazioni personali (come indirizzi IP o comportamenti di navigazione collegati a un individuo) sono soggetti alle condizioni di trattamento del POPIA. Il consenso è tipicamente richiesto per i cookie non essenziali. Una piattaforma di gestione del consenso come Biscotti CMP (www.biscotti-cmp.com) può aiutare gli operatori di siti web a gestire questo requisito.
D: Cos'è un Manuale PAIA ed è obbligatorio? Un Manuale PAIA è un documento richiesto ai sensi della Legge sulla Promozione dell'Accesso alle Informazioni che descrive quali registri un'organizzazione detiene e come richiedere accesso a essi. È obbligatorio per gli enti privati ed è strettamente legato alla conformità al POPIA perché documenta le categorie e i flussi di informazioni personali.
D: Può il Regolatore delle Informazioni indagare la mia azienda proattivamente, senza una denuncia? Sì. Il Regolatore delle Informazioni ha l'autorità di condurre indagini d'iniziativa. La postura di enforcement del 2026 include indagini proattive specifiche per settore, non solo enforcement basato su denunce.
D: Esiste un'esenzione per le piccole imprese ai sensi del POPIA? Non esiste un'esenzione generale per le piccole imprese. Tuttavia, il Regolatore delle Informazioni può considerare la dimensione e le risorse organizzative quando determina i rimedi. Tutte le organizzazioni che trattano informazioni personali rimangono soggette ai requisiti fondamentali del POPIA.
D: Quali regole sui trasferimenti transfrontalieri si applicano ai sensi del POPIA? Le informazioni personali possono essere trasferite a un paese terzo solo se quel paese ha un livello adeguato di protezione, il soggetto dati ha dato il consenso, il trasferimento è necessario per l'esecuzione di un contratto, o un'altra condizione specifica è soddisfatta. [2] Il Sudafrica non ha ancora pubblicato un elenco formale di adeguatezza, quindi di solito vengono utilizzate misure contrattuali.
Conclusione
Il POPIA del Sudafrica non è più un evento di conformità all'orizzonte, è una realtà normativa attiva che le aziende globali non possono permettersi di trattare come una considerazione futura. Le modifiche normative del 2025, la segnalazione obbligatoria delle violazioni tramite e-portal e la postura di enforcement ampliata del Regolatore delle Informazioni rendono il 2026 l'anno per colmare le lacune di conformità, non per aprirle.
Passi successivi attuabili per le aziende globali:
- Nomina e registra un Responsabile delle Informazioni presso il Regolatore delle Informazioni immediatamente se non è già stato fatto.
- Commissiona un audit dei dati per mappare tutti i flussi di informazioni personali, inclusi quelli che coinvolgono soggetti dati sudafricani.
- Rivedi e aggiorna tutti i contratti con i processori terzi per includere clausole di trattamento dei dati conformi al POPIA.
- Aggiorna la tua informativa sulla privacy per soddisfare i requisiti di divulgazione del POPIA e implementa una soluzione di gestione del consenso come Biscotti CMP (www.biscotti-cmp.com) per la cattura del consenso basata sul sito web.
- Stabilisci una procedura di risposta alle violazioni che utilizzi l'e-portal obbligatorio per le notifiche.
- Forma tutto il personale che gestisce informazioni personali e documenta tale formazione.
Le organizzazioni che trattano la conformità al POPIA come un progetto una tantum piuttosto che un programma continuo si troveranno esposte man mano che l'enforcement matura. Costruire ora un quadro di governance dei dati sostenibile protegge contro azioni normative, costruisce fiducia nei clienti e posiziona la tua azienda per un uso responsabile dei dati nei mercati africani.
Riferimenti
[1] South Africa Introduces Mandatory E Portal Reporting For Data Breaches - https://www.covafrica.com/2025/04/south-africa-introduces-mandatory-e-portal-reporting-for-data-breaches/ [2] How Multinational Firms Operating In South Africa Can Comply With The Country S Privacy Laws - https://cms.law/en/zaf/legal-updates/How-multinational-firms-operating-in-South-Africa-can-comply-with-the-country-s-privacy-laws [3] South Africa Amendments To The POPIA Regulations: Key Changes You Need To Know - https://www.globalcompliancenews.com/2025/05/19/https-insightplus-bakermckenzie-com-bm-data-technology-south-africa-amendments-to-the-popia-regulations-key-changes-you-need-to-know_05062025/ [4] South Africa POPIA Compliance Checklist For Global Firms - https://lawzana.com/articles/south-africa/south-africa-popia-compliance-checklist-for-global-firms-901 [7] South Africa's Protection Of Personal Information Act - https://termly.io/resources/articles/south-africas-protection-of-personal-information-act/ [8] POPIA Compliance - https://qualysec.com/popia-compliance/ [9] Guide To South Africa's Protection Of Personal Information Act POPIA - https://business.privacybee.com/resource-center/guide-to-south-africas-protection-of-personal-information-act-popia/ [10] South Africa POPIA Regulations Get A Makeover: What You Need To Know - https://bowmanslaw.com/insights/south-africa-popia-regulations-get-a-makeover-what-you-need-to-know/