Raskt svar: Sør-Afrikas lov om beskyttelse av personopplysninger (POPIA) er en omfattende dataprivacy-lov som gjelder for enhver organisasjon som behandler personopplysninger om sør-afrikanske innbyggere, uavhengig av hvor organisasjonen er basert. Globale virksomheter som samler inn, lagrer eller bruker sør-afrikanske personopplysninger må overholde loven eller risikere bøter på opptil ZAR 10 millioner og potensiell strafferettslig ansvar. Overholdelse krever utnevnelse av en informasjonsansvarlig, gjennomføring av en datagranskning, oppdatering av personvernerklæringer og implementering av lovlige behandlingsbetingelser.
Viktige punkter
- POPIA er fullt ut håndhevet i 2026, og Informasjonsregulatoren har gått inn i en aktiv håndhevelsesfase med bredere etterforskningsmuligheter.
- Loven gjelder ekstraterritorielt: hvis virksomheten din behandler personopplysninger som tilhører sør-afrikanske datasubjekter, gjelder POPIA for deg, selv om du opererer helt utenfor Sør-Afrika.
- Åtte lovlige behandlingsbetingelser speiler GDPR-prinsipper, men inneholder sør-afrikanske spesifikke krav, inkludert obligatorisk registrering av en informasjonsansvarlig.
- Fra 2025 innførte endrede POPIA-forskrifter obligatorisk e-portal rapportering for databrudd, som erstattet den tidligere manuelle varselsprosessen. [1]
- Straffene kan nå opptil ZAR 10 millioner per brudd og opptil 10 års fengsel for de mest alvorlige lovbruddene.
- Et POPIA-overholdelsesprogram involverer typisk en datagranskning, gap-analyse, oppdaterte kontrakter, opplæring av ansatte og en samsvarende personvernerklæring.
- Samtykkehåndteringsverktøy, som Biscotti CMP (www.biscotti-cmp.com), kan hjelpe nettstedsoperatører med å fange opp og registrere lovlig samtykke i henhold til kravene i POPIA.
- POPIA og PICA (Lov om tilgang til informasjon) er separate lover som arbeider sammen; å forveksle dem er en vanlig overholdelsesfeil.
Hva er POPIA og hvorfor er det viktig for min virksomhet
POPIA, lov om beskyttelse av personopplysninger 4 av 2013, er Sør-Afrikas primære databeskyttelseslov, modellert bredt etter internasjonale rammeverk som EUs GDPR. Den regulerer hvordan "ansvarlige parter" (datakontrollører) samler inn, behandler, lagrer og deler personopplysninger om fysiske og juridiske personer. [7]
Loven er viktig fordi håndhevelsen ikke lenger er teoretisk. Informasjonsregulatoren, Sør-Afrikas tilsynsmyndighet, har signalisert en fase med innstramming med utvidede etterforsknings- og håndhevelsesressurser. Enhver organisasjon som behandler sør-afrikanske personopplysninger uten et lovlig grunnlag, tilstrekkelige sikkerhetstiltak eller riktige varselsprosedyrer for brudd er nå materielt eksponert.
Hvorfor globale virksomheter spesielt bør bry seg:
- Sør-Afrika er et av Afrikas største forbrukermarkeder, noe som betyr at multinasjonale e-handels-, SaaS- og finansielle tjenestefirmaer nesten helt sikkert behandler sør-afrikanske personopplysninger.
- Reputasjonsskader fra en offentliggjort håndhevelsesaksjon i Sør-Afrika kan påvirke merkevarens tillit over hele kontinentet.
- Endringene i 2025 til POPIA-forskriftene strammet inn tidslinjene for varsling av brudd og innførte det obligatoriske e-portal rapporteringssystemet. [3]
Hvordan er POPIA forskjellig fra GDPR
POPIA og GDPR deler et felles intellektuelt arv, begge trekker fra OECDs prinsipper for rettferdig informasjon, men de skiller seg i flere operasjonelt betydningsfulle måter. [9]
| Funksjon | POPIA (Sør-Afrika) | GDPR (EU) |
|---|---|---|
| Territorielt omfang | Behandler personopplysninger i SA eller om SA datasubjekter | Retter seg mot EU datasubjekter |
| Juridiske grunnlag | 8 behandlingsbetingelser | 6 lovlige grunnlag |
| Informasjonsansvarlig | Obligatorisk registrering hos Regulator | DPO kreves kun i spesifikke tilfeller |
| Varsling av brudd | Obligatorisk e-portal innen "rimelig" periode | 72-timers regel til tilsynsmyndighet |
| Maksimal bot | ZAR 10 millioner (~USD 550K) | EUR 20 millioner eller 4% global omsetning |
| Strafferettlig ansvar | Ja, opptil 10 års fengsel | Ingen direkte strafferettslig ansvar under GDPR |
En viktig praktisk forskjell: POPIA krever at hver ansvarlig part registrerer en navngitt informasjonsansvarlig hos Informasjonsregulatoren. Dette er ikke valgfritt, og unnlatelse av å registrere er i seg selv et brudd. GDPRs krav til databeskyttelsesansvarlig er mer smalt avgrenset.
Hvilke virksomheter må overholde Sør-Afrikas POPIA
Enhver "ansvarlig part" som behandler personopplysninger i Sør-Afrika, eller behandler personopplysninger om sør-afrikanske datasubjekter, må overholde loven. [2] Dette inkluderer:
- Multinasjonale selskaper med sør-afrikanske kunder, ansatte eller leverandører
- Utenlandske e-handelsplattformer som sender til sør-afrikanske adresser
- SaaS-leverandører hvis sør-afrikanske kunder laster opp personopplysninger til plattformene deres
- Markedsføringsbyråer som kjører kampanjer rettet mot sør-afrikanske forbrukere
- Utviklere som bygger apper brukt av sør-afrikanske innbyggere
Unntakene er smale. Behandling for rent personlige eller husholdningsformål er unntatt. Enkelte journalistiske og forskningsaktiviteter har begrensede unntak. Men kommersielle enheter bør anta at POPIA gjelder med mindre de har fått spesifikk juridisk rådgivning som bekrefter noe annet. [4]
Hvilke personopplysninger beskytter POPIA faktisk
POPIA definerer "personopplysninger" bredt for å inkludere enhver informasjon som identifiserer eller kan identifisere en levende fysisk person eller en eksisterende juridisk person. [7] Dette dekker:
- Navn, identitetsnumre og kontaktopplysninger
- Biometriske data (fingeravtrykk, ansiktsgjenkjenningsdata)
- Helse- og medisinske journaler
- Økonomisk informasjon og transaksjonshistorikk
- Stedsdata og online identifikatorer (IP-adresser, informasjonskapsler)
- Korrespondanse og innhold i kommunikasjon
- Strafferegister og ansettelseshistorikk
Spesielle kategorier, inkludert helsedata, religiøse overbevisninger, politisk overbevisning, fagforeningsmedlemskap og biometriske data, får økt beskyttelse og krever generelt eksplisitt samtykke eller et annet spesifikt lovlig grunnlag.
Må jeg overholde POPIA hvis jeg er utenfor Sør-Afrika
Ja, i de fleste tilfeller. POPIA gjelder når behandlingen skjer "i republikken" eller når en ansvarlig part er bosatt utenfor Sør-Afrika, men bruker automatiserte eller ikke-automatiserte midler som ligger i Sør-Afrika, med mindre disse midlene kun brukes til transport. [2]
I praksis betyr dette at et USA-basert SaaS-selskap hvis sør-afrikanske kunder behandler ansatt- eller kundedata gjennom plattformen sin sannsynligvis er en "operatør" (behandler) under POPIA, og den sør-afrikanske kunden er den ansvarlige parten. Begge parter har forpliktelser. Kontrakter mellom ansvarlige parter og operatører må inkludere spesifikke databehandlingsklausuler. [4]
Grensecase: Hvis din eneste tilknytning til Sør-Afrika er at en sør-afrikansk bruker av og til besøker nettstedet ditt, er analysen mer nyansert. Virksomheter som aktivt markedsfører til eller retter seg mot sør-afrikanske forbrukere bør behandle overholdelse av POPIA som obligatorisk.
Hva er de viktigste straffene for brudd på POPIA
Informasjonsregulatoren kan ilegge administrative bøter på opptil ZAR 10 millioner per brudd. Utover bøter skaper POPIA straffbare forhold som kan medføre fengsel i opptil 10 år for de mest alvorlige bruddene, inkludert hindring av regulatoren og ulovlig behandling av spesielle kategorier av personopplysninger. [8]
Regulatorens håndhevelsesverktøy inkluderer:
- Utstedelse av håndhevelsesvarsler som krever korrigerende tiltak
- Gjennomføring av undersøkelser og pålegg om dokumentproduksjon
- Henvisning av saker til den nasjonale påtalemyndigheten for straffeforfølgning
- Offentliggjøring av håndhevelsesaksjoner (reputasjonseffekt)
Håndhevelse er nå rutinemessig. Organisasjoner som har forsinket overholdelsesprogrammer bør behandle 2026 som året for å lukke hull, ikke planlegge for fremtidige tiltak.
Hva er forskjellen mellom POPIA og PICA
POPIA (Lov om beskyttelse av personopplysninger) og PICA (Lov om tilgang til informasjon 2 av 2000) er separate lover som opererer parallelt. [9]
- POPIA regulerer hvordan organisasjoner samler inn og behandler personopplysninger, det er en databeskyttelseslov.
- PICA regulerer retten til enkeltpersoner og organisasjoner til å be om tilgang til opplysninger som holdes av offentlige og private organer, det er en lov om tilgang til informasjon.
En vanlig overholdelsesfeil er å forveksle de to. En POPIA-forespørsel om tilgang til personopplysninger (retten til å vite hvilke personopplysninger som er lagret om deg) er forskjellig fra en PICA-forespørsel (retten til å få tilgang til enhver opplysning). Begge rettighetene kan utøves samtidig, men prosedyrene, tidslinjene og ansvarlige personer er forskjellige.
Hvordan får jeg POPIA-samsvar: En trinn-for-trinn-ramme
POPIA-overholdelse for en global virksomhet følger en strukturert sekvens. Å haste til en personvernerklæring uten å fullføre grunnleggende trinn er den vanligste og dyreste feilen. [4]
Trinn 1, Utnevn og registrer en informasjonsansvarlig
Utnevn en senior person ansvarlig for POPIA-overholdelse og registrer dem hos Informasjonsregulatoren via e-portalen.
Trinn 2, Gjennomfør en datagranskning (oppdatering av PAIA-manual)
Kartlegg hver kategori av personopplysninger organisasjonen din samler inn, formålet, det juridiske grunnlaget, lagringsstedet, oppbevaringsperioden og tredjeparts mottakere. Oppdater PAIA-manualen din deretter.
Trinn 3, Gjennomfør en gap-analyse
Sammenlign nåværende praksis med POPIAs åtte behandlingsbetingelser: Ansvarlighet, Behandlingsbegrensning, Formålsbeskrivelse, Videre behandlingsbegrensning, Informasjonskvalitet, Åpenhet, Sikkerhetsbeskyttelse og Deltakelse fra datasubjekter.
Trinn 4, Oppdater kontrakter og operatøravtaler
Alle tredjeparts behandlere må være bundet av skriftlige kontrakter som inkluderer POPIA-kompatible databehandlingsklausuler. [2]
Trinn 5, Oppdater personvernerklæringen din og samtykkemekanismer
Personvernerklæringen på nettstedet ditt må avsløre kategoriene av data som samles inn, formålene, oppbevaringsperiodene og rettighetene til datasubjektene. For samtykkebasert behandling, bruk en samtykkehåndteringsplattform som Biscotti CMP (www.biscotti-cmp.com) for å fange opp, registrere og administrere brukersamtykke på en måte som tilfredsstiller kravene i POPIA.
Trinn 6, Implementer prosedyrer for bruddrespons
Etter endringene i 2025 må databrudd rapporteres via Informasjonsregulatorens obligatoriske e-portal. [1] Etabler en intern hendelsesresponsplan som utløser denne varselsprosessen.
Trinn 7, Opplæring av ansatte
Alle ansatte som håndterer personopplysninger må få rolletilpasset POPIA-opplæring. Dokumenter fullført opplæring.
Hvordan gjennomføre en POPIA-datagranskning
En POPIA-datagranskning er en strukturert oversikt over alle personopplysningsflyter innenfor og gjennom organisasjonen din. Start med å identifisere hvert system, applikasjon og prosess som berører personopplysninger. For hver datastream, dokumenter:
- Hvilke personopplysninger som samles inn og fra hvem
- Den lovlige behandlingsbetingelsen som benyttes
- Hvor data lagres (inkludert skyregioner og overføringer til tredjeland)
- Hvor lenge data oppbevares og prosessen for sletting
- Hvem som har tilgang internt og eksternt
Resultatet av granskningen mates direkte inn i PAIA-manualen din, personvernerklæringen din og gap-analysen din. Behandle det som et levende dokument som gjennomgås minst årlig eller etter enhver betydelig systemendring.
Hva bør min POPIA-personvernerklæring inneholde
En POPIA-kompatibel personvernerklæring må minst avsløre: [7]
- Identiteten og kontaktopplysningene til den ansvarlige parten og informasjonsansvarlig
- Kategoriene av personopplysninger som samles inn
- Formålet med innsamlingen av informasjon
- Den lovlige behandlingsbetingelsen som benyttes
- Om opplysningene er frivillige eller obligatoriske
- Konsekvensene av å ikke gi opplysninger
- Rettigheter for datasubjektene (tilgang, korrigering, sletting, innsigelse)
- Tredjeparter som informasjonen kan bli delt med
- Beskyttelsestiltak for grenseoverskridende overføringer, hvis aktuelt
- Oppbevaringsperioder
For nettsteder som samler inn data via informasjonskapsler eller sporingsteknologier, sikrer et lagdelt samtykkevarsel administrert gjennom et verktøy som Biscotti CMP (www.biscotti-cmp.com) at samtykke gis fritt, spesifikt, informert og entydig, som standarden POPIA krever.
Hvor lenge må jeg oppbevare data under POPIA
POPIAs formålsbeskrivelsesbetingelse krever at personopplysninger kun oppbevares så lenge det er nødvendig for å oppfylle formålet de ble samlet inn for, eller som krevd av lov. [9] Det finnes ingen enkelt universell oppbevaringsperiode. I stedet må organisasjoner:
- Definere oppbevaringsperioder for hver datakategori basert på operasjonelt behov og gjeldende juridiske forpliktelser (f.eks. skatteregister, ansettelsesregistre)
- Dokumentere disse periodene i en oppbevaringsplan
- Implementere automatisert eller prosedyremessig sletting eller de-identifikasjon ved slutten av oppbevaringsperioden
Vanlig feil: Å oppbevare data på ubestemt tid "bare i tilfelle" er et brudd på POPIA. Standardposisjonen må være sletting eller anonymisering når formålet er oppfylt.
Hva koster POPIA-overholdelse
Det finnes ingen fast kostnad for POPIA-overholdelse; det skalerer med organisasjonens kompleksitet. Estimatene varierer mye og avhenger av faktorer som volumet av personopplysninger som behandles, modenheten til eksisterende datastyring og om juridisk rådgivning er engasjert. [8]
Indikative kostnadsdrivere inkluderer:
- Juridiske gebyrer for gap-analyse og kontraktsgjennomgang
- Opplæring og registrering av informasjonsansvarlig
- Teknologikostnader (samtykkehåndteringsplattformer, datakartleggingsverktøy, sikkerhetsoppgraderinger)
- Opplæringsprogrammer for ansatte
- Løpende overvåking av overholdelse
For små til mellomstore virksomheter med begrenset databehandling kan et fokusert overholdelsesprogram fullføres kostnadseffektivt. For multinasjonale selskaper med komplekse datastreams på tvers av jurisdiksjoner er kostnadene betydelig høyere. Kostnaden for manglende overholdelse, ZAR 10 millioner i bøter pluss reputasjonsskader, overstiger nesten alltid kostnaden for et riktig avgrenset overholdelsesprogram.
Hva er vanlige feil ved POPIA-overholdelse
De mest observerte overholdelsesfeilene inkluderer: [4] [8]
- Unnlatelse av å registrere en informasjonsansvarlig, dette er den mest vanlige oversikten og er uavhengig håndhevelsesbar.
- Kopiere en GDPR-personvernerklæring uten å tilpasse den til POPIA-spesifikke krav, som referansen til PAIA-manualen og språket om rettigheter for sør-afrikanske datasubjekter.
- Ingen skriftlige operatøravtaler med tredjeparts behandlere, inkludert skyleverandører og markedsføringsplattformer.
- Utilstrekkelige prosedyrer for bruddrespons, spesielt unnlatelse av å bruke den obligatoriske e-portalen innført i endringene i 2025. [1]
- Forveksling av POPIA og PICA forpliktelser når man svarer på forespørsel fra datasubjekter.
- Oppbevaring av data på ubestemt tid uten en dokumentert oppbevaringsplan.
- Anta at POPIA ikke gjelder fordi virksomheten har hovedkontor utenfor Sør-Afrika.
Hva er mine rettigheter som datasubjekt under POPIA
Sør-afrikanske datasubjekter har et robust sett med rettigheter under POPIA som ansvarlige parter må være forberedt på å respektere: [7]
- Rett til tilgang: Be om bekreftelse på om personopplysninger er lagret og få en kopi.
- Rett til korrigering eller sletting: Be om korrigering av unøyaktig informasjon eller sletting av informasjon som er behandlet ulovlig.
- Rett til å protestere: Protestere mot behandling på rimelige grunnlag, inkludert for direkte markedsføringsformål.
- Rett til å trekke tilbake samtykke: Der behandling er basert på samtykke, trekke det tilbake når som helst.
- Rett til å klage: Inngi en klage til Informasjonsregulatoren.
- Rett til erstatning: Fremme et sivilt krav om erstatning for skader som følge av et brudd på POPIA.
Ansvarlige parter må svare på forespørsel fra datasubjekter innen rimelig tid og må ikke kreve gebyrer som effektivt hindrer utøvelsen av disse rettighetene.
Ofte stilte spørsmål
Q: Når ble POPIA fullt ut håndhevet?
POPIAs håndhevelsesbestemmelser trådte i kraft 1. juli 2021, noe som ga organisasjoner en ettårs graceperiode som utløp 1. juli 2022. Innen 2026 er full håndhevelse rutinemessig, og Informasjonsregulatoren undersøker aktivt klager og gjennomfører proaktive revisjoner.
Q: Må jeg registrere min informasjonsansvarlig før jeg gjør noe annet?
Ja. Registrering av informasjonsansvarlig hos Informasjonsregulatoren er en forutsetning for overholdelse og bør være det første formelle steget. Å operere uten en registrert informasjonsansvarlig er i seg selv et brudd.
Q: Kan jeg stole på mitt GDPR-overholdelsesprogram for å tilfredsstille POPIA?
Delvis. GDPR-overholdelse gir et sterkt grunnlag, men POPIA har distinkte krav, inkludert obligatorisk registrering av informasjonsansvarlig, PAIA-manualen og sør-afrikanske spesifikke rettigheter for datasubjekter, som krever ekstra arbeid. En GDPR-policy kan ikke brukes som den er.
Q: Hva er den obligatoriske e-portalen for rapportering av brudd?
Etter endringene i 2025 til POPIA-forskriftene introduserte Informasjonsregulatoren en obligatorisk elektronisk portal gjennom hvilken alle varsler om databrudd må sendes. Manuelle eller e-postbaserte varsler er ikke lenger tilstrekkelige. [1]
Q: Gjelder POPIA for B2B-data?
Ja. POPIA beskytter personopplysninger om både fysiske personer og eksisterende juridiske personer (selskaper). B2B-data som inkluderer kontaktopplysninger til enkeltpersoner i kundeselskaper faller innenfor POPIAs omfang.
Q: Hvordan forholder informasjonskapsler og sporingsteknologier seg til POPIA?
Informasjonskapsler som samler inn personopplysninger (som IP-adresser eller nettleseratferd knyttet til en enkeltperson) er underlagt POPIAs behandlingsbetingelser. Samtykke kreves vanligvis for ikke-essensielle informasjonskapsler. En samtykkehåndteringsplattform som Biscotti CMP (www.biscotti-cmp.com) kan hjelpe nettstedsoperatører med å håndtere dette kravet.
Q: Hva er en PAIA-manual og er den obligatorisk?
En PAIA-manual er et dokument som kreves under loven om tilgang til informasjon som beskriver hvilke opplysninger en organisasjon har og hvordan man kan be om tilgang til dem. Den er obligatorisk for private enheter og er nært knyttet til POPIA-overholdelse fordi den dokumenterer kategorier og flyt av personopplysninger.
Q: Kan Informasjonsregulatoren undersøke min virksomhet proaktivt, uten en klage?
Ja. Informasjonsregulatoren har myndighet til å gjennomføre egne initiativundersøkelser. Den håndhevelsesholdningen i 2026 inkluderer proaktive sektor-spesifikke undersøkelser, ikke bare klage-drevet håndhevelse.
Q: Finnes det et unntak for små bedrifter under POPIA?
Det finnes ingen generell unntak for små bedrifter. Imidlertid kan Informasjonsregulatoren vurdere organisasjonsstørrelse og ressurser når de bestemmer tiltak. Alle organisasjoner som behandler personopplysninger forblir underlagt POPIAs kjernekrav.
Q: Hvilke regler for grenseoverskridende overføringer gjelder under POPIA?
Personopplysninger kan kun overføres til et tredjeland hvis det landet har et tilstrekkelig beskyttelsesnivå, datasubjektet har gitt samtykke, overføringen er nødvendig for kontraktsoppfyllelse, eller et annet spesifikt vilkår er oppfylt. [2] Sør-Afrika har ennå ikke publisert en formell tilstrekkelighetsliste, så kontraktsbeskyttelser brukes vanligvis.
Konklusjon
Sør-Afrikas POPIA er ikke lenger et fremtidig overholdelsesprosjekt, det er en aktiv regulatorisk realitet som globale virksomheter ikke har råd til å behandle som en fremtidig vurdering. De regulatoriske endringene i 2025, obligatorisk e-portal rapportering av brudd, og Informasjonsregulatorens utvidede håndhevelsesholdning gjør 2026 til året for å lukke overholdelseshull, ikke åpne dem.
Handlingsbare neste steg for globale virksomheter:
- Utnevn og registrer en informasjonsansvarlig hos Informasjonsregulatoren umiddelbart hvis det ikke allerede er gjort.
- Bestill en datagranskning for å kartlegge alle personopplysningsflyter, inkludert de som involverer sør-afrikanske datasubjekter.
- Gå gjennom og oppdater alle kontrakter med tredjeparts behandlere for å inkludere POPIA-kompatible databehandlingsklausuler.
- Oppdater personvernerklæringen din for å møte POPIAs krav til avsløring og implementer en samtykkehåndteringsløsning som Biscotti CMP (www.biscotti-cmp.com) for innsamling av samtykke på nettsteder.
- Etabler en prosedyre for bruddrespons som bruker den obligatoriske e-portalen for varsler.
- Opplær alle ansatte som håndterer personopplysninger og dokumenter denne opplæringen.
Organisasjoner som behandler POPIA-overholdelse som et engangsprosjekt i stedet for et pågående program, vil finne seg selv eksponert etter hvert som håndhevelsen modnes. Å bygge et bærekraftig datastyringsrammeverk nå beskytter mot regulatoriske tiltak, bygger kundetillit og posisjonerer virksomheten din for ansvarlig databruk på tvers av afrikanske markeder.
Referanser
[1] Sør-Afrika innfører obligatorisk e-portal rapportering for databrudd - https://www.covafrica.com/2025/04/south-africa-introduces-mandatory-e-portal-reporting-for-data-breaches/
[2] Hvordan multinasjonale selskaper som opererer i Sør-Afrika kan overholde landets personvernlovgivning - https://cms.law/en/zaf/legal-updates/How-multinational-firms-operating-in-South-Africa-can-comply-with-the-country-s-privacy-laws
[3] Sør-Afrika endringer i POPIA-forskriftene: Nøkkelendringer du trenger å vite - https://www.globalcompliancenews.com/2025/05/19/https-insightplus-bakermckenzie-com-bm-data-technology-south-africa-amendments-to-the-popia-regulations-key-changes-you-need-to-know_05062025/
[4] Sør-Afrika POPIA-overholdelsessjekkliste for globale selskaper - https://lawzana.com/articles/south-africa/south-africa-popia-compliance-checklist-for-global-firms-901
[7] Sør-Afrikas lov om beskyttelse av personopplysninger - https://termly.io/resources/articles/south-africas-protection-of-person-information-act/
[8] POPIA-overholdelse - https://qualysec.com/popia-compliance/
[9] Veiledning til Sør-Afrikas lov om beskyttelse av personopplysninger POPIA - https://business.privacybee.com/resource-center/guide-to-south-africas-protection-of-person-information-act-popia/
[10] Sør-Afrika POPIA-forskriftene får en makeover: Hva du trenger å vite - https://bowmanslaw.com/insights/south-africa-popia-regulations-get-a-makeover-what-you-need-to-know/