מה מכסה POPIA

POPIA הוא חוק הגנת הנתונים המקיף של דרום אפריקה, מעוצב בחלקו על GDPR אך עם התאמות מקומיות חשובות. הוא מסדיר כיצד צדדים אחראיים (דומה לבקרים של GDPR) מעבדים מידע אישי על נושאי נתונים. עבור אתרים, זה כולל כל עוגיה, פיקסל מעקב, טביעת אצבע, או מזהה SDK שניתן לקשר לאדם מזוהה — ישירות או בעקיפין.

החוק נאכף על ידי מרשם המידע של דרום אפריקה, שפרסם הנחיות ספציפיות בנושא מעקב מקוון ושיווק ישיר. אי-ציות עלול לגרור קנסות מנהליים של עד 10 מיליון ZAR או עונשים פליליים של עד 10 שנות מאסר בגין הפרות חמורות.

מתי POPIA דורש הסכמה

POPIA מכיר בשמונה בסיסים חוקיים לעיבוד, בדומה ל-GDPR. עבור עוגיות, שניים הרלוונטיים ביותר הם הסכמה ואינטרס לגיטימי. מרשם המידע הבהיר שיש לקבל הסכמה עבור:

• עוגיות פרסום ושיווק — כולל remarketing, בניית קהל פרוגרמטי ומעקב המרות.
• אנליטיקה של צד שלישי המעבירה מידע אישי מחוץ לדרום אפריקה או מעשירה נתונים ממקורות חיצוניים.
• תוספי מדיה חברתית המגדירים עוגיות לפני אינטראקציה של המשתמש.
• כל מעקב המשמש לשיווק ישיר לפי סעיף 69 של POPIA.

עוגיות הכרחיות לחלוטין (ניהול סשנים, אבטחה, איזון עומסים, מצב עגלת קניות) יכולות בדרך כלל להסתמך על אינטרס לגיטימי, אך עדיין יש לחשוף אותן במדיניות העוגיות שלכם.

סטנדרט ההסכמה

POPIA מגדיר הסכמה כביטוי כלשהו רצוני, ספציפי ומושכל של רצון. בפועל, זה אומר:

• תיבות מסומנות מראש אינן תקפות.
• הסכמה צרורה (opt-in אחד המכסה מטרות מרובות ובלתי קשורות) אינה תקפה.
• שתיקה או המשך גלישה אינם מרמזים על הסכמה.
• משיכת ההסכמה חייבת להיות קלה כמו מתן ההסכמה.

POPIA מול GDPR: הבדלים מרכזיים

בעוד POPIA ו-GDPR חולקים עקרונות משותפים, ישנם הבדלים חשובים המשפיעים על עיצוב באנר עוגיות ורשומות הסכמה.

נתוני ילדים

POPIA מגדיר ילד כמי שטרם מלאו לו 18 שנה — גבוה יותר מ-16 של GDPR (או 13 במדינות האיחוד האירופי מסוימות). עיבוד מידע אישי של ילדים דורש הסכמה מאדם מוכשר (בדרך כלל הורה או אפוטרופוס), מה שהופך אימות גיל לדרישה מעשית עבור כל אתר עם קטינים דרום-אפריקאים בקהל שלו.

העברות חוצות גבולות

סעיף 72 של POPIA מגביל העברת מידע אישי מחוץ לדרום אפריקה אלא אם כן למדינה המקבלת יש הגנה ניתנת להשוואה, נושא הנתונים הסכים, או חלות חריגים ספציפיים. אם ערמת האנליטיקה או ad-tech שלכם שולחת נתונים לארה״ב, האיחוד האירופי, או תחומי שיפוט אחרים, אתם זקוקים לבסיס העברה ברור המתועד בהודעת הפרטיות שלכם.

שיווק ישיר

סעיף 69 מטיל כללי opt-in קפדניים לשיווק ישיר אלקטרוני. אינכם יכולים להשתמש בעוגיות כדי להפעיל הודעות שיווק אלא אם כן המשתמש הסכים במפורש למטרה זו — מתג נפרד מאנליטיקה או התאמה אישית.

רשימת בדיקה ליישום לשנת 2026

השתמשו ברשימת בדיקה זו כדי להתאים את האתר שלכם לציפיות הנוכחיות של מרשם המידע:

• 1. בצעו ביקורת על כל עוגיה וגורם מעקב — תעדו מטרה, משך, נמען נתונים ויעד חוצה גבולות עבור כל אחד.
• 2. קטגוריזציה לפי מטרה — הכרחי לחלוטין, פונקציונלי, אנליטיקה, פרסום, מדיה חברתית. מתגים נפרדים לכל קטגוריה.
• 3. חסמו עוגיות לא חיוניות כברירת מחדל — הגדירו את כל הסקריפטים האופציונליים לטעינה רק לאחר הסכמה מפורשת.
• 4. ספקו באנר ברור — כפתורי קבל ודחה בבולטות שווה, הסבר בשפה ברורה, ללא דפוסים אפלים.
• 5. הציעו משיכה קלה — קישור קבוע ל"נהל העדפות" בכותרת תחתית או ווידג׳ט.
• 6. שמרו רשומות הסכמה — חותמת זמן, בחירות המשתמש, גרסת הבאנר ואזור שנגזר מכתובת IP לפחות שלוש שנים.
• 7. פרסמו הודעת פרטיות תואמת POPIA — כללו פרטי קשר של הצד האחראי, קצין מידע, בסיס חוקי לכל פעילות עיבוד, וגילויי העברה חוצת גבולות.
• 8. רשמו את קצין המידע שלכם — חובה אצל מרשם המידע עבור כל צד אחראי המעבד מידע אישי בדרום אפריקה.

טעויות נפוצות

בהתבסס על פעולות אכיפה של מרשם המידע והנחיות ציבוריות, אלו הן טעויות הסכמת עוגיות POPIA הנפוצות ביותר שאנו רואים ב-2026:

• התייחסות ל-POPIA כגרסה מקלה של GDPR — הגדרת גיל 18 וכללי שיווק ישיר בסעיף 69 מחמירים יותר מהמקבילות ב-GDPR.
• אין גילוי חוצה גבולות — אי-פירוט אילו מדינות מקבלות מידע אישי הוא ממצא ביקורת תכוף.
• סינון Geo-IP רק של מבאים מהאיחוד האירופי — אתרים רבים עדיין מציגים באנרים למשתמשי האיחוד האירופי אך לא למשתמשים דרום-אפריקאים. POPIA דורש את אותו סטנדרט עבור מבאים מ-SA.
• אנליטיקה ללא אנונימיזציה — שליחת כתובות IP מלאות לאנליטיקה מבוססת ארה״ב ללא הסכמה או אנונימיזציה היא סיכון העברה חוצת גבולות.
• רישום חסר של קצין מידע — כשל פרוצדורלי שהמרשם בודק מוקדם בכל חקירה.

כיצד FlexyConsent עוזרת עם POPIA