Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Conformidade e Governação

O que é a POPIA? A Protection of Personal Information Act da África do Sul

A POPIA, a Protection of Personal Information Act 4 of 2013 da África do Sul: a quem se aplica, salvaguardas de segurança, notificação de violações e sanções.
Por VigilbasePublicado em
Ler o guiaMais tópicos

A POPIA, a Protection of Personal Information Act 4 of 2013, é a lei de proteção de dados da África do Sul. Estabelece oito condições para o tratamento lícito de informações pessoais por organismos públicos e privados, exige salvaguardas de segurança e a comunicação de comprometimentos de segurança, e o seu cumprimento é assegurado pelo Information Regulator. A maior parte da lei entrou em vigor em 1 de julho de 2020, com um ano, até 30 de junho de 2021, para adequar o tratamento existente. Este guia resume a lei e as orientações publicadas pelo Regulador, e mostra onde as evidências das operações de segurança ajudam.

A quem se aplica a POPIA?

A POPIA aplica-se ao tratamento de informações pessoais inseridas num registo por uma parte responsável ou em seu nome, por meios automatizados ou não automatizados. Uma parte responsável é um organismo público ou privado, ou qualquer outra pessoa, que determina a finalidade e os meios do tratamento. A lei aplica-se quando a parte responsável tem domicílio na África do Sul, ou quando não tem domicílio no país mas utiliza meios automatizados ou não automatizados na África do Sul, salvo se esses meios forem utilizados apenas para encaminhar informações pessoais através do país.
1.As informações pessoais são informações sobre uma pessoa singular viva e identificável e, quando aplicável, sobre uma pessoa coletiva existente e identificável, pelo que as informações sobre empresas também podem estar abrangidas.
2.Um operador trata informações pessoais por conta de uma parte responsável ao abrigo de um contrato ou mandato, sem ficar sob a sua autoridade direta.
3.Quando outra lei estabelece condições mais abrangentes para o tratamento lícito, prevalecem essas condições.

Quais são as oito condições para o tratamento lícito?

A secção 4 da POPIA enumera oito condições que se aplicam a todo o tratamento efetuado por uma parte responsável ou em seu nome. As secções 8 a 25 definem o que cada condição exige.
1.Responsabilização: a parte responsável garante que as condições são cumpridas.
2.Limitação do tratamento: o tratamento é lícito e mínimo, com consentimento ou outra justificação, e as informações são, em regra, recolhidas diretamente junto do titular dos dados.
3.Especificação da finalidade: as informações são recolhidas para uma finalidade específica e os registos não são conservados por mais tempo do que o necessário, sem prejuízo das exceções previstas na lei.
4.Limitação do tratamento posterior: o tratamento posterior tem de ser compatível com a finalidade da recolha.
5.Qualidade da informação: medidas razoavelmente praticáveis mantêm as informações completas, exatas, não enganosas e atualizadas quando necessário.
6.Abertura: o tratamento é documentado e os titulares dos dados são informados quando as suas informações são recolhidas.
7.Salvaguardas de segurança: a integridade e a confidencialidade são protegidas, e os comprometimentos de segurança são notificados.
8.Participação do titular dos dados: os titulares dos dados podem aceder às suas informações e pedir a sua correção.

O que exige a POPIA em matéria de segurança da informação?

A secção 19 exige que a parte responsável assegure a integridade e a confidencialidade das informações pessoais na sua posse ou sob o seu controlo através de medidas técnicas e organizativas adequadas e razoáveis. Essas medidas devem impedir a perda, os danos ou a destruição não autorizada de informações pessoais, bem como o acesso ilícito às mesmas ou o seu tratamento ilícito. A parte responsável deve ter em devida conta as práticas e os procedimentos de segurança da informação geralmente aceites, incluindo os que sejam exigidos por regras do setor ou profissionais.
1.Identificar todos os riscos internos e externos razoavelmente previsíveis para as informações pessoais que detém ou controla.
2.Estabelecer e manter salvaguardas adequadas contra os riscos identificados.
3.Verificar regularmente se as salvaguardas são aplicadas de forma eficaz.
4.Atualizar continuamente as salvaguardas em resposta a novos riscos ou deficiências.
5.Exigir, por contrato escrito, que qualquer operador mantenha as mesmas medidas de segurança. Um operador deve notificar imediatamente a parte responsável se tiver motivos razoáveis para crer que as informações pessoais foram acedidas ou obtidas por uma pessoa não autorizada.

Quando deve ser comunicado um comprometimento de segurança ao abrigo da POPIA?

Nos termos da secção 22, quando existam motivos razoáveis para crer que as informações pessoais foram acedidas ou obtidas por uma pessoa não autorizada, a parte responsável deve notificar o Information Regulator e os titulares dos dados afetados. A notificação deve ser feita logo que razoavelmente possível após a descoberta do comprometimento, tendo em conta as necessidades legítimas das autoridades policiais ou as medidas razoavelmente necessárias para determinar o seu âmbito e restabelecer a integridade do sistema de informação. A notificação dos titulares dos dados só pode ser adiada se um organismo público responsável pela investigação de infrações, ou o Regulador, determinar que a notificação irá prejudicar uma investigação criminal.
1.Notificar os titulares dos dados por escrito: por correio, por e-mail, num local de destaque no seu website, nos meios de comunicação social ou conforme o Regulador determinar.
2.Fornecer informações suficientes para que os titulares dos dados se possam proteger: as possíveis consequências, as medidas que tomou ou tenciona tomar, o que devem fazer e a identidade da pessoa não autorizada, se for conhecida.
3.O guia passo a passo do Regulador explica como comunicar um comprometimento de segurança no seu eServices Portal. A organização e os seus Information Officers têm de estar registados nesse portal, e o formulário pede os detalhes do incidente, a forma como os titulares dos dados foram notificados, o impacto e as medidas corretivas tomadas.
4.Os documentos de apoio, como relatórios de investigação interna e conclusões forenses, podem ser carregados com a comunicação.

O que faz um Information Officer?

Todos os organismos públicos e privados têm um Information Officer. Nos termos da secção 55, o Information Officer incentiva o cumprimento das condições para o tratamento lícito, trata os pedidos apresentados ao abrigo da POPIA e colabora com o Regulador nas investigações. Os Information Officers só podem assumir as suas funções depois de a parte responsável os registar junto do Regulador, o que é feito no seu eServices Portal. As orientações do Regulador acrescentam deveres previstos nos regulamentos da POPIA, incluindo um quadro de conformidade e uma avaliação de impacto sobre as informações pessoais.

Quais são as sanções previstas na POPIA?

O Information Regulator pode emitir uma notificação de infração com uma coima de até R10 milhões. Ao fixar o montante, os fatores que tem de considerar incluem o número de titulares dos dados afetados, a probabilidade de danos ou sofrimento substanciais e qualquer falha na realização de uma avaliação de riscos ou na aplicação de boas políticas, procedimentos e práticas para proteger as informações pessoais. Algumas infrações, como obstruir o Regulador ou não cumprir uma notificação de execução, são puníveis com multa, pena de prisão até 10 anos, ou ambas. Um titular dos dados, ou o Regulador a pedido de um titular dos dados, pode também intentar uma ação cível de indemnização.

As informações pessoais podem ser transferidas para fora da África do Sul?

Nos termos da secção 72, uma parte responsável só pode transferir informações pessoais para um terceiro num país estrangeiro com os fundamentos previstos na lei. Estes incluem um destinatário vinculado por uma lei, por regras vinculativas aplicáveis às empresas ou por um acordo vinculativo que confira um nível de proteção adequado, o consentimento do titular dos dados, ou uma transferência necessária para um contrato com o titular dos dados. Verifique estes fundamentos antes de encaminhar registos ou dados de segurança que contenham informações pessoais para serviços fora da África do Sul.

Como a Vigilbase apoia o trabalho relativo à POPIA

A Vigilbase não torna uma organização conforme com a POPIA nem substitui o seu Information Officer. Ajuda-o a operar algumas das salvaguardas de segurança descritas na secção 19 e a produzir evidências de que são monitorizadas e verificadas. Este guia resume a lei e as orientações publicadas pelo Information Regulator. Não constitui aconselhamento jurídico: o seu Information Officer e os seus consultores jurídicos decidem o que a POPIA exige da sua organização.
1.O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar, o que o ajuda a identificar riscos e a verificar se as salvaguardas estão a funcionar.
2.O agente Vigil investiga incidentes de gravidade elevada, e cada investigação regista as evidências, as ações tomadas e o resultado da verificação. Esse registo ajuda o seu Information Officer a reunir os factos de que uma comunicação de comprometimento de segurança necessita.
3.O Managed Cloudflare opera os controlos de WAF, DDoS, bots e DNS no âmbito acordado, e a configuração, o histórico de alterações e as notas de incidentes são conservados para revisão.
4.A retenção predefinida é definida por conjunto de dados, normalmente entre 30 e 90 dias. Se tiver de conservar registos durante mais tempo, decida onde fica esse arquivo antes de consolidar.

Principais conclusões

✓A POPIA (Act 4 of 2013) regula a forma como os organismos públicos e privados tratam informações pessoais na África do Sul, e o Information Regulator assegura o seu cumprimento.
✓A secção 19 exige salvaguardas técnicas e organizativas adequadas e razoáveis, verificadas regularmente e mantidas atualizadas.
✓Os comprometimentos de segurança têm de ser comunicados ao Regulador e aos titulares dos dados afetados logo que razoavelmente possível após a sua descoberta.
✓Os Information Officers têm de estar registados junto do Regulador antes de assumirem as suas funções.
✓A Vigilbase ajuda-o a operar salvaguardas de segurança e a demonstrá-las com evidências; não certifica a conformidade.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

SOC gerido

Saiba mais

Cloudflare gerido

Saiba mais

Vigilbase OS

Saiba mais

Managed Cloudflare na África do Sul

Saiba mais

Cloudflare Enterprise na África do Sul

Saiba mais

Perguntas frequentes

O que é a POPIA?

A POPIA é a Protection of Personal Information Act 4 of 2013, a lei de proteção de dados da África do Sul. Estabelece condições para o tratamento lícito de informações pessoais por organismos públicos e privados, confere aos titulares dos dados direitos sobre as suas informações e criou o Information Regulator para assegurar o seu cumprimento.Privacidade e tratamento de dados

A POPI Act é a mesma lei que a POPIA?

Sim. POPIA e POPI Act são ambas designações abreviadas da Protection of Personal Information Act 4 of 2013.

Quem fiscaliza o cumprimento da POPIA?

O Information Regulator (África do Sul), um organismo independente criado ao abrigo da secção 39 da POPIA. Responde perante a National Assembly e também fiscaliza o cumprimento da Promotion of Access to Information Act (PAIA).

Quando entrou em vigor a POPIA?

As secções que criaram o Information Regulator entraram em vigor em 11 de abril de 2014. A maior parte da lei, incluindo as condições para o tratamento lícito, entrou em vigor em 1 de julho de 2020, e o tratamento existente teve de ser adequado no prazo de um ano, até 30 de junho de 2021.

Com que rapidez deve ser comunicado um comprometimento de segurança ao abrigo da POPIA?

Logo que razoavelmente possível após a sua descoberta. Quando existam motivos razoáveis para crer que as informações pessoais foram acedidas ou obtidas por uma pessoa não autorizada, a parte responsável deve notificar o Information Regulator e os titulares dos dados afetados.A notificação dos titulares dos dados só pode ser adiada se um organismo público responsável pela investigação de infrações, ou o Regulador, determinar que a notificação irá prejudicar uma investigação criminal.Responsabilidades nas operações de segurançaO que faz um SIEM

Quais são as sanções por incumprimento da POPIA?

O Information Regulator pode aplicar uma coima de até R10 milhões. Algumas infrações, como o incumprimento de uma notificação de execução, são puníveis com multa, pena de prisão até 10 anos, ou ambas.

A Vigilbase pode tornar-nos conformes com a POPIA?

Não. A Vigilbase ajuda-o a operar salvaguardas de segurança e a demonstrá-las com evidências: os registos ligados continuam pesquisáveis, as investigações registam as evidências, as ações e a verificação, e o Managed Cloudflare conserva o histórico de alterações e as notas de incidentes. O seu Information Officer e os seus consultores jurídicos decidem o que a POPIA exige de si.Comece a utilizar o Vigilbase OSDocumentação de segurança no Centro de Confiança

Tópicos Relacionados

Noções básicas de segurança

O que é o SIEM?

Noções básicas de segurança

O que é o SOC?

Conformidade e Governação

Que nível de Managed Cloudflare deve contratar uma equipa de serviços financeiros?

Conformidade e Governação

Nigeria Data Protection Act

Conformidade e Governação

Data Protection Act do Quénia

Começar agora

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.
Começar agora Continuar a aprender