Conformité POPIA des sites web
Le Protection of Personal Information Act (POPIA) est la loi sud-africaine sur la protection des données. Entré en vigueur le 1er juillet 2020, il est applicable depuis le 1er juillet 2021, sous le contrôle de l’Information Regulator. Il vise quiconque traite des données personnelles en Afrique du Sud, et il ressemble assez au RGPD pour que les équipes européennes le croient identique : c’est là que les ennuis commencent.
- Afrique du Sud, applicable depuis 2021
- Huit conditions pour un traitement licite
- Information Officer obligatoire
À partir de 10 € par mois. Sans carte bancaire, sans facturation par visiteur.
Ce qu’exige le POPIA
La loi fixe huit conditions pour qu’un traitement soit licite. Cinq d’entre elles déterminent ce qu’un site web doit faire.
- Responsabilité : quelqu’un répond du respect de la loi
- Limitation du traitement : licite, minimal et justifié
- Spécification de la finalité : collecte dans un but défini
- Transparence : chacun est informé du traitement de ses données
- Garanties de sécurité : des mesures techniques appropriées
Cette page explique ce qu’exige la loi et ce que fait notre logiciel pour y répondre. Elle ne constitue pas un conseil juridique et ne peut pas vous dire si votre organisation est en conformité, car cela dépend de tout ce que vous traitez par ailleurs.
Ce que fait Consent Studio
Demande, et enregistre ce qui a été demandé
Le consentement est enregistré avec un horodatage, en regard du texte affiché : sur un site web, c’est concrètement à cela que se résument les conditions de responsabilité et de transparence. Un visiteur sud-africain peut bénéficier de la même approche qu’un visiteur européen.
- Horodaté
- Texte versionné
- Par région
Collecte moins que les autres solutions
La condition de limitation du traitement demande le strict nécessaire, et le registre des consentements est conçu de la même façon : il prouve un choix sans identifier qui l’a fait. Un registre de conformité qui profile les personnes va à l’encontre de la condition qu’il est censé satisfaire.
- Aucun profil constitué
- Données minimisées
- Conservation paramétrable
Vous dit ce qui tourne sur votre site
L’analyse hebdomadaire signale tout ce qui dépose un cookie ou appelle un tiers sans autorisation : c’est ainsi qu’une déclaration sur les garanties de sécurité cesse d’être une simple affirmation. On ne protège pas un traitement qu’on ne voit pas.
- Analyse hebdomadaire
- Page d’accueil + vos pages
- Alertes en cas de changement
Là où le POPIA s’écarte de ce que vous imaginez
Les équipes qui utilisent déjà une bannière RGPD se trompent souvent sur trois points, et tous trois viennent de l’idée que les deux lois sont identiques.
La prospection directe a sa propre règle
L’article 69 exige un opt-in pour la prospection directe électronique auprès de personnes qui ne sont pas déjà vos clients, et ne vous autorise à solliciter ce consentement qu’une seule fois par personne. C’est plus strict que le régime général, et cela piège les équipes qui lisent le POPIA comme une copie du RGPD.
Les données personnelles ont une définition plus large
Le POPIA couvre aussi les informations relatives aux personnes morales, c’est-à-dire aux entreprises, et pas seulement aux personnes physiques vivantes. Une équipe européenne qui raisonne à partir de la définition du RGPD considérera les coordonnées d’entreprises comme hors champ, alors qu’elles ne le sont pas.
Quelqu’un doit être enregistré
La loi exige un Information Officer, enregistré auprès de l’Information Regulator, qui répond de la conformité. C’est une obligation organisationnelle dont aucune plateforme de consentement ne peut s’acquitter à votre place, et c’est la première chose sur laquelle un auditeur vous interroge.
Essential
10 €/par mois
Pour un site unique qui doit être conforme, et le rester.
- Pages et affichages illimités
- 200 000 actions de consentement par mois
- La stack complète, pas une version allégée
Professional
36 €/par mois
Pour les équipes en croissance pilotées par la donnée, et les agences qui les accompagnent.
Essayer Professional gratuitementEnterprise
Dès 250 €/par mois
Pour un volume, ou une obligation, hors de portée d’un forfait standard.
Découvrir EnterpriseAgences et revendeurs
Achetez au tarif partenaire et refacturez chaque site client au prix que vous fixez.
Découvrir le programme partenairesSecteur public
Administrations, santé et éducation s’appuient sur Enterprise.
Voir Enterprise
Déployé là où s’appliquent des règles comme celles-ci, dans plus d’un pays
D’autres règles susceptibles de s’appliquer à vous
Questions fréquentes sur le POPIA
Le POPIA s’applique-t-il à mon site si je ne suis pas en Afrique du Sud ?
Il s’applique lorsque le traitement a lieu en Afrique du Sud, y compris lorsqu’une organisation étrangère traite des données par des moyens situés dans le pays. Si vous avez des visiteurs sud-africains et que vous utilisez une infrastructure locale ou disposez d’un établissement sur place, partez du principe qu’il s’applique et faites-vous conseiller sur les détails.
Le POPIA impose-t-il une bannière de cookies ?
La loi ne mentionne pas les cookies, mais les conditions de limitation du traitement et de transparence impliquent que les données personnelles recueillies par pistage reposent sur une base légale et fassent l’objet d’une information. En pratique, cela mène pour la plupart des sites à la même réponse que le RGPD : demander, et pouvoir montrer ce qui a été demandé.
En quoi le POPIA diffère-t-il du RGPD ?
Trois différences comptent pour un site web : la prospection directe est régie à part, et plus strictement, par l’article 69 ; les données personnelles couvrent les entreprises, et pas seulement les particuliers ; et la loi exige un Information Officer enregistré. Les mécanismes généraux du consentement sont assez proches pour qu’une seule configuration de bannière serve les deux.
Qui fait appliquer le POPIA ?
L’Information Regulator, qui peut faire appliquer la loi depuis le 1er juillet 2021 et prononcer des injonctions et des amendes. C’est aussi l’autorité auprès de laquelle un Information Officer s’enregistre, une étape organisationnelle qu’aucun logiciel ne peut accomplir à votre place.
Consent Studio nous rend-il conformes ?
Aucun outil ne le peut à lui seul, et tout fournisseur qui prétend le contraire cherche à vous vendre quelque chose. Consent Studio assure la part qui revient à une plateforme de consentement : demander comme il se doit, faire respecter la réponse par chaque balise, conserver la preuve et vous prévenir quand le site change. Ce que vous traitez ailleurs reste de votre ressort.
Où nos données de consentement sont-elles stockées ?
À Amsterdam, sur une infrastructure détenue et exploitée par Scaleway, une entreprise française. Ici, la propriété compte davantage que l’emplacement : Scaleway est une entreprise française indépendante, et non la filiale européenne d’un groupe américain, si bien que ni Scaleway ni nous ne relevons du CLOUD Act américain. Consent Studio est lui-même conçu aux Pays-Bas, à capitaux néerlandais.
Lancez-vous avec The Full Consent Stack
Tout ce dont vous avez besoin, en une seule offre. Consent Studio traite et stocke les données de consentement des visiteurs de l’UE sur l’infrastructure d’entreprises européennes, au sein de l’UE (Scaleway, France ; Bunny, Slovénie). C’est vous qui décidez, dans Launcher, quelles balises envoient ensuite des données, et vers où.
Lire la documentation
Notre centre d’aide détaille pas à pas chaque intégration, extension et modèle, captures d’écran à l’appui. Il est rédigé et tenu à jour par l’équipe qui développe Consent Studio.