מהו תקן POPIA?
POPIA (ראשי תיבות של Protection of Personal Information Act) הוא חוק הגנת המידע של דרום אפריקה,
שנכנס לתוקף ב־1 ביולי 2020 ונאכף באופן מלא החל מ־1 ביולי 2021.
מטרת POPIA היא להסדיר את האיסוף, האחסון, העיבוד והשימוש במידע אישי של אזרחים ותושבים,
כדי להגן על פרטיותם ולמנוע שימוש לרעה בנתונים.
החוק מקביל בחשיבותו ובמהותו לתקנות האירופיות GDPR, אם כי יש לו הבדלים מקומיים ייחודיים.
POPIA מחייב כל ארגון מקומי או זר שמעבד מידע אישי של יחידים בדרום אפריקה, לפעול בהתאם
לעקרונות החוק ולנקוט באמצעים מתאימים להגנה על פרטיות.
מי צריך לעמוד בדרישות POPIA?
כל גורם או ארגון (נקרא בחוק “responsible party”) שמעבד מידע אישי של אזרחים או תושבי דרום אפריקה,
נדרש לעמוד בדרישות POPIA. זה כולל:
חברות מקומיות: כל עסק הפועל בדרום אפריקה.
חברות בינלאומיות: אם הן מציעות שירותים או סחורות לתושבים, או עוקבות אחר התנהגות משתמשים במדינה.
גופים ציבוריים: רשויות ממשלתיות, מוסדות חינוך, בתי חולים ועוד.
עמותות ומלכ”רים: כל עיבוד מידע אישי מחייב ציות לתקן.
מה נחשב מידע אישי לפי POPIA?
POPIA מגדיר מידע אישי בצורה רחבה מאוד, כולל:
שם, ת.ז., כתובת, מספר טלפון
פרטים ביומטריים, רפואיים, אתניים או דתיים
דעות פוליטיות או אמונות דתיות
העדפות אישיות, מיקום גאוגרפי, הרגלי צריכה
פרטי קשר, מידע פיננסי ועוד
עקרונות יסוד של POPIA
אחריות: הארגון נושא באחריות לעמידה בדרישות החוק.
שקיפות: איסוף מידע חייב להתבצע בגילוי מלא.
מטרה מוגדרת: עיבוד מידע אישי מותר רק לצורך מטרה חוקית, ברורה ומוגדרת מראש.
מינימליות: יש לאסוף רק את המידע ההכרחי למטרה.
איכות מידע: על הארגון לוודא שהמידע מעודכן, מדויק ושלם.
אבטחת מידע: חובה לנקוט באמצעים טכנולוגיים וארגוניים מתאימים למניעת דליפות.
זכויות נושא המידע: כל אדם זכאי לדעת אילו פרטים נשמרים עליו, לדרוש תיקון או מחיקה, ולהתנגד לעיבוד.
שימור מוגבל: מידע אישי יש להחזיק רק לפרק זמן סביר.
תהליך היישום של POPIA בארגון
מיפוי נתונים – איתור ואפיון כלל המידע האישי שהארגון אוסף, שומר או מעבד.
מינוי ממונה POPIA (Information Officer) – אדם אחראי ליישום החוק בארגון.
בחינה משפטית – סקירה של חוזים, מדיניות פרטיות, תקנונים וממשקי משתמש.
עדכון מדיניות פרטיות – לוודא שהמשתמשים מקבלים גילוי מלא ומסכימים לשימוש במידע.
הטמעת אמצעי אבטחה – כמו הצפנה, בקרות גישה, ניטור ודיווח על דליפות מידע.
הדרכות עובדים – חינוך להיבטי פרטיות, מניעת שגיאות ושיפור מודעות כללית.
הגדרת הליך לטיפול בבקשות משתמשים – מתן מענה לפניות על מידע אישי.
ניהול מקרים של הפרת מידע – החובה לדווח ל־Information Regulator בתוך זמן סביר במקרה
של דליפה או שימוש לא מורשה.
קנסות וסנקציות של POPIA
אי עמידה ב־POPIA עלולה להוביל ל:
קנסות כספיים עד 10 מיליון ראנד דרום־אפריקאי (כ־530,000 דולר).
עונש מאסר של עד 10 שנים.
נזק תדמיתי ופגיעה באמון הלקוחות.
תביעות אזרחיות מצד נושאי מידע.
שאלות ותשובות בנושא POPIA
מה ההבדל המרכזי בין POPIA ל־GDPR?
בעוד ששניהם מגנים על פרטיות מידע, POPIA אינו כולל חובה למנות DPO (Data Protection Officer)
אלא Information Officer, שיכול להיות עובד פנימי.
כמו כן, POPIA מכיל חריגים נרחבים יותר לעיבוד מידע על ידי המדינה או לצורכי עיתונאות.
האם ארגון שמבצע עיבוד מחוץ לדרום אפריקה אך שומר מידע על דרום אפריקאים חייב לעמוד בתקן?
כן. POPIA חל גם על ארגונים זרים אם הם מעבדים מידע של תושבים מקומיים גם אם העיבוד בפועל קורה במדינה אחרת.
האם נדרש הסכמה מפורשת מהמשתמש לכל שימוש במידע?
במרבית המקרים, כן.
POPIA דורש שהסכמה תהיה מודעת, מרצון ומבוססת על גילוי מלא.
יש חריגים (למשל עיבוד הכרחי לצורך חוזה, חובה חוקית, או אינטרס לגיטימי).
איך מדווחים על הפרת מידע לפי POPIA?
בעת דליפה או שימוש לא מורשה במידע אישי, על הארגון לדווח ל־Information Regulator ולנושאי המידע
בהקדם האפשרי לאחר גילוי האירוע.
מה ההשלכות של POPIA על מערכות מידע ואבטחת סייבר?
POPIA מחייבת אמצעי אבטחה ברמת סיכון מתאימה. למשל:
גיבויים קבועים
הגנה על בסיסי נתונים
ניהול הרשאות קפדני
תוכנית תגובה לאירועים
