Guia de compliment del consentiment de cookies POPIA de Sud-àfrica per al 2026
Si el vostre lloc web recull informació personal de visitants a Sud-àfrica, la Llei de Protecció de la Informació Personal (POPIA) us és aplicable — independentment d'on tingui la seu la vostra empresa. La POPIA és totalment aplicable des del juliol del 2021, i el Regulador d'Informació ha centrat la seva atenció en el seguiment en línia i el consentiment de cookies durant els últims 18 mesos. Aquesta guia explica el que exigeix la POPIA per a les cookies i les tecnologies de seguiment el 2026, com es diferencia del GDPR i com configurar el vostre banner de consentiment per mantenir-vos en compliment.
Què cobreix la POPIA
La POPIA és la llei integral de protecció de dades de Sud-àfrica, parcialment modelada en el GDPR, però amb importants adaptacions locals. Regula com les parts responsables (similars als controladors del GDPR) processen la informació personal sobre els subjectes de dades. Per als llocs web, això inclou qualsevol cookie, píxel de seguiment, empremta digital o identificador SDK que pugui estar vinculat a un individu identificable — directa o indirectament.
La llei és aplicada pel Regulador d'Informació de Sud-àfrica, que ha publicat orientació específica sobre el seguiment en línia i el màrqueting directe. L'incompliment pot resultar en multes administratives de fins a 10 milions de ZAR o sancions penals de fins a 10 anys de presó per infraccions greus.
Quan la POPIA requereix consentiment
La POPIA reconeix vuit bases legals per al processament, similars al GDPR. Per a les cookies, les dues més rellevants són el consentiment i l'interès legítim. El Regulador d'Informació ha aclarit que s'ha d'obtenir consentiment per a:
- Cookies de publicitat i màrqueting — incloent-hi el remarketing, la creació programàtica d'audiències i el seguiment de conversions.
- Analítica de tercers que transmet informació personal fora de Sud-àfrica o enriqueix dades amb fonts externes.
- Connectors de xarxes socials que estableixen cookies abans de la interacció de l'usuari.
- Qualsevol seguiment utilitzat per al màrqueting directe sota la Secció 69 de la POPIA.
Les cookies estrictament necessàries (gestió de sessions, seguretat, equilibri de càrrega, estat del carret de la compra) generalment poden basar-se en l'interès legítim, però encara s'han de divulgar a la vostra política de cookies.
Estàndard de consentiment
La POPIA defineix el consentiment com qualsevol expressió voluntària, específica i informada de voluntat. A la pràctica, això significa:
- Les caselles pre-marcades no són vàlides.
- El consentiment agrupat (un únic opt-in que cobreix múltiples finalitats no relacionades) no és vàlid.
- El silenci o la navegació continuada no implica consentiment.
- El consentiment ha de ser tan fàcil de retirar com de donar.
POPIA vs GDPR: diferències clau
Si bé la POPIA i el GDPR comparteixen principis comuns, hi ha diferències importants que afecten el disseny del banner de cookies i els registres de consentiment.
Dades de menors
La POPIA defineix un menor com qualsevol persona menor de 18 anys — superior als 16 del GDPR (o 13 en alguns països de la UE). El processament de la informació personal dels menors requereix el consentiment d'una persona competent (generalment un progenitor o tutor), cosa que fa de la verificació d'edat un requisit pràctic per a qualsevol lloc web amb menors sud-africans entre el seu públic.
Transferències transfrontereres
La Secció 72 de la POPIA restringeix la transferència d'informació personal fora de Sud-àfrica, tret que el país receptor tingui una protecció comparable, el subjecte de dades hagi donat el seu consentiment o s'apliquin excepcions específiques. Si la vostra pila d'analítica o tecnologia publicitària envia dades als EUA, la UE o altres jurisdiccions, necessiteu una base de transferència clara documentada al vostre avís de privadesa.
Màrqueting directe
La Secció 69 imposa normes estrictes d'opt-in per al màrqueting directe electrònic. No podeu utilitzar cookies per activar missatges de màrqueting a menys que l'usuari hagi donat el seu consentiment específicament per a aquella finalitat — un interruptor separat de l'analítica o la personalització.
Llista de verificació d'implementació per al 2026
Utilitzeu aquesta llista de verificació per alinear el vostre lloc amb les expectatives actuals del Regulador d'Informació:
- 1. Auditeu cada cookie i rastrejador — documenteu la finalitat, la durada, el destinatari de les dades i la destinació transfronterera per a cada un.
- 2. Categoritzeu per finalitat — estrictament necessàries, funcionals, analítiques, publicitàries, xarxes socials. Interruptors separats per a cada categoria.
- 3. Bloqueu les cookies no essencials per defecte — configureu tots els scripts opcionals perquè es carreguin únicament després del consentiment explícit.
- 4. Proporcioneu un banner clar — botons Acceptar i Rebutjar amb igual prominència, explicació en llenguatge planer, sense patrons foscos.
- 5. Oferiu una retirada fàcil — un enllaç persistent a "Gestiona les preferències" al peu de pàgina o al widget.
- 6. Mantingueu registres de consentiment — marca de temps, eleccions de l'usuari, versió del banner i regió derivada de la IP durant almenys tres anys.
- 7. Publiqueu un avís de privadesa alineat amb la POPIA — incloeu les dades de contacte de la part responsable, el Responsable d'Informació, la base legal per a cada activitat de processament i les divulgacions de transferències transfrontereres.
- 8. Registreu el vostre Responsable d'Informació — obligatori davant el Regulador d'Informació per a qualsevol part responsable que processi informació personal a Sud-àfrica.
Errors habituals
Basant-nos en les accions d'aplicació del Regulador d'Informació i l'orientació pública, aquests són els errors de consentiment de cookies de la POPIA més habituals que veiem el 2026:
- Tractar la POPIA com un GDPR alleugerit — la definició de 18 anys i les normes de màrqueting directe de la Secció 69 són més estrictes que els equivalents del GDPR.
- Cap divulgació transfronterera — no llistar quins països reben informació personal és una troballa habitual en auditories.
- Filtratge per Geo-IP només als visitants de la UE — molts llocs encara mostren banners als usuaris de la UE, però no als usuaris sud-africans. La POPIA exigeix el mateix estàndard per als visitants sud-africans.
- Analítica sense anonimització — enviar adreces IP completes a l'analítica amb seu als EUA sense consentiment o anonimització és un risc de transferència transfronterera.
- Registre del Responsable d'Informació absent — una fallada procedimental que el Regulador comprova aviat en qualsevol investigació.
Com ajuda FlexyConsent amb la POPIA
FlexyConsent admet el compliment de la POPIA de fàbrica:
- La geo-detecció mostra automàticament el banner alineat amb la POPIA als visitants de Sud-àfrica.
- Interruptors separats per a analítica, publicitat, xarxes socials i màrqueting directe — sense consentiment agrupat.
- Divulgacions de transferències transfrontereres integrades en la plantilla d'avís de privadesa per defecte.
- Registres de consentiment conservats amb marca de temps, eleccions, versió del banner i regió per a auditories.
- Opció de porta d'edat per a llocs web dirigits a públics que puguin incloure usuaris menors de 18 anys.
- Integració de Google Consent Mode V2 i IAB TCF 2.3 per a la interoperabilitat amb tecnologia publicitària.
L'aplicació de la POPIA és cada vegada més sofisticada. Si el vostre lloc web arriba a visitants sud-africans i no heu revisat la configuració del vostre banner de cookies en els últims 12 mesos, ara és el moment de fer l'auditoria. Comenceu la vostra prova gratuïta de FlexyConsent i configureu el consentiment compatible amb la POPIA en minuts.