Što POPIA obuhvaća

POPIA je sveobuhvatan zakon o zaštiti podataka Južne Afrike, djelomično modeliran prema GDPR-u, ali s važnim lokalnim prilagodbama. Regulira kako odgovorne strane (slično GDPR kontrolorima) obrađuju osobne podatke o ispitanicima. Za web stranice, to uključuje sve kolačiće, piksele za praćenje, otiske prstiju ili SDK identifikatore koji se mogu povezati s prepoznatljivim pojedincem — izravno ili neizravno.

Zakon provodi Regulator za informacije Južne Afrike, koji je objavio posebne smjernice o online praćenju i izravnom marketingu. Neusklađenost može rezultirati administrativnim kaznama do 10 milijuna ZAR ili kaznenim sankcijama do 10 godina zatvora za teže povrede.

Kada POPIA zahtijeva pristanak

POPIA prepoznaje osam zakonitih osnova za obradu, slično GDPR-u. Za kolačiće, dvije najrelevantniji su pristanak i legitimni interes. Regulator za informacije pojasnio je da se pristanak mora dobiti za:

• Kolačiće za oglašavanje i marketing — uključujući remarketing, programatsko izgradnju publike i praćenje konverzija.
• Analitiku trećih strana koja prenosi osobne podatke izvan Južne Afrike ili obogaćuje podatke vanjskim izvorima.
• Dodatke za društvene mreže koji postavljaju kolačiće prije interakcije korisnika.
• Svako praćenje koje se koristi za izravni marketing prema Odjeljku 69 POPIA-e.

Strogo nužni kolačići (upravljanje sesijama, sigurnost, balansiranje opterećenja, stanje košarice za kupovinu) mogu se općenito osloniti na legitimni interes, ali i dalje moraju biti otkriveni u vašoj politici kolačića.

Standard pristanka

POPIA definira pristanak kao svako dobrovoljno, konkretno i informirano izražavanje volje. U praksi, to znači:

• Unaprijed označeni okviri nisu valjani.
• Skupni pristanak (jedan opt-in koji pokriva više nepovezanih svrha) nije valjan.
• Šutnja ili nastavak pregledavanja ne podrazumijeva pristanak.
• Povlačenje pristanka mora biti jednako lako kao i njegovo davanje.

POPIA vs GDPR: Ključne razlike

Iako POPIA i GDPR dijele zajednička načela, postoje važne razlike koje utječu na dizajn bannera za kolačiće i evidenciju pristanaka.

Podaci djece

POPIA definira dijete kao svaku osobu mlađu od 18 godina — više od 16 po GDPR-u (ili 13 u nekim zemljama EU-a). Obrada osobnih podataka djece zahtijeva pristanak od nadležne osobe (obično roditelja ili skrbnika), što čini provjeru dobi praktičnim zahtjevom za svaku stranicu s maloljetnicima iz Južne Afrike u publici.

Prekogranični prijenosi

Odjeljak 72 POPIA-e ograničava prijenos osobnih podataka izvan Južne Afrike osim ako zemlja primatelja ima usporedivu zaštitu, ispitanik je pristao, ili se primjenjuju posebne iznimke. Ako vaš analitički ili ad-tech skup alata šalje podatke u SAD, EU ili druge jurisdikcije, trebate jasnu osnovu prijenosa dokumentiranu u vašoj obavijesti o privatnosti.

Izravni marketing

Odjeljak 69 nameće stroga pravila opt-in za elektronički izravni marketing. Ne možete koristiti kolačiće za pokretanje marketinških poruka osim ako korisnik nije posebno pristao za tu svrhu — zasebna prebacivač od analitike ili personalizacije.

Kontrolni popis implementacije za 2026.

Koristite ovaj kontrolni popis kako biste uskladili svoju stranicu s trenutnim očekivanjima Regulatora za informacije:

• 1. Revidirajte svaki kolačić i tracker — dokumentirajte svrhu, trajanje, primatelja podataka i prekogranično odredište za svaki.
• 2. Kategorizirajte prema svrsi — strogo nužno, funkcionalno, analitika, oglašavanje, društvene mreže. Zasebni prekidači za svaku kategoriju.
• 3. Blokirajte neobavezne kolačiće prema zadanim postavkama — postavite sve opcijske skripte da se učitavaju samo nakon izričitog pristanka.
• 4. Pružite jasan banner — gumbi Prihvati i Odbij jednake istaknutosti, objašnjenje na razumljivom jeziku, bez tamnih obrazaca.
• 5. Ponudite lako povlačenje — trajna veza "Upravljanje preferencijama" u podnožju ili widget.
• 6. Vodite evidenciju o pristancima — vremensku oznaku, korisničke izbore, verziju bannera i regiju izvedenu iz IP-a najmanje tri godine.
• 7. Objavite obavijest o privatnosti usklađenu s POPIA-om — uključite podatke za kontakt odgovorne strane, Službenika za informacije, zakonsku osnovu za svaku aktivnost obrade i otkrivanja prekograničnih prijenosa.
• 8. Registrirajte svog Službenika za informacije — obvezno kod Regulatora za informacije za svaku odgovornu stranu koja obrađuje osobne podatke u Južnoj Africi.

Uobičajene pogreške

Na temelju mjera izvršavanja Regulatora za informacije i javnih smjernica, ovo su najčešće pogreške pristanka na kolačiće POPIA koje vidimo u 2026.:

• Tretiranje POPIA-e kao blage verzije GDPR-a — definicija od 18 godina i pravila izravnog marketinga iz Odjeljka 69 stroži su od GDPR-ovih ekvivalenata.
• Bez prekograničnog otkrivanja — propust navesti koje zemlje primaju osobne podatke česta je nalaz revizije.
• Geo-IP filtriranje samo posjetitelja EU-a — mnoge stranice još uvijek prikazuju bannere korisnicima EU-a, ali ne i korisnicima Južne Afrike. POPIA zahtijeva isti standard za posjetitelje SA.
• Analitika bez anonimizacije — slanje punih IP adresa analitici temeljenoj u SAD-u bez pristanka ili anonimizacije rizik je prekograničnog prijenosa.
• Nedostajuća registracija Službenika za informacije — proceduralni propust koji Regulator provjerava rano u svakoj istrazi.

Kako FlexyConsent pomaže s POPIA-om

Izvršavanje POPIA-e postaje sve sofisticiranije. Ako vaša stranica dostiže posjetitelje iz Južne Afrike i niste pregledali konfiguraciju svog bannera za kolačiće u proteklih 12 mjeseci, sada je pravo vrijeme za reviziju. Pokrenite besplatno probno razdoblje FlexyConsent i konfigurirajte POPIA-usklađen pristanak za nekoliko minuta.