POPIA: Cookies, markedsføring og samtykke for hjemmesider i Sydafrika

Gælder POPIA for din hjemmeside?

POPIA gælder for behandling foretaget af en ansvarlig part med hjemsted i Sydafrika eller af en ansvarlig part uden for landet, der benytter automatiserede eller ikke-automatiserede midler i Sydafrika, medmindre midlerne kun bruges til at videresende oplysninger gennem landet (§ 3).

Loven siger ikke, om det at sætte cookies på enheder i Sydafrika tæller som at benytte midler dér, så virksomheder i udlandet bør vurdere spørgsmålet frem for at tage det for givet. Der er ingen omsætningsgrænse, der undtager små virksomheder.

Efter § 1 i loven omfatter personoplysninger online-identifikatorer og dækker identificerbare, levende personer og, hvor det er relevant, eksisterende juridiske personer som virksomheder.

Cookies, profilering og direkte markedsføring: ét eksempel

En webshop, der sælger friluftsudstyr, sætter en annoncecookie. Den registrerer, at en besøgende har set vandrestøvler, kobler historikken til den e-mailadresse, der blev brugt ved checkout, og føjer personen til en målgruppe for “støvler”. Derefter sender den en e-mail med et støvletilbud og viser annoncer for støvler på andre hjemmesider.

Hvad loven siger: når cookie-id’et og browsinghistorikken er koblet til den besøgende, er de personoplysninger, fordi definitionen omfatter online-identifikatorer. Opbygningen af målgruppen kræver et grundlag i § 11. E-mailen er elektronisk direkte markedsføring, som § 69 forbyder uden samtykke, medmindre betingelserne for eksisterende kunder er opfyldt.

Hvad Information Regulator siger: myndighedens Guidance Note on Direct Marketing nævner brugen af cookies blandt metoderne til direkte markedsføring via uopfordret elektronisk kommunikation, sammen med e-mail, sms og push-notifikationer. Efter den fortolkning er de cookiebaserede annoncer også omfattet af § 69. Notatet er vejledende; loven og forskrifterne har forrang.

Profilering efter loven: POPIA definerer ikke profilering. Lovens § 71 begrænser afgørelser, der udelukkende er baseret på automatiseret profilering, og som har retsvirkning eller væsentlige virkninger. Under den tærskel kræver målgruppen stadig et behandlingsgrundlag og bør svare til det, de besøgende har fået at vide.

Passiros tip til implementeringen: behandl cookien og markedsføringen som ét formål. Placér annonce- og remarketingcookies i en samtykkekategori, der forbliver slået fra indtil tilvalg, og gem valget om e-mailmarkedsføring som et separat felt.

Behandlingsgrundlag, samtykke og indsigelse

Lovens § 11 tillader seks grundlag: samtykke, en kontrakt med personen, en retlig forpligtelse, personens legitime interesse, en offentligretlig pligt eller dine eller en tredjeparts legitime interesser. Du har bevisbyrden for samtykke, og det kan til enhver tid trækkes tilbage.

Samtykke betyder en frivillig, specifik og informeret viljestilkendegivelse. At acceptere købs- eller kontovilkår er derfor ikke specifikt samtykke til annoncecookies.

Indsigelse er en separat rettighed. Personer kan til enhver tid gøre indsigelse mod behandling baseret på legitime interesser, på rimeligt grundlag og på den foreskrevne måde, og mod ikke-elektronisk direkte markedsføring som post. Efter en indsigelse skal behandlingen stoppe (§ 11, stk. 3–4).

Information Regulators vejledende notat accepterer legitime interesser for visse former for ikke-elektronisk direkte markedsføring efter en dokumenteret test af formål, nødvendighed og afvejning. Elektronisk direkte markedsføring er i stedet omfattet af § 69.

Hvornår undtagelsen for eksisterende kunder gælder

Efter § 69, stk. 3, er elektronisk direkte markedsføring uden samtykke kun tilladt over for din kunde, og kun når alle tre betingelser er opfyldt:

1. Kontaktoplysninger fra et salg: du fik dem i forbindelse med salget af et produkt eller en tjeneste til den pågældende person.
2. Dine egne lignende produkter: markedsføringen gælder dine egne lignende produkter eller tjenester. Information Regulators eksempel: sko og bælter for en tøjforhandler, men ikke begravelsesforsikring.
3. En mulighed for at gøre indsigelse: personen fik en rimelig, gratis og enkel mulighed for at gøre indsigelse, da oplysningerne blev indsamlet, og får en ved hver besked.

Hver besked med direkte markedsføring skal også identificere afsenderen og oplyse kontaktoplysninger, så modtageren kan bede om, at beskederne stopper (§ 69, stk. 4).

Undtagelsen har grænser. Et besøg på hjemmesiden eller en browsingprofil er ikke et salg, et tidligere køb dækker ikke urelaterede produkter, og en indsigelse afslutter undtagelsen for den pågældende person. Information Regulator tilføjer, at tavshed ikke er samtykke: en person, der aldrig blev spurgt ved indsamlingen, har ikke sagt ja.

For alle andre skal du have samtykke, og du må kun spørge én gang, ikke efter et afslag (§ 69, stk. 2). De ændrede POPIA-forskrifter kræver skriftligt samtykke på en formular, der i det væsentlige svarer til Form 4, eller via en anden gratis og tilgængelig metode, og fastslår, at et fravalg (opt-out) ikke er samtykke.

Information, rettigheder og operatører

Før du indsamler personoplysninger, skal du tage rimeligt gennemførlige skridt, så personerne ved, hvad der indsamles, hvem du er, formålet, modtagerne, eventuel overførsel til udlandet og deres rettigheder, herunder indsigelse og klage til Information Regulator (§ 18).

Personer kan også anmode om indsigt, berigtigelse og sletning på visse betingelser. Send indsigelser og tilbagetrækninger videre til alle systemer, der bruger dataene: annoncemålgrupper, planlagte kampagner og eksporter.

Operatører (databehandlere) må kun behandle oplysninger med din tilladelse og under en skriftlig kontrakt, der kræver sikkerhedsforanstaltninger (§§ 20–21). Overførsler til en tredjepart i udlandet kræver tilstrækkelig beskyttelse, samtykke eller et andet grundlag i § 72; en accepteret annoncecookie er ikke i sig selv et samtykke til overførsel.

Tjekliste til din hjemmeside

• Omfang: notér, hvorfor POPIA gælder for din hjemmeside.
• Formål pr. værktøj: markér, hvilke cookies der fodrer marketingmålgrupper.
• Før samtykke: bekræft, at annoncecookies og pixels forbliver slået fra.
• Kundeundtagelsen: tjek alle tre betingelser i § 69, stk. 3, før du baserer dig på den.
• Indsigelser: bekræft, at de når frem til målgrupper, eksporter og kampagner.
• Operatører: tjek kontrakter og overførselsgrundlag for hver leverandør.

Ofte stillede spørgsmål