POPIA: Cookies, marketing y consentimiento para webs en Sudáfrica

¿Se aplica la POPIA a tu web?

La POPIA se aplica al tratamiento realizado por una parte responsable domiciliada en Sudáfrica, o por una situada fuera del país que utiliza medios automatizados o no automatizados en Sudáfrica, salvo que esos medios solo sirvan para reenviar información a través del país (sección 3).

La ley no aclara si instalar cookies en dispositivos situados en Sudáfrica cuenta como utilizar medios allí, así que las empresas extranjeras deben evaluarlo en lugar de darlo por supuesto. Ningún umbral de facturación exime a las pequeñas empresas.

Según la sección 1 de la ley, la información personal incluye los identificadores online y abarca a las personas físicas vivas identificables y, cuando proceda, a las personas jurídicas existentes, como las empresas.

Cookies, elaboración de perfiles y marketing directo: un ejemplo

Una tienda online que vende material de montaña instala una cookie publicitaria. Registra que un visitante ha visto botas de senderismo, vincula ese historial a la dirección de correo electrónico usada en la compra y añade a la persona a una audiencia «botas». Después le envía por correo electrónico una promoción de botas y le muestra anuncios de botas en otras webs.

Lo que dice la ley: una vez vinculados al visitante, el identificador de la cookie y el historial de navegación son información personal, porque la definición incluye los identificadores online. Crear la audiencia requiere una base lícita de la sección 11. El correo electrónico es marketing directo electrónico, que la sección 69 prohíbe sin consentimiento o sin que se cumplan las condiciones del cliente existente.

Lo que dice el Information Regulator: su nota orientativa sobre marketing directo (Guidance Note on Direct Marketing) incluye el uso de cookies entre los métodos de marketing directo mediante comunicaciones electrónicas no solicitadas, junto al correo electrónico, los SMS y las notificaciones push. Según esa interpretación, los anuncios basados en cookies también entran en la sección 69. La nota tiene carácter consultivo; la ley y el reglamento prevalecen.

La elaboración de perfiles en la ley: la POPIA no define la elaboración de perfiles. La sección 71 restringe las decisiones basadas únicamente en la elaboración automatizada de perfiles que tengan efectos jurídicos o sustanciales. Por debajo de ese umbral, la audiencia sigue necesitando una base lícita y debe coincidir con lo que se dijo a los visitantes.

Consejo de implementación de Passiro: trata la cookie y el marketing como una sola finalidad. Mantén las cookies de publicidad y remarketing en una categoría de consentimiento que permanezca desactivada hasta la aceptación, y guarda la elección sobre el marketing por correo electrónico como un campo aparte.

Bases lícitas, consentimiento y oposición

La sección 11 admite seis bases: el consentimiento, un contrato con la persona, una obligación legal, el interés legítimo de la persona, una obligación de Derecho público, o los intereses legítimos tuyos o de un tercero. La carga de probar el consentimiento recae en ti, y este puede retirarse en cualquier momento.

El consentimiento es una manifestación de voluntad libre, específica e informada. Por tanto, aceptar las condiciones de compra o de la cuenta no es un consentimiento específico para las cookies publicitarias.

La oposición es un derecho distinto. Las personas pueden oponerse en cualquier momento al tratamiento basado en el interés legítimo, por motivos razonables y en la forma prescrita, y al marketing directo no electrónico, como el correo postal. Tras una oposición, el tratamiento debe cesar (sección 11(3)–(4)).

La nota orientativa del Regulador acepta el interés legítimo para cierto marketing directo no electrónico tras una prueba documentada de finalidad, necesidad y ponderación. El marketing directo electrónico, en cambio, se rige por la sección 69.

Cuándo se aplica la vía del cliente existente

La sección 69(3) permite el marketing directo electrónico sin consentimiento solo cuando se dirige a tu cliente, y solo si se cumplen las tres condiciones:

1. Datos de contacto obtenidos en una venta: los obtuviste en el contexto de la venta de un producto o servicio a esa persona.
2. Tus propios productos similares: el marketing se refiere a tus propios productos o servicios similares. El ejemplo del Regulador: zapatos y cinturones para un minorista de ropa, pero no un seguro de decesos.
3. Una oportunidad de oponerse: la persona tuvo una oportunidad razonable, gratuita y sencilla de oponerse cuando se recogieron los datos, y la tiene con cada mensaje.

Cada mensaje de marketing directo debe además identificar al remitente e incluir datos de contacto para pedir que dejen de enviarse mensajes (sección 69(4)).

La vía tiene límites. Una visita a la web o un perfil de navegación no es una venta, una compra anterior no cubre productos no relacionados y una oposición pone fin a la vía para esa persona. El Regulador añade que el silencio no es consentimiento: alguien a quien nunca se le preguntó en el momento de la recogida no ha dado su conformidad.

Para todos los demás, necesitas consentimiento, y solo puedes pedirlo una vez, no después de una negativa (sección 69(2)). El reglamento de la POPIA modificado exige el consentimiento por escrito en un formulario sustancialmente similar al Formulario 4 o mediante otro método gratuito y accesible, y establece que una exclusión (opt-out) no es consentimiento.

Información, derechos y operadores

Antes de recoger información personal, adopta medidas razonablemente factibles para que las personas sepan qué se recoge, quién eres, la finalidad, los destinatarios, cualquier transferencia al extranjero y sus derechos, incluidos la oposición y las reclamaciones ante el Regulador (sección 18).

Las personas también pueden solicitar el acceso, la rectificación y la supresión, con sujeción a ciertas condiciones. Haz llegar las oposiciones y las retiradas del consentimiento a todos los sistemas que usan los datos: audiencias publicitarias, campañas programadas y exportaciones.

Los operadores solo pueden tratar datos con tu autorización, en virtud de un contrato escrito que exija medidas de seguridad (secciones 20–21). Las transferencias a un tercero en el extranjero requieren una protección adecuada, consentimiento u otra base de la sección 72; una cookie publicitaria aceptada no constituye por sí sola un consentimiento para la transferencia.

Lista de comprobación para tu web

• Ámbito: registra por qué se aplica la POPIA a tu web.
• Finalidad por herramienta: marca qué cookies alimentan audiencias de marketing.
• Antes del consentimiento: confirma que las cookies y los píxeles publicitarios siguen desactivados.
• Vía del cliente: comprueba las tres condiciones de la sección 69(3) antes de acogerte a ella.
• Oposiciones: confirma que llegan a las audiencias, las exportaciones y las campañas.
• Operadores: revisa los contratos y las bases de transferencia de cada proveedor.

Preguntas frecuentes