POPIA: Cookie, marketing e consenso per i siti web in Sudafrica

Il POPIA si applica al tuo sito web?

Il POPIA si applica ai trattamenti effettuati da una parte responsabile domiciliata in Sudafrica, o da una parte responsabile stabilita fuori dal paese che utilizza mezzi automatizzati o non automatizzati in Sudafrica, a meno che tali mezzi servano solo a far transitare le informazioni attraverso il paese (sezione 3).

La legge non dice se impostare cookie su dispositivi in Sudafrica equivalga a utilizzare mezzi nel paese, quindi le imprese estere dovrebbero valutarlo anziché darlo per scontato. Nessuna soglia di fatturato esenta le piccole imprese.

Ai sensi della sezione 1 della legge, le informazioni personali includono gli identificatori online e riguardano le persone fisiche viventi identificabili e, ove applicabile, le persone giuridiche esistenti come le società.

Cookie, profilazione e marketing diretto: un esempio

Un negozio online di attrezzatura outdoor imposta un cookie pubblicitario. Registra che un visitatore ha visualizzato scarponi da trekking, collega questa cronologia all’indirizzo email usato al checkout e aggiunge la persona a un segmento di pubblico “scarponi”. Poi invia un’email promozionale sugli scarponi e mostra annunci di scarponi su altri siti web.

Cosa dice la legge: una volta collegati al visitatore, l’ID del cookie e la cronologia di navigazione sono informazioni personali, perché la definizione include gli identificatori online. La creazione del segmento di pubblico richiede una base di liceità ai sensi della sezione 11. L’email è marketing diretto elettronico, che la sezione 69 vieta in assenza di consenso o delle condizioni previste per i clienti esistenti.

Cosa dice l’Information Regulator: la sua Guidance Note on Direct Marketing elenca l’uso dei cookie tra i metodi di marketing diretto tramite comunicazioni elettroniche non richieste, accanto a email, SMS e notifiche push. Secondo questa lettura, anche gli annunci basati sui cookie rientrano nella sezione 69. La nota ha valore consultivo; prevalgono la legge e i Regolamenti.

La profilazione nella legge: il POPIA non definisce la profilazione. La sezione 71 limita le decisioni basate unicamente su una profilazione automatizzata che producono effetti giuridici o sostanziali. Al di sotto di questa soglia, il segmento di pubblico richiede comunque una base di liceità e dovrebbe corrispondere a quanto comunicato ai visitatori.

Il consiglio di Passiro per l’implementazione: tratta il cookie e il marketing come un’unica finalità. Inserisci i cookie pubblicitari e di remarketing in una categoria basata sul consenso che resta disattivata fino all’opt-in, e memorizza la scelta sul marketing via email in un campo separato.

Basi di liceità, consenso e opposizione

La sezione 11 ammette sei basi: il consenso, un contratto con la persona, un obbligo di legge, il legittimo interesse della persona, un dovere di diritto pubblico o il legittimo interesse tuo o di un terzo. L’onere di dimostrare il consenso spetta a te, e il consenso può essere revocato in qualsiasi momento.

Per consenso si intende una manifestazione di volontà libera, specifica e informata. Accettare le condizioni di acquisto o dell’account non costituisce quindi un consenso specifico ai cookie pubblicitari.

L’opposizione è un diritto distinto. Le persone possono opporsi in qualsiasi momento al trattamento basato sul legittimo interesse, per motivi ragionevoli e nelle modalità prescritte, e al marketing diretto non elettronico, come quello per posta. Dopo un’opposizione, il trattamento deve cessare (sezione 11(3)–(4)).

La nota di orientamento del Regulator accetta il legittimo interesse per alcune forme di marketing diretto non elettronico, previa una valutazione documentata di finalità, necessità e bilanciamento. Il marketing diretto elettronico rientra invece nella sezione 69.

Quando si applica la deroga per i clienti esistenti

La sezione 69(3) consente il marketing diretto elettronico senza consenso solo nei confronti dei tuoi clienti, e solo quando sono soddisfatte tutte e tre le condizioni:

1. Dati di contatto ottenuti da una vendita: li hai ottenuti nell’ambito della vendita di un prodotto o servizio a quella persona.
2. Tuoi prodotti analoghi: il marketing riguarda tuoi prodotti o servizi analoghi. L’esempio del Regulator: scarpe e cinture per un rivenditore di abbigliamento, ma non un’assicurazione funeraria.
3. Possibilità di opporsi: la persona ha avuto un’opportunità ragionevole, gratuita e semplice di opporsi al momento della raccolta dei dati, e la riceve con ogni messaggio.

Ogni messaggio di marketing diretto deve inoltre identificare il mittente e fornire i recapiti per chiedere l’interruzione dei messaggi (sezione 69(4)).

La deroga ha dei limiti. Una visita al sito o un profilo di navigazione non sono una vendita, un acquisto passato non copre prodotti non correlati e un’opposizione pone fine alla deroga per quella persona. Il Regulator aggiunge che il silenzio non è consenso: chi non è mai stato interpellato al momento della raccolta non ha dato il proprio assenso.

Per tutti gli altri serve il consenso, e puoi chiederlo una sola volta, non dopo un rifiuto (sezione 69(2)). I Regolamenti POPIA modificati richiedono un consenso scritto su un modulo sostanzialmente simile al Form 4 o con un altro metodo gratuito e accessibile, e stabiliscono che un opt-out non è consenso.

Informazioni, diritti e operatori

Prima di raccogliere informazioni personali, adotta misure ragionevolmente praticabili affinché le persone sappiano cosa viene raccolto, chi sei, la finalità, i destinatari, eventuali trasferimenti all’estero e i loro diritti, compresi l’opposizione e il reclamo al Regulator (sezione 18).

Le persone possono inoltre chiedere accesso, rettifica e cancellazione, a determinate condizioni. Inoltra opposizioni e revoche a ogni sistema che usa i dati: segmenti di pubblico pubblicitari, campagne programmate ed esportazioni.

Gli operatori possono trattare i dati solo con la tua autorizzazione, in base a un contratto scritto che imponga misure di sicurezza (sezioni 20–21). I trasferimenti a un terzo all’estero richiedono una protezione adeguata, il consenso o un’altra base prevista dalla sezione 72; un cookie pubblicitario accettato non costituisce di per sé un consenso al trasferimento.

Checklist per il sito web

• Ambito: documenta perché il POPIA si applica al tuo sito.
• Finalità per strumento: indica quali cookie alimentano i segmenti di pubblico per il marketing.
• Prima del consenso: conferma che cookie pubblicitari e pixel restano disattivati.
• Deroga per i clienti: verifica tutte e tre le condizioni della sezione 69(3) prima di avvalertene.
• Opposizioni: conferma che raggiungono segmenti di pubblico, esportazioni e campagne.
• Operatori: controlla contratti e basi per il trasferimento di ogni fornitore.

Domande frequenti