关于 south-africa-popia
面向依据南非 POPIA 处理个人信息的组织的合规参考资料。内容说明八项合法处理条件、数据主体权利、跨境传输规则、安全义务及执法措施。
主要功能
- 01八项合法处理条件
- 02个人信息与相关主体定义
- 03数据主体访问和更正权
- 04跨境传输要求
- 05安全与违规通知义务
- 06执法及处罚概览
适用场景
- 01按 POPIA 条件审查数据处理
- 02核查运营方合同中的安全义务
- 03评估向南非境外传输数据
- 04准备违规事件通知义务
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/south-africa-popia确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
南非 POPIA 合规
概述
《个人信息保护法》（POPIA），即 2013 年第 4 号法案，是南非全面的数据保护法律。该法于 2020 年 7 月 1 日生效，并在一年的宽限期后于 2021 年 7 月 1 日全面实施。POPIA 大体上以欧盟的数据保护原则为蓝本，但根据南非宪法框架进行了调整，尤其是宪法第 14 条（隐私权）。信息监管机构是负责执法的独立监管机构。POPIA 适用于任何在南非注册的责任方（控制者），或使用自动化或非自动化手段在南非境内处理个人信息的责任方；但若这些手段仅用于在南非境内转送信息，则不适用。
关键定义
| POPIA 术语 | GDPR 对应术语 | 定义 |
|---|---|---|
| 个人信息 | 个人数据 | 与可识别的在世自然人或可识别的现存法人有关的信息（POPIA 的独特之处在于也涵盖法人） |
| 特殊个人信息 | 特殊类别数据 | 宗教或哲学信仰、种族或族裔、工会会员身份、政治倾向、健康状况、性生活、生物特征信息、犯罪行为（第 26 条） |
| 责任方 | 控制者 | 单独或与他人共同决定处理目的和方式的公共或私人机构，或任何其他人（第 1 条） |
| 运营方 | 处理者 | 根据合同或授权为责任方处理个人信息的人（第 1 条） |
| 数据主体 | 数据主体 | 个人信息所涉及的人（包括法人） |
| 信息官员 | DPO | 负责推动合规的组织负责人或指定人员（第 55 条） |
合法处理的八项条件（第 8–25 条）
条件 1：问责（第 8 条）
责任方必须确保，在确定处理目的和方式时以及处理过程中，均遵守所有合法处理条件。
条件 2：处理限制（第 9–12 条）
- 个人信息必须依法并以合理方式处理，且不得侵犯数据主体的隐私
- 处理必须充分、相关且不过度（第 10 条）
- 同意必须自愿、具体且知情；可以撤回（第 11 条）
- 除特定例外情况外，个人信息必须直接从数据主体处收集（第 12 条）
条件 3：目的明确（第 13–14 条）
- 收集个人信息必须是为了与责任方职能或活动相关的具体、明确界定且合法的目的
- 除非法律要求保留、为合法目的而合理需要保留，或合同要求保留，否则记录不得保留超过必要期限
条件 4：进一步处理限制（第 15 条）
进一步处理必须与原始目的相符。评估相符性时，应考虑目的之间的关系、信息的性质、对数据主体的影响、收集方式以及任何合同权利。
条件 5：信息质量（第 16 条）
责任方必须采取合理可行的措施，确保个人信息完整、准确、不具误导性，并在必要时予以更新。
条件 6：公开透明（第 17–18 条）
- 责任方必须在开始处理前通知信息监管机构（第 17 条，尚未全面执行）
- 收集数据主体的个人信息时，必须通知数据主体（第 18 条）
条件 7：安全保障措施（第 19-22 条）
- 必须采取适当的技术和组织措施，以防止数据丢失、损坏和未经授权的访问（第 19 条）
- 必须通过合同约束运营方制定并维护安全措施（第 21 条）
- 当有合理理由相信发生了安全事件时，必须「在合理可行的情况下尽快」通知信息监管机构和数据主体（第 22 条）
条件 8：数据主体参与（第 23-25 条）
- 数据主体有权请求确认是否正在处理其个人信息、访问记录、纠正信息及删除信息
- 必须在合理期限内处理请求
- 收取的费用不得过高
跨境传输（第 72 条）
仅在满足以下条件时，才允许将个人信息传输至南非境外：
- 接收方受法律、约束性公司规则或约束性协议约束，且这些规定提供了与 POPIA 实质相似的充分保护
- 数据主体在获知风险后表示同意
- 为履行数据主体与责任方之间的合同，必须进行该传输
- 为实施应数据主体请求而采取的合同前措施，必须进行该传输
- 该传输有利于数据主体，且在合理可行的情况下无法取得其同意
- 信息包含在公共记录中或源自公共记录
执法与处罚
信息监管机构可以：
- 发出执法通知（第 95 条）
- 处以最高 1,000 万南非兰特的行政罚款（第 109 条）
- 将事项移交刑事起诉；某些罪行的监禁刑期最高可达 10 年（第 107 条）
- 开展评估（第 89 条）
- 发布行为准则（第 60 条）
主要执法行动
- 司法与宪法发展部（2022 年）：Master of the High Court 系统发生大规模数据泄露后，信息监管机构因其未采取充分的安全措施而向其发出执法通知。
- TransUnion South Africa（2022 年）：发生影响 5,400 万条记录的数据泄露后，信息监管机构展开调查，并就数据泄露通知义务和安全保障措施发出合规指令。
- 内政部（2023 年）：因未遵守数据主体访问请求及安全保障措施相关条件而收到执法通知。
集成点
- breach-72h-notification：POPIA 第 22 条的数据泄露通知（注意：POPIA 使用「在合理可行的情况下尽快」，而非固定的 72 小时时限）
- cross-border transfers：在 GDPR 和 POPIA 同时适用时，第 72 条的传输限制与 GDPR 第 V 章规定并行适用
- vendor-privacy-due-diligence：第 21 条规定的运营方协议必须包含安全义务要求
- data-inventory-mapping：根据第 17 条通知信息监管机构时，需要提供全面的处理活动清单
评论
支持 Markdown