POPIA : les règles cookies et consentement en Afrique du Sud

Qu’est-ce que la POPIA ?

Le Protection of Personal Information Act 4 of 2013 est la loi sud-africaine sur la protection des données. Signée en 2013, ses principales dispositions sont entrées en vigueur le 1er juillet 2020 avec un délai de grâce d’un an : la conformité est donc exigible depuis le 1er juillet 2021. La POPIA repose sur huit conditions de licéité du traitement (responsabilité, limitation du traitement, spécification de la finalité, limitation des traitements ultérieurs, qualité de l’information, transparence, mesures de sécurité et participation de la personne concernée) qui font écho au RGPD, avec son propre vocabulaire : le responsable de traitement est la responsible party, le sous-traitant est l’operator. L’Information Regulator la supervise, émet des injonctions (enforcement notices) et des amendes administratives, et applique aussi le Promotion of Access to Information Act.

À qui s’applique la POPIA ?

L’article 3 applique la loi au traitement par un responsable domicilié en Afrique du Sud, et aux responsables domiciliés ailleurs qui utilisent des moyens situés en Afrique du Sud, sauf si les données ne font qu’y transiter. Déposer des cookies sur les navigateurs de personnes en Afrique du Sud et traiter ce qu’ils renvoient est une utilisation de moyens dans le pays : les sites étrangers avec des visiteurs sud-africains sont dans le champ. Les informations personnelles incluent celles relatives aux personnes morales identifiables, ce qui est inhabituel, et la loi s’applique aux entreprises de toutes tailles.

Qu’exige la POPIA pour les cookies et le consentement ?

La définition des informations personnelles à l’article 1 cite les informations de localisation, les identifiants en ligne et les autres attributions propres à une personne. Un identifiant de cookie, un identifiant publicitaire ou une adresse IP rattachés à un visiteur sont donc des informations personnelles, et chaque opération les concernant, du stockage au partage avec un réseau publicitaire, est un traitement.

Le traitement n’est licite que sur l’un des fondements de l’article 11 : la personne concernée consent ; le traitement est nécessaire à un contrat ; il répond à une obligation légale ; il protège un intérêt légitime de la personne concernée ; il est nécessaire à une mission de droit public ; ou il est nécessaire à la poursuite des intérêts légitimes du responsable ou d’un tiers à qui les informations sont fournies. Le consentement est défini comme toute manifestation de volonté volontaire, spécifique et éclairée par laquelle une permission est donnée, et le responsable porte la charge de le prouver. La personne concernée peut retirer son consentement à tout moment, et peut s’opposer à un traitement fondé sur les intérêts légitimes.

Deux autres articles comptent pour les sites. L’article 18 impose au responsable de prendre des mesures raisonnablement praticables pour informer la personne concernée de ce qui est collecté, d’où, dans quel but, qui sont les destinataires et si les informations seront envoyées à l’étranger, avant la collecte ou dès que possible après. L’article 69 interdit la prospection directe par communications électroniques non sollicitées (e-mail, SMS, appels automatiques) sauf consentement de la personne, avec une exception pour les clients existants qui ont eu la possibilité de s’opposer lors de la collecte de leurs coordonnées et dans chaque message. L’article 69 régit les messages, pas les cookies, mais il signale la préférence de la loi pour un marketing en opt-in, et il s’applique aux listes d’e-mails que les outils de newsletter et de marketing constituent à partir des visites du site.

L’Information Regulator n’a pas publié de recommandations propres aux cookies. En pratique, les cookies strictement nécessaires reposent sur le contrat ou l’intérêt légitime, la mesure d’audience peut reposer sur l’intérêt légitime avec transparence et droit d’opposition, et la publicité et le profilage entre sites sont le plus sûrs sur le consentement, ce qui reflète l’approche du RGPD et de la LGPD brésilienne.

Que doit faire un bandeau conforme ?

• Donner l’information de l’article 18 à un endroit visible avant le début du suivi : ce qui est collecté, pourquoi, qui le reçoit et si cela quitte l’Afrique du Sud.
• Recueillir le consentement pour les cookies publicitaires par un acte positif, avec Accepter et Refuser de même visibilité et rien de précoché.
• Offrir un moyen clair de s’opposer à la mesure d’audience fondée sur l’intérêt légitime, et de retirer son consentement plus tard.
• Conserver une trace du choix, puisque le responsable doit prouver le consentement.
• Renvoyer à une politique de confidentialité qui couvre les transferts transfrontaliers (article 72), puisque la plupart des prestataires de mesure d’audience et de publicité traitent les données à l’étranger.

Contrôles et sanctions

Le Regulator émet d’abord une injonction (enforcement notice) ; ne pas s’y conformer est une infraction, et le Regulator peut alors notifier un avis d’infraction assorti d’une amende administrative jusqu’à 10 millions de rands (article 109), en tenant compte de la sensibilité des données, de la durée et de l’ampleur du manquement, du nombre de personnes concernées et des infractions antérieures. L’article 107 attache des sanctions pénales à des infractions précises : jusqu’à dix ans d’emprisonnement ou une amende pour les plus graves (entraver le Regulator, violer une injonction, actes illicites portant sur des numéros de compte), jusqu’à douze mois pour les autres.

Les contrôles ont commencé par le secteur public. Le 3 juillet 2023, le Regulator a infligé sa première amende administrative, 5 millions de rands au ministère de la Justice et du Développement constitutionnel, pour ne pas s’être conformé à une injonction après une attaque par rançongiciel en 2021. Le 23 décembre 2024, il a infligé 5 millions de rands au ministère de l’Éducation de base pour avoir ignoré une injonction relative à la publication des résultats du matric dans les journaux. Aucune amende cookies n’a été publiée à ce jour ; le Regulator s’est concentré sur les violations de données, la prospection directe et le respect de ses injonctions.

Comment Cookiequiet gère la POPIA

L’Afrique du Sud figure dans la liste des pays réglementés de Cookiequiet : avec le ciblage géographique activé, les visiteurs sud-africains voient le bandeau de consentement. Le bandeau donne l’information de premier niveau, retient les scripts de mesure d’audience et de marketing jusqu’au choix du visiteur, affiche « Tout accepter » et « Tout refuser » avec le même poids, et garde le centre de préférences accessible pour retirer son consentement. Chaque choix va dans le registre des consentements comme preuve. Le générateur de politique de confidentialité inclut l’Information Regulator comme autorité pour les sociétés sud-africaines et une section sur les transferts pour les prestataires trouvés par le scan ; c’est un modèle, pas un conseil juridique. Voir la checklist d’audit des cookies pour inventorier ce que votre site dépose.