Südafrikas Protection of Personal Information Act (POPIA)

19. (1) Eine verantwortliche Partei muss die Integrität und Vertraulichkeit von personenbezogenen Daten in ihrem Besitz oder unter ihrer Kontrolle, sichern, indem sie geeignete, angemessene technische und organisatorische Maßnahmen ergreift, um zu verhindern:

• Verlust, Beschädigung oder unbefugte Zerstörung von personenbezogenen Daten; und
• unrechtmäßiger Zugriff auf oder Verarbeitung von personenbezogenen Daten.

Um Absatz (1) in Kraft zu setzen, muss die verantwortliche Partei angemessene Maßnahmen ergreifen, um:

• alle vernünftigerweise vorhersehbaren internen und externen Risiken für personenbezogene Daten in seinem Besitz oder unter seiner Kontrolle identifizieren;
• angemessene Sicherheitsvorkehrungen gegen die identifizierten Risiken einrichten und aufrechterhalten;
• regelmäßig zu überprüfen, ob die Schutzmaßnahmen wirksam umgesetzt werden; und
• sicherstellen, dass die Schutzmaßnahmen als Reaktion auf neue Risiken oder Mängel in bereits implementierten Schutzmaßnahmen kontinuierlich aktualisiert werden.

21. (1) Eine verantwortliche Partei muss im Rahmen eines schriftlichen Vertrags zwischen der verantwortlichen Partei und dem Betreiber sicherstellen, dass der Betreiber, der personenbezogene Daten für die verantwortliche Partei verarbeitet, die in § 19 genannten Sicherheitsmaßnahmen einrichtet und aufrechterhält.

(2) Der Betreiber hat die verantwortliche Partei unverzüglich zu benachrichtigen, wenn Grund zu der Annahme besteht, dass eine unbefugte Person auf die personenbezogenen Daten einer betroffenen Person zugegriffen oder sich diese angeeignet hat.

22. (1) Besteht Grund zu der Annahme, dass eine unbefugte Person auf die personenbezogenen Daten einer betroffenen Person zugegriffen oder sich diese angeeignet hat, so muss die verantwortliche Partei hierüber benachrichtigen;

• die Aufsichtsbehörde; und
• vorbehaltlich des Absatzes (3) die betroffene Person, es sei denn, die Identität der betroffenen Person kann nicht festgestellt werden.

(4) Die Benachrichtigung einer betroffenen Person...muss schriftlich erfolgen und der betroffenen Person auf mindestens eine der folgenden Arten mitgeteilt werden:

• an die letzte bekannte Haus- oder Postanschrift der betroffenen Person geschickt;
• per E-Mail an die letzte bekannte E-Mail-Adresse der betroffenen Person geschickt;
• gut sichtbar auf der Website der verantwortlichen Partei platziert;
• in den Nachrichtenmedien veröffentlicht; oder
• wie von der Aufsichtsbehörde angeordnet.

99. (1) Eine betroffene Person oder – auf Antrag der betroffenen Person – die Aufsichtsbehörde kann bei einem zuständigen Gericht eine Zivilklage auf Schadenersatz gegen eine verantwortliche Partei wegen Verletzung einer Bestimmung dieses Gesetzes im Sinne von § 73 erheben, unabhängig davon, ob Vorsatz oder Fahrlässigkeit vonseiten der verantwortlichen Partei vorliegt.

(3) Ein Gericht, das ein Verfahren im Sinne von Absatz (1) verhandelt, kann einen Betrag zusprechen, der recht und billig ist, einschließlich:

• Zahlung von Schadenersatz als Entschädigung für den Vermögensschaden und den Nichtvermögensschaden, den eine betroffene Person infolge der Verletzung der Bestimmungen dieses Gesetzes erlitten hat;
• verschärften Schadensersatz in einer nach Ermessen des Gerichts festgelegten Höhe;
• Zinsen; und
• die Kosten des Verfahrens nach einem vom Gericht festzulegenden Maßstab.