Protection of Personal Information Act

10. Minimality 11. 12. Consent, justification and objection Collection directly from data subject Condition 3 Purpose specification 13. 14. Collection for specific purpose Retention and restriction of records Condition 4 Further processing limitation 15. Further processing to be compatible with purpose of collection Condition 5 Information quality

16. Quality of information 5 10 15 20 25 30 35 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 5 Wet No. 4 van 2013 5 DIE PARLEMENT van die Republiek van Suid-Afrika, bepaal derhalwe, soos volg:— INHOUD VAN WET HOOFSTUK 1 WOORDOMSKRYWING EN OOGMERK

1. Woordomskrywing Oogmerk van Wet 2. HOOFSTUK 2 TOEPASSINGSBEPALINGS 3. 4. 5. 6. 7. Toepassing en uitleg van Wet Regmatige prosessering van persoonlike inligting Regte van datasubjekte Uitsluitings Uitsluiting vir joernalistieke, literêre of artistieke oogmerke HOOFSTUK 3 VOORWAARDES VIR REGMATIGE PROSESSERING VAN PERSOONLIKE INLIGTING Deel A Prosessering van persoonlike inligting in algemeen Voorwaarde 1 Verantwoordingspligtigheid 8. Verantwoordelike party moet voorwaardes vir regmatige prosessering verseker Voorwaarde 2 Beperkte prosessering Regmatigheid van prosessering 9.

10. Minimaliteit 11. 12. Toestemming, regverdiging en beswaarmaking Insameling direk vanaf datasubjek Voorwaarde 3 Oogmerkspesifikasie 13. 14. Insameling vir bepaalde oogmerk Behoud en inperking van rekords Voorwaarde 4 Beperkte verdere prosessering 5 10 15 20 25 30

15. Verdere prosessering moet versoenbaar met oogmerk van insameling wees 35 Voorwaarde 5 Inligtingsgehalte

16. Gehalte van inligting 6 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 6 Condition 6 Openness

18. Notification to data subject when collecting personal information Condition 7 Security safeguards Security measures on integrity and confidentiality of personal information Information processed by operator or person acting under authority Security measures regarding information processed by operator 19. 20. 21.

22. Notification of security compromises Condition 8 Data subject participation

23. Access to personal information 24.

25. Manner of access Correction of personal information Part B Processing of special personal information 26. Prohibition on processing of special personal information

18. Kennisgewing aan datasubjek wanneer persoonlike inligting ingesamel word Voorwaarde 7 Veiligheidsvoorsorgmaatreëls

19. Veiligheidsvoorsorgmaatreëls oor integriteit en vertroulikheid van persoonlike inligting Inligting geprosesseer deur operateur of persoon wat kragtens magtiging optree 20.

21. Veiligheidsvoorsorgmaatreëls aangaande inligting deur operateur geprosesseer

22. Kennisgewing van veiligheidsbreuke Voorwaarde 8 Deelname deur datasubjek Toegang tot persoonlike inligting Regstelling van persoonlike inligting 23. 24.

25. Wyse van toegang Deel B Prosessering van spesiale persoonlike inligting

26. Verbod op prosessering van spesiale persoonlike inligting

27. Algemene magtiging aangaande spesiale persoonlike inligting

28. Magtiging aangaande datasubjek se geloofs- of filosofiese oortuiginge

29. Magtiging aangaande datasubjek se ras of etniese herkoms

30. Magtiging aangaande datasubjek se vakbondlidmaatskap

31. Magtiging aangaande datasubjek se politieke oortuiging

32. Magtiging aangaande datasubjek se gesondheid of sekslewe

33. Magtiging aangaande datasubjek se kriminele gedrag of biometriese inligting Deel C Prosessering van persoonlike inligting van kinders

34. Verbod op prosessering van persoonlike inligting van kinders

35. Algemene magtiging aangaande persoonlike inligting van kinders HOOFSTUK 4 VRYSTELLING VAN VOORWAARDES VIR PROSESSERING VAN PERSOONLIKE INLIGTING

38. Vrystelling ten opsigte van sekere werksaamhede Reguleerder kan prosessering van persoonlike inligting vrystel HOOFSTUK 5 TOESIG Deel A Inligtingsreguleerder 39. 40. Instelling van Inligtingsreguleerder Bevoegdhede, pligte en werksaamhede van Reguleerder 5 10 15 20 25 30 35 40 8 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 8 Powers, duties and functions of Chairperson and other members Regulator to have regard to certain matters Conflict of interest Remuneration, allowances, benefits and privileges of members Staff Powers, duties and functions of chief executive officer Committees of Regulator Establishment of Enforcement Committee

41. Appointment, term of office and removal of members of Regulator

42. Vacancies 43. 44. 45. 46. 47. 48. 49. 50.

51. Meetings of Regulator Funds 52. Protection of Regulator 53.

54. Duty of confidentiality Part B Information Officer

8. The responsible party must ensure that the conditions set out in this Chapter, and all the measures that give effect to such conditions, are complied with at the time of the 15 20 25 30 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 23 Wet No. 4 van 2013 23 (ii) waarvan die oogmerk die voorkoming, opsporing, met inbegrip van hulpverlening in die identifisering van die opbrengste uit onwettige aktiwiteite en die bestryding van geldwassery-aktiwiteite, die ondersoek of bewys van misdrywe, die vervolging van oortreders of die uitvoering van vonnisse of veiligheidsmaatreëls, is, vir sover genoegsame voorsorgmaatreëls in wetgewing vir die beskerming van sodanige persoonlike inligting daargestel is; 5 (d) deur die Kabinet en kabinetskomitees of die Uitvoerende Raad van ’n provinsie; of (e) met betrekking tot die regterlike werksaamhede van ’n hof in artikel 166 van 10 die Grondwet bedoel. (2) ‘‘Terroriste- en verwante aktiwiteite’’, by die toepassing van subartikel (1)(c), beteken daardie aktiwiteite bedoel in artikel 4 van die Wet op die Beskerming van Staatkundige Demokrasie teen Terroriste- en Verwante Aktiwiteite, 2004 (Wet No. 33 van 2004). Uitsluiting vir joernalistieke, literêre of artistieke oogmerke 7. (1) Hierdie Wet is nie van toepassing op persoonlike inligting wat alleenlik vir die oogmerk van joernalistieke, literêre of artistieke uitdrukking geprosesseeer word nie, vir sover sodanige uitsluiting noodsaaklik is om, as ’n saak van openbare belang, die reg op privaatheid met die reg op vryheid van uitdrukking te versoen. (2) Waar ’n verantwoordelike party wat persoonlike inligting prosesseer vir uitsluitlik joernalistieke oogmerke, by wyse van amp, betrekking of professie, aan ’n etiese kode onderhewig is wat genoegsame voorsorgmaatreëls vir die beskerming van persoonlike inligting daarstel, geld sodanige kode ten opsigte van daardie prosessering tot die uitsluiting van hierdie Wet en enige beweerde inmenging met die beskerming van die persoonlike inligting van ’n datasubjek wat uit sodanige prosessering mag voortvloei moet bereg word soos in daardie kode voorsiening gemaak word. (3) In die geval waar ’n dispuut mag ontstaan oor die vraag of voorsiening gemaak is vir genoegsame voorsorgmaatreëls in ’n kode soos vereis ingevolge subartikel (2), al dan nie, kan— (a) die spesiale belangrikheid van die openbare belang in vryheid van uitdrukking; (b) binnelandse en internasionale standaarde wat geld vir die opweging van die— (i) openbare belang wat die vrye vloei van inligting aan die publiek deur die media toelaat in erkenning van die reg van die publiek om ingelig te word; en (ii) openbare belang in die beskerming van die persoonlike inligting van datasubjekte; (c) die noodsaak om die integriteit van persoonlike inligting te beveilig; (d) binnelandse en internasionale standaarde van professionele integriteit vir joernaliste; en (e) die aard en omvang van self-regulerende vorme van toesig wat deur die professie voorsien word, in ag geneem word. 15 20 25 30 35 40 HOOFSTUK 3 VOORWAARDES VIR REGMATIGE PROSESSERING VAN PERSOONLIKE INLIGTING 45 Deel A Prosessering van persoonlike inligting in algemeen Voorwaarde 1 Verantwoordingspligtigheid 50 Verantwoordelike party moet voorwaardes vir regmatige prosessering verseker

8. Die verantwoordelike party moet verseker dat die voorwaardes in hierdie Hoofstuk vervat, en alle maatreëls wat aan sodanige voorwaardes uitvoering gee, aan voldoen 24 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 24 determination of the purpose and means of the processing and during the processing itself. Condition 2 Processing limitation Lawfulness of processing 5

9. Personal information must be processed— (a) (b) lawfully; and in a reasonable manner that does not infringe the privacy of the data subject. Minimality

10. Personal information may only be processed if, given the purpose for which it is 10 processed, it is adequate, relevant and not excessive. Consent, justification and objection 11. (1) Personal information may only be processed if— (a) the data subject or a competent person where the data subject is a child consents to the processing; 15 (b) processing is necessary to carry out actions for the conclusion or performance of a contract to which the data subject is party; (c) processing complies with an obligation imposed by law on the responsible party; (d) processing protects a legitimate interest of the data subject; (e) processing is necessary for the proper performance of a public law duty by a 20 (f) public body; or processing is necessary for pursuing the legitimate interests of the responsible party or of a third party to whom the information is supplied. (2) (a) The responsible party bears the burden of proof for the data subject’s or 25 competent person’s consent as referred to in subsection (1)(a). (b) The data subject or competent person may withdraw his, her or its consent, as referred to in subsection (1)(a), at any time: Provided that the lawfulness of the processing of personal information before such withdrawal or the processing of personal information in terms of subsection (1)(b) to (f) will not be affected. (a) (3) A data subject may object, at any time, to the processing of personal information— in terms of subsection (1)(d) to (f), in the prescribed manner, on reasonable grounds relating to his, her or its particular situation, unless legislation provides for such processing; or for purposes of direct marketing other than direct marketing by means of unsolicited electronic communications as referred to in section 69. (4) If a data subject has objected to the processing of personal information in terms of subsection (3), the responsible party may no longer process the personal information. (b) 30 35 Collection directly from data subject 12. (1) Personal information must be collected directly from the data subject, except 40 as otherwise provided for in subsection (2). (2) It is not necessary to comply with subsection (1) if— (a) (b) the information is contained in or derived from a public record or has deliberately been made public by the data subject; the data subject or a competent person where the data subject is a child has consented to the collection of the information from another source; 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 25 Wet No. 4 van 2013 25 word ten tye van die vasstelling van die oogmerk en middele van die prosessering en gedurende die prosessering self. Voorwaarde 2 Beperkte prosessering Regmatigheid van prosessering

9. Persoonlike inligting moet— regmatig; en (a) (b) op ’n redelike wyse wat nie op die privaatheid van die datasubjek inbreuk maak nie, geprosesseer word. Minimaliteit 5 10

10. Persoonlike inligting kan slegs geprosesseer word indien dit, gegewe die oogmerk waarvoor dit geprosesseer word, genoegsaam, relevant en nie uitermatig is nie. Toestemming, regverdiging en beswaarmaking 11. (1) Persoonlike inligting kan slegs geprosesseer word indien— 15 (a) die datasubjek of, waar die datasubjek ’n kind is, ’n bevoegde persoon tot die prosessering toestem; (b) prosessering noodsaaklik is vir die uitvoering van handelinge met die oog op die sluiting of nakoming van ’n kontrak waartoe die datasubjek ’n party is; (c) prosessering voldoen aan ’n verpligting wat deur die reg op die 20 verantwoordelike party opgelê word; (d) prosessering ’n regmatige belang van die datasubjek beskerm; (e) prosessering noodsaaklik is vir die behoorlike uitoefening van ’n openbare (f) regsplig deur ’n openbare liggaam; of prosessering noodsaaklik is vir die nastrewing van die regmatige belange van die verantwoordelike party of ’n derde party aan wie die inligting verskaf word. (2) (a) Die verantwoordelike party dra die bewyslas vir die datasubjek of die bevoegde persoon se toestemming soos in subartikel (1)(a) bedoel. (b) Die datasubjek of bevoegde persoon kan, te eniger tyd, daardie datasubjek of bevoegde persoon se toestemming, soos in subartikel (1)(a) bedoel, terugtrek: Met dien verstande dat die regmatigheid van die prosessering van die persoonlike inligting voor sodanige terugtrekking of die prosessering van persoonlike inligting ingevolge subartikel (1)(b) tot (f) nie daardeur geraak word nie. 25 30 (3) ’n Datasubjek kan, te eniger tyd, beswaar aanteken teen die prosessering van 35 persoonlike inligting— (a) ingevolge subartikel (1)(d) tot (f), op die voorgeskrewe wyse, op redelike gronde met betrekking tot daardie datasubjek se besondere situasie, tensy wetgewing vir sodanige prosessering voorsiening maak; of (b) vir doeleindes van direkte bemarking anders as direkte bemarking deur middel van ongeoorloofde elektroniese kommunikasie soos in artikel 69 bedoel. (4) Indien ’n datasubjek ingevolge subartikel (3) teen die prosessering van persoonlike inligting beswaar aangeteken het, kan die verantwoordelike party nie meer die persoonlike inligting prosesseer nie. 40 45 Insameling direk vanaf datasubjek 12. (1) Persoonlike inligting moet, behalwe soos andersins in subartikel (2) bepaal, direk vanaf die datasubjek ingesamel word. (2) Dit is nie nodig om aan subartikel (1) te voldoen nie, indien— (a) die inligting vervat is in of afkomstig is uit ’n openbare rekord of opsetlik deur 50 die datasubjek openbaar gemaak is; (b) die datasubjek of, waar die datasubjek ’n kind is, ’n bevoegde persoon tot die insameling van die inligting vanaf ’n ander bron toegestem het; 26 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 26 (c) collection of the information from another source would not prejudice a legitimate interest of the data subject; (d) collection of the information from another source is necessary— (i) (ii) (iii) (iv) (v) to avoid prejudice to the maintenance of the law by any public body, including the prevention, detection, investigation, prosecution and punishment of offences; to comply with an obligation imposed by law or to enforce legislation concerning the collection of revenue as defined in section 1 of the South African Revenue Service Act, 1997 (Act No. 34 of 1997); for the conduct of proceedings in any court or tribunal that have commenced or are reasonably contemplated; in the interests of national security; or to maintain the legitimate interests of the responsible party or of a third party to whom the information is supplied; (e) (f) compliance would prejudice a lawful purpose of the collection; or compliance is not reasonably practicable in the circumstances of the particular case. Condition 3 Purpose specification Collection for specific purpose 5 10 15 20 13. (1) Personal information must be collected for a specific, explicitly defined and lawful purpose related to a function or activity of the responsible party. (2) Steps must be taken in accordance with section 18(1) to ensure that the data subject is aware of the purpose of the collection of the information unless the provisions of section 18(4) are applicable. 25 Retention and restriction of records 14. (1) Subject to subsections (2) and (3), records of personal information must not be retained any longer than is necessary for achieving the purpose for which the information was collected or subsequently processed, unless— (a) (b) (c) (d) retention of the record is required or authorised by law; the responsible party reasonably requires the record for lawful purposes related to its functions or activities; retention of the record is required by a contract between the parties thereto; or the data subject or a competent person where the data subject is a child has consented to the retention of the record. 30 35 (2) Records of personal information may be retained for periods in excess of those contemplated in subsection (1) for historical, statistical or research purposes if the responsible party has established appropriate safeguards against the records being used for any other purposes. (3) A responsible party that has used a record of personal information of a data subject 40 to make a decision about the data subject, must— (a) (b) retain the record for such period as may be required or prescribed by law or a code of conduct; or if there is no law or code of conduct prescribing a retention period, retain the record for a period which will afford the data subject a reasonable opportunity, taking all considerations relating to the use of the personal information into account, to request access to the record. (4) A responsible party must destroy or delete a record of personal information or de-identify it as soon as reasonably practicable after the responsible party is no longer authorised to retain the record in terms of subsection (1) or (2). 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 27 Wet No. 4 van 2013 27 (c) (d) insameling van die inligting vanaf ’n ander bron nie ’n regmatige belang van die datasubjek sal benadeel nie; insameling van die inligting vanaf ’n ander bron noodsaaklik is— (i) om benadeling van die handhawing van die reg, met inbegrip van die voorkoming, opsporing, ondersoek, vervolging en bestrawwing van misdrywe deur enige openbare liggaam, te voorkom; (ii) om aan ’n verpligting wat deur die reg opgelê word te voldoen of om wetgewing met betrekking tot die invordering van belasting, soos in artikel 1 van die Wet op die Suid-Afrikaanse Inkomstediens, 1997 (Wet No. 34 van 1997), omskryf, af te dwing; (iii) vir die voer van verrigtinge in enige hof of tribunaal wat ’n aanvang geneem het of redelikerwys beoog word; in die belang van nasionale veiligheid; of (iv) (v) om die regmatige belange van die verantwoordelike party of ’n derde party aan wie die inligting verskaf is, te handhaaf; (e) nakoming ’n regmatige oogmerk van die insameling sal benadeel; of (f) nakoming nie in die omstandighede van die betrokke geval redelikerwys moontlik is nie. Voorwaarde 3 Oogmerkspesifikasie 5 10 15 20 Insameling vir bepaalde oogmerk 13. (1) Persoonlike inligting moet vir ’n bepaalde, uitdruklik omskrewe en regmatige oogmerk wat verband hou met ’n werksaamheid of aktiwiteit van die verantwoordelike party ingesamel word. (2) Stappe moet ooreenkomstig artikel 18(1) gedoen word ten einde te verseker dat die datasubjek van die oogmerk van die insameling van die inligting bewus is, tensy die bepalings van artikel 18(4) van toepassing is. 25 Behoud en inperking van rekords 14. (1) Rekords van persoonlike inligting moet, behoudens subartikels (2) en (3), nie enigsins langer gehou word nie as wat noodsaaklik is om die oogmerk waarvoor die inligting ingesamel of verder geprosesseer is te bereik, tensy— (a) behoud van die rekord regtens vereis of gemagtig word; (b) die verantwoordelike party die rekord redelikerwys benodig vir regmatige oogmerke wat met daardie verantwoordelike party se werksaamhede of aktiwiteite verband hou; (c) behoud van die rekord deur ’n kontrak tussen die partye daartoe vereis word; of (d) die datasubjek of, waar die datasubjek ’n kind is, ’n bevoegde persoon tot die behoud van die rekord toegestem het. (2) Rekords van persoonlike statistiese of navorsingsoogmerke vir langer tydperke as dié waarvoor in subartikel (1) voorsiening gemaak word, gehou word indien die verantwoordelike party geskikte voorsorg- maatreëls teen die gebruik van die rekords vir enige ander oogmerke ingestel het. inligting kan vir historiese, 30 35 40 (3) ’n Verantwoordelike party wat ’n rekord van persoonlike inligting van ’n datasubjek gebruik het om ’n besluit aangaande die datasubjek te neem, moet— 45 (a) die rekord vir sodanige tydperk behou as wat regtens of deur ’n gedragskode (b) vereis of voorgeskryf mag word; of indien daar geen wet of gedragskode is wat die tydperk van behoud voorskryf nie, vir ’n tydperk wat die datasubjek ’n redelike geleentheid, met inagneming van alle oorwegings met betrekking tot die gebruik van die persoonlike inligting, sal gun om toegang tot die rekord te versoek. (4) ’n Verantwoordelike party moet ’n rekord van persoonlike inligting vernietig of uitwis of deïdentifiseer so gou as wat dit redelikerwys moontlik is nadat die verantwoordelike party nie meer gemagtig is om die rekord ingevolge subartikel (1) of (2) te behou nie. 50 55 28 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 28 (5) The destruction or deletion of a record of personal information in terms of subsection (4) must be done in a manner that prevents its reconstruction in an intelligible form. (6) The responsible party must restrict processing of personal information if— (a) (b) (c) (d) its accuracy is contested by the data subject, for a period enabling the responsible party to verify the accuracy of the information; the responsible party no longer needs the personal information for achieving the purpose for which the information was collected or subsequently processed, but it has to be maintained for purposes of proof; the processing is unlawful and the data subject opposes its destruction or deletion and requests the restriction of its use instead; or the data subject requests to transmit the personal data into another automated processing system. (7) Personal information referred to in subsection (6) may, with the exception of storage, only be processed for purposes of proof, or with the data subject’s consent, or with the consent of a competent person in respect of a child, or for the protection of the rights of another natural or legal person or if such processing is in the public interest. (8) Where processing of personal information is restricted pursuant to subsection (6), the responsible party must inform the data subject before lifting the restriction on processing. 5 10 15 20 Condition 4 Further processing limitation Further processing to be compatible with purpose of collection 15. (1) Further processing of personal information must be in accordance or compatible with the purpose for which it was collected in terms of section 13. 25 (2) To assess whether further processing is compatible with the purpose of collection, the responsible party must take account of— (a) (b) (c) (d) (e) the relationship between the purpose of the intended further processing and the purpose for which the information has been collected; the nature of the information concerned; the consequences of the intended further processing for the data subject; the manner in which the information has been collected; and any contractual rights and obligations between the parties. (3) The further processing of personal information is not incompatible with the purpose of collection if— (a) (b) (c) (d) the data subject or a competent person where the data subject is a child has consented to the further processing of the information; the information is available in or derived from a public record or has deliberately been made public by the data subject; further processing is necessary— (i) to avoid prejudice to the maintenance of the law by any public body including the prevention, detection, investigation, prosecution and punishment of offences; to comply with an obligation imposed by law or to enforce legislation concerning the collection of revenue as defined in section 1 of the South African Revenue Service Act, 1997 (Act No. 34 of 1997); for the conduct of proceedings in any court or tribunal that have commenced or are reasonably contemplated; or in the interests of national security; (iv) the further processing of the information is necessary to prevent or mitigate a serious and imminent threat to— (i) public health or public safety; or (ii) the life or health of the data subject or another individual; (ii) (iii) 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 29 Wet No. 4 van 2013 29 (5) Die vernietiging of uitwissing van ’n rekord van persoonlike inligting ingevolge subartikel (4) moet op ’n wyse gedoen word wat die herkonstruksie daarvan in verstaanbare vorm verhoed. (6) Die verantwoordelike party moet die prosessering van persoonlike inligting inperk indien— (a) die akkuraatheid daarvan deur die datasubjek betwis word, vir ’n tydperk wat die verantwoordelike party in staat stel om die akkuraatheid van die inligting te kontroleer; (b) die verantwoordelike party nie meer die inligting benodig om die oogmerk waarvoor die inligting ingesamel of verder geprosesseer is te bereik nie, maar dit vir bewysdoeleindes behou moet word; (c) die prosessering onregmatig is en die datasubjek die vernietiging of uitwissing daarvan teenstaan en eerder die inperking van die gebruik daarvan versoek; of (d) die datasubjek versoek dat die inligting na ’n ander geoutomatiseerde prosesseringstelsel oorgeplaas word. (7) Persoonlike inligting in subartikel (6) bedoel kan, met die uitsondering van die stoor daarvan, slegs vir bewysdoeleindes geprosesseer word, of met die datasubjek se toestemming, of met die toestemming van ’n bevoegde persoon ten opsigte van ’n kind, of ter beskerming van die regte van ’n ander natuurlike of regspersoon of indien sodanige prosessering in die openbare belang is. (8) Waar die prosessering van persoonlike inligting in navolging van subartikel (6) ingeperk is, moet die verantwoordelike party die datasubjek verwittig voordat die inperking op prosessering opgehef word. Voorwaarde 4 Beperkte verdere prosessering Verdere prosessering moet versoenbaar met oogmerk van insameling wees 15. (1) Verdere prosessering van persoonlike inligting moet in ooreenstemming of versoenbaar wees met die oogmerk waarvoor dit ingevolge artikel 13 ingesamel is. (2) Ten einde vas te stel of verdere prosessering versoenbaar is met die oogmerk van insameling, moet die verantwoordelike party— (a) die verhouding tussen die oogmerk van die beoogde verdere prosessering en die oogmerk waarvoor die inligting ingesamel is; (b) die aard van die betrokke inligting; (c) die gevolge van die beoogde verdere prosessering vir die datasubjek; (d) die wyse waarop die inligting ingesamel is; en (e) in ag neem. enige kontraktuele regte en verpligtinge tussen die partye, 5 10 15 20 25 30 35 (3) Die verdere prosessering van persoonlike inligting is nie onversoenbaar met die oogmerk van die insameling nie, indien— (a) die datasubjek of, waar die datasubjek ’n kind is, ’n bevoegde persoon tot die 40 verdere prosessering van die inligting toegestem het; (b) die inligting vervat is in of afkomstig is uit ’n openbare rekord of opsetlik deur die datasubjek openbaar gemaak is; (c) verdere prosessering noodsaaklik is— (i) om benadeling van die handhawing van die reg, met inbegrip van die voorkoming, opsporing, ondersoek, vervolging en bestrawwing van misdrywe, deur ’n openbare liggaam te voorkom; (ii) om aan ’n verpligting wat deur die reg opgelê word te voldoen of om wetgewing met betrekking tot die invordering van belasting, soos in artikel 1 van die Wet op die Suid-Afrikaanse Inkomstediens, 1997 (Wet No. 34 van 1997), omskryf, af te dwing; (iii) vir die voer van verrigtinge in enige hof of tribunaal wat ’n aanvang 45 50 geneem het of redelikerwys beoog word; of in die belang van nasionale veiligheid; (iv) (d) die verdere prosessering van die inligting noodsaaklik is om ’n ernstige en 55 onmiddellike bedreiging teenoor— (i) openbare gesondheid of openbare veiligheid; of (ii) die lewe of gesondheid van die datasubjek of ’n ander individu, te voorkom of te verlig; 30 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 30 (e) (f) the information is used for historical, statistical or research purposes and the responsible party ensures that the further processing is carried out solely for such purposes and will not be published in an identifiable form; or the further processing of the information is in accordance with an exemption granted under section 37. 5 Condition 5 Information quality Quality of information 16. (1) A responsible party must take reasonably practicable steps to ensure that the information is complete, accurate, not misleading and updated where personal necessary. (2) In taking the steps referred to in subsection (1), the responsible party must have regard to the purpose for which personal information is collected or further processed. Condition 6 Openness Documentation

17. A responsible party must maintain the documentation of all processing operations under its responsibility as referred to in section 14 or 51 of the Promotion of Access to Information Act. Notification to data subject when collecting personal information 18. (1) If personal information is collected, the responsible party must take reasonably practicable steps to ensure that the data subject is aware of— (a) the information being collected and where the information is not collected from the data subject, the source from which it is collected; the name and address of the responsible party; the purpose for which the information is being collected; (b) (c) (d) whether or not the supply of the information by that data subject is voluntary (e) (f) (g) or mandatory; the consequences of failure to provide the information; any particular law authorising or requiring the collection of the information; the fact that, where applicable, the responsible party intends to transfer the information to a third country or international organisation and the level of protection afforded to the information by that third country or international organisation; (h) any further information such as the— recipient or category of recipients of the information; (i) (ii) nature or category of the information; (iii) existence of the right of access to and the right to rectify the information collected; 10 15 20 25 30 35 (iv) existence of the right to object to the processing of personal information 40 (v) as referred to in section 11(3); and right to lodge a complaint to the Information Regulator and the contact details of the Information Regulator, which is necessary, having regard to the specific circumstances in which the information is or is not to be processed, to enable processing in respect of the data subject to be reasonable. (2) The steps referred to in subsection (1) must be taken— (a) if the personal information is collected directly from the data subject, before the information is collected, unless the data subject is already aware of the information referred to in that subsection; or 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 31 Wet No. 4 van 2013 31 (e) die inligting vir historiese, statistiese of navorsingsoogmerke gebruik word en die verantwoordelike party verseker dat die verdere prosessering alleenlik vir sodanige oogmerke uitgevoer word en nie in ’n identifiseerbare vorm openbaar gemaak sal word nie; of die verdere prosessering van die inligting in ooreenstemming is met ’n vrystelling wat ingevolge artikel 37 verleen is. (f) 5 Voorwaarde 5 Inligtingsgehalte Gehalte van inligting 16. (1) ’n Verantwoordelike party moet redelikerwys moontlike stappe doen ten einde te verseker dat die persoonlike inligting volledig is, akkuraat is, nie misleidend is nie en, waar nodig, opgedateer is. (2) Die verantwoordelike party moet, by die doen van die stappe in subartikel (1) bedoel, die oogmerk waarvoor persoonlike inligting ingesamel word of verder geprosesseer word in aanmerking neem. 10 15 Voorwaarde 6 Openheid Dokumentasie 17. ’n Verantwoordelike party moet die dokumentasie van alle prosesserings- bedrywighede waarvoor daardie verantwoordelike party verantwoordelik is soos in artikel 14 of 51 van die Wet op Bevordering van Toegang tot Inligting bedoel, byhou. 20 Kennisgewing aan datasubjek wanneer persoonlike inligting ingesamel word 18. (1) Indien persoonlike inligting ingesamel word, moet die verantwoordelike party redelikerwys moontlike stappe doen om te verseker dat die datasubjek bewus is— (a) van die feit dat die inligting ingesamel word en waar die inligting nie vanaf die 25 datasubjek ingesamel word nie, die bron waarvandaan dit ingesamel word; (b) van die naam en adres van die verantwoordelike party; (c) van die oogmerk waarvoor die inligting ingesamel word; (d) daarvan of die verskaffing van die inligting deur die datasubjek vrywillig of verpligtend is, al dan nie; (e) van die gevolge van versuim om die inligting te verskaf; (f) van enige bepaalde wetsbepaling wat die insameling van die inligting magtig of vereis; (g) van die feit dat, waar van toepassing, die verantwoordelike party beoog om die inligting na ’n derde land of internasionale organisasie te stuur en die vlak van beskerming wat daardie derde land of internasionale organisasie aan die inligting verleen; (h) van enige verdere inligting soos die— (i) ontvanger of kategorie van ontvangers van die inligting; (ii) aard of kategorie van die inligting; (iii) bestaan van die reg van toegang tot en die reg tot regstelling van die inligting wat ingesamel is; (iv) bestaan van die reg om beswaar aan te teken teen die prosessering van (v) persoonlike inligting soos in artikel 11(3) bedoel; en reg om ’n klagte by die Inligtingsreguleerder in te dien en die kontakbesonderhede van die Inligtingsreguleerder, wat noodsaaklik is, met inagneming van die bepaalde omstandighede waaronder die inligting geprosesseer of nie geprosesseer word nie, sodat prosessering ten opsigte van ’n datasubjek redelik kan wees. (2) Die stappe in subartikel (1) bedoel moet gedoen word— (a) indien die persoonlike inligting direk van die datasubjek ingesamel word, alvorens die inligting ingesamel word, tensy die datasubjek reeds bewus is van die inligting in daardie subartikel bedoel; of 30 35 40 45 50 32 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 32 (b) in any other case, before the information is collected or as soon as reasonably practicable after it has been collected. (3) A responsible party that has previously taken the steps referred to in subsection (1) complies with subsection (1) in relation to the subsequent collection from the data subject of the same information or information of the same kind if the purpose of collection of the information remains the same. (4) It is not necessary for a responsible party to comply with subsection (1) if— 5 (a) the data subject or a competent person where the data subject is a child has provided consent for the non-compliance; (b) non-compliance would not prejudice the legitimate interests of the data 10 subject as set out in terms of this Act; (c) non-compliance is necessary— (i) (ii) (iii) (iv) to avoid prejudice to the maintenance of the law by any public body, including the prevention, detection, investigation, prosecution and punishment of offences; to comply with an obligation imposed by law or to enforce legislation concerning the collection of revenue as defined in section 1 of the South African Revenue Service Act, 1997 (Act No. 34 of 1997); for the conduct of proceedings in any court or tribunal that have been commenced or are reasonably contemplated; or in the interests of national security; (d) compliance would prejudice a lawful purpose of the collection; (e) compliance is not reasonably practicable in the circumstances of the particular case; or the information will— (i) not be used in a form in which the data subject may be identified; or (ii) be used for historical, statistical or research purposes. (f) 15 20 25 Condition 7 Security Safeguards Security measures on integrity and confidentiality of personal information 30 19. (1) A responsible party must secure the integrity and confidentiality of personal information in its possession or under its control by taking appropriate, reasonable technical and organisational measures to prevent— loss of, damage to or unauthorised destruction of personal information; and (a) (b) unlawful access to or processing of personal information. 35 (2) In order to give effect to subsection (1), the responsible party must take reasonable measures to— (a) identify all reasonably foreseeable internal and external risks to personal information in its possession or under its control; (b) establish and maintain appropriate safeguards against the risks identified; (c) regularly verify that the safeguards are effectively implemented; and (d) ensure that the safeguards are continually updated in response to new risks or deficiencies in previously implemented safeguards. (3) The responsible party must have due regard to generally accepted information security practices and procedures which may apply to it generally or be required in terms of specific industry or professional rules and regulations. 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 33 Wet No. 4 van 2013 33 (b) in enige ander geval, alvorens die inligting ingesamel word of so gou as wat dit redelikerwys moontlik is nadat dit ingesamel is. (3) ’n Verantwoordelike party wat voorheen die stappe in subartikel (1) bedoel, met betrekking tot dieselfde inligting of inligting van ’n soortgelyke aard, gedoen het, voldoen aan subartikel (1) indien die oogmerk van die insameling onveranderd bly. (4) Dit is nie nodig vir ’n verantwoordelike party om aan subartikel (1) te voldoen nie, 5 indien— (a) die datasubjek of, waar die datasubjek ’n kind is, ’n bevoegde persoon toestemming vir die nienakoming verleen het; (b) nienakoming nie die regmatige belange van die datasubjek, soos in hierdie 10 Wet uiteengesit, sal benadeel nie; (c) nienakoming noodsaaklik is— (i) om benadeling van die handhawing van die reg, met inbegrip van die voorkoming, opsporing, ondersoek, vervolging en bestrawwing van misdrywe, deur enige openbare liggaam te voorkom; (ii) om aan ’n verpligting wat deur die reg opgelê word te voldoen of om wetgewing met betrekking tot die invordering van belasting, soos in artikel 1 van die Wet op die Suid-Afrikaanse Inkomstediens, 1997 (Wet No. 34 van 1997), omskryf, af te dwing; 15 (iii) vir die voer van verrigtinge in enige hof of tribunaal wat ’n aanvang 20 geneem het of redelikerwys beoog word; of in die belang van nasionale veiligheid; (iv) (d) nakoming ’n regmatige oogmerk van die insameling sal benadeel; (e) nakoming nie redelikerwys moontlik in die omstandighede van die betrokke (f) geval is nie; of die inligting— (i) nie gebruik sal word in ’n vorm waarin die datasubjek geïdentifiseer kan 25 word nie; of (ii) vir historiese, statistiese of navorsingsoogmerke gebruik sal word. Voorwaarde 7 Veiligheidsvoorsorgmaatreëls Veiligheidsvoorsorgmaatreëls oor integriteit en vertroulikheid van persoonlike inligting 19. (1) ’n Verantwoordelike party moet die integriteit en vertroulikheid van persoonlike inligting in die verantwoordelike party se besit of onder die verantwoordelike party se beheer beveilig deur geskikte, redelike tegniese en organisatoriese maatreëls daar te stel om— (a) verlies van, skade aan, of ongemagtigde vernietiging van persoonlike inligting; en (b) onregmatige toegang tot of prosessering van persoonlike inligting, te voorkom. (2) Ten einde aan subartikel (1) gevolg te gee, moet die verantwoordelike party redelike maatreëls daarstel om— (a) alle redelik voorsienbare interne en eksterne risiko’s ten opsigte van persoonlike inligting in die verantwoordelike party se besit of onder die verantwoordelike party se beheer, te identifiseer; (b) geskikte voorsorgmaatreëls teen die geïdentifiseerde risiko’s in te stel en te onderhou; (c) gereeld te kontroleer dat die voorsorgmaatreëls effektief geïmplementeer is; (d) en te verseker dat die voorsorgmaatreëls voortdurend in reaksie op nuwe risiko’s of gebreke in vorige geïmplementeerde voorsorgmaatreëls opgedateer word. (3) Die verantwoordelike party moet behoorlik ag slaan op algemeen aanvaarde inligtingsveiligheidspraktyke en prosedures wat van toepassing kan wees op ’n verantwoordelike party hetsy in die algemeen of wat ingevolge bepaalde bedryfs- of professionele reëls en regulasies vereis kan word. 30 35 40 45 50 55 34 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 34 Information processed by operator or person acting under authority

20. An operator or anyone processing personal information on behalf of a responsible party or an operator, must— (a) process such information only with the knowledge or authorisation of the (b) responsible party; and treat personal information which comes to their knowledge as confidential and must not disclose it, unless required by law or in the course of the proper performance of their duties. Security measures regarding information processed by operator 21. (1) A responsible party must, in terms of a written contract between the responsible party and the operator, ensure that the operator which processes personal information for the responsible party establishes and maintains the security measures referred to in section 19. (2) The operator must notify the responsible party immediately where there are reasonable grounds to believe that the personal information of a data subject has been accessed or acquired by any unauthorised person. Notification of security compromises 22. (1) Where there are reasonable grounds to believe that the personal information of a data subject has been accessed or acquired by any unauthorised person, the responsible party must notify— (a) (b) the Regulator; and subject to subsection (3), the data subject, unless the identity of such data subject cannot be established. (2) The notification referred to in subsection (1) must be made as soon as reasonably possible after the discovery of the compromise, taking into account the legitimate needs of law enforcement or any measures reasonably necessary to determine the scope of the compromise and to restore the integrity of the responsible party’s information system. (3) The responsible party may only delay notification of the data subject if a public body responsible for the prevention, detection or investigation of offences or the Regulator determines that notification will impede a criminal investigation by the public body concerned. (4) The notification to a data subject referred to in subsection (1) must be in writing and communicated to the data subject in at least one of the following ways: (a) Mailed to the data subject’s last known physical or postal address; (b) sent by e-mail to the data subject’s last known e-mail address; (c) placed in a prominent position on the website of the responsible party; (d) published in the news media; or (e) as may be directed by the Regulator. (5) The notification referred to in subsection (1) must provide sufficient information to allow the data subject to take protective measures against the potential consequences of the compromise, including— (a) a description of the possible consequences of the security compromise; (b) a description of the measures that the responsible party intends to take or has (c) (d) taken to address the security compromise; a recommendation with regard to the measures to be taken by the data subject to mitigate the possible adverse effects of the security compromise; and if known to the responsible party, the identity of the unauthorised person who may have accessed or acquired the personal information. 5 10 15 20 25 30 35 40 45 (6) The Regulator may direct a responsible party to publicise, in any manner specified, the fact of any compromise to the integrity or confidentiality of personal 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 35 Wet No. 4 van 2013 35 Inligting geprosesseer deur operateur of persoon wat kragtens magtiging optree 20. ’n Operateur of iemand wat persoonlike inligting namens ’n verantwoordelike party of ’n operateur prosesseer, moet— (a) sodanige inligting slegs met die kennis of magtiging van die verantwoordelike party prosesseer; en 5 (b) persoonlike inligting wat tot hul wete kom as vertroulik hanteer en moet dit nie bekend maak nie, tensy dit regtens of in die loop van die behoorlike uitoefening van hul pligte vereis word. Veiligheidsvoorsorgmaatreëls aangaande inligting deur operateur geprosesseer 21. (1) ’n Verantwoordelike party moet, ingevolge ’n skriftelike kontrak tussen die verantwoordelike party en die operateur, verseker dat ’n operateur wat persoonlike inligting vir die verantwoordelike party prosesseer veiligheidsvoorsorgmaatreëls, in artikel 19 bedoel, instel en onderhou. (2) Die operateur moet die verantwoordelike party onmiddellik in kennis stel indien daar redelike gronde is om te vermoed dat ’n ongemagtigde persoon toegang tot die persoonlike inligting van ’n datasubjek verkry het of die persoonlike inligting verkry het. Kennisgewing van veiligheidsbreuke 22. (1) Waar daar redelike gronde is om te vermoed dat ’n ongemagtigde persoon toegang tot die persoonlike inligting van ’n datasubjek verkry het of die persoonlike inligting verkry het, moet die verantwoordelike party die— (a) Reguleerder; en (b) datasubjek, behoudens subartikel (3), datasubjek nie vasgestel kan word nie, in kennis stel. tensy die identiteit van sodanige (2) Die kennisgewing in subartikel (1) bedoel moet so gou as wat dit redelikerwys moontlik is na ontdekking van die veiligheidsbreuk uitgereik word, met inagneming van die regmatige noodsaak van wetstoepassing of enige maatreëls wat redelikerwys noodsaaklik is om die omvang van die veiligheidsbreuk vas te stel en om die integriteit van die verantwoordelike party se inligtingstelsel te herstel. (3) Die verantwoordelike party kan slegs kennisgewing aan die datasubjek uitstel indien ’n openbare liggaam wat verantwoordelik is vir die voorkoming, opsporing of ondersoek van misdrywe of die Reguleerder bepaal dat kennisgewing ’n strafregtelike ondersoek deur die betrokke openbare liggaam sal belemmer. 10 15 20 25 30 (4) Die kennisgewing aan ’n datasubjek in subartikel (1) bedoel moet skriftelik wees 35 en op ten minste een van die volgende wyses aan die datasubjek oorgedra word: (a) Per pos na die datasubjek se laaste bekende fisiese of posadres; (b) per e-pos na die datasubjek se laaste bekende e-posadres; (c) deur plasing op ’n prominente posisie op die webtuiste van die verantwoordelike party; (d) gepubliseer in die nuusmedia; of (e) soos deur die Reguleerder aangewys. (5) Die kennisgewing in subartikel (1) bedoel moet voldoende inligting voorsien om die datasubjek in staat te stel om beskermende maatreëls teen die potensiële gevolge van die veiligheidsbreuk te neem, met inbegrip van— (a) (b) (c) (d) ’n beskrywing van die moontlike gevolge van die veiligheidsbreuk; ’n beskrywing van die maatreëls wat die verantwoordelike party beoog om te neem of geneem het om die veiligheidsbreuk te hanteer; ’n aanbeveling met betrekking tot die maatreëls wat deur die datasubjek geneem kan word om die moontlike nadelige gevolge van die veiligheidsbreuk te verlig; en indien dit bekend is aan die verantwoordelike party, die identiteit van die ongemagtigde persoon wat moontlik toegang tot die persoonlike inligting verkry het of die persoonlike inligting verkry het. (6) Die Reguleerder kan ’n verantwoordelike party aansê om op enige bepaalde wyse die feit van enige veiligheidsbreuk van die integriteit of vertroulikheid van persoonlike inligting, te publiseer indien die Reguleerder redelike gronde het om te vermoed dat 40 45 50 55 36 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 36 information, if the Regulator has reasonable grounds to believe that such publicity would protect a data subject who may be affected by the compromise. Condition 8 Data subject participation Access to personal information (b) (a) 23. (1) A data subject, having provided adequate proof of identity, has the right to— request a responsible party to confirm, free of charge, whether or not the responsible party holds personal information about the data subject; and request from a responsible party the record or a description of the personal information about the data subject held by the responsible party, including information about the identity of all third parties, or categories of third parties, who have, or have had, access to the information— (i) within a reasonable time; (ii) at a prescribed fee, if any; (iii) (iv) in a reasonable manner and format; and in a form that is generally understandable. (2) If, in response to a request in terms of subsection (1), personal information is communicated to a data subject, the data subject must be advised of the right in terms of section 24 to request the correction of information. (3) If a data subject is required by a responsible party to pay a fee for services provided to the data subject in terms of subsection (1)(b) to enable the responsible party to respond to a request, the responsible party— (a) must give the applicant a written estimate of the fee before providing the services; and (b) may require the applicant to pay a deposit for all or part of the fee. (4) (a) A responsible party may or must refuse, as the case may be, to disclose any information requested in terms of subsection (1) to which the grounds for refusal of access to records set out in the applicable sections of Chapter 4 of Part 2 and Chapter 4 of Part 3 of the Promotion of Access to Information Act apply. 5 10 15 20 25 (b) The provisions of sections 30 and 61 of the Promotion of Access to Information 30 Act are applicable in respect of access to health or other records. (5) If a request for access to personal information is made to a responsible party and part of that information may or must be refused in terms of subsection (4)(a), every other part must be disclosed. Correction of personal information 24. (1) A data subject may, in the prescribed manner, request a responsible party to— (a) correct or delete personal information about the data subject in its possession or under its control that is inaccurate, irrelevant, excessive, out of date, incomplete, misleading or obtained unlawfully; or (b) destroy or delete a record of personal information about the data subject that the responsible party is no longer authorised to retain in terms of section 14. (2) On receipt of a request in terms of subsection (1) a responsible party must, as soon as reasonably practicable— (a) correct the information; (b) destroy or delete the information; (c) provide the data subject, to his or her satisfaction, with credible evidence in support of the information; or 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 37 Wet No. 4 van 2013 37 sodanige publisiteit ’n datasubjek, wat deur sodanige veiligheidsbreuk geraak kan word, sal beskerm. Voorwaarde 8 Deelname deur datasubjek Toegang tot persoonlike inligting 23. (1) ’n Datasubjek, by verskaffing van genoegsame bewys van identiteit, het die reg om— (a) ’n verantwoordelike party te versoek om, kosteloos, te bevestig of die verantwoordelike party persoonlike inligting oor die datasubjek hou, al dan nie; en (b) van ’n verantwoordelike party, die rekord of ’n beskrywing van die persoonlike inligting oor die datasubjek wat deur die verantwoordelike party gehou word, met inbegrip van inligting oor die identiteit van alle derde partye, of kategorieë van derde partye, wat toegang tot die inligting het of gehad het— (i) binne ’n redelike tydperk; (ii) (iii) (iv) te versoek. teen voorgeskrewe gelde, indien enige; in ’n redelike wyse en formaat; en in ’n vorm wat algemeen verstaanbaar is, (2) Indien persoonlike inligting in reaksie op ’n versoek ingevolge subartikel (1) aan ’n datasubjek oorgedra word, moet die datasubjek ingelig word van die reg ingevolge artikel 24 om regstelling van die inligting te versoek. (3) Indien ’n datasubjek deur ’n verantwoordelike party versoek word om ’n gelde te betaal vir die dienste wat ingevolge subartikel (1)(b) aan die datasubjek gelewer word ten einde die verantwoordelike party in staat te stel om te reageer op die versoek— (a) moet die verantwoordelike party ’n skriftelike beraming van die gelde aan die applikant gee, alvorens die dienste gelewer word; en (b) kan die verantwoordelike party vereis dat die applikant ’n deposito vir die somtotaal of ’n gedeelte van die gelde betaal. (4) (a) ’n Verantwoordelike party kan of moet, na gelang van die geval, weier om enige inligting wat ingevolge subartikel (1) versoek is, te verskaf ten opsigte waarvan die gronde vir die weiering van toegang tot rekords in die toepaslike artikels van Hoofstuk 4 van Deel 2 en Hoofstuk 4 van Deel 3 van die Wet op Bevordering van Toegang tot Inligting, van toepassing is. (b) Die bepalings van artikels 30 en 61 van die Wet op Bevordering van Toegang tot Inligting is van toepassing ten opsigte van toegang tot gesondheids- of ander rekords. (5) Indien ’n versoek om persoonlike inligting tot ’n verantwoordelike party gerig word en ’n gedeelte van daardie inligting kan of moet ingevolge subartikel (4)(a) geweier word, moet enige ander gedeelte daarvan verskaf word. Regstelling van persoonlike inligting 24. (1) ’n Datasubjek kan, op die voorgeskrewe wyse, ’n verantwoordelike party versoek om— (a) persoonlike inligting aangaande die datasubjek wat in die verantwoordelike party se besit is of onder die verantwoordelike party se beheer is wat onakkuraat, irrelevant, oortollig, verouderd, onvolledig, misleidend is of onregmatig verkry is, reg te stel of uit te wis; of ’n rekord van persoonlike inligting aangaande die datasubjek wat die verantwoordelike party nie langer, ingevolge artikel 14, kan behou nie te vernietig of uit te wis. (b) (2) By ontvangs van ’n versoek ingevolge subartikel (1), moet ’n verantwoordelike party so gou as wat redelikerwys moontlik is— (a) die inligting regstel; (b) die inligting vernietig of uitwis; (c) die datasubjek, tot sy of haar oortuiging, van geloofwaardige bewysmateriaal ter stawing van die inligting, voorsien; of 5 10 15 20 25 30 35 40 45 50 55 38 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 38 (d) where agreement cannot be reached between the responsible party and the data subject, and if the data subject so requests, take such steps as are reasonable in the circumstances, to attach to the information in such a manner that it will always be read with the information, an indication that a correction of the information has been requested but has not been made. (3) If the responsible party has taken steps under subsection (2) that result in a change to the information and the changed information has an impact on decisions that have been or will be taken in respect of the data subject in question, the responsible party must, if reasonably practicable, inform each person or body or responsible party to whom the personal information has been disclosed of those steps. (4) The responsible party must notify a data subject, who has made a request in terms of subsection (1), of the action taken as a result of the request. Manner of access

39. There is hereby established a juristic person to be known as the Information 15 Regulator, which— (a) has jurisdiction throughout the Republic; (b) is independent and is subject only to the Constitution and to the law and must be impartial and perform its functions and exercise its powers without fear, favour or prejudice; (c) must exercise its powers and perform its functions in accordance with this Act 20 and the Promotion of Access to Information Act; and is accountable to the National Assembly. (d) Powers, duties and functions of Regulator 40. (1) The powers, duties and functions of the Regulator in terms of this Act are— 25 (a) (b) to provide education by— (i) promoting an understanding and acceptance of the conditions for the lawful processing of personal information and of the objects of those conditions; (ii) undertaking educational programmes, for the purpose of promoting the protection of personal information, on the Regulator’s own behalf or in co-operation with other persons or authorities acting on behalf of the Regulator; (iii) making public statements in relation to any matter affecting the protection of the personal information of a data subject or of any class of data subjects; (iv) giving advice to data subjects in the exercise of their rights; and (v) providing advice, upon request or on its own initiative, to a Minister or a public or private body on their obligations under the provisions, and generally on any matter relevant to the operation, of this Act; to monitor and enforce compliance by— (i) public and private bodies with the provisions of this Act; (ii) undertaking research into, and monitoring developments in, information processing and computer technology to ensure that any adverse effects of such developments on the protection of the personal information of data subjects are minimised, and reporting to the Minister the results of such research and monitoring; (iii) examining any proposed legislation, including subordinate legislation, or proposed policy of the Government that the Regulator considers may 30 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 49 Wet No. 4 van 2013 49 (b) regtens aan enige persoon opgedra, wat verrig word met die oog op die beskerming van lede van die publiek teen— (i) finansiële verlies as gevolg van oneerlikheid, wanpraktyk of ander ernstige onbehoorlike gedrag deur, of die onbekwaamheid of onbevoegdheid van, persone wat betrokke is by voorsiening van bank-, versekerings-, beleggings- of ander finansiële dienste of in die bestuur is van korporatiewe verenigings; of 5 (ii) oneerlikheid, wanpraktyk of ander ernstige onbehoorlike gedrag deur, of die onbekwaamheid of onbevoegdheid van, persone wat gemagtig is om enige professie of ander aktiwiteit te beoefen. 10 HOOFSTUK 5 TOESIG Deel A Inligtingsreguleerder Instelling van Inligtingsreguleerder 39. ’n Regspersoon wat as die Inligtingsreguleerder bekend sal staan, word hierby jurisdiksie deur die hele Republiek het; ingestel, wat— (a) (b) onafhanklik is en slegs aan die Grondwet en die reg onderhewig is en wat onpartydig moet wees en sonder vrees, begunstiging of vooroordeel die Reguleerder se werksaamhede moet verrig en bevoegdhede moet uitoefen; (c) die Reguleerder se werksaamhede en bevoegdhede in ooreenstemming met hierdie Wet en die Wet op Bevordering van Toegang tot Inligting moet verrig en uitoefen; en (d) aan die Nasionale Vergadering verantwoordbaar is. Bevoegdhede, pligte en werksaamhede van Reguleerder 40. (1) Die bevoegdhede, pligte en werksaamhede van die Reguleerder ingevolge hierdie Wet is— (a) om opvoeding te verskaf deur— (i) begrip en aanvaarding van die voorwaardes vir die regmatige prosessering van persoonlike inligting en die oogmerke van daardie voorwaardes te bevorder; (ii) opvoedingsprogramme te onderneem, met die oog op bevordering van die beskerming van persoonlike inligting, namens die Reguleerder self of in samewerking met ander persone of instansies wat in belang van die Reguleerder optree; (iii) openbare verklarings te maak ten aansien van enige aangeleentheid wat die beskerming van die persoonlike inligting van ’n datasubjek of enige klas van datasubjekte beïnvloed; 15 20 25 30 35 (iv) advies aan datasubjekte aangaande die uitoefening van hul regte, te 40 verleen; en (v) advies, op versoek of uit eie beweging, aan ’n Minister of ’n openbare of privaatliggaam te verleen met betrekking tot hul verpligtinge kragtens die bepalings, en in die algemeen, aangaande enige aangeleentheid tersaaklik tot die toepassing, van hierdie Wet; (b) om voldoening te kontroleer en af te dwing deur— (i) openbare en privaatliggame met die bepalings van hierdie Wet; (ii) navorsing te onderneem met betrekking tot, en ontwikkelinge te kontroleer ten opsigte van, inligtingsprosessering- en rekenaartegnologie ten einde te verseker dat enige nadelige gevolge van sodanige ontwikke- linge op die beskerming van persoonlike inligting van datasubjekte tot die minimum beperk word, en om verslag te doen aan die Minister aangaande die resultate van sodanige navorsing en kontrolering; 45 50 (iii) enige voorgestelde wetgewing, met inbegrip van ondergeskikte wetgewing, of voorgestelde beleid van die Regering te ontleed wat na 55 50 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 50 (iv) (v) affect the protection of the personal information of data subjects, and reporting to the Minister the results of that examination; reporting upon request or on its own accord, to Parliament from time to time on any policy matter affecting the protection of the personal information of a data subject, including the need for, or desirability of, taking legislative, administrative, or other action to give protection or better protection to the personal information of a data subject; submitting a report to Parliament, within five months of the end of its financial year, on all its activities in terms of this Act during that financial year; (vi) conducting an assessment, on its own initiative or when requested to do so, of a public or private body, in respect of the processing of personal information by that body for the purpose of ascertaining whether or not the information is processed according to the conditions for the lawful processing of personal information; (vii) monitoring the use of unique identifiers of data subjects, and reporting to Parliament from time to time on the results of that monitoring, including any recommendation relating to the need of, or desirability of taking, legislative, administrative, or other action to give protection, or better protection, to the personal information of a data subject; (viii) maintaining, publishing and making available and providing copies of such registers as are prescribed in this Act; and (ix) examining any proposed legislation that makes provision for the— (aa) collection of personal information by any public or private body; or (bb) disclosure of personal information by one public or private body to any other public or private body, or both, to have particular regard, in the course of that examination, to the matters set out in any case where the Regulator considers that the information might be used for the purposes of an information matching programme, in section 44(2), and reporting to the Minister and Parliament the results of that examination; (c) (d) to consult with interested parties by— (i) receiving and inviting representations from members of the public on any matter affecting the personal information of a data subject; (ii) co-operating on a national and international basis with other persons and bodies concerned with the protection of personal information; and (iii) acting as mediator between opposing parties on any matter that concerns the need for, or the desirability of, action by a responsible party in the interests of the protection of the personal information of a data subject; to handle complaints by— (i) receiving and investigating complaints about alleged violations of the protection of personal information of data subjects and reporting to complainants in respect of such complaints; (ii) gathering such information as in the Regulator’s opinion will assist the Regulator in discharging the duties and carrying out the Regulator’s functions under this Act; (iii) attempting to resolve complaints by means of dispute resolution (iv) mechanisms such as mediation and conciliation; and serving any notices in terms of this Act and further promoting the resolution of disputes in accordance with the prescripts of this Act; 5 10 15 20 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 51 Wet No. 4 van 2013 51 oordeel van die Reguleerder die beskerming van persoonlike inligting van datasubjekte kan beïnvloed en om verslag aan die Minister te doen aangaande die resultate van die ontleding; (iv) van tyd tot tyd, op versoek of uit eie beweging, aan die Parlement verslag te doen aangaande enige beleidsaangeleentheid wat die beskerming van die persoonlike inligting van ’n datasubjek beïnvloed, met inbegrip van die behoefte vir, of wenslikheid van, die instel van wetgewende, administratiewe of ander stappe om beskerming of beter beskerming aan die persoonlike inligting van ’n datasubjek te verleen; (vi) (v) binne vyf maande na die verstryking van ’n finansiële jaar van die Reguleerder ’n verslag aan die Parlement voor te lê aangaande alle aktiwiteite van die Reguleerder kragtens hierdie Wet gedurende daardie finansiële jaar; ’n oudit, uit eie beweging of wanneer so versoek word, van ’n openbare of privaatliggaam te onderneem ten opsigte van die prosessering van persoonlike inligting deur daardie liggaam met die oogmerk om vas te stel of daardie inligting ooreenkomstig die voorwaardes vir die regmatige prosessering van persoonlike inligting geprosesseer word, al dan nie; (vii) die gebruik van unieke identifiseerders van datasubjekte te kontroleer en om van tyd tot tyd aan die Parlement verslag te doen aangaande die resultate van daardie kontrolering, met inbegrip van enige aanbeveling met betrekking tot die behoefte aan, of wenslikheid van die doen van wetgewende, administratiewe of ander stappe om beskerming of beter beskerming aan die persoonlike inligting van ’n datasubjek te verleen; sodanige registers, as wat ingevolge hierdie Wet voorgeskryf word, by te hou, te publiseer en om afskrifte van sodanige registers beskikbaar te stel en te verskaf; en (viii) 5 10 15 20 25 (ix) enige voorgestelde wetgewing te ontleed wat voorsiening maak vir die— (aa) insameling van persoonlike inligting deur enige openbare of 30 privaatliggaam; of (bb) bekendmaking van persoonlike inligting deur een openbare of privaatliggaam aan enige ander openbare of privaatliggaam, of aan beide, ten einde in die besonder oorweging, in die loop van die ontleding, te skenk aan die aangeleenthede wat in artikel 44(2) uiteengesit is, in elke geval waar die Reguleerder van mening is dat die inligting moontlik vir die doeleindes van ’n inligtingspas- program gebruik kan word, 35 en om aan die Minister en die Parlement verslag te doen aangaande die resultate van die ontleding; 40 (c) om met belanghebbende partye te konsulteer deur— (i) vertoë vanaf lede van die publiek te ontvang en te vra aangaande enige aangeleentheid wat die persoonlike inligting van ’n datasubjek beïnvloed; (ii) op ’n nasionale en internasionale basis met ander persone en liggame wat met die beskerming van persoonlike inligting gemoeid is, saam te werk; en (iii) as bemiddelaar tussen opponerende partye op te tree met betrekking tot enige aangeleentheid betreffende die behoefte aan, of wenslikheid van, stappe deur ’n verantwoordelike party in die belang van die beskerming van die persoonlike inligting van ’n datasubjek; (d) om klagtes te hanteer deur— (ii) (i) klagtes met betrekking tot beweerde inmenging met die beskerming van persoonlike inligting van datasubjekte te ontvang en te ondersoek en om oor sodanige klagtes aan klaers of klaagsters verslag te doen; sodanige inligting in te samel wat na oordeel van die Reguleerder die Reguleerder behulpsaam sal wees in die verrigting van die Reguleerder se pligte en werksaamhede kragtens hierdie Wet; te poog om klagtes deur middel van dispuutbeslegtingsmeganismes soos bemiddeling en konsiliasie op te los; en (iii) (iv) enige kennisgewings ingevolge hierdie Wet te beteken en verder om die beslegting van dispute ooreenkomstig die voorskrifte van hierdie Wet te bevorder; 45 50 55 60 52 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 52 (e) (f) to conduct research and to report to Parliament— (i) from time to time on the desirability of the acceptance, by South Africa, of any international instrument relating to the protection of the personal information of a data subject; and (ii) on any other matter, including necessary legislative amendments, relating to protection of personal information that, in the Regulator’s opinion, should be drawn to Parliament’s attention; in respect of codes of conduct to— (i) issue, from time to time, codes of conduct, amend codes and to revoke codes of conduct; (ii) make guidelines to assist bodies to develop codes of conduct or to apply codes of conduct; and (iii) consider afresh, upon application, determinations by adjudicators under approved codes of conduct; (g) (h) to facilitate cross-border cooperation in the enforcement of privacy laws by participating in any initiative that is aimed at such cooperation; and in general to— (i) do anything incidental or conducive to the performance of any of the preceding functions; (ii) exercise and perform such other functions, powers, and duties as are conferred or imposed on the Regulator by or under this Act or any other legislation; require the responsible party to disclose to any person affected by a compromise to the integrity or confidentiality of personal information, such compromise in accordance with section 22; and (iii) (iv) exercise the powers conferred upon the Regulator by this Act in matters relating to the access of information as provided by the Promotion of Access to Information Act. (2) The Regulator may, from time to time, in the public interest or in the legitimate interests of any person or body of persons, publish reports relating generally to the exercise of the Regulator’s functions under this Act or to any case or cases investigated by the Regulator, whether or not the matters to be dealt with in any such report have been the subject of a report to the Minister. (3) The provisions of sections 3 and 4 of the Commissions Act, 1947 (Act No. 8 of 1947), will apply, with the necessary changes, to the Regulator. (4) The powers and duties of the Regulator in terms of the Promotion of Access to Information Act are set out in Parts 4 and 5 of that Act. Appointment, term of office and removal of members of Regulator 41. (1) (a) The Regulator consists of the following members: (i) A Chairperson; and (ii) four other persons, as ordinary members of the Regulator. (b) Members of the Regulator must be appropriately qualified, fit and proper persons— (ii) (i) at least one of whom must be appointed on account of experience as a practising advocate or attorney or a professor of law at a university; and the remainder of whom must be appointed on account of any other qualifications, expertise and experience relating to the objects of the Regulator. (c) The Chairperson of the Regulator must be appointed in a full-time capacity and to subsection (4), not perform or undertake to perform any other may, subject remunerative work during the period in which he or she holds office as Chairperson. (d) The ordinary members of the Regulator must be appointed as follows: (i) Two ordinary members in a full-time capacity; and (ii) two ordinary members in a full-time or part-time capacity. (e) The members referred to in paragraph (d) who are appointed in a full-time capacity, may, subject to subsection (4), not perform or undertake to perform any other remunerative work during the period in which they hold office. 5 10 15 20 25 30 35 40 45 50 55 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 53 Wet No. 4 van 2013 53 (e) om navorsing te doen en aan die Parlement verslag te doen— (i) van tyd tot tyd aangaande die wenslikheid van die aanvaarding, deur Suid-Afrika, van enige internasionale instrument met betrekking tot die beskerming van die persoonlike inligting van ’n datasubjek; en (ii) aangaande enige ander aangeleentheid, met inbegrip van noodsaaklike wetgewende wysigings, met betrekking tot beskerming van persoonlike inligting wat, na oordeel van die Reguleerder, onder die Parlement se aandag gebring behoort te word; ten opsigte van gedragskodes om— (i) van tyd tot tyd gedragskodes uit te reik, om kodes te wysig en om (ii) gedragskodes te herroep; riglyne uit te vaardig om liggame behulpsaam te wees om gedragskodes te ontwikkel of om gedragskodes toe te pas; en (iii) van nuuts af, op versoek, vasstellings deur skeidsregters kragtens goedgekeurde gedragskodes te oorweeg; (f) (g) om met samewerking oor landsgrense in die afdwinging van privaatheids- wetgewing behulpsaam te wees deur aan enige inisiatief wat op sodanige samewerking gemik is, deel te neem; en in die algemeen om— (i) enigiets wat verband hou met of ter bevordering van die verrigting van (h) (ii) (iii) enige van die voormelde werksaamhede te doen; sodanige ander werksaamhede, bevoegdhede en pligte te verrig en uit te oefen as wat aan die Reguleerder by of kragtens hierdie Wet of enige ander wetgewing opgedra of opgelê word; te vereis dat die verantwoordelike party aan enige persoon, wat deur ’n inbreukmaking op die integriteit of vertroulikheid van persoonlike inligting geraak word, sodanige inbreukmaking in ooreenstemming met artikel 22 bekend maak; en (iv) die bevoegdhede wat aan die Reguleerder by hierdie Wet opgedra word in aangeleenthede met betrekking tot die toegang tot inligting soos by die Wet op Bevordering van Toegang tot Inligting bedoel, uit te oefen. (2) Die Reguleerder kan, van tyd tot tyd, in die openbare belang of in die regmatige belang van enige persoon of liggaam van persone, verslae publiseer wat in die algemeen verband hou met die uitoefening van die Reguleerder se werksaamhede kragtens hierdie Wet of met enige saak of sake deur die Reguleerder ondersoek, hetsy die aangeleenthede wat in sodanige verslag aangespreek word die onderwerp van ’n verslag aan die Minister was al dan nie. (3) Die bepalings van artikels 3 en 4 van die Kommissiewet, 1947 (Wet No. 8 van 1947), is, met die nodige veranderinge, op die Reguleerder van toepassing. 5 10 15 20 25 30 35 (4) Die bevoegdhede en pligte van die Reguleerder ingevolge die Wet op Bevordering 40 van Toegang tot Inligting word in Dele 4 en 5 van daardie Wet uiteengesit. Aanstelling, ampstermyn en ontheffing van lede van Reguleerder 41. (1) (a) Die Reguleerder bestaan uit die volgende lede: ’n Voorsitter; en (i) (ii) vier ander persone as gewone lede van die Reguleerder. (b) Lede van die Reguleerder moet geskik gekwalifiseerde, bekwame en gepaste persone wees waarvan— (i) ten minste een persoon op grond van ondervinding as ’n praktiserende advokaat of prokureur of ’n professor in die regte aan ’n universiteit; en (ii) die res op grond van enige ander kwalifikasie, kundigheid en ondervinding met betrekking tot die oogmerke van die Reguleerder, aangestel moet word. (c) Die Voorsitter van die Reguleerder moet in ’n voltydse hoedanigheid aangestel word en mag, behoudens subartikel (4), tydens die tydperk wat hy of sy die amp van Voorsitter beklee, geen ander besoldigde werk verrig of onderneem om te verrig nie. (d) Die gewone lede van die Reguleerder moet as volg aangestel word: (i) Twee gewone lede in ’n voltydse hoedanigheid; en (ii) twee gewone lede in ’n voltydse of deeltydse hoedanigheid. (e) Die lede in paragraaf (d) vermeld wat in ’n voltydse hoedanigheid aangestel is mag, behoudens subartikel (4), tydens die tydperk wat hulle die amp beklee, geen ander besoldigde werk verrig of onderneem om te verrig nie. 45 50 55 60 54 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 54 (f) The Chairperson must direct the work of the Regulator and the staff of the Regulator. (g) A person may not be appointed as a member of the Regulator if he or she— (i) (ii) (iii) is not a citizen of the Republic; is a public servant; is a member of Parliament, any provincial legislature or any municipal council; is an office-bearer or employee of any political party; is an unrehabilitated insolvent; (iv) (v) (vi) has been declared by a court to be mentally ill or unfit; or (vii) has at any time been convicted, whether in the Republic or elsewhere, of any offence involving dishonesty. (2) (a) The Chairperson and the members of the Regulator referred to in subsection (1)(a) must be appointed by the President on the recommendation of the National Assembly, which recommendation must also indicate which ordinary members must be appointed in a full-time or part-time capacity. (b) The National Assembly must recommend persons— (i) nominated by a committee of the Assembly composed of members of parties 5 10 15 represented in the Assembly; and (ii) approved by the Assembly by a resolution adopted with a supporting vote of 20 a majority of the members of the Assembly. (3) The members of the Regulator will be appointed for a period of not more than five years and will, at the expiration of such period, be eligible for reappointment. (4) The Chairperson of the Regulator or a member who has been appointed in a full-time capacity may, notwithstanding the provisions of subsection (1)(c) or (e), only perform or undertake to perform any other remunerative work during the period that he or she holds office as Chairperson or member with the prior written consent of the Minister. (5) A person appointed as a member of the Regulator may, upon written notice to the President, resign from office. (6) (a) A member may be removed from office only on— the ground of misconduct, incapacity or incompetence; (i) (ii) a finding to that effect by a committee of the National Assembly; and (iii) the adoption by the National Assembly of a resolution calling for that person’s removal from office. (b) A resolution of the National Assembly concerning the removal from office of a member of the Regulator must be adopted with a supporting vote of a majority of the members of the Assembly. (c) The President— (i) may suspend a member from office at any time after the start of the proceedings of a committee of the National Assembly for the removal of that member; and (ii) must remove a member from office upon adoption by the Assembly of the resolution calling for that member’s removal. Vacancies 42. (1) A vacancy in the Regulator occurs if a member— (a) becomes subject to a disqualification referred to in section 41(1)(g); (b) tenders his or her resignation as contemplated in section 41(5) and the resignation takes effect; is removed from office in terms of section 41(6); (c) (d) dies; or (e) becomes permanently incapable of doing his or her work. (2) (a) Where a vacancy has arisen as contemplated in subsection (1), the procedure contemplated in section 41(2) applies. (b) Any member appointed under this subsection holds office for the rest of the period of the predecessor’s term of office, unless the President, upon recommendation by the National Assembly, appoints that member for a longer period which may not exceed five years. 25 30 35 40 45 50 55 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 55 Wet No. 4 van 2013 55 (f) Die Voorsitter moet die werk van die Reguleerder en die personeel van die Reguleerder bestuur. (g) ’n Persoon kan nie as lid van die Reguleerder aangestel word nie, indien hy of sy— (i) nie ’n burger van die Republiek is nie; (ii) (iii) ’n staatsamptenaar is; ’n lid van die Parlement, enige provinsiale wetgewer of enige munisipale raad is; ’n ampsdraer of werknemer van enige politieke party is; ’n ongerehabiliteerde insolvent is; (iv) (v) (vi) deur ’n hof as geestesongesteld of onbevoeg verklaar is; of (vii) te eniger tyd aan ’n misdryf, hetsy in die Republiek of elders, waarvan oneerlikheid ’n element is, skuldig bevind is. (2) (a) Die Voorsitter en die lede van die Reguleerder in subartikel (1)(a) bedoel moet deur die President aangestel word op aanbeveling van die Nasionale Vergadering, welke aanbeveling ook moet aandui welke gewone lede in ’n voltydse of deeltydse hoedanigheid aangestel moet word. (b) Die Nasionale Vergadering moet persone aanbeveel wat— (i) deur ’n komitee van die Vergadering, wat uit lede van die partye wat in die Vergadering verteenwoordig word, benoem word; en (ii) deur die Vergadering goedgekeur is by resolusie wat met die ondersteunende stem van die meerderheid van die lede van die Vergadering aanvaar is. (3) Die lede van die Reguleerder word vir ’n tydperk van hoogstens vyf jaar aangestel en is, by die verstryking van sodanige tydperk, geskik vir heraanstelling. (4) Die Voorsitter van die Reguleerder of ’n lid wat in ’n voltydse hoedanigheid aangestel is kan, ongeag die bepalings van subartikel (1)(c) of (e), slegs met die vooraf skriftelike toestemming van die Minister enige ander werk teen vergoeding verrig of onderneem om dit te verrig gedurende die tydperk wat hy of sy die amp van Voorsitter of lid beklee. 5 10 15 20 25 (5) ’n Persoon wat as lid van die Reguleerder aangestel is kan, by wyse van skriftelike 30 kennisgewing aan die President, uit sy of haar amp bedank. (6) (a) ’n Lid kan slegs uit sy of haar amp onthef word op grond van— (i) wangedrag, onbevoegdheid of onbekwaamheid; (ii) ’n bevinding te dien effekte deur ’n komitee van die Nasionale Vergadering; en (iii) die aanvaarding van ’n Nasionale Vergadering resolusie wat daardie persoon se ontheffing uit die amp versoek. (b) ’n Resolusie deur die Nasionale Vergadering met betrekking tot die ontheffing uit amp van ’n lid van die Reguleerder moet met die ondersteunende stem van die meerderheid van die lede van die Vergadering aanvaar word. 35 40 (c) Die President— (i) kan ’n lid te eniger tyd na die aanvang van die verrigtinge van ’n komitee van die Nasionale Vergadering vir die ontheffing van daardie lid, uit sy of haar amp skors; en (ii) moet ’n lid uit sy of haar amp onthef by aanvaarding deur die Nasionale Vergadering van ’n resolusie wat die ontheffing van daardie lid versoek. 45 Vakatures 42. (1) ’n Vakature onstaan in die Reguleerder indien ’n lid— (a) onderhewig word aan ’n diskwalifikasie in artikel 41(1)(g) bedoel; (b) sy of haar bedanking soos in artikel 41(5) beoog, aanbied en die bedanking ’n aanvang neem; ingevolge artikel 41(6) uit sy of haar amp onthef word; sterf; of (c) (d) (e) permanent onbevoeg word om sy of haar werk te verrig. 50 (2) (a) Indien ’n vakature ontstaan soos in subartikel (1) beoog, is die prosedure in 55 artikel 41(2) beoog van toepassing. (b) ’n Lid wat kragtens hierdie subartikel aangestel is beklee die amp vir die oorblywende tydperk van die voorganger se ampstermyn, tensy die President, op aanbeveling deur die Nasionale Vergadering, daardie lid vir ’n langer tydperk, welke tydperk nie vyf jaar mag oorskry nie, aanstel. 60 56 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 56 Powers, duties and functions of Chairperson and other members 43. (1) The Chairperson— (b) (a) must exercise the powers and perform the duties and functions conferred on or assigned to him or her by the Regulator in terms of this Act and the Promotion of Access to Information Act; and is, for the purposes of exercising the powers and performing the duties and functions conferred on or assigned to him or her by the Regulator in terms of this Act and the Promotion of Access to Information Act, accountable to the Regulator. 5 (2) (a) The members referred to in section 41(1)(d)(i) must exercise their powers and 10 perform their duties and functions as follows: (i) One member in terms of this Act; and (ii) one member in terms of the Promotion of Access to Information Act. (b) The members referred to in section 41(1)(d)(ii) must exercise their powers and perform their duties and functions either in terms of this Act or the Promotion of Access to Information Act, or both. (c) The members, referred to in paragraphs (a) and (b), are, for the purposes of exercising their powers and performing their duties and functions, accountable to the Chairperson. Regulator to have regard to certain matters 15 20 44. (1) In the performance of its functions, and the exercise of its powers, under this Act the Regulator must— (a) have due regard to the conditions for the lawful processing of personal information as referred to in Chapter 3; (b) have due regard for the protection of all human rights and social interests that compete with privacy, including the general desirability of a free flow of information and the recognition of the legitimate interests of public and private bodies in achieving their objectives in an efficient way; (c) take account of international obligations accepted by South Africa; and (d) consider any developing general international guidelines relevant to the better 25 30 protection of individual privacy. (2) In performing its functions in terms of section 40(1)(b)(ix)(bb) with regard to information matching programmes, the Regulator must have particular regard to whether or not the— (a) objective of the programme relates to a matter of significant public 35 importance; (b) use of the programme to achieve that objective will result in monetary savings that are both significant and quantifiable or in other comparable benefits to society; (c) use of an alternative means of achieving that objective would give either of the 40 results referred to in paragraph (b); (d) public interest in allowing the programme to proceed outweighs the public interest in adhering to the conditions for the lawful processing of personal information that the programme would otherwise contravene; and (e) programme involves information matching on a scale that is excessive, having 45 regard to— (i) the number of responsible parties or operators that will be involved in the programme; and the amount of detail about a data subject that will be matched under the programme. (ii) (3) In determining whether the processing of personal information for exclusively journalistic purposes by a responsible party who is, by virtue of office, employment or profession, not subject to a code of ethics as referred to in section 7(1), constitutes an interference with the protection of the personal information of the data subject in terms of section 73, the Regulator must have particular regard to the factors referred to in section 7(3)(a) to (d). 50 55 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 57 Wet No. 4 van 2013 57 Bevoegdhede, pligte en werksaamhede van Voorsitter en ander lede 43. (1) Die Voorsitter— (b) (a) moet die bevoegdhede uitoefen en die pligte en werksaamhede verrig wat die Reguleerder ingevolge hierdie Wet en die Wet op Bevordering van Toegang tot Inligting aan hom of haar opdra of toewys; en is, vir die doeleindes van die uitoefening van die bevoegdhede en die verrigting van die pligte en werksaamhede wat ingevolge hierdie Wet en die Wet op Bevordering van Toegang tot Inligting deur die Reguleerder aan hom of haar opgedra of toegewys word, aan die Reguleerder verantwoordbaar. 5 (2) (a) Die lede in artikel 41(1)(d)(i) bedoel moet hul bevoegdhede en hul pligte en 10 werksaamhede as volg uitoefen en verrig: (i) Een lid ingevolge hierdie Wet; en (ii) een lid ingevolge die Wet op Bevordering van Toegang tot Inligting. (b) Die lede in artikel 41(1)(d)(ii) bedoel moet hul bevoegdhede uitoefen en hul pligte en werksaamhede verrig ingevolge hierdie Wet of die Wet op Bevordering van Toegang tot Inligting, of beide. (c) Die lede in paragrawe (a) en (b) bedoel is, vir die doeleindes van die uitoefening van hul bevoegdhede en die verrigting van hul pligte en werksaamhede, aan die Voorsitter verantwoordbaar. Reguleerder moet sekere aangeleenthede in aanmerking neem 44. (1) In die verrigting van sy werksaamhede, en die uitoefening van sy bevoegdhede, kragtens hierdie Wet moet die Reguleerder— (a) behoorlik ag slaan op die voorwaardes vir die regmatige prosessering van persoonlike inligting in Hoofstuk 3 bedoel; (b) behoorlik ag slaan op die beskerming van alle menseregte en maatskaplike belange wat met privaatheid meeding, met inbegrip van die algemene wenslikheid van die vrye vloei van inligting en die erkenning van die regmatige belange van openbare en privaatliggame in die bereiking van hul doelwitte op ’n effektiewe wyse; 15 20 25 (c) met die internasionale verpligtinge wat Suid-Afrika aanvaar rekening hou; en (d) enige ontwikkelende algemene internasionale riglyne wat betrekking het op 30 die verbeterde beskerming van individuele privaatheid, oorweeg. (2) In die uitoefening van die werksaamhede van die Reguleerder ingevolge artikel 40(1)(b)(ix)(bb) met betrekking tot inligtingspasprogramme, moet die Reguleerder in besonder daarna oplet of die— (a) doelwit van die program op ’n aangeleentheid van wesenlike openbare belang betrekking het; (b) gebruik van die program om daardie doelwit te bereik monetêre besparing wat beide wesenlik sowel as berekenbaar is, of ander vergelykbare voordele vir die samelewing, tot gevolg sal hê; (c) gebruik van alternatiewe middele om daardie doelwit te bereik enige van die resultate in paragraaf (b) bedoel, tot gevolg sal hê; (d) openbare belang daarin om die program te laat voortgaan swaarder weeg as die openbare belang om die voorwaardes vir die regmatige prosessering van persoonlike inligting na te kom, wat die program andersins sal oortree; en (e) program inligtingspassing behels op ’n skaal wat uitermatig is, met inagneming van— (i) die getal verantwoordelike partye of operateurs wat by die program 35 40 45 betrokke sal wees; en (ii) die hoeveelhede besonderhede van ’n datasubjek wat kragtens die 50 program gepas sal word, al dan nie. (3) Wanneer vasgestel word of die prosessering van persoonlike inligting vir uitsluitlik joernalistieke oogmerke deur ’n verantwoordelike party wat, by wyse van amp, betrekking of professie, nie aan ’n etiese kode, soos in artikel 7(1) bedoel, onderhewig is nie, ’n inmenging met die beskerming van die persoonlike inligting van die datasubjek ingevolge artikel 73 daarstel, moet die Reguleerder die faktore in artikel 7(3)(a) tot (d) bedoel, in besonder, in ag neem. 55 58 No. 37067 Act No. 4 of 2013 Conflict of interest GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 58 45. (1) If any member of the Regulator or any person appointed by the Regulator in terms of this Act has a material interest in any matter which could conflict with the proper performance of his or her duties in terms of this Act or the Promotion of Access to Information Act, he or she must disclose that interest, as prescribed, as soon as practicable after the relevant facts came to his or her knowledge. (2) (a) If a member of the Regulator or person referred to in subsection (1)— (i) (ii) is present at a meeting of the Regulator or committee referred to in section 49 or 50 at which a matter contemplated in that subsection is to be considered, the member or person concerned must disclose the nature of his or her interest to the meeting before the matter is considered; or fails to make a disclosure as required by this subsection and is present at a meeting of the Regulator or committee, as the case may be, or in any other manner participates in the proceedings, such proceedings in relation to the relevant matter must, as soon as the non-disclosure is discovered, be reviewed and be varied or set aside by the Regulator or the committee, as the case may be, without the participation of the member or person concerned. (b) A member of the Regulator or person referred to in subsection (1) who is obliged to make a disclosure in terms of this subsection may not be present during any deliberation, or take part in any decision, in relation to the matter in question. (c) Any disclosure made in terms of this subsection must be noted in the minutes of the relevant meeting of the Regulator or committee. 5 10 15 20 (3) A member of the Regulator or person referred to in subsection (1) who has disclosed a conflict of interest in terms of subsection (1)— (a) may perform all duties relating to the matter in question if a decision has been 25 taken that the interest is trivial or irrelevant; or (b) must be relieved of all duties relating to the matter in question and such duties must be performed by another member of the Regulator or by another person referred to in subsection (1), as the case may be, who has no such conflict of interest. Remuneration, allowances, benefits and privileges of members 46. (1) A member of the Regulator or a person referred to in section 49(1)(b) or 50(1)(b) who is not subject to the provisions of the Public Service Act, 1994 (Proclamation No. 103 of 1994), or who is not a judge of the High Court of South Africa or a magistrate will be entitled to such remuneration, allowances, including allowances for reimbursement of travelling and subsistence expenses incurred by him or her in the performance of his or her functions under this Act and the Promotion of Access to Information Act, benefits and privileges as the Minister in consultation with the Minister of Finance may determine. 30 35 (2) The remuneration, allowances, benefits or privileges of different members of the 40 Regulator may differ according to the different— (a) positions held by them in the Regulator; or (b) functions performed, whether in a part-time or full-time capacity, by them from time to time. Staff 47. (1) The Regulator must establish its own administration to assist it in the performance of its functions and to this end the Regulator must appoint, or secure the secondment in terms of subsection (6) of— (a) a suitably qualified and experienced person as chief executive officer of the Regulator for the purpose of assisting the Regulator, subject to the Regulator’s direction and supervision, in the performance of all financial and administra- tive functions in terms of this Act and the Promotion of Access to Information Act, work arising from the administration of this Act and the Promotion of 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 59 Wet No. 4 van 2013 59 Botsing van belange 45. (1) Indien enige lid van die Reguleerder of enige persoon wat ingevolge hierdie Wet deur die Reguleerder aangestel is ’n wesenlike belang in enige aangeleentheid het wat met die behoorlike uitoefening van sy of haar pligte ingevolge hierdie Wet of die Wet op Bevordering van Toegang tot Inligting kan bots, moet hy of sy, soos voorgeskryf, daardie belang so gou as wat dit moontlik is nadat die betrokke feite tot sy of haar wete gekom het, bekend maak. (2) (a) Indien ’n lid van die Reguleerder of persoon in subartikel (1) bedoel— (i) by ’n vergadering van die Reguleerder of komitee in artikel 49 of 50 bedoel teenwoordig is waartydens ’n aangeleentheid by daardie subartikel beoog oorweeg staan te word, moet die betrokke lid of persoon, alvorens die aangeleentheid oorweeg word, die aard van sy of haar belang aan die vergadering bekend maak; of (ii) versuim om ’n bekendmaking soos deur hierdie subartikel vereis, te doen en by ’n vergadering van die Reguleerder of komitee, na gelang van die geval, teenwoordig is of op enige ander wyse deelneem aan die verrigtinge, moet sodanige verrigtinge met betrekking tot die betrokke aangeleentheid, so gou as wat die niebekendmaking ontdek word, hersien word en gewysig of tersyde gestel word deur die Reguleerder of die komitee, na gelang van die geval, sonder die deelname van die betrokke lid of persoon. (b) ’n Lid van die Reguleerder of ’n persoon in subartikel (1) bedoel wat verplig is om ’n bekendmaking ingevolge hierdie subartikel te doen mag nie teenwoordig wees by enige beraadslaging, of deel wees van enige besluit, in verband met die betrokke aangeleentheid nie. (c) Enige bekendmaking wat ingevolge hierdie subartikel gedoen word, moet in die notule van die betrokke vergadering van die Reguleerder of komitee aangeteken word. (3) ’n Lid van die Reguleerder of persoon in subartikel (1) bedoel wat ’n botsing van belange ingevolge subartikel (1) bekend gemaak het— (a) kan al die pligte met betrekking tot die betrokke aangeleentheid verrig indien ’n besluit geneem is dat die belang onbeduidend of nie ter sake is nie; of (b) moet van alle pligte met betrekking tot die betrokke aangeleentheid onthef word en sodanige pligte moet deur ’n ander lid van die Reguleerder of deur ’n ander persoon in subartikel (1) bedoel, na gelang van die geval, wat nie sodanige botsing van belange het nie, verrig word. Vergoeding, toelaes, voordele en voorregte van lede 46. (1) ’n Lid van die Reguleerder of ’n persoon in artikel 49(1)(b) of 50(1)(b) bedoel wat nie onderhewig is aan die bepalings van die Staatsdienswet, 1994 (Proklamasie No. 103 van 1994), nie, of wat nie ’n regter van die Hooggeregshof van Suid-Afrika of ’n landdros is nie, sal geregtig wees op sodanige vergoeding, toelaes, met inbegrip van toelaes ter vergoeding van uitgawes ten opsigte van reis en verblyf wat deur hom of haar in die uitvoering van sy of haar werksaamhede kragtens hierdie Wet of die Wet op Bevordering van Toegang tot Inligting aangegaan is, voordele en voorregte as wat die Minister in oorleg met die Minister van Finansies mag bepaal. (2) Die vergoeding, toelaes, voordele of voorregte van verskillende lede van die Reguleerder kan verskil ooreenkomstig die verskillende— (a) ampte wat hulle by die Reguleerder beklee; of (b) werksaamhede, hetsy in ’n deeltydse of voltydse hoedanigheid, wat hulle van tyd tot tyd verrig. Personeel 47. (1) Die Reguleerder moet die Reguleerder se eie administrasie oprig om die Reguleerder in die uitvoering van die Reguleerder se werksaamhede behulpsaam te wees en vir daardie doeleindes moet die Reguleerder— (a) ’n gepas gekwalifiseerde en ervare persoon as hoof uitvoerende beampte van die Reguleerder aanstel om die Reguleerder behulpsaam te wees, onderhewig aan die Reguleerder se beheer en kontrole, in die verrigting van alle finansiële en administratiewe werksaamhede ingevolge hierdie Wet en die Wet op Bevordering van Toegang tot Inligting, werk wat voortvloei uit die administrasie van hierdie Wet en die Wet op Bevordering van Toegang tot 5 10 15 20 25 30 35 40 45 50 55 60 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 60 (b) Access to Information Act and to exercise any power delegated by the Regulator to him or her; and such other member of staff as the Regulator may deem necessary to assist the Regulator and the chief executive officer, as the case may be, with all such work as may arise through the performance of its functions. 5 (2) (a) The chief executive officer may appoint a senior member of staff as acting chief executive officer to perform the functions of the chief executive officer in his or her absence. (b) A member of the Regulator may not be appointed as acting chief executive officer. (c) In the event that a vacancy occurs in the office of the chief executive officer the 10 Regulator must appoint an acting chief executive officer. (3) The Regulator must, in the appointment of the staff of the Regulator— (a) provide for the advancement of persons disadvantaged by unfair discrimina- tion, with the aim that its staff, when viewed collectively, represents a broad cross-section of the population of the Republic; and subject to paragraph (a), apply equal opportunity employment practices. (b) 15 (4) The Regulator may pay to the persons in its employ such remuneration and allowances and provide them with such pension and other employment benefits as are consistent with that paid in the public sector. (5) In exercising its powers in terms of subsections (1) and (4), the Regulator must 20 consult with the Minister of Finance. (6) The Regulator may, in the performance of the functions contemplated in subsection (1), at its request, be assisted by officials in the Public Service seconded to the service of the Regulator in terms of any law regulating such secondment: Provided that the secondment of an official to the service of the Regulator may not exceed 12 months and that the initial period of secondment may only be extended once for a subsequent period not exceeding 12 months. (7) The Regulator may, in consultation with the Minister of Finance, on a temporary basis or for a particular matter which is being investigated by it, employ any person with special knowledge of any matter relating to the work of the Regulator, or obtain the co-operation of any body, to advise or assist the Regulator in the performance of its functions under this Act and the Promotion of Access to Information Act, and fix the remuneration, including reimbursement for travelling, subsistence and other expenses, of such person or body. Powers, duties and functions of chief executive officer

48. The chief executive officer— (a) is the head of administration and the accounting officer, as referred to in section 52(3), of the Regulator; (b) may appoint a senior member of staff as acting chief executive officer as (c) referred to in section 47(2); is responsible for the— (i) management of the affairs and operations of the Regulator; (ii) (iii) organisation and management of, and administrative control over, all the members of staff appointed in terms of section 47(1)(b) and all the persons seconded in terms of section 47(6); formation and development of an efficient administration; (iv) maintenance of discipline in respect of the members of staff; and (v) execution of the decisions of the Regulator, and is for those purposes accountable to the Regulator and must report thereon to the Regulator as often as may be required by the Regulator; and (d) must exercise the powers and perform the duties and functions which the Regulator may from time to time confer upon or assign to him or her in order 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 61 Wet No. 4 van 2013 61 (b) Inligting en die uitoefening van enige bevoegdheid wat deur die Reguleerder aan hom of haar gedelegeer word; en sodanige ander personeellid as wat die Reguleerder mag nodig vind, aanstel om die Reguleerder en die hoof uitvoerende beampte, na gelang van die geval, met al sodanige werk behulpsaam te wees wat mag voortvloei uit die verrigting van hul werksaamhede, of die sekondering van sodanige persone ingevolge subartikel (6) bewerkstellig. (2) (a) Die hoof uitvoerende beampte kan ’n senior personeellid as waarnemende hoof uitvoerende beampte aanstel om die werksaamhede van die hoof uitvoerende beampte in sy of haar afwesigheid te verrig. (b) ’n Lid van die Reguleerder mag nie as waarnemende hoof uitvoerende beampte aangestel word nie. (c) Die Reguleerder moet, indien die amp van hoof uitvoerende beampte vakant word, ’n waarnemende hoof uitvoerende beampte aanstel. (3) Die Reguleerder moet, by die aanstelling van die personeel van die Reguleerder— (a) vir die vooruitgang van persone wat deur onregverdige diskriminasie benadeel is voorsiening maak, met die oogmerk dat sy personeel, wanneer gesamentlik in ag geneem word, ’n breë deursnit van die bevolking van die Republiek verteenwoordig; en 5 10 15 (b) behoudens paragraaf (a), praktyke van gelyke indiensnemingsgeleenthede 20 toepas. (4) Die Reguleerder kan aan die persone in sy diens sodanige vergoeding en toelaes in betaal en hulle met sodanige pensioen en ander diensvoordele voorsien wat ooreenstemming met die openbare sektor is. (5) Die Reguleerder moet in die uitoefening van die Reguleerder se bevoegdhede 25 ingevolge subartikel (1) en (4), met die Minister van Finansies oorleg pleeg. (6) Die Reguleerder kan, in die uitvoering van die Reguleerder se werksaamhede by subartikel (1) beoog, op die Reguleerder se versoek, bygestaan word deur beamptes in die Staatsdiens wat tot die diens van die Reguleerder gesekondeer is ingevolge enige wetgewing wat sodanige sekondering reguleer: Met dien verstande dat die sekondering van ’n beampte tot die diens van die Reguleerder nie 12 maande mag oorskry nie en dat die aanvanklike tydperk van sekondering slegs een keer vir ’n daaropvolgende tydperk wat nie 12 maande oorskry nie, verleng kan word. (7) Die Reguleerder kan, in oorleg met die Minister van Finansies, op ’n tydelike basis of vir ’n bepaalde aangeleentheid wat deur die Reguleerder ondersoek word, enige persoon met spesiale kennis van enige aangeleentheid aangaande die werk van die Reguleerder in diens neem, of die samewerking van enige liggaam verkry, om die Reguleerder te adviseer of by te staan in die uitvoering van die Reguleerder se werksaamhede kragtens hierdie Wet en die Wet op Bevordering van Toegang tot Inligting en die vergoeding, met inbegrip van vergoeding vir reis, verblyf en ander uitgawes, van sodanige persoon of liggaam vasstel. 30 35 40 Bevoegdhede, pligte en werksaamhede van hoof uitvoerende beampte

48. Die hoof uitvoerende beampte— (a) is die hoof van administrasie en die rekenpligtige beampte, soos in artikel 52(3) bedoel, van die Reguleerder; 45 (b) kan ’n senior lid van die personeel as waarnemende hoof uitvoerende beampte (c) soos in artikel 47(2) bedoel, aanstel; is verantwoordelik vir die— (i) bestuur van die besigheid en bedrywighede van die Reguleerder; (ii) daarstelling en ontwikkeling van ’n effektiewe administrasie; (iii) organisering en bestuur van, en administratiewe beheer oor, al die lede van die personeel wat ingevolge artikel 47(1)(b) aangestel is en al die persone wat ingevolge artikel 47(6) gesekondeer is; (iv) handhawing van dissipline ten opsigte van die lede van die personeel; en (v) uitvoering van die besluite van die Reguleerder, en is vir daardie oogmerke verantwoordbaar aan die Reguleerder en moet daaroor aan die Reguleerder, so gereeld as wat die Reguleerder dit mag vereis, verslag doen; en 50 55 (d) moet die bevoegdhede uitvoer en die pligte en werksaamhede verrig wat die Reguleerder van tyd tot tyd aan hom of haar opdra of toewys ten einde die 60 62 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 62 to achieve the objects of the Regulator, and is for those purposes accountable to the Regulator. Committees of Regulator 49. (1) The Regulator may, if it considers it necessary for the proper performance of its functions establish one or more committees, which must consist of— (a) (b) such members of the Regulator as the Regulator may designate; or such members of the Regulator as the Regulator may designate and other persons appointed by the Regulator, as referred to in section 47(7), for the period determined by the Regulator. (2) The Regulator may at any time extend the period of an appointment referred to in subsection (1)(b) or, if in its opinion good reasons exist therefor, revoke any such appointment. (3) The Regulator must designate the chairperson and, if the Regulator deems it necessary, the vice-chairperson of a committee established under subsection (1). 5 10 (4) (a) A committee referred to in subsection (1) must, subject to the directions of the 15 Regulator, perform those functions of the Regulator assigned to it by the Regulator. (b) Any function so performed by a committee referred to in subsection (1) will be deemed to have been performed by the Regulator. (5) The Regulator may at any time dissolve any committee established by the Regulator. (6) The provisions of sections 40(4) and 51 will apply, with the necessary changes, to a committee of the Regulator. Establishment of Enforcement Committee 50. (1) The Regulator must establish an Enforcement Committee which must consist of— (a) at least one member of the Regulator; and (b) such other persons appointed by the Regulator, as referred to in section 47(7), for the period determined by the Regulator. (2) The Regulator must— (a) in consultation with the Chief Justice and Minister, appoint a— (i) judge of the High Court of South Africa, whether in active service or not; or (ii) magistrate with at least 10 years’ appropriate experience, whether in active service or not; or 20 25 30 (b) appoint an advocate or attorney with at least 10 years’ appropriate experience, 35 as Chairperson of the Enforcement Committee. (3) The Chairperson of the Enforcement Committee must manage the work of and preside at hearings of the Enforcement Committee. (4) (a) A member referred to in subsection (1)(a) may not participate in any proceedings of the Regulator in terms of which a decision is taken with regard to a recommendation by the Enforcement Committee as referred to in section 93. (b) A person referred to in subsection (1)(b) must be a fit and proper person and must comply with the criteria, referred to in section 41(1)(g), for appointment as a member of the Regulator. Meetings of Regulator 51. (1) Meetings of the Regulator must be held at the times and places determined by the Chairperson of the Regulator. (2) Three members of the Regulator constitute a quorum for a meeting. (3) (a) The Chairperson may regulate the proceedings at meetings as he or she may think fit and must keep minutes of the proceedings. (b) If the Chairperson is absent from a meeting the members present shall elect one of their number to preside at that meeting. 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 63 Wet No. 4 van 2013 63 doelwitte van die Reguleerder te bereik, en is vir daardie oogmerke aan die Reguleerder verantwoordbaar. Komitees van Reguleerder 49. (1) Die Reguleerder kan, indien die Reguleerder dit nodig ag vir die behoorlike uitvoering van die Reguleerder se werksaamhede, een of meerdere komitees instel, wat uit— (a) (b) sodanige lede van die Reguleerder as wat die Reguleerder mag aanwys; of sodanige lede van die Reguleerder as wat die Reguleerder mag aanwys en ander persone wat deur die Reguleerder, soos in artikel 47(7) bedoel, aangestel is vir die tydperk wat die Reguleerder bepaal, 5 10 moet bestaan. (2) Die Reguleerder kan te eniger tyd die tydperk van aanstelling in subartikel (1)(b) bedoel, verleng of, indien daar na die Reguleerder se oordeel goeie redes daarvoor bestaan, enige sodanige aanstelling terugtrek. (3) Die Reguleerder moet die voorsitter en, indien die Reguleerder dit nodig ag, die 15 ondervoorsitter van ’n komitee kragtens subartikel (1) ingestel, aanwys. (4) (a) ’n Komitee in subartikel (1) bedoel moet, onderhewig aan die voorskrifte van die Reguleerder, daardie werksaamhede van die Reguleerder verrig wat die Reguleerder aan die komitee toewys. (b) Enige werksaamheid wat deur ’n komitee in subartikel (1) bedoel, verrig word, 20 word geag deur die Reguleerder verrig te wees. (5) Die Reguleerder kan te eniger tyd ’n komitee deur die Reguleerder ingestel, ontbind. (6) Die bepalings van artikels 40(4) en 51 is, met die nodige veranderinge, op ’n komitee van die Reguleerder van toepassing. Instelling van Afdwingingskomitee 50. (1) Die Reguleerder moet ’n Afdwingingskomitee instel wat uit— (a) (b) ten minste een lid van die Reguleerder; en sodanige ander persone deur die Reguleerder, soos in artikel 47(7) bedoel, aangestel vir die tydperk wat die Reguleerder bepaal, moet bestaan. (2) Die Reguleerder moet— (a) in oorleg met die Hoofregter en Minister, ’n— (i) regter, hetsy in aktiewe diens al dan nie, van die Hooggeregshof van Suid-Afrika; of landdros, hetsy in aktiewe diens al dan nie, met ten minste 10 jaar toepaslike ondervinding; of (ii) 25 30 35 (b) ’n advokaat of prokureur met ten minste 10 jaar toepaslike ondervinding, as Voorsitter van die Afdwingingskomitee aanstel. (3) Die Voorsitter van die Afdwingingskomitee moet die werk van die 40 Afdwingingskomitee bestuur en by die verhore van die Afdwingingskomitee voorsit. (4) (a) ’n Lid in subartikel (1)(a) bedoel mag nie aan enige verrigtinge van die Reguleerder deelneem ingevolge waarvan ’n besluit met betrekking tot ’n aanbeveling deur die Afdwingingskomitee soos in artikel 93 bedoel, geneem word nie. (b) ’n Persoon in subartikel (1)(b) bedoel moet ’n bekwame en gepaste persoon wees en moet aan die kriteria, in artikel 41(1)(g) bedoel, vir aanstelling as lid van die Reguleerder voldoen. Vergaderings van Reguleerder 51. (1) Vergaderings van die Reguleerder moet op die tye en plekke gehou word wat deur die Voorsitter van die Reguleerder bepaal word. (2) Drie lede van die Reguleerder vorm ’n kworum vir ’n vergadering. (3) (a) Die Voorsitter kan die verrigtinge by vergaderings reguleer soos wat hy of sy goedvind en moet notules van die verrigtinge hou. 45 50 (b) Indien die Voorsitter afwesig is van ’n vergadering moet die lede aldaar teenwoordig iemand uit hul geledere verkies om by daardie vergadering voor te sit. 55 64 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 64 (4) (a) Subject to subsection (2), a decision of the Regulator is taken by resolution agreed to by the majority of members at any meeting of the Regulator. (b) In the event of an equality of votes regarding any matter the Chairperson has a casting vote in addition to his or her deliberative vote. Funds 52. (1) Funds of the Regulator consist of— (a) (b) such sums of money that Parliament appropriates annually, for the use of the Regulator as may be necessary for the proper exercise, performance and discharge, by the Regulator, of its powers, duties and functions under this Act and the Promotion of Access to Information Act; and fees as may be prescribed in terms of section 111(1). (2) The financial year of the Regulator is the period from 1 April in any year to 31 March in the following year, except that the first financial year of the Regulator begins on the date that this Chapter comes into operation, and ends on 31 March next following that date. (3) The chief executive officer of the Regulator is for purposes of the Public Finance Management Act, 1999 (Act No. 1 of 1999), the accounting officer and must execute his or her duties in accordance with that Act. (4) Within six months after the end of each financial year, the Regulator must prepare financial statements in accordance with established accounting practice, principles and procedures, comprising— (a) a statement reflecting, with suitable and sufficient particulars, the income and expenditure of the Regulator during the preceding financial year; and (b) a balance sheet showing the state of its assets, liabilities and financial position as at the end of that financial year. (5) The Auditor-General must audit the Regulator’s financial records each year. Protection of Regulator

53. Any person acting on behalf or under the direction of the Regulator, is not civilly or criminally liable for anything done in good faith in the exercise or performance or purported exercise or performance of any power, duty or function of the Regulator in terms of this Act or the Promotion of Access to Information Act. Duty of confidentiality

54. A person acting on behalf or under the direction of the Regulator, must, both during or after his or her term of office or employment, treat as confidential the personal information which comes to his or her knowledge in the course of the performance of his or her official duties, except if the communication of such information is required by law or in the proper performance of his or her duties. Part B Information Officer Duties and responsibilities of Information Officer 5 10 15 20 25 30 35 40 55. (1) An information officer’s responsibilities include— (a) the encouragement of compliance, by the body, with the conditions for the lawful processing of personal information; (b) dealing with requests made to the body pursuant to this Act; (c) working with the Regulator in relation to investigations conducted pursuant to 45 Chapter 6 in relation to the body; GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 65 Wet No. 4 van 2013 65 (4) (a) ’n Besluit van die Reguleerder word, behoudens subartikel (2), geneem by wyse van ’n resolusie wat aanvaar word deur die meerderheid van die lede wat by enige vergadering van die Reguleerder teenwoordig is. (b) In die geval van ’n staking van stemme aangaande enige aangeleentheid het die Voorsitter ’n beslissende stem bykomend tot sy of haar beraadslagende stem. 5 Fondse 52. (1) Fondse van die Reguleerder bestaan uit— (a) sodanige bedrae wat die Parlement jaarliks bewillig vir die gebruik van die Reguleerder soos nodig mag wees vir die behoorlike uitoefening, verrigting en uitvoering, deur die Reguleerder, van die Reguleerder se bevoegdhede, pligte en werksaamhede kragtens hierdie Wet en die Wet op Bevordering van Toegang tot Inligting; en (b) gelde soos ingevolge artikel 111(1) voorgeskryf mag word. (2) Die finansiële jaar van die Reguleerder is die tydperk vanaf 1 April in enige jaar tot 31 Maart in die daaropvolgende jaar, met die uitsondering dat die eerste finansiële jaar van die Reguleerder begin op die datum waarop hierdie Hoofstuk in werking tree, en eindig op 31 Maart wat op daardie datum volg. (3) Die hoof uitvoerende beampte van die Reguleerder is by die toepassing van die Wet op Openbare Finansiële Bestuur, 1999 (Wet No. 1 van 1999), die rekenpligtige beampte van die Reguleerder en hy of sy moet sy of haar pligte in ooreenstemming met daardie Wet uitvoer. (4) Binne ses maande na die einde van elke finansiële jaar, moet die Reguleerder finansiële state in ooreenstemming met gevestigde rekeningkundige praktyk, beginsels en prosedures voorberei wat bestaan uit— (a) (b) ’n verklaring, wat met gepaste en voldoende besonderhede, die inkomste en besteding van die Reguleerder gedurende die voorafgaande finansiële jaar weerspieël; en ’n balansstaat wat die stand van die bates, laste en finansiële posisie soos dit aan die einde van daardie finansiële jaar daar uitsien, uiteensit. 10 15 20 25 (5) Die Ouditeur-generaal moet die Reguleerder se finansiële rekords elke jaar nasien. 30 Beskerming van Reguleerder

27. General authorisation concerning special personal information

28. Authorisation concerning data subject’s religious or philosophical beliefs

29. Authorisation concerning data subject’s race or ethnic origin

30. Authorisation concerning data subject’s trade union membership

31. Authorisation concerning data subject’s political persuasion

32. Authorisation concerning data subject’s health or sex life

33. Authorisation concerning data subject’s criminal behaviour or biometric information Part C Processing of personal information of children 34. Prohibition on processing personal information of children

55. Duties and responsibilities of Information Officer

56. Designation and delegation of deputy information officers CHAPTER 6 PRIOR AUTHORISATION Prior Authorisation 57. 58. 59. Processing subject to prior authorisation Responsible party to notify Regulator if processing is subject authorisation Failure to notify processing subject to prior authorisation to prior CHAPTER 7 CODES OF CONDUCT Procedure for dealing with complaints Issuing of codes of conduct Process for issuing codes of conduct 60. 61.

26. A responsible party may, subject to section 27, not process personal information concerning— (a) (b) the religious or philosophical beliefs, race or ethnic origin, trade union membership, political persuasion, health or sex life or biometric information of a data subject; or the criminal behaviour of a data subject to the extent that such information relates to— (i) (ii) any proceedings in respect of any offence allegedly committed by a data the alleged commission by a data subject of any offence; or 5 10 15 20 25 subject or the disposal of such proceedings. General authorisation concerning special personal information 27. (1) The prohibition on processing personal information, as referred to in section 30 26, does not apply if the— (a) processing is carried out with the consent of a data subject referred to in section 26; (b) processing is necessary for the establishment, exercise or defence of a right or obligation in law; (c) processing is necessary to comply with an obligation of international public law; (i) (d) processing is for historical, statistical or research purposes to the extent that— the purpose serves a public interest and the processing is necessary for the purpose concerned; or it appears to be impossible or would involve a disproportionate effort to ask for consent, (ii) and sufficient guarantees are provided for to ensure that the processing does not adversely affect to a the individual privacy of disproportionate extent; information has deliberately been made public by the data subject; or provisions of sections 28 to 33 are, as the case may be, complied with. (2) The Regulator may, subject to subsection (3), upon application by a responsible party and by notice in the Gazette, authorise a responsible party to process special the data subject (e) (f) 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 39 Wet No. 4 van 2013 39 (d) waar geen ooreenkoms tussen die verantwoordelike party en die datasubjek bereik kan word nie, en indien die datasubjek so versoek, sodanige stappe doen as wat redelik in die omstandighede is, om op so ’n wyse dat dit altyd saam met die inligting gelees word, ’n aanduiding aan die inligting te heg dat regstelling van die inligting versoek is, maar nie aangebring is nie. (3) Indien ’n verantwoordelike party stappe kragtens subartikel (2) gedoen het wat ’n wysiging aan die inligting tot gevolg het en die gewysigde inligting ’n invloed het op die besluite wat aangaande die betrokke datasubjek geneem is of geneem gaan word, moet die verantwoordelike party, indien redelikerwys moontlik, elke persoon of liggaam of verantwoordelike party aan wie die persoonlike inligting bekend gemaak is, van sodanige stappe verwittig. (4) Die verantwoordelike party moet ’n datasubjek, wat ’n versoek ingevolge subartikel (1) gerig het, in kennis stel van die stappe wat as gevolg van die versoek gedoen is. Wyse van toegang

25. Die bepalings van artikels 18 en 53 van die Wet op Bevordering van Toegang tot Inligting is van toepassing op versoeke wat ingevolge artikel 23 van hierdie Wet gerig word. Deel B Prosessering van spesiale persoonlike inligting Verbod op prosessering van spesiale persoonlike inligting 26. ’n Verantwoordelike party mag, behoudens artikel 27, nie persoonlike inligting met betrekking tot— (a) die geloofs- of filosofiese oortuiginge, ras of etniese herkoms, vakbondlid- maatskap, politieke oortuiginge, gesondheid of sekslewe of biometriese inligting van ’n datasubjek; of (b) die kriminele gedrag van ’n datasubjek vir sover sodanige inligting van toepassing is op— (i) die beweerde pleeg van ’n misdryf deur ’n datasubjek; of (ii) enige verrigtinge ten opsigte van ’n misdryf wat na bewering deur ’n datasubjek gepleeg is of die beskikking oor sodanige verrigtinge, prosesseer nie. Algemene magtiging met betrekking tot spesiale persoonlike inligting 27. (1) Die verbod op die prosessering van spesiale persoonlike inligting, soos in artikel 26 bedoel, is nie van toepassing nie indien die— (a) prosessering met die toestemming van die datasubjek in artikel 26 bedoel 5 10 15 20 25 30 35 uitgevoer word; (b) prosessering noodsaaklik is vir die vestiging, uitoefening of beskerming van ’n reg of regsplig; (c) prosessering noodsaaklik is om aan ’n verpligting van die internasionale 40 publiekreg te voldoen; (d) prosessering vir historiese, statistiese of navorsingsoogmerke is vir sover— (i) die oogmerk ’n openbare belang dien en die prosessering noodsaaklik vir die betrokke oogmerk is; of (ii) dit onmoontlik blyk te wees of buitensporige moeite tot gevolg sal hê om 45 vir toestemming te vra, en voldoende waarborge voorsien word om te verseker dat die prosessering nie die individuele privaatheid van die datasubjek tot ’n buitensporige mate nadelig beïnvloed nie; inligting opsetlik deur die datasubjek openbaar gemaak is; of bepalings van artikels 28 tot 33, na gelang van die geval, aan voldoen word. ’n verantwoordelike party en by wyse van kennisgewing in die Staatskoerant, ’n verantwoordelike party magtig om spesiale persoonlike inligting te prosesseer indien (2) Die Reguleerder kan, behoudens (3), op aansoek deur subartikel (e) (f) 50 40 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 40 personal information if such processing is in the public interest and appropriate safeguards have been put in place to protect the personal information of the data subject. (3) The Regulator may impose reasonable conditions in respect of any authorisation granted under subsection (2). Authorisation concerning data subject’s religious or philosophical beliefs 5 (a) 28. (1) The prohibition on processing personal information concerning a data subject’s religious or philosophical beliefs, as referred to in section 26, does not apply if the processing is carried out by— spiritual or organisations if— (i) religious organisations, or independent sections of the information concerns data subjects belonging to those organisations; or it is necessary to achieve their aims and principles; (ii) institutions founded on religious or philosophical principles with respect to their members or employees or other persons belonging to the institution, if it is necessary to achieve their aims and principles; or those (b) (c) other institutions: Provided that the processing is necessary to protect the spiritual welfare of the data subjects, unless they have indicated that they object to the processing. (2) In the cases referred to in subsection (1)(a), the prohibition does not apply to processing of personal information concerning the religion or philosophy of life of family members of the data subjects, if— (a) (b) the association concerned maintains regular contact with those family members in connection with its aims; and the family members have not objected in writing to the processing. (3) In the cases referred to in subsections (1) and (2), personal information concerning a data subject’s religious or philosophical beliefs may not be supplied to third parties without the consent of the data subject. Authorisation concerning data subject’s race or ethnic origin

29. The prohibition on processing personal information concerning a data subject’s race or ethnic origin, as referred to in section 26, does not apply if the processing is carried out to— identify data subjects and only when this is essential for that purpose; and (a) (b) comply with laws and other measures designed to protect or advance persons, or categories of persons, disadvantaged by unfair discrimination. Authorisation concerning data subject’s trade union membership 30. (1) The prohibition on processing personal information concerning a data subject’s trade union membership, as referred to in section 26, does not apply to the processing by the trade union to which the data subject belongs or the trade union federation to which that trade union belongs, if such processing is necessary to achieve the aims of the trade union or trade union federation. (2) In the cases referred to under subsection (1), no personal information may be supplied to third parties without the consent of the data subject. Authorisation concerning data subject’s political persuasion 31. (1) The prohibition on processing personal information concerning a data subject’s political persuasion, as referred to in section 26, does not apply to processing by or for an institution, founded on political principles, of the personal information of— its members or employees or other persons belonging to the institution, if such processing is necessary to achieve the aims or principles of the institution; or (a) (b) a data subject if such processing is necessary for the purposes of— 10 15 20 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 41 Wet No. 4 van 2013 41 sodanige prosessering in die openbare belang is en geskikte voorsorgmaatreëls in plek gestel is om die persoonlike inligting van die datasubjek te beskerm. (3) Die Reguleerder kan redelike voorwaardes oplê ten opsigte van enige magtiging wat kragtens subartikel (2) verleen is. Magtiging met betrekking tot datasubjek se geloofs- of filosofiese oortuiginge 5 28. (1) Die verbod op prosessering van persoonlike inligting met betrekking tot ’n datasubjek se geloofs- of filosofiese oortuiginge, soos in artikel 26 bedoel, is nie van toepassing nie indien die prosessering uitgevoer word deur— (a) geestelike of geloofsverenigings, of onafhanklike afdelings van daardie verenigings indien— (i) die inligting betrekking het op datasubjekte wat aan daardie verenigings 10 behoort; of (b) (c) (ii) dit noodsaaklik is om hul oogmerke en beginsels te bereik; instellings gegrond op geloofs- of filosofiese beginsels ten opsigte van hul lede of werknemers of ander persone wat aan die instelling behoort, indien dit noodsaaklik is vir die bereiking van hul oogmerke en beginsels; of ander instellings: Met dien verstande dat die prosessering noodsaaklik is om die geestelike welstand van die datasubjekte te beskerm, tensy hulle aangedui het dat hulle beswaar teen die prosessering aanteken. (2) Die verbod, in die gevalle in subartikel (1)(a) bedoel, geld nie vir die prosessering van persoonlike inligting met betrekking tot die geloof of lewensfilosofie van familielede van die datasubjekte nie, indien— (a) die betrokke vereniging gereeld, in verband met die oogmerke van die vereniging, met daardie familielede in verbinding bly; en (b) die familielede nie skriftelik beswaar teen die prosessering aangeteken het nie. (3) In die gevalle in subartikels (1) en (2) bedoel, mag persoonlike inligting met betrekking tot ’n datasubjek se geloofs- of filosofiese oortuiginge nie sonder die toestemming van die datasubjek, aan derde partye verskaf word nie. Magtiging aangaande datasubjek se ras of etniese herkoms

29. Die verbod op prosessering van persoonlike inligting met betrekking tot ’n datasubjek se ras of etniese herkoms, soos in artikel 26 bedoel, is nie van toepassing nie indien die prosessering uitgevoer word ten einde— (a) datasubjekte te identifiseer en slegs wanneer dit noodsaaklik vir daardie oogmerk is; en (b) aan wetsbepalings en ander maatreëls te voldoen wat gerig is op die beskerming en vooruitgang van persone, of kategorieë van persone, wat deur onregverdige diskriminasie benadeel is. Magtiging aangaande datasubjek se vakbondlidmaatskap 30. (1) Die verbod op prosessering van persoonlike inligting met betrekking tot ’n datasubjek se vakbondlidmaatskap, soos in artikel 26 bedoel, is nie van toepassing op die prosessering deur die vakbond waaraan die datasubjek behoort of die vakbond- federasie waaraan die vakbond behoort nie, indien sodanige prosessering noodsaaklik is vir die bereiking van die oogmerke van die vakbond of die vakbondfederasie. (2) In die gevalle in subartikel (1) bedoel, mag geen persoonlike inligting sonder die toestemming van die datasubjek, aan derde partye verskaf word nie. Magtiging aangaande datasubjek se politieke oortuiging 31. (1) Die verbod op prosessering van persoonlike inligting met betrekking tot ’n datasubjek se politieke oortuiging, soos in artikel 26 bedoel, is nie van toepassing nie op prosessering deur of namens ’n instelling, wat op politieke beginsels gestig is, van die persoonlike inligting van— (a) die lede of werknemers of ander persone wat aan die instelling behoort, indien sodanige prosessering noodsaaklik is om die oogmerke of beginsels van die instelling te bereik; of ’n datasubjek indien sodanige prosessering noodsaaklik is vir die oogmerke van— (b) 15 20 25 30 35 40 45 50 55 42 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 42 forming a political party; (i) (ii) participating in the activities of, or engaging in the recruitment of members for or canvassing supporters or voters for, a political party with the view to— (aa) an election of the National Assembly or the provincial legislature as regulated in terms of the Electoral Act, 1998 (Act No. 73 of 1998); (bb) municipal elections as regulated in terms of the Local Government: Municipal Electoral Act, 2000 (Act No. 27 of 2000); or (cc) a referendum as regulated in terms of the Referendums Act, 1983 (Act No. 108 of 1983); or (iii) campaigning for a political party or cause. (2) In the cases referred to under subsection (1), no personal information may be supplied to third parties without the consent of the data subject. Authorisation concerning data subject’s health or sex life 32. (1) The prohibition on processing personal information concerning a data subject’s health or sex life, as referred to in section 26, does not apply to the processing by— (b) (a) medical professionals, healthcare institutions or facilities or social services, if such processing is necessary for the proper treatment and care of the data subject, or for the administration of the institution or professional practice concerned; insurance companies, medical schemes, medical scheme administrators and managed healthcare organisations, if such processing is necessary for— (i) assessing the risk to be insured by the insurance company or covered by the medical scheme and the data subject has not objected to the processing; the performance of an insurance or medical scheme agreement; or the enforcement of any contractual rights and obligations; (ii) (iii) schools, if such processing is necessary to provide special support for pupils or making special arrangements in connection with their health or sex life; (c) (d) any public or private body managing the care of a child if such processing is (e) (f) necessary for the performance of their lawful duties; any public body, if such processing is necessary in connection with the implementation of prison sentences or detention measures; or administrative bodies, pension funds, employers or institutions working for them, if such processing is necessary for— (i) the implementation of the provisions of laws, pension regulations or collective agreements which create rights dependent on the health or sex life of the data subject; or the reintegration of or support for workers or persons entitled to benefit in connection with sickness or work incapacity. (ii) (2) In the cases referred to under subsection (1), the information may only be processed by responsible parties subject to an obligation of confidentiality by virtue of office, employment, profession or legal provision, or established by a written agreement between the responsible party and the data subject. (3) A responsible party that is permitted to process information concerning a data subject’s health or sex life in terms of this section and is not subject to an obligation of the confidentiality by virtue of office, profession or legal provision, must information as confidential, unless the responsible party is required by law or in connection with their duties to communicate the information to other parties who are authorised to process such information in accordance with subsection (1). treat (4) The prohibition on processing any of the categories of personal information referred to in section 26, does not apply if it is necessary to supplement the processing 5 10 15 20 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 43 Wet No. 4 van 2013 43 (i) die vorming van ’n politieke party; (ii) deelname in die aktiwiteite van, of onderneming van die werwing van lede, ondersteuners of kiesers vir ’n politieke party, met die oog op— (aa) ’n verkiesing van die Nasionale Vergadering of die provinsiale wetgewer soos ingevolge die Kieswet, 1998 (Wet No. 73 van 1998), gereguleer; (bb) munisipale verkiesings soos ingevolge die ‘‘Local Government: Municipal Electoral Act’’, 2000 (Wet No. 27 van 2000), gereguleer; of 5 (cc) ’n referendum soos ingevolge die Wet op Referendums, 1983 (Wet 10 No. 108 van 1983), gereguleer; of (iii) die voer van ’n veldtog vir ’n politieke party of saak. (2) In die gevalle in subartikel (1) bedoel, mag geen persoonlike inligting sonder die toestemming van die datasubjek, aan derde partye verskaf word nie. Magtiging aangaande datasubjek se gesondheid of sekslewe 32. (1) Die verbod op prosessering van persoonlike inligting met betrekking tot ’n datasubjek se gesondheid of sekslewe, soos in artikel 26 bedoel, is nie van toepassing nie op die prosessering deur— (a) professionele medici, gesondheidsorg-instellings of -fasiliteite of maatskap- like dienste, indien sodanige prosessering noodsaaklik is vir die behoorlike behandeling en versorging van die datasubjek, of vir die administrasie van die betrokke instelling of professionele praktyk; (b) versekeringsmaatskappye, mediese skemas, mediese skema administrateurs indien sodanige prosessering en bestuurde gesondheidsorg-organisasies, noodsaaklik is vir— (i) vasstelling van die risiko wat deur die versekeringsmaatskappy verseker staan te word of deur die mediese skema gedek staan te word en die datasubjek nie beswaar ten opsigte van die prosessering aangeteken het nie; (c) (ii) die uitvoering van ’n versekerings- of mediese skema ooreenkoms; of (iii) die afdwinging van enige kontraktuele regte en verpligtinge; skole, indien sodanige prosessering noodsaaklik is om spesiale ondersteuning aan leerlinge te verleen of om spesiale reëlings in verband met hul gesondheid of sekslewe te tref; (e) (d) enige openbare of privaatliggaam wat die versorging van ’n kind bestuur indien sodanige prosessering noodsaaklik vir die uitvoering van hul regmatige pligte is; enige openbare liggaam, indien sodanige prosessering noodsaaklik in verband met die toepassing van gevangenisstraf of aanhoudingsmaatreëls is; of administratiewe liggame, pensioenfondse, werkgewers of instellings wat vir hulle werk, indien sodanige prosessering noodsaaklik is vir— (i) die toepassing van die bepalings van wette, pensioenregulasies of kollektiewe ooreenkomste wat regte skep wat van die gesondheid of sekslewe van die datasubjek afhanklik is; of (f) 15 20 25 30 35 40 (ii) die herintegrasie van of ondersteuning vir werkers of persone wat op voordele in verband met siekte of werksonbevoegdheid geregtig is. 45 (2) Die inligting, in die gevalle in subartikel (1) bedoel, mag slegs deur verantwoordelike partye geprosesseer word onderhewig aan ’n verpligting van vertroulikheid uit hoofde van ’n amp, betrekking, professie of regsvoorskrif, of wat gevestig is deur ’n skriftelike ooreenkoms tussen die verantwoordelike party en die datasubjek. (3) ’n Verantwoordelike party wat toegelaat word om inligting aangaande ’n datasubjek se gesondheid of sekslewe ingevolge hierdie artikel te prosesseer en wat nie uit hoofde van ’n amp, professie of regsvoorskrif aan ’n vertroulikheidsplig onderhewig is nie, moet die inligting as vertroulik hanteer, tensy daar van die verantwoordelike party, by wyse van ’n regsplig of in verband met die verantwoordelike party se pligte, vereis word om die inligting aan ander partye oor te dra wat gemagtig is om sodanige inligting kragtens subartikel (1) te prosesseer. (4) Die verbod op die prosessering van enige van die kategorieë van persoonlike inligting in artikel 26 bedoel, is nie van toepassing nie indien dit noodsaaklik is dat die prosessering van persoonlike inligting met betrekking tot ’n datasubjek se gesondheid, 50 55 60 44 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 44 of personal information concerning a data subject’s health, as referred to under subsection (1)(a), with a view to the proper treatment or care of the data subject. (5) Personal information concerning inherited characteristics may not be processed in respect of a data subject from whom the information concerned has been obtained, unless— 5 (a) a serious medical interest prevails; or (b) the processing is necessary for historical, statistical or research activity. (6) More detailed rules may be prescribed concerning the application of subsection (1)(b) and (f). Authorisation concerning data subject’s criminal behaviour or biometric informa- tion 10 33. (1) The prohibition on processing personal information concerning a data subject’s criminal behaviour or biometric information, as referred to in section 26, does not apply if the processing is carried out by bodies charged by law with applying criminal law or by responsible parties who have obtained that information in accordance with the law. (2) The processing of information concerning personnel in the service of the responsible party must take place in accordance with the rules established in compliance with labour legislation. (3) The prohibition on processing any of the categories of personal information referred to in section 26 does not apply if such processing is necessary to supplement the processing of information on criminal behaviour or biometric information permitted by this section. Part C Processing of personal information of children 15 20 25 Prohibition on processing personal information of children

35. General authorisation concerning personal information of children CHAPTER 4 EXEMPTION FROM CONDITIONS FOR PROCESSING OF PERSONAL INFORMATION

34. A responsible party may, subject to section 35, not process personal information concerning a child. General authorisation concerning personal information of children 35. (1) The prohibition on processing personal information of children, as referred to 30 in section 34, does not apply if the processing is— (a) carried out with the prior consent of a competent person; (b) necessary for the establishment, exercise or defence of a right or obligation in law; (c) necessary to comply with an obligation of international public law; (d) for historical, statistical or research purposes to the extent that— (i) the purpose serves a public interest and the processing is necessary for the purpose concerned; or it appears to be impossible or would involve a disproportionate effort to ask for consent, (ii) and sufficient guarantees are provided for to ensure that the processing does not adversely affect the individual privacy of the child to a disproportionate extent; or (e) of personal information which has deliberately been made public by the child with the consent of a competent person. (2) The Regulator may, notwithstanding the prohibition referred to in section 34, but subject to subsection (3), upon application by a responsible party and by notice in the Gazette, authorise a responsible party to process the personal information of children if the processing is in the public interest and appropriate safeguards have been put in place to protect the personal information of the child. (3) The Regulator may impose reasonable conditions in respect of any authorisation granted under subsection (2), including conditions with regard to how a responsible party must— 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 45 Wet No. 4 van 2013 45 soos kragtens subartikel (1)(a) bedoel, aangevul moet word met die oog op die behoorlike behandeling of versorging van die datasubjek. (5) Persoonlike inligting aangaande oorgeërfde eienskappe mag nie ten opsigte van ’n datasubjek, van wie die betrokke inligting verkry is, geprosesseer word nie tensy— ’n ernstige mediese belang geld; of (a) (b) die prosessering noodsaaklik is vir historiese, statistiese of navorsings- 5 aktiwiteite. (6) Meer uitvoerige reëls oor die toepassing van subartikel (1)(b) en (f) kan voorgeskryf word. Magtiging aangaande datasubjek se kriminele gedrag of biometriese inligting 10 33. (1) Die verbod op prosessering van persoonlike inligting aangaande ’n datasubjek se kriminele gedrag of biometriese inligting, soos in artikel 26 bedoel, is nie van toepassing nie indien die prosessering deur liggame wat regtens belas is met die toepassing van die strafreg of deur verantwoordelike partye wat daardie inligting regtens verkry het, uitgevoer word. in diens van die in (2) Die prosessering van inligting aangaande personeel verantwoordelike party moet plaasvind ooreenkomstig die reëls daargestel voldoening aan arbeidswetgewing. (3) Die verbod op prosessering van enige kategorieë van persoonlike inligting in artikel 26 bedoel is nie van toepassing nie indien sodanige prosessering noodsaaklik is om die prosessering van inligting ten opsigte van kriminele gedrag of biometriese inligting wat deur hierdie artikel toegelaat word, aan te vul. Deel C Prosessering van persoonlike inligting van kinders Verbod op prosessering van persoonlike inligting van kinders 34. ’n Verantwoordelike party mag, behoudens artikel 35, nie persoonlike inligting aangaande ’n kind prosesseer nie. Algemene magtiging aangaande persoonlike inligting van kinders 35. (1) Die verbod op prosessering van persoonlike inligting van kinders, soos in artikel 34 bedoel, is nie van toepassing nie indien die prosessering— (a) met die vooraf toestemming van ’n bevoegde persoon uitgevoer word; (b) noodsaaklik is vir die vestiging, uitoefening of beskerming van ’n reg of ’n regsplig; (c) noodsaaklik is vir voldoening aan ’n verpligting van internasionale publiekreg; (d) vir historiese, statistiese of navorsingsoogmerke is vir sover— (i) die oogmerk ’n openbare belang dien en die prosessering noodsaaklik vir die betrokke oogmerk is; of (ii) dit onmoontlik blyk te wees of buitensporige moeite tot gevolg sal hê om toestemming te vra, en voldoende waarborge voorsien word om te verseker dat die prosessering nie die individuele privaatheid van die kind tot ’n buitensporige mate nadelig beïnvloed nie; of (e) persoonlike inligting behels wat opsetlik, met die toestemming van ’n bevoegde persoon, deur die kind openbaar gemaak is. (2) Die Reguleerder kan, ondanks die verbod in artikel 34 bedoel, maar onderhewig aan subartikel (3), op aansoek deur ’n verantwoordelike party en by wyse van kennisgewing in die Staatskoerant, ’n verantwoordelike party magtig om persoonlike inligting van kinders te prosesseer indien sodanige prosessering in die openbare belang is en geskikte voorsorgmaatreëls in plek gestel is om die persoonlike inligting van die kind te beskerm. (3) Die Reguleerder kan redelike voorwaardes ten opsigte van enige magtiging kragtens subartikel (2) verleen, oplê, met inbegrip van voorwaardes oor hoe die verantwoordelike party— 15 20 25 30 35 40 45 50 46 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 46 (a) upon request of a competent person provide a reasonable means for that person to— (i) (ii) review the personal information processed; and refuse to permit its further processing; (b) provide notice— (i) regarding the nature of the personal information of children that is processed; regarding any further processing practices; (ii) how such information is processed; and (iii) refrain from any action that is intended to encourage or persuade a child to disclose more personal information about him- or herself than is reasonably necessary given the purpose for which it is intended; and (c) (d) establish and maintain reasonable procedures to protect the integrity and confidentiality of the personal information collected from children. CHAPTER 4 EXEMPTION FROM CONDITIONS FOR PROCESSING OF PERSONAL INFORMATION General

36. General 37. 38. Regulator may exempt processing of personal information Exemption in respect of certain functions CHAPTER 5 SUPERVISION Part A Information Regulator 39. 40. Establishment of Information Regulator Powers, duties and functions of Regulator 5 10 15 20 25 30 35 40 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 7 Wet No. 4 van 2013 7 Voorwaarde 6 Openheid

36. Processing of personal information is not in breach of a condition for the processing of such information if the— (a) Regulator grants an exemption in terms of section 37; or (b) processing is in accordance with section 38. Regulator may exempt processing of personal information 37. (1) The Regulator may, by notice in the Gazette, grant an exemption to a responsible party to process personal information, even if that processing is in breach of a condition for the processing of such information, or any measure that gives effect to such condition, if the Regulator is satisfied that, in the circumstances of the case— (a) (b) the public interest in the processing outweighs, to a substantial degree, any interference with the privacy of the data subject that could result from such processing; or the processing involves a clear benefit to the data subject or a third party that outweighs, to a substantial degree, any interference with the privacy of the data subject or third party that could result from such processing. (2) The public interest referred to in subsection (1) includes— (a) (b) (c) (d) the interests of national security; the prevention, detection and prosecution of offences; important economic and financial interests of a public body; fostering compliance with legal provisions established in the interests referred to under paragraphs (b) and (c); (e) historical, statistical or research activity; or (f) the special importance of the interest in freedom of expression. (3) The Regulator may impose reasonable conditions in respect of any exemption granted under subsection (1). Exemption in respect of certain functions 38. (1) Personal information processed for the purpose of discharging a relevant function is exempt from sections 11(3) and (4), 12, 15 and 18 in any case to the extent to which the application of those provisions to the personal information would be likely to prejudice the proper discharge of that function. (2) ‘‘Relevant function’’ for purposes of subsection (1), means any function— (a) of a public body; or 5 10 15 20 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 47 Wet No. 4 van 2013 47 (a) op versoek van ’n bevoegde persoon, redelike middele aan daardie persoon moet verskaf om— (i) die persoonlike inligting wat geprosesseer word na te gaan; en (ii) te weier dat verdere prosessering toegelaat word; (b) kennis moet gee— (i) aangaande die aard van die persoonlike inligting van kinders wat geprosesseer word; (c) (d) (ii) hoe sodanige inligting geprosesseer word; en (iii) aangaande enige verdere prosesseringsaktiwiteite; enige stappe moet vermy wat daarop gemik is om ’n kind aan te moedig of te oorreed om meer persoonlike inligting aangaande hom- of haarself bekend te maak as wat redelikerwys noodsaaklik is met inagneming van die oogmerk waarvoor dit bedoel is; en redelike prosedures moet vestig en handhaaf om die integriteit en vertroulikheid van die persoonlike inligting wat vanaf kinders ingesamel word, te beskerm. HOOFSTUK 4 VRYSTELLING VAN VOORWAARDES VIR PROSESSERING VAN PERSOONLIKE INLIGTING Algemeen

36. Prosessering van persoonlike inligting is nie ’n verbreking van ’n voorwaarde vir die prosessering van sodanige inligting nie, indien die— (a) Reguleerder ’n vrystelling ingevolge artikel 37 verleen; of (b) prosessering in ooreenstemming met artikel 38 is. Reguleerder kan prosessering van persoonlike inligting vrystel 37. (1) Die Reguleerder kan, by wyse van kennisgewing in die Staatskoerant, ’n vrystelling aan ’n verantwoordelike party verleen om persoonlike inligting te prosesseer, selfs al is die prosessering ’n verbreking van ’n voorwaarde vir die prosessering van sodanige inligting, of enige maatreël wat aan sodanige voorwaarde uitvoering gee, indien die Reguleerder, in die omstandighede van die geval, oortuig is dat— (a) die openbare belang in die prosessering wesenlik swaarder weeg as enige inmenging met die privaatheid van ’n datasubjek wat uit sodanige prosessering kan voortvloei; of (b) die prosessering ’n duidelike voordeel vir die datasubjek of ’n derde party inhou wat wesenlik swaarder weeg as enige inmenging met die privaatheid van die datasubjek of ’n derde party wat uit die prosessering kan voortvloei. (2) Die openbare belang in subartikel (1) bedoel, behels ook— (a) die belange van nasionale veiligheid; (b) die voorkoming, opsporing en vervolging van misdrywe; (c) belangrike ekonomiese en finansiële belange van ’n openbare liggaam; (d) bevordering van voldoening aan die regsbepalings wat gevestig is in die belange bedoel kragtens paragrawe (b) en (c); (e) historiese, statistiese of navorsingsaktiwiteit; of (f) die spesiale belangrikheid van die belang in vryheid van uitdrukking. (3) Die Reguleerder mag redelike voorwaardes ten opsigte van enige vrystelling wat kragtens subartikel (1) verleen is, oplê. Vrystelling ten opsigte van sekere werksaamhede 38. (1) Persoonlike inligting wat vir die oogmerk van die uitvoering van ’n tersaaklike werksaamheid geprosesseer word, is vrygestel van artikels 11(3) en (4), 12, 15 en 18 in enige geval vir sover die toepassing van daardie bepalings op persoonlike inligting, die behoorlike uitvoering van daardie werksaamheid waarskynlik sal benadeel. (2) ‘‘Tersaaklike werksaamheid’’, by die toepassing van subartikel (1), beteken enige werksaamheid— (a) van ’n openbare liggaam; of 5 10 15 20 25 30 35 40 45 50 55 48 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 48 (b) conferred on any person in terms of the law, which is performed with the view to protecting members of the public against— (i) financial loss due to dishonesty, malpractice or other seriously improper conduct by, or the unfitness or incompetence of, persons concerned in the provision of banking, insurance, investment or other financial services or in the management of bodies corporate; or (ii) dishonesty, malpractice or other seriously improper conduct by, or the unfitness or incompetence of, persons authorised to carry on any profession or other activity. CHAPTER 5 SUPERVISION Part A Information Regulator 5 10 Establishment of Information Regulator

62. Notification, availability and commencement of code of conduct 63.

64. Amendment and revocation of codes of conduct

65. Guidelines about codes of conduct 66. 67. 68. Register of approved codes of conduct Review of operation of approved code of conduct Effect of failure to comply with code of conduct CHAPTER 8 RIGHTS OF DATA SUBJECTS REGARDING DIRECT MARKETING BY MEANS OF UNSOLICITED ELECTRONIC COMMUNICATIONS, DIRECTORIES AND AUTOMATED DECISION MAKING

59. Indien artikel 58(1) of (2) oortree word, is die verantwoordelike party skuldig aan ’n misdryf en strafbaar met ’n straf soos in artikel 107 uiteengesit. HOOFSTUK 7 GEDRAGSKODES Uitreiking van gedragskodes 60. (1) Die Reguleerder kan van tyd tot tyd gedragskodes uitreik. (2) ’n Gedragskode moet— (a) al die voorwaardes vir die regmatige prosessering van persoonlike inligting insluit of verpligtinge uiteensit wat ’n werkbare ekwivalent daarstel van al die verpligtinge wat in daardie voorwaardes uiteengesit is; en (b) voorskryf hoe die voorwaardes vir die regmatige prosessering van persoonlike inligting toegepas of aan voldoen moet word, gegewe die bepaalde kenmerke van die sektor of sektore van die samelewing waarbinne die betrokke verantwoordelike partye optree. 25 30 (3) ’n Gedragskode kan met betrekking tot een of meer van die volgende van 35 toepassing wees: (a) Enige bepaalde inligting of klas van inligting; (b) enige bepaalde liggaam of klas van liggame; (c) (d) enige bepaalde bedryf, professie, of betrekking of klas van bedrywe, enige bepaalde aktiwiteit of klas van aktiwiteite; of professies of betrekkings. (4) ’n Gedragskode moet ook— (a) behoorlike maatreëls bepaal— (i) vir inligtingspasprogramme indien sodanige programme binne ’n bepaalde sektor gebruik word; of (ii) vir die beskerming van die regmatige belange van datasubjekte vir sover geoutomatiseerde besluitneming, soos in artikel 71 bedoel, ter sake is; (b) vir die hersiening van die kode deur die Reguleerder voorsiening maak; en (c) vir die verstryking van die kode voorsiening maak. Proses vir uitreiking van gedragskodes 61. (1) Die Reguleerder kan ’n gedragskode kragtens artikel 60 uitreik— (a) op die Reguleerder se eie inisiatief, maar na oorlegpleging met belanghebbendes wat daardeur geraak word of ’n liggaam wat sodanige belanghebbendes verteenwoordig; of 40 45 50 70 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 70 (b) on the application, in the prescribed form, by a body which is, in the opinion of the Regulator, sufficiently representative of any class of bodies, or of any industry, profession, or vocation as defined in the code in respect of such class of bodies or of any such industry, profession or vocation. (2) The Regulator must give notice in the Gazette that the issuing of a code of conduct 5 is being considered, which notice must contain a statement that— (a) (b) the details of the code of conduct being considered, including a draft of the proposed code, may be obtained from the Regulator; and submissions on the proposed code may be made in writing to the Regulator within such period as is specified in the notice. 10 (3) The Regulator may not issue a code of conduct unless it has considered the submissions made to the Regulator in terms of subsection (2)(b), if any, and is satisfied that all persons affected by the proposed code have had a reasonable opportunity to be heard. (4) The decision as to whether an application for the issuing of a code has been successful must be made within a reasonable period which must not exceed 13 weeks. 15 Notification, availability and commencement of code of conduct 62. (1) If a code of conduct is issued under section 60 the Regulator must ensure that— (a) there is published in the Gazette, as soon as reasonably practicable after the code is issued, a notice indicating— (i) (ii) where copies of the code are available for inspection free of charge and that the code has been issued; and for purchase; and (b) as long as the code remains in force, copies of it are available— (i) on the Regulator’s website; (ii) for inspection by members of the public free of charge at the Regulator’s offices; and for purchase or copying by members of the public at a reasonable price at the Regulator’s offices. (iii) (2) A code of conduct issued under section 60 comes into force on the 28th day after the date of its notification in the Gazette or on such later date as may be specified in the code and is binding on every class or classes of body, industry, profession or vocation referred to therein. Procedure for dealing with complaints 63. (1) A code of conduct may prescribe procedures for making and dealing with complaints alleging a breach of the code, but no such provision may limit or restrict any provision of Chapter 10. (2) If the code sets out procedures for making and dealing with complaints, the Regulator must be satisfied that— (a) (b) (c) (d) (e) the procedures meet the— (i) prescribed standards; and (ii) guidelines issued by the Regulator in terms of section 65, relating to the making of and dealing with complaints; the code provides for the appointment of an independent adjudicator to whom complaints may be made; the code provides that, in exercising his or her powers and performing his or her functions, under the code, an adjudicator for the code must have due regard to the matters listed in section 44; the code requires the adjudicator to prepare and submit a report, in a form satisfactory to the Regulator, to the Regulator within five months of the end of a financial year of the Regulator on the operation of the code during that financial year; and the code requires the report prepared for each year to specify the number and nature of complaints made to an adjudicator under the code during the relevant financial year. 20 25 30 35 40 45 50 55 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 71 Wet No. 4 van 2013 71 (b) op die aansoek, in die voorgeskrewe vorm, deur ’n liggaam wat, na oordeel van die Reguleerder, voldoende verteenwoordigend is van enige klas van liggame, of van enige bedryf, professie, of betrekking soos in die kode ten opsigte van sodanige klas van liggame of van enige sodanige bedryf, professie of betrekking, omskryf. (2) Die Reguleerder moet in die Staatskoerant kennis gee dat die uitreiking van ’n gedragskode oorweeg word, welke kennisgewing ’n verklaring moet bevat dat— (b) (a) die besonderhede van die gedragskode wat oorweeg word, met inbegrip van ’n konsep van die voorgestelde kode, by die Reguleerder verkry kan word; en skriftelike voorleggings met betrekking tot die voorgestelde kode, binne sodanige tydperk in die kennisgewing vermeld, aan die Reguleerder gerig kan word. (3) Die Reguleerder kan nie ’n gedragskode uitreik nie tensy die Reguleerder die voorleggings, indien enige, oorweeg het wat aan die Reguleerder ingevolge subartikel (2)(b) voorgelê is en die Reguleerder oortuig is dat alle persone wat deur die voorgestelde kode geraak word ’n redelike geleentheid gehad het om aangehoor te word. (4) Die besluit of ’n aansoek om die uitreiking van ’n kode suksesvol is moet binne ’n redelike tydperk, welke tydperk nie 13 weke mag oorskry nie, geneem word. 5 10 15 Kennisgewing, beskikbaarheid en inwerkingtreding van gedragskode 62. (1) Indien ’n gedragskode kragtens artikel 60 uitgereik word moet die Reguleerder 20 verseker dat— (a) so gou as redelikerwys moontlik nadat die kode uitgereik is, ’n kennisgewing in die Staatskoerant gepubliseer word wat aandui— (i) dat die kode uitgereik is; en (ii) waar afskrifte van die kode gratis vir inspeksie en vir die aankoop daarvan beskikbaar is; en (b) vir solank as wat die kode van krag is, dat afskrifte daarvan beskikbaar is— (i) op die Reguleerder se webtuiste; (ii) vir gratis inspeksie deur lede van die publiek by die Reguleerder se kantore; en (iii) vir die aankoop of die maak van afskrifte daarvan teen ’n redelike prys deur lede van die publiek by die Reguleerder se kantore. (2) ’n Gedragskode kragtens artikel 60 uitgereik tree in werking op die 28ste dag na die datum van kennisgewing daarvan in die Staatskoerant of op sodanige latere datum soos in die kode vermeld mag word en is bindend op elke klas of klasse van liggaam, bedryf, professie of betrekking wat daarin vermeld word. Prosedure vir hantering van klagtes 63. (1) ’n Gedragskode kan prosedures voorskryf vir die indiening en hantering van klagtes ingevolge waarvan ’n verbreking van ’n kode beweer word, maar geen sodanige bepaling mag enige bepaling van Hoofstuk 10 beperk of inperk nie. (2) Indien die kode prosedures vir die indiening en hantering van klagtes uiteensit, moet die Reguleerder oortuig wees dat— (a) die prosedures aan die— (i) voorgeskrewe standaarde; en riglyne deur die Reguleerder ingevolge artikel 65 uitgereik, (ii) met betrekking tot die indiening en hantering van klagtes, voldoen; (b) die kode voorsiening maak vir die aanstelling van ’n onafhanklike skeidsregter by wie klagtes ingedien kan word; (c) die kode voorsiening maak dat, in die uitoefening van sy of haar bevoegdhede en die uitvoering van sy of haar werksaamhede kragtens die kode, ’n skeidsregter vir die kode die aangeleenthede in artikel 44 vermeld, na behore in ag moet neem; (d) die kode vereis dat die skeidsregter ’n verslag, in ’n vorm wat vir die Reguleerder aanvaarbaar is, voorberei en binne vyf maande na die einde van ’n finansiële jaar van die Reguleerder met betrekking tot die werking van die kode gedurende daardie finansiële jaar aan die Reguleerder voorlê; en (e) die kode vereis dat die verslag wat vir elke jaar voorberei word die getal en aard van die klagtes vermeld wat gedurende die betrokke finansiële jaar kragtens die kode by die skeidsregter ingedien is. 25 30 35 40 45 50 55 72 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 72 (3) A responsible party or data subject who is aggrieved by a determination, including any declaration, order or direction that is included in the determination, made by an adjudicator after having investigated a complaint relating to the protection of personal information under an approved code of conduct, may submit a complaint in terms of section 74(2) with the Regulator against the determination upon payment of a prescribed fee. (4) The adjudicator’s determination continues to have effect unless and until the Regulator makes a determination under Chapter 10 relating to the complaint or unless the Regulator determines otherwise. Amendment and revocation of codes of conduct 64. (1) The Regulator may amend or revoke a code of conduct issued under section 60. (2) The provisions of sections 60 to 63 apply in respect of any amendment or revocation of a code of conduct. Guidelines about codes of conduct 65. (1) The Regulator may provide written guidelines— (a) (c) (b) to assist bodies to develop codes of conduct or to apply approved codes of conduct; relating to making and dealing with complaints under approved codes of conduct; and about matters the Regulator may consider in deciding whether to approve a code of conduct or a variation or revocation of an approved code of conduct. (2) The Regulator must have regard to the guidelines as set out in section 7(3)(a) to (d) when considering the approval of a code of conduct for the processing of personal information for exclusively journalistic purposes where the responsible party is not subject to a code of ethics as referred to in section 7(1). (3) Before providing guidelines for the purposes of subsection (1)(b), the Regulator must give everyone the Regulator considers has a real and substantial legitimate interest in the matters covered by the proposed guidelines an opportunity to comment on them. (4) The Regulator must publish guidelines provided under subsection (1) in the Gazette. Register of approved codes of conduct 5 10 15 20 25 30 66. (1) The Regulator must keep a register of approved codes of conduct. (2) The Regulator may decide the form of the register and how it is to be kept. (3) The Regulator must make the register available to the public in the way that the 35 Regulator determines. (4) The Regulator may charge reasonable fees for— (a) making the register available to the public; or (b) providing copies of, or extracts from, the register. Review of operation of approved code of conduct 67. (1) The Regulator may, on its own initiative, review the operation of an approved code of conduct. (2) The Regulator may do one or more of the following for the purposes of the review: (a) Consider the process under the code for making and dealing with complaints; (b) (c) (d) (e) inspect the records of an adjudicator for the code; consider the outcome of complaints dealt with under the code; interview an adjudicator for the code; and appoint experts to review those provisions of the code that the Regulator believes require expert evaluation. 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 73 Wet No. 4 van 2013 73 (3) ’n Verantwoordelike party of datasubjek wat veronreg voel deur ’n vasstelling, met inbegrip van ’n verklaring, bevel of aanwysing wat in die vasstelling ingesluit is, wat deur ’n skeidsregter gemaak is nadat ’n klagte met betrekking tot die beskerming van persoonlike inligting kragtens ’n goedgekeurde gedragskode ondersoek is, kan, by die betaling van voorgeskrewe gelde, ingevolge artikel 74(2) ’n klagte teen die vasstelling by die Reguleerder indien. (4) ’n Skeidsregter se vasstelling bly van krag tensy en totdat die Reguleerder ’n vasstelling kragtens Hoofstuk 10 met betrekking tot die klagte maak of tensy die Reguleerder andersins vasstel. Wysiging en herroeping van gedragskodes 64. (1) Die Reguleerder kan ’n gedragskode kragtens artikel 60 uitgereik, wysig of herroep. (2) Die bepalings van artikels 60 tot 63 is van toepassing ten opsigte van enige wysiging of herroeping van ’n gedragskode. Riglyne oor gedragskodes 65. (1) Die Reguleerder kan skriftelike riglyne voorsien— (a) om liggame behulpsaam te wees in die ontwikkeling van gedragskodes of om goedgekeurde gedragskodes toe te pas; (b) met betrekking tot die indiening en hantering van klagtes kragtens goedgekeurde gedragskodes; en (c) met betrekking tot aangeleenthede wat die Reguleerder in ag mag neem in die Reguleerder se besluit hetsy om ’n gedragskode goed te keur of ’n goedgekeurde gedragskode te wysig of te herroep, al dan nie. inligting vir uitsluitlike (2) Die Reguleerder moet die riglyne soos in artikel 7(3)(a) tot (d) uiteengesit, in ag neem wanneer die goedkeuring van ’n gedragskode oorweeg word vir die prosessering van persoonlike joernalistieke oogmerke waar die verantwoordelike party nie aan ’n etiese kode in artikel 7(1) bedoel, onderhewig is nie. (3) Alvorens riglyne vir die doeleindes van subartikel (1)(b) voorsien word, moet die Reguleerder almal wat na oordeel van die Reguleerder ’n daadwerklike en wesenlike regmatige belang in die aangeleenthede wat deur die voorgestelde riglyne gedek word, het, ’n geleentheid gun om daarop kommentaar te lewer. (4) Die Reguleerder moet riglyne wat kragtens subartikel (1) voorsien word in die Staatskoerant publiseer. Register van goedgekeurde gedragskodes 5 10 15 20 25 30 66. (1) Die Reguleerder moet ’n register van goedgekeurde gedragskodes byhou. (2) Die Reguleerder kan besluit oor die vorm van en wyse waarop die register 35 bygehou moet word. (3) Die Reguleerder moet die register, op die wyse wat die Reguleerder bepaal, aan die publiek beskikbaar stel. (4) Die Reguleerder kan redelike gelde hef vir— (a) die beskikbaarstelling van die register aan die publiek; of (b) die voorsiening van afskrifte van, of uittreksels uit, die register. Hersiening van werking van goedgekeurde gedragskode 67. (1) Die Reguleerder kan, uit eie beweging, die werking van ’n goedgekeurde gedragskode hersien. (2) Die Reguleerder kan een of meerdere van die volgende vir die oogmerke van die hersiening doen: (a) Die proses vir die indiening en hantering van klagtes kragtens ’n kode oorweeg; (b) die rekords van ’n skeidsregter vir die kode inspekteer; (c) die uitslag van klagtes wat kragtens ’n kode hanteer is, oorweeg; (d) (e) deskundiges aanstel om daardie bepalings van ’n kode te hersien wat na ’n onderhoud met ’n skeidsregter vir die kode voer; en mening van die Reguleerder deskundige evaluasie vereis. 40 45 50 74 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 74 (3) The review may inform a decision by the Regulator under section 64 to revoke the approved code of conduct with immediate effect or at a future date to be determined by the Regulator. Effect of failure to comply with code of conduct

68. If a code issued under section 60 is in force, failure to comply with the code is deemed to be a breach of the conditions for the lawful processing of personal information referred to in Chapter 3 and is dealt with in terms of Chapter 10. 5 CHAPTER 8 RIGHTS OF DATA SUBJECTS REGARDING DIRECT MARKETING BY MEANS OF UNSOLICITED ELECTRONIC COMMUNICATIONS, DIRECTORIES AND AUTOMATED DECISION MAKING Direct marketing by means of unsolicited electronic communications 69. (1) The processing of personal information of a data subject for the purpose of direct marketing by means of any form of electronic communication, including automatic calling machines, facsimile machines, SMSs or e-mail is prohibited unless the data subject— (a) has given his, her or its consent to the processing; or (b) is, subject to subsection (3), a customer of the responsible party. (2) (a) A responsible party may approach a data subject— (i) whose consent is required in terms of subsection (1)(a); and (ii) who has not previously withheld such consent, only once in order to request the consent of that data subject. (b) The data subject’s consent must be requested in the prescribed manner and form. (3) A responsible party may only process the personal information of a data subject who is a customer of the responsible party in terms of subsection (1)(b)— (a) (b) (c) if the responsible party has obtained the contact details of the data subject in the context of the sale of a product or service; for the purpose of direct marketing of the responsible party’s own similar products or services; and if the data subject has been given a reasonable opportunity to object, free of charge and in a manner free of unnecessary formality, to such use of his, her or its electronic details— (i) at the time when the information was collected; and (ii) on the occasion of each communication with the data subject for the purpose of marketing if the data subject has not initially refused such use. (4) Any communication for the purpose of direct marketing must contain— (a) details of the identity of the sender or the person on whose behalf the communication has been sent; and (b) an address or other contact details to which the recipient may send a request that such communications cease. (5) ‘‘Automatic calling machine’’, for purposes of subsection (1), means a machine that is able to do automated calls without human intervention. Directories 70. (1) A data subject who is a subscriber to a printed or electronic directory of subscribers available to the public or obtainable through directory enquiry services, in which his, her or its personal information is included, must be informed, free of charge and before the information is included in the directory— (a) about the purpose of the directory; and 10 15 20 25 30 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 75 Wet No. 4 van 2013 75 (3) Die hersiening kan ’n besluit deur die Reguleerder tot gevolg hê om kragtens artikel 64 ’n goedgekeurde gedragskode onmiddellik of op ’n toekomstige datum, wat deur die Reguleerder vasgestel word, te herroep. Gevolg van versuim om aan gedragskode te voldoen

69. Direct marketing by means of unsolicited electronic communications

71. Automated decision making 5 10 15 20 25 30 35 40 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 9 Wet No. 4 van 2013 9 Bevoegdhede, pligte en werksaamhede van Voorsitter en ander lede Reguleerder moet sekere aangeleenthede in aanmerking neem Botsing van belange

41. Aanstelling, ampstermyn en ontheffing van lede van Reguleerder

42. Vakature 43. 44. 45.

46. Vergoeding, toelaes, voordele en voorregte van lede 47. 48.

49. Komitees van Reguleerder 50.

51. Vergaderings van Reguleerder 52. 53.

54. Vertroulikheidsplig Personeel Bevoegdhede, pligte en werksaamhede van hoof uitvoerende beampte Fondse Beskerming van Reguleerder Instelling van Afdwingingskomitee Deel B Inligtingsbeampte Pligte en verantwoordelikhede van Inligtingsbeampte 55.

56. Aanwysing en delegering van adjunk-inligtingsbeamptes HOOFSTUK 6 VOORAFGAANDE MAGTIGING Voorafgaande magtiging 5 10 15 20 Prosessering onderhewig aan voorafgaande magtiging 57.

58. Verantwoordelike party moet Reguleerder in kennis stel indien prosessering aan voorafgaande magtiging onderhewig is

59. Versuim om kennis te gee van prosessering onderhewig aan voorafgaande 25 magtiging HOOFSTUK 7 GEDRAGSKODES Proses vir uitreiking van gedragskodes

60. Uitreiking van gedragskodes 61.

62. Kennisgewing, beskikbaarheid en inwerkingtreding van gedragskode 63. Prosedure vir hantering van klagtes

64. Wysiging en herroeping van gedragskodes 65. 66.

67. Hersiening van werking van goedgekeurde gedragskode

68. Gevolg van versuim om aan gedragskode te voldoen Riglyne oor gedragskodes Register van goedgekeurde gedragskodes 30 35 HOOFSTUK 8 REGTE VAN DATASUBJEKTE AANGAANDE DIREKTE BEMARKING DEUR MIDDEL VAN ONGEOORLOOFDE ELEKTRONIESE KOMMUNIKASIE, GIDSE EN GEOUTOMATISEERDE BESLUITNEMING 40

69. Direkte bemarking deur middel van ongeoorloofde elektroniese kommunikasie

71. Geoutomatiseerde besluitneming 10 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 10 CHAPTER 9 TRANSBORDER INFORMATION FLOWS 72. Transfers of personal information outside Republic CHAPTER 10 ENFORCEMENT Interference with protection of personal information of data subject Complaints Regulator may decide to take no action on complaint Referral of complaint to regulatory body Pre-investigation proceedings of Regulator Settlement of complaints Investigation proceedings of Regulator Issue of warrants Requirements for issuing of warrant Execution of warrants 73. 74.

68. Indien ’n kode, wat kragtens artikel 60 uitgereik is, van krag is word versuim om aan die kode te voldoen as ’n verbreking beskou van die voorwaardes vir die regmatige prosessering van persoonlike inligting in Hoofstuk 3 bedoel, en word dit ingevolge Hoofstuk 10 hanteer. 5 HOOFSTUK 8 REGTE VAN DATASUBJEKTE AANGAANDE DIREKTE BEMARKING DEUR MIDDEL VAN ONGEOORLOOFDE ELEKTRONIESE KOMMUNIKASIE, GIDSE EN GEOUTOMATISEERDE BESLUITNEMING 10 Direkte bemarking deur middel van ongeoorloofde elektroniese kommunikasie 69. (1) Die prosessering van persoonlike inligting van ’n datasubjek vir die doeleindes van direkte bemarking deur middel van enige vorm van elektroniese kommunikasie, met inbegrip van outomatiese oproepmasjiene, faksimilee masjiene, SMS’e of e-pos word verbied tensy die datasubjek— (a) daardie datasubjek se toestemming vir die prosessering gegee het; of (b) behoudens subartikel (3), ’n kliënt van die verantwoordelike party is. (2) (a) ’n Verantwoordelike party mag ’n datasubjek— (i) wie se toestemming ingevolge subartikel (1)(a) vereis word; en (ii) wat nie voorheen sodanige toestemming weerhou het nie, slegs een keer nader om die toestemming van daardie datasubjek te versoek. (b) Die datasubjek se toestemming moet op die voorgeskrewe wyse en vorm versoek word. 15 20 25 (3) ’n Verantwoordelike party mag slegs die persoonlike inligting van ’n datasubjek wat ingevolge subartikel (1)(b) ’n kliënt van die verantwoordelike party is, prosesseer— indien die verantwoordelike party die kontakbesonderhede van die datasubjek in die konteks van die verkoop van ’n produk of diens, verkry het; (a) (b) vir die doel van direkte bemarking van die verantwoordelike party se eie 30 (c) soortgelyke produkte of dienste; en indien die datasubjek ’n redelike geleentheid gegun is om, gratis en sonder onnodige formaliteite, beswaar te maak teen sodanige gebruik van daardie datasubjek se elektroniese besonderhede— (i) op die tydstip toe die inligting ingesamel is; en (ii) by die geleentheid van elke kommunikasie met die datasubjek vir die doel van bemarking indien die datasubjek nie aanvanklik sodanige gebruik geweier het nie. 35 (4) Enige kommunikasie vir die doel van direkte bemarking moet— (a) besonderhede van die identiteit van die versender of die persoon namens wie 40 (b) die kommunikasie gestuur is; en ’n adres of ander kontakbesonderhede waarheen die ontvanger ’n versoek dat sodanige kommunikasies gestaak moet word kan rig, bevat. (5) ‘‘Outomatiese oproepmasjien’’, by die toepassing van subartikel (1), beteken ’n masjien wat daartoe in staat is om outomatiese oproepe sonder menslike toetreding te maak. 45 Gidse 70. (1) ’n Datasubjek wat ’n intekenaar is tot ’n gedrukte of elektroniese gids van intekenare wat aan die publiek beskikbaar is of wat deur middel van gidsnavraagdienste verkrygbaar is, waarin daardie datasubjek se persoonlike inligting ingesluit is, moet gratis en voordat die inligting in die gids opgeneem word, in kennis gestel word— 50 (a) aangaande die oogmerk van die gids; en 76 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 76 (b) about any further uses to which the directory may possibly be put, based on search functions embedded in electronic versions of the directory. (2) A data subject must be given a reasonable opportunity to object, free of charge and in a manner free of unnecessary formality, to such use of his, her or its personal information or to request verification, confirmation or withdrawal of such information if the data subject has not initially refused such use. (3) Subsections (1) and (2) do not apply to editions of directories that were produced in printed or off-line electronic form prior to the commencement of this section. (4) If the personal information of data subjects who are subscribers to fixed or mobile public voice telephony services have been included in a public subscriber directory in conformity with the conditions for the lawful processing of personal information prior to the commencement of this section, the personal information of such subscribers may remain included in this public directory in its printed or electronic versions, after having received the information required by subsection (1). (5) ‘‘Subscriber’’, for purposes of this section, means any person who is party to a contract with the provider of publicly available electronic communications services for the supply of such services. Automated decision making 71. (1) Subject to subsection (2), a data subject may not be subject to a decision which results in legal consequences for him, her or it, or which affects him, her or it to a substantial degree, which is based solely on the basis of the automated processing of personal information intended to provide a profile of such person including his or her performance at work, or his, her or its credit worthiness, reliability, location, health, personal preferences or conduct. (2) The provisions of subsection (1) do not apply if the decision— (a) has been taken in connection with the conclusion or execution of a contract, and— (i) the request of the data subject in terms of the contract has been met; or (ii) appropriate measures have been taken to protect the data subject’s legitimate interests; or (b) is governed by a law or code of conduct in which appropriate measures are specified for protecting the legitimate interests of data subjects. (3) The appropriate measures, referred to in subsection (2)(a)(ii), must— (a) provide an opportunity for a data subject to make representations about a (b) decision referred to in subsection (1); and require a responsible party to provide a data subject with sufficient information about the underlying logic of the automated processing of the information relating to him or her to enable him or her to make representations in terms of paragraph (a). CHAPTER 9 TRANSBORDER INFORMATION FLOWS 5 10 15 20 25 30 35 40 Transfers of personal information outside Republic 72. (1) A responsible party in the Republic may not transfer personal information about a data subject to a third party who is in a foreign country unless— (a) the third party who is the recipient of the information is subject to a law, binding corporate rules or binding agreement which provide an adequate level of protection that— (i) effectively upholds principles for reasonable processing of the informa- tion that are substantially similar to the conditions for the lawful processing of personal information relating to a data subject who is a natural person and, where applicable, a juristic person; and 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 77 Wet No. 4 van 2013 77 (b) aangaande enige verdere gebruike waarvoor die gids moontlik aangewend kan word, gebaseer op soekfunksies wat deel vorm van elektroniese weergawes van die gids. (2) ’n Datasubjek moet ’n redelike geleentheid gegun word om, gratis en sonder onnodige formaliteite, teen sodanige gebruik van daardie datasubjek se persoonlike inligting beswaar aan te teken of om kontrolering, bevestiging of ontrekking van sodanige inligting te versoek indien die datasubjek nie aanvanklik sodanige gebruik geweier het nie. (3) Subartikels (1) en (2) is nie van toepassing nie op weergawes van gidse wat voor in gedrukte of af-lyn elektroniese formaat inwerkingtreding van hierdie artikel geproduseer is. (4) Indien die persoonlike inligting van datasubjekte wat intekenare is van vaste of mobiele openbare stemtelefoniese dienste voor die inwerkingtreding van hierdie artikel in ’n openbare intekenaargids in ooreenstemming met die voorwaardes vir die regmatige prosessering van persoonlike inligting ingesluit is, kan die persoonlike inligting van sodanige intekenare in hierdie openbare gids, in die gedrukte of elektroniese weergawes daarvan, ingesluit bly nadat die inligting wat ingevolge subartikel (1) vereis word, verkry is. (5) ‘‘Intekenaar’’, by die toepassing van hierdie artikel, beteken iemand wat ’n party is tot ’n kontrak met ’n diensverskaffer van openbare beskikbare elektroniese kommunikasiedienste vir die verskaffing van sodanige dienste. Geoutomatiseerde besluitneming 71. (1) ’n Datasubjek mag, behoudens subartikel (2), nie onderhewig wees aan ’n besluit nie wat regsgevolge vir daardie datasubjek inhou, of wat daardie datasubjek op ’n wesenlike wyse raak, wat alleenlik geneem is op grond van die geoutomatiseerde prosessering van persoonlike inligting wat bedoel is om ’n profiel van sodanige persoon daar te stel, met inbegrip van sy of haar werkverrigting, of daardie datasubjek se kredietwaardigheid, betroubaarheid, ligging, gesondheid, persoonlike voorkeure of gedrag. 5 10 15 20 25 (2) Die bepalings van subartikel (1) is nie van toepassing nie, indien die besluit— 30 (a) in verband met die sluiting of uitvoering van ’n kontrak geneem is, en— (i) die versoek van die datasubjek ingevolge die kontrak nagekom is; of (ii) behoorlike maatreëls geneem is om die datasubjek se regmatige belange te beskerm; of (b) deur ’n wet of ’n gedragskode gereguleer word, waarin behoorlike maatreëls vir beskerming van die regmatige belange van datasubjekte bepaal word. 35 (3) Die behoorlike maatreëls, in subartikel (2)(a)(ii) bedoel, moet— (a) ’n datasubjek die geleentheid gun om vertoë aangaande ’n besluit in subartikel (1) bedoel, te rig; en (b) van ’n verantwoordelike party vereis om ’n datasubjek van voldoende inligting, met betrekking tot die onderliggende logika van die geoutomati- seerde prosessering van inligting oor hom of haar, te voorsien ten einde hom of haar in staat te stel om vertoë ingevolge paragraaf (a) te rig. HOOFSTUK 9 INLIGTINGSVLOEI OOR LANDGRENSE Oordrag van persoonlike inligting buite Republiek 72. (1) ’n Verantwoordelike party in die Republiek mag nie persoonlike inligting aangaande ’n datasubjek aan ’n derde party wat in ’n vreemde land is oordra nie, tensy— (a) die derde party wat die ontvanger van die inligting is, onderhewig is aan ’n wet, bindende korporatiewe reëls of ’n bindende ooreenkoms wat ’n genoegsame vlak van beskerming bied wat— (i) beginsels vir die redelike prosessering van die inligting wat wesenlik soortgelyk is aan die voorwaardes vir die regmatige prosessering van persoonlike inligting doeltreffend handhaaf met betrekking tot ’n datasubjek wat ’n natuurlike persoon en, waar van toepassing, ’n regspersoon is; en 40 45 50 55 78 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 78 (ii) includes provisions, that are substantially similar to this section, relating to the further transfer of personal information from the recipient to third parties who are in a foreign country; (b) (c) (d) (e) the data subject consents to the transfer; the transfer is necessary for the performance of a contract between the data subject and the responsible party, or for the implementation of pre-contractual measures taken in response to the data subject’s request; the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject between the responsible party and a third party; or the transfer is for the benefit of the data subject, and— (i) it is not reasonably practicable to obtain the consent of the data subject to that transfer; and if it were reasonably practicable to obtain such consent, the data subject would be likely to give it. (ii) (2) For the purpose of this section— (a) (b) ‘‘binding corporate rules’’ means personal information processing policies, within a group of undertakings, which are adhered to by a responsible party or operator within that group of undertakings when transferring personal information to a responsible party or operator within that same group of undertakings in a foreign country; and ‘‘group of undertakings’’ means a controlling undertaking and its controlled undertakings. CHAPTER 10 ENFORCEMENT Interference with protection of personal information of data subject

75. Mode of complaints to Regulator

76. Action on receipt of complaint 77. 78. 79. 80. 81. 82. 83. 84.

85. Matters exempt from search and seizure 86.

87. Objection to search and seizure 88.

89. Assessment 90. 91.

92. Matters referred to Enforcement Committee Functions of Enforcement Committee 93. Parties to be informed of developments during and result of investigation 94. Enforcement notice 95. Cancellation of enforcement notice 96. Right of appeal 97. Consideration of appeal 98. Civil remedies 99. Information notice Parties to be informed of result of assessment Communication between legal adviser and client exempt Return of warrants CHAPTER 11 OFFENCES, PENALTIES AND ADMINISTRATIVE FINES

73. For the purposes of this Chapter, interference with the protection of the personal information of a data subject consists, in relation to that data subject, of— (a) any breach of the conditions for the lawful processing of personal information as referred to in Chapter 3; (b) non-compliance with section 22, 54, 69, 70, 71 or 72; or (c) a breach of the provisions of a code of conduct issued in terms of section 60. Complaints 74. (1) Any person may submit a complaint to the Regulator in the prescribed manner and form alleging interference with the protection of the personal information of a data subject. (2) A responsible party or data subject may, in terms of section 63(3), submit a complaint to the Regulator in the prescribed manner and form if he, she or it is aggrieved by the determination of an adjudicator. Mode of complaints to Regulator 75. (1) A complaint to the Regulator must be made in writing. (2) The Regulator must give such reasonable assistance as is necessary in the circumstances to enable a person, who wishes to make a complaint to the Regulator, to put the complaint in writing. Action on receipt of complaint 76. (1) On receiving a complaint in terms of section 74, the Regulator may— (a) conduct a pre-investigation as referred to in section 79; 5 10 15 20 25 30 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 79 Wet No. 4 van 2013 79 (ii) bepalings, wat wesenlik soortgelyk is aan hierdie artikel, insluit met betrekking tot die verdere oordrag van persoonlike inligting vanaf die ontvanger na derde partye wat in ’n vreemde land is; (b) die datasubjek tot die oordrag toestem; (c) die oordrag noodsaaklik vir die uitvoering van ’n kontrak tussen die datasubjek en die verantwoordelike party is, of vir die implementering van voor-kontraktuele maatreëls wat in antwoord op die datasubjek se versoek geneem word; (d) die oordrag noodsaaklik is vir die sluiting of uitvoering van ’n kontrak wat in die belang van die datasubjek tussen die verantwoordelike party en ’n derde party gesluit is; of (e) die oordrag tot voordeel van die datasubjek is, en— (i) dit nie redelikerwys moontlik is om die toestemming van die datasubjek (ii) vir daardie oordrag te verkry nie; en indien dit redelikerwys moontlik sou wees om sodanige toestemming te verkry, die datasubjek dit waarskynlik sou verleen het. (2) By die toepassing van hierdie artikel beteken— (a) (b) ‘‘bindende korporatiewe reëls’’ beleid op die prosessering van persoonlike inligting, binne ’n groep van ondernemings, wat deur ’n verantwoordelike party of operateur binne daardie groep van ondernemings nagekom word wanneer persoonlike inligting aan ’n verantwoordelike party of operateur binne daardie selfde groep van ondernemings in ’n vreemde land oorgedra word; en ‘‘groep van ondernemings’’ ’n beherende onderneming en die onderneming se beheerde ondernemings. HOOFSTUK 10 AFDWINGING Inmenging met beskerming van persoonlike inligting van datasubjek

73. By die toepassing van hierdie Hoofstuk bestaan inmenging met die beskerming van die persoonlike inligting van ’n datasubjek, met betrekking tot daardie datasubjek, uit— (a) enige verbreking van die voorwaardes vir die regmatige prosessering van persoonlike inligting soos in Hoofstuk 3 bedoel; (b) nienakoming van artikel 22, 54, 69, 70, 71 of 72; of (c) ’n verbreking van die bepalings van ’n gedragskode kragtens artikel 60 uitgevaardig. Klagtes 74. (1) Enige persoon kan op die voorgeskrewe wyse en in die voorgeskrewe vorm ’n indien, waarin inmenging met die beskerming van die klagte by Reguleerder persoonlike inligting van ’n datasubjek beweer word. (2) ’n Verantwoordelike party of datasubjek kan ingevolge artikel 63(3) op die voorgeskrewe wyse en in die voorgeskrewe vorm, ’n klagte by die Reguleerder indien as daardie verantwoordelike party of datasubjek veronreg voel deur ’n vasstelling van ’n skeidsregter. Wyse van klagtes tot Reguleerder 75. (1) ’n Klagte tot die Reguleerder moet skriftelik ingedien word. (2) Die Reguleerder moet sodanige redelike bystand verleen as wat in die omstandighede noodsaaklik is om ’n persoon, wat ’n klagte by die Reguleerder wil indien, in staat te stel om die klagte op skrif te stel. Stappe by ontvangs van klagte 76. (1) By ontvangs van ’n klagte ingevolge artikel 74, kan die Reguleerder— (a) ’n voor-ondersoek soos in artikel 79 bedoel, uitvoer; 5 10 15 20 25 30 35 40 45 50 80 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 80 (b) act, at any time during the investigation and where appropriate, as conciliator in relation to any interference with the protection of the personal information of a data subject in the prescribed manner; (c) decide, in accordance with section 77, to take no action on the complaint or, as the case may be, require no further action in respect of the complaint; (d) conduct a full investigation of the complaint; (e) (f) refer the complaint, in terms of section 92, to the Enforcement Committee; or take such further action as is contemplated by this Chapter. (2) The Regulator must, as soon as is reasonably practicable, advise the complainant and the responsible party to whom the complaint relates of the course of action that the Regulator proposes to adopt under subsection (1). (3) The Regulator may, on its own initiative, commence an investigation into the interference with the protection of the personal information of a data subject as referred to in section 73. Regulator may decide to take no action on complaint 77. (1) The Regulator, after investigating a complaint received in terms of section 73, may decide to take no action or, as the case may be, require no further action in respect of the complaint if, in the Regulator’s opinion— (a) (b) (c) (d) (e) (f) the length of time that has elapsed between the date when the subject matter of the complaint arose and the date when the complaint was made is such that an investigation of the complaint is no longer practicable or desirable; the subject matter of the complaint is trivial; the complaint is frivolous or vexatious or is not made in good faith; the complainant does not desire that action be taken or, as the case may be, continued; the complainant does not have a sufficient personal interest in the subject matter of the complaint; or in cases where the complaint relates to a matter in respect of which a code of conduct is in force and the code of conduct makes provision for a complaints procedure, the complainant has failed to pursue, or to pursue fully, an avenue of redress available under that complaints procedure that it would be reasonable for the complainant to pursue. (2) Notwithstanding anything in subsection (1), the Regulator may in its discretion decide not to take any further action on a complaint if, in the course of the investigation of the complaint, it appears to the Regulator that, having regard to all the circumstances of the case, any further action is unnecessary or inappropriate. (3) In any case where the Regulator decides to take no action, or no further action, on a complaint, the Regulator must inform the complainant of that decision and the reasons for it. Referral of complaint to regulatory body 78. (1) If, on receiving a complaint in terms of section 74, the Regulator considers that the complaint relates, in whole or in part, to a matter that is more properly within the jurisdiction of another regulatory body established in terms of any law, the Regulator must forthwith determine whether the complaint should be dealt with, in whole or in part, under this Act after consultation with the body concerned. (2) If the Regulator determines that the complaint should be dealt with by another body, the Regulator must forthwith refer the complaint to that body to be dealt with accordingly and must notify the complainant of the referral. Pre-investigation proceedings of Regulator 5 10 15 20 25 30 35 40 45

79. Before proceeding to investigate any matter in terms of this Chapter, the 50 Regulator must, in the prescribed manner, inform— GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 81 Wet No. 4 van 2013 81 (b) te eniger tyd gedurende die ondersoek en indien dit gepas is, op die voorgeskrewe wyse as konsiliator optree met betrekking tot enige inmenging met die beskerming van die persoonlike inligting van ’n datasubjek; (c) ooreenkomstig artikel 77, besluit om geen stappe ten opsigte van die klagte te doen nie of, na gelang van die geval, geen verdere stappe ten opsigte van die klagte te vereis nie; ’n volle ondersoek van die klagte uitvoer; (d) (e) die klagte, ingevolge artikel 92, na die Afdwingingskomitee verwys; of (f) sodanige verdere stappe doen as wat by hierdie Hoofstuk beoog word. (2) Die Reguleerder moet, so gou soos redelikerwys moontlik is, die klaer of klaagster en die verantwoordelike party met wie die klag verband hou, verwittig van die stappe wat die Reguleerder beoog om ingevolge subartikel (1) te doen. (3) Die Reguleerder kan, uit eie beweging, ’n ondersoek aangaande die inmenging met die beskerming van die persoonlike inligting van ’n datasubjek, soos in artikel 73 bedoel, begin. Reguleerder kan besluit om geen stappe aangaande klagte te doen nie 77. (1) Die Reguleerder kan, na die ondersoek van ’n klagte wat ingevolge artikel 73 ontvang is, besluit om geen stappe te doen nie of, na gelang van die geval, geen verdere stappe ten opsigte van die klagte te vereis nie, indien, na oordeel van die Reguleerder— (a) die tydperk wat verloop het vanaf die datum waarop die onderwerp van die geskil in die klagte onstaan het tot die datum waarop die klagte ingedien is van sodanige aard is dat ’n ondersoek van die klagte nie langer moontlik of wenslik is nie; (b) die onderwerp van die geskil in die klagte onbeduidend is; (c) die klagte beuselagtig of kwelsugtig is of nie in goeie trou gemaak is nie; (d) die klaer of klaagster nie verlang dat stappe gedoen word of, na gelang van die geval, mee voortgegaan word nie; (e) die klaer of klaagster nie ’n voldoende persoonlike belang in die onderwerp (f) van die geskil in die klagte het nie; of in gevalle waar die klagte betrekking het op ’n aangeleentheid ten opsigte waarvan ’n gedragskode van krag is en die gedragskode vir ’n klagteprosedure voorsiening maak, die klaer of klaagster versuim het om die moontlikheid van geregtelike vergoeding beskikbaar kragtens die klagteprosedure na te streef, of ten volle na te streef, waar dit redelik sou wees vir die klaer of klaagster om die vergoeding na te volg. (2) Ondanks enigiets in subartikel (1), kan die Reguleerder op eie diskresie besluit om geen verdere stappe ten opsigte van ’n klagte te doen nie indien dit, in die loop van die ondersoek van die klagte, vir die Reguleerder blyk dat, met inagneming van alle omstandighede van die geval, enige verdere stappe onnodig of onvanpas is. (3) In enige geval waar die Reguleerder besluit om geen stappe of geen verdere stappe ten opsigte van die klagte te doen nie, moet die Reguleerder die klaer of klaagster van daardie besluit en die redes daarvoor, verwittig. Verwysing van klagte na regulerende liggaam 78. (1) Indien, by ontvangs van ’n klagte ingevolge artikel 74, die Reguleerder van mening is dat die klagte, in geheel of gedeeltelik, betrekking het op ’n aangeleentheid wat na behore beter binne die jurisdiksie van ’n ander beheerliggaam wat ingevolge enige wet opgerig is, val, moet die Reguleerder onverwyld vasstel of die klagte, in geheel of gedeeltelik, kragtens hierdie Wet hanteer moet word na oorlegpleging met die betrokke liggaam. (2) Indien die Reguleerder vasstel dat die klagte deur ’n ander liggaam hanteer moet word, moet die Reguleerder die klagte onverwyld na daardie liggaam verwys om dienooreenkomstig mee gehandel te word en moet die Reguleerder die klaer of klaagster van die verwysing verwittig. Vooraf-ondersoek verrigtinge van Reguleerder 5 10 15 20 25 30 35 40 45 50

79. Alvorens voortgegaan word met die ondersoek van ’n aangeleentheid kragtens 55 hierdie Hoofstuk, moet die Reguleerder op die voorgeskrewe wyse— 82 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 82 (a) (b) the complainant, the data subject to whom the investigation relates (if not the complainant) and any person alleged to be aggrieved (if not the complainant), of the Regulator’s intention to conduct the investigation; and the responsible party to whom the investigation relates of the— (i) details of the complaint or, as the case may be, the subject matter of the (ii) investigation; and right of that responsible party to submit to the Regulator, within a reasonable period, a written response in relation to the complaint or, as the case may be, the subject-matter of the investigation. Settlement of complaints

80. If it appears from a complaint, or any written response made in relation to a complaint under section 79(b)(ii), that it may be possible to secure— (a) a settlement between any of the parties concerned; and (b) if appropriate, a satisfactory assurance against the repetition of any action that is the subject matter of the complaint or the doing of further actions of a similar kind by the person concerned, the Regulator may, without investigating the complaint or, as the case may be, investigating the complaint further, in the prescribed manner, use its best endeavours to secure such a settlement and assurance. Investigation proceedings of Regulator

81. For the purposes of the investigation of a complaint the Regulator may— (a) summon and enforce the appearance of persons before the Regulator and compel them to give oral or written evidence on oath and to produce any records and things that the Regulator considers necessary to investigate the complaint, in the same manner and to the same extent as the High Court; (b) administer oaths; (c) receive and accept any evidence and other information, whether on oath, by affidavit or otherwise, that the Regulator sees fit, whether or not it is or would be admissible in a court of law; 5 10 15 20 25 (d) at any reasonable time, subject to section 81, enter and search any premises 30 (e) (f) occupied by a responsible party; conduct a private interview with any person in any premises entered under section 84 subject to section 82; and otherwise carry out in those premises any inquiries that the Regulator sees fit in terms of section 82. 35 Issue of warrants 82. (1) A judge of the High Court, a regional magistrate or a magistrate, if satisfied by information on oath supplied by the Regulator that there are reasonable grounds for suspecting that— (a) a responsible party is interfering with the protection of the personal 40 information of a data subject; or (b) an offence under this Act has been or is being committed, and that evidence of the contravention or of the commission of the offence is to be found on any premises specified in the information, that are within the jurisdiction of that judge or magistrate, may, subject to subsection (2), grant a warrant to enter and search such premises. (2) A warrant issued under subsection (1) authorises any of the Regulator’s members or staff members, subject to section 84, at any time within seven days of the date of the warrant to enter the premises as identified in the warrant, to search them, to inspect, examine, operate and test any equipment found there which is used or intended to be 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 83 Wet No. 4 van 2013 83 (a) die klaer of klaagster, die datasubjek op wie die ondersoek betrekking het (indien die datasubjek nie die klaer of klaagster is nie) en enige persoon (indien nie die klaer of klaagster nie) wat na bewering veronreg voel, verwittig van die Reguleerder se voorneme om ’n ondersoek te onderneem; en (b) die verantwoordelike party op wie die ondersoek betrekking het van die— (i) besonderhede van die klagte of, na gelang van die geval, die onderwerp (ii) van die geskil van die ondersoek; en reg van daardie verantwoordelike party om, binne ’n redelike tydperk, ’n skriftelike antwoord met betrekking tot die klagte of, na gelang van die geval, die onderwerp van die geskil van die ondersoek aan die Reguleerder voor te lê, verwittig. Skikking van klagtes

80. Indien dit uit ’n klagte, of ’n skriftelike antwoord wat met betrekking tot ’n klagte kragtens artikel 79(b)(ii) voorgelê is, blyk dat dit moontlik kan wees om— (a) (b) ’n skikking tussen enige van die betrokke partye te bewerkstellig; en indien dit gepas is, ’n voldoende versekering te verkry teen die herhaling van enige handeling wat die onderwerp van die geskil in die klagte is of teen die verrigting van verdere handelinge van ’n soortgelyke aard deur die betrokke persoon, kan die Reguleerder, sonder om die klagte te ondersoek of, na gelang van die geval, die klagte verder te ondersoek, op die voorgeskrewe wyse, tot die beste van die Reguleerder se vermoë pogings aanwend om sodanige skikking en versekering te bewerkstellig. Ondersoekverrigtinge van Reguleerder 5 10 15 20

81. Vir die doeleindes van die ondersoek van ’n klagte kan die Reguleerder— 25 (a) die verskyning van enige persone voor die Reguleerder gebied en afdwing en kan die Reguleerder hulle verplig om mondelinge of skriftelike getuienis onder eed af te lê en om enige rekords of voorwerpe wat die Reguleerder nodig ag om die klagte te ondersoek, aan die Reguleerder voor te lê op dieselfde wyse en in dieselfde mate as die Hooggeregshof; (b) eedsverklarings afneem; (c) enige bewysmateriaal en ander inligting, hetsy onder eed, deur eedsverklaring of andersins, wat die Reguleerder goedvind, ontvang en aanvaar hetsy dit toelaatbare getuienis in ’n hof is of sal wees, al dan nie; te eniger redelike tyd, behoudens artikel 81, enige perseel wat deur ’n verantwoordelike party geokkupeer word, betree en deursoek; ’n privaat onderhoud met ’n persoon in ’n perseel voer wat kragtens artikel 84, behoudens artikel 82, betree is; en andersins in daardie perseel ondersoeke, wat die Reguleerder ingevolge artikel 82 goedvind, uitvoer. (d) (e) (f) Uitreiking van lasbriewe 82. (1) ’n Regter van die Hooggeregshof, ’n streeklanddros of ’n landdros, indien oortuig deur middel van inligting wat onder eed deur die Reguleerder voorgelê is dat daar redelike gronde bestaan om te vermoed dat— (a) (b) ’n verantwoordelike party met die beskerming van die persoonlike inligting van ’n datasubjek inmeng; of ’n misdryf kragtens hierdie Wet gepleeg is of gepleeg word, en dat getuienis van die oortreding of van die pleeg van die misdryf op ’n perseel wat in die inligting vermeld word en wat binne die jurisdiksie van daardie regter of landdros is, gevind staan te word kan, behoudens subartikel (2), ’n lasbrief uitreik om sodanige perseel te betree en te deursoek. (2) ’n Lasbrief wat kragtens subartikel (1) uitgereik is magtig enige van die Reguleerder se lede of personeellede, behoudens artikel 84, om te eniger tyd binne sewe dae vanaf die datum van die lasbrief die perseel soos in die lasbrief geïdentifiseer te betree ten einde dit te deursoek, om enige toerusting wat daar gevind word wat gebruik word of bestem is om gebruik te word om persoonlike inligting te prosesseer te 30 35 40 45 50 55 84 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 84 used for the processing of personal information and to inspect and seize any record, other material or equipment found there which may be such evidence as is mentioned in that subsection. Requirements for issuing of warrant 83. (1) A judge or magistrate must not issue a warrant under section 82 unless satisfied 5 that— (a) the Regulator has given seven days’ notice in writing to the occupier of the premises in question demanding access to the premises; (b) either— (i) access was demanded at a reasonable hour and was unreasonably 10 refused; or (ii) although entry to the premises was granted, the occupier unreasonably refused to comply with a request by any of the Regulator’s members or staff to permit the members or the members of staff to do any of the things referred to in section 82(2); and that the occupier, has, after the refusal, been notified by the Regulator of the application for the warrant and has had an opportunity of being heard on the question whether the warrant should be issued. (c) (2) Subsection (1) does not apply if the judge or magistrate is satisfied that the case is one of urgency or that compliance with that subsection would defeat the object of the entry. (3) A judge or magistrate who issues a warrant under section 82 must also issue two copies of it and certify them clearly as copies. Execution of warrants 84. (1) A police officer who is assisting a person authorised to conduct an entry and search in terms of a warrant issued under section 82 may overcome resistance to the entry and search by using such force as is reasonably necessary. (2) A warrant issued under this section must be executed at a reasonable hour unless it appears to the person executing it that there are reasonable grounds for suspecting that the evidence in question would not be found if it were so executed. (3) If the person who occupies the premises in respect of which a warrant is issued under section 82 is present when the warrant is executed, he or she must be shown the warrant and supplied with a copy of it, and if that person is not present a copy of the warrant must be left in a prominent place on the premises. 15 20 25 30 (4) A person seizing anything in pursuance of a warrant under section 82 must give a 35 receipt to the occupier or leave the receipt on the premises. (5) Anything so seized may be retained for as long as is necessary in all circumstances but the person in occupation of the premises in question must be given a copy of any documentation that is seized if he or she so requests and the person executing the warrant considers that it can be done without undue delay. (6) A person authorised to conduct an entry and search in terms of section 82 must be accompanied and assisted by a police officer. (7) A person who enters and searches any premises under this section must conduct the entry and search with strict regard for decency and order, and with regard to each person’s right to dignity, freedom, security and privacy. (8) A person who enters and searches premises under this section must before questioning any person— (a) advise that person of the right to be assisted at the time by an advocate or attorney; and (b) allow that person to exercise that right. (9) No self-incriminating answer given or statement made to a person who conducts a search in terms of a warrant issued under section 82 is admissible as evidence against the person who gave the answer or made the statement in criminal proceedings, except in criminal proceedings for perjury or in which that person is tried for an offence 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 85 Wet No. 4 van 2013 85 inspekteer, te ondersoek, te hanteer en te toets en om ’n rekord, ander materiaal of toerusting wat aldaar gevind word wat sodanige bewysmateriaal in daardie subartikel vermeld mag wees, te ondersoek of op beslag te lê. Vereistes vir uitreiking van lasbrief 83. (1) ’n Regter of landdros reik nie ’n lasbrief kragtens artikel 82 uit nie, tensy hy 5 of sy oortuig is— (a) dat die Reguleerder sewe dae skriftelike kennis aan die okkupeerder van die betrokke perseel gegee het waarin toegang tot die perseel vereis word; (b) dat— toegang op ’n redelike tyd vereis is en onredelik geweier is; of (i) (ii) alhoewel toegang tot die perseel verleen is, die okkupeerder onredelik geweier het om aan ’n versoek van enige van die Reguleerder se lede of personeellede te voldoen om enigiets in artikel 82(2) bedoel, te doen; en (c) dat die okkupeerder, na die weiering, deur die Reguleerder van die aansoek om die lasbrief in kennis gestel is en ’n geleentheid gegun was om aangehoor te word oor die vraag of ’n lasbrief uitgereik behoort te word. 10 15 (2) Subartikel (1) is nie van toepassing nie indien die regter of landdros oortuig is dat die aangeleentheid ’n saak van dringendheid is of dat voldoening aan daardie subartikel die oogmerk van die toegang sal verydel. (3) ’n Regter of landdros wat ’n lasbrief kragtens artikel 82 uitreik moet ook twee 20 afskrifte daarvan uitreik en hulle duidelik as afskrifte sertifiseer. Tenuitvoerlegging van lasbriewe 84. (1) ’n Polisiebeampte wat ’n persoon wat daartoe gemagtig is om ’n betreding en deursoeking ingevolge ’n lasbrief wat kragtens artikel 82 uitgereik is, uit te voer, mag enige teenstand teen die betreding en deursoeking oorkom deur sodanige geweld te gebruik wat redelikerwys noodsaaklik is. (2) ’n Lasbrief kragtens hierdie artikel uitgereik moet op ’n redelike tyd uitgevoer word tensy dit vir die persoon wat dit uitvoer blyk dat daar redelike gronde is om te vermoed dat die betrokke bewysmateriaal nie gevind sal word nie indien dit sodanig uitgevoer word. (3) Indien die persoon wat ’n perseel okkupeer ten opsigte waarvan ’n lasbrief kragtens artikel 82 uitgereik is, teenwoordig is wanneer die lasbrief uitgevoer word, moet die lasbrief aan hom of haar getoon word en moet hy of sy met ’n afskrif daarvan voorsien word, en indien daardie persoon nie teenwoordig is nie, moet ’n afskrif van die lasbrief op ’n prominente plek op die perseel gelaat word. (4) ’n Persoon wat op enigiets ingevolge ’n lasbrief wat kragtens artikel 82 uitgereik is, beslag lê, moet ’n ontvangsbewys aan die okkupeerder gee of die ontvangsbewys op die perseel laat. (5) Enigiets aldus op beslag gelê mag behou word vir solank as wat dit in die omstandighede noodsaaklik is, maar die persoon wat die betrokke perseel okkupeer moet voorsien word van ’n afskrif van enige dokumentasie waarop beslag gelê word, indien hy of sy so versoek en die persoon wat die lasbrief uitvoer van mening is dat dit sonder onnodige vertraging gedoen kan word. (6) ’n Persoon wat gemagtig is om ’n betreding en deursoeking kragtens artikel 82 uit te voer, moet deur ’n polisiebeampte vergesel en bygestaan word. (7) ’n Persoon wat ’n perseel kragtens hierdie artikel betree en deursoek moet die betreding en deursoeking met streng inagneming van behoorlikheid en orde en met inagneming van elke persoon se reg op waardigheid, vryheid, sekuriteit en privaatheid, verrig. 25 30 35 40 45 (8) ’n Persoon wat ’n perseel kragtens hierdie artikel betree en deursoek, moet, 50 alvorens enige persoon ondervra word, daardie persoon— (a) van die reg om deur ’n advokaat of prokureur bygestaan te word, verwittig; en (b) toelaat om daardie reg uit te oefen. (9) Geen self-inkriminerende antwoord wat gegee is aan of verklaring wat gemaak is teenoor ’n persoon wat ’n deursoeking verrig ingevolge ’n lasbrief wat kragtens artikel 82 uitgereik is, is toelaatbaar as getuienis in strafregtelike verrigtinge teen die persoon wat die antwoord gegee het of die verklaring gemaak het nie, behalwe in strafregtelike verrigtinge ten opsigte van meineed of ten opsigte waarvan daardie persoon verhoor 55 86 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 86 contemplated in section 102 and then only to the extent that the answer or statement is relevant to prove the offence charged. Matters exempt from search and seizure

85. If the Regulator has granted an exemption in terms of section 37, the information that is processed in terms of that exemption is not subject to search and seizure empowered by a warrant issued under section 82. 5 Communication between legal adviser and client exempt 86. (1) Subject to the provisions of this section, the powers of search and seizure conferred by a warrant issued under section 82 must not be exercised in respect of— (a) any communication between a professional legal adviser and his or her client in connection with the giving of legal advice to the client with respect to his or her obligations, liabilities or rights; or (b) any communication between a professional legal adviser and his or her client, or between such an adviser or his or her client and any other person, made in connection with or in contemplation of proceedings under or arising out of this Act, including proceedings before a court, and for the purposes of such proceedings. (2) Subsection (1) applies also to— (a) any copy or other record of any such communication as is mentioned therein; and (b) any document or article enclosed with or referred to in any such communica- tion if made in connection with the giving of any advice or, as the case may be, in connection with or in contemplation of and for the purposes of such proceedings as are mentioned therein. Objection to search and seizure

87. If the person in occupation of any premises in respect of which a warrant is issued under this Act objects to the inspection or seizure under the warrant of any material on the ground that it— (a) contains privileged information and refuses the inspection or removal of such article or document, the person executing the warrant or search must, if he or she is of the opinion that the article or document contains information that has a bearing on the investigation and that such information is necessary for the investigation, request the Registrar of the High Court which has jurisdiction or his or her delegate, to attach and remove that article or document for safe custody until a court of law has made a ruling on the question whether the information concerned is privileged or not; or (b) consists partly of matters in respect of which those powers are not exercised, he or she must, if the person executing the warrant so requests, furnish that person with a copy of so much of the material as is not exempt from those powers. Return of warrants

88. A warrant issued under section 82 must be returned to the court from which it was issued— (a) after being executed; or (b) if not executed within the time authorised for its execution, and the person who has executed the warrant must make an endorsement on it stating what powers have been exercised by him or her under the warrant. 10 15 20 25 30 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 87 Wet No. 4 van 2013 87 word vir ’n misdryf by artikel 102 beoog en dan slegs vir sover die antwoord of verklaring tersaaklik is om die ten laste gelegde misdryf te bewys. Gevalle vrygestel van deursoeking en beslaglegging

85. Indien die Reguleerder ’n vrystelling ingevolge artikel 37 verleen het, is die inligting wat ingevolge daardie vrystelling geprosesseer word nie aan ’n deursoeking en beslaglegging wat gemagtig word deur ’n lasbrief wat kragtens artikel 82 uitgereik is, onderhewig nie. Kommunikasie tussen regsadviseur en kliënt vrygestel 86. (1) Die bevoegdhede van deursoeking en beslaglegging wat opgedra is deur ’n lasbrief wat kragtens artikel 82 uitgereik is moet, behoudens die bepalings van hierdie artikel, nie ten opsigte van— (a) enige kommunikasie tussen ’n professionele regsadviseur en sy of haar kliënt in verband met die verlening van regsadvies aan die kliënt met betrekking tot sy of haar verpligtinge, aanspreeklikhede of regte; of (b) enige kommunikasie tussen ’n professionele regsadviseur en sy of haar kliënt, of tussen sodanige adviseur of sy of haar kliënt en ’n ander persoon, in verband met of in afwagting van verrigtinge kragtens of voortvloeiend uit hierdie Wet, met inbegrip van verrigtinge voor ’n hof, en vir die oogmerke van sodanige verrigtinge, uitgeoefen word nie. (2) Subartikel (1) is ook van toepassing op— (a) (b) ’n afskrif of ander rekord van enige sodanige kommunikasie as wat aldaar vermeld word; en ’n dokument of artikel ingesluit of na verwys in enige sodanige kommunikasie indien die kommunikasie gedoen is in verband met die verlening van enige advies of, na gelang van die geval, in verband met of in afwagting van en vir die oogmerke van enige verrigtinge as wat aldaar vermeld word. Beswaar teen deursoeking en beslaglegging

87. Indien die persoon wat enige perseel okkupeer ten opsigte waarvan ’n lasbrief kragtens hierdie Wet uitgereik is, beswaar aanteken teen die inspeksie of beslaglegging van enige materiaal kragtens die lasbrief op grond daarvan dat dit— (a) geprivilegieerde inligting bevat en sodanige inspeksie of verwydering van sodanige artikel of dokument weier, moet die persoon wat die lasbrief of deursoeking uitvoer, indien hy of sy van oordeel is dat die artikel of dokument inligting bevat wat verband hou met die ondersoek en dat sodanige inligting noodsaaklik is vir die ondersoek, die Griffier van die Hooggeregshof wat met regsbevoegdheid beklee is, of sy of haar gedelegeerde, versoek om op daardie artikel of dokument beslag te lê en te verwyder vir veilige bewaring totdat ’n hof ’n bevel met betrekking tot die vraag of die inligting geprivilegieerd is al dan nie, gemaak het; of (b) gedeeltelik uit aangeleenthede bestaan ten opsigte waarvan daardie bevoegdhede nie uitgeoefen word nie, moet hy of sy, indien die persoon wat die lasbrief uitvoer so versoek, daardie persoon met ’n afskrif van soveel van die materiaal as wat nie van daardie bevoegdhede vrygestel is nie, verskaf. Relaas van lasbriewe 88. ’n Lasbrief wat kragtens artikel 82 uitgereik is moet aan die hof, van waar dit uitgereik is, terugbesorg word— (a) nadat dit uitgevoer is; of (b) indien dit nie uitgevoer is binne die tyd wat vir die uitvoering daarvan gemagtig is nie, en die persoon wat die lasbrief uitgevoer het moet ’n endossement daarop aanbring waarin die bevoegdhede wat kragtens die lasbrief deur hom of haar uitgevoer is, vermeld word. 5 10 15 20 25 30 35 40 45 50 88 No. 37067 Act No. 4 of 2013 Assessment GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 88 89. (1) The Regulator, on its own initiative, or at the request by or on behalf of the responsible party, data subject or any other person must make an assessment in the prescribed manner of whether an instance of processing of personal information complies with the provisions of this Act. (2) The Regulator must make the assessment if it appears to be appropriate, unless, where the assessment is made on request, the Regulator has not been supplied with such information as it may reasonably require in order to— satisfy itself as to the identity of the person making the request; and (a) (b) enable it to identify the action in question. (3) The matters to which the Regulator may have regard in determining whether it is appropriate to make an assessment include— the extent to which the request appears to it to raise a matter of substance; (a) (b) any undue delay in making the request; and (c) whether or not the person making the request is entitled to make an application in terms of section 23 or 24 in respect of the personal information in question. (4) If the Regulator has received a request under this section it must notify the requester— (a) whether it has made an assessment as a result of the request; and (b) to the extent that it considers appropriate, having regard in particular to any exemption which has been granted by the Regulator in terms of section 37 from section 23 or 24 applying in relation to the personal information concerned, of any view formed or action taken as a result of the request. Information notice 90. (1) If the Regulator— (a) has received a request under section 89 in respect of any processing of (b) personal information; or reasonably requires any information for the purpose of determining whether the responsible party has interfered or is interfering with the personal information of a data subject, the Regulator may serve the responsible party with an information notice requiring the responsible party to furnish the Regulator, within a specified period, in a form specified in the notice, with a report indicating that the processing is taking place in compliance with the provisions of the Act, or with such information relating to the request or to compliance with the Act as is so specified. (2) An information notice must contain particulars of the right of appeal conferred by section 97, and— (a) (b) in a case falling within subsection (1)(a), a statement that the Regulator has received a request under section 89 in relation to the specified processing; or in a case falling within subsection (1)(b), a statement that the Regulator regards the specified information as relevant for the purpose of determining whether the responsible party has complied, or is complying, with the conditions for the lawful processing of personal information and the reasons for regarding it as relevant for that purpose. (3) Subject to subsection (5), the period specified in an information notice must not expire before the end of the period within which an appeal can be brought against the notice and, if such an appeal is brought, the information need not be furnished pending the determination or withdrawal of the appeal. (4) If the Regulator considers that the information is required as a matter of urgency, it may include in the notice a statement to that effect and a statement of its reasons for reaching that conclusion, and in that event subsection (3) does not apply. 5 10 15 20 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 89 Wet No. 4 van 2013 89 Oudit 89. (1) Die Reguleerder moet, uit eie beweging, of op versoek van of namens die verantwoordelike party, datasubjek of enige ander persoon, ’n oudit om te bepaal of ’n geval van prosessering van persoonlike inligting aan die bepalings van hierdie Wet voldoen, op die voorgeskrewe wyse doen. (2) Die Reguleerder moet die oudit doen indien dit blyk gepas te wees, tensy, waar die oudit op versoek gedoen word, die Reguleerder nie van sodanige inligting voorsien is nie as wat die Reguleerder redelikerwys kan benodig ten einde die Reguleerder— (a) (b) self te oortuig met betrekking tot die identiteit van die persoon wat die versoek rig; en in staat te stel om die betrokke aksie te identifiseer. (3) Die aangeleenthede ten opsigte waarvan die Reguleerder oorweging mag skenk ten einde vas te stel of dit gepas is om ’n oudit uit te voer, behels ook— (a) die mate waartoe die versoek vir die Reguleerder blyk ’n wesenlike aangeleentheid op te werp; 5 10 15 (b) enige onnodige vertraging in die rig van die versoek; en (c) of die persoon wat die versoek rig daarop geregtig is om ’n versoek kragtens artikel 23 of 24 ten opsigte van die betrokke persoonlike inligting te rig, al dan nie. (4) Indien die Reguleerder ’n versoek kragtens hierdie artikel ontvang het moet die 20 Reguleerder die versoeker verwittig— (a) of die Reguleerder ’n oudit as gevolg van die versoek gedoen het; en (b) vir sover die Reguleerder dit geskik ag, met besondere inagneming van ’n vrystelling wat die Reguleerder ingevolge artikel 37 van die toepassing van artikel 23 of 24 met betrekking tot die betrokke persoonlike inligting verleen het, van enige standpunt wat ingeneem is of stappe wat gedoen is as gevolg van die versoek. Inligtingskennisgewing 90. (1) Indien die Reguleerder— (a) (b) ’n versoek kragtens artikel 89 ten opsigte van enige prosessering van persoonlike inligting ontvang het; of redelikerwys enige inligting vereis met die oogmerk om vas te stel of ’n verantwoordelike party met die persoonlike inligting van ’n datasubjek ingemeng het of inmeng, kan die Reguleerder ’n inligtingskennisgewing op die verantwoordelike party beteken wat van die verantwoordelike party vereis om, binne ’n bepaalde tydperk, in die vorm wat in die kennisgewing vermeld word, die Reguleerder te voorsien van ’n verslag waarin aangedui word dat die prosessering in ooreenstemming met die bepalings van die Wet geskied, of van sodanige inligting met betrekking tot die versoek of ten opsigte van die nakoming van die Wet wat as sodanig versoek word. (2) ’n Inligtingskennisgewing moet besonderhede van die reg tot appèl wat deur artikel 97 verleen word, bevat, en— (a) (b) in ’n geval in subartikel (1)(a) bedoel, ’n verklaring dat die Reguleerder ’n versoek kragtens artikel 89 met betrekking tot die bepaalde prosessering ontvang het; of in ’n geval in subartikel (1)(b) bedoel, ’n verklaring dat die Reguleerder die bepaalde inligting as tersaaklik beskou vir die doel om vas te stel of die verantwoordelike party aan die voorwaardes vir die regmatige prosessering van persoonlike inligting voldoen het of voldoen en die redes waarom dit as tersaaklik vir daardie doel beskou word. (3) Behoudens subartikel (5), moet die tydperk vermeld in ’n inligtingskennisgewing nie verstryk voor die einde van die tydperk waarbinne ’n appèl teen die kennisgewing aangeteken kan word nie, en, indien sodanige appèl aangeteken word, hoef die inligting, terwyl die vasstelling of terugtrekking van die appèl nog hangende is, nie verskaf te word nie. (4) Indien die Reguleerder van mening is dat die inligting as ’n saak van dringendheid vereis word, kan die Reguleerder ’n verklaring te dien effekte en ’n verklaring van die Reguleerder se redes vir die afleiding in die kennisgewing invoeg, en in daardie geval geld subartikel (3) nie. 25 30 35 40 45 50 55 90 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 90 (5) A notice in terms of subsection (4) may not require the information to be furnished before the end of a period of three days beginning with the day on which the notice is served. (6) An information notice may not require a responsible party to furnish the Regulator with any communication between a— (a) professional legal adviser and his or her client in connection with the giving of legal advice on the client’s obligations, liabilities or rights under this Act; or (b) professional legal adviser and his or her client, or between such an adviser or his or her client and any other person, made in connection with or in contemplation of proceedings under or arising out of this Act (including proceedings before a court) and for the purposes of such proceedings. (7) In subsection (6) references to the client of a professional legal adviser include any person representing such a client. (8) An information notice may not require a responsible party to furnish the Regulator with information that would, by revealing evidence of the commission of any offence other than an offence under this Act, expose the responsible party to criminal proceedings. (9) The Regulator may cancel an information notice by written notice to the responsible party on whom it was served. Parties to be informed of result of assessment 91. (1) After completing the assessment referred to in section 89 the Regulator— (a) must report to the responsible party the results of the assessment and any recommendations that the Regulator considers appropriate; and (b) may, in appropriate cases, require the responsible party, within a specified time, to inform the Regulator of any action taken or proposed to be taken to implement the recommendations contained in the report or reasons why no such action has been or is proposed to be taken. (2) The Regulator may make public any information relating to the personal information management practices of a responsible party that has been the subject of an assessment under this section if the Regulator considers it in the public interest to do so. (3) A report made by the Regulator under subsection (1) is deemed to be the equivalent of an enforcement notice in terms of section 95. Matters referred to Enforcement Committee 92. (1) After completing the investigation of a complaint or other matter in terms of this Act, the Regulator may refer such complaint or other matter to the Enforcement Committee for consideration, a finding in respect of the complaint or other matter and a recommendation in respect of the proposed action to be taken by the Regulator as referred to in section 93. (2) The Regulator may prescribe the procedure to be followed by the Enforcement Committee, including— (a) (b) (c) (d) the manner in which the responsible party and data subject may make submissions to the Enforcement Committee; the opportunity afforded to the parties who make submissions to the Enforcement Committee to make use of legal or other representation; the period within which the Enforcement Committee must make a finding and submit its recommendation to the Regulator in respect of the complaint or other matter; and the manner in which the Enforcement Committee may finalise urgent matters. 5 10 15 20 25 30 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 91 Wet No. 4 van 2013 91 (5) ’n Kennisgewing ingevolge subartikel (4) kan nie vereis dat die inligting verskaf word nie voor die einde van ’n tydperk van drie dae vanaf die dag waarop die kennisgewing beteken is. (6) ’n Inligtingskennisgewing kan nie van ’n verantwoordelike party vereis om die Reguleerder te voorsien van enige kommunikasie tussen ’n— (a) professionele regsadviseur en sy of haar kliënt in verband met die verlening van regsadvies met betrekking tot die kliënt se verpligtinge, aanspreeklikhede of regte kragtens hierdie Wet nie; of (b) professionele regsadviseur en sy of haar kliënt, of tussen sodanige adviseur en sy of haar kliënt en enige ander persoon, verleen in verband met of in afwagting van verrigtinge kragtens of voortvloeiend uit hierdie Wet (met inbegrip van verrigtinge voor ’n hof) en vir die oogmerke van sodanige verrigtinge nie. (7) Verwysings in subartikel (6) na die kliënt van ’n professionele regsadviseur sluit ’n persoon wat sodanige kliënt verteenwoordig in. 5 10 15 (8) ’n Inligtingskennisgewing kan nie van ’n verantwoordelike party vereis om die Reguleerder van inligting te voorsien wat, deurdat dit bewys van die pleeg van ’n misdryf anders as ’n misdryf kragtens hierdie Wet aan die lig bring, die verantwoordelike party aan strafregtelike verrigtinge blootstel nie. (9) Die Reguleerder kan ’n inligtingskennisgewing by wyse van skriftelike 20 kennisgewing aan die verantwoordelike party op wie dit beteken is, kanselleer. Partye moet van uitslag van oudit verwittig word 91. (1) Die Reguleerder, by afhandeling van die oudit in artikel 89 bedoel— (a) moet die uitslae van die oudit en enige aanbevelings wat die Reguleerder goed vind aan die verantwoordelike party rapporteer; en (b) kan, in geskikte gevalle, vereis dat die verantwoordelike party, binne ’n bepaalde tydperk, die Reguleerder moet verwittig van enige stappe wat gedoen is of wat voorgestel word om gedoen te word om die aanbevelings wat in die verslag vervat is te implementeer of van redes waarom geen sodanige stappe gedoen is nie of nie voorgestel word om gedoen te word nie. (2) Die Reguleerder kan enige inligting met betrekking tot die bestuurspraktyke oor persoonlike inligting van ’n verantwoordelike party wat die onderwerp van ’n oudit kragtens hierdie artikel was, openbaar maak, indien die Reguleerder dit in die openbare belang ag om so te doen. 25 30 (3) ’n Verslag deur die Reguleerder kragtens subartikel (1) gemaak, word as die 35 ekwivalent van ’n afdwingingskennisgewing ingevolge artikel 95 beskou. Aangeleenthede verwys na Afdwingingskomitee 92. (1) By die afhandeling van die ondersoek van ’n klagte of ander aangeleentheid ingevolge hierdie Wet, kan die Reguleerder sodanige klagte of ander aangeleentheid na die Afdwingingskomitee verwys vir oorweging, ’n bevinding ten opsigte van die klagte of ander aangeleentheid en ’n aanbeveling, soos in artikel 93 bedoel, ten opsigte van die voorgestelde stappe wat deur die Reguleerder geneem behoort te word. (2) Die Reguleerder kan die prosedure wat deur die Afdwingingskomitee gevolg moet 40 word, voorskryf, met inbegrip van— (a) die wyse waarop die verantwoordelike party en datasubjek voorleggings aan 45 die Afdwingingskomitee kan maak; (b) die geleentheid wat gegun kan word aan die partye wat voorleggings aan die Afdwingingskomitee maak om van regsverteenwoordiging of ander verteenwoordiging gebruik te maak; (c) die tydperk waarbinne die Afdwingingskomitee ’n bevinding moet maak en die Komitee se aanbeveling ten opsigte van die klagte of ander aangeleentheid aan die Reguleerder moet voorlê; en (d) die wyse waarop die Afdwingingskomitee dringende aangeleenthede kan 50 afhandel. 92 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 92 Functions of Enforcement Committee

93. The Enforcement Committee— (a) must consider all matters referred to it by the Regulator in terms of section 92 or the Promotion of Access to Information Act and make a finding in respect thereof; and (b) may make any recommendation to the Regulator necessary or incidental to any action that should be taken against— (i) a responsible party in terms of this Act; or (ii) an information officer or head of a private body, as the case may be, in terms of the Promotion of Access to Information Act. Parties to be informed of developments during and result of investigation

94. If an investigation is made following a complaint, and— (a) (b) the Regulator believes that no interference with the protection of the personal information of a data subject has taken place and therefore does not serve an enforcement notice; the Regulator has referred the complaint to the Enforcement Committee for consideration in terms of section 92; an enforcement notice is served in terms of section 95; (c) (d) a served enforcement notice is cancelled in terms of section 96; (e) an appeal is lodged against the enforcement notice for cancellation or variation of the notice in terms of section 97; or an appeal against an enforcement notice is allowed, the notice is substituted or the appeal is dismissed in terms of section 98, (f) the Regulator must inform the complainant and the responsible party, as soon as reasonably practicable, in the manner prescribed of any development mentioned in paragraphs (a) to (f) and the result of the investigation. Enforcement notice 95. (1) If the Regulator, after having considered the recommendation of the Enforcement Committee in terms of section 93, is satisfied that a responsible party has interfered or is interfering with the protection of the personal information of a data subject as referred to in section 73, the Regulator may serve the responsible party with an enforcement notice requiring the responsible party to do either or both of the following: (a) To take specified steps within a period specified in the notice, or to refrain (b) from taking such steps; or to stop processing personal information specified in the notice, or to stop processing personal information for a purpose or in a manner specified in the notice within a period specified in the notice. (2) An enforcement notice must contain— (a) a statement indicating the nature of the interference with the protection of the personal information of the data subject and the reasons for reaching that conclusion; and (b) particulars of the rights of appeal conferred by section 97. (3) Subject to subsection (4), an enforcement notice may not require any of the provisions of the notice to be complied with before the end of the period within which an appeal may be brought against the notice and, if such an appeal is brought, the notice need not be complied with pending the determination or withdrawal of the appeal. (4) If the Regulator considers that an enforcement notice should be complied with as a matter of urgency it may include in the notice a statement to that effect and a statement of its reasons for reaching that conclusion, and in that event subsection (3) does not apply. (5) A notice in terms of subsection (4) may not require any of the provisions of the notice to be complied with before the end of a period of three days beginning with the day on which the notice is served. 5 10 15 20 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 93 Wet No. 4 van 2013 93 Werksaamhede van Afdwingingskomitee

93. Die Afdwingingskomitee— (a) moet alle aangeleenthede wat ingevolge artikel 92 van die Wet op Bevordering van Toegang tot Inligting deur die Reguleerder na die Komitee verwys word, oorweeg en ’n bevinding ten opsigte daarvan maak; en (b) kan ’n aanbeveling aan die Reguleerder maak wat noodsaaklik of bykomstig is tot enige stappe wat gedoen behoort te word teen— (i) (ii) ’n verantwoordelike party ingevolge hierdie Wet; of ’n inligtingsbeampte of hoof van ’n privaatliggaam, na gelang van die geval, ingevolge die Wet op Bevordering van Toegang tot Inligting. Partye moet van vordering tydens en uitslag van ondersoek verwittig word

94. Indien ’n ondersoek gedoen word wat op ’n klagte volg, en— (a) die Reguleerder van oordeel is dat geen inmenging met die beskerming van die persoonlike inligting van ’n datasubjek plaasgevind het nie en derhalwe nie ’n afdwingingskennisgewing beteken nie; (b) die Reguleerder die klagte na die Afdwingingskomitee verwys het vir (c) (d) (e) (f) oorweging ingevolge artikel 92; ’n afdwingingskennisgewing ingevolge artikel 95 beteken is; ’n afdwingingskennisgewing wat beteken is ingevolge artikel 96 gekanselleer word; ’n appèl aangeteken word teen ’n afdwingingskennisgewing vir die kansellering of wysiging van die kennisgewing ingevolge artikel 97; of ’n appèl teen ’n afdwingingskennisgewing toegelaat word, die kennisgewing vervang word of die appèl ingevolge artikel 98 van die hand gewys word, moet die Reguleerder, so gou as wat dit redelikerwys moontlik is, die klaer of klaagster en die verantwoordelike party, op die voorgeskrewe wyse, van enige verwikkeling in paragrawe (a) tot (f) vermeld en die uitslag van die ondersoek, verwittig. Afdwingingskennisgewing 95. (1) Indien die Reguleerder, na oorweging van die aanbeveling van die Afdwingingskomitee ingevolge artikel 93, oortuig is dat ’n verantwoordelike party met die beskerming van die persoonlike inligting van ’n datasubjek soos in artikel 73 bedoel, ingemeng het of inmeng kan die Reguleerder ’n afdwingingskennisgewing op die verantwoordelike party beteken wat vereis dat die verantwoordelike party een of beide van die volgende doen: 5 10 15 20 25 30 (a) Om bepaalde stappe binne ’n bepaalde tydperk in die kennisgewing vermeld 35 te doen, of om sodanige stappe nie te doen nie; of (b) om op te hou om persoonlike inligting in die kennisgewing vermeld, te prosesseer of om op te hou om persoonlike inligting vir ’n doel of op ’n wyse wat in die kennisgewing vermeld is, binne ’n tydperk wat in die kennisgewing vermeld word, te prosesseer. (2) ’n Afdwingingskennisgewing moet— (a) ’n verklaring wat die aard van die inmenging met die beskerming van die persoonlike inligting van die datasubjek en die redes vir daardie afleiding aandui; en (b) besonderhede van die reg tot appèl deur artikel 97 verleen, bevat. (3) Behoudens subartikel (4), kan ’n afdwingingskennisgewing nie vereis dat enige van die bepalings van die kennisgewing nagekom word voor die einde van die tydperk waarbinne ’n appèl teen die kennisgewing aangeteken kan word nie en, indien sodanige appèl aangeteken word, hoef die kennisgewing terwyl die vasstelling of terugtrekking van die appèl nog hangende is, nie aan voldoen te word nie. (4) Indien die Reguleerder van mening is dat voldoening aan ’n afdwingings- kennisgewing as ’n saak van dringendheid vereis word, kan die Reguleerder ’n verklaring te dien effekte, en ’n verklaring van die Reguleerder se redes vir die afleiding, in die kennisgewing invoeg, en in daardie geval geld subartikel (3) nie. (5) ’n Kennisgewing ingevolge subartikel (4) mag nie vereis dat enige van die bepalings van die kennisgewing aan voldoen word nie voor die einde van ’n tydperk van drie dae vanaf die dag waarop die kennisgewing beteken is. 40 45 50 55 94 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 Cancellation of enforcement notice 94 96. (1) A responsible party on whom an enforcement notice has been served may, at any time after the expiry of the period during which an appeal may be brought against that notice, apply in writing to the Regulator for the cancellation or variation of that notice on the ground that, by reason of a change of circumstances, all or any of the provisions of that notice need not be complied with in order to ensure compliance with the conditions for the lawful processing of personal information. (2) If the Regulator considers that all or any of the provisions of an enforcement notice need not be complied with in order to ensure compliance with a condition for the lawful processing of personal information or conditions to which it relates, it may cancel or vary the notice by written notice to the responsible party on whom it was served. Right of appeal 97. (1) A responsible party on whom an information or enforcement notice has been served may, within 30 days of receiving the notice, appeal to the High Court having jurisdiction for the setting aside or variation of the notice. (2) A complainant, who has been informed of the result of the investigation in terms of section 77(3) or 96, may, within 180 days of receiving the result, appeal to the High Court having jurisdiction against the result. Consideration of appeal 98. (1) If in an appeal under section 97 the court considers— (a) (b) that the notice or decision against which the appeal is brought is not in accordance with the law; or that the notice or decision involved an exercise of discretion by the Regulator that ought to have been exercised differently, 5 10 15 20 the court must allow the appeal and may set aside the notice or substitute such other notice or decision as should have been served or made by the Regulator. 25 (2) In such an appeal, the court may review any determination of fact on which the notice in question was based. Civil remedies 99. (1) A data subject or, at the request of the data subject, the Regulator, may institute a civil action for damages in a court having jurisdiction against a responsible party for breach of any provision of this Act as referred to in section 73, whether or not there is intent or negligence on the part of the responsible party. (2) In the event of a breach the responsible party may raise any of the following defences against an action for damages: (a) Vis major; (b) consent of the plaintiff; (c) (d) compliance was not reasonably practicable in the circumstances of the fault on the part of the plaintiff; particular case; or the Regulator has granted an exemption in terms of section 37. (e) (3) A court hearing proceedings in terms of subsection (1) may award an amount that is just and equitable, including— (a) payment of damages as compensation for patrimonial and non-patrimonial loss suffered by a data subject as a result of breach of the provisions of this Act; (b) aggravated damages, in a sum determined in the discretion of the Court; (c) interest; and 30 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 95 Wet No. 4 van 2013 Kansellasie van afdwingingskennisgewing 95 96. (1) ’n Verantwoordelike party op wie ’n afdwingingskennisgewing beteken is kan, teen die te eniger tyd na die verstryking van die tydperk waarbinne ’n appèl kennisgewing aangeteken kan word, skriftelik by die Reguleerder aansoek doen om die kansellasie of wysiging van daardie kennisgewing op grond daarvan dat, weens ’n verandering in omstandighede, alle of sommige van die bepalings van daardie kennisgewing nie hoef nagekom te word ten einde voldoening aan die voorwaardes vir die regmatige prosessering van persoonlike inligting te verseker nie. (2) Indien die Reguleerder van mening is dat alle of sommige van die bepalings van die afdwingingskennisgewing nie aan voldoen hoef te word nie ten einde voldoening aan ’n voorwaarde vir die regmatige prosessering van persoonlike inligting of te verseker, kan die Reguleerder die voorwaardes waarmee dit verband hou, kennisgewing by wyse van skriftelike kennisgewing aan die verantwoordelike party op wie dit beteken is, kanselleer of wysig. Reg tot appèl 97. (1) ’n Verantwoordelike party op wie ’n inligtings- of afdwingingskennisgewing beteken is, kan, binne 30 dae nadat die kennisgewing ontvang is, ’n appèl vir die tersydestelling of wysiging van die kennisgewing aanteken by die Hooggeregshof wat met regsbevoegdheid beklee is. (2) ’n Klaer of klaagster, wat van die uitslag van ’n ondersoek ingevolge artikel 77(3) of 96 in kennis gestel is, kan, binne 180 dae nadat die uitslag ontvang is, ’n appèl teen die uitslag aanteken by die Hooggeregshof wat met regsbevoegdheid beklee is. Oorweging van appèl 5 10 15 20 98. (1) Indien in ’n appèl kragtens artikel 97 die hof van oordeel is— (a) dat die kennisgewing of besluit waarteen appèl aangeteken is nie in 25 ooreenstemming met die reg is nie; of (b) dat die kennisgewing of besluit ’n uitoefening van diskresie deur die Reguleerder behels het wat anders uitgeoefen moes wees, moet die hof die appèl toestaan en kan die hof die kennisgewing tersyde stel of sodanige in die plek daarvan stel as wat die Reguleerder ander kennisgewing of besluit veronderstel was om te beteken of te neem. 30 (2) In sodanige appèl, kan die hof enige feitebevinding waarop die betrokke kennisgewing gebaseer is, hersien. Siviele remedies 99. (1) ’n Datasubjek of, op versoek van ’n datasubjek, die Reguleerder, kan ’n siviele aksie vir skadevergoeding teen ’n verantwoordelike party instel in ’n hof wat met regsbevoegdheid beklee is vir die verbreking van enige bepaling van hierdie Wet soos by artikel 73 bedoel, hetsy daar opset of nalatigheid aan die kant van die verantwoordelike party is, al dan nie. 35 (2) In die geval van ’n verbreking kan die verantwoordelike party enige van die 40 volgende verwere teen ’n aksie vir skadevergoeding opper: (a) Vis major; (b) (c) (d) voldoening in die omstandighede van die betrokke geval nie redelikerwys toestemming van die eiser of eiseres; skuld aan die kant van die eiser of eiseres; moontlik was nie; of (e) die Reguleerder het ’n vrystelling ingevolge artikel 37 verleen. (3) ’n Hof wat die verrigtinge ingevolge subartikel (1) aanhoor kan ’n bedrag wat regverdig en billik is toeken, met inbegrip van— (a) betaling van skadevergoeding as vergoeding vir vermoëns- en nievermoëns- skade wat as gevolg van die verbreking van die bepalings van hierdie Wet deur die datasubjek gely is; (b) verswarende skadevergoeding tot die bedrag wat ingevolge die diskresie van die hof vasgestel word; rente; en (c) 45 50 55 96 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 96 (d) costs of suit on such scale as may be determined by the Court. (4) Any amount awarded to the Regulator in terms of subsection (3) must be dealt with in the following manner: (a) The full amount must be deposited into a specifically designated trust account established by the Regulator with an appropriate financial institution; (b) as a first charge against the amount, the Regulator may recover all reasonable expenses incurred in bringing proceedings at the request of a data subject in terms of subsection (1) and in administering the distributions made to the data subject in terms of subsection (5); and the balance, if any (in this section referred to as the ‘‘distributable balance’’), must be distributed by the Regulator to the data subject at whose request the proceedings were brought. (c) (5) Any amount not distributed within three years from the date of the first distribution of payments in terms of subsection (4), accrue to the Regulator in the Regulator’s official capacity. (6) The distributable balance must be distributed on a pro rata basis to the data subject referred to in subsection (1). (7) A Court issuing any order under this section must order it to be published in the Gazette and by such other appropriate public media announcement as the Court considers appropriate. (8) Any civil action instituted under this section may be withdrawn, abandoned or compromised, but any agreement or compromise must be made an order of Court. (9) If a civil action has not been instituted, any agreement or settlement, if any, may, on application to the Court by the Regulator after due notice to the other party, be made an order of Court and must be published in the Gazette and by such other public media announcement as the Court considers appropriate. 5 10 15 20 25 CHAPTER 11 OFFENCES, PENALTIES AND ADMINISTRATIVE FINES Obstruction of Regulator

100. Obstruction of Regulator

101. Breach of confidentiality

102. Obstruction of execution of warrant

103. Failure to comply with enforcement or information notices

104. Offences by witnesses

105. Unlawful acts by responsible party in connection with account number

106. Unlawful acts by third parties in connection with account number

108. Magistrate’s Court jurisdiction to impose penalties

109. Administrative fines CHAPTER 12 GENERAL PROVISIONS

100. Any person who hinders, obstructs or unlawfully influences the Regulator or any person acting on behalf of or under the direction of the Regulator in the performance of the Regulator’s duties and functions under this Act, is guilty of an offence. 30 Breach of confidentiality

101. Any person who contravenes the provisions of section 54, is guilty of an offence. Obstruction of execution of warrant

102. Any person who— (a) (b) intentionally obstructs a person in the execution of a warrant issued under section 82; or fails without reasonable excuse to give any person executing such a warrant such assistance as he or she may reasonably require for the execution of the warrant, is guilty of an offence. Failure to comply with enforcement or information notices 103. (1) A responsible party which fails to comply with an enforcement notice served in terms of section 95, is guilty of an offence. (2) A responsible party which, in purported compliance with an information notice served in terms of section 90— (a) makes a statement knowing it to be false; or 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 97 Wet No. 4 van 2013 97 (d) koste van die verrigtinge op sodanige skaal wat deur die hof vasgestel kan word. (4) Enige bedrag wat kragtens subartikel (3) aan die Reguleerder toegeken is moet op die volgende wyse hanteer word: (a) Die volle bedrag moet inbetaal word in ’n bepaalde aangewese trustrekening wat deur die Reguleerder by ’n gepaste finansiële instelling geskep is; (b) as ’n eerste aftrekking teen die bedrag, kan die Reguleerder alle redelike uitgawes verhaal wat met die instelling van die verrigtinge op versoek van ’n datasubjek ingevolge subartikel (1) aangegaan is en in die administrasie van die uitkering wat aan die datasubjek ingevolge subartikel (5) gemaak is; en (c) die balans, indien enige (in hierdie artikel na verwys as die ‘‘uitkeerbare balans’’) moet deur die Reguleerder aan die datasubjek op wie se versoek die verrigtinge gebring is, uitgekeer word. (5) Enige bedrag wat nie binne drie jaar na die datum van die eerste uitkering van betalings ingevolge subartikel (4) uitgekeer is nie, val die Reguleerder in die Reguleerder se amptelike hoedanigheid toe. (6) Die uitkeerbare balans moet op ’n pro rata basis aan die datasubjek bedoel in subartikel (1) uitgekeer word. (7) ’n Hof wat enige bevel kragtens hierdie artikel uitvaardig moet beveel dat die bevel in die Staatskoerant en by wyse van sodanige geskikte openbare bekendmaking in die media, as wat die Hof as geskik beskou, openbaar gemaak word. (8) ’n Siviele aksie wat kragtens hierdie artikel ingestel is, mag teruggetrek, laat vaar of bygelê word, maar ’n ooreenkoms of kompromie moet ’n bevel van die hof gemaak word. (9) Indien ’n siviele aksie nie ingestel is nie, kan enige ooreenkoms of skikking, indien enige, by aansoek tot die Hof deur die Reguleerder, na behoorlike kennisgewing aan die ander party, ’n bevel van die Hof gemaak word en moet dit in die Staatskoerant en by wyse van sodanige ander openbare bekendmaking in die media as wat die Hof as geskik beskou, openbaar gemaak word. HOOFSTUK 11 MISDRYWE, STRAWWE EN ADMINISTRATIEWE BOETES 5 10 15 20 25 30 Belemmering van Reguleerder

100. Enige persoon wat die Reguleerder, of enige persoon wat namens of kragtens die aanwysing van die Reguleerder optree, in die uitvoering van die Reguleerder se pligte of werksaamhede kragtens hierdie Wet, hinder, belemmer of onregmatig beïnvloed, is skuldig aan ’n misdryf. 35 Vertroulikheidsbreuk

101. Enige persoon wat die bepalings van artikel 54 oortree, is skuldig aan ’n misdryf. Belemmering van uitvoering van lasbrief

102. Enige persoon wat— (a) opsetlik ’n persoon in die uitvoering van ’n lasbrief wat kragtens artikel 82 (b) uitgereik is, belemmer; of sonder ’n redelike verskoning versuim om aan ’n persoon wat sodanige lasbrief uitvoer sodanige bystand te verleen as wat hy of sy redelikerwys kan vereis vir die uitvoering van die lasbrief, is skuldig aan ’n misdryf. Versuim om aan afdwingings- of inligtingskennisgewings te voldoen 40 45 103. (1) ’n Verantwoordelike party wat versuim om aan ’n afdwingingskennisgewing wat kragtens artikel 95 beteken is, te voldoen, is skuldig aan ’n misdryf. (2) ’n Verantwoordelike party wat, in beweerde nakoming van ’n inligtingskennis- 50 gewing wat ingevolge artikel 90 beteken is— (a) ’n verklaring maak wetende dat dit vals is; of 98 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 98 (b) recklessly makes a statement which is false, in a material respect, is guilty of an offence. Offences by witnesses 104. (1) Any person summoned in terms of section 81 to attend and give evidence or to produce any book, document or object before the Regulator who, without sufficient cause fails— (a) (b) to attend at the time and place specified in the summons; to remain in attendance until conclusion of the proceedings or until he or she is excused by the Chairperson of the Regulator from further attendance; (c) having attended, refuses to be sworn or to make an affirmation as witness after he or she has been required by the Chairperson of the Regulator to do so; (d) having been sworn or having made an affirmation, to answer fully and (e) satisfactorily any question lawfully put to him or her; or to produce any book, document or object in his or her possession or custody or under his or her control, which he or she has been summoned to produce, 5 10 15 is guilty of an offence. (2) Any person who after having been sworn or having made an affirmation, gives false evidence before the Regulator on any matter, knowing such evidence to be false or not knowing or believing it to be true, is guilty of an offence. Unlawful acts by responsible party in connection with account number 20 105. (1) A responsible party who contravenes the provisions of section 8 insofar as those provisions relate to the processing of an account number of a data subject is, subject to subsections (2) and (3), guilty of an offence. (2) The contravention referred to in subsection (1) must— (a) be of a serious or persistent nature; and (b) likely cause substantial damage or distress to the data subject. (3) The responsible party must— (a) have known or ought to have known that— (i) (ii) there was a risk that the contravention would occur; or such contravention would likely cause substantial damage or distress to the data subject; and (b) have failed to take reasonable steps to prevent the contravention. (4) Whenever a responsible party is charged with an offence under subsection (1), it is a valid defence to such a charge to contend that he or she has taken all reasonable steps to comply with the provisions of section 8. (5) ‘‘Account number’’, for purposes of this section and section 106, means any unique identifier that has been assigned— (a) (b) to one data subject only; or jointly to more than one data subject, by a financial or other institution which enables the data subject, referred to in paragraph (a), to access his, her or its own funds or to access credit facilities or which enables a data subject, referred to in paragraph (b), to access joint funds or to access joint credit facilities. Unlawful acts by third parties in connection with account number 25 30 35 40 106. (1) A person who knowingly or recklessly, without the consent of the responsible 45 party— (a) obtains or discloses an account number of a data subject; or (b) procures the disclosure of an account number of a data subject to another person, is, subject to subsection (2), guilty of an offence. 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 99 Wet No. 4 van 2013 99 (b) op roekelose wyse ’n verklaring maak wat, in ’n wesenlike opsig, vals is, is skuldig aan ’n misdryf. Misdrywe deur getuies 104. (1) Enige persoon wat, ingevolge artikel 81 gebied is om voor die Reguleerder te verskyn en getuienis af te lê of enige boek, dokument of objek voor te lê, wat sonder voldoende rede— (a) nalaat om op die tyd en plek wat in die dagvaarding vermeld is te verskyn; (b) nalaat om teenwoordig te bly totdat die verrigtinge afgehandel is of totdat hy of sy deur die Voorsitter van die Reguleerder van verdere bywoning verskoon word; (c) by bywoning, weier om ingesweer te word of om ’n bevestiging af te lê as getuie nadat hy of sy deur die Voorsitter van die Reguleerder vereis is om so te doen; (d) nalaat om enige vraag wat regmatig aan hom of haar gestel word, nadat hy of sy ingesweer is of ’n bevestiging afgelê het, volledig en bevredigend te antwoord; of (e) nalaat om enige boek, dokument of objek voor te lê wat in sy of haar besit of bewaring of onder sy of haar beheer is, wat hy of sy gebied is om voor te lê, is skuldig aan ’n misdryf. (2) Enige persoon wat, nadat hy of sy ingesweer is of ’n bevestiging afgelê het, valse getuienis voor die Reguleerder aangaande enige aangeleentheid aflê, wel wetende dat sodanige getuienis vals is of nie weet of glo dat dit waar is nie, is skuldig aan ’n misdryf. Wederregtelike handelinge deur verantwoordelike party in verband met rekeningnommer 105. (1) ’n Verantwoordelike party wat die bepalings van artikel 8 oortree vir sover daardie bepalings op die prosessering van ’n rekeningnommer van ’n datasubjek betrekking het, is, behoudens subartikels (2) en (3), skuldig aan ’n misdryf. (2) Die oortreding in subartikel (1) vermeld, moet— (a) van ’n ernstige of voortdurende aard wees; en (b) waarskynlik wesenlike skade of nood vir ’n datasubjek veroorsaak. (3) Die verantwoordelike party moet— (a) geweet het of behoort te geweet het dat— (i) daar ’n risiko was dat die oortreding sou plaasvind; of (ii) sodanige oortreding waarskynlik wesenlike skade of nood vir die datasubjek sou veroorsaak; en (b) versuim het om redelike stappe te doen om die oortreding te voorkom. (4) Wanneer ’n verantwoordelike party van ’n misdryf kragtens subartikel (1) aangekla word, is dit ’n geldige verweer ten opsigte van sodanige aanklag om aan te voer dat hy of sy alle redelike stappe gedoen het om aan die bepalings van artikel 8 te voldoen. (5) ‘‘Rekeningnommer’’, by die toepassing van hierdie artikel en artikel 106, beteken enige unieke identifiseerder wat toegewys is— slegs aan een datasubjek; of (a) (b) gesamentlik aan meer as een datasubjek, deur ’n finansiële of ander instelling wat die datasubjek, in paragraaf (a) bedoel, in staat stel om toegang tot die datasubjek se eie fondse te verkry of om toegang tot kredietfasiliteite te verkry of wat ’n datasubjek, in paragraaf (b) bedoel, in staat stel om toegang tot gesamentlike fondse te verkry of om toegang tot gesamentlike krediet- fasiliteite te verkry. 5 10 15 20 25 30 35 40 45 Wederregtelike handelinge deur derde partye in verband met rekeningnommer 50 106. (1) ’n Persoon wat bewustelik of op roekelose wyse, sonder die toestemming van die verantwoordelike party— ’n rekeningnommer van ’n datasubjek verkry of bekend maak; of (a) (b) die bekendmaking van ’n rekeningnommer van ’n datasubjek aan ’n ander persoon bewerkstellig, is, behoudens subartikel (2), skuldig aan ’n misdryf. 55 100 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 100 (2) Whenever a person is charged with an offence under subsection (1), it is a valid defence to such a charge to contend that— (a) the obtaining, disclosure or procuring of the account number was— (i) necessary for the purpose of the prevention, detection, investigation or (ii) proof of an offence; or required or authorised in terms of the law or in terms of a court order; (b) he or she acted in the reasonable belief that he or she was legally entitled to obtain or disclose the account number or, as the case may be, to procure the disclosure of the account number to the other person; (c) he or she acted in the reasonable belief that he or she would have had the consent of the responsible party if the responsible party had known of the obtaining, disclosing or procuring and the circumstances of it; or in the particular circumstances the obtaining, disclosing or procuring was in the public interest. (d) 5 10 (3) A person who sells an account number which he or she has obtained in 15 contravention of subsection (1), is guilty of an offence. (4) A person who offers to sell the account number of a data subject which that person— (a) has obtained; or (b) subsequently obtained, 20 in contravention of subsection (1), is guilty of an offence. (5) For the purposes of subsection (4), an advertisement indicating that an account number of a data subject is or may be for sale is an offer to sell the information. Penalties

107. Any person convicted of an offence in terms of this Act, is liable, in the case of 25 a contravention of— (a) (b) section 100, 103(1), 104(2), 105(1), 106(1), (3) or (4) to a fine or to imprisonment for a period not exceeding 10 years, or to both a fine and such imprisonment; or section 59, 101, 102, 103(2) or 104(1), to a fine or to imprisonment for a period not exceeding 12 months, or to both a fine and such imprisonment. Magistrate’s Court jurisdiction to impose penalties

108. Despite anything to the contrary contained in any other law, a Magistrate’s Court has jurisdiction to impose any penalty provided for in section 107. Administrative fines 109. (1) If a responsible party is alleged to have committed an offence in terms of this Act, the Regulator may cause to be delivered by hand to that person (hereinafter referred to as the infringer) an infringement notice which must contain the particulars contemplated in subsection (2). (2) A notice referred to in subsection (1) must— (a) (b) (c) (d) specify the name and address of the infringer; specify the particulars of the alleged offence; specify the amount of the administrative fine payable, which amount may, subject to subsection (10), not exceed R10 million; inform the infringer that, not later than 30 days after the date of service of the infringement notice, the infringer may— (i) pay the administrative fine; (ii) make arrangements with the Regulator to pay the administrative fine in 30 35 40 45 instalments; or (iii) elect to be tried in court on a charge of having committed the alleged 50 offence referred to in terms of this Act; and GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 101 Wet No. 4 van 2013 101 (2) Waar ’n persoon van ’n misdryf ingevolge subartikel (1) aangekla word, is dit ’n geldige verweer ten opsigte van sodanige aanklag om aan te voer dat— (a) die verkryging, bekendmaking of bewerkstelliging van die rekening- nommer— (i) noodsaaklik is vir die oogmerk van die voorkoming, opsporing, 5 ondersoek of bewys van ’n misdryf; of (ii) vereis of gemagtig was ingevolge die reg of ingevolge ’n hofbevel; (b) hy of sy in die redelike veronderstelling opgetree het dat hy of sy regtens daarop geregtig was om die rekeningnommer te verkry of bekend te maak of, na gelang van die geval, die bekendmaking van die rekeningnommer aan ’n ander persoon te bewerkstellig; (c) hy of sy in die redelike veronderstelling opgetree het dat hy of sy die indien die toestemming van die verantwoordelike party sou gehad het verantwoordelike party van die verkryging, bekendmaking of bewerk- stelliging en die omstandighede daarvan bewus sou wees; of in die besondere omstandighede die verkryging, bekendmaking of bewerk- stelliging in die openbare belang was. (d) 10 15 (3) ’n Persoon wat ’n rekeningnommer verkoop wat hy of sy in oortreding van subartikel (1) verkry het, is skuldig aan ’n misdryf. (4) ’n Persoon wat aanbied om die rekeningnommer van ’n datasubjek te verkoop wat 20 daardie persoon— (a) verkry het; of (b) daaropvolgend verkry het, in oortreding van subartikel (1), is aan ’n misdryf skuldig. (5) ’n Advertensie, by die toepassing van subartikel (4), waarin aangedui word dat ’n rekeningnommer van ’n datasubjek te koop is of te koop kan wees, is ’n aanbod om die inligting te verkoop. 25 Strawwe

107. Enige persoon wat aan ’n misdryf ingevolge hierdie Wet skuldig bevind word, is strafbaar in die geval van ’n oortreding van— (a) artikel 100, 103(1), 104(2), 105(1), 106(1), (3) of (4), met ’n boete of met gevanggenisstraf vir ’n tydperk van hoogstens 10 jaar, of met beide ’n boete en so ’n gevanggenisstraf; of (b) artikel 59, 101, 102, 103(2) of 104(1), met ’n boete of met gevangenisstraf vir ’n tydperk van hoogstens 12 maande, of met beide ’n boete en so ’n gevanggenisstraf. Landdroshof het jurisdiksie om vonnisse op te lê

108. Ondanks enige andersluidende bepaling in enige ander wetsbepaling, het ’n Landdroshof jurisdiksie om enige straf in artikel 107 bedoel, op te lê. Administratiewe boetes 109. (1) Indien beweer word dat ’n verantwoordelike party ’n misdryf ingevolge hierdie Wet gepleeg het, kan die Reguleerder ’n oortredingskennisgewing wat die besonderhede beoog in subartikel (2) moet bevat, per hand aan daardie persoon (hierna die oortreder genoem) laat oorhandig. (2) ’n Kennisgewing in subartikel (1) bedoel moet— (a) die naam en adres van die oortreder vermeld; (b) die besonderhede van die beweerde misdryf vermeld; (c) die bedrag van die administratiewe boete wat betaalbaar is vermeld, welke bedrag, behoudens subartikel (10), nie R10 miljoen mag oorskry nie; (d) die oortreder verwittig dat, nie later as 30 dae na betekening van die oortredingskennisgewing nie, die oortreder— (i) die administratiewe boete kan betaal; (ii) reëlings met die Reguleerder kan tref om die administratiewe boete in paaiemente te betaal; of ’n keuse kan uitoefen om in ’n hof vervolg te word vir die pleeg van die beweerde misdryf ingevolge hierdie Wet bedoel; en (iii) 30 35 40 45 50 55 102 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 102 (e) state that a failure to comply with the requirements of the notice within the time permitted, will result in the administrative fine becoming recoverable as contemplated in subsection (5). (3) When determining an appropriate fine, the Regulator must consider the following factors: (a) The nature of the personal information involved; (b) the duration and extent of the contravention; (c) the number of data subjects affected or potentially affected by the contraven- tion; (d) whether or not the contravention raises an issue of public importance; (e) the likelihood of substantial damage or distress, including injury to feelings or anxiety suffered by data subjects; (f) whether the responsible party or a third party could have prevented the contravention from occurring; 5 10 (g) any failure to carry out a risk assessment or a failure to operate good policies, 15 procedures and practices to protect personal information; and (h) whether the responsible party has previously committed an offence in terms of this Act. (4) If an infringer elects to be tried in court on a charge of having committed the alleged offence in terms of this Act, the Regulator must hand the matter over to the South African Police Service and inform the infringer accordingly. (5) If an infringer fails to comply with the requirements of a notice, the Regulator may file with the clerk or registrar of any competent court a statement certified by it as correct, setting forth the amount of the administrative fine payable by the infringer, and such statement thereupon has all the effects of a civil judgment lawfully given in that court in favour of the Regulator for a liquid debt in the amount specified in the statement. (6) The Regulator may not impose an administrative fine contemplated in this section if the responsible party concerned has been charged with an offence in terms of this Act in respect of the same set of facts. (7) No prosecution may be instituted against a responsible party if the responsible party concerned has paid an administrative fine in terms of this section in respect of the same set of facts. (8) An administrative fine imposed in terms of this section does not constitute a previous conviction as contemplated in Chapter 27 of the Criminal Procedure Act, 1977 (Act No. 51 of 1977). (9) A fine payable in terms of this section must be paid into the National Revenue Fund referred to in section 213 of the Constitution. (10) The Minister may, from time to time and after consultation with the Regulator, by notice in the Gazette, adjust the amount referred to in subsection (2)(c) in accordance with the average of the consumer price index, as published from time to time in the Gazette, for the immediately preceding period of 12 months multiplied by the number of years that the amount referred to in subsection (2)(c) has remained the same. CHAPTER 12 GENERAL PROVISIONS Amendment of laws

110. Amendment of laws

113. Procedure for making regulations

114. Transitional arrangements

115. Short title and commencement 5 10 15 20 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 11 Wet No. 4 van 2013 11 HOOFSTUK 9 INLIGTINGSVLOEI OOR LANDSGRENSE

72. Oordrag van persoonlike inligting buite Republiek HOOFSTUK 10 AFDWINGING Inmenging met beskerming van persoonlike inligting van datasubjek Stappe by ontvangs van klagte Reguleerder kan besluit om geen stappe aangaande klagte te doen nie Skikking van klagtes Tenuitvoerlegging van lasbriewe 73.

75. Wyse van klagtes tot Reguleerder 76. 77.

78. Verwysing van klagte na regulerende liggaam

79. Vooraf-ondersoek verrigtinge van Reguleerder 80.

81. Ondersoekverrigtinge van Reguleerder

82. Uitreiking van lasbriewe

83. Vereistes vir uitreiking van lasbrief 84.

85. Gevalle vrygestel van deursoeking en beslaglegging

86. Kommunikasie tussen regsadviseur en kliënt vrygestel 87. 88.

89. Oudit Inligtingskennisgewing 90. 91. Partye moet van uitslag van oudit verwittig word

92. Aangeleenthede verwys na Afdwingingskomitee

93. Werksaamhede van Afdwingingskomitee 94.

95. Afdwingingskennisgewing

96. Kansellasie van afdwingingskennisgewing 97. Reg tot appèl

98. Oorweging van appèl Siviele remedies 99. Beswaar teen deursoeking en beslaglegging Relaas van lasbriewe Partye moet van vordering tydens en uitslag van ondersoek verwittig word HOOFSTUK 11 MISDRYWE, STRAWWE EN ADMINISTRATIEWE BOETES

100. Belemmering van Reguleerder

101. Vertroulikheidsbreuk

102. Belemmering van uitvoering van lasbrief

103. Versuim om aan afdwingings- of inligtingskennisgewings te voldoen

104. Misdrywe deur getuies

105. Wederregtelike handelinge deur verantwoordelike party in verband met rekeningnommer

106. Wederregtelike handelinge deur derde partye in verband met rekeningnommer

108. Landdroshof het jurisdiksie om vonnisse op te lê

109. Administratiewe boetes HOOFSTUK 12 ALGEMENE BEPALINGS

110. Wysiging van verordeninge

113. Prosedure vir uitvaardiging van regulasies

114. Oorgangsbepalings

115. Kort titel en inwerkingtreding 5 10 15 20 25 30 35 40 45 50 12 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 Laws amended by section 110 12 SCHEDULE CHAPTER 1 DEFINITIONS AND PURPOSE Definitions

110.The laws mentioned in the Schedule are amended to the extent indicated in the third column of the Schedule. Fees 111. (1) The Minister may, subject to section 113 and after consultation with the Regulator, prescribe fees to be paid by data subjects— (a) (b) to responsible parties as referred to in section 23(1)(b)(ii); and to the Regulator as referred to in section 63(3). 20 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 103 Wet No. 4 van 2013 103 (e) vermeld dat die versuim om aan die vereistes van die kennisgewing binne die toegelate tydperk te voldoen, die gevolg sal hê dat die administratiewe boete soos in subartikel (5) beoog, verhaalbaar sal word. (3) By die oorweging van ’n gepaste boete, moet die Reguleerder die volgende faktore in ag neem: 5 (a) Die aard van die persoonlike inligting wat betrokke is; (b) die duur en omvang van die oortreding; (c) die getal datasubjekte wat deur die oortreding geraak of moontlik geraak kan word; (d) of die oortreding ’n saak van openbare belang ophaal; (e) die moontlikheid van wesenlike skade of nood, met inbegrip van die krenking 10 (f) van die gevoelens van of kommer wat deur datasubjekte gely word; of die verantwoordelike party of ’n derde party die oortreding kon voorkom het; (g) enige versuim om ’n risikobepaling uit te voer of ’n versuim om goeie beleid, prosedures en praktyke in plek te stel om persoonlike inligting te beskerm; en (h) of die verantwoordelike party voorheen ’n misdryf ingevolge hierdie Wet gepleeg het. (4) Indien ’n oortreder verkies om in ’n hof verhoor te word op ’n aanklag van die pleeg van ’n beweerde misdryf ingevolge hierdie Wet, moet die Reguleerder die aangeleentheid aan die Suid-Afrikaanse Polisiediens oorhandig en die oortreder dienooreenkomstig verwittig. (5) Indien ’n oortreder versuim om aan die vereistes van ’n kennisgewing te voldoen, kan die Reguleerder by die klerk of Griffier van enige bevoegde hof ’n staat liasseer wat deur die Reguleerder as korrek gesertifiseer is, wat die bedrag wat die oortreder moet betaal uiteensit, welke staat al die gevolge het van ’n siviele bevel wat regmatig in daardie hof uitgereik is ten gunste van die Reguleerder vir ’n likwiede skuld in die bedrag in die staat vermeld. (6) Die Reguleerder kan nie ’n administratiewe boete in hierdie artikel beoog, oplê nie indien die betrokke verantwoordelike party van ’n misdryf ingevolge hierdie Wet ten opsigte van dieselfde feitestel aangekla is. (7) Geen vervolging kan teen ’n verantwoordelike party ingestel word nie indien die betrokke verantwoordelike party ten opsigte van dieselfde feitestel ’n administratiewe boete ingevolge hierdie artikel betaal het. (8) ’n Administratiewe boete wat ingevolge hierdie artikel opgelê word vestig nie ’n vorige veroordeling soos in Hoofstuk 27 van die Strafproseswet, 1977 (Wet No. 51 van 1977), beoog, nie. (9) ’n Boete wat ingevolge hierdie artikel betaalbaar is moet in die Nasionale Inkomstefonds in artikel 213 van die Grondwet bedoel, inbetaal word. (10) Die Minister kan, van tyd tot tyd en na oorlegpleging met die Reguleerder, by kennisgewing in die Staatskoerant, die bedrag in subartikel (2)(c) bedoel, aanpas ooreenkomstig die gemiddeld van die verbruikersprysindeks, soos van tyd tot tyd in die Staatskoerant gepubliseer, vir die onmiddellik voorafgaande tydperk van 12 maande jare wat die bedrag in subartikel (2)(c) bedoel vermenigvuldig met die aantal onveranderd gebly het. HOOFSTUK 12 ALGEMENE BEPALINGS Wysiging van Verordeninge

110. Die wette vermeld in die Bylae word gewysig tot die mate in die derde kolom van die Bylae aangedui. Gelde 111. (1) Die Minister kan, behoudens artikel 113 en na oorlegpleging met die Reguleerder, gelde voorskryf wat deur datasubjekte— (a) aan verantwoordelike partye soos in artikel 23(1)(b)(ii) bedoel; en (b) aan die Reguleerder soos in artikel 63(3) bedoel, betaal moet word. 15 20 25 30 35 40 45 50 55 104 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 104 (2) Different fees may be prescribed in respect of different categories of responsible parties and data subjects referred to in subsection (1)(a) and (b), respectively. Regulations 112. (1) The Minister may, subject to section 113, make regulations relating to— (a) (b) the establishment of the Regulator; and fees referred to in section 111(1). (2) The Regulator may, subject to section 113, make regulations relating to— (a) (b) (c) (d) (e) (f) (g) (h) (i) (j) (k) (l) the manner in terms of which a data subject may object to the processing of personal information as referred to in section 11(3); the manner in which a data subject may submit a request to a responsible party as referred to in section 24(1); the processing of health information by certain responsible parties as referred to in section 32(6); the responsibilities of information officers as referred to in section 55(1)(e); the form in terms of which an application for a code of conduct must be submitted to the Regulator as referred to in section 61(1)(b); the manner and form within which the data subject’s consent must be requested as referred to in section 69(2) the manner and form in terms of which a complaint must be submitted in terms of section 74; the Regulator acting as conciliator in relation to any interference with the protection of personal information as referred to in section 76(1)(b); the notification of the parties concerned of an investigation to be conducted as referred to in section 79; the settlement of complaints as referred to in section 80; the manner in which an assessment of the processing of personal information will be made as referred to in section 89(1); the manner in terms of which the parties concerned must be informed of the developments during and result of an investigation as referred to in section 94; and (m) matters incidental to the imposition of administrative fines as referred to in section 109. Procedure for making regulations 113. (1) The Minister, before making or amending any regulations referred to in section 112(1), must publish a notice in the Gazette— (a) (b) (c) setting out that draft regulations have been developed; specifying where a copy of the draft regulations may be obtained; and inviting written comments to be submitted on the proposed regulations within a specified period. 5 10 15 20 25 30 35 (2) After complying with subsection (1) and after consultation with the Regulator in 40 respect of the draft regulations referred to in section 112, the Minister may— (a) amend the draft regulations; and (b) subject to subsection (5), publish the regulations in final form in the Gazette. (3) The Regulator, before making or amending any regulations referred to in section 112(2), must publish a notice in the Gazette— (a) (b) (c) setting out that draft regulations have been developed; specifying where a copy of the draft regulations may be obtained; and inviting written comments to be submitted on the proposed regulations within a specified period. (4) After complying with subsection (3), the Regulator may— (a) amend the draft regulations; and 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 105 Wet No. 4 van 2013 105 (2) Verskillende gelde kan ten opsigte van verskillende kategorieë van verant- woordelike partye en datasubjekte onderskeidelik in subartikel (1)(a) en (b) bedoel, voorgeskryf word. Regulasies 112. (1) Die Minister kan, behoudens artikel 113, regulasies uitvaardig met 5 betrekking tot— (a) die instelling van die Reguleerder; en (b) gelde in artikel 111(1) bedoel. (2) Die Reguleerder kan, behoudens artikel 113, regulasies uitvaardig met betrekking tot— 10 (a) die wyse waarop ’n datasubjek kan beswaar maak teen die prosessering van persoonlike inligting soos in artikel 11(3) bedoel; (b) die wyse waarop ’n datasubjek ’n versoek aan ’n verantwoordelike party kan rig soos in artikel 24(1) bedoel; (c) die prosessering van gesondheidsinligting deur sekere verantwoordelike 15 partye soos in artikel 32(6) bedoel; (d) die verantwoordelikhede van inligtingsbeamptes soos in artikel 55(1)(e) bedoel; (e) die vorm ingevolge waarvan ’n aansoek om ’n gedragskode by die (f) Reguleerder ingehandig moet word soos in artikel 61(1)(b) bedoel; die wyse waarop en die vorm waarin die datasubjek se toestemming versoek moet word soos in artikel 69(2) bedoel; (g) die wyse en vorm ingevolge waarvan ’n klagte ingedien moet word soos in artikel 74 bedoel; (i) (h) optrede deur die Reguleerder as konsiliator met betrekking tot enige inmenging met die beskerming van persoonlike inligting soos in artikel 76(1)(b) bedoel; die kennisgewing aan die betrokke partye van ’n ondersoek wat onderneem gaan word soos in artikel 79 bedoel; die beslegting van klagtes soos in artikel 80 bedoel; (j) (k) die wyse waarop ’n oudit van die prosessering van persoonlike inligting 20 25 30 (l) gedoen sal word soos in artikel 89(1) bedoel; die wyse ingevolge waarvan die betrokke partye van die verloop tydens en die uitslag van ’n ondersoek verwittig moet word soos in artikel 94 bedoel; en (m) aangeleenthede wat met die oplegging van administratiewe boetes verband 35 hou soos in artikel 109 bedoel. Prosedure vir uitvaardiging van regulasies 113. (1) Die Minister, alvorens enige regulasies soos in artikel 112(1) bedoel, uitgevaardig of gewysig word, moet ’n kennisgewing in die Staatskoerant publiseer wat— 40 (a) vermeld dat konsepregulasies ontwikkel is; (b) aandui waar ’n afskrif van die konsepregulasies verkry kan word; en (c) ’n versoek rig dat skriftelike kommentaar op die voorgestelde regulasies binne ’n bepaalde tydperk ingedien word. (2) Die Minister, by voldoening aan subartikel (1) en na oorlegpleging met die 45 Reguleerder, kan— (a) die konsepregulasies wysig; en (b) die regulasies, behoudens subartikel (5), in finale formaat in die Staatskoerant publiseer. (3) Die Reguleerder, alvorens enige regulasies soos in artikel 112(2) bedoel, uitgevaardig of gewysig word, moet ’n kennisgewing in die Staatskoerant publiseer wat— (a) vermeld dat konsepregulasies ontwikkel is; (b) aandui waar ’n afskrif van die konsepregulasies verkry kan word; en (c) ’n versoek rig dat skriftelike kommentaar op die voorgestelde regulasies binne ’n bepaalde tydperk ingedien word. 50 55 (4) Die Reguleerder, by voldoening aan subartikel (3), kan— (a) die konsepregulasies wysig; en 106 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 106 (b) subject to subsection (5), publish the regulations in final form in the Gazette. (5) (a) The Minister or the Regulator, as the case may be, must, within 30 days before publication of the regulations in the Gazette, as referred to in subsection (2)(b) or (4)(b), table them in Parliament. (b) Subsection (1) or (3) does not apply in respect of any amendment of the 5 regulations as a result of the process referred to in paragraph (a). Transitional arrangements 114. (1) All processing of personal information must within one year after the commencement of this section be made to conform to this Act. (2) The period of one year referred to in subsection (1) may be extended by the Minister, on request or of his or her own accord and after consultation with the Regulator, by notice in the Gazette in respect of different class or classes of information and bodies by an additional period which period may not exceed three years. (3) Section 58(2) does not apply to processing referred to in section 57, which is taking place on the date of commencement of this Act, until the Regulator determines otherwise by notice in Gazette. (4) The South African Human Rights Commission must, in consultation with the Information Regulator, finalise or conclude its functions referred to in sections 83 and 84 of the Promotion of Access to Information Act, as soon as reasonably possible after the amendment of those sections in terms of this Act. 10 15 20 Short title and commencement 115. (1) This Act is called the Protection of Personal Information Act, 2013, and commences on a date determined by the President by proclamation in the Gazette. (2) Different dates of commencement may be determined in respect of different provisions of this Act or in respect of different class or classes of information and bodies. 25 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 107 Wet No. 4 van 2013 107 (b) die regulasies, behoudens subartikel (5), in finale formaat in die Staatskoerant publiseer. (5) (a) Die Minister of die Reguleerder, na gelang van die geval, moet, binne 30 dae alvorens die regulasies in die Staatskoerant gepubliseer word, soos bedoel by subartikel (2)(b) of (4)(b), die regulasies in die Parlement ter tafel lê. (b) Subartikel (1) of (3) is nie van toepassing ten opsigte van enige wysiging van die 5 regulasies as gevolg van die proses bedoel in paragraaf (a) nie. Oorgangsbepalings 114. (1) Alle prosessering van persoonlike inligting moet binne een jaar nadat hierdie artikel in werking getree het in ooreenstemming met hierdie Wet gebring word. 10 (2) Die tydperk van een jaar in subartikel (1) bedoel kan deur die Minister verleng word, op versoek of uit sy of haar eie beweging na oorlegpleging met die Reguleerder, by kennisgewing in die Staatskoerant ten opsigte van ’n verskillende klas of klasse van inligting en liggame by wyse van ’n bykomende tydperk, welke tydperk nie drie jaar mag oorskry nie. (3) Artikel 58(2) is nie op prosessering soos in artikel 57 bedoel, wat op die datum van inwerkingtreding van hierdie Wet plaasvind, van toepassing nie tot tyd en wyl die Reguleerder andersins by wyse van kennisgewing in die Staatskoerant bepaal. (4) Die Suid-Afrikaanse Menseregtekommissie moet, in oorleg met die Inligtings- reguleerder, die werksaamhede van die Kommissie soos in artikels 83 en 84 van die Wet op Bevordering van Toegang tot Inligting bedoel, so gou doenlik finaliseer of afsluit na die wysiging van daardie artikels ingevolge hierdie Wet. Kort titel en inwerkingtreding 115. (1) Hierdie Wet heet die Wet op Beskerming van Persoonlike Inligting, 2013, en tree in werking op ’n datum wat die President by Proklamasie in die Staatskoerant vasstel. (2) Verskillende datums van inwerkingtreding kan vir verskillende bepalings van hierdie Wet of ten opsigte van verskillende klas of klasse van inligting en liggame vasgestel word. 15 20 25 108 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 108 SCHEDULE LAWS AMENDED BY SECTION 110 No. and year of law Short title Extent of repeal or amendment Act 23 of 1994 Public Protector Act, 1994

1. The amendment of section 6 by the— (a) substitution for paragraph (b) of subsection (4) of the following paragraph: ‘‘(b) to endeavour, in his or her sole discretion, to resolve any dispute or rectify any act or omission by— (i) mediation, conciliation or negotiation; (ii) advising, where necessary, any complainant regarding appropriate remedies; or (iii) any other means that may be ex- pedient in the circumstances; and’’; (b) substitution for paragraph (c) of subsection (4) of the following paragraph: ‘‘(c) at a time prior to, during or after an investigation— (i) if he or she is of the opinion that the facts disclose the commission of an offence by any person, to bring the matter to the notice of the relevant authority; and charged with prosecutions; or (ii) if he or she deems it advisable, to refer any matter which has a bearing on an investigation, to the appropriate public body or authority; and affected by it or to make an appropriate recommendation regarding the redress of the prejudice resulting therefrom or make any other appropriate recommendation he or she deems expedient to the affected public body or authority[; and].’’; and (c) deletion of paragraph (d) of subsection (4). Act 2 of 2000 Promotion of Access to Information Act, 2000

1. The amendment of section 1 by the— (a) insertion, after the definition of ‘‘application’’ of the following definition: ‘‘ ‘biometrics’ means a technique of personal identification that is based on physical, physiological or behavioural characterisation including blood typing, fingerprinting, DNA analysis, retinal scanning and voice recogni- tion;’’; GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 109 Wet No. 4 van 2013 109 BYLAE WETTE DEUR ARTIKEL 110 GEWYSIG No. en jaar van wet Kort titel Omvang van herroeping of wysiging Wet 23 van 1994 Wet op die Openbare Beskermer, 1994

1. Die wysiging van artikel 6— (a) deur paragraaf (b) in subartikel (4) deur die volgende paragraaf te vervang: ‘‘(b) in sy of haar uitsluitlike diskresie te poog om enige dispuut op te los of enige handeling of late reg te stel— (i) deur bemiddeling, versoening of onderhandeling; (ii) deur enige klaer of klaagster, waar nodig, aangaande toepaslike remedies te adviseer; of (iii) op enige ander wyse wat onder die omstandighede geskik mag wees; [of] en’’; (b) deur paragraaf (c) in subartikel (4) deur die volgende paragraaf te vervang: ‘‘(c) te eniger tyd voor, gedurende of na ’n ondersoek— (i) indien hy of sy van oordeel is dat die feite die pleeg van ’n misdryf deur enige persoon openbaar, die aangeleentheid onder die aandag te bring van die betrokke gesag; en wat met vervolgings belas is; of (ii) indien hy of sy dit raadsaam ag, ’n aangeleentheid wat op ’n ondersoek betrekking het na die gepaste openbare liggaam of gesag; en wat daardeur geraak word, te verwys, of om ’n gepaste aanbeveling aangaande die herstel van die nadeel wat daaruit voortvloei te doen, of enige ander gepaste aanbeveling wat hy of sy doenlik ag aan die betrokke openbare liggaam of gesag; en te doen[; en].’’; en (c) deur paragraaf (d) in subartikel (4) te skrap.

1. Artikel 1 word gewysig— (a) deur, na die omskrywing van ‘‘beampte’’ die volgende omskrywing in te voeg: ‘‘ ‘biometrika’ ’n tegniek van persoonlike identifikasie wat gebaseer is op fisiese, fisiologiese of gedragskarakterisering, met inbegrip van bloedgroepering, die neem van vingerafdrukke, DNS-ontleding, retinale skandering en stemherkenning;’’; Wet 2 van 2000 Wet op Bevordering van Toegang tot Inligting, 2000 110 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 110 No. and year of law Short title Extent of repeal or amendment (b) omission of the definition of ‘‘Human Rights Commission’’; (c) substitution for the definition of ‘‘personal information’’ of the following definition: ‘‘ ‘personal information’ means information relating to an identifiable natural person, including, but not limited to— (a) information relating to the race, gender, sex, pregnancy, marital status, national, ethnic or social origin, colour, sexual orientation, age, physical or mental health, well-being, disability, religion, conscience, belief, culture, language and birth of the person; (b) information relating to the education or the medical, financial, criminal or employment history of the person; (c) any identifying number, symbol, email address, physical address, telephone number, location information, online identifier or other particular assigned to the person; (d) the biometric information of the person; (e) the personal opinions, views or preferences of the person; (f) correspondence sent by the person that is implicitly or explicitly of a private or confidential nature or further correspondence that would reveal the contents of the original correspondence; (g) the views or opinions of another individual about the person; and (h) the name of the person if it appears with other personal information relating to the person or if the disclosure of the name itself would reveal information about the person, but excludes information about an individual who has been dead for more than 20 years;’’; (d) omission of the definition of ‘‘personal requester’’; and (e) insertion after the definition of ‘‘record’’ of the following definition: ‘‘ ‘Information Regulator’ means the Information Regulator established in terms of section 39 of the Protection of Personal Information Act, 2013;’’. GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 111 Wet No. 4 van 2013 111 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (b) deur die volgende omskrywing na die omskrywing van ‘‘inligtingsbeampte’’ in te voeg: ‘‘ ‘Inligtingsreguleerder’ die Inligtingsreguleerder ingestel by artikel 39 van die Wet op Beskerming van Persoonlike Inligting, 2013;’’; (c) deur die omskrywing van ‘‘Menseregte- kommissie’’ te skrap; (d) deur die omskrywing van ‘‘persoonlike inligting’’ deur die volgende omskry- wing te vervang: ‘‘ ‘persoonlike inligting’ inligting aangaande ’n identifiseerbare, natuurlike persoon, met inbegrip van, maar nie beperk nie tot— (a) inligting met betrekking tot die ras, geslagtelikheid, geslag, swangerskap, huwelikstaat, nasionale, etniese of sosiale herkoms, kleur, seksuele oriëntering, ouderdom, fisiese of geestelike gesondheid, welsyn, gestremdheid, godsdiens, gewete, oortuiging, kultuur, taal en geboorte van die persoon; (b) inligting met betrekking tot die opvoeding of die mediese, finansiële, kriminele of werksgeskiedenis van die persoon; (c) enige identifiserende nommer, simbool, e-posadres, fisiese adres, telefoonnommer, inligting met betrekking tot ligging, aanlyn identifiseerder of ander bepaalde toewysing aan die persoon; (d) die biometriese inligting van die persoon; (e) die persoonlike menings, sieninge of voorkeure van die persoon; (f) korrespondensie gestuur deur die persoon wat vanselfsprekend of uitdruklik van ’n private of vertroulike aard is of verdere korrespondensie wat die inhoud van die oorspronklike korrespon- densie aan die lig sal bring; (g) die sieninge of menings van ’n ander persoon met betrekking tot die persoon; en (h) die naam van die persoon waar dit verskyn met ander persoonlike inligting met betrekking tot die persoon of waar die bekendmak- ing van die naam opsigself inligting oor die persoon aan die lig sal bring, maar sluit inligting uit oor ′n individu wat meer as 20 jaar dood is;’’; en (e) deur die omskrywing van ‘‘persoonlike versoeker’’ te skrap. 112 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 112 No. and year of law Short title Extent of repeal or amendment

2. The amendment of section 10 by the substitution of the following section: ‘‘10. (1) The [Human Rights Commission] Information Regulator must[, within three years after the commencement of this section, compile in each official language a] update and make available the existing guide that has been compiled by the South African Human Rights Commission containing such information, in an easily comprehen- sible form and manner, as may reasonably be required by a person who wishes to exercise any right contemplated in this Act and the Protection of Personal Information Act, 2013. (2) The guide must, without limiting the generality of subsection (1), include a description of— (a) the objects of this Act and the Protection of Personal Information Act, 2013; [(b) the postal and street address, phone and fax number and, if available, electronic mail address of— (i) the information officer of every public body; and (ii) every deputy information officer of every public body designated in terms of section 17(1); (c) such particulars of every private body as are practicable; (d)](b) the manner and form of a request for— (i) access to a record of a public body contemplated in section 11; and (ii) access to a record of a private body contemplated in section 50; the assistance available from the information officer of a public body in terms of this Act and the Protection of Personal Informa- tion Act, 2013; [(e)](c) [(f)](d) the assistance available from the [Human Rights Commission] Information Regulator in terms of this Act and the Protection of Personal Information Act, 2013; [(g)](e) all remedies in law available regarding an act or failure to act in respect of a right or duty conferred or imposed by this Act and the Protection of Personal Information Act, 2013, including the manner of lodging— (i) an internal appeal; [and] (ii) a complaint to the Information Regulator; and GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 113 Wet No. 4 van 2013 113 No. en jaar van wet Kort titel Omvang van herroeping of wysiging

2. Die wysiging van artikel 10 deur die volgende artikel te vervang: ‘‘10. (1) Die [Menseregtekommissie] Inligtingsreguleerder moet[, binne drie jaar na die inwerkingtreding van hierdie artikel, in elke amptelike taal ’n] die bestaande gids [publiseer], wat deur die Suid-Afrikaanse Mensregtekom- missie opgestel is, bywerk en beskikbaar stel wat in ’n maklik verstaanbare vorm en wyse die inligting bevat wat redelikerwys benodig word deur ’n persoon wat enige reg in hierdie Wet en die Wet op Beskerming van Persoonlike Inligting, 2013, beoog, wil uitoefen. (2) Die gids moet, sonder om die algemeenheid van subartikel (1) in te kort, ’n beskrywing insluit van— (a) die oogmerke van hierdie Wet en die Wet op Beskerming van Persoonlike Inligting, 2013; [(b) die pos- en straatadres, telefoon- en faksnommer en, indien beskikbaar, elektroniese posadres van— (i) die inligtingsbeampte van elke openbare liggaam; en (ii) elke adjunk-inligtingsbeampte van elke openbare liggaam aangewys ingevolge artikel 17(1); (c) die besonderhede van elke privaatliggaam wat doenlik is; (d)](b) die wyse waarop en vorm waarin ’n versoek om— (i) toegang tot ’n rekord van ’n openbare liggaam beoog in artikel 11 gerig moet word; en (ii) toegang tot ’n rekord van ’n privaatliggaam beoog in artikel 50 gerig moet word; [(e)](c) die bystand beskikbaar vanaf die inligtingsbeampte van ’n openbare liggaam ingevolge hierdie Wet en die Wet op Beskerming van Persoonlike Inligting, 2013; [(f)](d) die bystand beskikbaar van die [Menseregtekommissie] Inligtingsreguleerder ingevolge hierdie Wet en die Wet op Beskerming van Persoonlike Inligting, 2013; [(g)](e) alle regsmiddele beskikbaar betreffende ’n handeling of versuim om te handel ten opsigte van ’n reg verleen of plig opgelê by hierdie Wet en die Wet op Beskerming van Persoonlike Inligting, 2013, insluitende die wyse waarop— (i) ’n interne appèl aangeteken moet word; [en] (ii) ’n klagte by die Inligtingsreguleerder ingedien word; en 114 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 114 No. and year of law Short title Extent of repeal or amendment (iii) an application with a court against a decision by the information officer of a public body, a decision on internal appeal, a decision by the Information Regulator or a decision of the head of a private body; [(h)](f) the provisions of sections 14 and 51 requiring a public body and private body, respectively, to compile a manual, and how to obtain access to a manual; [(i)](g) the provisions of sections 15 and 52 providing for the voluntary disclosure of categories of records by a public body and private body, respectively; [(j)](h) the notices issued in terms of sections 22 and 54 regarding fees to be paid in relation to requests for access; and [(k)](i) the regulations made in terms of section 92. (3) The [Human Rights Commission] Information Regulator must, if necessary, update and publish the guide at intervals of not more than two years. (4) The guide must be made available as prescribed.’’.

3. The amendment of section 11 by the substitution for subsection (2) of the following subsection: ‘‘(2) A request contemplated in subsection (1) [includes] excludes a request for access to a record containing personal information about the requester.’’.

4. The amendment of section 14 by the— (a) substitution for subsection (1) for the following subsection: ‘‘(1) [Within six months after the commencement of this section or the coming into existence of a public body, the] The information officer of [the] a public body [concerned] must [compile] in at least three official languages make available, as referred to in subsection (3), a manual containing— (a) in general (i) a description of its structure and functions; [(b)](ii) the postal and street address, phone and fax number and, if available, electronic mail address of the information officer of the body and of every deputy information officer of the body designated in terms of section 17(1); GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 115 Wet No. 4 van 2013 115 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (iii) ’n aansoek by ’n geregshof ingedien moet word teen ’n besluit van die inligtingsbeampte van ’n openbare liggaam, ’n besluit op interne appèl [en], ’n besluit deur die Inligtings- reguleerder of ’n besluit van die hoof van ’n privaatliggaam; [(h)](f) die bepalings van artikels 14 en 51 wat onderskeidelik van ’n openbare liggaam en privaatliggaam vereis om ’n handleiding saam te stel, en hoe om toegang tot die handleiding te verkry; [(i)](g) die bepalings van artikels 15 en 52 wat vir vrywillige openbaarmaking van kategorieë rekords van onderskeidelik ’n openbare liggaam en ’n privaatliggaam voorsiening maak; [(j)](h) die kennisgewings wat ingevolge artikels 22 en 54 uitgevaardig is betreffende gelde wat met betrekking tot versoeke om toegang betaal moet word; en [(k)](i) die regulasies ingevolge artikel 92 uitgevaardig. (3) Die [Menseregtekommissie] Inligtingsreguleerder moet, indien nodig, met tussenposes van hoogstens twee jaar die gids bywerk en publiseer. (4) Die gids moet soos voorgeskryf beskikbaar gestel word.’’.

3. Die wysiging van artikel 11 deur subartikel (2) deur die volgende subartikel te vervang: ‘‘(2) ’n Versoek in subartikel (1) beoog, sluit ’n versoek [in] uit om toegang tot ’n rekord wat persoonlike inligting van die versoeker bevat.’’.

4. Die wysiging van artikel 14— (a) deur subartikel (1) deur die volgende subartikel te vervang: ‘‘(1) [Binne ses maande na die inwerkingtreding van hierdie artikel of die totstandkoming van ’n openbare liggaam moet die] Die inligtingsbeampte van [die betrokke] ’n openbare liggaam moet in minstens drie amptelike tale ’n handleiding [opstel] beskikbaar stel, soos in subartikel (3) bedoel, wat— (a) oor die algemeen— (i) ’n beskrywing van sy struk- tuur en werksaamhede bevat; [(b)](ii) die pos- en straatadres, telefoon- en faksnommer en, indien beskikbaar, elektro- niese posadres van die inligtingsbeampte van die liggaam en van elke adjunk-inligtingsbeampte van die liggaam ingevolge artikel 17(1) aangewys, bevat; 116 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 116 No. and year of law Short title Extent of repeal or amendment (iii) a description of all remedies available in respect of an act or a failure to act by the body; and (iv) such other information as may be prescribed; (b) insofar as this Act is concerned— (i) a description of the guide referred to in section 10, if available, and how to obtain access to it; [(d)](ii) sufficient detail to facilitate a request for access to a record of the body, a description of the subjects on which the body holds records and the categories of records held on each subject; the latest notice, in terms of section 15(2), if any, regarding the categories of records of the body which are available without a person having to request access in terms of this Act; [(e)](iii) [(f)](iv) a description of the services available to members of the public from the body and how to gain access to those services; and [(g)](v) a description of any arrangement or provision for a person (other than a public body referred to in paragraph (a) or (b)(i) of the definition of ‘‘public body’’ in section 1) by consultation, making representations or otherwise, to participate in or influence— [(i)](aa) the formulation of policy; or [(ii)](bb) the exercise of powers or perfor- mance of duties, by the body; (c) insofar as the Protection of Personal Information Act, 2013, is concerned— (i) the purpose of the processing; (ii) a description of the categories of data subjects and of the information or categories of information relating thereto; GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 117 Wet No. 4 van 2013 117 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (iii) ’n beskrywing van alle beskikbare remedies ten opsigte van ’n handeling of versuim om te handel deur die liggaam, bevat; en (iv) sodanige ander inligting soos voorgeskryf kan word, bevat; (b) waar dit hierdie Wet aangaan— (i) ’n beskrywing van die gids in artikel 10 bedoel, indien beskikbaar, en hoe om toegang daartoe te verkry, bevat; [(d)](ii) voldoende besonderhede bevat om ’n versoek om toegang tot ’n rekord van die liggaam te vergemaklik, ’n beskrywing van die onderwerpe waaroor die liggaam rekords hou en die kategorieë rekords gehou oor elke onderwerp bevat; [(e)](iii) die jongste kennisgewing ingevolge artikel 15(2) bevat, indien enige, betreffende die kategorieë rekords van die liggaam wat beskikbaar is sonder dat ’n persoon ’n versoek om toegang ingevolge hierdie Wet hoef te rig; [(f)](iv) ’n beskrywing van die liggaam se dienste wat vir lede van die publiek beskikbaar is en hoe om toegang tot daardie dienste te verkry, bevat; en [(g)](v) ’n beskrywing bevat van enige reëling of voorsiening vir ’n persoon (uitgesonderd ’n openbare liggaam bedoel in paragraaf (a) of (b)(i) van die woordomskrywing van ‘openbare liggaam’ in artikel 1) om deur middel van oorlegpleging, die rig van vertoë of andersins, deel te neem aan of invloed uit te oefen op— [(i)](aa) die formulering van beleid; of [(ii)](bb) die uitoefening van bevoegdhede of die verrigting van pligte, deur die liggaam; (c) waar dit die Wet op Beskerming van Persoonlike Inligting, 2013, aangaan— (i) die oogmerk van die prosessering meld; (ii) ’n beskrywing van die kategorieë van datasubjekte en van die inligting of kategorieë inligting wat daarop betrekking het, bevat; 118 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 118 No. and year of law Short title Extent of repeal or amendment (iii) the recipients or categories of recipients to whom the personal information may be supplied; (iv) planned transborder flows of personal information; and (v) a general description allowing a preliminary assessment of the suitability of the information security measures to be implemented by the responsible party to ensure the confidential- ity, integrity and availability of the information which is to be processed. [(h) a description of all remedies available in respect of an act or a failure to act by the body; and (i) such other information as may be prescribed.]’’; and (b) by the substitution for subsection (3) of the following subsection: ‘‘(3) [Each manual must be made available as prescribed] The manual referred to in subsection (1), or the updated version thereof as referred to in subsection (2) must be made available— (a) on the web site, if any, of the public body; (b) at the head office of the public body for public inspection during normal business hours; (c) to any person upon request and upon the payment of a reasonable amount; and (d) to the Information Regulator upon request.’’.

5. The amendment of section 15 by the— (a) substitution for the words preceding paragraph (a) of subsection (1) of the following words: ‘‘(1) The information officer of a public body, referred to in paragraph (a) or (b)(i) of the definition of ‘public body’ in section 1, must[, on a periodic basis not less frequently than once a year, submit to the Minister] make available in the prescribed manner a description of—’’; (b) deletion of subsection (2); and (c) substitution of subsection (3) of the following subsection: ‘‘(3) The only fee payable (if any) for access to a record [included in a notice in terms of subsection (2)] referred to in subsection (1) is a prescribed fee for reproduction.’’. GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 119 Wet No. 4 van 2013 119 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (iii) die ontvangers of kategorieë ontvangers aan wie die persoonlike inligting voorsien kan word, bevat; (iv) beplande vloei van persoonlike inligitng oor landsgrense, bevat; en (v) ’n algemene beskrywing wat ’n voorlopige oudit toelaat van die gepastheid van die inligtingsveiligheidsmaatreëls wat die verantwoordelike party gaan instel om die vertroulikheid, integriteit en beskikbaarheid van die inligting wat geprosesseer staan te word, te verseker, bevat. [(h) ’n beskrywing van alle regsmiddele beskikbaar ten opsigte van ’n handeling of ’n versuim om te handel deur die liggaam bevat; en (i) die ander inligting bevat wat voorgeskryf mag word.]’’; en (b) deur subartikel (3) deur die volgende subartikel te vervang: ‘‘(3) [Elke handleiding moet soos voorgeskryf beskikbaar gestel word] Die handleiding in subartikel (1) bedoel, of die bygewerkte weergawe daarvan soos in subartikel (2) bedoel, moet beskikbaar gestel word— (a) op die webtuiste, indien enige, van die openbare liggaam; (b) by die hoofkantoor van die openbare liggaam vir openbare inspeksie tydens normale sake-ure; (c) aan enige persoon op versoek en by betaling van ’n redelike bedrag; en (d) aan die Inligtingsreguleerder op versoek.’’.

5. Die wysiging van artikel 15— (a) deur die woorde wat paragraaf (a) in subartikel (1) voorafgaan deur die volgende woorde te vervang: ‘‘(1) Die inligtingsbeampte van ’n openbare liggaam bedoel in paragraaf (a) of (b)(i) van die woordomskrywing van ‘openbare liggaam’ in artikel 1 moet[, op ’n periodieke grondslag van minstens een maal elke jaar, by die Minister] ’n beskrywing [indien] op die voorge- skrewe wyse beskikbaar stel van—’’; (b) deur subartikel (2) te skrap; en (c) deur subartikel (3) deur die volgende subartikel te vervang: ‘‘(3) Die enigste geld (indien enige) betaalbaar vir toegang tot ’n rekord [ingesluit in ’n kennisgewing ingevolge subartikel (2)] in subartikel (1) bedoel, is voorgeskrewe gelde vir reproduksie.’’. 120 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 120 No. and year of law Short title Extent of repeal or amendment

6. The amendment of section 21 by the substitution of paragraphs (a) and (b) of the following paragraphs: ‘‘(a) the periods for lodging an internal appeal, a complaint to the Information Regulator, an application with a court or an appeal against a decision of that court have expired; or (b) that internal appeal, complaint to the Information Regulator, application or appeal against a decision of that court or other legal proceedings in connection with the request has been finally determined,’’.

7. The amendment of section 22 by the substitution for— (a) subsection (1) of the following subsection: ‘‘(1) The information officer of a public body to whom a request for access is made, must by notice require the requester[, other than a personal requester,] to pay the prescribed request fee (if any), before further processing the request.’’; (b) subsection (2) of the following subsection: ‘‘(2) If— (a) the search for a record of a public body in respect of which a request for access by a requester[, other than a personal requester,] has been made; and (b) the preparation of the record for disclosure (including any arrange- ments contemplated in section 29(2)(a) and (b)(i) and (ii)(aa)), would, in the opinion of the information officer of the body, require more than the hours prescribed for this purpose for requesters, the information officer must by notice require the requester[, other than a personal requester,] to pay as a deposit the prescribed portion (being not more than one third) of the access fee which would be payable if the request is granted.’’; and (c) for subsection (3) of the following subsection: ‘‘(3) The notice referred to in subsection (1) or (2) must state— (a) the amount of the deposit payable in terms of subsection (2), if applicable; GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 121 Wet No. 4 van 2013 121 No. en jaar van wet Kort titel Omvang van herroeping of wysiging

6. Die wysiging van artikel 21 deur paragrawe (a) en (b) deur die volgende paragrawe te vervang: ‘‘(a) die tydperke vir die aanteken van ’n interne appèl, indiening van ’n klagte by die Inligtingsreguleerder, ’n aansoek by ’n hof of ’n appèl teen ’n beslissing van daardie hof verstryk het; of (b) daardie interne appèl, klagte by die Inligtingsreguleerder, aansoek of appèl teen ’n beslissing van daardie hof of ander geregtelike verrigtinge in verband met die versoek finaal beslis is,’’.

7. Die wysiging van artikel 22— (a) deur subartikel (1) deur die volgende subartikel te vervang: ‘‘(1) Die inligtingsbeampte van ’n openbare liggaam aan wie ’n versoek om toegang gerig word, moet by kennisgewing van die versoeker[, behalwe ’n persoonlike versoeker,] vereis om die voorgeskrewe versoekgelde (indien enige) te betaal voordat die versoek verder geprosesseer word.’’; (b) deur subartikel (2) deur die volgende subartikel te vervang: ‘‘(2) Indien— (a) die soektog na ’n rekord van ’n openbare liggaam ten opsigte waarvan ’n versoek om toegang deur ’n versoeker[, behalwe ’n persoonlike versoeker,] gedoen is; en (b) die voorbereiding van die rekord vir openbaarmaking (insluitende enige reëlings beoog in artikel 29(2)(a) en (b)(i) en (ii)(aa)), na die oordeel van die inligtingsbeampte van die liggaam meer as die ure sou neem wat vir hierdie doel vir versoekers voorgeskryf is, moet die inligtingsbeampte by kennisgewing van die versoeker[, behalwe ’n persoonlike versoeker,] vereis om die voorgeskrewe gedeelte (synde hoogstens een derde) van die toegangsgelde wat betaalbaar sou wees indien die versoek toegestaan word as ’n deposito te betaal.’’; en (c) deur subartikel (3) deur die volgende subartikel te vervang: ‘‘(3) Die kennisgewing bedoel in subartikel (1) of (2) moet— (a) die bedrag van die deposito vermeld wat ingevolge subartikel (2) betaalbaar is, indien van toepassing; 122 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 122 No. and year of law Short title Extent of repeal or amendment (b) that the requester may lodge an internal appeal, a complaint to the Information Regulator or an application with a court, as the case may be, against the tender or payment of the request fee in terms of subsection (1), or the tender or payment of a deposit in terms of subsection (2), as the case may be; and (c) the procedure (including the period) for lodging the internal appeal, complaint to the Information Regulator or application, as the case may.’’.

8. The amendment of section 25 by the— (a) substitution for paragraph (c) of subsection (2) of the following paragraph: ‘‘(c) that the requester may lodge an internal appeal, a complaint to the Information Regulator or an application with a court, as the case may be, against the access fee to be paid or the form of access granted, and the procedure (including the period) for lodging the internal appeal, complaint to the Information Regulator or application, as the case may be.’’; and (b) substitution for paragraph (c) of subsection (3) of the following paragraph: ‘‘(c) state that the requester may lodge an internal appeal, complaint to the Information Regulator or an application with a court, as the case may be, against the refusal of the request, and the procedure (including the period) for lodging the internal appeal, complaint to the Information Regulator or application, as the case may be.’’.

9. The amendment of section 26 by the substitution for paragraph (c) of subsection (3) of the following paragraph: ‘‘(c) that the requester may lodge an internal appeal, complaint to the Information Regulator or an application with a court, as the case may be, against the extension, and the procedure (including the period) for lodging the internal appeal, complaint to the Information Regulator or application, as the case may be.’’. GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 123 Wet No. 4 van 2013 123 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (b) vermeld dat die versoeker ’n in- terne appèl kan aanteken, ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof kan indien, na gelang van die geval, teen die aanbied of betaling van die versoekgeld ingevolge subartikel (1), of die aanbied of betaling van ’n deposito ingevolge subartikel (2), na gelang van die geval; en (c) die prosedure (insluitende die tydperk) vir die aanteken van die interne appèl, indien van ’n klagte by die Inligtingsreguleerder of indien van ’n aansoek, na gelang van die geval, vermeld.’’.

8. Die wysiging van artikel 25— (a) deur paragraaf (c) in subartikel (2) deur die volgende paragraaf te vervang: ‘‘(c) meld dat die versoeker ’n interne appèl kan aanteken, ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof kan indien, na gelang van die geval, teen die toegangsgelde wat betaal moet word of die vorm van toegang wat toegestaan is, en die prosedure (insluitende die tydperk) vir die aanteken van die interne appèl, indien van ’n klagte by die Inligtingsreguleerder of indien van die aansoek, na gelang van die geval.’’; en (b) deur paragraaf (c) in subartikel (3) deur die volgende paragraaf te vervang: ‘‘(c) meld dat die versoeker ’n interne appèl kan aanteken, ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof kan indien, na gelang van die geval, teen die weiering van die versoek, en die prosedure (insluitende die tydperk) vir die aanteken van die interne appèl, indien van ’n klagte by die Inligtingsreguleerder of indien van die aansoek, na die gelang van die geval.’’.

9. Die wysiging van artikel 26 deur paragraaf (c) in subartikel (3) deur die volgende paragraaf te vervang: ‘‘(c) meld dat die versoeker ’n in- terne appèl kan aanteken, ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof kan indien, na gelang van die geval, teen die verlenging, en die prosedure (insluitende die tydperk) vir die aanteken van die interne appèl, indien van ’n klagte by die Inligtingsreguleerder of indien van die aansoek, na gelang van die geval.’’. 124 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 124 No. and year of law Short title Extent of repeal or amendment

10. The amendment of section 29 by the substitution of subsection (9) for the following subsection: ‘‘(9) If an internal appeal, complaint to the Information Regulator or an application to a court, as the case may be, is lodged against the granting of a request for access to a record, access to the record may be given only when the decision to grant the request is finally confirmed.’’.

11. The amendment of section 49 by the— (a) substitution of paragraphs (b) and (c) of subsection (3) for the following paragraphs: ‘‘(b) that the third party may lodge an internal appeal, complaint to the Information Regulator or an application, as the case may be, against the decision within 30 days after notice is given, and the procedure for lodging the internal appeal, complaint to the Information Regulator or application, as the case may be; and (c) that the requester will be given access to the record after the expiry of the applicable period contemplated in paragraph (b), unless such internal appeal, complaint to the Information Regulator or application with a court is lodged within that period.’’; and (b) substitution of subsection (4) of the following subsection: ‘‘(4) If the information officer of a public body decides in terms of subsection (1) to grant the request for access concerned, he or she must give the requester access to the record concerned after the expiry of 30 days after notice is given in terms of subsection (1)(b), unless an internal appeal, complaint to the Information Regulator or an application with a court, as the case may be, is lodged against the decision within that period.’’.

12. The amendment of section 51 by— (a) by the substitution of subsection (1) for the following subsection: ‘‘(1) [Within six months after the commencement of this section or the coming into existence of the private body concerned, the] The head of a private body must [compile] make a manual available in terms of subsection (3) containing— (a) in general— (i) the postal and street address, phone and fax number and, if available, electronic mail address of the head of the body; and (ii) such other information as may be prescribed; (b) insofar as this Act is concerned— GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 125 Wet No. 4 van 2013 125 No. en jaar van wet Kort titel Omvang van herroeping of wysiging

10. Die wysiging van artikel 29 deur subartikel (9) deur die volgende subartikel te vervang: ‘‘(9) Indien ’n interne appèl aangeteken word, ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof ingedien word, na gelang van die geval, teen die toestaan van ’n versoek om toegang tot ’n rekord, kan toegang tot die rekord verleen word slegs wanneer die besluit om die versoek toe te staan, finaal bevestig is.’’.

11. Die wysiging van artikel 49— (a) deur paragrawe (b) en (c) in subartikel (3) deur die volgende paragrawe te vervang: ‘‘(b) meld dat die derde party ’n interne appèl teen die besluit kan aanteken, ’n klagte by die Inligtingsreguleerder of aansoek kan indien, na gelang van die geval, binne 30 dae nadat kennis gegee is, en die prosedure vir die aanteken van die interne appèl, indien van ’n klagte by die Inligtingsreguleerder of indien van ’n aansoek, na gelang van die geval; en (c) meld dat die versoeker toegang tot die rekord verleen sal word na verstryking van die toepaslike tydperk beoog in paragraaf (b), tensy so ’n interne appèl binne daardie tydperk aangeteken, klagte by die Inligtingsreguleerder of aansoek by ’n hof ingedien word.’’; en (b) deur subartikel (4) deur die volgende subartikel te vervang: ‘‘(4) Indien die inligtingsbeampte van ’n openbare liggaam ingevolge subartikel (1) besluit om die betrokke versoek om toegang toe te staan, moet hy of sy na verstryking van 30 dae nadat daar ingevolge subartikel (1)(b) kennis gegee is, toegang tot die rekord aan die versoeker verleen, tensy ’n interne appèl binne daardie tydperk aangeteken, klagte by die Inligtingsreguleerder of aansoek by ’n hof ingedien is, na gelang van die geval.’’.

12. Die wysiging van artikel 51— (a) deur subartikel (1) deur die volgende subartikel te vervang: ‘‘(1) [Binne ses maande na die inwerkingtreding van hierdie artikel of die totstandkoming van ’n privaatliggaam moet die] Die hoof van die betrokke privaatliggaam moet ’n handleiding [opstel] ingevolge subartikel (3) beskikbaar stel wat— (a) oor die algmeen— (i) die pos- en straatadres, telefoon- en faksnommer en, indien beskikbaar, elektroniese posadres van die hoof van die liggaam bevat; en (ii) sodanige ander inligting wat voorgeskryf kan word, bevat; (b) waar dit hierdie Wet aangaan— 126 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 126 No. and year of law Short title Extent of repeal or amendment [(b)] (i) a description of the guide referred to in section 10, if available, and how to obtain access to it; [(c)] (ii) the latest notice in terms of section 52(2), if any, regarding the categories of record of the body which are available without a person having to request access in terms of this Act; [(d)](iii) a description of the records of the body which are available in accordance with any other legislation; and [(e)](iv) sufficient detail to facilitate a request for access to a record of the body, a description of the subjects on which the body holds records and the categories of records held on each subject; [and] (c) insofar as the Protection of Personal Information Act, 2013, is concerned— (i) the purpose of the processing; (ii) a description of the categories of data subjects and of the information or categories of information relating thereto; (iii) the recipients or categories of recipients to whom the personal information may be supplied; (iv) planned transborder flows of personal information; and (v) a general description allowing a preliminary assessment of the suitability of the information security measures to be implemented by the responsible party to ensure the confidential- ity, integrity and availability of the information which is to be processed.’’. [(f) in general such other information as may be prescribed.]’’; and (b) by the substitution for subsection (3) of the following subsection: ‘‘(3) [Each manual must be made available as prescribed] The manual referred to in subsection (1), or the updated version thereof as referred to in subsection (2) must be made available— GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 127 Wet No. 4 van 2013 127 No. en jaar van wet Kort titel Omvang van herroeping of wysiging [(b)](i) ’n beskrywing van die gids in artikel 10 bedoel, indien beskikbaar, en hoe om toegang daartoe te verkry, bevat; [(c)](ii) die jongste kennisgewing ingevolge artikel 52(2) bevat, indien enige, betreffende die kategorieë rekords van die liggaam wat beskikbaar is sonder dat ’n persoon ’n versoek om toegang ingevolge hierdie Wet hoef te rig; [(d)](iii) ’n beskrywing van die rekords van die liggaam wat ingevolge ander wetgewing beskikbaar is, bevat; en [(e)](iv) voldoende besonderhede bevat om ’n versoek om toegang tot ’n rekord van die liggaam te vergemak- lik, ’n beskrywing van die onderwerpe waaroor die liggaam rekords hou en die kategorieë rekords gehou oor elke onderwerp bevat; (c) waar dit die Wet op Beskerming van Persoonlike Inligting, 2013, aangaan— (i) die oogmerk van die prosessering meld; (ii) ’n beskrywing van die kategorieë van datasubjekte en van die inligting of kategorieë inligting wat daarop betrekking het, bevat; (iii) die ontvangers of kategorieë van ontvangers aan wie die persoonlike inligting voorsien kan word, bevat; (iv) beplande vloei van persoon- like inligting oor landsgrense, bevat; en (v) ’n algemene beskrywing wat ’n voorlopige oudit toelaat van die gepastheid van die inlig- tingsveiligheidsmaatreëls wat die verantwoordelike party gaan instel om die vertroulik- heid, integriteit en beskikbaar- heid van die inligting wat gesprosesseer staan te word, te verseker, bevat. [(f) die ander inligting bevat wat voorgeskryf mag word.]’’; en (b) deur subartikel (3) deur die volgende subartikel te vervang: ‘‘(3) [Elke handleiding moet soos voorgeskryf beskikbaar gestel word] Die handleiding in subartikel (1) bedoel, of die bygewerkte weergawe daarvan soos in subartikel (2) bedoel, moet beskikbaar gestel word— 128 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 128 No. and year of law Short title Extent of repeal or amendment (a) on the web site, if any, of the private body; (b) at the principal place of business of the private body for public inspection during normal business hours; (c) to any person upon request and upon the payment of a reasonable amount; and (d) to the Information Regulator upon request.’’.

13. The amendment of section 52 by the— (a) substitution for the words preceding paragraph (a) of subsection (1) of the following words: ‘‘(1) The head of a private body may, on a voluntary [and periodic] basis, [submit to the Minister] make available in the prescribed manner a description of—’’; (b) deletion of subsection (2); and (c) substitution of subsection (3) of the following subsection: ‘‘(3) The only fee (if any) for access to a record [included in a notice in terms of subsection (2)] referred to in subsection (1) is a prescribed fee for reproduction.’’.

14. The amendment of section 54 by the substitution for— (a) subsection (1) of the following subsection: ‘‘(1) The head of a private body to whom a request for access is made must by notice require the requester[, other than a personal requester,] to pay the prescribed request fee (if any), before further processing the request.’’; (b) subsection (2) of the following subsection: ‘‘(2) If— (a) the search for a record of a private body in respect of which a request for access by a requester [, other than a personal requester,] has been made; and (b) the preparation of the record for disclosure (including any arrangements contemplated in section 29(2)(a) and (b)(i) and (ii)(aa)), would, in the opinion of the head of the private body concerned, require more than the hours prescribed for this purpose for requesters, the head must by notice require the requester[, other than a personal requester,] to pay as a deposit the prescribed portion (being not more than one third) of the access fee which would be payable if the request is granted.’’; and GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 129 Wet No. 4 van 2013 129 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (a) op die webtuiste, indien enige, van die privaatliggaam; (b) by die hoof plek van besigheid van die privaatliggaam vir openbare inspeksie tydens normale sake-ure; (c) aan enige persoon op versoek en by betaling van ’n redelike bedrag; en (d) aan die Inligtingsreguleerder op versoek.’’.

13. Die wysiging van artikel 52— (a) deur in subartikel (1) die woorde wat paragraaf (a) voorafgaan deur die volgende woorde te vervang: ‘‘(1) Die hoof van ’n privaatliggaam [moet] kan op ’n vrywillige [en periodieke] grondslag [by die Minister] op die voorgeskrewe wyse ’n beskrywing [indien] beskikbaar stel van—’’; (b) deur subartikel (2) te skrap; en (c) deur subartikel (3) deur die volgende subartikel te vervang: ‘‘(3) Die enigste geld (indien enige) betaalbaar vir toegang tot ’n rekord[, wat in ’n kennisgewing ingevolge subartikel (2) ingesluit is,] in subartikel (1) bedoel, is voorgeskrewe gelde vir reproduksie.’’.

14. Die wysiging van artikel 54— (a) deur subartikel (1) deur die volgende subartikel te vervang: ‘‘(1) Die hoof van ’n privaatliggaam aan wie ’n versoek om toegang gerig word, moet by kennisgewing van die versoeker[, behalwe ’n persoonlike versoeker,] vereis om die voorgeskrewe versoekgelde (indien enige) te betaal voordat die versoek verder geprosesseer word.’’; (b) deur subartikel (2) deur die volgende subartikel te vervang: ‘‘(2) Indien— (a) die soektog na ’n rekord van ’n privaatliggaam ten opsigte waar- van ’n versoek om toegang deur ’n versoeker[, behalwe ’n persoonlike versoeker,] gedoen is; en (b) die voorbereiding van die rekord vir openbaarmaking (insluitende enige reëlings beoog in artikel 29(2)(a) en (b)(i) en (ii)(aa)), na die oordeel van die hoof van die betrokke privaatliggaam meer as die ure sou neem wat vir hierdie doel vir versoekers voorgeskryf is, moet die hoof by kennisgewing van die versoeker[, behalwe ’n persoonlike versoeker,] vereis om die voorge- skrewe gedeelte (synde hoogstens een derde) van die toegangsgelde wat betaalbaar sou wees indien die versoek toegestaan word as ’n deposito te betaal.’’; en 130 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 130 No. and year of law Short title Extent of repeal or amendment (c) paragraphs (b) and (c) of subsection (3) of the following paragraphs: ‘‘(b) that the requester may lodge a complaint to the Information Regulator or an application with a court against the tender or payment of the request fee in terms of subsection (1), or the tender or payment of a deposit in terms of subsection (2), as the case may be; and (c) the procedure (including the period) for lodging the complaint to the Information Regulator or the application.’’.

15. The amendment of section 56 by the— (a) substitution for paragraph (c) of subsection (2) of the following paragraph between: ‘‘(c) that the requester may lodge a complaint to the Information Regulator or an application with a court against the access fee to be paid or the form of access granted, and the procedure, including the period allowed, for lodging a complaint to the Information Regulator or the application.’’; and (b) substitution for paragraph (c) of subsection (3) of the following paragraph: ‘‘(c) state that the requester may lodge a complaint to the Information Regulator an application with a court against the refusal of the request, and the procedure (including the period) for lodging a complaint to the Information Regulator or the application.’’.

16. The amendment of section 57 by the substitution for paragraph (c) of subsection (3) of the following paragraph: ‘‘(c) that the requester may lodge a complaint to the Information Regulator or an application with a court against the extension, and the procedure (including the period) for lodging the application.’’.

17. The amendment of section 73 by the— (a) substitution for paragraphs (b) and (c) of subsection (3) of the following paragraphs: ‘‘(b) that the third party may lodge a complaint to the Information Regulator or an application with a court against the decision of the head within 30 days after notice is given, and the procedure for lodging the complaint to the Information Regulator or the application; and GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 131 Wet No. 4 van 2013 131 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (c) deur paragrawe (b) en (c) in subartikel (3) deur die volgende paragrawe te vervang: ‘‘(b) vermeld dat die versoeker ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof kan indien teen die aanbied of betaling van die versoekgeld ingevolge subartikel (1), of die aanbied of betaling van ’n deposito ingevolge subartikel (2), na gelang van die geval; en (c) die prosedure (insluitende die tydperk) vir die indien van ’n klagte by die Inligtingsreguleerder of ’n aansoek vermeld.’’.

15. Die wysiging van artikel 56— (a) deur paragraaf (c) in subartikel (2) deur die volgende paragraaf te vervang: ‘‘(c) meld dat die versoeker ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof kan indien, teen die toegangsgelde wat betaal moet word of die vorm van toegang wat toegestaan is, en die prosedure, met inbegrip van die tydperk wat toegelaat word, vir die indien van ’n klagte by die Inligtingsreguleerder of die aansoek.’’; en (b) deur paragraaf (c) in subartikel (3) deur die volgende paragraaf te vervang: ‘‘(c) meld dat die versoeker ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof kan indien, teen die weiering van die versoek, en die prosedure (insluitende die tydperk) vir die indien van ’n klagte by die Inligtingsreguleerder of vir die indien van die aansoek.’’.

16. Die wysiging van artikel 57 deur paragraaf (c) in subartikel (3) deur die volgende paragraaf te vervang: ‘‘(c) meld dat die versoeker ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof kan indien, teen die verlenging, en die prosedure (insluitende die tydperk) vir die indien van die aansoek.’’.

17. Die wysiging van artikel 73— (a) deur paragrawe (b) en (c) in subartikel (3) deur die volgende paragrawe te vervang: ‘‘(b) meld dat die derde party ’n klagte by die Inligtingsreguleerder of ’n aansoek by ’n hof teen die besluit kan indien, binne 30 dae nadat kennis gegee is, en die prosedure vir indiening van ’n klagte by die Inligtingsreguleerder of van die aansoek; en 132 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 132 No. and year of law Short title Extent of repeal or amendment (c) that the requester will be given access to the record after the expiry of the applicable period contemplated in paragraph (b), unless a complaint to the Information Regulator or an application with a court is lodged within that period.’’; and (b) substitution of subsection (4) of the following subsection: ‘‘(4) If the head of the private body decides in terms of subsection (1) to grant the request for access concerned, he or she must give the requester access to the record concerned after the expiry of 30 days after notice is given in terms of subsection (1)(b), unless a complaint to the Information Regulator or an application with a court is lodged against the decision within that period.’’.

18. The amendment of Chapter 1 of Part 4 by the insertion after section 77 of the following sections: ‘‘CHAPTER 1A COMPLAINTS TO REGULATOR Complaints 77A. (1) A requester or third party referred to in section 74 may only submit a complaint to the Information Regulator in terms of this section after that requester or third party has exhausted the internal appeal procedure against a decision of the information officer of a public body provided for in section 74. (2) A requester— (a) that has been unsuccessful in an internal appeal to the relevant authority of a public body; (b) aggrieved by a decision of the relevant authority of a public body to disallow the late lodging of an internal appeal in terms of section 75(2); (c) aggrieved by a decision of the information officer of a public body referred to in paragraph (b) of the definition of ’public body’ in section 1— (i) to refuse a request for access; or (ii) taken in terms of section 22, 26(1) or 29(3); or (d) aggrieved by a decision of the head of a private body— (i) to refuse a request for access; or (ii) taken in terms of section 54, 57(1) or 60, may within 180 days of the decision, submit a complaint, alleging that the decision was not in compliance with this Act, to the Information Regulator in the prescribed manner and form for appropriate relief. GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 133 Wet No. 4 van 2013 133 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (c) meld dat die versoeker toegang tot die rekord verleen sal word na ver- stryking van die toepaslike tydperk beoog in paragraaf (b), tensy ’n klagte by die Inligtingsreguleerder of ’n aansoek binne daardie tydperk by ’n hof ingedien word.’’; en (b) deur subartikel (4) deur die volgende subartikel te vervang: ‘‘(4) Indien die hoof van ’n privaat- liggaam ingevolge subartikel (1) besluit om die betrokke versoek om toegang toe te staan, moet hy of sy na verstryking van 30 dae nadat daar ingevolge subartikel (1)(b) kennis gegee is, toegang tot die rekord aan die versoeker verleen, tensy ’n klagte by die Inligtingsreguleerder of ’n aansoek binne daardie tydperk by ’n hof ingedien is.’’.

18. Die wysiging van Hoofstuk 1 van Deel 4 deur die volgende artikels na artikel 77 in te voeg: ‘‘HOOFSTUK 1A KLAGTES TOT REGULEERDER Klagtes 77A. (1) ’n Versoeker of derde party in artikel 74 bedoel kan alleenlik ’n klagte by die Inligtingsreguleerder ingevolge hierdie artikel indien nadat daardie versoeker of derde party die interne appèlprosedure teen ’n besluit van die inligtingsbeampte van ’n openbare liggaam in artikel 74 bedoel, uitgeput het. (2) ’n Versoeker wat— (a) onsuksesvol was met ’n interne appèl na die tersaaklike owerheid van ’n openbare liggaam; (b) veronreg voel deur ’n besluit van die tersaaklike owerheid van ’n openbare liggaam om nie die laat aantekening van ’n interne appèl ingevolge artikel 75(2) toe te laat nie; (c) veronreg voel deur ’n besluit van die inligtingsbeampte van ’n openbare liggaam in paragraaf (b) bedoel van die omskrywing van ‘openbare liggaam’ in artikel 1— (i) om ’n versoek om toegang te weier; of (ii) ingevolge artikel 22, 26(1) of 29(3) geneem; of (d) veronreg voel deur ’n besluit van die hoof van ’n privaatliggaam— (i) om ’n versoek om toegang te weier; of (ii) geneem ingevolge artikel 54, 57(1) of 60, kan binne 180 dae na die besluit, ’n klagte vir gepaste regshulp op die voorgeskrewe wyse en vorm by die Inligtingsreguleerder indien waarin beweer word dat die besluit nie aan hierdie Wet voldoen het nie. 134 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 134 No. and year of law Short title Extent of repeal or amendment (3) A third party— (a) that has been unsuccessful in an internal appeal to the relevant authority of a public body; (b) aggrieved by a decision of the information officer of a public body referred to in paragraph (b) of the definition of ‘public body’ in section 1 to grant a request for access; or (c) aggrieved by a decision of the head of a private body in relation to a request for access to a record of that body, may within 180 days of the decision, submit a complaint, alleging that the decision was not in compliance with this Act, to the Information Regulator in the prescribed manner and form for appropriate relief. Modes of complaints to Regulator 77B. (1) A complaint to the Information Regulator must be made in writing. (2) The Information Regulator must give such reasonable assistance as is necessary in the circumstances to enable a person, who wishes to make a complaint to the Information Regulator, to put the complaint in writing. Action on receipt of complaint 77C. (1) The Information Regulator, after receipt of a complaint made in terms of section 77A, must— (a) investigate the complaint in the prescribed manner; (b) refer the complaint to the Enforcement Committee established in terms of section 50 of the Protection of Personal Information Act, 2013; or (c) decide, in accordance with section 77D, to take no action on the complaint or, as the case may be, require no further action in respect of the complaint. (2) During the investigation the Information Regulator may— (a) act, where appropriate, as conciliator in relation to such complaint in the prescribed manner; or (b) take such further action as is contem- plated by this Chapter. (3) The Information Regulator must, as soon as is reasonably practicable, after receipt of a complaint, advise the complainant and the information officer or head of a private body, as the case may be, to whom the complaint relates of the course of action that the Information Regulator proposes to adopt under subsection (1). GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 135 Wet No. 4 van 2013 135 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (3) ’n Derde party wat— (a) onsuksesvol was in ’n interne appèl na die tersaaklike owerheid van ’n openbare liggaam; (b) veronreg voel deur ’n besluit van die inligtingsbeampte van ’n openbare liggaam in paragraaf (b) van die omskrywing van ‘openbare liggaam’ in artikel 1 bedoel, om ’n versoek om toegang toe te staan; of (c) veronreg voel deur ’n besluit van die hoof van ’n privaatliggaam in verband met ’n versoek om toegang tot ’n rekord van daardie liggaam, kan binne 180 dae na die besluit, ’n klagte vir gepaste regshulp op die voorgeskrewe wyse en vorm by die Inligtingsreguleerder indien waarin beweer word dat die besluit nie aan hierdie Wet voldoen het nie. Wyse van klagtes tot Reguleerder 77B. (1) ’n Klagte tot die Inligtingsregu- leerder moet skriftelik ingedien word. (2) Die Inligtingsreguleerder moet sodanige redelike bystand verleen wat in die omstandighede noodsaaklik is om ’n persoon, wat ’n klagte by die Inligtingsregu- leerder wil indien, in staat te stel om die klagte op skrif te stel. Stappe by ontvangs van klagte 77C. (1) Die Inligtingsreguleerder, na ontvangs van ’n klagte wat ingevolge artikel 77A ingedien is, moet— (a) die klagte op die voorgeskrewe wyse ondersoek; (b) die klagte na die Afdwingingskomitee ingestel ingevolge artikel 50 van die Wet op Beskerming van Persoonlike Inligting, 2013, verwys; of (c) ooreenkomstig artikel 77D, besluit om geen stappe ten opsigte van die klagte te doen nie of, na gelang van die geval, geen verdere stappe ten opsigte van die klagte te vereis nie. (2) Tydens die ondersoek kan die Inligtingsreguleerder— (a) waar geskik, op die voorgeskrewe wyse as konsiliator optree met betrekking tot sodanige klagte; of (b) sodanige verdere stappe doen soos by hierdie Hoofstuk beoog. (3) Die Inligtingsreguleerder moet, so gou soos redelikerwys moontlik is, na ontvangs van ’n klagte, die klaer of klaagster en die inligtingsbeampte of hoof van ’n privaatlig- gaam, na gelang van die geval, met wie die klagte verband hou, verwittig van die stappe wat die Inligtingsreguleerder beoog om ingevolge subartikel (1) te doen. 136 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 136 No. and year of law Short title Extent of repeal or amendment Regulator may decide to take no action on complaint 77D. (1) The Information Regulator, after investigating a complaint received in terms of section 77A, may decide to take no action or, as the case may be, require no further action in respect of the complaint if, in the Information Regulator’s opinion— (a) the complaint has not been submitted within the period referred to in section 77A(2) and there are no reasonable grounds to condone the late submission; (b) the complaint is frivolous or vexatious or is not made in good faith; or (c) it appears to the Information Regulator that, having regard to all the circum- stances of the case, any further action is unnecessary or inappropriate. (2) In any case where the Information Regulator decides to take no action, or no further action, on a complaint, the Information Regulator must inform the complainant of that decision and the reasons for it. Pre-investigation proceedings of Regulator

77E. Before proceeding to investigate any matter in terms of this Chapter, the Information Regulator must, in the prescribed manner, inform— (a) the complainant of the Information Regulator’s intention to conduct the investigation; and (b) the information officer of the public body or the head of the private body, as the case may be, to whom the complaint relates of the— (i) details of the complaint; and (ii) right of the information officer or the head to submit to the Informa- tion Regulator, within a reasonable period, a written response in relation to the complaint. Settlement of complaints

77F. If it appears from a complaint, or any written response made in relation to a complaint under section 77E(b)(ii), that it may be possible to secure a settlement between the parties concerned, the Information Regulator may, without investigating the complaint or, as the case may be, investigating the complaint further, in the prescribed manner, use its best endeavours to secure such a settlement. GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 137 Wet No. 4 van 2013 137 No. en jaar van wet Kort titel Omvang van herroeping of wysiging Reguleerder kan besluit om geen stappe aangaande klagte te doen nie 77D. (1) Die Inligtingsreguleerder kan, na die ondersoek van ’n klagte wat ingevolge artikel 77A ontvang is, besluit om geen stappe te doen nie of, na gelang van die geval, geen verdere stappe ten opsigte van die klagte te vereis nie, indien, na oordeel van die Inligtingsreguleerder— (a) die klagte nie binne die tydperk in artikel 77A(2) bedoel ingedien is nie en daar geen redelike gronde is om die laat indiening te kondoneer nie; (b) die klagte beuselagtig of kwelsugtig is of nie in goeie trou gemaak is nie; of (c) dit vir die Reguleerder blyk dat, met inagneming van al die omstandighede van die geval, enige verdere stappe onnodig of onvanpas is. (2) In enige geval waar die Inligtingsregu- leerder besluit om geen stappe of geen verdere stappe ten opsigte van die klagte te doen nie, moet die Inligtingsreguleerder die klaer of klaagster van daardie besluit, en die redes daarvoor, verwittig. Vooraf-ondersoek verrigtinge van Reguleerder

77E. Alvorens voortgegaan word om ’n aangeleentheid kragtens hierdie Hoofstuk te ondersoek, moet die Inligtingsreguleerder, op die voorgeskrewe wyse— (a) die klaer of klaagster verwittig van die Inligtingsreguleerder se voorneme om die ondersoek te onderneem; en (b) die inligtingsbeampte van die openbare liggaam of die hoof van die privaatlig- gaam, na gelang van die geval, met wie die klagte verband hou, van die— (i) besonderhede van die klagte; en (ii) die inligtingsbeampte of hoof se reg om, binne ’n redelike tydperk, ’n skriftelike antwoord met betrekking tot die klagte aan die Inligtingsregu- leerder voor te lê, verwittig. Skikking van klagtes

77F. Indien dit uit ’n klagte, of enige skriftelike antwoord wat met betrekking tot ’n klagte kragtens artikel 77E(b)(ii) voorgelê is, blyk dat dit moontlik kan wees om ’n skikking tussen die betrokke partye te bewerkstellig, kan die Inligtingsreguleerder, sonder om die klagte te ondersoek of, na gelang van die geval, die klagte verder te ondersoek, op die voorgeskrewe wyse, tot die beste van die Reguleerder se vermoë, pogings aanwend om sodanige skikking te bewerkstellig. 138 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 138 No. and year of law Short title Extent of repeal or amendment Investigation proceedings of Regulator 77G. (1) For the purposes of the investigation of a complaint the Information Regulator has powers similar to those of the High Court in terms of section 80 relating to the disclosure of records to it and non-disclosure of records by it. (2) Section 81 of the Protection of Personal Information Act, 2013, applies to the investigation of complaints in terms of this Chapter. Assessment 77H. (1) The Information Regulator, on its own initiative, or at the request by or on behalf of an information officer or head of a private body or any other person may make an assessment in the manner prescribed of whether a public or private body generally complies with the provisions of this Act insofar as its policies and implementation procedures are concerned. (2) The Information Regulator must make the assessment if it appears to be appropri- ate, unless, where the assessment is made on request, the Information Regulator has not been supplied with such information as it may reasonably require in order to— (a) satisfy itself as to the identity of the person making the request; and (b) enable it to identify the private or public body concerned. (3) The matters to which the Information Regulator may have regard in determining whether it is appropriate to make an assessment include— (a) the extent to which the request appears to it to raise a matter of substance; (b) determining that the request is not frivolous or vexatious; and (c) whether or not the person making the request is entitled to make an application in terms of this Act in respect of the information in question. (4) If the Information Regulator has received a request under this section it must notify the person referred to in subsection (1)— (a) whether it has made an assessment as a result of the request; and (b) of any view formed or action taken as a result of the request. GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 139 Wet No. 4 van 2013 139 No. en jaar van wet Kort titel Omvang van herroeping of wysiging Ondersoekverrigtinge van Reguleerder 77G. (1) Vir die doeleindes van die ondersoek van ’n klagte, het die Inligtingsreguleerder bevoegdhede soortgelyk aan die bevoegdhede van die Hooggeregshof ingevolge artikel 80 met betrekking tot die bekendmaking van rekords aan die Inligtingsreguleerder en niebekendmaking deur die Inligtingsreguleerder. (2) Artikel 81 van die Wet op Beskerming van Persoonlike Inligting, 2013, is van toepassing op die ondersoek van klagtes ingevolge hierdie Hoofstuk. Oudit 77H. (1) Die Inligtingsreguleerder kan, uit eie beweging of op versoek deur of namens ’n inligtingsbeampte of hoof van ’n privaatliggaam of enige ander persoon, ’n oudit op die voorgeskrewe wyse doen om te bepaal of ’n openbare of privaatliggaam oor die algemeen aan die bepalings van hierdie Wet voldoen vir sover dit die liggaam se beleid en implementeringsprosedures aangaan. (2) Die Inligtingsreguleerder moet die oudit doen indien dit blyk gepas te wees, tensy, waar die oudit op versoek gedoen word, die Inligtingsreguleerder nie van sodanige inligting voorsien is nie as wat die Inligtingsreguleerder redelikerwys kan benodig ten einde die Inligtingsreguleer- der— (a) self te oortuig met betrekking tot die identiteit van die persoon wat die versoek rig; en (b) in staat te stel om die betrokke openbare of privaatliggaam te identifiseer. (3) Die aangeleenthede waaraan die Inligtingsreguleerder oorweging mag skenk ten einde vas te stel of dit gepas is om ’n oudit uit te voer, behels ook— (a) die mate waartoe die versoek vir die Inligtingsreguleerder blyk ’n wesenlike aangeleentheid op te werp; (b) of die versoek nie beuselagtig of kwelsugtig is nie; en (c) of die persoon wat die versoek rig daarop geregtig is om ’n aansoek ingevolge hierdie Wet oor die betrokke inligting te rig, of nie. (4) Indien die Inligtingsreguleerder ’n versoek kragtens hierdie artikel ontvang het, moet die Reguleerder die persoon in subartikel (1) bedoel in kennis stel— (a) of die Reguleerder ’n oudit as gevolg van die versoek gedoen het; en (b) oor enige standpunt ingeneem of stappe gedoen as gevolg van die versoek. 140 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 140 No. and year of law Short title Extent of repeal or amendment Information Notice 77I. (1) For the purposes of the investigation of a complaint the Information Regulator may serve the information officer or head of a private body with an information notice requiring said party to furnish the Information Regulator, within a specified period, in a form specified in the notice, with the information specified in the notice. (2) An information notice in terms of sub-section (1) must be accompanied by— (a) reasons for the issuing of the notice; and (b) particulars of the right to appeal conferred by section 78(4). (3) Section 90(3) to (9) of the Protection of Personal Information Act, 2013, applies to the serving of an information notice in terms of this Chapter. Enforcement Notice 77J. (1) The Information Regulator, after having considered the recommendation of the Enforcement Committee, may serve the information officer of a public body or the head of a private body with an enforcement notice— (a) confirming, amending or setting aside the decision which is the subject of the complaint; or (b) requiring the said officer or head to take such action or to refrain from taking such action as the Information Regulator has specified in the notice. (2) A notice in terms of subsection (1) must be accompanied by— (a) reasons for the notice; and (b) particulars of the right to make an application to court conferred by Chapter 2 of this Part. (3) Section 95(3) to (5) of the Protection of Personal Information Act, 2013, applies, with the necessary changes, to the serving of an enforcement notice in terms of this Chapter. (4) A copy of the notice referred to in subsection (1) that has been certified by the Information Regulator is, for purposes of the application referred to in section 78, conclusive proof of the contents of the enforcement notice that has been served by the Regulator. GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 141 Wet No. 4 van 2013 141 No. en jaar van wet Kort titel Omvang van herroeping of wysiging Inligtingskennisgewing 77I. (1) Vir die doeleindes van die ondersoek van ’n klagte, kan die Inligtings- reguleerder ’n inligtingskennisgewing op die inligtingsbeampte of hoof van ’n privaatlig- gaam beteken wat van die party vereis om die inligting in die kennisgewing vermeld binne ’n bepaalde tydperk, in die vorm in die kennisgewing vermeld, aan die Inligtingsreguleerder te voorsien. (2) ’n Inligtingskennisgewing ingevolge subartikel (1) moet vergesel gaan van— (a) redes vir die uitreiking van die kennisgewing; en (b) besonderhede van die reg tot appèl by artikel 78(4) verleen. (3) Artikel 90(3) tot (9) van die Wet op Beskerming van Persoonlike Inligting, 2013, is van toepassing op die betekening van ’n inligtingskennisgewing ingevolge hierdie Hoofstuk. Adwingingskennisgewing 77J. (1) Die Inligtingsreguleerder, na oorweging van die aanbeveling van die Afdwingingskomitee, kan ’n afdwingings- kennisgewing op die inligtingsbeampte van die openbare liggaam of die hoof van ’n privaatliggaam beteken— (a) waarin die besluit wat die onderwerp van die klagte is, bevestig, gewysig of ter syde gestel word; of (b) waarin van die genoemde beampte of hoof vereis word om sodanige stappe te doen of nie te doen nie wat die Inligtingsreguleerder in die kennisgew- ing vermeld het. (2) ’n Kennisgewing ingevolge subartikel (1) moet vergesel gaan van— (a) redes vir die kennisgewing; en (b) besonderhede van die reg om ’n aansoek by die hof in te dien soos deur Hoofstuk 2 van hierdie Deel verleen. (3) Artikel 95(3) tot (5) van die Wet op Beskerming van Persoonlike Inligting, 2013, is, met die nodige veranderinge, van toepassing op die betekening van ’n afdwingingsbevel ingevolge hierdie Hoofstuk. (4) ’n Afskrif van die kennisgewing in subartikel (1) bedoel wat deur die Inligtingsreguleerder gesertifiseer is, is vir die oogmerke van die aansoek in artikel 78 bedoel, afdoende bewys van die inhoud van die afdwingingskennisgewing wat deur die Reguleerder beteken is. 142 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 142 No. and year of law Short title Extent of repeal or amendment Non-compliance with Enforcement Notice

1. In this Act, unless the context indicates otherwise— ‘‘biometrics’’ means a technique of personal identification that is based on physical, physiological or behavioural characterisation including blood typing, fingerprinting, DNA analysis, retinal scanning and voice recognition; ‘‘child’’ means a natural person under the age of 18 years who is not legally competent, without the assistance of a competent person, to take any action or decision in respect of any matter concerning him- or herself; ‘‘code of conduct’’ means a code of conduct issued in terms of Chapter 7; ‘‘competent person’’ means any person who is legally competent to consent to any action or decision being taken in respect of any matter concerning a child; ‘‘consent’’ means any voluntary, specific and informed expression of will in terms of which permission is given for the processing of personal information; ‘‘Constitution’’ means the Constitution of the Republic of South Africa, 1996; ‘‘data subject’’ means the person to whom personal information relates; ‘‘de-identify’’, in relation to personal information of a data subject, means to delete any information that— (a) (b) can be used or manipulated by a reasonably foreseeable method to identify the identifies the data subject; (c) data subject; or can be linked by a reasonably foreseeable method to other information that identifies the data subject, and ‘‘de-identified’’ has a corresponding meaning; ‘‘direct marketing’’ means to approach a data subject, either in person or by mail or electronic communication, for the direct or indirect purpose of— (a) promoting or offering to supply, in the ordinary course of business, any goods or services to the data subject; or requesting the data subject to make a donation of any kind for any reason; (b) ‘‘electronic communication’’ means any text, voice, sound or image message sent over an electronic communications network which is stored in the network or in the recipient’s terminal equipment until it is collected by the recipient; ‘‘enforcement notice’’ means a notice issued in terms of section 95; ‘‘filing system’’ means any structured set of personal information, whether centralised, decentralised or dispersed on a functional or geographical basis, which is accessible according to specific criteria; ‘‘information matching programme’’ means the comparison, whether manually or by means of any electronic or other device, of any document that contains personal information about ten or more data subjects with one or more documents that contain personal information of ten or more data subjects, for the purpose of producing or verifying information that may be used for the purpose of taking any action in regard to an identifiable data subject; ‘‘information officer’’ of, or in relation to, a— (a) public body means an information officer or deputy information officer as contemplated in terms of section 1 or 17; or (b) private body means the head of a private body as contemplated in section 1, of the Promotion of Access to Information Act; ‘‘Minister’’ means the Cabinet member responsible for the administration of justice; ‘‘operator’’ means a person who processes personal information for a responsible party in terms of a contract or mandate, without coming under the direct authority of that party; ‘‘person’’ means a natural person or a juristic person; 5 10 15 20 25 30 35 40 45 50 55 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 13 Wet No. 4 van 2013 13 BYLAE Verordeninge gewysig deur artikel 110 HOOFSTUK 1 WOORDOMSKRYWING EN OOGMERK Woordomskrywing

1. In hierdie Wet, tensy uit die samehang anders blyk, beteken— ‘‘afdwingingskennisgewing’’ ’n kennisgewing ingevolge artikel 95 uitgereik; ‘‘bevoegde persoon’’ ’n persoon wat regsbevoeg is om toe te stem tot enige handeling of besluit wat geneem word ten opsigte van enige aangeleentheid met betrekking tot ’n kind; ‘‘biometrika’’ ’n tegniek van persoonlike identifikasie wat gebaseer is op fisiese, fisiologiese of gedragskarakterisering, met inbegrip van bloedgroepering, die neem van vingerafdrukke, DNS-ontleding, retinale skandering en stemherkenning; ‘‘datasubjek’’ die persoon op wie persoonlike inligting betrekking het; ‘‘deïdentifiseer’’ met betrekking tot persoonlike inligting van ’n datasubjek, die uitwissing van enige inligting wat— (a) die datasubjek identifiseer; (b) gebruik of gemanipuleer kan word deur ’n redelik voorsienbare metode om ’n datasubjek te identifiseer; of 5 10 15 (c) deur ’n redelik voorsienbare metode aan ander inligting gekoppel kan word 20 wat die datasubjek identifiseer, en ‘‘gedeïdentifiseer’’ het ’n ooreenstemmende betekenis; ‘‘direkte bemarking’’ om ’n datasubjek, in persoon of by wyse van pos of elektroniese kommunikasie, te nader met die direkte of indirekte oogmerk om— (a) enige goedere of dienste, in die gewone loop van besigheid, aan die datasubjek te bemark of aan te bied om dit te verskaf; of (b) die datasubjek te versoek om ’n donasie van enige aard om enige rede te maak; ‘‘elektroniese kommunikasie’’ enige teks-, stem-, klank- of beeldboodskap wat oor ’n elektroniese kommunikasienetwerk gestuur word wat in die netwerk of in die ontvanger se terminaaltoerusting gestoor word totdat dit deur die ontvanger afgehaal word; ‘‘gedragskode’’ ’n gedragskode ingevolge Hoofstuk 7 uitgevaardig; ‘‘Grondwet’’ die Grondwet van die Republiek van Suid-Afrika, 1996; ‘‘heridentifiseer’’ met betrekking tot persoonlike inligting van ’n datasubjek, om enige inligting wat gedeïdentifiseer is, te laat herleef, wat— (a) die datasubjek identifiseer; (b) deur ’n redelik voorsienbare metode gebruik of gemanipuleer kan word om die datasubjek te identifiseer; of 25 30 35 (c) deur ’n redelik voorsienbare metode aan ander inligting gekoppel kan word 40 wat die datasubjek identifiseer, en ‘‘hergeïdentifiseer’’ het ’n ooreenstemmende betekenis; ‘‘hierdie Wet’’ ook enige regulasie of gedragskode kragtens hierdie Wet uitgevaardig; ‘‘inligtingsbeampte’’ van, of in verband met, ’n— (a) openbare liggaam is die inligtingsbeampte of adjunk-inligtingsbeampte soos by artikel 1 of 17; of (b) privaatliggaam die hoof van ’n privaatliggaam soos by artikel 1, van die Wet op Bevordering van Toegang tot Inligting beoog; ‘‘inligtingspasprogram’’ die vergelyking, hetsy fisies of by wyse van ’n elektroniese of ander instrument, van enige dokument wat persoonlike inligting van tien of meer datasubjekte bevat, met een of meerdere dokumente wat persoonlike inligting van tien of meer datasubjekte bevat vir doeleindes van die skep of kontrolering van inligting wat gebruik kan word vir die oogmerk om enige stappe in verband met ’n identifiseerbare datasubjek te doen; ‘‘inperking’’ om enige persoonlike inligting wat deel uitmaak van ’n liasseerstelsel te weerhou van verspreiding, gebruik of publikasie, maar nie om sodanige inligting uit te wis of te vernietig nie; 45 50 55 14 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 14 ‘‘personal information’’ means information relating to an identifiable, living, natural person, and where it is applicable, an identifiable, existing juristic person, including, but not limited to— (a) information relating to the race, gender, sex, pregnancy, marital status, national, ethnic or social origin, colour, sexual orientation, age, physical or mental health, well-being, disability, religion, conscience, belief, culture, language and birth of the person; information relating to the education or the medical, financial, criminal or employment history of the person; any identifying number, symbol, e-mail address, physical address, telephone number, location information, online identifier or other particular assignment to the person; the biometric information of the person; the personal opinions, views or preferences of the person; correspondence sent by the person that is implicitly or explicitly of a private or confidential nature or further correspondence that would reveal the contents of the original correspondence; the views or opinions of another individual about the person; and the name of the person if it appears with other personal information relating to the person or if the disclosure of the name itself would reveal information about the person; (b) (c) (d) (e) (f) (g) (h) ‘‘prescribed’’ means prescribed by regulation or by a code of conduct; ‘‘private body’’ means— (a) a natural person who carries or has carried on any trade, business or profession, but only in such capacity; (b) a partnership which carries or has carried on any trade, business or profession; or any former or existing juristic person, but excludes a public body; (c) ‘‘processing’’ means any operation or activity or any set of operations, whether or not by automatic means, concerning personal information, including— (a) the collection, receipt, recording, organisation, collation, storage, updating or modification, retrieval, alteration, consultation or use; 5 10 15 20 25 30 (b) dissemination by means of transmission, distribution or making available in any other form; or (c) merging, linking, as well as restriction, degradation, erasure or destruction of 35 information; ‘‘professional legal adviser’’ means any legally qualified person, whether in private practice or not, who lawfully provides a client, at his or her or its request, with independent, confidential legal advice; ‘‘Promotion of Access to Information Act’’ means the Promotion of Access to Information Act, 2000 (Act No. 2 of 2000); ‘‘public body’’ means— (a) any department of state or administration in the national or provincial sphere of government or any municipality in the local sphere of government; or (b) any other functionary or institution when— (i) exercising a power or performing a duty in terms of the Constitution or a provincial constitution; or (ii) exercising a public power or performing a public function in terms of any legislation; ‘‘public record’’ means a record that is accessible in the public domain and which is in the possession of or under the control of a public body, whether or not it was created by that public body; ‘‘record’’ means any recorded information— (a) regardless of form or medium, including any of the following: (i) Writing on any material; (ii) information produced, recorded or stored by means of any tape-recorder, computer equipment, whether hardware or software or both, or other device, and any material subsequently derived from information so produced, recorded or stored; label, marking or other writing that identifies or describes any thing of which it forms part, or to which it is attached by any means; (iii) (iv) book, map, plan, graph or drawing; 40 45 50 55 60 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 15 Wet No. 4 van 2013 15 ‘‘kind’’ ’n natuurlike persoon onder die ouderdom van 18 jaar wat nie regsbevoeg is, sonder die bystand van ’n bevoegde persoon, om enige handeling of besluit ten opsigte van enige aangeleentheid met betrekking tot hom- of haarself uit te voer of te neem nie; ‘‘liasseerstelsel’’ inligting, hetsy gesentraliseerd, gedesentraliseerd of wat op ’n funksionele of geografiese basis versprei is, wat volgens bepaalde kriteria toeganklik is; ‘‘Minister’’ die Kabinetslid wat vir die regspleging verantwoordelik is; ‘‘openbare liggaam’’— (a) enige staatsdepartement of administrasie in die nasionale of provinsiale regeringsfeer of enige munisipaliteit in die plaaslike regeringsfeer; of enige gestruktureerde stel persoonlike 5 10 (b) enige ander funksionaris of instelling wanneer ingevolge— (i) die Grondwet of ’n provinsiale grondwet ’n bevoegdheid uitgeoefen of ’n plig verrig word; of (ii) wetgewing ’n openbare bevoegdheid uitgeoefen of ’n openbare plig 15 verrig word; ‘‘openbare rekord’’ ’n rekord wat in die openbare sfeer beskikbaar is en wat in die besit of onder die beheer van ’n openbare liggaam is, hetsy dit deur daardie openbare liggaam geskep is al dan nie; ‘‘operateur’’ ’n persoon wat ingevolge ’n kontrak of mandaat persoonlike inligting vir ’n verantwoordelike party prosesseer, sonder om onder die direkte gesag van daardie party te wees; ‘‘persoon’’ ’n natuurlike of regspersoon; ‘‘persoonlike inligting’’ inligting aangaande ’n identifiseerbare, natuurlike persoon, en waar van toepassing, regspersoon, met inbegrip van, maar nie beperk nie tot— (a) lewendige, ’n identifiseerbare, bestaande sosiale herkoms, kleur, geestelike inligting met betrekking tot die ras, geslagtelikheid, geslag, swangerskap, huwelikstaat, nasionale, etniese of seksuele oriëntering, gesondheid, welsyn, of gestremdheid, godsdiens, gewete, oortuiging, kultuur, taal en geboorte van die persoon; inligting met betrekking tot die opvoeding of die mediese, finansiële, kriminele of werksgeskiedenis van die persoon; enige adres, telefoonnommer, inligting met betrekking tot ligging, aanlyn identifiseerder of ander bepaalde toewysing aan die persoon; e-posadres, fisiese ouderdom, fisiese identifiserende (b) (c) nommer, simbool, (d) die biometriese inligting van die persoon; (e) die persoonlike menings, sieninge of voorkeure van die persoon; (f) korrespondensie gestuur deur die persoon wat vanselfsprekend of uitdruklik van ’n private of vertroulike aard is of verdere korrespondensie wat die inhoud van die oorspronklike korrespondensie aan die lig sal bring; (g) die sieninge of menings van ’n ander persoon met betrekking tot die persoon; en (h) die naam van die persoon waar dit verskyn met ander persoonlike inligting met betrekking tot die persoon of waar die bekendmaking van die naam opsigself inligting oor die persoon aan die lig sal bring; ‘‘privaatliggaam’’— (a) ’n natuurlike persoon wat ’n bedryf, besigheid of professie beoefen of beoefen het, maar slegs in sodanige hoedanigheid; ’n vennootskap wat ’n bedryf, besigheid of professie beoefen of beoefen het; of enige voormalige of bestaande regspersoon, maar uitgesonderd ’n openbare liggaam; (b) (c) ‘‘professionele regsadviseur’’ enige regsgekwalifiseerde persoon, hetsy in privaat praktyk al dan nie, wat regmatig aan ’n kliënt, op die kliënt se versoek, onafhanklike, vertroulike regsadvies voorsien; ‘‘prosessering’’ enige bedrywigheid of aktiwiteit of enige stel bedrywighede, hetsy by wyse van outomatiese middele al dan nie, aangaande persoonlike inligting, met inbegrip van— (a) die insameling, ontvangs, optekening, organisering, insortering, stoor, opdatering of aanpassing, herwinning, aanpassing, konsultasie of gebruik; (b) verspreiding by wyse van oorsending, verspreiding of beskikbaarstelling in enige ander vorm; of 20 25 30 35 40 45 50 55 60 16 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 16 (v) photograph, film, negative, tape or other device in which one or more visual images are embodied so as to be capable, with or without the aid of some other equipment, of being reproduced; regardless of when it came into existence; in the possession or under the control of a responsible party; (b) (c) whether or not it was created by a responsible party; and (d) ‘‘Regulator’’ means the Information Regulator established in terms of section 39; ‘‘re-identify’’, in relation to personal information of a data subject, means to resurrect any information that has been de-identified, that— (a) (b) can be used or manipulated by a reasonably foreseeable method to identify the identifies the data subject; (c) data subject; or can be linked by a reasonably foreseeable method to other information that identifies the data subject, and ‘‘re-identified’’ has a corresponding meaning; ‘‘Republic’’ means the Republic of South Africa; ‘‘responsible party’’ means a public or private body or any other person which, alone or in conjunction with others, determines the purpose of and means for processing personal information; ‘‘restriction’’ means to withhold from circulation, use or publication any personal information that forms part of a filing system, but not to delete or destroy such information; ‘‘special personal information’’ means personal information as referred to in section 26; ‘‘this Act’’ includes any regulation or code of conduct made under this Act; and ‘‘unique identifier’’ means any identifier that is assigned to a data subject and is used by a responsible party for the purposes of the operations of that responsible party and that uniquely identifies that data subject in relation to that responsible party. Purpose of Act

2. The purpose of this Act is to— (a) give effect to the constitutional right to privacy, by safeguarding personal information when processed by a responsible party, subject to justifiable limitations that are aimed at— (i) balancing the right to privacy against other rights, particularly the right of access to information; and (ii) protecting important interests, including the free flow of information within the Republic and across international borders; (b) regulate the manner in which personal information may be processed, by establishing conditions, that prescribe the minimum threshold requirements for the lawful processing of personal information; in harmony with international standards, (c) provide persons with rights and remedies to protect their personal information from processing that is not in accordance with this Act; and (d) establish voluntary and compulsory measures, including the establishment of an Information Regulator, to ensure respect for and to promote, enforce and fulfil the rights protected by this Act. CHAPTER 2 APPLICATION PROVISIONS Application and interpretation of Act 3. (1) This Act applies to the processing of personal information— 5 10 15 20 25 30 35 40 45 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 17 Wet No. 4 van 2013 17 (c) samesmelting, koppeling, asook inperking, degradasie, uitwissing of vernietiging van inligting; ‘‘Reguleerder’’ die Inligtingsreguleerder ingevolge artikel 39 ingestel; ‘‘rekord’’ enige opgetekende inligting— (a) ongeag vorm of medium, met inbegrip van enige van die volgende: (i) Skrif op enige materiaal; (ii) inligting geproduseer, opgeteken of gestoor by wyse van enige bandopnemer, rekenaartoerusting, hetsy hardeware of sagteware of beide, of ander toestel, en enige materiaal vervolgens verkry uit die inligting aldus geproduseer, opgeteken of gestoor; (iii) etiket, merk, of ander skrif wat enige voorwerp waarvan dit deel uitmaak, of waaraan dit op enige wyse geheg is, identifiseer of beskryf; (iv) boek, kaart, plan, grafiek of tekening; (v) foto, film, negatief, band of ander toestel waarin een of meer visuele beelde vervat is sodat dit geskik is, met of sonder die hulp van ander toerusting, vir reproduksie; (b) in die besit of onder die beheer van ’n verantwoordelike party; (c) hetsy dit deur die verantwoordelike party geskep is al dan nie; en (d) ongeag wanneer dit tot stand gekom het; ‘‘Republiek’’ die Republiek van Suid-Afrika; ‘‘spesiale persoonlike inligting’’ persoonlike inligting soos by artikel 26 bedoel; ‘‘toestemming’’ enige vrywillige, bepaalde en ingeligte wilsuitdrukking ingevolge waarvan verlof tot die prosessering van persoonlike inligting gegee word; ‘‘unieke identifiseerder’’ enige identifiseerder wat aan ’n datasubjek toegewys word en wat deur ’n verantwoordelike party vir doeleindes van die bedrywighede van daardie verantwoordelike party gebruik word en waarmee daardie verantwoordelike party die datasubjek op unieke wyse identifiseer; ‘‘verantwoordelike party’’ ’n openbare of privaatliggaam of enige ander persoon wat, eiehandig of in samewerking met andere, die oogmerk van en middele van prosessering van persoonlike inligting bepaal; ‘‘voorgeskryf’’ voorgeskryf by regulasie of by ’n gedragskode; en ‘‘Wet op Bevordering van Toegang tot Inligting’’ die Wet op Bevordering van Toegang tot Inligting, 2000 (Wet No. 2 van 2000). Oogmerk van Wet

2. Die oogmerk van hierdie Wet is om— (a) gevolg te gee aan die grondwetlike reg op privaatheid, deur persoonlike inligting te beskerm wanneer dit deur ’n verantwoordelike party geprosesseer word, onderhewig aan regverdigbare beperkings wat gerig is op die— (i) balansering van die reg op privaatheid teenoor ander regte, in besonder die reg op toegang tot inligting; en (ii) beskerming van belangrike belange, met inbegrip van die vrye vloei van inligting binne die Republiek en oor internasionale grense; (b) die wyse waarop persoonlike inligting geprosesseer mag word, te reguleer deur voorwaardes, in harmonie met internasionale standaarde, te vestig wat die minimum vereistes vir die regmatige prosessering van persoonlike inligting voorskryf; (c) persone van regte en remedies te voorsien ten einde hul persoonlike inligting teen prosessering wat nie in ooreenstemming met hierdie Wet is nie, te beskerm; en (d) vrywillige en verpligte maatreëls, met inbegrip van die instelling van ’n Inligtingsreguleerder, in te stel, ten einde respek vir, en die bevordering, afdwinging en verwesenliking van, die regte wat in hierdie Wet beskerm word, te verseker. HOOFSTUK 2 TOEPASSINGSBEPALINGS Toepassing en uitleg van Wet 3. (1) Hierdie Wet is van toepassing op die prosessering van persoonlike inligting— 5 10 15 20 25 30 35 40 45 50 55 18 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 18 (a) entered in a record by or for a responsible party by making use of automated or non-automated means: Provided that when the recorded personal informa- tion is processed by non-automated means, it forms part of a filing system or is intended to form part thereof; and (b) where the responsible party is— (i) domiciled in the Republic; or (ii) not domiciled in the Republic, but makes use of automated or non-automated means in the Republic, unless those means are used only to forward personal information through the Republic. (2) (a) This Act applies, subject to paragraph (b), to the exclusion of any provision of any other legislation that regulates the processing of personal information and that is materially inconsistent with an object, or a specific provision, of this Act. (b) If any other legislation provides for conditions for the lawful processing of personal information that are more extensive than those set out in Chapter 3, the extensive conditions prevail. (3) This Act must be interpreted in a manner that— (a) gives effect to the purpose of the Act set out in section 2; and (b) does not prevent any public or private body from exercising or performing its powers, duties and functions in terms of the law as far as such powers, duties and functions relate to the processing of personal information and such processing is in accordance with this Act or any other legislation, as referred to in subsection (2), that regulates the processing of personal information. (4) ‘‘Automated means’’, for the purposes of this section, means any equipment capable of operating automatically in response to instructions given for the purpose of processing information. Lawful processing of personal information 4. (1) The conditions for the lawful processing of personal information by or for a responsible party are the following: (a) (b) (c) (d) (e) (f) (g) (h) ‘‘Accountability’’, as referred to in section 8; ‘‘Processing limitation’’, as referred to in sections 9 to 12; ‘‘Purpose specification’’, as referred to in sections 13 and 14; ‘‘Further processing limitation’’, as referred to in section 15; ‘‘Information quality’’, as referred to in section 16; ‘‘Openness’’, as referred to in sections 17 and 18; ‘‘Security safeguards’’, as referred to in sections 19 to 22; and ‘‘Data subject participation’’, as referred to in sections 23 to 25. 5 10 15 20 25 30 35 (2) The conditions, as referred to in subsection (1), are not applicable to the processing of personal information to the extent that such processing is— (a) excluded, in terms of section 6 or 7, from the operation of this Act; or (b) exempted in terms of section 37 or 38, from one or more of the conditions 40 concerned in relation to such processing. (3) The processing of the special personal information of a data subject is prohibited in terms of section 26, unless the— (a) provisions of sections 27 to 33 are applicable; or (b) Regulator has granted an authorisation in terms of section 27(2), in which case, subject to section 37 or 38, the conditions for the lawful processing of personal information as referred to in Chapter 3 must be complied with. (4) The processing of the personal information of a child is prohibited in terms of section 34, unless the— (a) provisions of section 35(1) are applicable; or (b) Regulator has granted an authorisation in terms of section 35(2), 45 50 in which case, subject to section 37, the conditions for the lawful processing of personal information as referred to in Chapter 3 must be complied with. (5) The processing of the special personal information of a child is prohibited in terms of sections 26 and 34 unless the provisions of sections 27 and 35 are applicable in which 55 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 19 Wet No. 4 van 2013 19 (a) opgeteken deur of namens ’n verantwoordelike party in ’n rekord deur die gebruik van geoutomatiseerde of niegeoutomatiseerde middele: Met dien verstande dat wanneer die opgetekende persoonlike inligting deur middel van niegeoutomatiseerde middele geprosesseer word, dit deel van ’n liasseerstelsel uitmaak of bedoel is om deel daarvan uit te maak; en (b) waar die verantwoordelike party— in die Republiek gedomisilieerd is; of (i) (ii) nie in die Republiek gedomisilieerd is nie, maar van geoutomatiseerde of niegeoutomatiseerde middele in die Republiek gebruik maak, tensy daardie middele slegs gebruik word om inligting deur die Republiek aan te stuur. (2) (a) Hierdie Wet is, behoudens paragraaf (b), van toepassing tot die uitsluiting van enige bepaling van enige ander wetgewing wat die prosessering van persoonlike inligting reguleer en wat wesenlik strydig met ’n oogmerk, of ’n besondere bepaling, van hierdie Wet, is. (b) Indien enige ander wetgewing voorwaardes vir die regmatige prosessering van persoonlike inligting daarstel wat meer omvattend is as daardie voorwaardes wat in Hoofstuk 3 uiteengesit word, geld die omvattende voorwaardes. (3) Hierdie Wet moet uitgelê word op ’n wyse wat— (a) gevolg gee aan die oogmerk van die Wet soos in artikel 2 uiteengesit; en (b) nie enige openbare of privaatliggaam verbied om sodanige liggaam se bevoegdhede, pligte en werksaamhede ingevolge die reg uit te oefen nie vir soverre daardie bevoegdhede, pligte en werksaamhede met die prosessering van persoonlike inligting verband hou en sodanige prosessering in ooreenstemming met hierdie Wet of enige ander wetgewing, soos in subartikel (2) bedoel, is wat die prosessering van persoonlike inligting reguleer. (4) ‘‘Geoutomatiseerde middele’’, by die toepassing van hierdie artikel, beteken enige toerusting wat outomaties funksioneer in reaksie op instruksies wat gegee word met die oogmerk om inligting te prosesseer. Regmatige prosessering van persoonlike inligting 4. (1) Die voorwaardes vir die regmatige prosessering van persoonlike inligting deur of namens ’n verantwoordelike party is die volgende: (a) (b) (c) (d) (e) (f) (g) (h) ‘‘Verantwoordingspligtigheid’’, soos in artikel 8 bedoel; ‘‘Beperkte prosessering’’, soos in artikels 9 tot 12 bedoel; ‘‘Oogmerkspesifikasie’’, soos in artikels 13 en 14 bedoel; ‘‘Beperkte verdere prosessering’’, soos in artikel 15 bedoel; ‘‘Inligtingsgehalte’’, soos in artikel 16 bedoel; ‘‘Openheid’’, soos in artikels 17 en 18 bedoel; ‘‘Veiligheidsvoorsorgmaatreëls’’, soos in artikels 19 tot 22 bedoel; en ‘‘Deelname deur datasubjek’’, soos in artikels 23 tot 25 bedoel. (2) Die voorwaardes, soos in subartikel (1) bedoel, is nie van toepassing op die prosessering van persoonlike inligting nie vir sover sodanige prosessering— (a) (b) ingevolge artikel 6 of 7 van die werking van die Wet uitgesluit is; of ingevolge artikel 37 of 38 van een of meerdere van die betrokke voorwaardes met betrekking tot sodanige prosessering vrygestel is. (3) Die prosessering van die spesiale persoonlike inligting van ’n datasubjek is ingevolge artikel 26 verbode, tensy die— (a) bepalings van artikels 27 tot 33 van toepassing is; of (b) Reguleerder ’n magtiging ingevolge artikel 27(2) verleen het, in welke geval, behoudens artikel 37 of 38, die voorwaardes vir die regmatige prosessering van persoonlike inligting soos in Hoofstuk 3 bedoel aan voldoen moet word. (4) Die prosessering van die persoonlike inligting van ’n kind is, ingevolge artikel 34 verbode, tensy die— (a) bepalings van artikel 35(1) van toepassing is; of (b) Reguleerder ’n magtiging ingevolge artikel 35(2) verleen het, 5 10 15 20 25 30 35 40 45 50 55 in welke geval, behoudens artikel 37, die voorwaardes vir die regmatige prosessering van persoonlike inligting soos in Hoofstuk 3 bedoel aan voldoen moet word. (5) Die prosessering van die spesiale persoonlike inligting van ’n kind is ingevolge artikels 26 en 34 verbode, tensy die bepalings van artikels 27 en 35 van toepassing is, in 60 20 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 20 case, subject to section 37, the conditions for the lawful processing of personal information as referred to in Chapter 3 must be complied with. (6) The conditions for the lawful processing of personal information by or for a responsible party for the purpose of direct marketing by any means are reflected in Chapter 3, read with section 69 insofar as that section relates to direct marketing by means of unsolicited electronic communications. (7) Sections 60 to 68 provide for the development, in appropriate circumstances, of codes of conduct for purposes of clarifying how the conditions referred to in subsection (1), subject to any exemptions which may have been granted in terms of section 37, are to be applied, or are to be complied with within a particular sector. 5 10 Rights of data subjects

5. A data subject has the right to have his, her or its personal information processed in accordance with the conditions for the lawful processing of personal information as referred to in Chapter 3, including the right— (a) to be notified that— (i) personal information about him, her or it is being collected as provided 15 for in terms of section 18; or (b) (c) (d) (e) (f) (ii) his, her or its personal information has been accessed or acquired by an unauthorised person as provided for in terms of section 22; to establish whether a responsible party holds personal information of that data subject and to request access to his, her or its personal information as provided for in terms of section 23; to request, where necessary, the correction, destruction or deletion of his, her or its personal information as provided for in terms of section 24; to object, on reasonable grounds relating to his, her or its particular situation to the processing of his, her or its personal information as provided for in terms of section 11(3)(a); to object to the processing of his, her or its personal information— (i) at any time for purposes of direct marketing in terms of section 11(3)(b); or in terms of section 69(3)(c); (ii) not to have his, her or its personal information processed for purposes of direct marketing by means of unsolicited electronic communications except as referred to in section 69(1); (h) (g) not to be subject, under certain circumstances, to a decision which is based solely on the basis of the automated processing of his, her or its personal information intended to provide a profile of such person as provided for in terms of section 71; to submit a complaint to the Regulator regarding the alleged interference with the protection of the personal information of any data subject or to submit a complaint to the Regulator in respect of a determination of an adjudicator as provided for in terms of section 74; and to institute civil proceedings regarding the alleged interference with the protection of his, her or its personal information as provided for in section 99. (i) Exclusions 20 25 30 35 40 45 6. (1) This Act does not apply to the processing of personal information— in the course of a purely personal or household activity; that has been de-identified to the extent that it cannot be re-identified again; (a) (b) (c) by or on behalf of a public body— (i) which involves national security, including activities that are aimed at assisting in the identification of the financing of terrorist and related activities, defence or public safety; or 50 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 21 Wet No. 4 van 2013 21 welke geval, behoudens artikel 37, die voorwaardes vir die regmatige prosessering van persoonlike inligting soos in Hoofstuk 3 bedoel aan voldoen moet word. (6) Die voorwaardes vir die regmatige prosessering van persoonlike inligting deur of namens ’n verantwoordelike party vir doeleindes van direkte bemarking by wyse van enige middel is in Hoofstuk 3 vervat, gelees met artikel 69 vir soverre daardie artikel met direkte bemarking deur middel van ongeoorloofde elektroniese kommunikasie verband hou. (7) Artikels 60 tot 68 maak, in gepaste omstandighede, voorsiening vir die ontwikkeling van gedragskodes wat uitklaar hoe die voorwaardes bedoel in subartikel (1), onderhewig aan enige vrystellings wat ingevolge artikel 37 verleen is, toegepas moet word, of aan voldoen moet word binne ’n bepaalde sektor. Regte van datasubjekte 5. ’n Datasubjek het die reg dat daardie datasubjek se persoonlike inligting in ooreenstemming met die voorwaardes vir die regmatige prosessering van persoonlike inligting soos in Hoofstuk 3 bedoel, geprosesseer word, met inbegrip van die reg— (a) om verwittig te word dat— (i) persoonlike inligting aangaande daardie datasubjek ingesamel word soos wat in artikel 18 voorsien word; of (ii) daardie datasubjek se persoonlike inligting deur ’n ongemagtigde persoon verkry is of dat toegang daartoe verkry is soos wat in artikel 22 voorsien word; (b) om vas te stel of ’n verantwoordelike party persoonlike inligting van daardie datasubjek het en om toegang tot daardie datasubjek se persoonlike inligting te versoek soos wat in artikel 23 voorsien word; (c) om, waar nodig, die regstelling, vernietiging of uitwissing van daardie datasubjek se persoonlike inligting te versoek soos wat in artikel 24 voorsien word; (d) om op redelike gronde met verwysing na daardie datasubjek se besondere situasie beswaar aan te teken teen die prosessering van daardie datasubjek se persoonlike inligting soos in artikel 11(3)(a) voorsien word; (e) om beswaar aan te teken teen die prosessering van daardie datasubjek se persoonlike inligting— (i) te eniger tyd, vir doeleindes van direkte bemarking ingevolge artikel 11(3)(b); of ingevolge artikel 69(3)(c); (ii) om nie daardie datasubjek se persoonlike inligting te laat prosesseer nie vir doeleindes van direkte bemarking deur middel van ongeoorloofde elektroniese kommunikasie, behalwe soos in artikel 69(1) bedoel; (f) (h) (g) om nie, onder sekere omstandighede, onderhewig te wees nie aan ’n besluit wat alleenlik op die geoutomatiseerde prosessering van daardie datasubjek se persoonlike inligting gebaseer is en bedoel is om ’n profiel van sodanige persoon te verskaf soos wat in artikel 71 voorsien word; ’n klagte by die Reguleerder in te dien aangaande die beweerde inmenging met die beskerming van die persoonlike inligting van enige datasubjek of om ’n klagte by die Reguleerder in te dien ten opsigte van ’n vasstelling van ’n skeidsregter soos in artikel 74 voorsien word; en om siviele verrigtinge in te stel met betrekking tot die beweerde inmenging met die beskerming van daardie datasubjek se persoonlike inligting soos in artikel 99 voorsien word. (i) Uitsluitings 6. (1) Hierdie Wet is nie op die prosessering van persoonlike inligting van toepassing nie— in die loop van ’n uitsluitlik persoonlike of huishoudelike aktiwiteit; (a) (b) wat in so ’n mate gedeïdentifiseer is dat dit nie weer hergeïdentifiseer kan word nie; (c) deur of namens ’n openbare liggaam— (i) vir doeleindes van nasionale veiligheid, met inbegrip van aktiwiteite wat daarop gemik is om te help met die identifisering van die finansiering van terroriste- en verwante aktiwiteite, verdediging of openbare veiligheid; of 5 10 15 20 25 30 35 40 45 50 55 22 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 22 (ii) the purpose of which is the prevention, detection, including assistance in the identification of the proceeds of unlawful activities and the combating of money laundering activities, investigation or proof of offences, the prosecution of offenders or the execution of sentences or security measures, 5 to the extent that adequate safeguards have been established in legislation for the protection of such personal information; (d) by the Cabinet and its committees or the Executive Council of a province; or (e) relating to the judicial functions of a court referred to in section 166 of the Constitution. 10 (2) ‘‘Terrorist and related activities’’, for purposes of subsection (1)(c), means those activities referred to in section 4 of the Protection of Constitutional Democracy against Terrorist and Related Activities Act, 2004 (Act No. 33 of 2004). Exclusion for journalistic, literary or artistic purposes 7. (1) This Act does not apply to the processing of personal information solely for the purpose of journalistic, literary or artistic expression to the extent that such an exclusion is necessary to reconcile, as a matter of public interest, the right to privacy with the right to freedom of expression. (2) Where a responsible party who processes personal information for exclusively journalistic purposes is, by virtue of office, employment or profession, subject to a code of ethics that provides adequate safeguards for the protection of personal information, such code will apply to the processing concerned to the exclusion of this Act and any alleged interference with the protection of the personal information of a data subject that may arise as a result of such processing must be adjudicated as provided for in terms of that code. (3) In the event that a dispute may arise in respect of whether adequate safeguards have been provided for in a code as required in terms of subsection (2) or not, regard may be had to— the special importance of the public interest in freedom of expression; (a) (b) domestic and international standards balancing the— (i) public interest in allowing for the free flow of information to the public through the media in recognition of the right of the public to be informed; and (ii) public interest in safeguarding the protection of personal information of data subjects; the need to secure the integrity of personal information; (c) (d) domestic and international standards of professional integrity for journalists; (e) and the nature and ambit of self-regulatory forms of supervision provided by the profession. CHAPTER 3 CONDITIONS FOR LAWFUL PROCESSING OF PERSONAL INFORMATION Part A Processing of personal information in general Condition 1 Accountability Responsible party to ensure conditions for lawful processing

25. The provisions of sections 18 and 53 of the Promotion of Access to Information Act apply to requests made in terms of section 23 of this Act. Part B Processing of special personal information Prohibition on processing of special personal information

53. Enige persoon wat namens of in opdrag van die Reguleerder optree, is nie siviel- of strafregtelik aanspreeklik nie vir enigiets wat in goeie trou gedoen is in die uitoefening of verrigting of beweerde uitoefening of verrigting van enige bevoegdheid, plig of werksaamheid van die Reguleerder ingevolge hierdie Wet of die Wet op Bevordering van Toegang tot Inligting. Vertroulikheidsplig 54. ’n Persoon wat namens of in opdrag van die Reguleerder optree moet, beide tydens of na afloop van sy of haar ampstermyn of tydperk van indiensneming, die persoonlike inligting waarvan hy of sy te wete kom gedurende die uitoefening van sy of haar amptelike pligte as vertroulik hanteer, tensy die oordrag van sodanige inligting regtens of in die behoorlike uitoefening van sy of haar pligte vereis word. Deel B Inligtingsbeampte Pligte en verantwoordelikhede van Inligtingsbeampte 55. (1) ’n Inligtingsbeampte se verantwoordelikhede behels ook— (a) die aanmoediging tot voldoening, deur die liggaam, aan die voorwaardes vir die regmatige prosessering van persoonlike inligting; (b) die hantering van versoeke wat ooreenkomstig hierdie Wet aan die liggaam gerig word; (c) om met die Reguleerder saam te werk in verband met ondersoeke wat ooreenkomstig Hoofstuk 6 met betrekking tot die liggaam gedoen word; 35 40 45 50 66 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 66 (d) otherwise ensuring compliance by the body with the provisions of this Act; and as may be prescribed. (e) (2) Officers must take up their duties in terms of this Act only after the responsible party has registered them with the Regulator. 5 Designation and delegation of deputy information officers

56. Each public and private body must make provision, in the manner prescribed in section 17 of the Promotion of Access to Information Act, with the necessary changes, for the designation of— (a) such a number of persons, if any, as deputy information officers as is necessary to perform the duties and responsibilities as set out in section 55(1) of this Act; and 10 (b) any power or duty conferred or imposed on an information officer by this Act to a deputy information officer of that public or private body. CHAPTER 6 15 PRIOR AUTHORISATION Prior authorisation Processing subject to prior authorisation 57. (1) The responsible party must obtain prior authorisation from the Regulator, in terms of section 58, prior to any processing if that responsible party plans to— 20 (a) process any unique identifiers of data subjects— (i) for a purpose other than the one for which the identifier was specifically intended at collection; and (ii) with the aim of linking the information together with information processed by other responsible parties; (b) process information on criminal behaviour or on unlawful or objectionable conduct on behalf of third parties; (c) process information for the purposes of credit reporting; or (d) transfer special personal information, as referred to in section 26, or the personal information of children as referred to in section 34, to a third party in a foreign country that does not provide an adequate level of protection for the processing of personal information as referred to in section 72. (2) The provisions of subsection (1) may be applied by the Regulator to other types of information processing by law or regulation if such processing carries a particular risk for the legitimate interests of the data subject. (3) This section and section 58 are not applicable if a code of conduct has been issued and has come into force in terms of Chapter 7 in a specific sector or sectors of society. (4) A responsible party must obtain prior authorisation as referred to in subsection (1) only once and not each time that personal information is received or processed, except where the processing departs from that which has been authorised in accordance with the provisions of subsection (1). Responsible party to notify Regulator if processing is subject to prior authorisation 58. (1) Information processing as contemplated in section 57(1) must be notified as such by the responsible party to the Regulator. (2) Responsible parties may not carry out information processing that has been notified to the Regulator in terms of subsection (1) until the Regulator has completed its investigation or until they have received notice that a more detailed investigation will not be conducted. 25 30 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 67 Wet No. 4 van 2013 67 (d) om, andersins, voldoening deur die liggaam aan die bepalings van hierdie Wet te verseker; en soos wat voorgeskryf mag word. (e) (2) Beamptes moet hul werksaamhede ingevolge hierdie Wet opneem slegs nadat die verantwoordelike party hul by die Reguleerder geregistreer het. Aanwysing en delegering van adjunk-inligtingsbeamptes

56. Elke openbare en privaatliggaam moet, op die wyse by artikel 17 van die Wet op Bevordering van Toegang tot Inligting voorgeskryf, met die nodige veranderinge, voorsiening maak vir die aanwysing van— sodanige getal persone, indien enige, as adjunk-inligtingsbeamptes wat noodsaaklik is om die pligte en verantwoordelikhede soos in artikel 55(1) van hierdie Wet uiteengesit, te verrig; en (a) (b) enige bevoegdheid of plig, wat ingevolge hierdie Wet aan ’n inligtings- beampte opgedra of opgelê word, aan ’n adjunk-inligtingsbeampte van daardie openbare of privaatliggaam. HOOFSTUK 6 VOORAFGAANDE MAGTIGING Voorafgaande magtiging Prosessering onderhewig aan voorafgaande magtiging 57. (1) Die verantwoordelike party moet voorafgaande magtiging ingevolge artikel 58 van die Reguleerder verkry, voor enige prosessering plaasvind indien daardie verantwoordelike party van plan is om— (a) enige unieke identifiseerders van datasubjekte te prosesseer— (i) vir ’n ander oogmerk as dié waarvoor die identifiseerder uitdruklik tydens insameling bedoel was; en (ii) met die oog daarop om die inligting te koppel met inligting wat deur ander verantwoordelike partye geprosesseer word; (b) (c) (d) inligting aangaande kriminele gedrag of aangaande onregmatige of afkeurenswaardige optrede namens derde partye te prosesseer; inligting vir die doeleindes van kredietverslagdoening te prosesseer; of spesiale persoonlike inligting, soos in artikel 26 bedoel, of die persoonlike inligting van kinders in artikel 34 bedoel, oor te dra na ’n derde party in die buiteland wat nie ’n genoegsame vlak van beskerming vir die prosessering van persoonlike inligting soos in artikel 72 bedoel, bied nie. (2) Die bepalings van subartikel (1) kan deur die Reguleerder aangewend word ten opsigte van ander soorte inligtingsprosessering wat kragtens wet of regulasie plaasvind indien sodanige prosessering ’n besondere risiko vir die regmatige belange van die datasubjek inhou. (3) Hierdie artikel en artikel 58 is nie van toepassing nie indien ’n gedragskode in ’n bepaalde sektor of sektore van die samelewing ingevolge Hoofstuk 7 uitgereik is en in werking getree het. (4) ’n Verantwoordelike party moet voorafgaande magtiging soos in subartikel (1) bedoel slegs eenmaal verkry en nie elke keer wat persoonlike inligting ontvang of geprosesseer word nie, behalwe waar die prosessering afwyk van dit waarvoor magtiging ingevolge die bepalings van subartikel (1) verkry is. Verantwoordelike party moet Reguleerder in kennis stel indien prosessering aan voorafgaande magtiging onderhewig is 58. (1) Die verantwoordelike party moet die Reguleerder in kennis stel van inligtingsprosessering soos in artikel 57(1) beoog. (2) Verantwoordelike partye mag nie inligting prosesseer waarvan kennis ingevolge subartikel (1) aan die Reguleerder gegee is nie totdat die Reguleerder die ondersoek van die Reguleerder voltooi het of totdat hulle verwittig is dat ’n meer uitgebreide ondersoek nie onderneem gaan word nie. 5 10 15 20 25 30 35 40 45 50 68 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 68 (3) In the case of the notification of information processing to which section 57(1) is applicable, the Regulator must inform the responsible party in writing within four weeks of the notification as to whether or not it will conduct a more detailed investigation. (4) In the event that the Regulator decides to conduct a more detailed investigation, it must indicate the period within which it plans to conduct this investigation, which period must not exceed 13 weeks. (5) On conclusion of the more detailed investigation referred to in subsection (4) the issue a statement concerning the lawfulness of the information Regulator must processing. (6) A statement by the Regulator in terms of subsection (5), to the extent that the information processing is not lawful, is deemed to be an enforcement notice served in terms of section 95 of this Act. (7) A responsible party that has suspended its processing as required by subsection (2), and which has not received the Regulator’s decision within the time limits specified in subsections (3) and (4), may presume a decision in its favour and continue with its processing. Failure to notify processing subject to prior authorisation

59. If section 58(1) or (2) is contravened, the responsible party is guilty of an offence and liable to a penalty as set out in section 107. CHAPTER 7 CODES OF CONDUCT Issuing of codes of conduct 60. (1) The Regulator may from time to time issue codes of conduct. (2) A code of conduct must— (a) incorporate all the conditions for the lawful processing of personal informa- tion or set out obligations that provide a functional equivalent of all the obligations set out in those conditions; and (b) prescribe how the conditions for the lawful processing of personal informa- tion are to be applied, or are to be complied with, given the particular features of the sector or sectors of society in which the relevant responsible parties are operating. (3) A code of conduct may apply in relation to any one or more of the following: (a) Any specified information or class of information; (b) any specified body or class of bodies; (c) (d) any specified industry, profession, or vocation or class of industries, any specified activity or class of activities; or professions, or vocations. (4) A code of conduct must also— (a) specify appropriate measures— (i) for information matching programmes if such programmes are used within a specific sector; or for protecting the legitimate interests of data subjects insofar as automated decision making, as referred to in section 71, is concerned; (ii) (b) provide for the review of the code by the Regulator; and (c) provide for the expiry of the code. Process for issuing codes of conduct 61. (1) The Regulator may issue a code of conduct under section 60— (a) on the Regulator’s own initiative, but after consultation with affected stakeholders or a body representing such stakeholders; or 5 10 15 20 25 30 35 40 45 GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 69 Wet No. 4 van 2013 69 (3) In die geval van kennisgewing van inligtingsprosessering waarop artikel 57(1) van toepassing is, moet die Reguleerder die verantwoordelike party binne vier weke na die kennisgewing skriftelik verwittig of ’n meer uitgebreide ondersoek onderneem gaan word, al dan nie. (4) Indien die Reguleerder besluit om ’n meer uitgebreide ondersoek te onderneem, moet die Reguleerder die tydperk aandui waarbinne die Reguleerder van plan is om die ondersoek uit te voer, welke tydperk nie 13 weke moet oorskry nie. (5) By afhandeling van die meer uitgebreide ondersoek in subartikel (4) bedoel, moet ’n verklaring met betrekking tot die regmatigheid van die die Reguleerder inligtingsprosessering uitreik. (6) ’n Verklaring deur die Reguleerder ingevolge subartikel (5), vir sover die inligtingsprosessering nie regmatig is nie, word geag ’n afdwingingskennisgewing te wees wat ingevolge artikel 95 van hierdie Wet beteken is. (7) ’n Verantwoordelike party wat prosessering, soos deur subartikel (2) vereis, opgeskort het en wat nie die Reguleerder se besluit binne die tydsbestek in subartikels (3) en (4) vermeld, ontvang het nie, kan aanvaar dat ’n besluit in die guns van die verantwoordelike party geneem is en met die verantwoordelike party se prosessering voortgaan. 5 10 15 Versuim om kennis te gee van prosessering onderhewig aan voorafgaande magtiging 20

77K. An information officer of a public body or head of a private body who refuses to comply with an enforcement notice referred to in section 77J, is guilty of an offence and liable upon conviction to fine or to imprisonment for a period not exceeding three years or to both such a fine and such imprisonment.’’.

19. The amendment of section 78 by the substitution for the following section: ‘‘Applications regarding decisions of information officers or relevant authori- ties of public bodies or heads of private bodies or Regulator 78. (1) A requester or third party [referred to in section 74] may only apply to a court for appropriate relief in terms of section 82 [after that requester or third party has exhausted the internal appeal procedure against a decision of the information officer of a public body provided for in section 74] in the following circumstances: (a) After that requester or third party has exhausted the internal appeal procedure referred to in section 74; or (b) after that requester or third party has exhausted the complaints procedure referred to in section 77A. (2) A requester— (a) that has been unsuccessful in an internal appeal to the relevant authority of a public body; (b) aggrieved by a decision of the relevant authority of a public body to disallow the late lodging of an internal appeal in terms of section 75(2); (c) aggrieved by a decision of the information officer of a public body referred to in paragraph (b) of the definition of ‘public body’ in section 1— (i) to refuse a request for access; or (ii) taken in terms of section 22, 26(1) or 29(3); [or] (d) aggrieved by a decision of the head of a private body— (i) to refuse a request for access; or (ii) taken in terms of section 54, 57(1) or 60[,]; or (e) that is aggrieved by any decision of the Information Regulator, may, by way of an application, within [30] 180 days apply to a court for appropriate relief in terms of section 82. GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 143 Wet No. 4 van 2013 143 No. en jaar van wet Kort titel Omvang van herroeping of wysiging Nievoldoening met Afdwingingskennisge- wing 77K. ’n Inligtingsbeampte van ’n openbare liggaam of hoof van ’n privaatlig- gaam wat weier om aan ’n adwingingsken- nisgewing in artikel 77J bedoel, te voldoen, is skuldig aan ’n misdryf en by skuldigbe- vinding strafbaar met ’n boete of met gevangenisstraf vir ’n tydperk van hoogstens drie jaar of met beide sodanige boete en sodanige gevangenisstraf.’’.

19. Die wysiging van artikel 78 deur die volgende artikel te vervang: ‘‘Aansoeke betreffende besluite van inligtingsbeamptes of tersaaklike owerhede van openbare liggame of van hoofde van privaatliggame of Reguleerder 78. (1) ’n Versoeker of derde party [bedoel in artikel 74] kan slegs ’n aansoek om ’n gepaste bevel ingevolge artikel 82 onder die volgende omstandighede by ’n hof bring [nadat die versoeker of derde party die interne appèl prosedure teen ’n besluit van die inligtingsbeampte van ’n openbare liggaam ingevolge artikel 74 uitgeput het]: (a) Nadat daardie versoeker of derde party die interne appèlprosedure bedoel in artikel 74 uitgeput het; of (b) nadat daardie versoeker of derde party die klagteprosedure bedoel in artikel 77A uitgeput het. (2) ’n Versoeker wat— (a) onsuksesvol was met ’n interne appèl na die tersaaklike owerheid van ’n openbare liggaam; (b) veronreg voel deur ’n besluit van die tersaaklike owerheid van ’n openbare liggaam om nie die laat aanteken van ’n interne appèl ingevolge artikel 75(2) toe te laat nie; (c) veronreg voel deur ’n besluit van die inligtingsbeampte van ’n openbare liggaam bedoel in paragraaf (b) van die woordomskrywing van ‘openbare liggaam’ in artikel 1— (i) om ’n versoek tot toegang te weier; of (ii) geneem ingevolge artikel 22, 26(1) of 29(3); [of] (d) veronreg voel deur ’n besluit van die hoof van ’n privaatliggaam— (i) om ’n versoek tot toegang te weier; of (ii) geneem ingevolge artikel 54, 57(1) of 60[,]; of (e) veronreg voel deur enige besluit van die Inligtingsreguleerder, kan, by wyse van ’n aansoek, binne [30] 180 dae by ’n hof vir ’n gepaste bevel ingevolge artikel 82 aansoek doen. 144 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 144 No. and year of law Short title Extent of repeal or amendment (3) A third party— (a) that has been unsuccessful in an internal appeal to the relevant authority of a public body; (b) aggrieved by a decision of the information officer of a public body referred to in paragraph (b) of the definition of ‘public body’ in section 1 to grant a request for access; [or] (c) aggrieved by a decision of the head of a private body in relation to a request for access to a record of that body[,]; or (d) that is aggrieved by any decision of the Information Regulator, may, by way of an application, within [30] 180 days apply to a court for appropriate relief in terms of section 82. (4) An information officer or relevant authority of a public body or the head of a private body, as the case may be, aggrieved by a decision of the Information Regulator in terms of section 77E(2)(b) or (c) may, by way of an application, within 180 days apply to a court for appropriate relief in terms of section 82.’’.

20. The amendment of the heading of Part 5 by substituting the words ‘‘Human Rights Commission’’ with the words ‘‘Information Regulator’’.

21. The amendment of sections 32, 83, 84 and 85 by substituting the words ‘‘Human Rights Commission’’ wherever they occur, with the words ‘‘Information Regulator’’.

22. The repeal of section 88.

23. The amendment of the long title for the following long title: ‘‘To give effect to the constitutional right of access to any information held by the State and any information that is held by another person and that is required for the exercise or protection of any rights; to provide that the Information Regulator, established in terms of the Protection of Personal Information Act, 2013, must exercise certain powers and perform certain duties and functions in terms of this Act; and to provide for matters connected therewith.’’ GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 145 Wet No. 4 van 2013 145 No. en jaar van wet Kort titel Omvang van herroeping of wysiging (3) ’n Derde party wat— (a) onsuksesvol was in ’n interne appèl na die tersaaklike owerheid van ’n openbare liggaam; (b) veronreg voel deur ’n besluit van die inligtingsbeampte van ’n openbare liggaam bedoel in paragraaf (b) van die woordomskrywing van ‘openbare liggaam’ in artikel 1 om ’n versoek tot toegang toe te staan; [of] (c) veronreg voel deur ’n besluit van die hoof van ’n privaatliggaam in verband met ’n versoek tot toegang tot ’n rekord van daardie liggaam[,]; of (d) veronreg voel deur enige besluit van die Inligtingsreguleerder, kan, by wyse van ’n aansoek, binne [30] 180 dae by ’n hof vir ’n gepaste bevel ingevolge artikel 82 aansoek doen. (4) ’n Inligtingsbeampte of tersaaklike owerheid van ’n openbare liggaam of die hoof van ’n privaatliggaam, na gelang van die geval, wat veronreg voel deur ’n besluit van die Inligtingsreguleerder ingevolge artikel 77E(2)(b) of (c) kan, by wyse van ’n aansoek, binne 180 dae by ’n hof aansoek doen om gepaste regshulp ingevolge artikel 82.’’.

20. Die wysiging van die opskrif van Deel 5 deur die woord ‘‘Menseregtekommissie’’ deur die woord ‘‘Inligtingsreguleerder’’ te vervang.

21. Die wysiging van artikels 32, 83, 84 en 85 deur die woord ‘‘Menseregtekommissie’’, waar dit ook al voorkom, deur die woord ‘‘Inligtingsreguleerder’’ te vervang.

22. Die herroeping van artikel 88.

23. Die wysiging van die lang titel deur die volgende lang titel: ‘‘Om gevolg te gee aan die grondwetlike reg op toegang tot enige inligting wat deur die Staat gehou word en enige inligting wat deur ’n ander persoon gehou word en wat vir die uitoefening of beskerming van enige regte benodig word; te bepaal dat die Inligtingsreguleerder wat ingevolge die Wet op Beskerming van Persoonlike Inligting, 2013, ingestel is, sekere bevoegdhede moet uitoefen en sekere pligte en werksaamhede moet verrig ingevolge hierdie Wet; en om voorsiening te maak vir aangeleenthede wat daarmee in verband staan.’’ 146 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 146 No. and year of law Short title Extent of repeal or amendment Act 25 of 2002 Electronic Communi- cations and Transactions Act, 2002

1. The amendment of section 1 by the substitution for the definition of ‘‘personal information’’ of the following definition: ‘‘ ‘personal information’ means information relating to an identifiable natural person, including, but not limited to— (a) information relating to the race, gender, sex, pregnancy, marital status, national, ethnic or social origin, colour, sexual orientation, age, physical or mental health, well-being, disability, religion, conscience, belief, culture, language and birth of the person; (b) information relating to the education or the medical, financial, criminal or employment history of the person; (c) any identifying number, symbol, email address, physical address, telephone number, location information, online identifier or other particular assigned to the person; (d) the biometric information of the person; (e) the personal opinions, views or preferences of the person; (f) correspondence sent by the person that is implicitly or explicitly of a private or confidential nature or further correspondence that would reveal the contents of the original correspon- dence; (g) the views or opinions of another individual about the person; and (h) the name of the person if it appears with other personal information relating to the person or if the disclosure of the name itself would reveal information about the person, but excludes information about an individual who has been dead for more than 20 years;’’.

2. The repeal of sections 45, 50 and 51. Act 34 of 2005 National Credit Act, 2005

1. The amendment of section 1 by the substitution of the definition of ‘‘prohibited conduct’’ with the following definition: ‘‘ ‘prohibited conduct’ means any act or omission in contravention of the Act, other than an act or omission as contemplated in section 55(2)(b) or that constitutes an offence under this Act, by— (a) an unregistered person who is required to be registered to engage in such an act; or (b) a credit provider, credit bureau or debt counselor;’’ . GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 147 Wet No. 4 van 2013 147 No. en jaar van wet Kort titel Omvang van herroeping of wysiging Wet 25 van 2002 Wet op Elektroniese Kommunikasie en Transaksies, 2002

1. Die wysiging van artikel 1 deur die omskrywing van ‘‘persoonlike inligting’’ deur die volgende omskrywing te vervang: ‘‘ ‘persoonlike inligting’ inligting aangaande ’n identifiseerbare, natuurlike persoon, met inbegrip van, maar nie beperk nie tot— (a) inligting met betrekking tot die ras, geslagtelikheid, geslag, swangerskap, huwelikstaat, nasionale, etniese of sosiale herkoms, kleur, seksuele oriëntering, ouderdom, fisiese of geestelike gesondheid, welsyn, gestremdheid, godsdiens, gewete, oortuiging, kultuur, taal en geboorte van die persoon; (b) inligting met betrekking tot die opvoeding of die mediese, finansiële, kriminele of werksgeskiedenis van die persoon; (c) enige identifiserende nommer, simbool, e-posadres, fisiese adres, telefoonnommer, inligting met betrekking tot ligging, aanlyn identifiseerder of ander bepaalde toewysing aan die persoon; (d) die biometriese inligting van die persoon; (e) die persoonlike menings, sieninge of voorkeure van die persoon; (f) korrespondensie gestuur deur die persoon wat vanselfsprekend of uitdruklik van ’n private of vertroulike aard is of verdere korrespondensie wat die inhoud van die oorspronklike korrespondensie aan die lig sal bring; (g) die sieninge of menings van ’n ander persoon met betrekking tot die persoon; en (h) die naam van die persoon waar dit verskyn met ander persoonlike inligting met betrekking tot die persoon of waar die bekendmaking van die naam opsigself inligting oor die persoon aan die lig sal bring, maar sluit inligting uit oor ’n individu wat meer as 20 jaar dood is;’’.

2. Die herroeping van artikels 45, 50 en 51.

1. Die wysiging van artikel 1 van die Xhosa teks deur die vervanging van die woordomskrywing van ‘‘ukuziphatha okungavumelekang’’ deur die volgende woordomskrywing: ‘‘ ‘ukuziphatha okungavumelekang’ kuthetha nasiphi na isenzo okanye ukungenzi okwaphula lo Mthetho, okungesiso isenzo okanye ukungenzi okuxelwe kwisiqendu 55(2)(b) okanye okusisenzo esikukona ngokwalo Mthetho, esenziwa— (a) ngumntu ongabhaliswanga ekufuneka abe ubhalisiwe ukuze abe wenza eso senzo; okanye (b) umbolekisi, iziko labanamatyala okanye umluleki wabanamatyala;’’. UMthetho 34 ka-2005 iNational Credit Act, 2005 148 No. 37067 Act No. 4 of 2013 GOVERNMENT GAZETTE, 26 November 2013 Protection of Personal Information Act, 2013 148 No. and year of law Short title Extent of repeal or amendment

2. The amendment of section 55 by the substitution for subsection (2) of the following subsection: ‘‘(2) (a) Before issuing a notice in terms of subsection (1)(a) to a regulated financial institution, the National Credit Regulator must consult with the regulatory authority that issued a licence to that regulated financial institution. (b) Sections 68, 70(1), (2)(b) to (g) and (i), (3) and (4) and 72(1), (3) and (5) will be subject to the compliance procedures set out in Chapters 10 and 11 of the Protection of Personal Information Act, 2013.’’.

3. The amendment of section 68 by the deletion of subsection (2).

4. The amendment of section 136 by the substitution for subsection (1) of the following subsection: ‘‘(1) Any person may, subject to section 55(2)(b), submit a complaint concerning an alleged contravention of this Act to the National Credit Regulator in the prescribed manner and form.’’

5. The amendment of section 137 by the deletion of subparagraph (a) of subsection (1). GOVERNMENT GAZETTE, 26 November 2013 Wet op Beskerming van Persoonlike Inligting, 2013 No. 37067 149 Wet No. 4 van 2013 149 No. en jaar van wet Kort titel Omvang van herroeping of wysiging

2. Die wysiging van artikel 55 van die Xhosa teks deur subartikel (2) deur die volgende subartikel te vervang: ‘‘(2)(a) Ngaphambi kokukhupha isaziso ngokwesiqendwana (1)(a) sisiya kwiziko-mali elilawulwa yimimiselo, iQumrhu Elilawula Amatyala eZwenilonke (National Credit Regulator) malibonisane negunya elilawula ngokwemimiselo elakhuphela elo ziko-mali ilayisenisi. (b) Isiqendu 68, 70(1), (2)(b) ukuya ku-(g) no-(i), (3) no-(4) no-72(1), (3) no-(5) ziya kulawulwa ziinkqubo ezichazwe kwiSahluko 10 nese-11 Protection of Personal Information Act, 2013.’’.

3. Die wysiging van artikel 68 van die Xhosa teks deur subartikel (2) te skrap.

4. Die wysiging van artikel 136 in die Xhosa teks deur subartikel (1) deur die volgende subartikel te vervang: ‘‘(1) Nawuphi na umntu unokuthi, ngokulawulwa sisiqendu 55(2)(b), angenise isikhalazo esingokwaphulwayo okubikwayo kwalo Mthetho esingenisa kwiNational Credit Regulator ngendlela efunekayo.’’

5. Die wysiging van artikel 137 in die Xhosa teks deur subparagraaf (a) in subartikel (1) te skrap.