La Ley de Protección de Información Personal (también llamada Ley POPI o POPIA) es una ley de protección de datos promulgada por el Parlamento sudafricano. Regula el modo en que las organizaciones locales y extranjeras recopilan, utilizan, almacenan, suprimen y tratan de cualquier otro modo la información personal en Sudáfrica.
ManageEngine DataSecurity Plus ayuda a cumplir los requisitos de la Ley POPI al:
Y mucho más.
Aprenda a descubrir, supervisar y proteger los datos personales para cumplir con el GDPR utilizando DataSecurity Plus.
Esta tabla enumera las distintas secciones de la POPIA que abarca DataSecurity Plus.
| Lo que dice la sección de la POPIA | Lo que usted debe hacer | Cómo ayuda DataSecurity Plus |
|---|---|---|
Sección 10La información personal solo podrán tratarse si, teniendo en cuenta la finalidad para la que se trata, es adecuada, pertinente y no excesiva. | Garantizar que no ha recopilado información personal innecesaria para sus actividades. La información personal que almacene solo debe ser tratada por aquellos empleados que necesiten acceder a ella para realizar su trabajo. | Descubrimiento de datos:Localiza la información personal de un interesado almacenada por su organización. A continuación, crea un inventario, lo que permite a los responsables garantizar que solo se almacenen los datos necesarios.
Enumera los usuarios que tienen acceso a los datos junto con detalles sobre las acciones que cada usuario puede realizar en ellos. |
Sección 11(4)Si un interesado se ha opuesto al tratamiento de sus datos personales, el responsable no podrá seguir tratándolos. | Encontrar todas las instancias de la información personal del interesado y tomar las medidas necesarias para detener el tratamiento de los datos. | Concordancia de palabras claveIdentifica los datos que coinciden con una palabra clave objetivo, lo que permite recuperar con precisión y rapidez la información personal que debe eliminarse.
Una vez encontrada la palabra clave coincidente, los encargados de la aplicación pueden automatizar su eliminación, ponerla en cuarentena o llevar a cabo una acción personalizada para limitar su uso mediante la ejecución de archivos por lotes. |
Sección 14(1)Los registros de información personal no deben conservarse más tiempo del necesario para lograr el fin para el que se recopiló o procesó posteriormente la información. | Las organizaciones no deben conservar la información personal más tiempo del necesario y deben realizar revisiones periódicas para identificar y tratar los datos almacenados más allá del periodo previsto. | Análisis de archivos:Ayuda a crear una política de retención de datos encontrando datos redundantes, obsoletos y triviales en sus almacenes de datos y eliminando los archivos que han superado su periodo de retención. |
Sección 14(2)Los registros de información personal podrán conservarse durante periodos superiores a los contemplados en la sub sección (14(1)) con fines históricos, estadísticos o de investigación si la parte responsable ha establecido las salvaguardias adecuadas para evitar que los registros se utilicen con otros fines. | Cuando se almacena información personal sensible durante largos periodos de tiempo, las organizaciones deben implementar controles que garanticen la seguridad, integridad y confidencialidad de los datos. | Monitoreo de la integridad de los archivos:
|
Sección 14(4)Una parte responsable debe destruir o eliminar un registro de información personal o eliminar su identificación tan pronto como sea razonablemente posible después de que la parte responsable ya no esté autorizada a conservar el registro. | Suprimir la información personal sensible si alcanza su plazo de prescripción, si ya no hay necesidad de tratarla o si el interesado solicita su supresión. | Descubrimiento de datos:Identifica la información personal del interesado almacenada por usted mediante la concordancia de palabras clave y expresiones regulares, y la elimina del almacenamiento de la empresa.
Identifica y automatiza la eliminación de archivos antiguos. |
Sección 14(6)El responsable debe restringir el tratamiento de los datos personales. | Garantizar que el acceso a la información personal sensible se limite cuando esté en litigio, y solo proporcionar acceso cuando sea necesario. | Principle of least privilege (POLP):
|
Sección 15(1)El tratamiento posterior de la información personal debe ser conforme o compatible con la finalidad para la que se recopiló. | Implementar medidas para detectar y limitar el uso anómalo de la información personal. | Alertas instantáneas, respuestas automáticas:
|
Sección 16(1)Una parte responsable debe tomar medidas razonablemente viables para garantizar que la información personal sea completa, exacta, no engañosa y actualizada cuando sea necesario. | Identificar y verificar la exactitud de la información personal almacenada por su organización. | Descubrimiento de datos:
Análisis de datos ROT:Localiza archivos con una antigüedad superior a la indicada por el usuario, lo que ayuda a encontrar datos que deben actualizarse. |
Sección 17Una parte responsable debe conservar la documentación de todas las operaciones de tratamiento. | Supervisar todas las acciones realizadas con la información personal desde su recopilación hasta su eliminación. | Monitoreo de los cambios en los archivos:
|
Sección 19(1)El responsable deberá garantizar la integridad y confidencialidad de la información personal que posea o controle, adoptando las medidas técnicas y organizativas adecuadas y razonables para evitar:
| Implementar una solución de prevención de pérdida de datos (DLP) para evitar fugas accidentales o malintencionadas de información personal sensible. | Análisis de permisos:Enumera todos los usuarios que pueden acceder a un archivo que contiene información personal para verificar si necesitan ese privilegio.
|
Sección 19(2)La parte responsable debe tomar medidas razonables para:
| Identificar y evaluar los riesgos para la información personal almacenada por usted. Aplicar medidas para mitigar el riesgo. | Evaluación del riesgo de los datos:Calcula la puntuación de riesgo de los archivos que contienen información personal analizando sus permisos, volumen y tipo de reglas infringidas, junto con detalles de auditoría y mucho más.
Clasifica los archivos críticos para el negocio en función de su sensibilidad y evita que se filtren por correo electrónico, USB, impresoras, etc. |
Sección 22(2)Una notificación de violación de la seguridad debe tener en cuenta cualquier medida razonablemente necesaria para determinar el alcance del compromiso y para restaurar la integridad del sistema de información de la parte responsable. | Investigar de forma forense las posibles causas y el alcance de una violación de la seguridad de los datos. | Pista de auditoría detallada:Mantiene una pista de auditoría completa de todas las acciones que conducen a la violación de la seguridad de los datos, lo que ayuda a analizar efectivamente la causa raíz de la violación y los datos que se han visto comprometidos. |
Sección 23(1)El interesado tiene derecho a:
| Localizar y compartir toda la información sobre el interesado almacenada por su organización junto con la información sobre las personas que han accedido a ella. | Descubrimiento de datos:
Averigua quién tiene qué permiso sobre los archivos que contienen la información personal. |
Sección 24(1)Un interesado puede solicitar a un responsable que rectifique o suprima la información personal sobre él que obre en su poder. | Localizar y revisar todos los casos de información inexacta sobre el interesado. Suprimir los datos a los que se oponga el interesado. | Descubrimiento de datos:Utiliza la detección de datos para encontrar la información personal del interesado y puede ejecutar archivos por lotes para eliminarlos o trasladarlos a una ubicación segura para su posterior tratamiento. |
Sección 26Una parte responsable no podrá tratar información personal relativa a las creencias religiosas o filosóficas, la raza o el origen étnico, la afiliación sindical, las convicciones políticas, la salud o la vida sexual, la información biométrica o la conducta delictiva de un interesado, a menos que esté autorizado en virtud de los artículos 27 a 31 de la POPIA. | Las organizaciones no pueden recopilar ni almacenar la información personal descrita sin la autorización necesaria. | Descubrimiento de datos:Analiza los almacenes de datos en busca de contenido que coincida con una expresión regular o un conjunto de palabras clave. Esto ayuda a las organizaciones que carecen de la autorización necesaria a detectar y rectificar los casos de información personal pertinente, y a evitar sanciones por incumplimiento.
Informa sobre los archivos que contienen la información personal junto con detalles sobre su ubicación, quién tiene acceso a ellos, su puntuación de riesgo y mucho más. |
Descargo de responsabilidad: Cumplir plenamente con la POPIA requiere de una variedad de soluciones, procesos, personas y tecnologías. Esta página se proporciona únicamente con fines informativos y no debe considerarse como asesoramiento jurídico para el cumplimiento de la ley POPI. ManageEngine no ofrece ninguna garantía, expresa, implícita o estatutaria, acerca de la información de este material.
DataSecurity Plus ayuda a cumplir los requisitos de numerosas normativas de cumplimiento protegiendo los datos en reposo, en uso y en movimiento.