Die Suid-Afrikaanse Wet op Beskerming van Persoonlike Inligting (POPIA, Wet 4 van 2013) het op 1 Julie 2021 ten volle effektief geword en bind elke SA-gelisensieerde POPIA dobbel-operateur as ‘n verantwoordelike party — die term wat omskryf wie besluit waarom en hoe persoonlike inligting verwerk word. Vir ‘n dobbel-operateur is hierdie verpligting buitengewoon konkreet: geen ander sektor versamel uit die staanspoor ‘n soortgelyke kombinasie van RSA ID-nommer, FICA-bewysstukke, weddenskap-geskiedenis, deposito- en onttrekkings-data, IP-adres en gedrag-aanwysers.
Sedert die wet ten volle effektief geword het, het die handhawingslandskap merkbaar verskuif. Sedert 1 April 2025 aanvaar die Information Regulator nie meer e-posindiening van databreuk-kennisgewings nie — alle aanmeldings geskied uitsluitlik deur die verpligte eServices-portaal op inforegulator.org.za. Die monitering-program 2025/26 beweeg die Regulator weg van suiwer reaktiewe klagte-hantering na proaktiewe sektorwye assessering. In November 2025 het die Regulator twee R5-miljoen-boetes vir nie-nakoming van handhawingskennisgewings aangekondig. En in Maart 2026 het die Regulator direkte bemarking (s.69) en grensoorskrydende oordrag (s.72) as sy hoofhandhawings-areas vir 2026/27 aangewys.
Hierdie gids loop deur die agt voorwaardes vir wettige verwerking, die regte wat ‘n speler as datasubjek het, en presies hoe om dit uit te oefen — met die praktiese gewig op wat in 2025–2026 verander het.
Inhoudsopgawe
- Wat POPIA is en hoekom dit dobbel-operateurs raak
- Die agt voorwaardes vir wettige verwerking
- Watter persoonlike inligting ‘n SA-dobbel-operateur wettig versamel
- Jou regte as datasubjek (speler)
- Hoe om jou regte uit te oefen — stap vir stap
- Wat gebeur as ‘n operateur ‘n databreuk ervaar
- Grensoorskrydende oordrag en KYC-verifikasie-verskaffers
- Handhawing in 2025–2026: boetes, monitering en die eServices-portaal
- Hoe POPIA met FICA en die NGA saamwerk
- Gevolgtrekking
Wat POPIA is en hoekom dit dobbel-operateurs raak
POPIA — die Wet op Beskerming van Persoonlike Inligting 4 van 2013 — is Suid-Afrika se federale databeskerming-wet, ontwerp na die model van die Europese Unie se Algemene Databeskermingsregulasie (GDPR). Onderteken in November 2013, het dit geleidelik in werking getree totdat ‘n eenjarige oorgangsperiode in Junie 2020 begin het en die wet op 1 Julie 2021 ten volle effektief geword het.
Vier sleutelrolspelers struktureer die wet:
- Datasubjek — die persoon wie se inligting verwerk word (die speler).
- Verantwoordelike party — die party wat besluit waarom en hoe inligting verwerk word (die dobbel-operateur; ekwivalent van GDPR se “controller”).
- Operateur — ‘n derde party wat namens die verantwoordelike party verwerk, soos ‘n KYC-verifikasie-verskaffer (ekwivalent van GDPR se “processor”).
- Information Regulator — die federale toesighouer met handhawings- en sanksies-bevoegdheid, gestig kragtens s.39 POPIA, en voorgaan deur Adv. Pansy Tlakula.
Die dobbel-sektor versamel per definisie ‘n besonder sensitiewe inligting-stel. ‘n Nuwe speler by ‘n SA-gelisensieerde operateur verstrek gewoonlik sy RSA ID-nommer, voorletters en van, geboortedatum, residensiële adres met bewys, bankrakeningnommer, FICA-dokumentbewysstuk en IP-adres. Daarna groei die datastel voortdurend met deposito- en onttrekkings-datums, weddenskapgeskiedenis en gedrag-aanwysers vir verantwoordelike-dobbel-monitering. Al hierdie inligting val binne POPIA se wye definisie van persoonlike inligting.
Twee kategorieë verdien bykomende aandag. Self-uitsluiting-data — die rekord dat ‘n speler homself by ‘n operateur of die nasionale register uitgesluit het — kwalifiseer moontlik as gesondheid- of gedragsdata en is spesiale persoonlike inligting kragtens s.26, wat ‘n uitdruklike verwerkings-regverdiging onder s.27 en s.32 vereis. Minderjarige-data is onder s.34 verbode sonder ouer- of voog-toestemming; ‘n operateur wat by ongeluk inligting van ‘n persoon onder 18 versamel, oortree POPIA én die Nasionale Dobbelwet (NGA) gelyktydig.
Die agt voorwaardes vir wettige verwerking
Hoofstuk 3 van POPIA (s.8–25) sit agt voorwaardes uiteen waaraan ‘n verantwoordelike party moet voldoen. Dit is die geraamte waarteen die Information Regulator ‘n klagte beoordeel — en die raamwerk waaraan elke speler die optrede van ‘n operateur kan toets.
| # | Voorwaarde | Wat dit prakties beteken vir 'n dobbel-operateur |
|---|---|---|
| 1 | Aanspreeklikheid (s.8) | Die operateur is aanspreeklik teenoor die Information Regulator. 'n Aangewese Inligtings-beampte (Information Officer) moet by die Regulator se eServices-portaal geregistreer wees. |
| 2 | Verwerkings-beperking (s.9–12) | Verwerking is slegs wettig as een van die erkende basisse bestaan: toestemming, kontrak-uitvoering, regs-verpligting (soos FICA), die datasubjek se belange, of geregverdigde belange. |
| 3 | Doel-spesifikasie (s.13–14) | Inligting word versamel vir 'n spesifiek-omskryfde doel — KYC vir FICA, ouderdoms-verifikasie (18+), betalings-prosessering, verantwoordelike-dobbel-monitering. Die doel word voor of by versameling bekend gemaak. |
| 4 | Verdere verwerking-beperking (s.15) | 'n Nuwe doel vereis 'n nuwe grond. KYC-inligting wat vir FICA ingesamel is, mag sonder bykomende toestemming nie vir bemarking gebruik word nie. |
| 5 | Inligtings-kwaliteit (s.16) | Die operateur hou inligting akkuraat en aktueel — 'n verouderde adres of 'n foutiewe geboortedatum wat nie opgedateer word nie, is 'n skending. |
| 6 | Openheid (s.17–18) | Verwerkingsoperasies word gelys en die datasubjek ontvang 'n duidelike kennisgewing op die punt van versameling — gewoonlik die operateur se privaatheidsbeleid. Die Inligtings-beampte se kontak moet publiseer wees. |
| 7 | Sekuriteits-waarborge (s.19–22) | Tegniese en organisatoriese beheer (SSL, toegangs-kontrole, kriptografiese berging, geprotokoleerde verlies of diefstal). Verpligte kennisgewing van 'n sekuriteits-kompromittering per s.22 — aan die Regulator én die geraakte datasubjek. |
| 8 | Datasubjek-deelname (s.23–25) | Die speler kan toegang, regstelling of uitwissing aanvra; die operateur moet die proses in praktyk moontlik maak, nie net in die privaatheidsbeleid beloof nie. |
Vir ‘n SA-speler verteenwoordig hierdie agt voorwaardes ‘n praktiese vraag: Wat mag die operateur van my versamel, hoekom, vir hoe lank, met wie kan hulle dit deel, en hoe inspekteer of wysig ek dit? Elke voorwaarde is afdwingbaar by die Information Regulator deur die POPIA-klagtewerkstroom (s.74–76).
Watter persoonlike inligting ‘n SA-dobbel-operateur wettig versamel
Die tabel hieronder wys vyf hoof-doel-kategorieë, die tipiese inligting daarbinne, die wettige verwerkings-basis, en die verwagte bewaringsperiode. Al hierdie inligting is gegrond op POPIA, FICA en die NGA — nie op vrywillige industriestandaarde nie.
| Doel | Tipiese inligting | Wettige basis | Bewaringsperiode |
|---|---|---|---|
| KYC / 18+-verifikasie | RSA ID-nommer, ID-foto, geboortedatum, selfie-vergelyking | Regs-verpligting (FICA + NGA s.13) | Min. 5 jaar ná einde van besigheids-verhouding (FICA s.28) |
| FICA-nakoming | Bewys van adres, bron-van-fondse-verklaring | Regs-verpligting (FICA s.21/s.21A) | Min. 5 jaar |
| Transaksies | Deposito-/onttrekkings-rekord, bankrakeningnommer, IP-adres | Kontrak-uitvoering (s.11(1)(b)) | Min. 5 jaar (FICA) + 5 jaar vir belasting (Inkomstebelastingwet) |
| Verantwoordelike dobbel | Sessie-tyd, depositolimiete, paniek-knop-aktiewing, self-uitsluitings-status | Regs-verpligting + datasubjek se belange (s.27) | Tot self-uitsluitings-termyn verstryk |
| Bemarking | E-pos, selfoonnommer, kommunikasie-voorkeure | Opt-in toestemming (s.11(1)(a)) | Tot opt-out |
Die sleutelonderskeid: KYC-inligting berus op ‘n regs-verpligting en vereis geen afsonderlike toestemming van die speler nie. Bemarkings-inligting berus op opt-in toestemming (s.69) en vereis ‘n uitdruklike keuse — die “Ek wil bonus-aanbiedinge ontvang”-blokkie tydens registrasie. FICA se minimum van 5 jaar is ‘n vloer, nie ‘n plafon nie; POPIA s.14 vereis dat inligting nie langer as nodig bewaar word nie. Goeie praktyk is 7 jaar (om ‘n SARS-oudit-marge te dek) en daarna ‘n bevestigde uitwissing.
Wat as die operateur meer vra as wat hierdie tabel toelaat?
POPIA s.26 verbied die verwerking van spesiale persoonlike inligting — ras, taal, godsdiens, seksuele oriëntasie, mediese geskiedenis, strafsake-inligting — sonder ‘n uitdruklike regverdiging. As ‘n registrasievorm hierdie velde vereis sonder duidelike regsgrond, is dit ‘n s.26-skending. Die korrekte reaksie: weier om die veld in te vul en dien ‘n klagte in by die Information Regulator deur die eServices-portaal (s.74).
Jou regte as datasubjek (speler)
POPIA s.5 verleen aan elke datasubjek sewe afdwingbare regte. Die tabel hieronder vat dit saam; die paragrawe daarna verduidelik die twee regte wat die meeste in die dobbel-konteks opduik.
| # | Reg | Praktiese toepassing by 'n dobbel-operateur |
|---|---|---|
| 1 | Toegang | Versoek 'n kopie van al die persoonlike inligting wat oor jou bewaar word. Die operateur moet binne ~30 dae reageer. |
| 2 | Regstelling / opdatering | Verkeerde adres, foutiewe geboortedatum, verandering van kontakbesonderhede. |
| 3 | Uitwissing / vernietiging | Slegs as geen wetlike bewarings-verpligting meer geld nie — FICA s.28 oorheers in die meeste gevalle vir minstens 5 jaar. |
| 4 | Beswaar teen verwerking | Veral teen verwerking gegrond op geregverdigde belange (s.11(1)(f)) — bv. gedragsanalise vir bemarkings-doeleindes. |
| 5 | Beswaar teen direkte bemarking | Onmiddellik, sonder reden, met onmiddellike effek — geen "opt-out sal binne 10 dae verwerk word" is aanvaarbaar nie. |
| 6 | Indiening van klagte | By die operateur self én by die Information Regulator deur die eServices-portaal. |
| 7 | Inligting oor die proses | Die operateur moet wetlike hulpbron-besonderhede maklik beskikbaar maak — gewoonlik in die privaatheidsbeleid. |
Direkte bemarking (s.69). POPIA werk op ‘n opt-in-basis vir alle direkte bemarking — SMS, e-pos, WhatsApp, telefoonoproep. Die praktyk by baie operateurs was jare lank opt-out: “Merk hierdie blokkie om bemarking te ontvang” kontra “Merk hierdie blokkie om te opt-uit.” Slegs die eerste is wettig. ‘n Bestaande klant mag oor soortgelyke produkte gepols word — maar elke kommunikasie moet ‘n duidelike en onmiddellik werkende opt-out-meganisme bevat, soos omskryf in die Information Regulator se Desember 2024 Guidance Note on Direct Marketing. ‘n Opt-out wat nie werk nie, is ‘n s.69-oortreding; die Regulator het dit in Maart 2026 as ‘n prioriteits-handhawings-area aangewys. Boete: tot R10 miljoen per s.109.
Hoe om jou regte uit te oefen — stap vir stap
Die proses om jou POPIA-regte by ‘n dobbel-operateur uit te oefen volg ‘n vyf-stap-werkstroom. Dit is nie ‘n gunsbewys wat ‘n operateur kan toestaan of weerhou nie — dit is jou afdwingbare wetlike reg kragtens s.23.
- Soek die operateur se Inligtings-beampte. Die privaatheidsbeleid of “Kontak”-bladsy moet die naam en e-pos van die aangewese Inligtings-beampte (Information Officer) lys. As die kontak nie publiseer is nie, is dit reeds ‘n s.18-oortreding (openheid) — en jy kan dit as deel van ‘n klagte aanhaal.
- Skryf ‘n skriftelike versoek. Verwys na die spesifieke reg en artikel: “Ek versoek hiermee, in terme van Artikel 23 van POPIA, toegang tot al die persoonlike inligting wat oor my deur [operateur] bewaar word.” Sluit jou RSA ID-nommer, die e-pos waaronder jy geregistreer is, en jou pos- of e-posadres in.
- Wag die wettige reageringsperiode. Ongeveer 30 kalender-dae is die algemeen-aanvaarde standaard. Die operateur mag een verlenging van 30 dae versoek met ‘n geskrewe motivering. Die eerste versoek is gratis; die operateur mag slegs ‘n administrasie-fooi vir bykomende kopieë hef.
- Indien die operateur weier of nie reageer nie, eskaleer. Gebruik die eServices-portaal op inforegulator.org.za of die POPIA-klagtevorm (POPIA/IR1) om ‘n formele klagte in te dien by die Information Regulator.
- Klagte-fase by die Regulator. Die Regulator beoordeel die klagte, voer ‘n ondersoek uit (s.76), en kan ‘n handhawingskennisgewing (s.95) uitreik. Voldoen die operateur nie binne die gestelde tydperk nie, volg ‘n infringement notice met ‘n administratiewe boete tot R10 miljoen (s.109). Die klagteprosedure is gratis vir die klaer.
Die reg om jou inligting te sien en reg te stel is ‘n afdwingbare wetlike reg — en die Information Regulator se eServices-portaal is die meganisme wat dit daadwerklik moontlik maak.
Wat gebeur as ‘n operateur ‘n databreuk ervaar
POPIA s.22 gebruik die term “sekuriteits-kompromittering”. Dit dek enige ongemagtigde toegang tot, verkryging van, of onthulling van persoonlike inligting — ransomware-aanval, verlore werknemer-skootrekenaar, ‘n oop S3-emmer in die wolk, ‘n insider-fout, of ‘n e-pos wat na die verkeerde ontvanger gestuur is. Die geraakte inligting hoef nie gesteel te wees om te tel nie; blote blootstelling is ‘n kompromittering.
Verpligte handelinge deur die operateur:
- Kennisgewing aan die Information Regulator — “so spoedig as redelikerwys moontlik.” Die Regulator se Guidance Note verwag hierdie kennisgewing binne 72 uur. Sedert 1 April 2025 geskied dit uitsluitlik deur die eServices-portaal op inforegulator.org.za; e-posindiening word nie meer aanvaar nie.
- Kennisgewing aan elke geraakte datasubjek — behalwe as identifikasie van die individu onmoontlik is.
Die kennisgewing aan die datasubjek moet per s.22(4) die aard van die kompromittering beskryf, die tipe en omvang van die geraakte inligting spesifiseer, die stappe wat geneem is om skade te beperk lys, en praktiese aanbevelings aan jou gee — soos ‘n wagwoord-verandering of die aktivering van twee-faktor-verifikasie.
As jy ‘n geraakte speler is: verander onmiddellik jou wagwoord en aktiveer 2FA. Monitor jou bankrekening vir 30 dae. As die operateur jou nie in kennis stel van ‘n breuk wat jy uit nuusbronne verneem nie, is dit ‘n direkte s.22-oortreding — dien ‘n klagte in by die Regulator. Sanksies sluit in: administratiewe boete tot R10 miljoen (s.109), siviele skade-eis (s.99), en kriminele aanklag vir die ergste oortredings tot 10 jaar tronkstraf (s.107).
Grensoorskrydende oordrag en KYC-verifikasie-verskaffers
Baie SA-operateurs gebruik internasionale KYC-verifikasie-verskaffers — spesialiste-firmas wat identiteitsdokumente en selfie-vergelykings verwerk — waarvan die stelsels buite Suid-Afrika geleë is. Elke sulke oordrag is ‘n s.72-transaksie en vereis ‘n wettige basis.
POPIA s.72(1) erken vyf basisse vir grensoorskrydende oordrag:
- Die datasubjek se toestemming — uitdruklik, ingelig en vrywillig.
- ‘n Soortgelyke databeskerming-wet in die ontvangende land — soos die EU GDPR of die VK se Data Protection Act 2018.
- Bindende kontrak-klousules tussen die operateur en die buitelandse verwerker, wat POPIA-vlak waarborge skep.
- Kontrak-uitvoering — KYC-verifikasie as deel van die rekening-opening met die datasubjek tel hier.
- Die datasubjek se belange — bv. operateur-tot-operateur-deel van self-uitsluiting-data.
Jy het as speler die reg om te weet waar jou inligting verwerk word (s.18). Die operateur se privaatheidsbeleid moet ‘n lys van internasionale verwerkers bevat. Die Information Regulator het in sy Maart 2026-prioriteits-aankondiging grensoorskrydende oordrag as ‘n hoof-handhawings-area aangewys — wat beteken dat strenger ouditering van operateur-tot-verwerker-kontrakte verwag word. Beste praktyk vir SA-gelisensieerde operateurs: hou primêre KYC-rekords in SA, beperk die reikwydte van oordragte tot die minimum nodig, en voer Transfer Impact Assessments uit.
Handhawing in 2025–2026: boetes, monitering en die eServices-portaal
Die handhawingsklimaat het tussen April 2025 en Maart 2026 wesenlik verander. Drie veranderinge definieer die nuwe landskap.
Verpligte eServices-portaal sedert 1 April 2025. Alle databreuk-kennisgewings (s.22) en aanstellings van Inligtings-beamptes geskied voortaan deur die aanlyn-portaal op inforegulator.org.za. E-posindiening — die pad wat die meeste operateurs voorheen gebruik het — word nie meer aanvaar nie. Operateurs wat ‘n breuk per e-pos aanmeld, voldoen nie aan s.22 nie, ongeag die inhoud van die e-pos.
Monitering-program 2025/26. Die Regulator beweeg weg van suiwer reaktiewe klagte-hantering na proaktiewe sektorwye assessering. Die dobbel-sektor — met sy hoë volume sensitiewe inligting en historiese neiging tot bemarkings-swaar kommunikasie — sal vroeg in hierdie assessering beland.
Boete-track-rekord. In November 2025 het die Regulator twee administratiewe boetes van elk R5 miljoen vir nie-nakoming van handhawingskennisgewings aangekondig. Dit bevestig dat die sanksie-meganisme (s.103–109) aktief gebruik word, nie bloot as dreigement nie.
Die volledige sanksie-leer volg hierdie stappe: klagte-ondersoek (s.76) → voorlopige bevinding en kommentaar (s.94) → handhawingskennisgewing (s.95) → infringement notice + administratiewe boete tot R10 miljoen (s.109) → kriminele aanklag vir die ergste oortredings, tot 10 jaar tronkstraf (s.107). ‘n 2025-wysiging aan die Regulasies laat paaiement-betaling van administratiewe boetes toe gebaseer op finansiële omstandighede — wat kleiner operateurs ruimte gee om sanksies te dra sonder onmiddellike likwidasie.
Die Maart 2026-prioriteits-aankondiging benadruk direkte bemarking (s.69) en grensoorskrydende oordrag (s.72) as die twee kragpunte van 2026/27-handhawing. Operateurs wat steeds outomatiese promosie-SMS’e sonder opt-in stuur, of KYC-data sonder bindende kontrak-klousules na buitelandse verskaffers stuur, staan direk voor die handhawingslyn.
Hoe POPIA met FICA en die NGA saamwerk
Drie verskillende wette oorvleuel in die SA-dobbel-sektor, en dit is noodsaaklik om hul onderskeie rolle te verstaan:
- FICA (Wet 38 van 2001) — die Wet op Finansiële Intelligensie-sentrum — verplig operateurs om identifikasie en adresverifikasie te versamel en dit vir minstens 5 jaar na die einde van die besigheids-verhouding te bewaar (FICA s.28).
- NGA (Wet 7 van 2004) — die Nasionale Dobbelwet — verplig operateurs om ouderdom (18+) en SA-residensie te verifieer, en reguleer die lisensie-voorwaardes van elke operateur by een van die nege Provinsiale Lisensiërings-Owerhede (PLA’s): WCGRB, GGB, KZN-GBB, MEEC, EC-GBB, FSGLTA, LGB, NWGB en NCGB.
- POPIA (Wet 4 van 2013) — verplig operateurs om die inligting wat deur FICA en die NGA ingesamel word, verantwoordelik te verwerk.
Geen konflik bestaan in die praktyk nie: FICA-bewaring is ‘n s.36-regs-verpligting wat POPIA spesifiek as ‘n wettige verwerkings-basis erken. ‘n Speler wat ‘n s.24-uitwissings-versoek indien terwyl die FICA-bewaringsperiode nog loop, sal hoor dat die operateur wettig weier om die rekord te wis — die FICA-verpligting is die beslissende faktor vir daardie tydperk.
‘n Wesenlike punt van moontlike konflik is bemarking met KYC-data. ‘n Operateur mag ‘n speler se RSA ID-nommer of FICA-dokument nie as ‘n bemarkings-merker of as grond vir profilering gebruik nie. Die KYC-doel (identiteitsverifikasie vir FICA) is nie dieselfde as die bemarkings-doel nie — s.15 se verdere verwerking-beperking verbied dit uitdruklik.
Gevolgtrekking
POPIA bind elke SA-gelisensieerde dobbel-operateur as ‘n verantwoordelike party sedert 1 Julie 2021 — en jy, die speler, is die datasubjek met afdwingbare regte. Vier feite definieer die huidige stand van sake:
- Die agt voorwaardes vir wetlige verwerking (s.8–25) gee die volledige geraamte; s.22 (databreuk), s.69 (direkte bemarking) en s.72 (grensoorskrydende oordrag) is die bepalings wat in 2025–2026 die meeste oorgesteek word.
- Die Information Regulator het sedert April 2025 ‘n verpligte eServices-portaal, het in November 2025 twee R5-miljoen-boetes uitgereik, en het die dobbel-sektor deur sy monitering-program 2025/26 in die visier.
- Spelers wat hul regte uitoefen — toegang, regstelling, opt-out van bemarking, klagte — kry die volle gewig van die wet op hul kant.
- Offshore .com-operateurs val buite SA se jurisdiksie en bied nie POPIA-beskerming nie; hierdie verlies van beskerming is ‘n wesenlike risiko van ongelisensieerde platforms.
Databeskerm is nie ‘n tegniese nakoming-lys nie. Dit is ‘n waardigheids-kwessie — jou RSA ID, jou FICA-dokumente, jou weddenskapgeskiedenis behoort wetlik aan jou, en elke SA-gelisensieerde operateur is verplig om dit so te behandel.
Verantwoordelike dobbel-hulplyn: Die Suid-Afrikaanse Verantwoordelike Dobbel-Stigting (SARGF) bied 24/7 hulp. Bel 0800 006 008 (tolvry), WhatsApp 076 675 0710, of e-pos helpline@responsiblegambling.org.za. Dobbel kan verslawend wees. Speel verantwoordelik.