Η Kenya Data Protection Act 2019 σε Περίληψη

Ο κενυατικός DPA δομείται γύρω από οκτώ αρχές στο Section 25 που ευθυγραμμίζονται στενά με το GDPR Article 5: νομιμότητα, περιορισμός σκοπού, ελαχιστοποίηση δεδομένων, ακρίβεια, περιορισμός αποθήκευσης, ακεραιότητα, λογοδοσία και μια κενυατική προσθήκη που επιβεβαιώνει ρητά το συνταγματικό δικαίωμα στην ιδιωτικότητα. Οι νόμιμες βάσεις στο Section 30 αντικατοπτρίζουν το GDPR: συγκατάθεση, σύμβαση, νομική υποχρέωση, ζωτικά συμφέροντα, δημόσιο συμφέρον και έννομο συμφέρον. Ο νόμος ισχύει για κάθε υπεύθυνο επεξεργασίας ή εκτελούντα την επεξεργασία που επεξεργάζεται προσωπικά δεδομένα υποκειμένων δεδομένων που βρίσκονται στην Κένυα, με εξωχώρια εμβέλεια που καλύπτει offshore εκδότες που εξυπηρετούν κενυατικούς επισκέπτες.

Δύο δομικά χαρακτηριστικά του Νόμου έχουν λειτουργική σημασία. Πρώτον, υπεύθυνοι επεξεργασίας και εκτελούντες την επεξεργασία που υπερβαίνουν καθορισμένα κατώτατα όρια πρέπει να εγγραφούν στον ODPC, και ο Επίτροπος ήταν ορατά ενεργός στη δίωξη μη εγγεγραμμένων φορέων. Δεύτερον, ο Νόμος απαιτεί τον ορισμό υπεύθυνου προστασίας δεδομένων όταν το εύρος επεξεργασίας υπερβαίνει καθορισμένα κατώτατα όρια — συμπεριλαμβανομένης οποιασδήποτε μεγάλης κλίμακας επεξεργασίας προσωπικών δεδομένων, που καλύπτει τους περισσότερους εκδότες που υποστηρίζονται από διαφημίσεις και χειριστές SaaS.

Πώς ο DPA Αντιμετωπίζει τα Cookies και την Ηλεκτρονική Παρακολούθηση

Ο DPA δεν περιέχει ειδική διάταξη για cookies· οι υποχρεώσεις συγκατάθεσης και ενημέρωσης απορρέουν από τα Sections 25, 30 και 32 του Νόμου. Η 2024 Guidance Note του ODPC για την Ψηφιακή Εμπορία και τη Συμπεριφορική Διαφήμιση διατύπωσε ειδικές προσδοκίες για την ηλεκτρονική παρακολούθηση ενάντια στις οποίες πρέπει να σχεδιάζουν οι εκδότες που εξυπηρετούν κενυατική κίνηση.

Καταφατική συγκατάθεση για μη απαραίτητα cookies

Η θέση του ODPC είναι σαφής: η κύλιση ως συγκατάθεση και η συνέχιση χρήσης ως συγκατάθεση δεν ικανοποιούν τις απαιτήσεις ελεύθερης παροχής και μη αμφισημίας του Section 32. Για μη απαραίτητα cookies απαιτείται ρητή καταφατική ενέργεια. Η ερμηνεία ακολουθεί στενά τη θέση της EDPB Cookie Banner Taskforce.

Λεπτομερείς έλεγχοι κατηγοριών

Οι κατευθύνσεις του 2024 αναφέρουν ρητά ότι τα banners πρέπει να επιτρέπουν στον χρήστη να αποδέχεται και να απορρίπτει κατηγορίες ανεξάρτητα. Το ομαδοποιημένο «Αποδοχή όλων» χωρίς αντίστοιχο «Απόρριψη όλων» στην ίδια επιφάνεια αντιμετωπίζεται ως ελάττωμα, όπως και η εσφαλμένη επισήμανση cookies ανάλυσης ή μάρκετινγκ ως αυστηρά απαραίτητων.

Δεδομένα παιδιών και ικανότητα συγκατάθεσης

Ο DPA αντιμετωπίζει υποκείμενα δεδομένων κάτω των 18 ετών ως παιδιά για σκοπούς συγκατάθεσης, με απαίτηση γονικής έγκρισης για επεξεργασία. Για εκδότες των οποίων τα κοινά περιλαμβάνουν κενυατικούς ανηλίκους, το πλαίσιο συγκατάθεσης cookies χρειάζεται μια διαδρομή που λαμβάνει υπόψη την ηλικία και δεν προϋποθέτει ικανότητα ενήλικα.

Κανόνες διασυνοριακών μεταβιβάσεων

Το Section 48 του Νόμου διέπει τις μεταβιβάσεις εκτός Κένυας. Οι μεταβιβάσεις μπορούν να προχωρήσουν υπό έναν από τους πολλούς μηχανισμούς: χαρακτηρισμός επάρκειας από τον Επίτροπο, κατάλληλες εγγυήσεις (συμπεριλαμβανομένων των τυπικών συμβατικών ρητρών ODPC SCCs που εκδόθηκαν το 2023), ρητή συγκατάθεση ή ειδικές παρεκκλίσεις. Ο ODPC έχει γίνει ολοένα πιο ρητός ότι «χρησιμοποιούμε Google Analytics» δεν είναι επαρκής απάντηση σε ερώτημα διασυνοριακής μεταβίβασης· ο εκδότης πρέπει να μπορεί να εντοπίσει τον πραγματικό μηχανισμό που επιτρέπει τη ροή.

Η Στάση Εκτέλεσης του ODPC

Ο ODPC είναι ο πιο ενεργός αφρικανικός ρυθμιστής προστασίας δεδομένων από το 2022, τόσο σε απόλυτο αριθμό υποθέσεων όσο και στην ορατότητα των ενεργειών του. Τρία πρότυπα διαμορφώνουν την προσέγγιση εκτέλεσής του.

Ορατά πρώιμα πρόστιμα

Ο ODPC επέβαλε διοικητικά πρόστιμα σε πολλούς χειριστές fintech, ψηφιακού δανεισμού και πιστωτικών γραφείων από το 2022, θεσπίζοντας προηγούμενο για χρηματικές επανορθώσεις βάσει του Νόμου. Οι επικοινωνίες γύρω από αυτές τις υποθέσεις ήταν σκόπιμα δημόσιες, σηματοδοτώντας ότι η εκτέλεση είναι πραγματική και όχι απλώς ονομαστική.

Τομεακή εστίαση στο fintech και την πίστωση

Ο τομέας fintech και ψηφιακής πίστωσης — που είναι ασυνήθιστα μεγάλος στην Κένυα σε σχέση με τη συνολική οικονομία της χώρας — έχει λάβει την πιο συγκεντρωμένη προσοχή του ODPC. Για εκδότες που λειτουργούν επιχειρήσεις που υποστηρίζονται από διαφημίσεις και στοχεύουν χρήστες fintech, το ρυθμιστικό κλίμα γύρω από το κοινό είναι πιο φορτισμένο από ό,τι θα ήταν σε πολλές συγκρίσιμες αγορές.

Συντονισμός με περιφερειακές ρυθμιστικές αρχές

Ο ODPC συμμετέχει στο African Network of Data Protection Authorities και διατηρεί σχέσεις εργασίας με την EDPB και τον νιγηριανό NDPC. Διασυνοριακές έρευνες που αφορούν κενυατική και ευρωπαϊκή κίνηση διεκπεραιώνονται μέσω συντονισμένων διαδικασιών.

Πρακτική Λίστα Ελέγχου Συμμόρφωσης

Έξι συγκεκριμένες ερωτήσεις για να απαντηθούν για οποιοδήποτε banner cookies εξυπηρετεί κενυατική κίνηση.

• Είναι ο υπεύθυνος εγγεγραμμένος στον ODPC; Εάν η επεξεργασία του εκδότη υπερβαίνει το κατώτατο όριο εγγραφής, επιβεβαιώστε ότι η εγγραφή είναι ενεργή και ότι το πιστοποιητικό εγγραφής βρίσκεται στον φάκελο.
• Υπάρχει ρητή απόρριψη στο πρώτο επίπεδο; Η διαδρομή απόρριψης πρέπει να βρίσκεται στην ίδια επιφάνεια με την αποδοχή, με συγκρίσιμη προβολή.
• Είναι οι κατηγορίες λεπτομερείς; Οι απαραίτητες, αναλυτικές και μάρκετινγκ πρέπει να είναι ανεξάρτητα ελέγξιμες.
• Παρέχεται διαδρομή που λαμβάνει υπόψη την ηλικία; Για κοινά που μπορεί να περιλαμβάνουν κενυατικούς ανηλίκους, η ροή συγκατάθεσης χρειάζεται αμυντικά υποστηρίξιμη πύλη ηλικίας ή βήμα γονικής έγκρισης.
• Τεκμηριώνονται οι διασυνοριακές μεταβιβάσεις; Για κάθε μη κενυατικό προορισμό, προσδιορίστε τον μηχανισμό Section 48 που επιτρέπει τη μεταβίβαση: επάρκεια, ODPC SCCs, παρέκκλιση.
• Είναι η καταγραφή συγκατάθεσης ποιότητας ελέγχου; Χρονική σήμανση, έκδοση banner, επιλογή και νομική βάση πρέπει να είναι ανακτήσιμα κατόπιν αιτήματος.

Πού Εντάσσεται η Κένυα σε ένα Πολυδικαιοδοτικό Σύστημα

Η Κένυα είναι ένα από τα τέσσερα λειτουργικά σημαντικότερα αφρικανικά καθεστώτα προστασίας δεδομένων — μαζί με τη Νιγηρία, τη Νότια Αφρική και το αναδυόμενο πλαίσιο της Αιγύπτου — και η προπόρευσή της από το 2019 έχει μεταφραστεί στην πιο ώριμη στάση εκτέλεσης στην ήπειρο. Για εκδότες που κατασκευάζουν πανααφρικανικές λειτουργίες, ο κενυατικός DPA είναι το de facto πρότυπο που έχουν χρησιμοποιήσει νεότεροι περιφερειακοί νόμοι: απαιτήσεις εγγραφής, υποχρεωτικοί DPO πάνω από τα κατώτατα όρια, νόμιμες βάσεις τύπου GDPR και κανόνες διασυνοριακής μεταβίβασης που αντικατοπτρίζουν το Chapter V του GDPR με περιφερειακές προσαρμογές. Η εργασία συμμόρφωσης για την Κένυα είναι παράλληλη με το ευρωπαϊκό πρότυπο με τρεις σημαντικές προσθήκες: εγγραφή στον ODPC, ικανότητα συγκατάθεσης που λαμβάνει υπόψη την ηλικία και οι ειδικές τυπικές συμβατικές ρήτρες ODPC SCCs για διασυνοριακές μεταβιβάσεις. Μια πλατφόρμα διαχείρισης συγκατάθεσης που κατασκευάζεται σύμφωνα με ευρωπαϊκά πρότυπα χειρίζεται το μεγαλύτερο μέρος της εργασίας· οι κενυατικές προσθήκες είναι λειτουργικά επίπεδα από πάνω, όχι αρχιτεκτονικές ανακατασκευές.