Andmekaitseseadus 2019 ülevaates

Kenya DPA on üles ehitatud kaheksale põhimõttele Section 25-s, mis on tihedalt kooskõlas GDPR Article 5-ga: seaduslikkus, eesmärgi piirang, andmete minimeerimine, täpsus, säilitamise piirang, terviklikkus, vastutus ning Keenia lisandus, mis kinnitab sõnaselgelt põhiseaduslikku õigust eraelu puutumatusele. Section 30 seaduslikud alused peegeldavad GDPRi: nõusolek, leping, seaduslik kohustus, elulised huvid, avalik huvi ja õigustatud huvi. Seadus kehtib kõigile andmetöötlejatele või vastutavatele töötlejatele, kes töötlevad Kenya territooriumil asuvate andmesubjektide isikuandmeid, ning selle ekstraterritoriaalse ulatusega hõlmatakse ka välismaal asuvad kirjastajad, kes teenindavad Keenia külastajaid.

Kaks seaduse struktuurset tunnust on operatsionaalselt olulised. Esiteks peavad teatud künniseid ületavad vastutavad töötlejad ja volitatud töötlejad registreeruma ODPC-s ning Commissioner on olnud nähtav registreerimata operaatorite jälitamisel. Teiseks nõuab seadus andmekaitseametniku nimetamist, kui töötlemise ulatus ületab määratletud künniseid — sealhulgas isikuandmete ulatuslik töötlemine, mis hõlmab enamikku reklaamiga toetatavatest kirjastajattest ja SaaS-operaatoritest.

Kuidas DPA käsitleb küpsiseid ja veebijälgimist

DPA ei sisalda küpsiste-spetsiifilist sätet; nõusoleku ja teabe kohustused tulenevad seaduse Sections 25, 30 ja 32-st. ODPC 2024 Guidance Note digitaalturunduse ja käitumusliku reklaami kohta sõnastas konkreetsed ootused veebijälgimisele, mille vastu peavad Keenia liiklust teenindavad kirjastajad oma lahenduse kujundama.

Aktiivne nõusolek mittevajalike küpsiste jaoks

ODPC seisukoht on ühemõtteline: kerimist nõusolekuna ja jätkuvat kasutamist nõusolekuna ei rahulda Section 32 vabalt antud ja ühemõttelise nõusoleku nõudeid. Mittevajalike küpsiste jaoks on nõutav selge aktiivne tegevus. Tõlgendus järgib täpselt EDPB Cookie Banner Taskforce seisukohta.

Granuleeritud kategooriate kontroll

2024. aasta juhised on selged: bännerid peavad võimaldama kasutajal kategooriaid iseseisvalt nõusoleku anda ja tagasi lükata. Ühendatud "Nõustu kõigega" ilma samaväärse "Lükka kõik tagasi" nuputa samal pinnal loetakse puuduseks, samuti analüütika- või turundusküpsiste märgistamine rangelt vajalikena.

Laste andmed ja nõusolekuvõime

DPA käsitleb alla 18-aastaseid andmesubjekte nõusoleku eesmärgil lastena, vajalik on vanemate luba töötlemiseks. Kirjastajatele, kelle publik hõlmab Keenia alaealisi, vajab küpsiste nõusoleku raamistik vanuseteadlikku teed, mis ei eelda täiskasvanu võimekust.

Piiriülese edastuse reeglid

Seaduse Section 48 reguleerib edastusi väljaspool Keeniat. Edastused võivad toimuda ühe mitme mehhanismi alusel: Commissioni adekvaatsuse otsus, asjakohased kaitsemeetmed (sealhulgas ODPC standardsed lepingutingimused, väljastatud 2023. aastal), selge nõusolek või konkreetsed erandid. ODPC on üha selgemalt öelnud, et "kasutame Google Analytics" ei ole piisav vastus piiriülese edastuse päringule; kirjastaja peab suutma tuvastada tegeliku mehhanismi, mis voogu lubab.

ODPC täitmispoliitika

ODPC on olnud kõige aktiivsem Aafrika andmekaitse regulaator alates 2022. aastast, nii absoluutse juhtumite mahu kui ka oma tegevuste nähtavuse poolest. Kolm mustrit kujundavad selle täitmislähenemist.

Nähtavad varajased trahvid

ODPC määras haldustrahve mitmele fintech, digitaallaenu ja krediidibüroo operaatorile alates 2022. aastast, luues seaduse alusel rahaliste hüvitiste pretsedendi. Neid juhtumeid ümbritsevad kommunikatsioonid on olnud tahtlikult avalikud, andes märku, et täitmine on reaalne, mitte pelgalt nominaalne.

Sektori fookus fintech ja krediidil

Fintech ja digitaalkrediidi sektor — mis on Keenias riigi üldise majandusega võrreldes ebatavaliselt suur — on saanud kõige kontsentreeritumat ODPC tähelepanu. Kirjastajatele, kes opereerivad reklaamiga toetatavaid ettevõtteid, mis on suunatud fintechi kasutajatele, on publiku ümber olev regulatiivne atmosfäär laetum kui paljudes võrreldavates turgudes.

Koostöö piirkondlike regulaatoritega

ODPC osaleb African Network of Data Protection Authorities töös ning hoiab töökontakte EDPB ja Nigeeria NDPC-ga. Keenia ja Euroopa liiklust hõlmavaid piiriüleseid uurimisi käsitletakse koordineeritud menetluste kaudu.

Praktiline vastavuse kontrollnimekiri

Kuus konkreetset küsimust, millele tuleb vastata iga Keenia liiklust teenindava küpsistebänneri puhul.

• Kas vastutav töötleja on ODPC-s registreeritud? Kui kirjastaja töötlemine ületab registreerimiskünnise, kinnitage, et registreerimine on aktuaalne ja registreerimistõend on failis.
• Kas esimesel kihil on selge tagasilükkamise nupp? Tagasilükkamise tee peab asuma samal pinnal nõustumisega, võrdväärse silmatorkavusega.
• Kas kategooriad on granuleeritud? Vajalikud, analüütika- ja turundusküpsised peavad olema eraldi juhitavad.
• Kas on tagatud vanuseteadlik tee? Publiku puhul, mis võib hõlmata Keenia alaealisi, vajab nõusolekuvoog kaitstavat vanusepiirangut või vanemate loamenetlust.
• Kas piiriülesed edastused on dokumenteeritud? Iga mitte-Keenia sihtkoha puhul tuvastage Section 48 mehhanism, mis lubab edastust (adekvaatsus, ODPC SCCs, erand).
• Kas nõusoleku logimine on auditi tasemel? Ajatempel, bänneri versioon, valik ja seaduslik alus peavad olema nõudmisel taastatavad.

Kus Kenya sobib mitmete jurisdiktsioonide pinusse

Kenya on üks neljast kõige operatiivselt olulisemast Aafrika andmekaitserežiimist — koos Nigeria, Lõuna-Aafrika ja Egiptuse tekkiva raamistikuga — ning selle 2019. aasta etteaeg on tõlkinud kõige küpsemaks täitmispoliitikaks kontinendil. Kirjastajatele, kes ehitavad pan-Aafrika operatsioonide suunas, on Kenya DPA de facto mall, mida uuemad piirkondlikud seadused on kasutanud: registreerimisnõuded, kohustuslikud DPOd üle künniste, GDPR-stiilis seaduslikud alused ja piiriülese edastuse reeglid, mis peegeldavad GDPR Chapter V-d piirkondlike kohandustega. Keenia vastavustöö on paralleelne Euroopa standardiga kolme olulise lisandusega: ODPC registreerimine, vanuseteadlik nõusolekuvõime ja ODPC konkreetsed standardsed lepingutingimused piiriüleste edastuste jaoks. Euroopa normidele vastav nõusolekuhaldusplatvorm käsitleb suurema osa tööst; Keenia lisandused on operatiivsed kihid peal, mitte arhitektuursed ümberehitused.