Ang Data Protection Act 2019 sa Buod

Ang Kenyan DPA ay nakastruktura sa paligid ng walong prinsipyo sa Section 25 na malapit na nakahanay sa GDPR Article 5: pagiging legal, limitasyon ng layunin, pagbabawas ng data, katumpakan, limitasyon ng pag-iimbak, integridad, pananagutan, at isang karagdagan ng Kenya na tahasang nagpapatibay ng konstitusyonal na karapatan sa privacy. Ang mga legal na batayan sa Section 30 ay sumasalamin sa GDPR: pahintulot, kontrata, legal na obligasyon, mahahalagang interes, pampublikong interes, at lehitimong interes. Naaangkop ang Batas sa anumang kontroler ng data o processor na nagpoproseso ng personal na data ng mga data subject na nakalagay sa Kenya, na may extraterritorial na abot na sumasaklaw sa mga offshore publisher na naglilingkod sa mga bisita ng Kenya.

Dalawang istrukturang katangian ng Batas ang mahalaga sa operasyon. Una, ang mga kontroler at processor na lampas sa mga tinukoy na threshold ay dapat mag-rehistro sa ODPC, at ang Commissioner ay naging lantaran sa paghabol sa mga hindi nakarehistrong operator. Pangalawa, nag-aatas ang Batas ng pagtatalaga ng isang opisyal sa proteksyon ng data kung saan ang saklaw ng pagproseso ay lumagpas sa mga tinukoy na threshold — kasama ang anumang malawakang pagproseso ng personal na data, na sumasaklaw sa karamihan ng mga publisher na sinusuportahan ng advertising at SaaS operator.

Paano Tinatrato ng DPA ang mga Cookie at Online na Pagsubaybay

Ang DPA ay walang tiyak na probisyon para sa cookie; ang mga obligasyon sa pahintulot at impormasyon ay nagmumula sa Sections 25, 30, at 32 ng Batas. Ang 2024 Guidance Note ng ODPC sa Digital Marketing at Behavioural Advertising ay naglatag ng mga tiyak na inaasahan para sa online na pagsubaybay na kailangang disenyo ng mga publisher na naglilingkod sa trapiko ng Kenya.

Affirmative na pahintulot para sa mga non-essential na cookie

Ang posisyon ng ODPC ay maliwanag: ang pag-scroll bilang pahintulot at patuloy na paggamit bilang pahintulot ay hindi nakakatugon sa mga prong ng malinaya ibinigay at walang pagkakaiba-iba ng Section 32. Kinakailangan ang tahasang affirmative na aksyon para sa mga non-essential na cookie. Malapit na sinusunod ng interpretasyon ang posisyon ng EDPB Cookie Banner Taskforce.

Granular na kontrol sa kategorya

Ang gabay ng 2024 ay maliwanag na ang mga banner ay dapat pahintulutan ang gumagamit na tanggapin at tanggihan ang mga kategorya nang nagsasarili. Ang bundled na "Tanggapin lahat" nang walang katumbas na "Tanggihan lahat" sa parehong ibabaw ay tinatrato bilang isang depekto, tulad ng maling pagtatalaga ng analytics o marketing na cookie bilang mahigpit na kinakailangan.

Data ng mga bata at kapasidad sa pahintulot

Tinatrato ng DPA ang mga data subject na wala pang 18 taong gulang bilang mga bata para sa mga layunin ng pahintulot, na may kinakailangang pahintulot ng magulang para sa pagproseso. Para sa mga publisher na ang mga madla ay kinabibilangan ng mga menor de edad na Kenya, ang balangkas ng pahintulot sa cookie ay nangangailangan ng isang landas na may kamalayan sa edad na hindi ipinapalagay ang kapasidad ng isang adult.

Mga panuntunan sa cross-border na paglipat

Ang Section 48 ng Batas ay namamahala sa mga paglipat sa labas ng Kenya. Ang mga paglipat ay maaaring magpatuloy sa ilalim ng isa sa ilang mekanismo: pagtatalaga ng sapat ng Commissioner, angkop na mga pananggalang (kasama ang mga standard na contractual clause ng ODPC, inilabas noong 2023), tahasang pahintulot, o mga tiyak na derogasyon. Lalong maliwanag ang ODPC na ang "gumagamit kami ng Google Analytics" ay hindi isang sapat na tugon sa isang cross-border na paglipat na katanungan; ang publisher ay dapat makakilala ng aktwal na mekanismo na nagbibigay-pahintulot sa daloy.

Postura sa Pagpapatupad ng ODPC

Ang ODPC ay naging pinaka-aktibong regulator sa proteksyon ng data sa Africa mula noong 2022, parehong sa dami ng kaso at sa kakayahang makita ng mga aksyon nito. Tatlong pattern ang humuhubog sa diskarte ng pagpapatupad nito.

Mga nakikitang maagang multa

Nagpataw ang ODPC ng mga multa sa administrasyon sa ilang fintech, digital lending, at credit bureau operator simula noong 2022, na nagtatag ng precedent para sa mga monetary na remedyo sa ilalim ng Batas. Ang mga komunikasyon sa paligid ng mga kasong ito ay sadyang pampubliko, na nagpapahiwatig na ang pagpapatupad ay totoo at hindi lamang pormal.

Sektoral na pokus sa fintech at kredito

Ang fintech at digital credit sector — na hindi karaniwang malaki sa Kenya kaugnay ng kabuuang ekonomiya ng bansa — ay nakatanggap ng pinakakonsentradong atensyon ng ODPC. Para sa mga publisher na nagpapatakbo ng mga negosyong sinusuportahan ng advertising na nagta-target sa mga gumagamit ng fintech, ang kapaligiran sa regulasyon sa paligid ng madla ay mas kargado kaysa sa maraming katulad na merkado.

Koordinasyon sa mga regional na regulator

Lumalahok ang ODPC sa African Network of Data Protection Authorities at nagpapanatili ng mga relasyon sa trabaho sa EDPB at Nigerian NDPC. Ang mga cross-border na imbestigasyon na kinasasangkutan ng trapiko ng Kenya at Europa ay pinangangasiwaan sa pamamagitan ng mga koordinadong pamamaraan.

Isang Praktikal na Checklist sa Pagsunod

Anim na kongkretong tanong na sasagutin para sa anumang cookie banner na naglilingkod sa trapiko ng Kenya.

• Nakalista ba ang kontroler sa ODPC? Kung ang pagproseso ng publisher ay lumalagpas sa threshold ng pagpaparehistro, kumpirmahin na ang pagpaparehistro ay kasalukuyan at ang sertipiko ng pagpaparehistro ay nasa file.
• May tahasang first-layer reject ba? Ang landas ng pagtanggi ay dapat nasa parehong ibabaw ng pagtanggap, na may katulad na prominence.
• Granular ba ang mga kategorya? Ang Kinakailangan, analytics, at marketing ay dapat na hiwalay na makontrol.
• May ibinigay bang landas na may kamalayan sa edad? Para sa mga madla na maaaring kasama ang mga menor de edad na Kenya, ang daloy ng pahintulot ay nangangailangan ng isang mapagtatanggol na age-gate o hakbang sa pahintulot ng magulang.
• Nadokumento ba ang mga cross-border na paglipat? Para sa bawat destinasyong hindi Kenya, tukuyin ang mekanismo ng Section 48 na nagbibigay-pahintulot sa paglipat (adequacy, ODPC SCCs, derogasyon).
• Audit-grade ba ang pag-log ng pahintulot? Ang timestamp, bersyon ng banner, pagpipilian, at legal na batayan ay dapat mabawi sa kahilingan.

Saan Akma ang Kenya sa isang Multi-Jurisdiction Stack

Ang Kenya ay isa sa apat na pinaka-operasyonal na consequential na rehimen ng proteksyon ng data sa Africa — kasama ang Nigeria, South Africa, at umuusbong na balangkas ng Egypt — at ang 2019 na head-start nito ay naisalin sa pinaka-mature na postura ng pagpapatupad sa kontinente. Para sa mga publisher na nagtatayo patungo sa mga operasyon na pan-Africa, ang Kenyan DPA ang de facto template na ginamit ng mga mas bagong regional na batas: mga kinakailangan sa pagpaparehistro, mandatoryong mga DPO na higit sa mga threshold, GDPR-style na mga legal na batayan, at mga panuntunan sa cross-border na paglipat na sumasalamin sa Chapter V ng GDPR na may mga regional na adaptasyon. Ang gawain ng pagsunod para sa Kenya ay kahanay ng pamantayang European na may tatlong makabuluhang karagdagan: pagpaparehistro ng ODPC, kapasidad ng pahintulot na may kamalayan sa edad, at mga tiyak na standard contractual clause ng ODPC para sa mga cross-border na paglipat. Isang platform ng pamamahala ng pahintulot na itinayo ayon sa mga pamantayang European ang humahawak sa karamihan ng gawain; ang mga karagdagan ng Kenya ay mga operational na layer sa ibabaw, hindi mga architectural na muling pagtatayo.