Data Protection Act 2019 í yfirliti

Kensíski DPA er byggður upp um átta meginreglur í Section 25 sem eru í náinni samræmi við GDPR Article 5: lögmæti, tilgangstakmörk, gagnalágmörkun, nákvæmni, geymslutak, heiðarleiki, ábyrgð og kensískt viðbótarákvæði sem staðfestir sérstaklega stjórnarskrárverndaðan rétt til einkalífs. Lagagrundvöllur í Section 30 endurspeglar GDPR: samþykki, samningur, lagaleg skylda, lífsnauðsynlegir hagsmunir, almannahagsmunir og lögmætir hagsmunir. Lögin gilda um hvern gagnavörslu- eða vinnsluaðila sem vinnur persónuupplýsingar um gagnaeigendur í Kenya með yfirlandamæraumdæmi sem nær til erlendra útgefenda sem þjóna kensíska gestum.

Tvær skipulagslegar eiginleikar laganna skipta máli í rekstri. Í fyrsta lagi verða stjórnendur og vinnsluaðilar yfir tilteknum mörkum að skrá sig hjá ODPC og Umboðsmaðurinn hefur verið áberandi í því að sækja óskráða rekstraraðila. Í öðru lagi kveða lögin á um skipun persónuverndarfulltrúa þar sem umfang vinnslu fer yfir skilgreind mörk — þar á meðal allar umfangsmiklar vinnslu persónuupplýsinga sem nær til flestra auglýsingastuddra útgefenda og SaaS-rekstraraðila.

Hvernig DPA meðhöndlar kökur og vefrakningu

DPA inniheldur engin sértæk ákvæði um kökur; samþykki- og upplýsingarskyldan leiðir af Section 25, Section 30 og Section 32 laganna. 2024 Guidance Note ODPC um stafræna markaðssetningu og hegðunarauglýsingar setti fram sérstakar væntingar um vefrakningu sem útgefendur sem þjóna kensíska umferð þurfa að hanna gagnvart.

Staðfestandi samþykki fyrir óverulegar kökur

Afstaða ODPC er ótvíræð: skrun sem samþykki og áframhaldandi notkun sem samþykki uppfylla ekki skilyrðin um frjálsgjefar og ótvíræðar kröfur Section 32. Skýr staðfestandi aðgerð er nauðsynleg fyrir óverulegar kökur. Túlkunin fylgir náið afstöðu EDPB Cookie Banner Taskforce.

Nákvæmar flokkarstýringar

Leiðbeiningar 2024 eru skýrar um að borðar verða að gera notanda kleift að samþykkja og hafna flokkum sjálfstætt. Knipptur «Samþykkja allt» án jafngilts «Hafna öllu» á sama yfirborðinu er meðhöndlaður sem galli, svo og rangar merkingar á greiningar- eða markaðssetningarkökum sem stranglega nauðsynlegar.

Gögn barna og samþykkisgeta

DPA meðhöndlar gagnaeigendur undir 18 ára aldri sem börn að því er varðar samþykki og foreldraheimild er nauðsynleg til vinnslu. Fyrir útgefendur sem hafa kensíska unglinga meðal áhorfenda þarf ramma kökusamþykkis aldursvissa leið sem gerir ekki ráð fyrir fullorðinsréttindi.

Reglur um yfirlandamæraflutninga

Section 48 laganna stjórnar flutningum utan Kenya. Flutningar geta haldið áfram undir einum af nokkrum kerfum: hæfnistákvörðun Umboðsmannsins, viðeigandi verndarráðstafanir (þar á meðal staðlaðar samningsklásúlur ODPC gefnar út árið 2023), skýrt samþykki eða sérstakar undanþágur. ODPC hefur verið æ skýrari um að «við notum Google Analytics» er ekki fullnægjandi svar við fyrirspurn um yfirlandamæraflutninga; útgefandinn verður að geta greint raunverulega kerfið sem heimilar flæðið.

Framkvæmdarstefna ODPC

ODPC hefur verið virkasti afríski persónuverndaryfirvaldurinn síðan 2022, bæði í heildarmálsmagni og í sýnileika aðgerða sinna. Þrír mynstrar móta framkvæmdaraðferð hans.

Sýnilegar snemmbærar sektir

ODPC lagði á stjórnvaldssektir hjá nokkrum fintech-, stafrænnar lánveitingar- og lánabúreaðila frá 2022 og setti fordæmi um fjárhagslegar úrræði samkvæmt lögunum. Samskiptin í kringum þessi mál hafa verið meðvitað opinber og gefa til kynna að framkvæmdin sé raunveruleg en ekki aðeins nafnbundin.

Geirasértæk áhersla á fintech og lán

Fintech- og stafræna lánagreinin — sem er óvenju stór í Kenya miðað við heildarefnahag landsins — hefur fengið mest einbeitt athygli ODPC. Fyrir útgefendur sem reka auglýsingastuddar fyrirtæki sem miða á fintech-notendur er eftirlitsandrúmsloftið í kringum áhorfendur meira þrungið en það myndi vera á mörgum sambærilegum mörkuðum.

Samhæfing með svæðisbundnum eftirlitsaðilum

ODPC tekur þátt í African Network of Data Protection Authorities og viðheldur vinnusamskiptum við EDPB og nígerskan NDPC. Yfirlandamærarannsóknir er varða kensíska og evrópska umferð eru meðhöndlaðar í gegnum samhæfðar verklagsreglur.

Hagnýt gátlisti reglufylgni

Sex áþreifanlegar spurningar til að svara fyrir hvern kökuborða sem þjónar kensíska umferð.

• Er stjórnandinn skráður hjá ODPC? Ef vinnsla útgefanda fer yfir skráningarmörkin, staðfestu að skráning sé í gildi og skráningarvottorð sé í gögnum.
• Er til skýr hafnun á fyrsta lagi? Hafnunarleiðin verður að vera á sama yfirborðinu og samþykki með sambærilegan sýnileika.
• Eru flokkar nákvæmir? Nauðsynlegir, greiningar- og markaðssetningarflokkar verða að vera stjórnanlegar sérstaklega.
• Er aldursviss leið til staðar? Fyrir áhorfendur sem geta innihaldið kensíska unglinga þarf samþykkisflæðið varnarhallt aldursgátt eða foreldraheimildarstig.
• Eru yfirlandamæraflutningar skráðir? Fyrir hvert ekki-kensískt áfangastað, greindu Section 48-kerfið sem heimilar flutninginn (hæfni, ODPC SCCs, undanþága).
• Er samþykktsskráning endurskoðunargæð? Tímastimpill, borðaútgáfa, val og lagalegur grundvöllur verður að vera endurheimt á eftirspurn.

Staðsetning Kenya í Fjölþjóðalegum Kerfum

Kenya er eitt af fjórum rekstrarlega mikilvægustu afrísku persónuvernarregimunum — ásamt Nígeríu, Suður-Afríku og vaxandi ramma Egyptalands — og 2019-forskot þess hefur þýðst í þroskaðasta framkvæmdarafstöðu meginlandsins. Fyrir útgefendur sem eru að byggja upp pan-afríkar aðgerðir er kensíski DPA de facto sniðmátið sem nýrri svæðislög hafa notað: skráningarkröfur, skyldubundin DPO yfir mörkum, GDPR-stíls lagalegur grundvöllur og reglur um yfirlandamæraflutninga sem endurspegla Chapter V GDPR með svæðisaðlögunum. Reglufylgnivinnan fyrir Kenya er samhliða evrópskum staðli með þremur þýðingarlegum viðbótum: ODPC-skráning, aldursviss samþykkisgeta og sértækar staðlaðar samningsklásúlur ODPC fyrir yfirlandamæraflutninga. Samþykkisstjórnunarvettvangur byggður að evrópskum staðli sér um stærstur hluta vinnunnar; kensísku viðbæturnar eru rekstrarlegar lög ofan á, ekki byggingarleg endurbyggingar.