Data Protection Act 2019の概要

ケニアのDPAはSection 25の8つの原則を中心に構成されており、GDPR Article 5と密接に一致しています。適法性、目的制限、データ最小化、正確性、保存制限、整合性、説明責任、そしてプライバシーの憲法上の権利を明示的に確認するケニア独自の追加条項が含まれます。Section 30の合法的根拠はGDPRを反映しています。同意、契約、法的義務、生命に関わる利益、公共の利益、正当な利益です。この法律はケニアに所在する本人の個人データを処理するすべてのデータ管理者または処理者に適用され、ケニアの訪問者にサービスを提供するオフショア出版社を捕捉する域外適用があります。

法律の2つの構造的特徴が運用上重要です。第一に、特定の閾値を超える管理者および処理者はODPCへの登録が必要であり、長官は未登録事業者を追跡することに積極的です。第二に、処理の範囲が定義された閾値を超える場合、データ保護責任者の任命が義務付けられます。これには大規模な個人データ処理が含まれ、ほとんどの広告収益型出版社とSaaS事業者が対象となります。

DPAによるクッキーとオンライン追跡の取り扱い

DPAにはクッキーに特化した規定はありません。同意および情報提供の義務は法律のSection 25、Section 30、Section 32から生じます。ODPCの2024 Guidance Noteデジタルマーケティングおよび行動広告に関するガイダンスノートは、ケニアのトラフィックを扱う出版社が設計上考慮すべきオンライン追跡に関する具体的な期待を明示しました。

非必須クッキーへの積極的同意

ODPCの立場は明確です。スクロールによる同意や継続使用による同意はSection 32の自由に与えられた明確な同意の要件を満たしません。非必須クッキーには明示的な積極的行動が必要です。この解釈はEDBP Cookie Banner Taskforceの立場に密接に沿っています。

詳細なカテゴリ制御

2024年のガイダンスは、バナーがユーザーにカテゴリを個別に承認および拒否できるようにすることを明示的に求めています。同じ画面上に同等の「すべて拒否」がない「すべて承認」のバンドルは欠陥として扱われ、分析やマーケティングクッキーを厳密に必要なものとして誤った表示をすることも同様です。

子どものデータと同意能力

DPAは同意目的において18歳未満の本人を子どもとして扱い、処理には保護者の承認が必要です。ケニアの未成年者を含む視聴者を持つ出版社にとって、クッキー同意のフレームワークには成人能力を前提としない年齢を考慮したパスが必要です。

越境データ転送ルール

法律のSection 48はケニア国外への転送を規定しています。転送はいくつかのメカニズムのいずれかに基づいて進めることができます。長官による適切性の指定、適切な保護措置（2023年に発行されたODPCの標準契約条項を含む）、明示的同意、または特定の例外です。ODPCは「Google Analyticsを使用している」は越境転送に関する問い合わせへの十分な回答ではないとますます明示しており、出版社はデータの流れを許可する実際のメカニズムを特定できなければなりません。

ODPCの執行姿勢

ODPCは2022年以降、絶対的なケース件数とその行動の可視性の両面で、最も活発なアフリカのデータ保護規制当局となっています。3つのパターンがその執行アプローチを形成しています。

目に見える初期の罰則金

ODPCは2022年より複数のフィンテック、デジタル貸付、信用調査機関の事業者に対して行政罰則金を課し、法律に基づく金銭的救済の前例を確立しました。これらのケースに関するコミュニケーションは意図的に公開されており、執行が現実的であり単なる形式ではないことを示しています。

フィンテックと信用分野への業種別注目

フィンテックおよびデジタル信用セクター（ケニアでは国全体の経済規模に比して異例なほど大きい）は、最も集中したODPCの注目を受けています。フィンテックユーザーを対象とした広告収益型ビジネスを運営する出版社にとって、視聴者を取り巻く規制の雰囲気は多くの同等市場よりも緊張しています。

地域規制当局との協調

ODPCはAfrican Network of Data Protection Authoritiesに参加しており、EDPBとナイジェリアのNDPCとの業務関係を維持しています。ケニアとヨーロッパのトラフィックに関わる越境調査は協調した手続きを通じて処理されます。

実践的なコンプライアンスチェックリスト

ケニアのトラフィックを扱うクッキーバナーに回答すべき6つの具体的な質問です。

• 管理者はODPCに登録されていますか？ 出版社の処理が登録閾値を超える場合、登録が最新であり登録証明書が保管されていることを確認してください。
• 明示的な第1層の拒否がありますか？ 拒否のパスは承認と同じ画面に、同等の目立つ位置に配置する必要があります。
• カテゴリは詳細ですか？ 必須、分析、マーケティングのカテゴリは個別に制御可能でなければなりません。
• 年齢を考慮したパスが提供されていますか？ ケニアの未成年者を含む可能性のある視聴者の場合、同意フローには防御可能な年齢ゲートまたは保護者承認ステップが必要です。
• 越境転送は文書化されていますか？ ケニア以外の各宛先に対して、転送を承認するSection 48のメカニズム（適切性、ODPC SCCs、例外）を特定してください。
• 同意の記録は監査レベルですか？ タイムスタンプ、バナーバージョン、選択、合法的根拠は要求に応じて回収可能でなければなりません。

多管轄スタックにおけるケニアの位置付け

ケニアはナイジェリア、南アフリカ、エジプトの新興フレームワークと並んで、運用上最も重要なアフリカの4つのデータ保護制度の一つであり、2019年の先行優位が大陸で最も成熟した執行姿勢に転換されています。パンアフリカ事業を構築する出版社にとって、ケニアのDPAは新しい地域法が使用したデファクトのテンプレートです。登録要件、閾値超での義務的DPO、GDPR型の合法的根拠、地域の適応を加えたGDPR Chapter Vを反映した越境転送ルールです。ケニアへのコンプライアンス作業はヨーロッパ標準と並行しており、3つの重要な追加事項があります。ODPC登録、年齢を考慮した同意能力、越境転送のためのODPCの特定の標準契約条項です。ヨーロッパの規範に基づいて構築された同意管理プラットフォームが作業の大部分を処理します。ケニアの追加事項は建築的な再構築ではなく、上位の運用レイヤーです。