Data Protection Act 2019 ზოგადი მიმოხილვა

კენიური DPA სტრუქტურირებულია Section 25-ის რვა პრინციპის გარშემო, რომლებიც მჭიდროდ შეესაბამება GDPR Article 5-ს: კანონიერება, მიზნის შეზღუდვა, მინიმალური მონაცემები, სიზუსტე, შენახვის შეზღუდვა, მთლიანობა, ანგარიშვალდებულება და კენიური დამატება, რომელიც პირდაპირ ადასტურებს კონფიდენციალობის კონსტიტუციურ უფლებას. Section 30-ის კანონიერი საფუძვლები ასახავს GDPR-ს: თანხმობა, ხელშეკრულება, სამართლებრივი ვალდებულება, სასიცოცხლო ინტერესები, საჯარო ინტერესი და კანონიერი ინტერესი. კანონი ვრცელდება ნებისმიერ მონაცემთა კონტროლერზე ან პროცესორზე, რომელიც ამუშავებს კენიაში მდებარე სუბიექტების პერსონალურ მონაცემებს, ექსტრატერიტორიული მოქმედებით, რომელიც მოიცავს კენიელ ვიზიტორთა მომსახურე ოფშორულ გამომცემლებს.

კანონის ორი სტრუქტურული მახასიათებელი ოპერაციულად მნიშვნელოვანია. პირველი, განსაზღვრული ზღვრებს ზემოთ მყოფი კონტროლერები და პროცესორები ODPC-ში რეგისტრაცია ვალდებულნი არიან, ხოლო კომისარი აქტიურია დაუსარეგისტრირებელი ოპერატორების მიდევნებაში. მეორე, კანონი ითხოვს მონაცემთა დაცვის ოფიცრის დანიშვნას იქ, სადაც დამუშავების მოცულობა განსაზღვრულ ზღვრებს კვეთს — მათ შორის ნებისმიერი დიდი მასშტაბის პერსონალური მონაცემების დამუშავება, რაც მოიცავს სარეკლამო მხარდაჭერილ გამომცემლებსა და SaaS ოპერატორების უმეტესობას.

DPA-ს მიდგომა ქუქი-ფაილებსა და ინტერნეტ თვალთვალთან

DPA არ შეიცავს ქუქი-ფაილებზე სპეციფიკურ დებულებას; თანხმობისა და ინფორმაციის ვალდებულებები გამომდინარეობს კანონის Section 25, Section 30 და Section 32-დან. ODPC-ის 2024 Guidance Note ციფრული მარკეტინგისა და ქცევითი რეკლამირების შესახებ ჩამოყალიბა კონკრეტული მოლოდინები ინტერნეტ თვალთვალთან დაკავშირებით, რომლებიც კენიური ტრაფიკის მომსახურე გამომცემლებმა დიზაინში გათვალისწინება სჭირდება.

დადებითი თანხმობა არაარსებითი ქუქი-ფაილებისთვის

ODPC-ის პოზიცია ცალსახაა: გადახვევა-როგორც-თანხმობა და გამოყენების-გაგრძელება-როგორც-თანხმობა არ აკმაყოფილებს Section 32-ის თავისუფლად გაცემული და ცალსახა კრიტერიუმებს. არაარსებითი ქუქი-ფაილებისთვის საჭიროა მკაფიო დადებითი მოქმედება. ეს ინტერპრეტაცია მჭიდროდ მისდევს EDPB Cookie Banner Taskforce-ის პოზიციას.

დეტალური კატეგორიების კონტროლი

2024 წლის სახელმძღვანელო პირდაპირ მიუთითებს, რომ ბანერებმა მომხმარებელს უნდა მისცენ შესაძლებლობა, კატეგორიები დამოუკიდებლად მიიღოს ან უარყოს. ბანდლური «ყველა მიღება» ეკვივალენტური «ყველა უარყოფის» გარეშე იმავე ზედაპირზე ხარვეზად ითვლება, ისევე როგორც ანალიტიკური ან მარკეტინგული ქუქი-ფაილების მკაცრად აუცილებლად მცდარი მარკირება.

ბავშვთა მონაცემები და თანხმობის ქმედუნარიანობა

DPA თანხმობის მიზნებისთვის 18 წლამდე ასაკის სუბიექტებს ბავშვებად განიხილავს, დამუშავებისთვის მშობლის ნებართვა სავალდებულოა. იმ გამომცემლებისთვის, რომელთა აუდიტორია მოიცავს კენიელ არასრულწლოვნებს, ქუქი-ფაილების თანხმობის ჩარჩოს სჭირდება ასაკის გათვალისწინებული გზა, რომელიც არ ივარაუდებს ზრდასრული ქმედუნარიანობას.

სასაზღვრო-გადამკვეთი გადარიცხვის წესები

კანონის Section 48 არეგულირებს კენიის გარეთ გადარიცხვებს. გადარიცხვები შეიძლება განხორციელდეს რამდენიმე მექანიზმიდან ერთ-ერთის საფუძველზე: კომისარის მიერ ადეკვატურობის განსაზღვრა, შესაბამისი დაცვის გარანტიები (მათ შორის ODPC-ის სტანდარტული სახელშეკრულებო პირობები, გამოქვეყნებული 2023 წელს), მკაფიო თანხმობა ან სპეციფიკური გამონაკლისები. ODPC სულ უფრო ცალსახა ხდება, რომ «ჩვენ Google Analytics-ს ვიყენებთ» არ არის საკმარისი პასუხი სასაზღვრო-გადამკვეთი გადარიცხვის გამოძიებაზე; გამომცემელს უნდა შეეძლოს დინებას ნებართვის მიმნიჭებელი ფაქტობრივი მექანიზმის განსაზღვრა.

ODPC-ის აღსრულების პოზიცია

ODPC 2022 წლიდან ყველაზე აქტიური აფრიკული მონაცემთა დაცვის მარეგულირებელია, როგორც საქმეების აბსოლუტური რაოდენობით, ასევე ქმედებების ხილვადობით. სამი შაბლონი განაპირობებს მის საგამომდინარეო მიდგომას.

ხილული ადრეული ჯარიმები

ODPC-მ 2022 წლიდან რამდენიმე ფინტექ, ციფრული სესხის და საკრედიტო ბიუროს ოპერატორებს ადმინისტრაციული ჯარიმები დაუწესა, კანონის შესაბამისად ფულადი მოშველიებების პრეცედენტი შექმნა. ამ საქმეებთან დაკავშირებული კომუნიკაცია განზრახ საჯარო იყო, რაც მიუთითებს, რომ აღსრულება რეალურია და მხოლოდ ნომინალური არ არის.

სექტორული ფოკუსი ფინტექსა და კრედიტზე

ფინტექ და ციფრული კრედიტის სექტორი — რომელიც კენიაში ქვეყნის საერთო ეკონომიკასთან მიმართებაში უჩვეულოდ დიდია — ყველაზე კონცენტრირებული ODPC-ის ყურადღება მიიღო. ფინტექ მომხმარებლებს მიმართული სარეკლამო ბიზნესების გამომცემლებისთვის, აუდიტორიის გარშემო მარეგულირებელი ატმოსფერო უფრო დამუხტულია, ვიდრე ბევრ შედარებად ბაზარზე.

კოორდინაცია რეგიონულ მარეგულირებლებთან

ODPC მონაწილეობს African Network of Data Protection Authorities-ში და EDPB-სა და ნიგერიის NDPC-სთან სამუშაო ურთიერთობებს ინარჩუნებს. კენიური და ევროპული ტრაფიკის მოიცვა სასაზღვრო-გადამკვეთი გამოძიებები კოორდინირებული პროცედურებით მუშავდება.

პრაქტიკული შესაბამისობის გამშვები სია

ექვსი კონკრეტული კითხვა, რომელზეც კენიური ტრაფიკის მომსახურე ნებისმიერ ქუქი ბანერს პასუხი სჭირდება.

• კონტროლერი ODPC-ში რეგისტრირებულია? თუ გამომცემლის დამუშავება რეგისტრაციის ზღვარს კვეთს, დაადასტურეთ, რომ რეგისტრაცია მიმდინარეა და სარეგისტრაციო სერტიფიკატი ფაილში არსებობს.
• პირველ ფენაზე მკაფიო უარყოფა არსებობს? უარყოფის გზა უნდა იმყოფებოდეს იმავე ზედაპირზე, სადაც მიღება, შედარებადი გამოჩენით.
• კატეგორიები დეტალურია? აუცილებელი, ანალიტიკური და მარკეტინგული კატეგორიები ცალ-ცალკე კონტროლირებადი უნდა იყოს.
• ასაკის გათვალისწინებული გზა გათვალისწინებულია? კენიელ არასრულწლოვნებს შეიძლება მოიცვა აუდიტორიებისთვის, თანხმობის ნაკადს სჭირდება დასაცავი ასაკობრივი კარიბჭე ან მშობლის ნებართვის ეტაპი.
• სასაზღვრო-გადამკვეთი გადარიცხვები დოკუმენტირებულია? კენიური არასარეგისტრაციო თითოეული დანიშნულებისთვის, განსაზღვრეთ Section 48-ის მექანიზმი, რომელიც გადარიცხვას ნებადართულს ხდის (ადეკვატურობა, ODPC SCCs, გამონაკლისი).
• თანხმობის ჩაწერა აუდიტის დონისაა? დროის ანაბეჭდი, ბანერის ვერსია, არჩევანი და კანონიერი საფუძველი მოთხოვნის საფუძველზე აღდგენადი უნდა იყოს.

კენიის ადგილი მულტი-იურისდიქციულ სტეკში

კენია ოთხი ოპერაციულად ყველაზე მნიშვნელოვანი აფრიკული მონაცემთა დაცვის რეჟიმიდან ერთ-ერთია — ნიგერიის, სამხრეთ აფრიკის და ეგვიპტის განვითარებად ჩარჩოსთან ერთად — ხოლო 2019 წლის წამყვანობა კონტინენტზე ყველაზე მომწიფებულ საგამომდინარეო პოზიციად გადაიქცა. პანაფრიკული ოპერაციებისკენ მიმავალი გამომცემლებისთვის, კენიური DPA არის de facto შაბლონი, რომელიც ახალმა რეგიონულმა კანონებმა გამოიყენა: სარეგისტრაციო მოთხოვნები, ზღვრებს ზემოთ სავალდებულო DPO-ები, GDPR-სტილის კანონიერი საფუძვლები და სასაზღვრო-გადამკვეთი გადარიცხვის წესები, რომლებიც GDPR-ის Chapter V-ს ასახავს რეგიონული ადაპტაციებით. კენიისთვის შესაბამისობის სამუშაო ევროპული სტანდარტის პარალელურია სამი მნიშვნელოვანი დამატებით: ODPC-ის რეგისტრაცია, ასაკის გათვალისწინებული თანხმობის ქმედუნარიანობა და სასაზღვრო-გადამკვეთი გადარიცხვებისთვის ODPC-ის სპეციფიკური სტანდარტული სახელშეკრულებო პირობები. ევროპული ნორმების შესაბამისად აშენებული თანხმობის მართვის პლატფორმა სამუშაოს დიდ ნაწილს ახორციელებს; კენიური დამატებები ზევით ოპერაციული ფენებია, არა არქიტექტურული გადაკეთებები.