Data Protection Act 2019 개요

케냐의 DPA는 GDPR Article 5와 밀접하게 일치하는 Section 25의 8가지 원칙을 중심으로 구성되어 있습니다. 적법성, 목적 제한, 데이터 최소화, 정확성, 보관 제한, 무결성, 책임성, 그리고 프라이버시에 대한 헌법적 권리를 명시적으로 확인하는 케냐 고유의 추가 조항입니다. Section 30의 합법적 근거는 GDPR을 반영합니다. 동의, 계약, 법적 의무, 생명에 관한 이익, 공공 이익, 정당한 이익입니다. 이 법률은 케냐에 소재한 정보 주체의 개인 데이터를 처리하는 모든 데이터 컨트롤러 또는 처리자에게 적용되며, 케냐 방문자에게 서비스를 제공하는 역외 출판사를 포함하는 역외 적용 범위를 가집니다.

법률의 두 가지 구조적 특성이 운영상 중요합니다. 첫째, 특정 임계값을 초과하는 컨트롤러와 처리자는 ODPC에 등록해야 하며, 위원은 미등록 운영자를 추적하는 데 적극적입니다. 둘째, 처리 범위가 정의된 임계값을 초과하는 경우 데이터 보호 책임자 임명이 의무화됩니다. 이는 대규모 개인 데이터 처리를 포함하며, 대부분의 광고 지원 출판사와 SaaS 운영자가 해당됩니다.

DPA의 쿠키 및 온라인 추적 처리 방식

DPA에는 쿠키에 특화된 규정이 없습니다. 동의 및 정보 제공 의무는 법률의 Section 25, Section 30, Section 32에서 발생합니다. ODPC의 디지털 마케팅 및 행동 광고에 관한 2024 Guidance Note는 케냐 트래픽을 처리하는 출판사가 설계 시 고려해야 할 온라인 추적에 대한 구체적인 기대사항을 명시했습니다.

비필수 쿠키에 대한 적극적 동의

ODPC의 입장은 명확합니다. 스크롤을 동의로 간주하거나 계속 사용을 동의로 간주하는 방식은 Section 32의 자유롭게 제공된 명확한 동의 요건을 충족하지 않습니다. 비필수 쿠키에는 명시적인 적극적 행동이 필요합니다. 이 해석은 EDPB Cookie Banner Taskforce의 입장을 밀접하게 따릅니다.

세분화된 카테고리 제어

2024년 지침은 배너가 사용자에게 카테고리를 독립적으로 수락하고 거부할 수 있도록 해야 한다고 명시합니다. 동일한 화면에 동등한 «전체 거부»가 없는 번들 «전체 수락»은 결함으로 처리되며, 분석 또는 마케팅 쿠키를 엄격히 필요한 것으로 잘못 표시하는 것도 마찬가지입니다.

아동 데이터 및 동의 능력

DPA는 동의 목적에서 18세 미만의 정보 주체를 아동으로 취급하며, 처리를 위해 부모의 동의가 필요합니다. 케냐 미성년자를 포함하는 청중을 보유한 출판사의 경우, 쿠키 동의 프레임워크에는 성인 능력을 전제하지 않는 나이 인식 경로가 필요합니다.

국경 간 이전 규정

법률의 Section 48은 케냐 외부로의 이전을 규율합니다. 이전은 여러 메커니즘 중 하나에 따라 진행될 수 있습니다. 위원의 적절성 지정, 적절한 보호 조치(2023년에 발행된 ODPC 표준 계약 조항 포함), 명시적 동의, 또는 특정 예외입니다. ODPC는 «Google Analytics를 사용합니다»가 국경 간 이전 조사에 충분한 답변이 아니라는 것을 점점 더 명확히 하고 있습니다. 출판사는 데이터 흐름을 승인하는 실제 메커니즘을 식별할 수 있어야 합니다.

ODPC의 집행 자세

ODPC는 2022년 이후 절대적 사례 수와 조치의 가시성 모두에서 가장 활발한 아프리카 데이터 보호 규제 기관이 되었습니다. 세 가지 패턴이 집행 접근 방식을 형성합니다.

가시적인 초기 과징금

ODPC는 2022년부터 여러 핀테크, 디지털 대출, 신용 조사 기관 운영자에게 행정 과징금을 부과하여 법률에 따른 금전적 구제의 선례를 확립했습니다. 이 사례들에 관한 커뮤니케이션은 의도적으로 공개적이어서 집행이 실제적이며 단순히 형식적이지 않음을 신호했습니다.

핀테크 및 신용에 대한 업종별 집중

핀테크 및 디지털 신용 분야 — 케냐에서 국가 전체 경제에 비해 이례적으로 큰 — 는 가장 집중된 ODPC의 주목을 받았습니다. 핀테크 사용자를 대상으로 하는 광고 지원 사업을 운영하는 출판사의 경우, 청중을 둘러싼 규제 분위기는 많은 비교 가능한 시장보다 더 긴장되어 있습니다.

지역 규제 기관과의 협조

ODPC는 African Network of Data Protection Authorities에 참여하며 EDPB 및 나이지리아 NDPC와 업무 관계를 유지합니다. 케냐와 유럽 트래픽이 관련된 국경 간 조사는 조율된 절차를 통해 처리됩니다.

실용적인 컴플라이언스 체크리스트

케냐 트래픽을 처리하는 모든 쿠키 배너에 답해야 할 여섯 가지 구체적인 질문입니다.

• 컨트롤러가 ODPC에 등록되어 있습니까? 출판사의 처리가 등록 임계값을 초과하는 경우, 등록이 최신 상태이고 등록 인증서가 파일에 있는지 확인하십시오.
• 명시적인 첫 번째 레이어 거부가 있습니까? 거부 경로는 수락과 동일한 화면에 동등한 눈에 띄는 위치에 있어야 합니다.
• 카테고리가 세분화되어 있습니까? 필수, 분석, 마케팅 카테고리는 별도로 제어 가능해야 합니다.
• 나이 인식 경로가 제공됩니까? 케냐 미성년자를 포함할 수 있는 청중의 경우, 동의 흐름에는 방어 가능한 연령 확인 또는 부모 동의 단계가 필요합니다.
• 국경 간 이전이 문서화되어 있습니까? 케냐가 아닌 각 목적지에 대해 이전을 승인하는 Section 48 메커니즘(적절성, ODPC SCCs, 예외)을 식별하십시오.
• 동의 기록이 감사 수준입니까? 타임스탬프, 배너 버전, 선택, 합법적 근거는 요청 시 복구 가능해야 합니다.

다중 관할 스택에서 케냐의 위치

케냐는 나이지리아, 남아프리카, 이집트의 신흥 프레임워크와 함께 운영상 가장 중요한 4개의 아프리카 데이터 보호 체계 중 하나이며, 2019년의 선도적 위치는 대륙에서 가장 성숙한 집행 자세로 이어졌습니다. 범아프리카 사업을 구축하는 출판사에게 케냐의 DPA는 더 새로운 지역 법률이 사용한 사실상의 템플릿입니다. 등록 요건, 임계값 이상에서 의무적인 DPO, GDPR 방식의 합법적 근거, 지역 적응을 가미한 GDPR Chapter V를 반영한 국경 간 이전 규정입니다. 케냐에 대한 컴플라이언스 작업은 세 가지 중요한 추가 사항과 함께 유럽 표준과 병행합니다. ODPC 등록, 나이 인식 동의 능력, 국경 간 이전을 위한 ODPC의 특정 표준 계약 조항입니다. 유럽 기준에 따라 구축된 동의 관리 플랫폼이 대부분의 작업을 처리합니다. 케냐의 추가 사항은 건축적 재구성이 아니라 위에 놓인 운영 레이어입니다.