Data Protection Act 2019 apžvalga

Kenijos DPA struktūruotas aplink aštuonis principus Section 25, kurie glaudžiai dera su GDPR Article 5: teisėtumas, tikslo apribojimas, duomenų minimizavimas, tikslumas, saugojimo apribojimas, vientisumas, atskaitomybė ir Kenijos papildymas, aiškiai patvirtinantis konstitucinę teisę į privatumą. Section 30 teisiniai pagrindai atitinka GDPR: sutikimas, sutartis, teisinė prievolė, gyvybiniai interesai, viešasis interesas ir teisėtas interesas. Įstatymas taikomas bet kuriam duomenų valdytojui ar tvarkytojui, tvarkančiam Kenijoje esančių duomenų subjektų asmens duomenis, su eksteritorine aprėptimi, apimančia užjūrio leidėjus, aptarnaujančius Kenijos lankytojus.

Du struktūriniai Įstatymo bruožai yra svarbūs operaciniu požiūriu. Pirma, valdytojai ir tvarkytojai, viršijantys nurodytus slenksčius, turi registruotis ODPC, ir Komisaras buvo matomas siekdamas neregistruotų operatorių. Antra, Įstatymas reikalauja skirti duomenų apsaugos pareigūną, kai tvarkymo apimtis viršija nustatytus slenksčius — įskaitant bet kokį didelio masto asmens duomenų tvarkymą, kuris apima daugumą reklama palaikomų leidėjų ir SaaS operatorių.

Kaip DPA traktuoja slapukus ir internetinį sekimą

DPA neturi slapukams skirtos nuostatos; sutikimo ir informavimo prievolės kyla iš Įstatymo Section 25, Section 30 ir Section 32. ODPC 2024 Guidance Note dėl skaitmeninės rinkodaros ir elgesio reklamos išdėstė konkrečius lūkesčius internetiniam sekimui, kuriuos leidėjai, aptarnaujantys Kenijos srautą, turi atsižvelgti kuriant sistemas.

Teigiamas sutikimas nebūtiniems slapukams

ODPC pozicija yra nedviprasmiška: slinkimas kaip sutikimas ir tolimesnis naudojimas kaip sutikimas netenkina Section 32 laisvai duoto ir nedviprasmiško reikalavimų. Nebūtiniems slapukams reikalingas aiškus teigiamas veiksmas. Ši interpretacija glaudžiai seka EDPB Cookie Banner Taskforce pozicija.

Detalizuoti kategorijų valdikliai

2024 m. gairės aiškiai nurodo, kad reklamjuostės turi leisti vartotojui nepriklausomai priimti ir atmesti kategorijas. Komplektuojamas «Priimti viską» be lygiaverčio «Atmesti viską» tame pačiame paviršiuje laikomas defektu, kaip ir analizės ar rinkodaros slapukų klaidingo žymėjimo kaip griežtai būtinų.

Vaikų duomenys ir sutikimo pajėgumas

DPA sutikimo tikslais traktuoja duomenų subjektus iki 18 metų kaip vaikus, tvarkymui reikalingas tėvų leidimas. Leidėjams, kurių auditorijose yra Kenijos nepilnamečių, slapukų sutikimo sistemai reikia amžių atsižvelgiančio kelio, kuris neprisiima suaugusiojo pajėgumo.

Tarpvalstybinio persiuntimo taisyklės

Įstatymo Section 48 reglamentuoja persiuntimus už Kenijos ribų. Persiuntimai gali vykti pagal vieną iš kelių mechanizmų: tinkamumo paskyrimas Komisaro, tinkamos apsaugos priemonės (įskaitant ODPC standartines sutartines sąlygas, išleistas 2023 m.), aiškus sutikimas arba konkretūs nukrypimai. ODPC vis labiau aiškiai nurodė, kad «mes naudojame Google Analytics» nėra pakankamas atsakymas į tarpvalstybinio persiuntimo tyrimą; leidėjas turi sugebėti nurodyti faktinį mechanizmą, leidžiantį srautą.

ODPC vykdymo pozicija

ODPC nuo 2022 m. tapo aktyviausiu Afrikos duomenų apsaugos reguliatoriumi tiek absoliučiu bylų skaičiumi, tiek savo veiksmų matomumu. Trys modeliai formuoja jo vykdymo metodą.

Matomas ankstyvos baudos

ODPC skyrė administracines baudas keliems fintech, skaitmeninio skolinimo ir kredito biurų operatoriams nuo 2022 m., sukurdamas precedentą piniginėms teisių gynimo priemonėms pagal Įstatymą. Komunikacija apie šias bylas buvo tyčia vieša, signalizuojanti, kad vykdymas yra realus, o ne tik vardinis.

Sektorinis dėmesys fintech ir kreditui

Fintech ir skaitmeninio kredito sektorius — kuris Kenijoje yra neįprastai didelis palyginti su šalies bendrąja ekonomika — sulaukė daugiausiai sutelkto ODPC dėmesio. Leidėjams, vykdantiems reklama palaikomas veiklas, orientuotas į fintech vartotojus, reguliavimo atmosfera aplink auditoriją yra labiau įkrauta nei daugelyje palyginamų rinkų.

Koordinacija su regioniniais reguliatoriais

ODPC dalyvauja African Network of Data Protection Authorities ir palaiko darbinius santykius su EDPB ir Nigerijos NDPC. Tarpvalstybiniai tyrimai, apimantys Kenijos ir Europos srautą, tvarkomi koordinuotomis procedūromis.

Praktinis atitikties kontrolinis sąrašas

Šeši konkretūs klausimai, į kuriuos reikia atsakyti kiekvienai slapukų reklamjuostei, aptarnaujančiai Kenijos srautą.

• Ar valdytojas registruotas ODPC? Jei leidėjo tvarkymas viršija registracijos slenkstį, patvirtinkite, kad registracija yra aktuali ir registracijos pažymėjimas yra byloje.
• Ar yra aiškus pirmojo sluoksnio atmetimas? Atmetimo kelias turi būti tame pačiame paviršiuje kaip priėmimas, su panašiu matomumu.
• Ar kategorijos yra detalizuotos? Būtinos, analizės ir rinkodaros kategorijos turi būti atskirai valdomomis.
• Ar suteikiamas amžių atsižvelgiantis kelias? Auditorijoms, kurios gali apimti Kenijos nepilnamečius, sutikimo srautui reikia gynimo galima amžiaus vartų arba tėvų leidimo žingsnio.
• Ar tarpvalstybiniai persiuntimai yra dokumentuoti? Kiekvienai ne Kenijos paskirčiai nurodykite Section 48 mechanizmą, leidžiantį persiuntimą (tinkamumas, ODPC SCCs, nukrypimas).
• Ar sutikimo registravimas yra audito lygio? Laiko žyma, reklamjuostės versija, pasirinkimas ir teisinis pagrindas turi būti atgaunami pareikalavus.

Kenijos vieta daugiajurisdikciniame rietuvėje

Kenija yra vienas iš keturių operaciniu požiūriu svarbiausių Afrikos duomenų apsaugos režimų — kartu su Nigerija, Pietų Afrika ir besivystančia Egipto sistema — ir jos 2019 m. pranašumas pavirto brandžiausia vykdymo pozicija žemyne. Leidėjams, siekiantiems pan-Afrikos operacijų, Kenijos DPA yra de facto šablonas, kurį naujesniai regioniniai įstatymai naudojo: registracijos reikalavimai, privalomi DPO virš slenksčių, GDPR stiliaus teisiniai pagrindai ir tarpvalstybinio persiuntimo taisyklės, atitinkančios GDPR Chapter V su regioniniais pritaikymais. Atitikties darbas Kenijai yra lygiagretus Europos standartui su trimis reikšmingais papildymais: ODPC registracija, amžių atsižvelgiančiu sutikimo pajėgumu ir ODPC konkrečiomis standartinėmis sutartinėmis sąlygomis tarpvalstybiniams persiuntimams. Europos normomis sukurta sutikimo valdymo platforma atlieka didžiąją darbo dalį; Kenijos papildymai yra viršuje operaciniai sluoksniai, o ne architektūriniai pertvarkymai.