Ustawa o ochronie danych z 2019 roku w zarysie

Kenijska DPA jest zbudowana wokół ośmiu zasad w Section 25, które ściśle odpowiadają GDPR Article 5: zgodność z prawem, ograniczenie celu, minimalizacja danych, dokładność, ograniczenie przechowywania, integralność, rozliczalność oraz kenijski dodatek jednoznacznie potwierdzający konstytucyjne prawo do prywatności. Podstawy prawne w Section 30 odzwierciedlają GDPR: zgoda, umowa, obowiązek prawny, żywotne interesy, interes publiczny i uzasadniony interes. Ustawa ma zastosowanie do każdego administratora lub podmiotu przetwarzającego dane osobowe podmiotów danych zlokalizowanych w Kenii, z zasięgiem eksterytorialnym obejmującym wydawców offshore obsługujących kenijskich odwiedzających.

Dwie strukturalne cechy ustawy mają znaczenie operacyjne. Po pierwsze, administratorzy i podmioty przetwarzające powyżej określonych progów muszą zarejestrować się w ODPC, a Komisarz był wyraźny w kwestii ścigania niezarejestrowanych operatorów. Po drugie, ustawa wymaga mianowania inspektora ochrony danych, gdy zakres przetwarzania przekroczy zdefiniowane progi — w tym wszelkie przetwarzanie danych osobowych na dużą skalę, co obejmuje większość wydawców wspieranych reklamami i operatorów SaaS.

Jak DPA traktuje pliki cookie i śledzenie online

DPA nie zawiera przepisu specyficznego dla plików cookie; obowiązki dotyczące zgody i informacji wynikają z Sections 25, 30 i 32 ustawy. ODPC 2024 Guidance Note dotycząca marketingu cyfrowego i reklamy behawioralnej sformułowała konkretne oczekiwania dotyczące śledzenia online, pod kątem których wydawcy obsługujący ruch kenijski muszą projektować swoje systemy.

Wyraźna zgoda na nieistotne pliki cookie

Stanowisko ODPC jest jednoznaczne: przewijanie jako zgoda i dalsze użytkowanie jako zgoda nie spełniają wymogów dobrowolności i jednoznaczności z Section 32. Wymagane jest wyraźne działanie afirmatywne w przypadku nieistotnych plików cookie. Interpretacja ta ściśle odpowiada stanowisku EDPB Cookie Banner Taskforce.

Szczegółowe kontrole kategorii

Wytyczne z 2024 roku są jednoznaczne: banery muszą umożliwiać użytkownikowi niezależne akceptowanie i odrzucanie kategorii. Łączne „Akceptuj wszystkie" bez równorzędnego „Odrzuć wszystkie" na tej samej powierzchni jest traktowane jako wada, podobnie jak błędne oznaczanie plików cookie analitycznych lub marketingowych jako ściśle niezbędnych.

Dane dzieci i zdolność do wyrażenia zgody

DPA traktuje podmioty danych poniżej 18 roku życia jako dzieci dla celów zgody, wymagając zgody rodzicielskiej do przetwarzania. W przypadku wydawców, których odbiorcy obejmują kenijskich nieletnich, ramy zgody na pliki cookie wymagają ścieżki uwzględniającej wiek, która nie zakłada pełnoletności.

Zasady transferów transgranicznych

Section 48 ustawy reguluje transfery poza Kenię. Transfery mogą być dokonywane na podstawie jednego z kilku mechanizmów: decyzji o odpowiednim stopniu ochrony wydanej przez Komisarza, odpowiednich zabezpieczeń (w tym standardowych klauzul umownych ODPC, wydanych w 2023 roku), wyraźnej zgody lub szczególnych odstępstw. ODPC był coraz bardziej jednoznaczny w kwestii tego, że „używamy Google Analytics" nie jest wystarczającą odpowiedzią na zapytanie o transfer transgraniczny; wydawca musi być w stanie wskazać rzeczywisty mechanizm autoryzujący przepływ danych.

Podejście ODPC do egzekwowania przepisów

ODPC jest najbardziej aktywnym afrykańskim organem regulacyjnym ds. ochrony danych od 2022 roku, zarówno pod względem bezwzględnej liczby spraw, jak i widoczności swoich działań. Trzy wzorce kształtują podejście do egzekwowania.

Wczesne widoczne kary finansowe

ODPC nałożył grzywny administracyjne na kilku operatorów fintech, cyfrowego pożyczania i biur kredytowych od 2022 roku, ustanawiając precedens dla środków pieniężnych na podstawie ustawy. Komunikacja wokół tych spraw była celowo publiczna, sygnalizując, że egzekwowanie jest realne, a nie tylko teoretyczne.

Sektorowe skupienie na fintech i kredytach

Sektor fintech i cyfrowych kredytów — który jest wyjątkowo duży w Kenii w stosunku do całkowitej gospodarki kraju — otrzymał najbardziej skoncentrowaną uwagę ODPC. Dla wydawców prowadzących biznesy wspierane reklamami skierowane do użytkowników fintech, atmosfera regulacyjna wokół odbiorców jest bardziej naładowana niż w wielu porównywalnych rynkach.

Koordynacja z regionalnymi organami regulacyjnymi

ODPC uczestniczy w African Network of Data Protection Authorities i utrzymuje relacje robocze z EDPB oraz nigeryjskim NDPC. Transgraniczne dochodzenia obejmujące ruch kenijski i europejski są prowadzone poprzez skoordynowane procedury.

Praktyczna lista kontrolna zgodności

Sześć konkretnych pytań, na które należy odpowiedzieć w przypadku każdego banera plików cookie obsługującego ruch kenijski.

• Czy administrator jest zarejestrowany w ODPC? Jeśli przetwarzanie przez wydawcę przekracza próg rejestracji, należy potwierdzić, że rejestracja jest aktualna, a certyfikat rejestracji jest w aktach.
• Czy istnieje wyraźne odrzucenie na pierwszej warstwie? Ścieżka odrzucenia musi znajdować się na tej samej powierzchni co akceptacja, z porównywalną widocznością.
• Czy kategorie są szczegółowe? Niezbędne, analityczne i marketingowe muszą być oddzielnie kontrolowane.
• Czy zapewniona jest ścieżka uwzględniająca wiek? W przypadku odbiorców, którzy mogą obejmować kenijskich nieletnich, przepływ zgody wymaga możliwej do obrony weryfikacji wieku lub kroku autoryzacji rodzicielskiej.
• Czy transfery transgraniczne są udokumentowane? Dla każdego miejsca przeznaczenia poza Kenią należy wskazać mechanizm z Section 48 autoryzujący transfer (odpowiedni stopień ochrony, ODPC SCCs, odstępstwo).
• Czy rejestrowanie zgody jest na poziomie audytu? Znacznik czasu, wersja banera, wybór i podstawa prawna muszą być możliwe do odtworzenia na żądanie.

Gdzie Kenya mieści się w stosie wielojurysdykcyjnym

Kenya jest jednym z czterech operacyjnie najważniejszych afrykańskich reżimów ochrony danych — obok Nigerii, RPA i wschodzącego systemu Egiptu — a jej przewaga z 2019 roku przełożyła się na najbardziej dojrzałe podejście egzekucyjne na kontynencie. Dla wydawców budujących pan-afrykańskie operacje, kenijska DPA jest wzorcem de facto, który nowsze przepisy regionalne przyjęły: wymogi rejestracyjne, obowiązkowi DPO powyżej progów, podstawy prawne w stylu GDPR oraz zasady transferów transgranicznych odzwierciedlające Chapter V GDPR z regionalnymi adaptacjami. Praca nad zgodnością dla Kenii jest zbliżona do europejskiego standardu, z trzema istotnymi uzupełnieniami: rejestracja ODPC, zdolność do wyrażenia zgody uwzględniająca wiek oraz specyficzne standardowe klauzule umowne ODPC dla transferów transgranicznych. Platforma zarządzania zgodami zbudowana zgodnie z europejskimi normami obsługuje większość pracy; kenijskie uzupełnienia to warstwy operacyjne na wierzchu, a nie architektoniczne przebudowy.