الامتثال لقانون حماية البيانات الكيني مع ConsentX

ما هو قانون حماية البيانات الكيني؟

يُنفّذ قانون حماية البيانات رقم 24 لسنة 2019 ضمانات الخصوصية الواردة في المادة 31 من دستور كينيا.

يضع القانون قواعد لمعالجة البيانات الشخصية وينشئ مكتب مفوّض حماية البيانات بوصفه الجهة التنظيمية المستقلة لحماية البيانات في كينيا. ويتولى المكتب الإشراف على تنفيذ القانون وإنفاذه، ومسك سجل مراقبي البيانات ومعالجيها، والتحقيق في الشكاوى، وممارسة الرقابة التنظيمية.

ويُستكمل الإطار الكيني بلوائح وإرشادات تنظيمية، من بينها:

• لائحة حماية البيانات (العامة) لسنة 2021
• لائحة حماية البيانات (تسجيل مراقبي البيانات ومعالجي البيانات) لسنة 2021
• لائحة حماية البيانات (معالجة الشكاوى والإنفاذ) لسنة 2021
• لائحة حماية البيانات (السجل المدني) لسنة 2020
• إرشادات مكتب مفوّض حماية البيانات بشأن الموافقة
• إرشادات المكتب بشأن تقييمات أثر حماية البيانات
• إرشادات المكتب بشأن نقل البيانات عبر الحدود
• الإرشادات القطاعية الصادرة عن المكتب

هل ينطبق القانون الكيني على المؤسسات خارج كينيا؟

قد ينطبق الإطار الكيني على المؤسسات التي تعالج بيانات شخصية تتعلق بأفراد داخل كينيا حتى لو كانت المؤسسة نفسها موجودة خارج كينيا، وذلك تبعًا للظروف وللنطاق الإقليمي للقانون.

ولذلك ينبغي للمؤسسات التي تخدم مستخدمين كينيين تقييم ما إذا كانت أنشطتها تقع ضمن نطاق القانون، وما إذا كانت تترتب عليها التزامات بالتسجيل أو بتعيين ممثل أو بشأن عمليات النقل أو غير ذلك من التزامات الامتثال.

ما هي البيانات الشخصية بموجب القانون الكيني؟

تشير البيانات الشخصية بوجه عام إلى المعلومات المتعلقة بشخص طبيعي محدد الهوية أو يمكن تحديد هويته.

ومن الأمثلة على ذلك:

• الاسم
• عنوان البريد الإلكتروني
• رقم الهاتف
• معلومات تحديد الهوية
• معلومات الموقع الجغرافي
• معلومات التوظيف
• المعلومات المالية
• المعرّفات الإلكترونية
• المعلومات الصحية
• المعلومات البيومترية
• معلومات الأسرة

وينبغي للمؤسسات تقييم البيانات عبر دورة حياة المعالجة كاملةً بدل الاكتفاء بالتركيز على المعلومات الموصوفة صراحةً بأنها «بيانات شخصية».

المبادئ الأساسية لحماية البيانات في كينيا

يشترط القانون الكيني معالجة البيانات الشخصية وفقًا لمبادئ حماية البيانات الجوهرية.

المشروعية والإنصاف والشفافية. ينبغي للمؤسسات معالجة البيانات الشخصية بصورة مشروعة وشفافة تجاه صاحب البيانات.

الجمع لأغراض محددة. ينبغي جمع البيانات لأغراض صريحة ومحددة ومشروعة، وألا تُستخدم لاحقًا على نحو يتعارض معها.

الكفاية والصلة. ينبغي للمؤسسات قصر البيانات الشخصية على ما هو ضروري للغرض المعلن.

الدقة. ينبغي اتخاذ خطوات معقولة لضمان تصحيح البيانات الشخصية غير الدقيقة أو محوها دون تأخير لا مبرر له.

تحديد مدة الحفظ. لا ينبغي الاحتفاظ بالبيانات الشخصية في صورة تسمح بتحديد الهوية لمدة أطول مما يلزم للغرض الذي جُمعت من أجله.

الأمن. يجب استخدام ضمانات تقنية وتنظيمية مناسبة لحماية البيانات الشخصية.

وتشكّل هذه المبادئ أساس إطار الخصوصية في كينيا.

الأسس القانونية لمعالجة البيانات الشخصية في كينيا

الموافقة ليست الأساس الوحيد لمعالجة البيانات الشخصية في الإطار الكيني.

وينبغي للمؤسسات تحديد الأساس القانوني المناسب لكل نشاط معالجة. وبحسب الظروف، قد تُجاز المعالجة متى كانت ضرورية لأغراض يعترف بها القانون، بما في ذلك الأسس التعاقدية أو القانونية أو التنظيمية أو المتعلقة بالمصلحة العامة أو غيرها من الأسس المقررة قانونًا.

وعند الاعتماد على الموافقة، يجب أن تستوفي هذه الموافقة متطلبات القانون واللوائح المنطبقة.

وهذا التمييز مهم لأن المؤسسات ينبغي ألا تبني برنامج الخصوصية لديها بالكامل حول الموافقة وحدها.

الموافقة بموجب قانون حماية البيانات الكيني

عند استخدام الموافقة أساسًا قانونيًا، يشترط الإطار الكيني أن تكون الموافقة ذات معنى وقائمة على معرفة كافية.

وتُفهم الموافقة عمومًا بأنها تعبير صريح لا لبس فيه وحر ومحدد ومبني على معرفة عن إرادة صاحب البيانات من خلال بيان أو إجراء إيجابي واضح.

وتُلزم لائحة حماية البيانات (العامة) لسنة 2021 المؤسسات التي تطلب الموافقة بتقديم معلومات ذات صلة تشمل:

• هوية المراقب أو المعالج
• الغرض من كل نشاط معالجة
• أنواع البيانات الشخصية التي يجري جمعها
• المعلومات ذات الصلة باتخاذ القرارات الآلية
• المخاطر المحتملة المرتبطة ببعض عمليات نقل البيانات
• ما إذا كانت البيانات ستُشارك مع أطراف ثالثة
• الحق في سحب الموافقة
• الآثار المترتبة على منح الموافقة أو الامتناع عنها أو سحبها

وينبغي لآلية الموافقة المتوافقة مع المتطلبات أن تتضمن عمومًا ما يلي:

• تحديد ما يوافق عليه الفرد بوضوح
• استخدام لغة مفهومة
• تجنّب الإكراه
• فصل الموافقة عن الأغراض غير ذات الصلة
• استخدام إجراء إيجابي واضح
• إتاحة السحب متى كانت الموافقة هي الأساس القانوني
• الاحتفاظ بدليل على قرار الموافقة

ويمكن أن يساعد ConsentX المؤسسات على التقاط هذا الدليل والاحتفاظ به في رحلات الموافقة الرقمية.

سحب الموافقة

متى كانت المعالجة قائمة على الموافقة، ينبغي أن يتمكن الأفراد من سحبها.

وينبغي أن يكون السحب متاحًا بصورة معقولة وألا يتطلب جهدًا أكبر بكثير من الجهد اللازم لمنح الموافقة.

كما ينبغي للمؤسسات ضمان أن يؤدي السحب إلى الاستجابة التشغيلية المناسبة عبر الأنظمة المرتبطة وأنشطة المعالجة كافة.

البيانات الشخصية الحساسة بموجب القانون الكيني

توفّر كينيا حماية إضافية للبيانات الشخصية الحساسة.

ويعترف الإطار التشريعي والتنظيمي بفئات تشمل المعلومات المتعلقة بما يلي:

• الصحة
• العِرق
• الأصل الإثني أو الاجتماعي
• الضمير أو المعتقدات
• البيانات الجينية
• البيانات البيومترية
• تفاصيل الممتلكات
• الحالة الاجتماعية
• تفاصيل الأسرة
• الجنس
• الميل الجنسي

كما أصدر مكتب مفوّض حماية البيانات إرشادات تتناول فئات محددة من البيانات الحساسة، مثل المعلومات البيومترية والبيانات الصحية.

وينبغي للمؤسسات التي تعالج بيانات شخصية حساسة تقييم ما يلي:

• ما إذا كانت المعالجة مجازة قانونًا
• ما إذا كانت الموافقة مطلوبة
• ما إذا كان تقييم أثر حماية البيانات لازمًا
• الضوابط الأمنية
• قيود الوصول
• مدد الحفظ
• ترتيبات مشاركة البيانات
• متطلبات النقل عبر الحدود

كما نشر المكتب في سبتمبر 2026 مشروع إشعار يقترح فئات إضافية من البيانات الشخصية الحساسة. ولأن هذه الوثيقة موصوفة صراحةً بأنها مشروع، فلا ينبغي التعامل معها بوصفها قانونًا نهائيًا ما لم تُعتمد.

البيانات الشخصية للأطفال

ينصّ القانون الكيني على حماية خاصة للبيانات الشخصية للأطفال.

وينبغي للمؤسسات التي تعالج معلومات الأطفال تقييم ما يلي:

• ما إذا كانت موافقة الوالدين أو الوصي مطلوبة
• ما إذا كانت المعالجة تحقق المصلحة الفضلى للطفل
• ما إذا كان التحقق من العمر مناسبًا
• ما إذا كانت هناك حاجة إلى ضمانات إضافية
• ما إذا كانت المعالجة تشمل معلومات حساسة

وقد نشر مكتب مفوّض حماية البيانات إرشادات خاصة بشأن معالجة بيانات الأطفال.

إشعارات الخصوصية والشفافية

ينبغي للمؤسسات تزويد أصحاب البيانات بمعلومات مناسبة عن كيفية معالجة بياناتهم الشخصية.

وينبغي لإشعارات الخصوصية أن توضح عمومًا ما يلي:

• هوية المؤسسة
• بيانات التواصل
• أغراض المعالجة
• فئات البيانات الشخصية
• الأساس القانوني عند الاقتضاء
• المستلمون أو فئات المستلمين
• معلومات الحفظ
• عمليات النقل الدولية
• حقوق أصحاب البيانات
• آليات تقديم الشكاوى
• القرارات الآلية ذات الصلة
• كيفية سحب الموافقة عند الاقتضاء

وينبغي الحفاظ على الشفافية طوال دورة حياة المعالجة، لا عند الجمع الأولي فحسب.

حقوق أصحاب البيانات بموجب القانون الكيني

يمنح الإطار الكيني الأفراد مجموعة من الحقوق المتعلقة ببياناتهم الشخصية.

الحق في الإبلاغ. للأفراد الحق في معرفة كيفية استخدام بياناتهم الشخصية.

الحق في الاطلاع. يمكن للأفراد طلب الاطلاع على البيانات الشخصية المحتفظ بها عنهم.

الحق في التصحيح. يمكن للأفراد طلب تصحيح البيانات الشخصية غير الدقيقة أو المضللة.

الحق في المحو. يمكن للأفراد طلب حذف البيانات الشخصية في الحالات التي ينص عليها القانون.

الحق في الاعتراض. يجوز للأفراد الاعتراض على بعض أنشطة المعالجة.

الحق في تقييد المعالجة. يعترف الإطار بتقييد المعالجة في الحالات المنطبقة.

الحق في قابلية نقل البيانات. يمكن للأفراد نقل بياناتهم الشخصية بين المراقبين أو المعالجين في الحالات التي يحددها القانون.

ويورد مكتب مفوّض حماية البيانات هذه الحقوق صراحةً في إرشاداته العامة وموادّه المتعلقة بحماية البيانات.

طلبات اطلاع أصحاب البيانات (DSAR)

ينبغي للمؤسسات إرساء عملية منظمة لتلقي طلبات أصحاب البيانات والتحقق منها وتتبعها والرد عليها.

وينبغي أن تشمل عملية إدارة طلبات الاطلاع ما يلي:

• استلام الطلب
• التحقق من الهوية
• تصنيف الطلب
• البحث الداخلي عن البيانات
• مراجعة الاستثناءات المنطبقة
• إعداد الرد
• التسليم الآمن
• تسجيل سجلات التدقيق

ويمكن أن يدعم ConsentX سير العمل وطبقة الأدلة الخاصة بطلبات ممارسة الحقوق.

تقييم أثر حماية البيانات (DPIA)

يمثّل تقييم أثر حماية البيانات جزءًا مهمًا من إطار الامتثال القائم على المخاطر في كينيا.

وينبغي النظر في إجراء التقييم متى كان من المرجّح أن تؤدي المعالجة إلى مخاطر عالية على حقوق الأفراد وحرياتهم.

ومن الأمثلة المحتملة:

• معالجة البيانات الحساسة على نطاق واسع
• المعالجة البيومترية
• المراقبة المنهجية
• التقنيات الجديدة
• التنميط الواسع
• المعالجة الآلية عالية المخاطر
• المعالجة التي تشمل فئات ضعيفة

وقد نشر مكتب مفوّض حماية البيانات مذكرة إرشادية مخصصة لتقييم أثر حماية البيانات، ويقدّم توجيهات بشأن توقيت إجراء التقييمات وكيفيته.

مسؤول حماية البيانات (DPO)

ينصّ القانون على تسمية أو تعيين مسؤول لحماية البيانات في حالات محددة.

وتشمل هذه الحالات ما يلي:

• الجهات العامة، باستثناء المحاكم عند ممارستها لاختصاصها القضائي
• المراقبة المنتظمة والمنهجية لأصحاب البيانات بوصفها نشاطًا أساسيًا
• معالجة الفئات الحساسة من البيانات الشخصية بوصفها نشاطًا أساسيًا

ويجوز لمسؤول حماية البيانات أداء مهام أخرى شريطة ألا تنشأ عنها حالة تضارب في المصالح.

كما ينبغي للمؤسسات نشر بيانات التواصل مع مسؤول حماية البيانات وإبلاغها إلى مفوّض حماية البيانات عند الاقتضاء.

أمن البيانات بموجب القانون الكيني

يجب على المؤسسات تطبيق ضمانات مناسبة لحماية البيانات الشخصية من مخاطر مثل:

• الوصول غير المصرح به
• الفقدان العرضي
• الإتلاف
• التعديل
• الإفصاح غير المصرح به
• المعالجة غير المشروعة

وقد تشمل الضوابط الأمنية ما يلي:

• التشفير
• ضوابط الوصول
• التحقق من الهوية
• المصادقة متعددة العوامل
• أمن الشبكات
• إخفاء البيانات
• التسجيل والمراقبة
• النسخ الاحتياطي والاستعادة
• الاستجابة للحوادث
• تدريب الموظفين
• ضوابط المورّدين

وتطلب بوابة التسجيل التابعة لمكتب مفوّض حماية البيانات نفسها من المؤسسات تقديم معلومات عن ضماناتها التقنية والتنظيمية.

الإخطار باختراق البيانات في كينيا

تفرض كينيا التزامات محددة بالإخطار عن الاختراقات.

فمتى استوفى اختراق البيانات الشخصية المتطلبات القانونية، وجب على مراقب البيانات إخطار مفوّض حماية البيانات دون تأخير وخلال 72 ساعة من علمه بالاختراق.

وقد يلزم المراقب أيضًا التواصل مع أصحاب البيانات المتأثرين خلال مدة ممكنة عمليًا بصورة معقولة، وفقًا للشروط والاستثناءات المنصوص عليها في القانون.

ويجب على معالج البيانات الذي يعلم بوقوع اختراق للبيانات الشخصية إخطار مراقب البيانات المعني دون تأخير، وخلال 48 ساعة متى كان ذلك ممكنًا عمليًا.

ولذلك ينبغي أن يتضمن برنامج الاستجابة للاختراقات ما يلي:

• اكتشاف الحادث
• تقييم المخاطر
• تصنيف الاختراق
• التصعيد الداخلي
• إخطار الجهة التنظيمية
• إخطار أصحاب البيانات عند الاقتضاء
• المعالجة التصحيحية
• التوثيق
• المراجعة اللاحقة للحادث

عمليات نقل البيانات الدولية وعبر الحدود

يجب أن تستوفي البيانات الشخصية المنقولة خارج كينيا متطلبات القانون واللوائح المنطبقة.

ويعترف الإطار بآليات تشمل ما يلي:

• ضمانات كافية لحماية البيانات
• الضمانات المناسبة
• عمليات النقل القائمة على الضرورة في حالات محددة
• الموافقة الصريحة عند الاقتضاء

وعند الاعتماد على الموافقة في عملية نقل دولية، ينبغي إبلاغ الفرد بالمخاطر المحتملة والحصول على موافقته الصريحة على النقل المقترح. وتنطبق متطلبات إضافية على البيانات الشخصية الحساسة.

وينبغي للمؤسسات الحفاظ على وضوح الرؤية بشأن ما يلي:

• دول الوجهة
• المستلمون في الخارج
• فئات البيانات المنقولة
• الغرض من النقل
• آلية النقل
• الضمانات التعاقدية
• الضوابط الأمنية

توطين البيانات وكينيا

لا يفرض الإطار الكيني اشتراطًا عامًا ببقاء جميع البيانات الشخصية داخل كينيا ماديًا.

غير أنه قد تترتب على المؤسسات التزامات محددة تبعًا لطبيعة المعالجة والقطاع والبيانات المعنية والمتطلبات التنظيمية المنطبقة.

ولذلك ينبغي إجراء تقييمات لنقل البيانات قبل نقل البيانات الشخصية إلى مزوّد في الخارج.

كما تطلب المواد الحالية للامتثال الصادرة عن مكتب مفوّض حماية البيانات من المؤسسات تحديد الولايات القضائية التي تُنقل إليها البيانات أو تُخزَّن فيها.

معالجو البيانات والأطراف الثالثة

تظل المؤسسات مسؤولة عن الإدارة الدقيقة لترتيبات المعالجة مع الأطراف الثالثة.

وينبغي أن تتناول إدارة المورّدين ما يلي:

• تعليمات المعالجة
• تحديد الغرض
• السرية
• الأمن
• المعالجون من الباطن
• حفظ البيانات
• حذف البيانات
• الإخطار بالاختراقات
• عمليات النقل الدولية
• طلبات أصحاب البيانات
• المساعدة في التدقيق والامتثال

وينبغي أن يوزّع اتفاق معالجة البيانات المكتوب المسؤوليات بوضوح بين المراقبين والمعالجين.

حفظ البيانات وحذفها

لا ينبغي الاحتفاظ بالبيانات الشخصية في صورة تسمح بتحديد الهوية لمدة أطول مما يلزم للغرض الذي جُمعت من أجله.

وينبغي للمؤسسات الاحتفاظ بما يلي:

• جداول حفظ البيانات
• إجراءات الحذف
• قواعد الأرشفة
• إجراءات الحجز القانوني
• مسارات الحذف الآلي
• سجلات الحذف عند الاقتضاء

وينبغي تحديد مدد الحفظ استنادًا إلى الغرض من المعالجة وإلى المتطلبات القانونية والتنظيمية والتعاقدية والتشغيلية المنطبقة.

التسويق المباشر والاتصالات الإلكترونية

ينبغي للمؤسسات التي تستخدم البيانات الشخصية في التسويق المباشر تقييم ما يلي بعناية:

• الأساس القانوني للمعالجة
• متطلبات الشفافية
• متطلبات الموافقة عند الاقتضاء
• آليات إلغاء الاشتراك
• تحديد الغرض
• ممارسات مشاركة البيانات
• قوائم استبعاد التسويق

وينبغي تسجيل تفضيلات التسويق واحترامها عبر الأنظمة ذات الصلة.

وفي التسويق الرقمي، يمكن أن يساعد ConsentX المؤسسات على التقاط تفضيلات المستخدمين وتوثيقها وإدارة إشارات الموافقة عبر المواقع الإلكترونية والتقنيات المرتبطة بها.

ملفات تعريف الارتباط والتتبع الإلكتروني بموجب القانون الكيني

ينظّم القانون الكيني معالجة البيانات الشخصية، ما يعني أن ملفات تعريف الارتباط وأدوات التتبع الإلكتروني ينبغي تقييمها بحسب ما إذا كانت تعالج بيانات شخصية وكيفية ذلك.

وينبغي للمؤسسات تحديد ما يلي:

• ملفات تعريف الارتباط التحليلية
• ملفات تعريف الارتباط الإعلانية
• بكسلات وسائل التواصل الاجتماعي
• تقنيات إعادة الاستهداف
• معرّفات الأجهزة
• تقنيات البصمة الرقمية
• النصوص البرمجية للأطراف الثالثة

ولا ينبغي أن يقتصر شريط ملفات تعريف الارتباط على عرض رسالة. إذ ينبغي للمؤسسات معرفة التقنيات النشطة، والمعلومات التي تجمعها، والغرض من المعالجة، والأساس القانوني الذي تستند إليه.

ومتى كانت الموافقة مطلوبة، لا ينبغي تفعيل أدوات التتبع غير الضرورية قبل الحصول على موافقة صحيحة.

اتخاذ القرارات الآلية والتنميط

ينبغي للمؤسسات التي تستخدم اتخاذ القرارات الآلية أو التنميط تقييم ما إذا كانت المعالجة تُحدث آثارًا قانونية أو آثارًا جوهرية على الأفراد.

وتشمل الاعتبارات ذات الصلة ما يلي:

• الشفافية
• تحديد الغرض
• الأساس القانوني
• تقليل البيانات
• الدقة
• الإشراف البشري
• الأمن
• حقوق أصحاب البيانات
• متطلبات تقييم أثر حماية البيانات

كما تشترط اللائحة العامة تقديم المعلومات ذات الصلة باتخاذ القرارات الآلية عند طلب الموافقة متى كان ذلك منطبقًا.

الخصوصية بالتصميم وبالإعداد الافتراضي

ينبغي دمج الخصوصية في الأنظمة والعمليات منذ البداية بدل إضافتها بعد التشغيل.

وينبغي للمؤسسات النظر في ما يلي:

• جمع البيانات الضرورية فقط
• إعدادات الخصوصية الافتراضية
• الوصول القائم على الأدوار
• التشفير
• تقليل البيانات
• حدود الحفظ
• ضوابط الموافقة
• سجلات التدقيق
• الحذف الآمن

وتطلب مواد تقييم الامتثال الصادرة عن مكتب مفوّض حماية البيانات من المؤسسات تحديدًا بيان كيفية تطبيق الخصوصية بالتصميم أو بالإعداد الافتراضي.

تسجيل مراقبي البيانات ومعالجيها

يمثّل التسجيل جزءًا مهمًا من إطار الامتثال في كينيا.

وتحدد لائحة حماية البيانات (تسجيل مراقبي البيانات ومعالجي البيانات) لسنة 2021 متطلبات التسجيل والاستثناءات وإجراءات التقديم والشهادات والتجديد والالتزامات ذات الصلة.

وينبغي للمؤسسات تحديد ما إذا كان يلزمها التسجيل بصفتها:

• مراقب بيانات
• معالج بيانات
• مراقبًا ومعالجًا معًا

ويمسك مكتب مفوّض حماية البيانات سجلًا إلكترونيًا للجهات المسجلة المتعاملة مع البيانات، ويوفّر بوابة إلكترونية للتسجيل.

وتنصّ اللائحة على استثناء لبعض المؤسسات التي تقل عن عتبات محددة من حيث حجم الأعمال أو الإيرادات وعدد الموظفين، غير أن هذا الاستثناء لا ينطبق على المؤسسات التي تعالج بيانات شخصية لفئات الأنشطة المحددة في اللائحة. ولذلك ينبغي للمؤسسات تقييم الأمرين معًا:

• حجمها ووضعها من حيث عدد الموظفين أو الإيرادات
• طبيعة أنشطة المعالجة لديها

عمليات تدقيق الامتثال

يملك مفوّض حماية البيانات صلاحية إجراء عمليات تدقيق دورية لعمليات وأنظمة مراقبي البيانات ومعالجيها.

ولذلك ينبغي للمؤسسات الاحتفاظ بأدلة على الامتثال بدل الاعتماد على السياسات المكتوبة وحدها.

ومن الأدلة المفيدة ما يلي:

• سجلات الموافقة
• إشعارات الخصوصية
• خرائط البيانات
• سجلات أنشطة المعالجة
• تقييمات أثر حماية البيانات
• اتفاقيات المورّدين
• الضوابط الأمنية
• سجلات الاختراقات
• سجلات طلبات أصحاب البيانات
• جداول الحفظ
• سجلات التدريب
• شهادات التسجيل
• تقارير التدقيق

الإنفاذ من جانب مكتب مفوّض حماية البيانات

مكتب مفوّض حماية البيانات (ODPC) هو الجهة التنظيمية الرئيسية لحماية البيانات في كينيا.

وتشمل مهامه ما يلي:

• إنفاذ قانون حماية البيانات
• مسك سجل المراقبين والمعالجين
• التحقيق في الشكاوى
• ممارسة الرقابة
• إجراء التحقيقات
• إصدار إشعارات الإنفاذ
• إصدار إشعارات الغرامات
• تقديم الإرشادات التنظيمية
• حماية حقوق أصحاب البيانات

كما يوفّر المكتب آليات تتيح للأفراد تقديم الشكاوى وللمؤسسات الإبلاغ عن اختراقات البيانات.

الجزاءات بموجب قانون حماية البيانات الكيني

يجوز لمفوّض حماية البيانات فرض غرامات إدارية على مخالفات القانون.

والحد الأقصى للغرامة الإدارية بموجب المادة 63 هو حتى 5 ملايين شلن كيني أو، بالنسبة للمنشأة، حتى 1% من إجمالي إيراداتها السنوية في السنة المالية السابقة، أيهما أقل.

ويتوقف مقدار الغرامة في كل حالة على الظروف وعلى العوامل القانونية التي يأخذها المفوّض في الاعتبار.

وقد تواجه المؤسسات تدابير إنفاذ أخرى، كما قد يكون للأفراد الذين لحقهم ضرر نتيجة المخالفة حق في التعويض بموجب القانون.

قائمة التحقق من الامتثال لقانون حماية البيانات الكيني

ينبغي للمؤسسات العاملة في ظل قانون حماية البيانات الكيني النظر في قائمة التحقق التالية.

• تحديد ما إذا كان القانون منطبقًا
• رسم خريطة أنشطة معالجة البيانات الشخصية
• تحديد أدوار المراقب والمعالج
• تحديد الأسس القانونية للمعالجة
• مراجعة آليات الموافقة
• تقديم إشعارات خصوصية مناسبة
• تحديد البيانات الشخصية الحساسة
• تقييم معالجة بيانات الأطفال
• تحديد ما إذا كان التسجيل لدى المكتب مطلوبًا
• تعيين مسؤول لحماية البيانات عند الاقتضاء
• تطبيق ضمانات أمنية
• إرساء إجراء للاستجابة للاختراقات
• الحفاظ على القدرة على إخطار الجهة التنظيمية خلال 72 ساعة
• إرساء آلية تصعيد الاختراقات من المعالج إلى المراقب
• إجراء تقييمات أثر حماية البيانات عند الاقتضاء
• مراجعة عمليات نقل البيانات الدولية
• تطبيق إجراءات الحفظ والحذف
• إرساء مسارات عمل لطلبات أصحاب البيانات
• الحفاظ على تفضيلات التسويق وخيارات إلغاء الاشتراك
• مراجعة اتخاذ القرارات الآلية والتنميط
• الاحتفاظ بأدلة التدقيق
• مراجعة سياسات الخصوصية وإجراءاتها بانتظام

لماذا تهمّ إدارة الموافقة في كينيا

إدارة الموافقة ليست سوى جزء من الامتثال للقانون، لكنها تصبح مهمة بوجه خاص عندما تعتمد المؤسسة على الموافقة أساسًا قانونيًا لها.

ويمكن لنظام قوي لإدارة الموافقة أن يساعد المؤسسات على ما يلي:

• الحصول على موافقة ذات معنى
• تقديم خيارات أوضح
• توثيق الموافقة
• إدارة عمليات السحب
• الاحتفاظ بسجل التفضيلات
• التحكم في أدوات التتبع على الموقع
• إثبات الامتثال
• دعم عمليات التدقيق
• تنسيق تفضيلات الخصوصية عبر الولايات القضائية

وقد صُمّم ConsentX ليوفّر البنية التقنية اللازمة لهذه الأنشطة.