Cumplimiento de la Ley de Protección de Datos de Ghana

¿Qué es la Ley de Protección de Datos de Ghana?

La Data Protection Act, 2012 (Act 843) establece el marco jurídico de protección de los datos personales en Ghana. Regula la recopilación, el uso, la divulgación, la conservación, la seguridad y la destrucción de datos personales y aborda:

• Tratamiento lícito
• Minimización de datos
• Limitación de la finalidad
• Transparencia
• Calidad de los datos
• Seguridad
• Participación del interesado
• Registro
• Supervisión del tratamiento
• Tratamiento internacional
• Datos personales especiales
• Ejecución por el regulador

La Data Protection Commission es el regulador creado por la ley. Lleva el registro de responsables, supervisa el cumplimiento, investiga reclamaciones, ejerce potestades de ejecución y promueve la concienciación sobre protección de datos en Ghana.

El consentimiento es importante, pero la DPA de Ghana no es una ley basada solo en el consentimiento. El artículo 20 prevé el consentimiento y determinadas justificaciones alternativas, de modo que cada actividad de tratamiento debería apoyarse en la justificación que realmente le corresponde.

Responsables y encargados del tratamiento

Un responsable determina los fines y el modo en que se tratan los datos personales. Los responsables asumen la responsabilidad principal del cumplimiento, incluido el registro ante la DPC. Por ejemplo:

• Empresas de comercio electrónico
• Bancos y entidades financieras
• Compañías de seguros
• Empleadores
• Proveedores sanitarios
• Universidades y centros educativos
• Empresas de telecomunicaciones
• Empresas SaaS
• Empresas de marketing
• Instituciones públicas
• Plataformas en línea

Un encargado trata datos personales por cuenta de un responsable, siguiendo sus instrucciones. Por ejemplo:

• Proveedores de nube
• Proveedores de nóminas
• Plataformas CRM
• Proveedores de alojamiento
• Proveedores de analítica
• Plataformas de marketing
• Proveedores de atención al cliente

Ámbito territorial

La Act 843 se aplica a los responsables establecidos en Ghana que traten datos personales en Ghana. También puede aplicarse a responsables no establecidos en Ghana que utilicen equipos situados en Ghana, o un encargado que desarrolle su actividad en Ghana, para tratar datos personales, salvo cuando ello sirva únicamente al tránsito por Ghana.

El artículo 18 aborda además a los interesados extranjeros. Cuando datos personales procedentes de otra jurisdicción se envían a Ghana para su tratamiento, el responsable debe asegurarse de que se traten conforme a la legislación de protección de datos de esa jurisdicción extranjera.

Por ello, las organizaciones internacionales deberían valorar los requisitos ghaneses junto con las demás leyes de privacidad aplicables a sus interesados, sistemas y proveedores.

¿Qué son los datos personales en la Act 843?

Según la Act 843, son datos personales los datos sobre una persona que puede ser identificada a partir de ellos, o a partir de ellos junto con otra información que el responsable posea o sea probable que obtenga. Por ejemplo:

• Nombres
• Direcciones de correo electrónico
• Números de teléfono
• Números de identificación
• Información de cuentas
• Información laboral
• Información de ubicación
• Identificadores en línea
• Información financiera
• Información de salud
• Información biométrica o genética

Que un identificador técnico, como un identificador de cookie o de dispositivo, sea un dato personal depende de si puede vincularse en su contexto a una persona identificable.

Bases jurídicas del tratamiento

El artículo 20 establece que los datos personales no deberían tratarse sin el consentimiento previo del interesado, salvo que concurra otra justificación prevista. El consentimiento no es la única justificación. El tratamiento también puede apoyarse en:

• Necesidad contractual: tratamiento necesario para un contrato en el que el interesado es parte
• Autorización u obligación legal: tratamiento autorizado o exigido por la ley
• Protección de un interés legítimo del interesado: tratamiento destinado a proteger un interés legítimo del interesado
• Cumplimiento de un deber legal: tratamiento necesario para el correcto cumplimiento de un deber legal
• Intereses legítimos: tratamiento necesario para satisfacer el interés legítimo del responsable o de un tercero al que se comuniquen los datos

Las organizaciones deberían documentar la justificación invocada para cada actividad de tratamiento. Una justificación documentada muestra por qué el tratamiento está permitido, determina si debe recabarse y registrarse el consentimiento y orienta la gestión de las oposiciones y de las solicitudes de derechos.

Gestión del consentimiento

Cuando el consentimiento es la justificación aplicable, debería ser:

• Informado: basado en información clara sobre aquello que se acepta
• Voluntario: prestado libremente
• Libre de coacción: no obtenido mediante presión o penalización
• Específico: vinculado a finalidades definidas
• Comprensible: explicado en lenguaje claro
• Registrado con claridad: capturado en el momento en que se presta
• Demostrable: respaldado por pruebas que puedan aportarse después

Una interfaz digital de consentimiento debería comunicar:

• La identidad de la organización
• La finalidad de la recogida
• Las categorías de datos personales afectadas
• Cualquier comunicación a terceros
• Las finalidades de marketing y seguimiento
• Cómo pueden los usuarios gestionar sus preferencias

Retirada del consentimiento y oposición

La Act 843 reconoce a los interesados el derecho a oponerse al tratamiento de sus datos personales, cuando proceda, y el tratamiento debería cesar si la oposición es fundada. Cuando el tratamiento se basa en el consentimiento, las personas también deberían poder retirarlo.

Estos derechos solo funcionan si los procesos operativos los soportan. Las organizaciones deberían mantener:

• Registros de consentimiento
• Registros de oposiciones
• Mecanismos de retirada cuando el consentimiento es la base
• Actualización de preferencias
• Listas de supresión para mercadotecnia directa
• Propagación de los cambios de preferencias a todos los sistemas que usan los datos

Datos personales especiales

La Act 843 otorga protección reforzada a los datos personales especiales, que incluyen información sobre:

• Raza
• Color
• Origen étnico o tribal
• Opiniones políticas
• Creencias religiosas o similares
• Salud física
• Información médica
• Salud o estado mental
• ADN
• Orientación sexual
• Comisión o presunta comisión de un delito
• Procedimientos relativos a un delito
• Procedimientos penales o información sobre la condena

Antes de tratar datos personales especiales, las organizaciones deberían valorar:

• La justificación jurídica
• Los requisitos de consentimiento
• La seguridad
• Las restricciones de acceso
• La conservación
• La comunicación de datos
• Las transferencias internacionales
• Los requisitos de EIPD
• El posible impacto en las personas

Avisos de privacidad y transparencia

La transparencia es uno de los principios de la ley. Un aviso de privacidad debería explicar:

• La identidad del responsable
• Los datos de contacto
• La finalidad de la recogida
• Las categorías de datos personales recogidos
• Cómo se utilizará la información
• Los destinatarios de los datos
• Los derechos de los interesados
• La mercadotecnia directa
• Las transferencias internacionales
• La conservación
• Los mecanismos de reclamación, incluido el derecho a reclamar ante la DPC

Derechos de los interesados

La Act 843 reconoce a las personas derechos sobre sus datos personales. Cada derecho se aplica cuando proceda y con sujeción a las condiciones legales.

• Derecho a ser informado: las personas deberían conocer la recogida de sus datos personales, la finalidad de la recogida y los demás aspectos que hacen transparente el tratamiento.
• Derecho de acceso: las personas pueden pedir a un responsable que confirme si posee sus datos personales y que facilite una descripción de esos datos, con sujeción a la verificación de identidad y a las condiciones de la ley.
• Derecho de rectificación: las personas pueden solicitar la corrección de datos personales inexactos, irrelevantes, excesivos, desactualizados, incompletos o engañosos.
• Derecho al bloqueo, la supresión o la destrucción: cuando proceda, las personas pueden solicitar el bloqueo, la supresión o la destrucción de datos personales, incluidos los que el responsable ya no está autorizado a conservar o los que son inexactos.
• Derecho de oposición: las personas pueden oponerse al tratamiento de sus datos personales y a un tratamiento que probablemente les cause un daño o una angustia injustificados, con sujeción a las condiciones legales.
• Derecho relativo a la mercadotecnia directa: las personas pueden exigir a un responsable que cese, o que no inicie, el tratamiento de sus datos personales con fines de mercadotecnia directa.
• Derecho a indemnización: quien sufra un daño o una angustia por una infracción de la ley puede tener derecho a indemnización, con sujeción a las condiciones legales.

Solicitudes de acceso de los interesados

Un flujo práctico para gestionar solicitudes de acceso y de otros derechos:

• Recepción de la solicitud: recibir las solicitudes por canales definidos y registrar cada una.
• Verificación de identidad: confirmar que quien solicita es el interesado o un representante autorizado.
• Clasificación de la solicitud: determinar qué derecho se está ejerciendo.
• Búsqueda de datos: localizar los datos personales pertinentes en los sistemas y en los proveedores.
• Revisión de excepciones e información de terceros: comprobar las excepciones legales y proteger los datos de otras personas.
• Preparación de la respuesta: elaborar una respuesta clara y exacta.
• Entrega segura: enviar la respuesta por un canal seguro.
• Conservación de registros: guardar constancia de la solicitud, la decisión y la respuesta.

ConsentX puede apoyar los flujos de solicitudes de privacidad organizando la recepción, siguiendo el estado y conservando los registros. El software no determina el resultado jurídico; las decisiones sobre excepciones y respuestas siguen siendo de la organización.

Mercadotecnia directa

La Act 843 permite a las personas exigir a un responsable que cese, o que no inicie, el tratamiento de sus datos personales con fines de mercadotecnia directa. Esto afecta a:

• Marketing por correo electrónico
• Marketing por SMS
• Publicidad
• Otros canales de marketing
• Preferencias de marketing
• Registros de consentimientos y exclusiones
• Listas de supresión para mercadotecnia directa

La gestión de preferencias de ConsentX ayuda a las organizaciones a recoger las decisiones de marketing, conservar registros de consentimientos y exclusiones y trasladar las preferencias actualizadas a los sistemas conectados para que los contactos suprimidos no reciban comunicaciones.

Decisiones automatizadas

El tratamiento automatizado, incluida la elaboración de perfiles, plantea cuestiones específicas de privacidad:

• Transparencia
• Finalidad
• Calidad de los datos
• Equidad
• Seguridad
• Intervención humana cuando resulte adecuada
• Posible impacto en las personas
• Tratamientos de alto riesgo

La elaboración de perfiles y las decisiones automatizadas pueden justificar una EIPD, según el tratamiento y los requisitos aplicables.

Evaluaciones de impacto en la protección de datos

Una evaluación de impacto en la protección de datos (EIPD) es una valoración proactiva de los riesgos para la privacidad. Identifica cómo puede afectar una actividad de tratamiento a las personas y qué medidas reducen esos riesgos antes de que comience el tratamiento.

Una EIPD puede ser pertinente para:

• Nuevas actividades de tratamiento
• Nuevas tecnologías
• Cambios significativos en tratamientos existentes
• Datos personales especiales
• Elaboración de perfiles
• Decisiones automatizadas
• Tratamientos que presentan riesgos significativos para las personas

Data Protection Supervisor

El artículo 58 prevé que el responsable designe a una persona certificada y cualificada como Data Protection Supervisor para supervisar el cumplimiento de la ley por parte del responsable.

Un Data Protection Supervisor eficaz debería contar con:

• Certificación y cualificación para el puesto
• Responsabilidad sobre la supervisión del cumplimiento
• Formación adecuada
• Autoridad suficiente dentro de la organización
• Los conocimientos y recursos necesarios para desempeñar el puesto

Seguridad de los datos

Los responsables deberían adoptar medidas técnicas y organizativas adecuadas y razonables para proteger los datos personales frente a:

• Acceso no autorizado
• Divulgación no autorizada
• Pérdida accidental
• Destrucción
• Alteración
• Uso indebido
• Tratamiento ilícito

Entre las medidas prácticas figuran:

• Cifrado
• Controles de acceso
• Autenticación
• Autenticación multifactor
• Seguridad de red
• Copias de seguridad seguras
• Registro y supervisión
• Prevención de fuga de datos
• Formación del personal
• Controles sobre proveedores
• Respuesta a incidentes

Gestión de brechas de datos

Un proceso práctico de respuesta a brechas:

• Detección del incidente
• Contención
• Evaluación del riesgo
• Identificación de los datos afectados
• Evaluación de las personas afectadas
• Notificación al regulador cuando sea exigible
• Comunicación a las personas cuando sea exigible
• Subsanación
• Documentación
• Revisión posterior al incidente

La Act 843 no establece un plazo universal de 72 horas para notificar brechas. Las organizaciones deberían valorar si, conforme a la ley vigente, procede notificar a la DPC y comunicar a las personas afectadas.

Los plazos de notificación del proyecto de Data Protection Bill, 2025 son solo propuestas. No deberían tratarse como obligaciones vigentes salvo que una legislación de sustitución entre formalmente en vigor.

Registro ante la DPC

Los responsables suelen tener que registrarse ante la Data Protection Commission antes de tratar datos personales. Una solicitud de registro puede incluir:

• Denominación y dirección de la empresa
• Información del representante
• Una descripción de los datos personales tratados
• Categorías de personas
• Datos personales especiales
• Finalidades del tratamiento
• Destinatarios previstos
• Países a los que pueden transferirse los datos
• Categorías de personas cuyos datos se conservan
• Una descripción general de las medidas de seguridad

Conforme a la Act 843, tratar datos personales sin registrarse como responsable es un delito, castigado en procedimiento sumario con multa, prisión o ambas, según lo previsto en la ley. Las organizaciones deberían confirmar la sanción aplicable con sus asesores jurídicos.

Tratamientos sujetos a evaluación

La Act 843 incluye un marco de tratamientos sujetos a evaluación. Los tratamientos que puedan causar un daño o una angustia sustanciales a un interesado, o perjudicar significativamente sus derechos de privacidad, pueden quedar sometidos a una revisión adicional por la DPC.

Las organizaciones que planeen tratamientos de alto riesgo deberían valorar si este marco resulta aplicable antes de iniciarlos.

Transferencias internacionales de datos

Antes de transferir datos personales fuera de Ghana, las organizaciones deberían valorar los requisitos aplicables, entre ellos:

• Países de destino
• Destinatarios en el extranjero
• Categorías de datos
• Finalidades de la transferencia
• Garantías de seguridad
• Protecciones contractuales
• Leyes de privacidad extranjeras aplicables

La información de registro ante la DPC incluye los países a los que un responsable pretende transferir datos personales, por lo que los acuerdos de transferencia y los datos del registro deberían mantenerse alineados.

Conservación y supresión de datos

La conservación debería vincularse a la finalidad para la que se recogieron los datos personales y a los requisitos legales aplicables. Un programa de conservación debería cubrir:

• Plazos de conservación
• Procedimientos de supresión
• Archivo
• Retenciones por motivos legales
• Supresión automatizada cuando resulte adecuada
• Destrucción segura
• Revisiones periódicas de la conservación

Encargados y proveedores

Los responsables siguen respondiendo de los datos personales que terceros traten por su cuenta. Los contratos con proveedores deberían regular:

• Instrucciones de tratamiento
• Limitación de la finalidad
• Confidencialidad
• Seguridad
• Subencargados
• Conservación
• Supresión
• Gestión de incidentes
• Solicitudes de los interesados
• Transferencias internacionales
• Asistencia en el cumplimiento

Privacidad desde el diseño

La privacidad es más fácil de lograr cuando se incorpora a los productos y procesos desde el principio. Prácticas útiles:

• Minimización de datos
• Limitación de la finalidad
• Configuraciones por defecto respetuosas con la privacidad
• Controles de acceso
• Cifrado
• Límites de conservación
• Controles del consentimiento
• Registros de auditoría
• Supresión segura

Cookies y seguimiento en línea

La Act 843 regula el tratamiento de datos personales. No crea una regla universal y uniforme sobre cookies. Los sitios web y las aplicaciones suelen utilizar:

• Cookies esenciales
• Cookies analíticas
• Cookies publicitarias
• Píxeles de redes sociales
• Tecnologías de retargeting
• Personalización
• Identificadores de dispositivo
• Scripts de terceros

Las organizaciones deberían determinar si cada tecnología de seguimiento trata datos personales y, cuando así sea, identificar la justificación adecuada conforme a la ley.

Consentimiento de cookies y bloqueo previo de scripts

Cuando el consentimiento es la base jurídica aplicable al seguimiento, los siguientes controles ayudan a que ese consentimiento sea real:

• Avisos de consentimiento claros
• Opciones por finalidad
• Categorías opcionales no preseleccionadas
• Bloqueo previo de los rastreadores afectados
• Retirada del consentimiento
• Gestión de preferencias
• Registros de consentimiento
• Seguimiento de versiones de la política

ConsentX facilita la aplicación técnica de estas decisiones. El bloqueo previo de scripts impide que los rastreadores afectados se ejecuten antes de que el visitante haya consentido, y la gestión de preferencias permite cambiar las opciones en cualquier momento.

Seguimiento del cumplimiento y auditorías

Las organizaciones deberían poder acreditar su cumplimiento, por ejemplo con:

• El registro ante la DPC
• Los avisos de privacidad
• Los registros de consentimiento
• Los mapas de datos
• Los inventarios de tratamientos
• Las EIPD
• Las evaluaciones de seguridad
• Los contratos con proveedores
• Los registros de brechas
• Las solicitudes de los interesados
• Las preferencias de marketing
• Los calendarios de conservación
• Los registros de formación
• La documentación del Data Protection Supervisor

Actuación de la DPC

La Data Protection Commission de Ghana es responsable de:

• La supervisión regulatoria
• El registro de responsables
• Las investigaciones
• Las reclamaciones
• El seguimiento del cumplimiento
• La ejecución
• Las directrices
• La formación
• La concienciación

La Commission puede investigar reclamaciones, realizar inspecciones y emitir requerimientos que obliguen a las organizaciones a adoptar medidas para cumplir la ley.

Infracciones y sanciones de la Act 843

La Act 843 contiene infracciones específicas con sus propias sanciones. No existe un máximo único aplicable a todas ellas. La ley distingue entre:

• Falta de registro: tratar datos personales sin registrarse como responsable tiene su propia sanción en la ley
• Incumplimiento de determinados requerimientos: no atender requerimientos concretos de la Commission tiene su propia sanción
• Otras infracciones legales: las demás infracciones previstas en la ley conllevan las sanciones específicamente previstas para ellas
• Sanción general del artículo 95: cuando no se prevé una sanción específica, quien comete la infracción responde en procedimiento sumario con una multa de hasta cinco mil unidades de sanción, una pena de prisión de hasta diez años, o ambas

Las organizaciones deberían comprobar la sanción asociada a cada disposición concreta, en lugar de presumir que se aplica el máximo del artículo 95.

Proyecto de Ley de Protección de Datos de Ghana de 2025

El Data Protection Bill, 2025 es un proyecto de sustitución de la Act 843.

• El proyecto es una propuesta y no debe tratarse como derecho vigente.
• La Act 843 sigue siendo el marco de protección de datos vigente en Ghana.
• Las organizaciones deberían seguir la evolución legislativa.
• Las revisiones de cumplimiento deberían actualizarse si una legislación de sustitución entra formalmente en vigor.

Por qué importa la gestión del consentimiento en Ghana

La gestión del consentimiento es una pieza del marco de privacidad de Ghana, junto con el registro, la seguridad, los derechos de los interesados y la gobernanza. Cuando se invoca el consentimiento, las organizaciones deberían poder demostrar:

• Qué se informó al usuario
• La finalidad que aceptó el usuario
• Cuándo se prestó el consentimiento
• Qué categorías se seleccionaron
• Qué aviso de privacidad se mostró
• Si el consentimiento se retiró después
• Cómo se aplicaron las preferencias

ConsentX conecta estas preguntas con controles técnicos: el bloqueo previo de scripts aplica las decisiones, los registros y los recibos de consentimiento conservan la prueba, y el seguimiento de versiones de la política vincula cada decisión con el aviso que vio el usuario.

Lista de comprobación de cumplimiento de la DPA de Ghana

Use esta lista de comprobación como punto de partida de su programa de cumplimiento:

• Determinar si se aplica la Act 843
• Identificar los roles de responsable y encargado
• Mapear el tratamiento de datos personales
• Identificar las justificaciones lícitas
• Revisar los mecanismos de consentimiento
• Facilitar avisos de privacidad
• Identificar los datos personales especiales
• Valorar el tratamiento de datos de menores
• Registrarse como responsable cuando sea exigible
• Revisar los requisitos del Data Protection Supervisor
• Implantar medidas de seguridad
• Establecer la respuesta a incidentes
• Revisar los requisitos de EIPD
• Valorar las transferencias internacionales
• Fijar reglas de conservación y supresión
• Implantar procedimientos para solicitudes de los interesados
• Mantener las preferencias de mercadotecnia directa
• Revisar las decisiones automatizadas
• Mantener los contratos con proveedores
• Conservar la evidencia de cumplimiento
• Seguir el proyecto de ley de 2025