Conformité au Data Protection Act kenyan avec ConsentX

Qu'est-ce que le Data Protection Act kenyan ?

Le Data Protection Act n° 24 de 2019 met en œuvre les protections de la vie privée prévues à l'article 31 de la Constitution du Kenya.

La loi établit des règles pour le traitement des données personnelles et crée l'Office of the Data Protection Commissioner comme autorité indépendante de protection des données du Kenya. L'ODPC est chargé de superviser la mise en œuvre et l'application de la loi, de tenir le registre des responsables et sous-traitants, d'instruire les réclamations et d'exercer la surveillance réglementaire.

Le cadre kenyan est complété par des règlements et des orientations, dont :

• Data Protection (General) Regulations, 2021
• Data Protection (Registration of Data Controllers and Data Processors) Regulations, 2021
• Data Protection (Complaints Handling and Enforcement) Regulations, 2021
• Data Protection (Civil Registration) Regulations, 2020
• Orientations de l'ODPC sur le consentement
• Orientations de l'ODPC sur les AIPD
• Orientations de l'ODPC sur les transferts transfrontaliers
• Orientations sectorielles publiées par l'ODPC

Le DPA kenyan s'applique-t-il aux organisations hors du Kenya ?

Le cadre kenyan peut s'appliquer aux organisations traitant des données personnelles relatives à des personnes au Kenya, même lorsque l'organisation est située hors du Kenya, selon les circonstances et le champ territorial de la loi.

Les organisations servant des utilisateurs kenyans devraient donc évaluer si leurs activités relèvent du DPA et si elles ont des obligations d'enregistrement, de représentation, de transfert ou d'autres obligations de conformité.

Que sont les données personnelles selon le DPA kenyan ?

Les données personnelles désignent, au sens large, les informations se rapportant à une personne physique identifiée ou identifiable.

Par exemple :

• Le nom
• L'adresse e-mail
• Le numéro de téléphone
• Les informations d'identification
• Les données de localisation
• Les informations d'emploi
• Les informations financières
• Les identifiants en ligne
• Les informations de santé
• Les données biométriques
• Les informations familiales

Les organisations devraient évaluer les données sur l'ensemble du cycle de vie du traitement plutôt que de se concentrer uniquement sur les informations expressément désignées comme « données personnelles ».

Principes clés de la protection des données au Kenya

Le DPA kenyan exige que les données personnelles soient traitées conformément aux principes fondamentaux de protection des données.

Licite, loyal et transparent. Les organisations devraient traiter les données personnelles de manière licite et transparente à l'égard de la personne concernée.

Collectées pour des finalités déterminées. Les données devraient être collectées pour des finalités explicites, déterminées et légitimes et ne devraient pas ensuite être utilisées de manière incompatible.

Adéquates et pertinentes. Les organisations devraient limiter les données personnelles à ce qui est nécessaire à la finalité annoncée.

Exactes. Des mesures raisonnables devraient être prises pour que les données inexactes soient rectifiées ou effacées sans retard injustifié.

Soumises à une limitation de conservation. Les données personnelles ne devraient pas être conservées sous une forme identifiable au-delà de ce qui est nécessaire à la finalité de leur collecte.

Sécurisées. Des garanties techniques et organisationnelles appropriées doivent être utilisées pour protéger les données personnelles.

Ces principes constituent le socle du cadre kenyan de protection de la vie privée.

Bases légales du traitement des données personnelles au Kenya

Le consentement n'est pas la seule base de traitement des données personnelles dans le cadre kenyan.

Les organisations devraient identifier la base légale appropriée pour chaque activité de traitement. Selon les circonstances, le traitement peut être admis lorsqu'il est nécessaire à des finalités reconnues par la loi, y compris des motifs contractuels, légaux, réglementaires, d'intérêt public ou d'autres fondements légaux.

Lorsque le consentement est retenu, il doit satisfaire aux exigences du DPA et des règlements applicables.

Cette distinction est importante car les organisations ne devraient pas bâtir l'ensemble de leur programme de conformité sur le seul consentement.

Le consentement dans le Data Protection Act kenyan

Lorsque le consentement sert de base légale, le cadre kenyan exige qu'il soit significatif et éclairé.

Le consentement s'entend généralement d'une manifestation expresse, univoque, libre, spécifique et éclairée de la volonté de la personne concernée, par une déclaration ou un acte positif clair.

Les Data Protection (General) Regulations, 2021 imposent aux organisations recueillant un consentement de fournir des informations pertinentes, notamment :

• L'identité du responsable ou du sous-traitant
• La finalité de chaque activité de traitement
• Les types de données personnelles collectées
• Les informations pertinentes sur les décisions automatisées
• Les risques potentiels liés à certains transferts de données
• Le fait que les données seront ou non partagées avec des tiers
• Le droit de retirer le consentement
• Les conséquences de donner, refuser ou retirer le consentement

Un mécanisme de consentement conforme devrait généralement :

• Indiquer clairement ce à quoi la personne consent
• Employer un langage compréhensible
• Éviter toute contrainte
• Séparer le consentement des finalités sans lien
• Reposer sur un acte positif clair
• Permettre le retrait lorsque le consentement est la base légale
• Conserver la preuve de la décision de consentement

ConsentX peut aider les organisations à recueillir et conserver cette preuve pour les parcours de consentement numériques.

Retrait du consentement

Lorsque le traitement repose sur le consentement, les personnes devraient pouvoir le retirer.

Le retrait devrait être raisonnablement accessible et ne devrait pas exiger sensiblement plus d'efforts que le fait de consentir.

Les organisations devraient également veiller à ce que le retrait déclenche la réponse opérationnelle appropriée dans l'ensemble des systèmes et traitements connectés.

Données personnelles sensibles dans le DPA kenyan

Le Kenya prévoit une protection renforcée pour les données personnelles sensibles.

Le cadre législatif et réglementaire reconnaît des catégories incluant les informations relatives à :

• La santé
• La race
• L'origine ethnique ou sociale
• La conscience ou les convictions
• Les données génétiques
• Les données biométriques
• Les informations patrimoniales
• La situation matrimoniale
• Les informations familiales
• Le sexe
• L'orientation sexuelle

L'ODPC a également publié des orientations portant sur des catégories sensibles particulières telles que les données biométriques et les données de santé.

Les organisations traitant des données personnelles sensibles devraient évaluer :

• Si le traitement est légalement permis
• Si un consentement est requis
• Si une AIPD est nécessaire
• Les contrôles de sécurité
• Les restrictions d'accès
• Les durées de conservation
• Les modalités de partage des données
• Les exigences relatives aux transferts transfrontaliers

L'ODPC a par ailleurs publié en septembre 2026 un projet d'avis proposant des catégories supplémentaires de données personnelles sensibles. Ce document étant expressément présenté comme un projet, il ne devrait pas être traité comme du droit définitif tant qu'il n'est pas adopté.

Données personnelles des enfants

Le DPA kenyan prévoit des protections spécifiques pour les données personnelles des enfants.

Les organisations traitant des informations relatives à des enfants devraient évaluer :

• Si le consentement d'un parent ou tuteur est requis
• Si le traitement sert l'intérêt supérieur de l'enfant
• Si une vérification de l'âge est appropriée
• Si des garanties supplémentaires sont nécessaires
• Si le traitement porte sur des informations sensibles

L'ODPC a publié des orientations spécifiques sur le traitement des données des enfants.

Mentions d'information et transparence

Les organisations devraient fournir aux personnes concernées des informations appropriées sur la manière dont leurs données personnelles sont traitées.

Les mentions d'information devraient généralement expliquer :

• L'identité de l'organisation
• Les coordonnées
• Les finalités du traitement
• Les catégories de données personnelles
• La base légale le cas échéant
• Les destinataires ou catégories de destinataires
• Les informations de conservation
• Les transferts internationaux
• Les droits des personnes
• Les mécanismes de réclamation
• Les décisions automatisées pertinentes
• Les modalités de retrait du consentement le cas échéant

La transparence devrait être maintenue tout au long du cycle de vie du traitement, et pas uniquement lors de la collecte initiale.

Droits des personnes dans le DPA kenyan

Le cadre kenyan confère aux personnes une série de droits sur leurs données personnelles.

Droit d'être informé. Les personnes ont le droit de savoir comment leurs données personnelles sont utilisées.

Droit d'accès. Les personnes peuvent demander l'accès aux données personnelles détenues à leur sujet.

Droit de rectification. Les personnes peuvent demander la correction de données personnelles inexactes ou trompeuses.

Droit à l'effacement. Les personnes peuvent demander la suppression de données personnelles dans les cas prévus par la loi.

Droit d'opposition. Les personnes peuvent s'opposer à certaines activités de traitement.

Droit à la limitation du traitement. Le cadre reconnaît des restrictions au traitement dans les cas applicables.

Droit à la portabilité des données. Les personnes peuvent faire transférer leurs données personnelles entre responsables ou sous-traitants dans les cas prévus par la loi.

L'ODPC énumère expressément ces droits dans ses orientations publiques et ses documents de protection des données.

Demandes d'accès des personnes concernées (DSAR)

Les organisations devraient mettre en place un processus structuré de réception, de vérification, de suivi et de réponse aux demandes des personnes concernées.

Un processus de gestion des DSAR devrait comprendre :

• La réception de la demande
• La vérification d'identité
• La qualification de la demande
• La recherche interne des données
• L'examen des exemptions applicables
• La préparation de la réponse
• La transmission sécurisée
• La journalisation d'audit

ConsentX peut soutenir le flux de travail et la couche de preuve pour les demandes d'exercice de droits.

Analyse d'impact relative à la protection des données (AIPD)

L'analyse d'impact relative à la protection des données est un élément important du cadre kenyan fondé sur les risques.

Une AIPD devrait être envisagée lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.

Par exemple :

• Traitement de données sensibles à grande échelle
• Traitement biométrique
• Surveillance systématique
• Nouvelles technologies
• Profilage étendu
• Traitement automatisé à haut risque
• Traitement concernant des personnes vulnérables

L'ODPC a publié une note d'orientation dédiée aux AIPD et fournit des indications sur le moment et la manière de les réaliser.

Délégué à la protection des données (DPO)

Le DPA prévoit la désignation ou la nomination d'un délégué à la protection des données dans des cas déterminés.

Il s'agit notamment de situations impliquant :

• Des organismes publics, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle
• Un suivi régulier et systématique des personnes concernées à titre d'activité de base
• Le traitement de catégories sensibles de données personnelles à titre d'activité de base

Un DPO peut exercer d'autres responsabilités à condition qu'elles ne créent pas de conflit d'intérêts.

Les organisations devraient également publier les coordonnées du DPO et les communiquer au Data Commissioner lorsque cela est requis.

Sécurité des données dans le DPA kenyan

Les organisations doivent mettre en œuvre des garanties appropriées pour protéger les données personnelles contre des risques tels que :

• L'accès non autorisé
• La perte accidentelle
• La destruction
• L'altération
• La divulgation non autorisée
• Le traitement illicite

Les mesures de sécurité peuvent inclure :

• Le chiffrement
• Les contrôles d'accès
• L'authentification
• L'authentification multifacteur
• La sécurité réseau
• Le masquage des données
• La journalisation et la supervision
• La sauvegarde et la restauration
• La réponse aux incidents
• La formation des salariés
• Les contrôles sur les prestataires

Le portail d'enregistrement de l'ODPC demande lui-même aux organisations de fournir des informations sur leurs garanties techniques et organisationnelles.

Notification des violations de données au Kenya

Le Kenya établit des obligations spécifiques de notification des violations.

Lorsqu'une violation de données personnelles satisfait aux conditions légales, le responsable du traitement doit notifier le Data Commissioner sans délai et dans les 72 heures suivant la prise de connaissance de la violation.

Le responsable peut également devoir informer les personnes concernées dans un délai raisonnablement praticable, sous réserve des conditions et exceptions prévues par la loi.

Un sous-traitant qui prend connaissance d'une violation de données personnelles doit notifier le responsable concerné sans délai et, lorsque cela est raisonnablement possible, dans les 48 heures.

Un programme de réponse aux violations devrait donc comprendre :

• La détection de l'incident
• L'évaluation des risques
• La qualification de la violation
• L'escalade interne
• La notification au régulateur
• La notification aux personnes concernées le cas échéant
• La remédiation
• La documentation
• Le retour d'expérience post-incident

Transferts internationaux et transfrontaliers de données

Les données personnelles transférées hors du Kenya doivent satisfaire aux exigences du DPA et des règlements applicables.

Le cadre reconnaît notamment les mécanismes suivants :

• Des garanties adéquates de protection des données
• Des garanties appropriées
• Des transferts fondés sur la nécessité dans des cas déterminés
• Un consentement explicite le cas échéant

Lorsque le consentement est retenu pour un transfert international, la personne devrait être informée des risques potentiels et consentir explicitement au transfert envisagé. Des exigences supplémentaires s'appliquent aux données personnelles sensibles.

Les organisations devraient garder une visibilité sur :

• Les pays de destination
• Les destinataires à l'étranger
• Les catégories de données transférées
• La finalité du transfert
• Le mécanisme de transfert
• Les garanties contractuelles
• Les mesures de sécurité

Localisation des données et Kenya

Le cadre kenyan n'impose pas une obligation générale selon laquelle toutes les données personnelles devraient rester physiquement au Kenya.

Toutefois, les organisations peuvent avoir des obligations spécifiques selon la nature du traitement, le secteur, les données concernées et les exigences réglementaires applicables.

Des évaluations de transfert devraient donc être réalisées avant de déplacer des données personnelles vers un prestataire étranger.

Les documents de conformité actuels de l'ODPC demandent également aux organisations d'identifier les juridictions vers lesquelles les données sont transférées ou dans lesquelles elles sont stockées.

Sous-traitants et tiers

Les organisations restent responsables d'une gestion rigoureuse des relations de sous-traitance.

La gestion des prestataires devrait traiter :

• Les instructions de traitement
• La limitation des finalités
• La confidentialité
• La sécurité
• Les sous-traitants ultérieurs
• La conservation des données
• La suppression des données
• La notification des violations
• Les transferts internationaux
• Les demandes des personnes concernées
• L'assistance en matière d'audit et de conformité

Un accord écrit de traitement des données devrait répartir clairement les responsabilités entre responsables et sous-traitants.

Conservation et suppression des données

Les données personnelles ne devraient pas être conservées sous une forme identifiable plus longtemps que nécessaire au regard de la finalité de leur collecte.

Les organisations devraient maintenir :

• Des calendriers de conservation
• Des procédures de suppression
• Des règles d'archivage
• Des procédures de conservation légale
• Des flux de suppression automatisés
• Des enregistrements des suppressions le cas échéant

Les durées de conservation devraient être fondées sur la finalité du traitement et sur les exigences légales, réglementaires, contractuelles et opérationnelles applicables.

Marketing direct et communications électroniques

Les organisations utilisant des données personnelles à des fins de marketing direct devraient évaluer avec soin :

• La base légale du traitement
• Les exigences de transparence
• Les exigences de consentement le cas échéant
• Les mécanismes de désinscription
• La limitation des finalités
• Les pratiques de partage de données
• Les listes de suppression marketing

Les préférences marketing devraient être enregistrées et respectées dans tous les systèmes concernés.

Pour le marketing numérique, ConsentX peut aider les organisations à recueillir et documenter les préférences des utilisateurs et à gérer les signaux de consentement sur les sites web et les technologies connectées.

Cookies et suivi en ligne dans le DPA kenyan

Le DPA kenyan encadre le traitement des données personnelles, ce qui implique d'évaluer les cookies et traceurs en ligne selon qu'ils traitent ou non des données personnelles, et de quelle manière.

Les organisations devraient identifier :

• Les cookies analytiques
• Les cookies publicitaires
• Les pixels de réseaux sociaux
• Les technologies de reciblage
• Les identifiants d'appareil
• Les technologies d'empreinte numérique
• Les scripts tiers

Un bandeau cookies ne devrait pas se limiter à afficher un message. Les organisations devraient savoir quelles technologies sont actives, quelles informations elles collectent, la finalité du traitement et la base légale invoquée.

Lorsque le consentement est requis, le suivi non essentiel ne devrait pas être activé avant l'obtention d'un consentement valable.

Décisions automatisées et profilage

Les organisations utilisant des décisions automatisées ou du profilage devraient évaluer si le traitement produit des effets juridiques ou significatifs pour les personnes.

Les éléments à prendre en compte comprennent :

• La transparence
• La limitation des finalités
• La base légale
• La minimisation des données
• L'exactitude
• La supervision humaine
• La sécurité
• Les droits des personnes
• Les exigences d'AIPD

Les General Regulations imposent également de fournir les informations pertinentes sur les décisions automatisées lors du recueil du consentement, le cas échéant.

Protection de la vie privée dès la conception et par défaut

La protection de la vie privée devrait être intégrée aux systèmes et processus dès le départ plutôt qu'ajoutée après leur déploiement.

Les organisations devraient envisager :

• De ne collecter que les données nécessaires
• Des paramètres de confidentialité par défaut
• Un accès fondé sur les rôles
• Le chiffrement
• La minimisation des données
• Des limites de conservation
• Des contrôles du consentement
• Des journaux d'audit
• Une suppression sécurisée

Les documents d'évaluation de conformité de l'ODPC demandent expressément aux organisations de démontrer comment la protection dès la conception ou par défaut est mise en œuvre.

Enregistrement des responsables du traitement et des sous-traitants

L'enregistrement constitue une part importante du cadre kenyan de conformité.

Les Data Protection (Registration of Data Controllers and Data Processors) Regulations, 2021 fixent les exigences d'enregistrement, les exemptions, les procédures de demande, les certificats, les renouvellements et les obligations connexes.

Les organisations devraient déterminer si elles doivent s'enregistrer en tant que :

• Responsable du traitement
• Sous-traitant
• À la fois responsable et sous-traitant

L'ODPC tient un registre en ligne des entités enregistrées et met à disposition un portail d'enregistrement en ligne.

Les règlements prévoient une exemption pour certaines organisations situées sous des seuils déterminés de chiffre d'affaires ou de revenus et d'effectifs, mais cette exemption ne s'applique pas aux organisations traitant des données personnelles pour des catégories d'activités énumérées dans les règlements. Les organisations devraient donc évaluer à la fois :

• Leur taille et leur situation en termes d'effectifs ou de revenus
• La nature de leurs activités de traitement

Audits de conformité

Le Data Commissioner est habilité à réaliser des audits périodiques des processus et systèmes des responsables du traitement et des sous-traitants.

Les organisations devraient donc conserver des preuves de conformité plutôt que de s'appuyer uniquement sur des politiques écrites.

Parmi les preuves utiles :

• Les preuves de consentement
• Les mentions d'information
• Les cartographies de données
• Les registres de traitement
• Les AIPD
• Les contrats avec les prestataires
• Les mesures de sécurité
• Les registres de violations
• Les registres de DSAR
• Les calendriers de conservation
• Les registres de formation
• Les certificats d'enregistrement
• Les rapports d'audit

L'application de la loi par l'ODPC

L'Office of the Data Protection Commissioner (ODPC) est le principal régulateur kenyan en matière de protection des données.

Ses missions comprennent :

• L'application du DPA
• La tenue du registre des responsables et sous-traitants
• L'instruction des réclamations
• L'exercice de la surveillance
• La conduite d'enquêtes
• L'émission d'injonctions
• L'émission d'avis de sanction
• La publication d'orientations
• La protection des droits des personnes

L'ODPC met également à disposition des mécanismes permettant aux personnes de déposer des réclamations et aux organisations de signaler des violations de données.

Sanctions prévues par le Data Protection Act kenyan

Le Data Commissioner peut imposer des sanctions administratives en cas de manquement à la loi.

La sanction administrative maximale prévue à la section 63 peut atteindre 5 millions KES ou, pour une entreprise, jusqu'à 1 % de son chiffre d'affaires annuel de l'exercice précédent, le montant le plus faible étant retenu.

Le montant retenu dépend des circonstances et des critères légaux pris en compte par le Commissioner.

Les organisations peuvent également faire l'objet d'autres mesures d'exécution, et les personnes subissant un préjudice du fait d'un manquement peuvent avoir droit à une indemnisation au titre de la loi.

Liste de contrôle de conformité au DPA kenyan

Les organisations soumises au Data Protection Act kenyan devraient examiner la liste de contrôle suivante.

• Déterminer si le DPA s'applique
• Cartographier les activités de traitement de données personnelles
• Identifier les rôles de responsable et de sous-traitant
• Identifier les bases légales de traitement
• Revoir les mécanismes de consentement
• Fournir des mentions d'information appropriées
• Identifier les données personnelles sensibles
• Évaluer le traitement des données des enfants
• Déterminer si un enregistrement auprès de l'ODPC est requis
• Désigner un DPO lorsque cela est requis
• Mettre en œuvre des garanties de sécurité
• Établir une procédure de réponse aux violations
• Maintenir la capacité de notifier le régulateur en 72 heures
• Mettre en place l'escalade des violations du sous-traitant vers le responsable
• Réaliser des AIPD lorsque cela est requis
• Revoir les transferts internationaux de données
• Mettre en œuvre des procédures de conservation et de suppression
• Établir des flux de traitement des DSAR
• Tenir à jour les préférences marketing et les désinscriptions
• Revoir les décisions automatisées et le profilage
• Conserver les preuves d'audit
• Revoir régulièrement les politiques et procédures de confidentialité

Pourquoi la gestion du consentement est importante pour le Kenya

La gestion du consentement n'est qu'une partie de la conformité au DPA, mais elle devient particulièrement importante lorsqu'une organisation retient le consentement comme base légale.

Un système robuste de gestion du consentement peut aider les organisations à :

• Recueillir un consentement significatif
• Offrir des choix plus clairs
• Documenter le consentement
• Gérer les retraits
• Conserver l'historique des préférences
• Contrôler les traceurs du site
• Démontrer la conformité
• Faciliter les audits
• Coordonner les préférences de confidentialité entre juridictions

ConsentX est conçu pour fournir l'infrastructure technique de ces activités.