Conformidade com a Lei de Proteção de Dados do Quênia com a ConsentX

O que é a Lei de Proteção de Dados do Quênia?

A Lei de Proteção de Dados n.º 24 de 2019 dá efeito às proteções de privacidade previstas no artigo 31 da Constituição do Quênia.

A lei estabelece regras para o tratamento de dados pessoais e cria o Escritório do Comissário de Proteção de Dados como autoridade independente de proteção de dados do Quênia. O ODPC é responsável por supervisionar a implementação e a aplicação da lei, manter o registro de controladores e operadores, investigar reclamações e exercer a supervisão regulatória.

O marco queniano é complementado por regulamentos e orientações regulatórias, entre eles:

• Regulamento Geral de Proteção de Dados, de 2021
• Regulamento de Registro de Controladores e Operadores de Dados, de 2021
• Regulamento de Tratamento de Reclamações e Execução, de 2021
• Regulamento de Proteção de Dados no Registro Civil, de 2020
• Orientações do ODPC sobre consentimento
• Orientações do ODPC sobre RIPD
• Orientações do ODPC sobre transferências internacionais de dados
• Orientações setoriais publicadas pelo ODPC

A DPA do Quênia se aplica a organizações fora do Quênia?

O marco queniano pode se aplicar a organizações que tratem dados pessoais relativos a pessoas no Quênia mesmo quando a própria organização esteja situada fora do Quênia, conforme as circunstâncias e o âmbito territorial da lei.

Assim, as organizações que atendem usuários quenianos devem avaliar se suas atividades se enquadram na DPA e se possuem obrigações de registro, de representação, de transferência ou outras obrigações de conformidade.

O que são dados pessoais segundo a DPA do Quênia?

Dados pessoais referem-se, de modo amplo, a informações relativas a uma pessoa natural identificada ou identificável.

Exemplos incluem:

• Nome
• Endereço de e-mail
• Número de telefone
• Informações de identificação
• Informações de localização
• Informações de emprego
• Informações financeiras
• Identificadores on-line
• Informações de saúde
• Informações biométricas
• Informações familiares

As organizações devem avaliar os dados em todo o ciclo de vida do tratamento, em vez de focar apenas nas informações explicitamente rotuladas como “dados pessoais”.

Princípios fundamentais da proteção de dados no Quênia

A DPA do Quênia exige que os dados pessoais sejam tratados de acordo com os princípios essenciais de proteção de dados.

Lícitos, leais e transparentes. As organizações devem tratar os dados pessoais de forma lícita e transparente em relação ao titular.

Coletados para finalidades determinadas. Os dados devem ser coletados para finalidades explícitas, determinadas e legítimas e não devem ser posteriormente usados de forma incompatível.

Adequados e pertinentes. As organizações devem limitar os dados pessoais ao necessário para a finalidade declarada.

Exatos. Devem ser adotadas medidas razoáveis para que dados pessoais inexatos sejam corrigidos ou eliminados sem demora indevida.

Sujeitos à limitação do prazo de conservação. Os dados pessoais não devem ser mantidos em forma identificável por mais tempo do que o necessário para a finalidade para a qual foram coletados.

Seguros. Devem ser utilizadas salvaguardas técnicas e organizacionais adequadas para proteger os dados pessoais.

Esses princípios formam a base do marco de privacidade do Quênia.

Bases legais para o tratamento de dados pessoais no Quênia

O consentimento não é a única base para o tratamento de dados pessoais no marco queniano.

As organizações devem identificar a base legal adequada para cada atividade de tratamento. Conforme as circunstâncias, o tratamento pode ser permitido quando necessário para finalidades reconhecidas pela lei, incluindo fundamentos contratuais, legais, regulatórios, de interesse público ou outros previstos na norma.

Quando o consentimento é utilizado, ele deve atender aos requisitos da DPA e dos regulamentos aplicáveis.

Essa distinção é importante porque as organizações não devem estruturar todo o seu programa de privacidade apenas em torno do consentimento.

O consentimento na Lei de Proteção de Dados do Quênia

Quando o consentimento é usado como base legal, o marco queniano exige que ele seja significativo e informado.

O consentimento é geralmente entendido como uma manifestação expressa, inequívoca, livre, específica e informada da vontade do titular por meio de uma declaração ou de um ato afirmativo claro.

O Regulamento Geral de Proteção de Dados, de 2021, exige que as organizações que solicitam consentimento forneçam informações pertinentes, incluindo:

• Identidade do controlador ou do operador
• Finalidade de cada atividade de tratamento
• Tipos de dados pessoais coletados
• Informações pertinentes sobre decisões automatizadas
• Riscos potenciais associados a determinadas transferências de dados
• Se os dados serão compartilhados com terceiros
• Direito de retirar o consentimento
• Consequências de conceder, negar ou retirar o consentimento

Um mecanismo de consentimento em conformidade deve, em geral:

• Identificar com clareza aquilo com que a pessoa está concordando
• Usar linguagem compreensível
• Evitar coerção
• Separar o consentimento de finalidades não relacionadas
• Usar um ato afirmativo claro
• Permitir a retirada quando o consentimento for a base legal
• Manter evidência da decisão de consentimento

A ConsentX pode ajudar as organizações a capturar e preservar essa evidência nas jornadas digitais de consentimento.

Retirada do consentimento

Quando o tratamento se baseia no consentimento, as pessoas devem poder retirá-lo.

A retirada deve ser razoavelmente acessível e não deve exigir esforço substancialmente maior do que o de conceder o consentimento.

As organizações também devem garantir que a retirada acione a resposta operacional adequada em todos os sistemas conectados e atividades de tratamento.

Dados pessoais sensíveis na DPA do Quênia

O Quênia confere proteção adicional aos dados pessoais sensíveis.

O marco legal e regulamentar reconhece categorias que incluem informações relativas a:

• Saúde
• Raça
• Origem étnica ou social
• Consciência ou crenças
• Dados genéticos
• Dados biométricos
• Detalhes patrimoniais
• Estado civil
• Dados familiares
• Sexo
• Orientação sexual

O ODPC também publicou orientações sobre categorias específicas de dados sensíveis, como informações biométricas e dados de saúde.

As organizações que tratam dados pessoais sensíveis devem avaliar:

• Se o tratamento é legalmente permitido
• Se é necessário consentimento
• Se é necessário um RIPD
• Controles de segurança
• Restrições de acesso
• Prazos de conservação
• Acordos de compartilhamento de dados
• Requisitos de transferência internacional

O ODPC também publicou, em setembro de 2026, uma minuta de aviso propondo categorias adicionais de dados pessoais sensíveis. Como esse documento é expressamente identificado como minuta, ele não deve ser tratado como norma definitiva enquanto não for adotado.

Dados pessoais de crianças

A DPA do Quênia prevê proteções específicas para os dados pessoais de crianças.

As organizações que tratam informações de crianças devem avaliar:

• Se é necessário o consentimento dos pais ou responsáveis
• Se o tratamento atende ao melhor interesse da criança
• Se a verificação de idade é apropriada
• Se são necessárias salvaguardas adicionais
• Se o tratamento envolve informações sensíveis

O ODPC publicou orientações específicas sobre o tratamento de dados de crianças.

Avisos de privacidade e transparência

As organizações devem fornecer aos titulares informações adequadas sobre como seus dados pessoais são tratados.

Os avisos de privacidade devem, em geral, explicar:

• Identidade da organização
• Dados de contato
• Finalidades do tratamento
• Categorias de dados pessoais
• Base legal quando aplicável
• Destinatários ou categorias de destinatários
• Informações sobre conservação
• Transferências internacionais
• Direitos dos titulares
• Mecanismos de reclamação
• Decisões automatizadas pertinentes
• Como o consentimento pode ser retirado, quando aplicável

A transparência deve ser mantida ao longo de todo o ciclo de vida do tratamento, e não apenas na coleta inicial.

Direitos dos titulares na DPA do Quênia

O marco queniano confere às pessoas uma série de direitos sobre seus dados pessoais.

Direito à informação. As pessoas têm o direito de saber como seus dados pessoais estão sendo usados.

Direito de acesso. As pessoas podem solicitar acesso aos dados pessoais mantidos a seu respeito.

Direito de retificação. As pessoas podem solicitar a correção de dados pessoais inexatos ou enganosos.

Direito de eliminação. As pessoas podem solicitar a exclusão de dados pessoais nas circunstâncias previstas em lei.

Direito de oposição. As pessoas podem se opor a determinadas atividades de tratamento.

Direito à limitação do tratamento. O marco reconhece restrições ao tratamento nas circunstâncias aplicáveis.

Direito à portabilidade dos dados. As pessoas podem ter seus dados pessoais transferidos entre controladores ou operadores nas circunstâncias previstas em lei.

O ODPC enumera expressamente esses direitos em suas orientações públicas e materiais de proteção de dados.

Solicitações de acesso dos titulares (DSARs)

As organizações devem estabelecer um processo estruturado para receber, verificar, acompanhar e responder às solicitações dos titulares.

Um processo de gestão de DSAR deve incluir:

• Recebimento da solicitação
• Verificação de identidade
• Classificação da solicitação
• Busca interna de dados
• Análise das exceções aplicáveis
• Preparação da resposta
• Entrega segura
• Registro de auditoria

A ConsentX pode apoiar o fluxo de trabalho e a camada de evidências das solicitações de direitos.

Relatório de Impacto à Proteção de Dados (RIPD)

O Relatório de Impacto à Proteção de Dados é uma parte importante do marco de conformidade baseado em risco do Quênia.

Um RIPD deve ser considerado quando o tratamento provavelmente resultar em alto risco aos direitos e liberdades das pessoas.

Exemplos podem incluir:

• Tratamento de dados sensíveis em larga escala
• Tratamento biométrico
• Monitoramento sistemático
• Novas tecnologias
• Definição de perfis em larga escala
• Tratamento automatizado de alto risco
• Tratamento que envolve pessoas vulneráveis

O ODPC publicou uma nota de orientação específica sobre RIPD e fornece diretrizes sobre quando e como as avaliações devem ser conduzidas.

Encarregado de Proteção de Dados (DPO)

A DPA prevê a designação ou nomeação de um Encarregado de Proteção de Dados em circunstâncias específicas.

Entre elas estão situações que envolvem:

• Órgãos públicos, exceto tribunais no exercício de sua função judicial
• Monitoramento regular e sistemático de titulares como atividade principal
• Tratamento de categorias sensíveis de dados pessoais como atividade principal

Um DPO pode desempenhar outras funções, desde que não gerem conflito de interesses.

As organizações também devem divulgar os dados de contato do DPO e comunicá-los ao Comissário de Dados quando exigido.

Segurança de dados na DPA do Quênia

As organizações devem implementar salvaguardas adequadas para proteger os dados pessoais contra riscos como:

• Acesso não autorizado
• Perda acidental
• Destruição
• Alteração
• Divulgação não autorizada
• Tratamento ilícito

Os controles de segurança podem incluir:

• Criptografia
• Controles de acesso
• Autenticação
• Autenticação multifator
• Segurança de rede
• Mascaramento de dados
• Registro de logs e monitoramento
• Backup e recuperação
• Resposta a incidentes
• Treinamento de colaboradores
• Controles sobre fornecedores

O próprio portal de registro do ODPC solicita que as organizações informem suas salvaguardas técnicas e organizacionais.

Notificação de incidentes de dados no Quênia

O Quênia estabelece obrigações específicas de notificação de incidentes.

Quando um incidente com dados pessoais atende aos requisitos legais, o controlador deve notificar o Comissário de Dados sem demora e no prazo de 72 horas a contar do conhecimento do incidente.

O controlador também pode precisar comunicar-se com os titulares afetados em prazo razoavelmente praticável, observadas as condições e exceções previstas na lei.

O operador que tomar conhecimento de um incidente com dados pessoais deve notificar o controlador correspondente sem demora e, quando razoavelmente praticável, no prazo de 48 horas.

Portanto, um programa de resposta a incidentes deve incluir:

• Detecção do incidente
• Avaliação de risco
• Classificação do incidente
• Escalonamento interno
• Notificação ao regulador
• Notificação aos titulares quando necessário
• Remediação
• Documentação
• Revisão pós-incidente

Transferências internacionais e transfronteiriças de dados

Os dados pessoais transferidos para fora do Quênia devem atender aos requisitos da DPA e dos regulamentos aplicáveis.

O marco reconhece mecanismos que incluem:

• Salvaguardas adequadas de proteção de dados
• Salvaguardas apropriadas
• Transferências baseadas na necessidade em circunstâncias determinadas
• Consentimento explícito quando aplicável

Quando uma transferência internacional se basear no consentimento, a pessoa deve ser informada dos riscos potenciais e consentir explicitamente com a transferência proposta. Requisitos adicionais se aplicam aos dados pessoais sensíveis.

As organizações devem manter visibilidade sobre:

• Países de destino
• Destinatários no exterior
• Categorias de dados transferidos
• Finalidade da transferência
• Mecanismo de transferência
• Salvaguardas contratuais
• Controles de segurança

Localização de dados e o Quênia

O marco queniano não impõe uma exigência geral de que todos os dados pessoais permaneçam fisicamente dentro do Quênia.

Contudo, as organizações podem ter obrigações específicas conforme a natureza do tratamento, o setor, os dados envolvidos e os requisitos regulatórios aplicáveis.

Por isso, avaliações de transferência de dados devem ser realizadas antes de mover dados pessoais para um provedor no exterior.

Os materiais de conformidade vigentes do ODPC também pedem que as organizações identifiquem as jurisdições para as quais os dados são transferidos ou nas quais são armazenados.

Operadores de dados e terceiros

As organizações continuam responsáveis por gerenciar cuidadosamente os arranjos de tratamento com terceiros.

A gestão de fornecedores deve abordar:

• Instruções de tratamento
• Limitação da finalidade
• Confidencialidade
• Segurança
• Suboperadores
• Conservação de dados
• Eliminação de dados
• Notificação de incidentes
• Transferências internacionais
• Solicitações dos titulares
• Apoio a auditorias e à conformidade

Um acordo escrito de tratamento de dados deve distribuir com clareza as responsabilidades entre controladores e operadores.

Conservação e eliminação de dados

Os dados pessoais não devem ser mantidos em forma identificável por mais tempo do que o necessário para a finalidade para a qual foram coletados.

As organizações devem manter:

• Cronogramas de conservação de dados
• Procedimentos de eliminação
• Regras de arquivamento
• Procedimentos de retenção legal
• Fluxos de eliminação automatizada
• Registros de eliminação quando apropriado

Os prazos de conservação devem basear-se na finalidade do tratamento e nos requisitos legais, regulatórios, contratuais e operacionais aplicáveis.

Marketing direto e comunicações eletrônicas

As organizações que usam dados pessoais para marketing direto devem avaliar cuidadosamente:

• A base legal do tratamento
• Os requisitos de transparência
• Os requisitos de consentimento quando aplicáveis
• Os mecanismos de descadastramento
• A limitação da finalidade
• As práticas de compartilhamento de dados
• As listas de supressão de marketing

As preferências de marketing devem ser registradas e respeitadas em todos os sistemas pertinentes.

Para o marketing digital, a ConsentX pode ajudar as organizações a capturar e documentar as preferências dos usuários e a gerenciar sinais de consentimento nos sites e nas tecnologias conectadas.

Cookies e rastreamento on-line na DPA do Quênia

A DPA do Quênia regula o tratamento de dados pessoais, o que significa que cookies e rastreadores on-line devem ser avaliados conforme tratem ou não dados pessoais e de que maneira.

As organizações devem identificar:

• Cookies de analytics
• Cookies de publicidade
• Pixels de redes sociais
• Tecnologias de retargeting
• Identificadores de dispositivo
• Tecnologias de fingerprinting
• Scripts de terceiros

Um banner de cookies não deve apenas exibir uma mensagem. As organizações devem saber quais tecnologias estão ativas, que informações coletam, a finalidade do tratamento e a base legal utilizada.

Quando o consentimento for exigido, o rastreamento não essencial não deve ser ativado antes da obtenção de consentimento válido.

Decisões automatizadas e definição de perfis

As organizações que utilizam decisões automatizadas ou definição de perfis devem avaliar se o tratamento produz efeitos jurídicos ou significativos para as pessoas.

As considerações pertinentes incluem:

• Transparência
• Limitação da finalidade
• Base legal
• Minimização de dados
• Exatidão
• Supervisão humana
• Segurança
• Direitos dos titulares
• Requisitos de RIPD

O Regulamento Geral também exige que informações pertinentes sobre decisões automatizadas sejam fornecidas ao solicitar o consentimento, quando aplicável.

Privacidade desde a concepção e por padrão

A privacidade deve ser incorporada aos sistemas e processos desde o início, em vez de ser acrescentada após a implantação.

As organizações devem considerar:

• Coletar apenas os dados necessários
• Configurações de privacidade padrão
• Acesso baseado em funções
• Criptografia
• Minimização de dados
• Limites de conservação
• Controles de consentimento
• Logs de auditoria
• Eliminação segura

Os materiais de avaliação de conformidade do ODPC pedem expressamente que as organizações demonstrem como implementam a privacidade desde a concepção ou por padrão.

Registro de controladores e operadores de dados

O registro é uma parte relevante do marco de conformidade do Quênia.

O Regulamento de Registro de Controladores e Operadores de Dados, de 2021, estabelece os requisitos de registro, as isenções, os procedimentos de solicitação, os certificados, as renovações e as obrigações correlatas.

As organizações devem determinar se são obrigadas a se registrar como:

• Controlador de dados
• Operador de dados
• Controlador e operador ao mesmo tempo

O ODPC mantém um registro on-line dos agentes de dados registrados e oferece um portal de registro on-line.

O regulamento prevê isenção para determinadas organizações abaixo de certos limiares de faturamento ou receita e de número de empregados, mas a isenção não se aplica às organizações que tratem dados pessoais para as categorias de atividades especificadas no regulamento. Por isso, as organizações devem avaliar ambos os aspectos:

• Seu porte e sua posição quanto a empregados ou receita
• A natureza de suas atividades de tratamento

Auditorias de conformidade

O Comissário de Dados tem competência para realizar auditorias periódicas dos processos e sistemas de controladores e operadores de dados.

Por isso, as organizações devem manter evidências de conformidade em vez de confiar apenas em políticas escritas.

Evidências úteis incluem:

• Registros de consentimento
• Avisos de privacidade
• Mapas de dados
• Registros de atividades de tratamento
• RIPDs
• Contratos com fornecedores
• Controles de segurança
• Registros de incidentes
• Registros de DSAR
• Cronogramas de conservação
• Registros de treinamento
• Certificados de registro
• Relatórios de auditoria

Fiscalização pelo ODPC

O Escritório do Comissário de Proteção de Dados (ODPC) é o principal regulador de proteção de dados do Quênia.

Suas funções incluem:

• Fazer cumprir a DPA
• Manter o registro de controladores e operadores
• Investigar reclamações
• Exercer supervisão
• Conduzir investigações
• Emitir notificações de execução
• Emitir notificações de penalidade
• Fornecer orientações regulatórias
• Proteger os direitos dos titulares

O ODPC também disponibiliza mecanismos para que as pessoas apresentem reclamações e para que as organizações comuniquem incidentes de dados.

Sanções previstas na Lei de Proteção de Dados do Quênia

O Comissário de Dados pode aplicar sanções administrativas por infrações à lei.

A sanção administrativa máxima prevista na seção 63 é de até 5 milhões de KES ou, para uma empresa, até 1% de seu faturamento anual no exercício anterior, o que for menor.

O valor de cada sanção depende das circunstâncias e dos fatores legais considerados pelo Comissário.

As organizações também podem estar sujeitas a outras medidas de execução, e as pessoas que sofram danos em razão de uma infração podem ter direito a indenização nos termos da lei.

Checklist de conformidade com a DPA do Quênia

As organizações que atuam sob a Lei de Proteção de Dados do Quênia devem considerar o checklist a seguir.

• Determinar se a DPA é aplicável
• Mapear as atividades de tratamento de dados pessoais
• Identificar os papéis de controlador e operador
• Identificar as bases legais do tratamento
• Revisar os mecanismos de consentimento
• Fornecer avisos de privacidade adequados
• Identificar os dados pessoais sensíveis
• Avaliar o tratamento de dados de crianças
• Determinar se o registro no ODPC é necessário
• Nomear um DPO quando exigido
• Implementar salvaguardas de segurança
• Estabelecer um procedimento de resposta a incidentes
• Manter a capacidade de notificação ao regulador em 72 horas
• Estabelecer o escalonamento de incidentes do operador ao controlador
• Realizar RIPDs quando necessário
• Revisar as transferências internacionais de dados
• Implementar procedimentos de conservação e eliminação
• Estabelecer fluxos de trabalho para DSARs
• Manter preferências de marketing e descadastramentos
• Revisar decisões automatizadas e definição de perfis
• Manter evidências de auditoria
• Revisar periodicamente as políticas e os procedimentos de privacidade

Por que a gestão de consentimento é importante para o Quênia

A gestão de consentimento é apenas uma parte da conformidade com a DPA, mas torna-se especialmente importante quando a organização se apoia no consentimento como base legal.

Um sistema robusto de gestão de consentimento pode ajudar as organizações a:

• Coletar consentimento significativo
• Oferecer escolhas mais claras
• Documentar o consentimento
• Gerenciar retiradas
• Manter o histórico de preferências
• Controlar os rastreadores do site
• Demonstrar conformidade
• Apoiar auditorias
• Coordenar preferências de privacidade entre jurisdições

A ConsentX foi concebida para fornecer a infraestrutura técnica para essas atividades.