Соответствие Закону Ганы о защите данных (Act 843)

Что представляет собой Закон Ганы о защите данных?

Data Protection Act, 2012 (Act 843) устанавливает правовые рамки защиты персональных данных в Гане. Он регулирует сбор, использование, раскрытие, хранение, безопасность и уничтожение персональных данных и охватывает:

• Правомерную обработку
• Минимизацию данных
• Ограничение цели
• Прозрачность
• Качество данных
• Безопасность
• Участие субъекта данных
• Регистрацию
• Надзор за обработкой данных
• Международную обработку
• Особые персональные данные
• Правоприменение регулятором

Data Protection Commission — регулятор, учрежденный этим законом. Она ведет реестр контролеров, контролирует соблюдение закона, рассматривает жалобы, применяет меры реагирования и содействует повышению осведомленности о защите данных в Гане.

Согласие важно, но Закон Ганы о защите данных не сводится только к согласию. Статья 20 предусматривает согласие и ряд альтернативных оснований, поэтому каждая операция обработки должна опираться на то основание, которое ей действительно соответствует.

Контролеры и обработчики данных

Контролер определяет цели и способы обработки персональных данных. Контролеры несут основную ответственность за соблюдение закона, включая регистрацию в DPC. Примеры:

• Компании электронной коммерции
• Банки и финансовые организации
• Страховые компании
• Работодатели
• Медицинские организации
• Университеты и школы
• Телекоммуникационные компании
• SaaS-компании
• Маркетинговые компании
• Государственные учреждения
• Онлайн-платформы

Обработчик обрабатывает персональные данные по поручению контролера, следуя его указаниям. Примеры:

• Облачные провайдеры
• Провайдеры расчета заработной платы
• CRM-платформы
• Хостинг-провайдеры
• Провайдеры аналитики
• Маркетинговые платформы
• Провайдеры поддержки клиентов

Территориальная сфера действия

Act 843 применяется к контролерам, учрежденным в Гане и обрабатывающим персональные данные в Гане. Он также может применяться к контролерам, не учрежденным в Гане, если они используют оборудование в Гане либо обработчика, ведущего деятельность в Гане, для обработки персональных данных, за исключением случаев транзита через Гану.

Статья 18 также касается иностранных субъектов данных. Если персональные данные из иностранной юрисдикции направляются в Гану для обработки, контролер должен обеспечить их обработку в соответствии с законодательством о защите данных этой иностранной юрисдикции.

Поэтому международным организациям следует оценивать требования Ганы вместе с другими законами о конфиденциальности, применимыми к их субъектам данных, системам и поставщикам услуг.

Что считается персональными данными по Act 843?

По Act 843 персональные данные — это данные о человеке, которого можно идентифицировать по этим данным либо по этим данным в совокупности с иной информацией, которой контролер располагает или, вероятно, получит. Примеры:

• Имена
• Адреса электронной почты
• Номера телефонов
• Идентификационные номера
• Сведения об учетных записях
• Сведения о занятости
• Данные о местоположении
• Онлайн-идентификаторы
• Финансовая информация
• Информация о здоровье
• Биометрическая или генетическая информация

Является ли технический идентификатор — например, идентификатор cookie или устройства — персональными данными, зависит от того, можно ли в конкретном контексте связать его с идентифицируемым лицом.

Правовые основания обработки

Статья 20 предусматривает, что персональные данные не должны обрабатываться без предварительного согласия субъекта данных, если не применяется иное прямо указанное основание. Согласие — не единственное основание. Обработка также может опираться на:

• Необходимость для договора — обработка, необходимая для договора, стороной которого является субъект данных
• Разрешение или требование закона — обработка, разрешенная или предписанная законом
• Защиту законного интереса субъекта данных — обработка для защиты законного интереса субъекта данных
• Исполнение установленной законом обязанности — обработка, необходимая для надлежащего исполнения установленной законом обязанности
• Законные интересы — обработка, необходимая для реализации законного интереса контролера или третьего лица, которому передаются данные

Организациям следует документировать основание, на которое они опираются в каждой операции обработки. Задокументированное основание показывает, почему обработка допустима, определяет, нужно ли получать и фиксировать согласие, и задает порядок работы с возражениями и запросами субъектов данных.

Управление согласием

Если применимым основанием является согласие, оно должно быть:

• Информированным — основанным на понятной информации о том, с чем соглашается человек
• Добровольным — данным свободно
• Свободным от принуждения — полученным без давления или угрозы неблагоприятных последствий
• Конкретным — привязанным к определенным целям
• Понятным — изложенным простым языком
• Четко зафиксированным — записанным в момент его предоставления
• Подтверждаемым — подкрепленным доказательствами, которые можно представить позднее

Цифровой интерфейс согласия должен сообщать:

• Идентичность организации
• Цель сбора
• Категории задействованных персональных данных
• Любую передачу третьим лицам
• Цели маркетинга и отслеживания
• Как пользователи могут управлять своими настройками

Отзыв согласия и возражения

Act 843 дает субъектам данных право возражать против обработки их персональных данных в применимых случаях, и при обоснованном возражении обработка должна прекращаться. Если основанием обработки является согласие, люди также должны иметь возможность его отозвать.

Эти права работают лишь тогда, когда их поддерживают операционные процессы. Организациям следует поддерживать:

• Записи о согласии
• Записи о возражениях
• Механизмы отзыва, когда основанием является согласие
• Обновление настроек
• Списки исключения из прямого маркетинга
• Передачу изменений настроек во все системы, использующие данные

Особые персональные данные

Act 843 обеспечивает повышенную защиту особых персональных данных, к которым относится информация о:

• Расе
• Цвете кожи
• Этническом или племенном происхождении
• Политических взглядах
• Религиозных или сходных убеждениях
• Физическом здоровье
• Медицинских сведениях
• Психическом здоровье или психическом состоянии
• ДНК
• Сексуальной ориентации
• Совершении или предполагаемом совершении правонарушения
• Производстве по делу о правонарушении
• Уголовном производстве или сведениях о наказании

До обработки особых персональных данных организациям следует оценить:

• Правовое основание
• Требования к согласию
• Безопасность
• Ограничения доступа
• Сроки хранения
• Передачу данных
• Международные передачи
• Требования к DPIA
• Возможное воздействие на людей

Уведомления о конфиденциальности и прозрачность

Открытость — один из принципов закона. Уведомление о конфиденциальности должно раскрывать:

• Идентичность контролера
• Контактные данные
• Цель сбора
• Категории собираемых персональных данных
• Как будет использоваться информация
• Получателей данных
• Права субъектов данных
• Прямой маркетинг
• Международные передачи
• Сроки хранения
• Порядок подачи жалоб, включая право обратиться в DPC

Права субъектов данных

Act 843 наделяет людей правами в отношении их персональных данных. Каждое право действует в применимых случаях и при соблюдении установленных законом условий.

• Право на информацию — людям следует сообщать о сборе их персональных данных, цели сбора и иных обстоятельствах, которые делают обработку прозрачной.
• Право на доступ — человек может запросить у контролера подтверждение того, хранит ли он его персональные данные, и описание этих данных, при условии подтверждения личности и соблюдения условий закона.
• Право на исправление — человек может требовать исправления персональных данных, которые неточны, не относятся к делу, избыточны, устарели, неполны или вводят в заблуждение.
• Право на блокирование, удаление или уничтожение — в применимых случаях человек может требовать блокирования, удаления или уничтожения персональных данных, включая данные, которые контролер больше не вправе хранить, или неточные данные.
• Право на возражение — человек может возражать против обработки своих персональных данных, а также против обработки, способной причинить ему необоснованный вред или страдания, при соблюдении установленных законом условий.
• Право в отношении прямого маркетинга — человек может требовать от контролера прекратить или не начинать обработку его персональных данных для прямого маркетинга.
• Право на компенсацию — человек, которому причинен вред или страдания вследствие нарушения закона, может иметь право на компенсацию при соблюдении установленных законом условий.

Запросы субъектов данных о доступе

Практический процесс работы с запросами о доступе и другими запросами о реализации прав:

• Прием запроса — принимать запросы по определенным каналам и регистрировать каждый из них.
• Подтверждение личности — убедиться, что заявитель является субъектом данных или его уполномоченным представителем.
• Классификация запроса — определить, какое право реализуется.
• Поиск данных — найти соответствующие персональные данные в системах и у поставщиков услуг.
• Проверка изъятий и данных третьих лиц — проверить установленные законом изъятия и защитить данные других людей.
• Подготовка ответа — подготовить понятный и точный ответ.
• Безопасная передача — направить ответ по защищенному каналу.
• Ведение записей — сохранить запись о запросе, решении и ответе.

ConsentX может поддерживать процессы обработки запросов о конфиденциальности, организуя прием, отслеживая статус и сохраняя записи. Программное обеспечение не определяет правовые выводы; решения об изъятиях и ответах остаются за организацией.

Прямой маркетинг

Act 843 позволяет человеку требовать от контролера прекратить или не начинать обработку его персональных данных для прямого маркетинга. Это затрагивает:

• Email-маркетинг
• SMS-маркетинг
• Рекламу
• Другие маркетинговые каналы
• Маркетинговые настройки
• Записи о согласиях и отказах
• Списки исключения из прямого маркетинга

Управление настройками в ConsentX помогает организациям фиксировать маркетинговые решения, сохранять записи о согласиях и отказах и передавать обновленные настройки в подключенные системы, чтобы исключенные контакты не получали сообщений.

Автоматизированное принятие решений

Автоматизированная обработка, включая профилирование, порождает особые вопросы конфиденциальности:

• Прозрачность
• Цель
• Качество данных
• Справедливость
• Безопасность
• Участие человека, где это уместно
• Возможное воздействие на людей
• Обработка с высоким риском

Профилирование и автоматизированное принятие решений могут потребовать DPIA — в зависимости от характера обработки и применимых требований.

Оценки воздействия на защиту данных

Оценка воздействия на защиту данных (DPIA) — это упреждающая оценка рисков для конфиденциальности. Она показывает, как операция обработки может повлиять на людей и какие меры снижают эти риски до начала обработки.

DPIA может быть актуальна для:

• Новых операций обработки
• Новых технологий
• Существенных изменений существующей обработки
• Особых персональных данных
• Профилирования
• Автоматизированного принятия решений
• Обработки, создающей значительные риски для людей

Data Protection Supervisor

Статья 58 предусматривает, что контролер назначает сертифицированного и квалифицированного специалиста в качестве Data Protection Supervisor для контроля за соблюдением закона контролером.

Эффективный Data Protection Supervisor должен обладать:

• Сертификацией и квалификацией для этой роли
• Ответственностью за контроль соблюдения закона
• Надлежащей подготовкой
• Достаточными полномочиями внутри организации
• Знаниями и ресурсами, необходимыми для выполнения этой роли

Безопасность данных

Контролерам следует принимать надлежащие и разумные технические и организационные меры для защиты персональных данных от:

• Несанкционированного доступа
• Несанкционированного раскрытия
• Случайной утраты
• Уничтожения
• Изменения
• Ненадлежащего использования
• Неправомерной обработки

К практическим мерам относятся:

• Шифрование
• Управление доступом
• Аутентификация
• Многофакторная аутентификация
• Сетевая безопасность
• Защищенное резервное копирование
• Журналирование и мониторинг
• Предотвращение утечек данных
• Обучение сотрудников
• Контроль поставщиков
• Реагирование на инциденты

Управление инцидентами с данными

Практический процесс реагирования на инциденты:

• Обнаружение инцидента
• Локализация
• Оценка риска
• Определение затронутых данных
• Оценка затронутых лиц
• Уведомление регулятора, когда это требуется
• Уведомление людей, когда это требуется
• Устранение последствий
• Документирование
• Разбор после инцидента

Act 843 не устанавливает универсальный 72-часовой срок уведомления об инцидентах. Организациям следует оценить, требуется ли по действующему закону уведомление DPC и затронутых лиц.

Сроки уведомления, содержащиеся в проекте Data Protection Bill, 2025, — лишь предложения. Их не следует рассматривать как действующие обязанности до того, как заменяющий закон официально вступит в силу.

Регистрация в DPC

Как правило, контролеры должны зарегистрироваться в Data Protection Commission до начала обработки персональных данных. Заявление о регистрации может включать:

• Наименование и адрес организации
• Сведения о представителе
• Описание обрабатываемых персональных данных
• Категории лиц
• Особые персональные данные
• Цели обработки
• Предполагаемых получателей
• Страны, в которые данные могут передаваться
• Категории лиц, чьи данные хранятся
• Общее описание мер безопасности

По Act 843 обработка персональных данных без регистрации в качестве контролера является правонарушением, которое в порядке упрощенного производства наказывается штрафом, лишением свободы либо и тем, и другим, как предусмотрено законом. Организациям следует уточнить применимую санкцию у своих юридических консультантов.

Обработка, подлежащая оценке

Act 843 содержит режим обработки, подлежащей оценке. Обработка, которая может причинить субъекту данных существенный вред или существенные страдания либо значительно ущемить его права на конфиденциальность, может быть предметом дополнительной проверки со стороны DPC.

Организациям, планирующим обработку с высоким риском, следует до ее начала оценить, применим ли этот режим.

Международные передачи данных

До передачи персональных данных за пределы Ганы организациям следует оценить применимые требования, включая:

• Страны назначения
• Зарубежных получателей
• Категории данных
• Цели передачи
• Меры безопасности
• Договорные гарантии
• Применимые зарубежные законы о конфиденциальности

Сведения, подаваемые при регистрации в DPC, включают страны, в которые контролер намерен передавать персональные данные, поэтому договоренности о передаче и регистрационные данные должны соответствовать друг другу.

Хранение и удаление данных

Хранение должно быть связано с целью, для которой были собраны персональные данные, и с применимыми требованиями закона. Программа хранения должна охватывать:

• Сроки хранения
• Процедуры удаления
• Архивирование
• Запреты на удаление в связи с разбирательствами
• Автоматическое удаление, где это уместно
• Безопасное уничтожение
• Периодический пересмотр сроков хранения

Обработчики и поставщики

Контролеры продолжают отвечать за персональные данные, которые третьи лица обрабатывают по их поручению. Договоры с поставщиками должны регулировать:

• Указания по обработке
• Ограничение цели
• Конфиденциальность
• Безопасность
• Субобработчиков
• Сроки хранения
• Удаление
• Управление инцидентами
• Запросы субъектов данных
• Международные передачи
• Содействие в соблюдении требований

Конфиденциальность на этапе проектирования

Обеспечить конфиденциальность проще, когда она заложена в продукты и процессы с самого начала. Полезные практики:

• Минимизация данных
• Ограничение цели
• Настройки по умолчанию, дружественные к приватности
• Управление доступом
• Шифрование
• Ограничение сроков хранения
• Управление согласием
• Журналы аудита
• Безопасное удаление

Файлы cookie и онлайн-отслеживание

Act 843 регулирует обработку персональных данных. Он не устанавливает универсального единого правила о файлах cookie. Сайты и приложения обычно используют:

• Обязательные файлы cookie
• Аналитические файлы cookie
• Рекламные файлы cookie
• Пиксели социальных сетей
• Технологии ретаргетинга
• Персонализацию
• Идентификаторы устройств
• Сторонние скрипты

Организациям следует определить, обрабатывает ли каждая технология отслеживания персональные данные, и, если да, установить надлежащее правовое основание по этому закону.

Согласие на файлы cookie и предварительная блокировка скриптов

Если применимым правовым основанием отслеживания является согласие, сделать это согласие действенным помогают следующие механизмы:

• Понятные уведомления о согласии
• Выбор по целям
• Необязательные категории без предварительной отметки
• Предварительная блокировка соответствующих трекеров
• Отзыв согласия
• Управление настройками
• Записи о согласии
• Отслеживание версий политики

ConsentX обеспечивает техническое исполнение этих решений. Предварительная блокировка скриптов не дает соответствующим трекерам запускаться до того, как посетитель дал согласие, а управление настройками позволяет изменить выбор в любой момент.

Контроль соблюдения требований и аудиты

Организации должны быть способны подтвердить соблюдение требований, в том числе:

• Регистрацией в DPC
• Уведомлениями о конфиденциальности
• Записями о согласии
• Картами данных
• Реестрами операций обработки
• Оценками DPIA
• Оценками безопасности
• Договорами с поставщиками
• Записями об инцидентах
• Запросами субъектов данных
• Маркетинговыми настройками
• Графиками хранения
• Записями об обучении
• Документами по Data Protection Supervisor

Правоприменение со стороны DPC

Data Protection Commission Ганы отвечает за:

• Регуляторный надзор
• Регистрацию контролеров
• Расследования
• Жалобы
• Контроль соблюдения требований
• Правоприменение
• Разъяснения
• Обучение
• Повышение осведомленности

Commission может рассматривать жалобы, проводить проверки и выносить предписания, обязывающие организации принять меры для соблюдения закона.

Правонарушения и санкции по Act 843

Act 843 содержит конкретные составы правонарушений с собственными санкциями. Единого максимума для всех составов нет. Закон различает:

• Отсутствие регистрации — обработка персональных данных без регистрации в качестве контролера имеет собственную санкцию по закону
• Неисполнение отдельных предписаний — неисполнение указанных предписаний Commission имеет собственную санкцию
• Иные предусмотренные законом составы — прочие составы, установленные законом, наказываются предусмотренными для них санкциями
• Общая санкция по статье 95 — если специальная санкция не установлена, лицо, совершившее правонарушение, в порядке упрощенного производства наказывается штрафом не более пяти тысяч штрафных единиц, лишением свободы на срок не более десяти лет либо и тем, и другим

Организациям следует проверять санкцию, привязанную к конкретной норме, а не исходить из того, что применяется максимум по статье 95.

Проект закона Ганы о защите данных 2025 года

Data Protection Bill, 2025 — проект, призванный заменить Act 843.

• Этот проект является предложением и не должен рассматриваться как действующее право.
• Act 843 остается действующей основой защиты данных в Гане.
• Организациям следует следить за развитием законодательства.
• Обзоры соблюдения требований следует обновить, если заменяющий закон официально вступит в силу.

Почему управление согласием важно для Ганы

Управление согласием — лишь один элемент более широкой системы защиты приватности в Гане, наряду с регистрацией, безопасностью, правами субъектов данных и управлением. Если организация опирается на согласие, она должна быть способна подтвердить:

• Что было сообщено пользователю
• На какую цель пользователь согласился
• Когда согласие было дано
• Какие категории были выбраны
• Какое уведомление о конфиденциальности было показано
• Было ли согласие впоследствии отозвано
• Как настройки были исполнены

ConsentX связывает эти вопросы с техническими механизмами: предварительная блокировка скриптов исполняет выбор, записи и квитанции о согласии сохраняют доказательства, а отслеживание версий политики привязывает каждое решение к уведомлению, которое видел пользователь.

Чек-лист соблюдения Закона Ганы о защите данных

Используйте этот чек-лист как отправную точку вашей программы соблюдения требований:

• Определить, применяется ли Act 843
• Определить роли контролера и обработчика
• Составить карту обработки персональных данных
• Определить правомерные основания
• Проверить механизмы получения согласия
• Предоставить уведомления о конфиденциальности
• Выявить особые персональные данные
• Оценить обработку данных детей
• Зарегистрироваться как контролер, где это требуется
• Проверить требования к Data Protection Supervisor
• Внедрить меры безопасности
• Организовать реагирование на инциденты
• Проверить требования к DPIA
• Оценить международные передачи
• Установить правила хранения и удаления
• Внедрить процедуры обработки запросов субъектов данных
• Поддерживать настройки прямого маркетинга
• Проверить автоматизированное принятие решений
• Поддерживать договоры с поставщиками
• Сохранять доказательства соблюдения требований
• Следить за проектом закона 2025 года