遵守加纳数据保护法 的要求

加纳数据保护法是什么？

《Data Protection Act, 2012（Act 843）》为加纳的个人数据保护确立了法律框架。它规范个人数据的收集、使用、披露、存储、安全和销毁，并涵盖以下内容：

• 合法处理
• 数据最小化
• 目的限制
• 透明度
• 数据质量
• 安全
• 数据主体参与
• 登记
• 数据处理监督
• 跨境处理
• 特殊个人数据
• 监管执法

Data Protection Commission 是依该法设立的监管机构。它维护数据控制者登记簿，监督合规情况，调查投诉，采取执法措施，并在加纳推动数据保护意识的提升。

同意很重要，但加纳 DPA 并非仅以同意为基础的法律。第 20 条既规定了同意，也规定了特定的替代依据，因此每项处理活动都应建立在真正与其相符的依据之上。

数据控制者与数据处理者

数据控制者决定处理个人数据的目的和方式。控制者承担首要合规责任，包括向 DPC 登记。例如：

• 电子商务企业
• 银行与金融机构
• 保险公司
• 用人单位
• 医疗机构
• 高校与中小学
• 电信企业
• SaaS 企业
• 营销公司
• 政府机构
• 在线平台

数据处理者依控制者的指示，代表控制者处理个人数据。例如：

• 云服务提供商
• 薪酬服务提供商
• CRM 平台
• 主机托管服务商
• 分析服务提供商
• 营销平台
• 客户支持服务商

地域适用范围

Act 843 适用于在加纳设立并在加纳处理个人数据的数据控制者。对于并非在加纳设立的控制者，如其使用位于加纳的设备，或使用在加纳开展业务的数据处理者处理个人数据，也可能适用（仅为经加纳过境的情形除外）。

第 18 条还就外国数据主体作出规定。当源自外国法域的个人数据被送至加纳进行处理时，数据控制者必须确保该数据按照该外国法域的数据保护法律进行处理。

因此，跨国组织应当把加纳的要求与适用于其数据主体、系统和服务提供商的其他隐私法律一并评估。

Act 843 中的个人数据是什么？

在 Act 843 中，个人数据指关于某一个人的数据，凭该数据本身，或凭该数据与控制者持有或可能获得的其他信息相结合，即可识别该个人。例如：

• 姓名
• 电子邮件地址
• 电话号码
• 身份识别号码
• 账户信息
• 就业信息
• 位置信息
• 在线标识符
• 财务信息
• 健康信息
• 生物识别或基因信息

Cookie ID 或设备标识符等技术性标识符是否构成个人数据，取决于在具体情境下能否将其与可识别的个人相关联。

处理的合法依据

第 20 条规定，除适用其他明示依据外，不得在未取得数据主体事先同意的情况下处理个人数据。同意并非唯一依据。处理还可以基于：

• 履行合同的必要——为数据主体作为一方的合同所必需的处理
• 法律的许可或要求——法律许可或要求的处理
• 保护数据主体的正当利益——为保护数据主体正当利益而进行的处理
• 履行法定职责——为适当履行法定职责所必需的处理
• 正当利益——为实现控制者，或数据所提供给的第三方的正当利益所必需的处理

组织应就每项处理活动记录其所依据的合法依据。已记录的依据说明处理为何被允许，决定是否必须取得并留存同意，也决定了处理反对请求和权利请求的方式。

同意管理

当同意是适用依据时，同意应当：

• 知情——基于对同意内容的清晰说明
• 自愿——自由作出
• 无强迫——未通过压力或不利后果取得
• 具体——与既定目的相对应
• 易于理解——以通俗语言说明
• 清晰留存——在作出同意时即予记录
• 可以证明——有日后可出示的证据支持

数字同意界面应当说明：

• 组织的身份
• 收集目的
• 涉及的个人数据类别
• 是否向第三方共享
• 营销与跟踪目的
• 用户如何管理自己的偏好

同意撤回与反对

Act 843 在适用范围内赋予数据主体反对处理其个人数据的权利；反对成立时，处理应当停止。以同意为处理依据时，个人也应当能够撤回同意。

只有运营流程予以支撑，这些权利才能真正落地。组织应当维护：

• 同意记录
• 反对记录
• 以同意为依据时的撤回机制
• 偏好更新
• 直接营销抑制名单
• 将偏好变更同步至每一个使用该数据的系统

特殊个人数据

Act 843 对特殊个人数据给予更高保护，其中包括有关以下方面的信息：

• 种族
• 肤色
• 族裔或部族出身
• 政治观点
• 宗教或类似信仰
• 身体健康
• 医疗信息
• 心理健康或精神状况
• DNA
• 性取向
• 已实施或被指称实施的犯罪
• 与犯罪有关的诉讼程序
• 刑事诉讼或量刑信息

在处理特殊个人数据之前，组织应当评估：

• 合法依据
• 同意要求
• 安全
• 访问限制
• 留存
• 数据共享
• 跨境传输
• DPIA 要求
• 对个人可能造成的影响

隐私声明与透明度

公开透明是该法的原则之一。隐私声明应当说明：

• 控制者的身份
• 联系方式
• 收集目的
• 所收集的个人数据类别
• 信息将如何使用
• 数据的接收方
• 数据主体权利
• 直接营销
• 跨境传输
• 留存
• 投诉途径，包括向 DPC 投诉的权利

数据主体权利

Act 843 赋予个人对其个人数据的多项权利。各项权利在适用情形下，并依法定条件行使。

• 知情权——应当告知个人其个人数据的收集情况、收集目的以及其他使处理保持透明的事项。
• 访问权——在完成身份核验并符合该法条件的前提下，个人可以要求控制者确认其是否持有本人个人数据，并提供该数据的说明。
• 更正权——个人可以要求更正不准确、不相关、过度、过时、不完整或具误导性的个人数据。
• 封锁、删除或销毁权——在适用情形下，个人可以要求封锁、删除或销毁个人数据，包括控制者已无权继续保留的数据或不准确的数据。
• 反对权——依法定条件，个人可以反对处理其个人数据，也可以反对可能对其造成不当损害或困扰的处理。
• 与直接营销有关的权利——个人可以要求控制者停止或不开始为直接营销目的处理其个人数据。
• 求偿权——因违反该法而遭受损害或困扰的个人，依法定条件可能有权获得赔偿。

数据主体访问请求

处理访问请求及其他权利请求的实用流程：

• 请求受理——通过既定渠道接收请求，并逐件登记。
• 身份核验——确认请求人是数据主体本人或经授权的代理人。
• 请求分类——判断其行使的是哪一项权利。
• 数据检索——在各系统和服务商处定位相关个人数据。
• 审查例外情形与第三方信息——核对法定例外，保护他人的数据。
• 准备答复——形成清晰、准确的答复。
• 安全送达——通过安全渠道送达答复。
• 留存记录——保存请求、决定与答复的记录。

ConsentX 可以通过整理受理、跟踪状态和保存记录来支持隐私请求流程。软件不作法律判断；关于例外情形与答复内容的决定仍由组织作出。

直接营销

Act 843 允许个人要求控制者停止或不开始为直接营销目的处理其个人数据。这会影响：

• 电子邮件营销
• 短信营销
• 广告
• 其他营销渠道
• 营销偏好
• 同意与退出记录
• 直接营销抑制名单

ConsentX 的偏好管理可帮助组织采集营销选择、保存同意与退出记录，并将更新后的偏好同步到已连接的系统，使被抑制的联系人不再被触达。

自动化决策

包括画像在内的自动化处理会带来特定的隐私考量：

• 透明度
• 目的
• 数据质量
• 公平性
• 安全
• 在适当情形下的人工参与
• 对个人可能造成的影响
• 高风险处理

画像和自动化决策可能需要开展 DPIA，具体取决于处理情况和适用要求。

数据保护影响评估

数据保护影响评估（DPIA）是一种前置的隐私风险评估。它识别某项处理活动可能对个人产生的影响，以及在处理开始前可以采取哪些措施降低这些风险。

DPIA 可能适用于：

• 新的处理活动
• 新技术
• 对现有处理的重大变更
• 特殊个人数据
• 画像
• 自动化决策
• 对个人构成重大风险的处理

Data Protection Supervisor

第 58 条规定，数据控制者可以委任经认证的合格人员担任 Data Protection Supervisor，负责监督控制者对该法的遵守情况。

一名有效的 Data Protection Supervisor 应当具备：

• 担任该职务所需的认证与资格
• 对合规监督工作的职责
• 适当的培训
• 组织内部足够的权限
• 履行该职务所需的知识与资源

数据安全

控制者应采取适当、合理的技术和组织措施，保护个人数据免受：

• 未经授权的访问
• 未经授权的披露
• 意外丢失
• 损毁
• 篡改
• 不当使用
• 非法处理

实践中的措施包括：

• 加密
• 访问控制
• 身份认证
• 多因素认证
• 网络安全
• 安全备份
• 日志与监控
• 数据防泄漏
• 员工培训
• 供应商管控
• 事件响应

数据泄露事件管理

一套实用的泄露响应流程：

• 事件发现
• 控制蔓延
• 风险评估
• 确定受影响的数据
• 评估受影响的个人
• 在须报告时向监管机构报告
• 在须通知时通知个人
• 整改
• 记录归档
• 事后复盘

Act 843 并未设定统一的 72 小时泄露报告期限。组织应评估在现行法律下是否须向 DPC 报告并通知受影响的个人。

《Data Protection Bill, 2025》草案中的报告期限仅为建议。在替代立法正式生效之前，不应将其视为现行义务。

向 DPC 登记

数据控制者通常须在处理个人数据前向 Data Protection Commission 登记。登记申请可能包括：

• 企业名称与地址
• 代表人信息
• 所处理个人数据的说明
• 个人的类别
• 特殊个人数据
• 处理目的
• 预期的接收方
• 数据可能传输至的国家
• 所持有数据涉及的个人类别
• 安全措施的总体说明

根据 Act 843，未登记为数据控制者即处理个人数据构成犯罪，可按简易程序依该法规定处以罚金、监禁或两者并罚。组织应就适用的处罚向法律顾问确认。

须经评估的处理

Act 843 设有须经评估的处理制度。可能对数据主体造成重大损害或重大困扰，或明显损害其隐私权利的处理，可能需接受 DPC 的额外审查。

计划开展高风险处理的组织，应在处理开始前判断该制度是否适用。

数据跨境传输

在将个人数据传输至加纳境外之前，组织应评估适用要求，包括：

• 目的地国家
• 境外接收方
• 数据类别
• 传输目的
• 安全保障措施
• 合同保护条款
• 适用的外国隐私法律

向 DPC 登记的信息包括控制者拟将个人数据传输至的国家，因此传输安排与登记内容应保持一致。

数据留存与删除

留存应与收集个人数据的目的以及适用的法律要求相衔接。留存管理方案应覆盖：

• 留存期限
• 删除流程
• 归档
• 因诉讼等原因的保全要求
• 在适当情形下的自动删除
• 安全销毁
• 定期复核留存安排

数据处理者与供应商

对于第三方代为处理的个人数据，控制者仍负有责任。与供应商的协议应约定：

• 处理指示
• 目的限制
• 保密义务
• 安全
• 再委托处理者
• 留存
• 删除
• 事件处置
• 数据主体请求
• 跨境传输
• 合规协助

隐私设计

把隐私从一开始就嵌入产品和流程，实现起来会更容易。有益的做法包括：

• 数据最小化
• 目的限制
• 有利于隐私的默认设置
• 访问控制
• 加密
• 留存期限上限
• 同意控制
• 审计日志
• 安全删除

Cookie 与在线跟踪

Act 843 规范个人数据的处理，并未就 Cookie 设定一体适用的统一规则。网站和应用通常会使用：

• 必要 Cookie
• 分析 Cookie
• 广告 Cookie
• 社交媒体像素
• 再营销技术
• 个性化
• 设备标识符
• 第三方脚本

组织应判断每项跟踪技术是否处理个人数据；若处理，则应确定该法下适当的合法依据。

Cookie 同意与脚本预先拦截

当同意是跟踪行为适用的法律依据时，以下机制有助于让该同意真正有效：

• 清晰的同意提示
• 按目的划分的选择
• 未预先勾选的可选类别
• 对相关跟踪器的预先拦截
• 同意撤回
• 偏好管理
• 同意记录
• 政策版本跟踪

ConsentX 支持在技术层面执行这些选择。脚本预先拦截会在访客作出同意之前阻止相关跟踪器运行，偏好管理则让访客随时更改自己的选择。

合规监控与审计

组织应能够提供合规证据，例如：

• DPC 登记
• 隐私声明
• 同意记录
• 数据地图
• 处理活动清单
• DPIA
• 安全评估
• 供应商协议
• 泄露事件记录
• 数据主体请求
• 营销偏好
• 留存期限表
• 培训记录
• 与 Data Protection Supervisor 有关的记录

DPC 执法

加纳的 Data Protection Commission 负责：

• 监管监督
• 控制者登记
• 调查
• 投诉处理
• 合规监控
• 执法
• 指引
• 培训
• 宣传普及

Commission 可以调查投诉、开展检查，并发出通知要求组织采取措施遵守该法。

Act 843 下的违法行为与处罚

Act 843 规定了各自附有专门处罚的具体违法行为，并不存在适用于所有行为的单一上限。该法区分：

• 未办理登记——未登记为数据控制者即处理个人数据，在该法中另有专门处罚
• 不遵守特定通知——不遵守 Commission 发出的特定通知，另有专门处罚
• 其他法定违法行为——该法规定的其他违法行为，适用各自规定的处罚
• 第 95 条的一般处罚——未设专门处罚时，行为人按简易程序处以不超过五千个处罚单位的罚金、不超过十年的监禁，或两者并罚

组织应查明各项具体条款所附的处罚，而不应假定一律适用第 95 条的上限。

加纳《数据保护法案 2025》

《Data Protection Bill, 2025》是拟取代 Act 843 的草案。

• 该法案是草案，不得视为现行有效法律。
• Act 843 仍是加纳现行的数据保护框架。
• 组织应持续关注立法进展。
• 若替代立法正式生效，应更新合规审查。

为什么同意管理对加纳很重要

同意管理是加纳更广泛隐私框架中的一环，与登记、安全、数据主体权利和治理并列。以同意为依据时，组织应能够证明：

• 向用户告知了什么
• 用户同意的目的
• 同意是在何时作出的
• 勾选了哪些类别
• 展示的是哪一版隐私声明
• 同意此后是否被撤回
• 偏好是如何被执行的

ConsentX 把这些问题与技术手段对应起来：脚本预先拦截执行用户的选择，同意记录与同意凭证保存证据，政策版本跟踪把每一次决定与用户当时看到的声明关联起来。

加纳 DPA 合规清单

可将此清单作为合规工作的起点：

• 判断 Act 843 是否适用
• 厘清控制者与处理者角色
• 梳理个人数据处理情况
• 确定合法依据
• 检查同意获取机制
• 提供隐私声明
• 识别特殊个人数据
• 评估儿童数据的处理
• 在须登记时登记为数据控制者
• 梳理 Data Protection Supervisor 的要求
• 落实安全保障措施
• 建立事件响应机制
• 梳理 DPIA 要求
• 评估跨境传输
• 制定留存与删除规则
• 建立数据主体请求处理流程
• 维护直接营销偏好
• 复核自动化决策
• 维护供应商协议
• 留存合规证据
• 关注 2025 年法案草案