انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

قانون حماية البيانات الكيني لسنة 2019: ما الذي يتطلبه

قانون حماية البيانات الكيني لسنة 2019: نطاق تطبيقه، والتسجيل لدى ODPC، والتدابير الأمنية، والإبلاغ عن الاختراقات خلال 72 ساعة، والعقوبات.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

ينظّم قانون حماية البيانات الكيني لسنة 2019 (Data Protection Act, 2019)، وهو القانون رقم 24 لسنة 2019، معالجة البيانات الشخصية. ويُفعّل الحق في الخصوصية المكفول في المادة 31 من الدستور، وقد أنشأ مكتب مفوض حماية البيانات (ODPC)، ويحدد واجبات المتحكمين في البيانات ومعالجي البيانات، ومنها التسجيل والتدابير الأمنية والإبلاغ عن الاختراقات خلال 72 ساعة. وقد صودق عليه في 8 نوفمبر 2019 وبدأ نفاذه في 25 نوفمبر 2019. يلخّص هذا الدليل القانون ولوائح التسجيل الصادرة بموجبه لسنة 2021، ويبيّن المواضع التي تساعد فيها أدلة العمليات الأمنية.

على من ينطبق قانون حماية البيانات الكيني؟

بموجب المادة 4، ينطبق القانون على معالجة البيانات الشخصية المُدرجة في سجل، بوسائل آلية أو غير آلية، من جانب متحكم في البيانات أو معالج بيانات يقع مقره أو محل إقامته المعتادة في كينيا ويعالج البيانات الشخصية أثناء وجوده في كينيا. كما ينطبق على المتحكم أو المعالج الذي لا يقع مقره أو محل إقامته المعتادة في كينيا لكنه يعالج البيانات الشخصية لأصحاب بيانات موجودين في كينيا.

ما مبادئ حماية البيانات الشخصية؟

تحدد المادة 25 مبادئ حماية البيانات. ويجب على كل متحكم في البيانات ومعالج بيانات أن يضمن أن تكون البيانات الشخصية:
1.مُعالَجة وفقًا لحق صاحب البيانات في الخصوصية.
2.مُعالَجة بصورة قانونية وعادلة وشفافة.
3.مجموعة لأغراض صريحة ومحددة ومشروعة، وغير خاضعة لمعالجة لاحقة بطريقة لا تتوافق مع تلك الأغراض.
4.كافية وذات صلة ومقتصرة على ما هو ضروري.
5.دقيقة، ومحدَّثة عند الضرورة.
6.مجموعة فقط عند تقديم تفسير وجيه، كلما طُلبت معلومات تتعلق بالشؤون العائلية أو الخاصة.
7.محفوظة بصيغة تتيح تحديد هوية أصحاب البيانات لمدة لا تتجاوز المدة الضرورية.
8.غير منقولة إلى خارج كينيا ما لم يتوفر دليل على وجود ضمانات كافية لحماية البيانات أو موافقة صاحب البيانات.

من يجب عليه التسجيل لدى مفوض البيانات (Data Commissioner)؟

تنص المادة 18 على أنه لا يجوز لأي شخص أن يعمل بصفة متحكم في البيانات أو معالج بيانات ما لم يكن مسجلًا لدى مفوض البيانات (Data Commissioner)، الذي يحدد العتبات التي يصبح عندها التسجيل إلزاميًا. وبموجب لوائح حماية البيانات (تسجيل المتحكمين في البيانات ومعالجي البيانات) لسنة 2021 (Data Protection (Registration of Data Controllers and Data Processors) Regulations, 2021)، تكون شهادة التسجيل سارية لمدة 24 شهرًا.
1.يُعفى من التسجيل الإلزامي المتحكم أو المعالج الذي يقل حجم أعماله السنوي أو إيراداته السنوية عن خمسة ملايين شلن ويقل عدد موظفيه عن عشرة، لكنه يظل ملزمًا بالامتثال لمبادئ القانون والتزاماته وقواعده المتعلقة بالنقل إلى خارج كينيا.
2.لا ينطبق الإعفاء على المعالجة للأغراض المدرجة في اللوائح، ومنها تقديم الخدمات المالية، والإدارة الصحية ورعاية المرضى، والمؤسسات التعليمية، ومزودو شبكات الاتصالات أو خدماتها، وخدمات النقل، والتسويق المباشر.

ما التدابير الأمنية التي يتطلبها القانون؟

تُلزم المادة 41 كل متحكم في البيانات ومعالج بيانات بتطبيق التدابير التقنية والتنظيمية المناسبة التي تضع مبادئ حماية البيانات موضع التنفيذ وتدمج الضمانات اللازمة في المعالجة، سواء عند تحديد وسائل المعالجة أو أثناء المعالجة نفسها. وتضيف المادة 42 أن المتحكم الذي يستعين بمعالج يجب أن يختار معالجًا يقدّم ضمانات كافية، بموجب عقد مكتوب يُلزم المعالج بالتصرف وفق تعليمات المتحكم فقط. والتدابير التي يطلب القانون من المتحكمين والمعالجين مراعاتها هي:
1.تحديد المخاطر الداخلية والخارجية التي يمكن توقعها بصورة معقولة على البيانات الشخصية.
2.إنشاء ضمانات مناسبة ضد المخاطر المحددة والمحافظة عليها.
3.النظر في التسمية المستعارة للبيانات الشخصية وتشفيرها.
4.القدرة على استعادة إتاحة البيانات الشخصية وإمكانية الوصول إليها في الوقت المناسب بعد وقوع حادث مادي أو تقني.
5.التحقق من تطبيق الضمانات تطبيقًا فعالًا.
6.تحديث الضمانات باستمرار استجابةً للمخاطر أو أوجه القصور الجديدة.

متى يجب الإبلاغ عن اختراق البيانات في كينيا؟

بموجب المادة 43، إذا وصل شخص غير مصرّح له إلى البيانات الشخصية أو حصل عليها، وكان هناك خطر حقيقي بإلحاق ضرر بصاحب البيانات، فيجب على المتحكم في البيانات إخطار مفوض البيانات (Data Commissioner) دون تأخير، خلال 72 ساعة من علمه بالاختراق. ويجب أن يتضمن الإخطار المتأخر أسباب التأخير. ويجب على المتحكم أيضًا إبلاغ صاحب البيانات كتابيًا خلال مدة معقولة عمليًا، ما لم يتعذر التحقق من هويته. ويجب على معالج البيانات إخطار المتحكم دون تأخير، وخلال 48 ساعة متى كان ذلك ممكنًا عمليًا بصورة معقولة. ويتلقى ODPC إخطارات الاختراق عبر نموذج على موقعه الإلكتروني.
1.يجب أن يصف الإخطار طبيعة الاختراق، والتدابير المتخذة أو المزمع اتخاذها، وما ينبغي لصاحب البيانات فعله، والشخص غير المصرّح له إن كان معروفًا، وجهة للتواصل.
2.لا يلزم إبلاغ أصحاب البيانات إذا طُبّقت ضمانات أمنية مناسبة، قد تشمل التشفير.
3.يجب على المتحكم تسجيل وقائع الاختراق وآثاره والإجراءات التصحيحية المتخذة.

ما العقوبات المنصوص عليها في قانون حماية البيانات الكيني؟

بموجب المادة 63، يجوز لمفوض البيانات (Data Commissioner) فرض عقوبة مالية تصل إلى خمسة ملايين شلن، أو بالنسبة إلى المنشأة، ما يصل إلى 1% من حجم أعمالها السنوي في السنة المالية السابقة، أيهما أقل. وبموجب المادة 73، يُعاقب على الجريمة التي لم يُنص على عقوبة محددة لها بغرامة تصل إلى ثلاثة ملايين شلن، أو بالسجن مدة تصل إلى عشر سنوات، أو بكلتا العقوبتين. ويحق لكل من يلحق به ضرر، بما في ذلك الضيق النفسي، بسبب مخالفة ما الحصول على تعويض من المتحكم في البيانات أو معالج البيانات.

كيف تدعم Vigilbase العمل المتعلق بقانون حماية البيانات الكيني

لا تجعل Vigilbase أي مؤسسة ممتثلة لقانون حماية البيانات الكيني، ولا تحل محل مسؤول حماية البيانات لديكم. بل تساعدكم على تشغيل بعض الضمانات التي تصفها المادة 41، وعلى إعداد أدلة تثبت أنها تخضع للمراقبة والتحقق. يلخّص هذا الدليل القانون ولوائح التسجيل الصادرة بموجبه. وهو ليس استشارة قانونية: يقرر مستشاروكم القانونيون ما يتطلبه القانون من مؤسستكم.
1.يربط Vigilbase OS أدوات الأمان التي تدفعون مقابلها بالفعل، ويحفظ سجلاتها وأحداثها قابلة للتدقيق والاستعلام في مكان واحد، ما يساعدكم على تحديد المخاطر والتحقق من أن الضمانات تعمل.
2.يحقق وكيل Vigil في الحوادث عالية الخطورة، ويسجّل كل تحقيق الأدلة والإجراءات المتخذة ونتيجة التحقق. ويساعدكم هذا السجل على تجميع الوقائع والآثار والإجراءات التصحيحية التي تطلب منكم المادة 43 تسجيلها والإبلاغ عنها.
3.تشغّل خدمة Managed Cloudflare ضوابط WAF وDDoS والروبوتات وDNS ضمن النطاق المتفق عليه، مع الاحتفاظ بالإعدادات وسجل التغييرات وملاحظات الحوادث للمراجعة.
4.تُحدَّد مدة الاحتفاظ الافتراضية لكل مجموعة بيانات، وتتراوح عادةً بين 30 و90 يومًا. وإذا كان عليكم الاحتفاظ بالسجلات مدة أطول، فحددوا مكان ذلك الأرشيف قبل التوحيد.

أبرز النقاط

✓يحكم قانون حماية البيانات لسنة 2019 (Data Protection Act, 2019) معالجة البيانات الشخصية في كينيا، ويتولى مكتب مفوض حماية البيانات (ODPC) تنظيمها.
✓يجب على المتحكمين في البيانات ومعالجيها التسجيل لدى مفوض البيانات (Data Commissioner) ما لم ينطبق إعفاء وارد في لوائح التسجيل لسنة 2021.
✓يجب إخطار مفوض البيانات (Data Commissioner) بالاختراقات التي تنطوي على خطر حقيقي بإلحاق الضرر خلال 72 ساعة من العلم بها.
✓تتطلب المادة 41 تدابير تقنية وتنظيمية مناسبة يُتحقق منها وتُحدَّث باستمرار.
✓تساعدكم Vigilbase على تشغيل الضمانات الأمنية وتوثيقها بالأدلة؛ ولا تمنح شهادة امتثال.

المصادر

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

SOC مُدار

اعرف المزيد

خدمات Cloudflare المُدارة

اعرف المزيد

Vigilbase OS

اعرف المزيد

Managed Cloudflare في كينيا

اعرف المزيد

Cloudflare Enterprise في كينيا

اعرف المزيد

الأسئلة الشائعة

ما قانون حماية البيانات الكيني؟

قانون حماية البيانات لسنة 2019 (Data Protection Act, 2019)، وهو القانون رقم 24 لسنة 2019، هو قانون حماية البيانات في كينيا. ينظّم معالجة البيانات الشخصية، ويمنح أصحاب البيانات حقوقًا، ويحدد واجبات المتحكمين في البيانات ومعالجي البيانات، وقد أنشأ مكتب مفوض حماية البيانات (Office of the Data Protection Commissioner).الخصوصية والتعامل مع البيانات

من يتولى إنفاذ قانون حماية البيانات الكيني؟

مكتب مفوض حماية البيانات (ODPC)، الذي يشرف على تطبيق القانون ويتولى مسؤولية إنفاذه. ويحتفظ بسجل المتحكمين في البيانات ومعالجي البيانات ويحقق في الشكاوى، ويجوز لمفوض البيانات (Data Commissioner) إصدار إشعارات بالعقوبات المالية.

هل يتعين علينا التسجيل لدى ODPC؟

نعم، ما لم ينطبق إعفاء. يُعفى من التسجيل الإلزامي المتحكمون والمعالجون الذين يقل حجم أعمالهم السنوي أو إيراداتهم السنوية عن خمسة ملايين شلن ويقل عدد موظفيهم عن عشرة، إلا إذا كانوا يعالجون البيانات الشخصية لأغراض مدرجة مثل الخدمات المالية أو الرعاية الصحية أو التعليم أو الاتصالات.تكون شهادة التسجيل سارية لمدة 24 شهرًا. ويظل على المؤسسات المعفاة الامتثال لمبادئ القانون والتزاماته.

ما المدة التي يجب خلالها الإبلاغ عن اختراق البيانات في كينيا؟

دون تأخير، وخلال 72 ساعة من علم المتحكم في البيانات باختراق ينطوي على خطر حقيقي بإلحاق الضرر بأصحاب البيانات. ويجب على معالج البيانات إبلاغ المتحكم دون تأخير، وخلال 48 ساعة متى كان ذلك ممكنًا عمليًا بصورة معقولة.إذا قُدّم الإخطار إلى مفوض البيانات (Data Commissioner) بعد 72 ساعة، فيجب أن يتضمن أسباب التأخير.مسؤوليات العمليات الأمنيةما الذي يفعله SIEM

ما العقوبات المنصوص عليها في قانون حماية البيانات الكيني؟

يجوز لمفوض البيانات (Data Commissioner) فرض عقوبة مالية تصل إلى خمسة ملايين شلن، أو بالنسبة إلى المنشأة، ما يصل إلى 1% من حجم أعمالها السنوي في السنة المالية السابقة، أيهما أقل. ويُعاقب على الجرائم التي لم يُنص على عقوبة محددة لها بغرامة تصل إلى ثلاثة ملايين شلن، أو بالسجن مدة تصل إلى عشر سنوات، أو بكلتا العقوبتين.

هل تستطيع Vigilbase أن تجعلنا ممتثلين لقانون حماية البيانات الكيني؟

لا. تساعدكم Vigilbase على تشغيل الضمانات الأمنية وإثباتها بالأدلة: إذ تبقى السجلات المرتبطة قابلة للاستعلام، وتسجّل التحقيقات الأدلة والإجراءات والتحقق، وتحتفظ خدمة Managed Cloudflare بسجل التغييرات وملاحظات الحوادث. ويقرر مستشاروكم القانونيون ما يتطلبه القانون منكم.ابدأ مع Vigilbase OSوثائق الأمان في مركز الثقة

مواضيع ذات صلة

أساسيات الأمن

ما SIEM؟

أساسيات الأمن

ما SOC؟

أمن الشبكات

ما WAF؟

الامتثال والحوكمة

الامتثال لـ POPIA

الامتثال والحوكمة

قانون حماية البيانات النيجيري

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم