Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Conformidade e Governação

Data Protection Act 2019 do Quénia: o que exige

A Data Protection Act 2019 do Quénia: a quem se aplica, registo no ODPC, medidas de segurança, notificação de violações de dados em 72 horas e sanções.
Por VigilbasePublicado em
Ler o guiaMais tópicos

A Data Protection Act, 2019 (n.º 24 de 2019) do Quénia regula o tratamento de dados pessoais. Dá execução ao direito à privacidade consagrado no artigo 31 da Constituição, criou o Office of the Data Protection Commissioner (ODPC) e estabelece deveres para os responsáveis pelo tratamento e subcontratantes, incluindo o registo, as medidas de segurança e a notificação de violações de dados no prazo de 72 horas. Foi promulgada a 8 de novembro de 2019 e entrou em vigor a 25 de novembro de 2019. Este guia resume a Lei e os respetivos regulamentos de registo de 2021, e mostra onde as evidências das operações de segurança ajudam.

A quem se aplica a Data Protection Act do Quénia?

Nos termos da secção 4, a Lei aplica-se ao tratamento de dados pessoais inscritos num registo, por meios automatizados ou não automatizados, por um responsável pelo tratamento ou subcontratante que esteja estabelecido ou tenha residência habitual no Quénia e trate dados pessoais enquanto se encontra no Quénia. Aplica-se também a um responsável pelo tratamento ou subcontratante que não esteja estabelecido nem tenha residência habitual no Quénia, mas que trate dados pessoais de titulares dos dados localizados no Quénia.

Quais são os princípios da proteção de dados pessoais?

A secção 25 estabelece os princípios da proteção de dados. Todos os responsáveis pelo tratamento e subcontratantes devem garantir que os dados pessoais são:
1.Tratados de acordo com o direito à privacidade do titular dos dados.
2.Tratados de forma lícita, leal e transparente.
3.Recolhidos para finalidades explícitas, determinadas e legítimas, e não tratados posteriormente de forma incompatível.
4.Adequados, pertinentes e limitados ao necessário.
5.Exatos e, sempre que necessário, atualizados.
6.Recolhidos apenas quando seja fornecida uma explicação válida, sempre que sejam exigidas informações sobre assuntos familiares ou privados.
7.Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário.
8.Não transferidos para fora do Quénia, salvo se existir prova de salvaguardas adequadas de proteção de dados ou o consentimento do titular dos dados.

Quem tem de se registar junto do Data Commissioner?

A secção 18 determina que ninguém pode atuar como responsável pelo tratamento ou subcontratante sem estar registado junto do Data Commissioner, que define os limiares do registo obrigatório. Nos termos dos Data Protection (Registration of Data Controllers and Data Processors) Regulations, 2021, um certificado de registo é válido por 24 meses.
1.Um responsável pelo tratamento ou subcontratante com volume de negócios ou receitas anuais inferiores a cinco milhões de xelins e menos de dez trabalhadores está isento do registo obrigatório, mas tem de cumprir na mesma os princípios e as obrigações da Lei e as suas regras sobre transferências para fora do Quénia.
2.A isenção não se aplica ao tratamento para as finalidades enumeradas nos regulamentos, que incluem a prestação de serviços financeiros, a administração de saúde e a prestação de cuidados a doentes, as instituições de ensino, os fornecedores de redes ou serviços de telecomunicações, os serviços de transporte e o marketing direto.

Que medidas de segurança exige a Lei?

A secção 41 exige que todos os responsáveis pelo tratamento e subcontratantes apliquem medidas técnicas e organizativas adequadas que ponham em prática os princípios de proteção de dados e integrem as salvaguardas necessárias no tratamento, tanto no momento em que são definidos os meios de tratamento como durante o próprio tratamento. A secção 42 acrescenta que um responsável pelo tratamento que recorra a um subcontratante deve escolher um que ofereça garantias suficientes, ao abrigo de um contrato escrito que obrigue o subcontratante a atuar apenas segundo as instruções do responsável pelo tratamento. As medidas que a Lei pede aos responsáveis pelo tratamento e subcontratantes que considerem são:
1.Identificar os riscos internos e externos razoavelmente previsíveis para os dados pessoais.
2.Estabelecer e manter salvaguardas adequadas contra os riscos identificados.
3.Considerar a pseudonimização e a cifragem dos dados pessoais.
4.Ser capaz de restabelecer a disponibilidade e o acesso aos dados pessoais em tempo útil após um incidente físico ou técnico.
5.Verificar se as salvaguardas são efetivamente aplicadas.
6.Atualizar continuamente as salvaguardas em resposta a novos riscos ou deficiências.

Quando tem de ser comunicada uma violação de dados no Quénia?

Nos termos da secção 43, quando os dados pessoais tenham sido acedidos ou obtidos por uma pessoa não autorizada e exista um risco real de dano para o titular dos dados, o responsável pelo tratamento deve notificar o Data Commissioner sem demora, no prazo de 72 horas após tomar conhecimento da violação. Uma notificação posterior deve indicar os motivos do atraso. O responsável pelo tratamento deve também informar o titular dos dados por escrito num prazo razoavelmente praticável, salvo se não for possível determinar a sua identidade. Um subcontratante deve notificar o responsável pelo tratamento sem demora e, sempre que razoavelmente praticável, no prazo de 48 horas. O ODPC recebe as notificações de violações através de um formulário no seu site.
1.A notificação deve descrever a natureza da violação, as medidas tomadas ou previstas, o que o titular dos dados deve fazer, a pessoa não autorizada, se for conhecida, e um ponto de contacto.
2.Não é necessário informar os titulares dos dados quando tenham sido aplicadas salvaguardas de segurança adequadas, que podem incluir a cifragem.
3.O responsável pelo tratamento deve registar os factos relativos à violação, os seus efeitos e as medidas corretivas tomadas.

Quais são as sanções previstas na Data Protection Act do Quénia?

Nos termos da secção 63, o Data Commissioner pode aplicar uma coima até cinco milhões de xelins ou, no caso de uma empresa, até 1% do seu volume de negócios anual no exercício financeiro anterior, consoante o valor que for mais baixo. Nos termos da secção 73, um crime para o qual não esteja prevista uma pena específica é punível com multa até três milhões de xelins, prisão até dez anos, ou ambas. Uma pessoa que sofra danos, incluindo sofrimento psicológico, devido a uma infração tem direito a indemnização por parte do responsável pelo tratamento ou do subcontratante.

Como a Vigilbase apoia o trabalho relativo à Data Protection Act do Quénia

A Vigilbase não torna uma organização conforme com a Data Protection Act do Quénia, nem substitui o seu Data Protection Officer. Ajuda-o a operar algumas das salvaguardas descritas na secção 41 e a produzir evidências de que são monitorizadas e verificadas. Este guia resume a Lei e os respetivos regulamentos de registo. Não constitui aconselhamento jurídico: os seus consultores jurídicos decidem o que a Lei exige da sua organização.
1.O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar, o que o ajuda a identificar riscos e a verificar se as salvaguardas funcionam.
2.O agente Vigil investiga incidentes de gravidade elevada, e cada investigação regista as evidências, as ações tomadas e o resultado da verificação. Esse registo ajuda-o a reunir os factos, os efeitos e as medidas corretivas que a secção 43 lhe pede que registe e comunique.
3.O Managed Cloudflare opera os controlos de WAF, DDoS, bots e DNS no âmbito acordado, e a configuração, o histórico de alterações e as notas de incidentes são conservados para revisão.
4.A retenção predefinida é definida por conjunto de dados, normalmente entre 30 e 90 dias. Se tiver de conservar registos durante mais tempo, decida onde fica esse arquivo antes de consolidar.

Principais conclusões

✓A Data Protection Act, 2019 rege o tratamento de dados pessoais no Quénia, que é regulado pelo Office of the Data Protection Commissioner (ODPC).
✓Os responsáveis pelo tratamento e subcontratantes têm de se registar junto do Data Commissioner, salvo se se aplicar uma isenção prevista nos regulamentos de registo de 2021.
✓As violações com risco real de dano têm de ser notificadas ao Data Commissioner no prazo de 72 horas após se tomar conhecimento delas.
✓A secção 41 exige medidas técnicas e organizativas adequadas, verificadas e mantidas atualizadas.
✓A Vigilbase ajuda-o a operar salvaguardas de segurança e a demonstrá-las com evidências; não certifica a conformidade.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

SOC gerido

Saiba mais

Cloudflare gerido

Saiba mais

Vigilbase OS

Saiba mais

Managed Cloudflare no Quénia

Saiba mais

Cloudflare Enterprise no Quénia

Saiba mais

Perguntas frequentes

O que é a Data Protection Act do Quénia?

A Data Protection Act, 2019 (n.º 24 de 2019) é a lei de proteção de dados do Quénia. Regula o tratamento de dados pessoais, confere direitos aos titulares dos dados, estabelece deveres para os responsáveis pelo tratamento e subcontratantes, e criou o Office of the Data Protection Commissioner.Privacidade e tratamento de dados

Quem fiscaliza o cumprimento da Data Protection Act do Quénia?

O Office of the Data Protection Commissioner (ODPC), que supervisiona a aplicação da Lei e é responsável por fazê-la cumprir. Mantém o registo dos responsáveis pelo tratamento e subcontratantes e investiga reclamações, e o Data Commissioner pode emitir notificações de sanção.

Temos de nos registar junto do ODPC?

Sim, salvo se se aplicar uma isenção. Os responsáveis pelo tratamento e subcontratantes com volume de negócios ou receitas anuais inferiores a cinco milhões de xelins e menos de dez trabalhadores estão isentos do registo obrigatório, exceto quando tratam dados pessoais para finalidades enumeradas, como serviços financeiros, cuidados de saúde, ensino ou telecomunicações.Um certificado de registo é válido por 24 meses. As organizações isentas têm de cumprir na mesma os princípios e as obrigações da Lei.

Com que rapidez tem de ser comunicada uma violação de dados no Quénia?

Sem demora e no prazo de 72 horas após o responsável pelo tratamento tomar conhecimento de uma violação que implique um risco real de dano para os titulares dos dados. Um subcontratante deve informar o responsável pelo tratamento sem demora e, sempre que razoavelmente praticável, no prazo de 48 horas.Se a notificação ao Data Commissioner for feita após as 72 horas, deve indicar os motivos do atraso.Responsabilidades nas operações de segurançaO que faz um SIEM

Quais são as sanções previstas na Data Protection Act do Quénia?

O Data Commissioner pode aplicar uma coima até cinco milhões de xelins ou, no caso de uma empresa, até 1% do volume de negócios anual no exercício financeiro anterior, consoante o valor que for mais baixo. Os crimes sem pena específica são puníveis com multa até três milhões de xelins, prisão até dez anos, ou ambas.

A Vigilbase pode pôr-nos em conformidade com a Data Protection Act do Quénia?

Não. A Vigilbase ajuda-o a operar e a comprovar salvaguardas de segurança: os registos ligados continuam pesquisáveis, as investigações registam as evidências, as ações e a verificação, e o Managed Cloudflare mantém o histórico de alterações e as notas de incidentes. Os seus consultores jurídicos decidem o que a Lei exige de si.Comece a utilizar o Vigilbase OSDocumentação de segurança no Centro de Confiança

Tópicos Relacionados

Noções básicas de segurança

O que é o SIEM?

Noções básicas de segurança

O que é o SOC?

Segurança de rede

O que é o WAF?

Conformidade e Governação

Conformidade com a POPIA

Conformidade e Governação

Nigeria Data Protection Act

Começar agora

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.
Começar agora Continuar a aprender