Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Réglementations › Reste du monde › Kenya
DPA (Kenya)
Data Protection Act, 2019 (Kenya)
QuandEn vigueur depuis le 25 novembre 2019
Qui en assure l’applicationBureau du commissaire à la protection des données (ODPC)
À qui elle s’appliqueResponsables du traitement et sous-traitants établis au Kenya ou y effectuant un traitement de données personnelles.
Informer le régulateurNotifier le commissaire aux données dans un délai de 72 heures à compter de la prise de connaissance lorsqu’il existe un risque réel de pré…
DPO requisLes responsables du traitement et les sous-traitants peuvent désigner un DPO pour les organismes publics ou privés, le suivi systémati…
EnregistrementLes responsables du traitement et les sous-traitants doivent s’enregistrer, payer des frais échelonnés (KES 4,000-40,000) et renouveler tous les 2…
Transferts à l’étrangerLes transferts nécessitent de démontrer au commissaire aux données l’existence de garanties appropriées, ou une condition énumérée
Délai de réponse aux demandes7 jours pour l’accès
Amende maximaleJusqu’à KES 5 millions ou 1% du chiffre d’affaires annuel de l’exercice précédent, le montant le plus faible étant retenu (environ USD 39,000…
57%
of Kenya's 21 requirements are already met by European Union (GDPR). Here is what DPA (Kenya) adds, biggest gaps first.
EnregistrementGouvernanceBig gap
GDPR0 No general registration; controllers communicate DPO contact details to the supervisory authority.
DPA (Kenya) adds3 Controllers and processors must register, pay tiered fees (KES 4,000-40,000) and renew every 24 months; small entities exempt unless in listed sectors.
ss.18-19; Regs 4, 9, 11, 13, LN 265 of 2021 · source ↗
LocalisationTransfertsBig gap
GDPR– Not addressed
DPA (Kenya) adds2 Data for listed public-good purposes (civil registration, elections, public finance, health, education) must be processed in Kenya or keep a serving copy there.
s.50; Reg. 26, LN 263 · source ↗
Portée extraterritorialePortée et base légaleGap
GDPR2 Applies to non-EU controllers offering goods or services to, or monitoring the behavior of, people in the EU.
DPA (Kenya) adds3 Applies to controllers and processors outside Kenya that process personal data of data subjects located in Kenya.
s.4(b)(ii) · source ↗
EnfantsPortée et base légaleGap
GDPR2 Parental consent required for information society services offered to children under 16; Member States may lower the age to no less than 13.
DPA (Kenya) adds3 Age 18. Processing requires parent or guardian consent and must serve the child's best interests; profiling children for direct marketing is barred.
s.33; Reg. 13(2) · source ↗
Délai de réponse aux demandesDroits des personnesGap
GDPR2 Respond within one month, extendable by two further months for complex or numerous requests.
DPA (Kenya) adds3 7 days for access; 14 days for rectification, erasure, objection and restriction; 30 days for portability.
Regs 7(3), 8(3), 9(4), 10(4), 11(3), 12(3), LN 263 of 2021 · source ↗
MarketingDroits des personnesGap
GDPR2 Absolute right to object to direct marketing; prior consent required for electronic marketing under the ePrivacy Directive, with a customer soft opt-in.
DPA (Kenya) adds3 Commercial use, including direct marketing, requires express consent; messages must carry a simple opt-out, and objection is absolute.
s.37; Regs 14-17, LN 263 · source ↗
DPIAGouvernanceGap
GDPR2 DPIA required before processing likely to result in high risk; prior consultation if residual high risk remains.
DPA (Kenya) adds3 DPIA required before high-risk processing, with a mandatory list; reports go to the Data Commissioner 60 days before processing.
s.31; Regs 49-53, LN 263 · source ↗
ConservationGouvernanceGap
GDPR1 Storage limitation: keep identifiable data no longer than necessary; erase when no longer needed.
DPA (Kenya) adds2 Keep data only as long as reasonably necessary, maintain a retention schedule with periodic review, then erase or anonymize.
s.39; Reg. 19, LN 263 · source ↗
Responsabilité pénaleApplicationGap
GDPR1 Member States set other penalties, including criminal penalties, for infringements not subject to administrative fines.
DPA (Kenya) adds2 General penalty of up to KES 3 million or 10 years' imprisonment, or both, for offenses under the Act.
s.73(1) · source ↗
Already covered by GDPR: Lawful basis, Consent, Sensitive data, Rights, DPO required, DPO qualifications, Records, Tell the regulator, Tell people, Transfers abroad, Maximum fine, Private action.
A gap means DPA (Kenya) is more demanding than GDPR on that requirement, on our 0 to 3 scale (how we score). Read the cited section before acting. Not legal advice.
Bibliothèque des réglementations
Toutes les lois des États américains sur la vie privée, sur une seule carte
24 États disposent d’une loi générale sur la vie privée dans la bibliothèque, aux côtés des lois de l’UE, du Royaume-Uni, des lois fédérales américaines et des lois du reste du monde : 102 au total, chacune expliquée en termes simples avec ses sources. Sélectionnez un État pour voir ce qui s’y applique.
- En vigueur
- Entrée en vigueur prochaine
- Lois sectorielles