Protection des données :Kenya
- Vérifié le 15 oct. 2026
- ODPC
Texte de référence
Data Protection Act
Data Protection Act, 2019
Formalités
Nul ne peut agir comme responsable ou sous-traitant sans être enregistré auprès du Data Commissioner (art. 18(1)), au-delà des seuils que celui-ci fixe selon le secteur, le volume de données et la sensibilité des traitements (art. 18(2)).
Délégué à la protection des données
CORRECTION : l'article 24(1) emploie « may designate » (« peut désigner ») — y compris pour les critères habituellement associés à une obligation ailleurs (organisme public, suivi régulier à grande échelle, données sensibles). Plusieurs analyses juridiques indépendantes (dont Privacy International) relèvent explicitement cette formulation permissive comme une ambiguïté du texte : la désignation reste, à la lettre de la loi, facultative — contrairement à ce qu'indiquait une revue précédente qui la présentait comme obligatoire.
Notification d'une violation de données
En cas d'accès ou d'acquisition non autorisés présentant un risque réel pour la personne concernée (art. 43(1)), le responsable notifie le Data Commissioner sans délai et au plus tard sous 72 heures, en motivant tout retard (43(1)-(2)) ; le sous-traitant notifie le responsable sans délai, en pratique sous 48 heures (43(3)). La personne concernée est informée par écrit dans un délai raisonnable, sauf si son identité est inconnue ou si des mesures de sécurité appropriées (dont le chiffrement) rendaient les données inintelligibles (43(1)(b), 43(6)).
Transferts hors du pays
Transferts hors du Kenya soumis à des garanties appropriées ou à un niveau de protection adéquat.
Localisation des données
Certains traitements d'intérêt stratégique doivent être effectués sur un serveur ou un centre de données situé au Kenya.
Données sensibles
Données sensibles soumises à des conditions renforcées.
Sanctions
Amende administrative jusqu'à 5 millions KES ou 1 % du chiffre d'affaires annuel de l'exercice précédent, le montant le plus faible des deux étant retenu (art. 63). Sanction pénale générale (pour toute infraction sans peine spécifique prévue) : amende jusqu'à 3 millions KES et/ou jusqu'à 10 ans de prison (art. 73).
Autres textes utiles
- Computer Misuse and Cybercrimes Act, 2018
Kenya : votre checklist de conformité en 3 minutes.
Indiquez vos données et votre hébergement : CodeBox génère vos obligations et suit votre avancement, pays par pays.