በሩዋንዳ የውሂብ ጥበቃ ሕግ፦ ንግዶች ሕግ Nº 058/2021ን ለማክበር ምን ማድረግ አለባቸው

የ በሩዋንዳ ያለው የውሂብ ጥበቃ ሕግ ከአሁን በኋላ የወደፊት የተገዢነት ፕሮጀክት አይደለም፦ ለነባር ንግዶች የተሰጠው የሁለት ዓመት የሽግግር ጊዜ አብቅቷል፤ ተቆጣጣሪውም አሁን ድርጅቶችን ይመዘግባል፣ ዓለም አቀፍ የውሂብ ማስተላለፎችን ይፈቅዳል እንዲሁም የጥሰት ሪፖርቶችን ይቀበላል። ይህ መመሪያ ሕጉ የሚጠይቀውን፣ ተፈጻሚ የሚሆንባቸውን አካላት፣ አለማክበር ሊያስከትል የሚችለውን ዋጋ እና አሁን መወሰድ ያለባቸውን እርምጃዎች ያስቀምጣል። ለተግባራዊ ድጋፍ፣ የእኛ የውሂብ ጥበቃና የሳይበር ደህንነት ቡድን በሁሉም ዘርፎች ላሉ ድርጅቶች ምክር ይሰጣል።

በሩዋንዳ የውሂብ ጥበቃ ሕግ ምንድን ነው?

ጉዳዩን የሚገዛው ሕግ የግል መረጃንና ግላዊነትን ስለመጠበቅ የወጣው ሕግ Nº 058/2021 (13/10/2021)ነው፤ ሕጉ የታተመው በ ኦክቶበር 15, 2021 በወጣው የይፋዊ ጋዜጣ ልዩ እትምነው። ሕጉ ከታተመበት ቀን ጀምሮ ተፈጻሚ ሆኗል። ቀድሞውኑ በሥራ ላይ የነበሩ ንግዶች ሥራቸውን ከሕጉ ጋር ለማጣጣም ከታተመበት ጊዜ ጀምሮ ከሁለት ዓመት ያልበለጠ ጊዜ ተሰጥቷቸው ነበር፤ ስለዚህ ያ የእፎይታ ጊዜ አሁን አብቅቷል።

ሕጉ «ተቆጣጣሪ ባለሥልጣን» ብሎ የሚሰይመው የሳይበር ደህንነትን በኃላፊነት የሚመራውን የመንግሥት ባለሥልጣን ነው። በተግባር ይህ ባለሥልጣን ብሔራዊ የሳይበር ደህንነት ባለስልጣን (NCSA)ነው፤ ሕጉን የሚቆጣጠረው በውሂብ ጥበቃና ግላዊነት ጽሕፈት ቤቱ (DPO) አማካይነት ነው።

ሕጉ በማን ላይ ተፈጻሚ ይሆናል?

ሕጉ በአውቶማቲክም ሆነ ያለ አውቶማቲክ በሚከተሉት የውሂብ ተቆጣጣሪ፣ የውሂብ አቀናባሪ ወይም ሦስተኛ ወገን በሚደረግ ማንኛውም የግል መረጃ ማቀናበር ላይ ተፈጻሚ ይሆናል፦

• በሩዋንዳ የተቋቋመ ወይም የሚኖር እና በሩዋንዳ ሆኖ የግል መረጃን የሚያቀናብር፤ ወይም
• በሩዋንዳ ያልተቋቋመ ወይም የማይኖር ሆኖ ነገር ግን በሩዋንዳ የሚገኙ የመረጃ ባለቤቶችን የግል መረጃ የሚያቀናብር።

ስለዚህ በሩዋንዳ ቢሮ የሌለው ኩባንያም በሩዋንዳ ያሉ ደንበኞችን የሚያገለግል ከሆነ በሕጉ ሊሸፈን ይችላል፤ እንዲሁም በሩዋንዳ ወኪሉን በጽሑፍ መሰየም አለበት።

የግል መረጃ እና ስሱ የግል መረጃ

የግል መረጃ ማለት ተለይቶ ከታወቀ ወይም ሊታወቅ ከሚችል የተፈጥሮ ሰው ጋር የተያያዘ ማንኛውም መረጃ ነው፤ ለምሳሌ ስም፣ የመታወቂያ ቁጥር፣ የአካባቢ መረጃ ወይም የመስመር ላይ መለያ። ስሱ የግል መረጃ፣ ይህም የጤና ሁኔታን፣ የወንጀል መዝገብን፣ ሃይማኖታዊ እምነትን፣ የፖለቲካ አመለካከትን ወይም የዘረመል መረጃን የሚገልጽ መረጃን የሚያካትት ሲሆን፣ ጥብቅ ሁኔታዎችና ከባዱ የወንጀል ቅጣቶች ተፈጻሚ ይሆኑበታል።

የውሂብ ተቆጣጣሪዎችና አቀናባሪዎች ዋና ግዴታዎች

በNCSA መመዝገብ

እንደ የውሂብ ተቆጣጣሪ ወይም የውሂብ አቀናባሪ ለመሥራት ያሰበ ማንኛውም ሰው በተቆጣጣሪው ባለሥልጣን መመዝገብ አለበት። ማመልከቻው ከሌሎች ነገሮች በተጨማሪ የሚቀናበረውን የግል መረጃ፣ የመረጃ ባለቤቶችን ምድቦች፣ የማቀናበር ዓላማዎችን፣ ተቀባዮችን፣ ውሂቡ የሚተላለፍበትን ማንኛውም አገር፣ እንዲሁም ያሉትን ስጋቶችና እነሱን ለመቅረፍ የሚወሰዱ እርምጃዎችን መግለጽ አለበት። ባለሥልጣኑ መስፈርቱን ለሚያሟላ አመልካች ማመልከቻውን በተቀበለ በ 30 የሥራ ቀናት ውስጥ የምስክር ወረቀት ይሰጣል። የDPO የምዝገባ መመሪያ እና የማመልከቻ ቅጾች በመስመር ላይ ታትመዋል።

ምዝገባ የአንድ ጊዜ ሥራ አይደለም፦ ለውጦች በ15 የሥራ ቀናት ውስጥ መገለጽ አለባቸው፤ እድሳትም የምስክር ወረቀቱ ከማብቃቱ በፊት ባሉት 45 የሥራ ቀናት ውስጥ ሊጠየቅ ይችላል።

ሕጋዊ መሠረት፣ ግልጽነት እና መዛግብት

ማቀናበር ሕጋዊ የሚሆነው በሕጉ ከተዘረዘሩት ምክንያቶች በአንዱ ላይ ሲመሠረት ብቻ ነው፤ እነዚህም ፈቃድ፣ ውልን መፈጸም፣ ሕጋዊ ግዴታ፣ ወሳኝ ጥቅሞች፣ የሕዝብ ጥቅም ተግባር፣ ሕጋዊ ጥቅሞች እና የተፈቀደ ምርምርን ያካትታሉ። ውሂብ በሚሰበስብበት ጊዜ ተቆጣጣሪው ለግለሰቦች ከሌሎች ነገሮች በተጨማሪ ውሂቡ ለምን እንደሚሰበሰብ፣ ማን እንደሚቀበለው፣ ለምን ያህል ጊዜ እንደሚቀመጥ እና ምን መብቶች እንዳሏቸው መንገር አለበት።

ተቆጣጣሪዎችና አቀናባሪዎች የሁሉንም የማቀናበር ተግባራት መዝገብ መያዝ፣ ተገቢ የቴክኒክና የድርጅታዊ የደህንነት እርምጃዎችን መተግበር፣ እና ማቀናበሩ ከፍተኛ ስጋት ሊያስከትል በሚችልበት ጊዜ የውሂብ ጥበቃ ተጽዕኖ ግምገማ (DPIA) ማካሄድ አለባቸው። ይህን ከሚያስፈልጉ ሁኔታዎች መካከል ስሱ ውሂብን በሰፊው ማቀናበር፣ አውቶማቲክ ፕሮፋይሊንግ እና አዳዲስ ቴክኖሎጂዎች ይገኙበታል፤ ይህም በቀጥታ የሚመለከተው ትንታኔ (analytics) ወይም የAI እና የውሂብ ማዕከል መሠረተ ልማትን የሚጠቀሙ ንግዶችን ነው.

የውሂብ ጥበቃ ኃላፊ

የውሂብ ጥበቃ ኃላፊ በበርካታ ሁኔታዎች መሰየም አለበት፤ ከእነዚህም መካከል ማቀናበሩ በመንግሥት ወይም በግል የኮርፖሬት አካል ወይም ሕጋዊ ሰውነት ባለው ድርጅት (ከፍርድ ቤቶች በስተቀር) የሚከናወን ሲሆን ይገኝበታል። በቀጥታ ንባብ ይህ አብዛኞቹን ኩባንያዎች ይሸፍናል። ኃላፊው ሠራተኛ ወይም የውጭ አገልግሎት ሰጪ ሊሆን ይችላል፤ የመገናኛ ዝርዝሮቹም መታተምና ለባለሥልጣኑ መላክ አለባቸው። DPO ለዚህ እርምጃ ድጋፍ የሚሆን የሹመት መመሪያ አሳትሟል።

ንግዶች ማክበር ያለባቸው የመረጃ ባለቤቶች መብቶች

ሕጉ ለግለሰቦች በጽሑፍ ወይም በኤሌክትሮኒክ መንገድ ሊጠቀሙባቸው የሚችሉ የተወሰኑ መብቶችን ይሰጣል፦

• የማግኘት መብት፦ ስለ ማቀናበሩ ዓላማዎች መረጃ፣ የውሂባቸው ቅጂ፣ ምንጩ እና ወደ ውጭ አገር ተላልፎ እንደሆነ።
• የመቃወም መብት፦ ለቀጥታ ግብይት (direct marketing) የሚደረግን ማቀናበር ያለ ቅድመ ሁኔታ የማስቆም መብትን ጨምሮ።
• የማዛወር መብት፦ ውሂባቸውን በተደራጀና ሊነበብ በሚችል ቅርጸት መቀበል ወይም ወደ ሌላ ተቆጣጣሪ እንዲላክ ማድረግ።
• ማቀናበርን መገደብ፣ ማረም እና መሰረዝ፣ በተዘረዘሩት ልዩ ሁኔታዎች መሠረት።
• በአውቶማቲክ ማቀናበር ላይ ብቻ በተመሠረቱ ውሳኔዎች ያለመገዛት፣ ፕሮፋይሊንግን ጨምሮ፣ ከውስን ልዩ ሁኔታዎች ጋር።
• ወራሽ መሰየም (ለግል መረጃቸው) እና ውክልና፣ ለምሳሌ ዕድሜያቸው ከ16 ዓመት በታች ለሆኑ ሕፃናት።

ለአብዛኞቹ መብቶች ተቆጣጣሪው ጥያቄው በቀረበ በ 30 ቀናት ውስጥ ምላሽ መስጠት አለበት። ያልረካ ግለሰብ በ30 ቀናት ውስጥ ለተቆጣጣሪው ባለሥልጣን ይግባኝ ማለት ይችላል፤ ባለሥልጣኑም በ60 ቀናት ውስጥ ምላሽ ይሰጣል። ስለዚህ የሰው ሀብት (HR)፣ የደንበኞች አገልግሎትና የግብይት ቡድኖች በሰነድ የተቀመጠ ሂደት ያስፈልጋቸዋል። አሠሪዎች ይህንን ከ የቅጥር ውሎቻቸውና የሠራተኛ ፖሊሲዎቻቸውጋር ማጣጣም አለባቸው፤ ምክንያቱም የሠራተኞች መዛግብትም የግል መረጃ ናቸው።

ድንበር ተሻጋሪ ማስተላለፍ፣ ማከማቸት እና የጥሰት ማሳወቂያ

ከሩዋንዳ ውጭ ማስተላለፍና ማከማቸት

መሠረታዊው ደንብ የግል መረጃ በሩዋንዳ ውስጥ እንዲከማች ነው። ከሩዋንዳ ውጭ ማከማቸት የሚፈቀደው ተቆጣጣሪው ወይም አቀናባሪው ይህንን የሚፈቅድ ሕጋዊ የምዝገባ የምስክር ወረቀት ሲኖረው ብቻ ነው። በውጭ አገር ላለ ሦስተኛ ወገን ማስተላለፍ በተወሰኑ ምክንያቶች ይፈቀዳል፤ እነዚህም ተገቢ ጥበቃዎች መኖራቸው ከተረጋገጠ በኋላ የተቆጣጣሪው ባለሥልጣን ፈቃድ፣ የግለሰቡ ፈቃድ ወይም ለውል ወይም ለሕጋዊ የይገባኛል ጥያቄ አስፈላጊ መሆንን ያካትታሉ። የጽሑፍ ውል የእያንዳንዱን ወገን ኃላፊነቶች ማስቀመጥ አለበት፤ ባለሥልጣኑም ማስተላለፍን ሊያግድ ወይም ሊከለክል ይችላል።

የውጭ አገር የክላውድ ማስተናገጃ ወይም የቡድን የሰው ሀብት (HR) ሥርዓቶችን የሚጠቀሙ ንግዶች የDPOን የማስተላለፍ ፈቃድ አገልግሎት መገምገምና እነዚህን ውሎች በራሳቸው የንግድ ውሎችውስጥ ማካተት አለባቸው። ለሰፊው የፖሊሲ አውድ ትንታኔያችንን ይመልከቱ፦ ድንበር ተሻጋሪ መረጃ በአፍሪካ ውስጥ ይፈስሳል.

የግል መረጃ ጥሰቶች

የጥሰት ጊዜ ሰሌዳው ጠባብ ሲሆን ብዙ ጊዜም በስህተት ይገለጻል፦

• የ ውሂብ ተቆጣጣሪ ኃላፊነት ነው፦ የግል መረጃ ጥሰት መከሰቱን ካወቀበት ጊዜ ጀምሮ ለተቆጣጣሪው ባለሥልጣን በ 48 ሰዓታት ውስጥ ማሳወቅ።
• A የውሂብ አቀናባሪ ኃላፊነት ነው፦ ጥሰቱን ካወቀበት ጊዜ ጀምሮ ተቆጣጣሪውን በ 48 ሰዓታት ውስጥ ማሳወቅ።
• ከዚያም ተቆጣጣሪው የጥሰት ሪፖርት ለባለሥልጣኑ ከ 72 ሰዓታትባልበለጠ ጊዜ ውስጥ ማቅረብ አለበት፤ ሪፖርቱ የጥሰቱን ምንነት፣ የተጎዱ ሰዎችንና መዛግብትን፣ የተወሰዱ እርምጃዎችን እና የተጎዱ ግለሰቦችን ለማሳወቅ የቀረበ ሐሳብን ማካተት አለበት።
• ጥሰቱ በግለሰቦች ላይ ከፍተኛ ስጋት ሊያስከትል የሚችል ከሆነ፣ በሕግ የተደነገገ ልዩ ሁኔታ ካልተፈጻሚ በስተቀር ተቆጣጣሪው ግለሰቦቹንም ማሳወቅ አለበት።

DPO የሚከተለውን ቻናል ያስተዳድራል፦ የውሂብ ጥሰትን ሪፖርት ማድረጊያ። እነዚህን የጊዜ ገደቦች ለማሟላት ውሳኔ ሰጪዎችን አስቀድሞ የሚሰይም ዕቅድ ወሳኝ ነው።

በሩዋንዳ የውሂብ ጥበቃ ሕግ መሠረት የሚጣሉ ቅጣቶች

አስተዳደራዊ ጥፋቶች። የማቀናበር መዛግብትን አለመያዝ፣ ያለ ምዝገባ የምስክር ወረቀት መሥራት፣ ጊዜው ያለፈበት የምስክር ወረቀት መጠቀም፣ የውሂብ ጥበቃ ኃላፊ አለመሰየም፣ ወይም ጥሰትን አለማሳወቅ ወይም ሪፖርት አለማድረግ የመሳሰሉ ጉድለቶች ከRWF 2,000,000 ያላነሰ እና ከRWF 5,000,000 ያልበለጠ አስተዳደራዊ የገንዘብ ቅጣት፣ ወይም ካለፈው የበጀት ዓመት ዓለም አቀፍ ገቢ 1% ያስከትላሉ። ለኮርፖሬት አካል ወይም ሕጋዊ ሰውነት ላለው ድርጅት ሕጉ ካለፈው የበጀት ዓመት ዓለም አቀፍ ገቢ 1% ይደነግጋል።

የወንጀል ድርጊቶች። የግል መረጃን በሕገ-ወጥ መንገድ ማግኘት፣ መሰብሰብ፣ መጠቀም፣ ማጋራት ወይም ይፋ ማድረግ ከአንድ እስከ ሦስት ዓመት በሚደርስ እስራት እና ከRWF 7,000,000 እስከ RWF 10,000,000 በሚደርስ የገንዘብ ቅጣት ወይም ከእነዚህ ቅጣቶች በአንዱ ያስቀጣል። ውሂብን በሕገ-ወጥ መንገድ መሸጥ እና ስሱ ውሂብን በሕገ-ወጥ መንገድ ማቀናበር የበለጠ ከባድ ቅጣት ያስከትላሉ። ጥፋተኛ የተባለ የኮርፖሬት አካል ካለፈው የበጀት ዓመት ዓመታዊ ገቢው 5% የገንዘብ ቅጣት ይጣልበታል፤ ከባድ ጉዳት የደረሰባቸው ግለሰቦችም በፍርድ ቤት ካሳ መጠየቅ ይችላሉ።

ተግባራዊ የተገዢነት ማረጋገጫ ዝርዝር

• ውሂብዎን ይለዩና ያደራጁ፦ ምን እንደያዙ፣ የት እንደሚገኝ እና ወዴት እንደሚተላለፍ።
• ሚናዎን ያረጋግጡና ይመዝገቡ — እንደ ተቆጣጣሪ፣ አቀናባሪ ወይም ሁለቱም — እና የእድሳት ቀኑን ይመዝግቡ።
• የውሂብ ጥበቃ ኃላፊ ይሹሙ እና ዝርዝሮቹን ለባለሥልጣኑ ያሳውቁ።
• ማሳወቂያዎችንና የፈቃድ ቅጾችን ያዘምኑ — በድረ-ገጾች፣ በመተግበሪያዎች፣ በቅጾችና በሠራተኛ ሰነዶች ላይ።
• የመዛግብት መዝገብና የDPIA ሂደት ያዘጋጁ — ከፍተኛ ስጋት ላላቸው ፕሮጀክቶች።
• የማስተላለፍና የማከማቸት ፈቃዶችን ያግኙ እና ከአቅራቢዎች ጋር የጽሑፍ የማስተላለፍ ውሎችን ይፈርሙ።
• የጥሰት ምላሽ ዕቅድን ይሞክሩ — ከ48 ሰዓት እና ከ72 ሰዓት የጊዜ ገደቦች አንጻር።
• ተያያዥ ሀብቶችን ይጠብቁ፦ የደንበኞች የውሂብ ቋቶችና ሶፍትዌሮች ብዙውን ጊዜ በሚከተለው ሕግ መሠረትም ጥበቃ ያስፈልጋቸዋል፦ በሩዋንዳ የአእምሯዊ ንብረት ሕግ.
• አስተዳደርን ያደራጁ፦ የውሂብ ስጋትን ለቦርዱ ሪፖርት ያድርጉ፤ ይህም የጤናማ የድርጅት አስተዳደርአካል ነው፤ የውሂብ ጥበቃንም በቅድመ-ምርመራ (due diligence) ውስጥ ያካትቱ — ለግዢዎችም ሆነ ለ ዓለም አቀፍ ኢንቨስትመንት.

በተደጋጋሚ የሚጠየቁ ጥያቄዎች

የሩዋንዳ የውሂብ ጥበቃ ሕግ ስሙ ማን ይባላል?

የግል መረጃንና ግላዊነትን ስለመጠበቅ የወጣው ሕግ Nº 058/2021 (13/10/2021) ነው። ሕጉ ኦክቶበር 15, 2021 በይፋዊ ጋዜጣ ታትሞ ተፈጻሚ ሆኗል፤ ለነባር ንግዶች የተሰጠው የሁለት ዓመት የሽግግር ጊዜም አብቅቷል።

በሩዋንዳ የውሂብ ጥበቃን የሚቆጣጠረው ማነው?

ብሔራዊ የሳይበር ደህንነት ባለሥልጣን (NCSA) ሕጉን በውሂብ ጥበቃና ግላዊነት ጽሕፈት ቤቱ አማካይነት ይቆጣጠራል። ተቆጣጣሪዎችንና አቀናባሪዎችን ይመዘግባል፣ ወደ ውጭ አገር ማስተላለፍን ይፈቅዳል፣ ቅሬታዎችን ያስተናግዳል እንዲሁም አስተዳደራዊ ቅጣቶችን ይጥላል።

የውጭ ኩባንያዎች በNCSA መመዝገብ አለባቸው?

ሕጉ ከሩዋንዳ ውጭ ሆነው በሩዋንዳ የሚገኙ ሰዎችን የግል መረጃ በሚያቀናብሩ ተቆጣጣሪዎችና አቀናባሪዎች ላይ ተፈጻሚ ይሆናል። እንደነዚህ ያሉ ንግዶች በሩዋንዳ ወኪልን በጽሑፍ መሰየም አለባቸው። ስለዚህ የሩዋንዳ ደንበኞችን የሚያገለግሉ የውጭ ኩባንያዎች መመዝገብ ያስፈልጋቸው እንደሆነ መገምገም አለባቸው።

በሩዋንዳ የውሂብ ጥሰት ምን ያህል በፍጥነት ሪፖርት መደረግ አለበት?

የውሂብ ተቆጣጣሪው ጥሰቱን ባወቀ በ48 ሰዓታት ውስጥ ለተቆጣጣሪው ባለሥልጣን ማሳወቅ አለበት፤ አቀናባሪውም በተመሳሳይ ጊዜ ውስጥ ተቆጣጣሪውን ማሳወቅ አለበት። ሙሉ የጥሰት ሪፖርት ከ72 ሰዓታት ባልበለጠ ጊዜ ውስጥ መቅረብ አለበት። ከፍተኛ ስጋት ያላቸው ጥሰቶች ለተጎዱ ግለሰቦችም መገለጽ አለባቸው።

የግል መረጃ ከሩዋንዳ ውጭ ሊከማች ይችላል?

አዎ፣ ነገር ግን ተቆጣጣሪው ወይም አቀናባሪው ከሩዋንዳ ውጭ ማከማቸትን የሚፈቅድ ሕጋዊ የምዝገባ የምስክር ወረቀት ሲኖረው ብቻ ነው። በውጭ አገር ላሉ ሦስተኛ ወገኖች ማስተላለፍም በሕጉ ከተቀመጡት ምክንያቶች አንዱን ማሟላት እና በጽሑፍ ውል መሸፈን አለበት።

ማጠቃለያ

በሩዋንዳ የውሂብ ጥበቃ ሕግን ማክበር አሁን የዕለት ተዕለት የሥራ መስፈርት ሲሆን፣ የሚያዘገዩ ንግዶች እውነተኛ አስተዳደራዊና የወንጀል ተጠያቂነት ይጠብቃቸዋል። በተሻለ ሁኔታ ላይ ያሉት ድርጅቶች ክስተት ከመከሰቱ በፊት የሚመዘገቡ፣ የውሂብ ጥበቃ ኃላፊ የሚሹሙ፣ ማቀናበራቸውን በሰነድ የሚያስፍሩ እና የጥሰት ምላሽን የሚለማመዱ ናቸው።

የWAYAN በሩዋንዳ የውሂብ ጥበቃና የሳይበር ደህንነት ጠበቆች ያሉበትን ሁኔታ ሊገመግሙ፣ የNCSA ምዝገባዎንና ፈቃዶችዎን ሊያስተዳድሩ እንዲሁም ለንግድዎ የሚስማማ የተገዢነት ፕሮግራም ሊገነቡ ይችላሉ። ከWAYAN ጋር ምክክር ይያዙ ፤ በዚህም ሥራውን እንጀምር።