Wet op gegevensbescherming in Rwanda: wat bedrijven moeten doen om te voldoen aan Wet Nº 058/2021

De wet op gegevensbescherming in Rwanda is niet langer een nalevingsproject voor de toekomst: de overgangsperiode van twee jaar voor bestaande bedrijven is verstreken, en de toezichthouder registreert nu organisaties, verleent toestemming voor internationale doorgiften en ontvangt meldingen van inbreuken. Deze gids zet uiteen wat de wet vereist, voor wie zij geldt, wat niet-naleving kan kosten en welke stappen u nu moet zetten. Voor praktische ondersteuning staat ons team voor gegevensbescherming en cyberbeveiliging klaar, dat organisaties in alle sectoren adviseert.

Wat is de wet op gegevensbescherming in Rwanda?

De toepasselijke wet is Wet Nº 058/2021 van 13/10/2021 betreffende de bescherming van persoonsgegevens en de privacy, gepubliceerd in de speciale editie van het Staatsblad van 15 oktober 2021. De wet is in werking getreden op de datum van publicatie. Bedrijven die al actief waren, hadden vanaf de publicatie maximaal twee jaar om hun activiteiten in overeenstemming te brengen; die overgangstermijn is dus verstreken.

De wet wijst als „toezichthoudende autoriteit” de overheidsinstantie aan die verantwoordelijk is voor cyberveiligheid. In de praktijk is dit de Nationale Cyberveiligheidsautoriteit (NCSA), die toezicht houdt op de wet via haar Data Protection and Privacy Office (DPO).

Op wie is de wet van toepassing?

De wet is van toepassing op elke geautomatiseerde of niet-geautomatiseerde verwerking van persoonsgegevens door een verwerkingsverantwoordelijke, verwerker of derde die:

• in Rwanda gevestigd of woonachtig is en persoonsgegevens in Rwanda verwerkt; of
• niet in Rwanda gevestigd of woonachtig is, maar persoonsgegevens verwerkt van betrokkenen die zich in Rwanda bevinden.

Een bedrijf zonder Rwandees kantoor kan dus toch onder de wet vallen als het klanten in Rwanda bedient, en moet dan schriftelijk een vertegenwoordiger in Rwanda aanwijzen.

Persoonsgegevens en gevoelige persoonsgegevens

Persoonsgegevens zijn alle gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon, zoals een naam, identificatienummer, locatiegegevens of online identificator. Gevoelige persoonsgegevens, waaronder informatie over gezondheidstoestand, strafrechtelijk verleden, religieuze overtuiging, politieke opvattingen of genetische gegevens, zijn onderworpen aan strengere voorwaarden en de zwaarste strafrechtelijke sancties.

Kernverplichtingen voor verwerkingsverantwoordelijken en verwerkers

Registratie bij de NCSA

Wie als verwerkingsverantwoordelijke of verwerker wil optreden, moet zich registreren bij de toezichthoudende autoriteit. De aanvraag moet onder meer de te verwerken persoonsgegevens beschrijven, de categorieën betrokkenen, de verwerkingsdoeleinden, de ontvangers, elk land waarnaar gegevens worden doorgegeven, en de betrokken risico's samen met de maatregelen om die aan te pakken. De autoriteit verstrekt een certificaat aan een aanvrager die aan de voorwaarden voldoet binnen 30 werkdagen na ontvangst van de aanvraag. De registratiegids van de DPO en aanvraagformulieren zijn online gepubliceerd.

Registratie is geen eenmalige handeling: wijzigingen moeten binnen 15 werkdagen worden gemeld en verlenging kan worden aangevraagd binnen 45 werkdagen vóór het verstrijken.

Rechtsgrondslag, transparantie en registers

Verwerking is alleen rechtmatig als zij berust op een van de in de wet genoemde gronden, waaronder toestemming, uitvoering van een overeenkomst, een wettelijke verplichting, vitale belangen, een taak van algemeen belang, gerechtvaardigde belangen en toegestaan onderzoek. Bij het verzamelen van gegevens moet de verwerkingsverantwoordelijke betrokkenen onder meer meedelen waarom de gegevens worden verzameld, wie ze ontvangt, hoe lang ze worden bewaard en welke rechten zij hebben.

Verwerkingsverantwoordelijken en verwerkers moeten ook een register van alle verwerkingsactiviteiten bijhouden, passende technische en organisatorische beveiligingsmaatregelen treffen en een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren wanneer de verwerking waarschijnlijk een hoog risico oplevert. Aanleidingen zijn onder meer grootschalige verwerking van gevoelige gegevens, geautomatiseerde profilering en nieuwe technologieën, wat direct relevant is voor bedrijven die gebruikmaken van analytics of AI- en datacenterinfrastructuur.

Functionaris voor gegevensbescherming

In verschillende gevallen moet een functionaris voor gegevensbescherming worden aangewezen, onder meer wanneer de verwerking wordt uitgevoerd door een publiek- of privaatrechtelijke rechtspersoon of juridische entiteit (met uitzondering van rechtbanken). Letterlijk gelezen geldt dit voor de meeste ondernemingen. De functionaris kan een werknemer of een externe dienstverlener zijn, en diens contactgegevens moeten worden gepubliceerd en aan de autoriteit worden toegezonden. De DPO publiceert een aanwijzingsgids ter ondersteuning van deze stap.

Rechten van betrokkenen die bedrijven moeten respecteren

De wet kent personen een omschreven reeks rechten toe, die schriftelijk of elektronisch kunnen worden uitgeoefend:

• Inzage: informatie over de verwerkingsdoeleinden, een kopie van hun gegevens, de herkomst daarvan en of ze naar het buitenland zijn doorgegeven.
• Bezwaar: inclusief een onvoorwaardelijk recht om verwerking voor direct marketing te laten stoppen.
• Overdraagbaarheid: hun gegevens ontvangen in een gestructureerd, leesbaar formaat of ze laten doorsturen naar een andere verwerkingsverantwoordelijke.
• Beperking, rectificatie en wissing, behoudens de genoemde uitzonderingen.
• Niet worden onderworpen aan besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd, waaronder profilering, met beperkte uitzonderingen.
• Aanwijzing van een erfgenaam voor hun persoonsgegevens en vertegenwoordiging, bijvoorbeeld voor kinderen jonger dan 16 jaar.

Voor de meeste rechten moet de verwerkingsverantwoordelijke reageren binnen 30 dagen na het verzoek. Een persoon die niet tevreden is, kan binnen 30 dagen in beroep gaan bij de toezichthoudende autoriteit, die binnen 60 dagen reageert. HR-, klantenservice- en marketingteams hebben daarom een gedocumenteerd proces nodig. Werkgevers moeten dit afstemmen op hun arbeidsovereenkomsten en personeelsbeleid, aangezien personeelsdossiers ook persoonsgegevens zijn.

Grensoverschrijdende doorgifte, opslag en melding van inbreuken

Doorgifte en opslag buiten Rwanda

De hoofdregel is dat persoonsgegevens in Rwanda worden opgeslagen. Opslag buiten Rwanda is alleen toegestaan als de verwerkingsverantwoordelijke of verwerker beschikt over een geldig registratiecertificaat dat dit toestaat. Doorgifte aan een derde in het buitenland is toegestaan op bepaalde gronden, waaronder toestemming van de toezichthoudende autoriteit na aantoning van passende waarborgen, de toestemming van de betrokkene, of noodzaak voor een overeenkomst of een rechtsvordering. Een schriftelijke overeenkomst moet de verantwoordelijkheden van elke partij vastleggen, en de autoriteit kan doorgiften opschorten of verbieden.

Bedrijven die buitenlandse cloudhosting of HR-systemen op groepsniveau gebruiken, moeten de dienst voor doorgiftevergunningen van de DPO raadplegen en deze voorwaarden opnemen in hun commerciële contracten. Zie voor de bredere beleidscontext onze analyse van grensoverschrijdende gegevensstromen in Afrika.

Inbreuken in verband met persoonsgegevens

Het tijdschema bij inbreuken is krap en wordt vaak verkeerd weergegeven:

• De verwerkingsverantwoordelijke moet een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit melden binnen 48 uur nadat hij daarvan kennis heeft gekregen.
• A verwerker moet de verwerkingsverantwoordelijke op de hoogte stellen binnen 48 uur nadat hij daarvan kennis heeft gekregen.
• De verwerkingsverantwoordelijke moet vervolgens een inbreukrapport bij de autoriteit indienen, uiterlijk binnen 72 uur, met daarin de aard van de inbreuk, de betrokken personen en gegevens, de genomen maatregelen en een voorstel voor het informeren van de getroffen personen.
• Wanneer een inbreuk waarschijnlijk een hoog risico voor personen oplevert, moet de verwerkingsverantwoordelijke ook hen informeren, tenzij een wettelijke uitzondering van toepassing is.

De DPO biedt een kanaal om een datalek te melden. Een plan waarin de besluitvormers vooraf worden aangewezen, is essentieel om deze termijnen te halen.

Sancties onder de wet op gegevensbescherming in Rwanda

Administratieve overtredingen. Tekortkomingen zoals het niet bijhouden van verwerkingsregisters, actief zijn zonder registratiecertificaat, het gebruik van een verlopen certificaat, het niet aanwijzen van een functionaris voor gegevensbescherming, of het niet melden of rapporteren van een inbreuk, worden bestraft met een administratieve geldboete van ten minste RWF 2,000,000 en ten hoogste RWF 5,000,000, of 1% van de wereldwijde omzet van het voorgaande boekjaar. Voor een rechtspersoon of juridische entiteit voorziet de wet in 1% van de wereldwijde omzet van het voorgaande boekjaar.

Strafbare feiten. Het onrechtmatig inzien, verzamelen, gebruiken, delen of openbaar maken van persoonsgegevens wordt bestraft met een gevangenisstraf van één tot drie jaar en een geldboete van RWF 7,000,000 tot RWF 10,000,000, of met een van deze straffen. Op onrechtmatige verkoop van gegevens en onrechtmatige verwerking van gevoelige gegevens staan zwaardere straffen. Een veroordeelde rechtspersoon riskeert een geldboete van 5% van zijn jaaromzet over het voorgaande boekjaar, en personen die ernstige schade lijden, kunnen bij de rechter schadevergoeding vorderen.

Een praktische checklist voor naleving

• Breng uw gegevens in kaart: wat u bewaart, waar het staat en waarheen het gaat.
• Bevestig uw rol en registreer als verwerkingsverantwoordelijke, verwerker of beide, en noteer de verlengingsdatum.
• Stel een functionaris voor gegevensbescherming aan en meld diens gegevens aan de autoriteit.
• Werk privacyverklaringen en toestemmingen bij op websites, apps, formulieren en personeelsdocumenten.
• Zet een verwerkingsregister en een DPIA-proces op voor projecten met een hoog risico.
• Verkrijg vergunningen voor doorgifte en opslag en sluit schriftelijke doorgifteovereenkomsten met leveranciers.
• Test een responsplan voor datalekken aan de hand van de termijnen van 48 en 72 uur.
• Bescherm verwante activa: klantendatabases en software hebben vaak ook bescherming nodig onder het intellectueel-eigendomsrecht in Rwanda.
• Richt governance in: rapporteer datarisico's aan het bestuur als onderdeel van goed ondernemingsbestuur, en neem gegevensbescherming mee in de due diligence bij overnames en internationale investeringen.

Veelgestelde vragen

Hoe heet de wet op gegevensbescherming in Rwanda?

Het gaat om Wet Nº 058/2021 van 13/10/2021 betreffende de bescherming van persoonsgegevens en de privacy. De wet is in werking getreden bij publicatie in het Staatsblad op 15 oktober 2021, en de overgangsperiode van twee jaar voor bestaande bedrijven is verstreken.

Wie houdt toezicht op gegevensbescherming in Rwanda?

De Nationale Cyberveiligheidsautoriteit (NCSA) houdt toezicht op de wet via haar Data Protection and Privacy Office. Zij registreert verwerkingsverantwoordelijken en verwerkers, verleent toestemming voor doorgifte naar het buitenland, behandelt klachten en legt administratieve sancties op.

Moeten buitenlandse bedrijven zich registreren bij de NCSA?

De wet is van toepassing op verwerkingsverantwoordelijken en verwerkers buiten Rwanda die persoonsgegevens verwerken van personen die zich in Rwanda bevinden. Zulke bedrijven moeten ook schriftelijk een vertegenwoordiger in Rwanda aanwijzen. Buitenlandse bedrijven met Rwandese klanten moeten daarom nagaan of zij zich moeten registreren.

Hoe snel moet een datalek in Rwanda worden gemeld?

De verwerkingsverantwoordelijke moet de toezichthoudende autoriteit binnen 48 uur nadat hij kennis heeft gekregen van een inbreuk op de hoogte stellen, en een verwerker moet de verwerkingsverantwoordelijke binnen dezelfde termijn op de hoogte stellen. Uiterlijk binnen 72 uur moet een volledig inbreukrapport volgen. Inbreuken met een hoog risico moeten ook aan de getroffen personen worden meegedeeld.

Mogen persoonsgegevens buiten Rwanda worden opgeslagen?

Ja, maar alleen als de verwerkingsverantwoordelijke of verwerker beschikt over een geldig registratiecertificaat dat opslag buiten Rwanda toestaat. Doorgifte aan derden in het buitenland moet bovendien op een van de wettelijke gronden berusten en door een schriftelijke overeenkomst worden gedekt.

Conclusie

Naleving van de wet op gegevensbescherming in Rwanda is nu een operationele vereiste, met reële administratieve en strafrechtelijke risico's voor bedrijven die talmen. De best voorbereide organisaties registreren zich, stellen een functionaris voor gegevensbescherming aan, documenteren hun verwerkingen en oefenen hun reactie op inbreuken vóór een incident.

Het team van WAYAN – advocaten voor gegevensbescherming en cyberbeveiliging in Rwanda – kan uw positie beoordelen, uw NCSA-registratie en vergunningen beheren en een nalevingsprogramma opzetten dat bij uw bedrijf past. Plan een consult met WAYAN om van start te gaan.