Закон о защите данных в Руанде: что должны сделать компании для соблюдения Закона Nº 058/2021

​ Закон о защите данных в Руанде больше не является задачей на будущее: двухлетний переходный период для действующих компаний завершился, и регулятор уже регистрирует организации, выдаёт разрешения на международную передачу данных и принимает уведомления о нарушениях. В настоящем руководстве изложено, что требует закон, на кого он распространяется, во что может обойтись несоблюдение и какие шаги нужно предпринять уже сейчас. Для практической поддержки наша команда по защите данных и кибербезопасности консультирует организации во всех отраслях.

Что представляет собой закон о защите данных в Руанде?

Основным нормативным актом является Закон Nº 058/2021 от 13/10/2021 о защите персональных данных и неприкосновенности частной жизни, опубликованный в специальном выпуске Официального вестника от 15 октября 2021 г.. Он вступил в силу в день опубликования. Компаниям, которые уже вели деятельность, был предоставлен срок не более двух лет с даты опубликования для приведения своей деятельности в соответствие, поэтому этот льготный период уже истёк.

Закон называет «надзорным органом» государственный орган, отвечающий за кибербезопасность. На практике это Национальном управлении кибербезопасности (NCSA), которое осуществляет надзор за соблюдением закона через своё Управление по защите данных и конфиденциальности (DPO).

На кого распространяется закон?

Закон распространяется на любую обработку персональных данных, автоматизированную или нет, осуществляемую контролёром, обработчиком данных или третьим лицом, которые:

• учреждены или проживают в Руанде и обрабатывают персональные данные, находясь в Руанде; или
• не учреждены и не проживают в Руанде, но обрабатывают персональные данные субъектов, находящихся в Руанде.

Таким образом, компания, не имеющая офиса в Руанде, всё равно может подпадать под действие закона, если обслуживает клиентов в Руанде, и в этом случае обязана письменно назначить представителя в Руанде.

Персональные данные и чувствительные персональные данные

Персональные данные — это любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу, например имя, идентификационный номер, данные о местоположении или онлайн-идентификатор. Чувствительные персональные данные, к которым относится информация о состоянии здоровья, судимости, религиозных убеждениях, политических взглядах или генетические данные, подлежат более строгим условиям обработки и влекут наиболее суровые уголовные наказания.

Основные обязанности контролёров и обработчиков данных

Регистрация в NCSA

Любое лицо, намеревающееся выступать контролёром или обработчиком данных, обязано зарегистрироваться в надзорном органе. В заявлении, помимо прочего, указываются обрабатываемые персональные данные, категории субъектов данных, цели обработки, получатели, страны, в которые будут передаваться данные, а также связанные с этим риски и меры по их устранению. Надзорный орган выдаёт свидетельство соответствующему требованиям заявителю в течение 30 рабочих дней с даты получения заявления. Руководство DPO по регистрации и формы заявлений опубликованы онлайн.

Регистрация не является разовой процедурой: об изменениях необходимо уведомлять в течение 15 рабочих дней, а заявление о продлении можно подать в течение 45 рабочих дней до истечения срока действия.

Законное основание, прозрачность и учёт

Обработка является законной только при наличии одного из предусмотренных законом оснований, включая согласие, исполнение договора, юридическую обязанность, жизненно важные интересы, задачу в общественных интересах, законные интересы и санкционированные исследования. При сборе данных контролёр обязан, помимо прочего, сообщить физическим лицам, для чего собираются данные, кто их получает, как долго они хранятся и какими правами обладают эти лица.

Контролёры и обработчики также обязаны вести учёт всех операций обработки, применять надлежащие технические и организационные меры безопасности и проводить оценку воздействия на защиту данных (DPIA), если обработка может повлечь высокий риск. К таким случаям относятся масштабная обработка чувствительных данных, автоматизированное профилирование и новые технологии, что напрямую касается компаний, использующих аналитику или инфраструктуру AI и центров обработки данных.

Ответственный за защиту данных

Ответственный за защиту данных должен назначаться в ряде случаев, в том числе когда обработку осуществляет государственное или частное юридическое лицо (за исключением судов). При буквальном толковании это охватывает большинство компаний. Ответственным может быть работник или внешний исполнитель, а его контактные данные должны быть опубликованы и направлены в надзорный орган. DPO публикует руководство по назначению в помощь при выполнении этого шага.

Права субъектов данных, которые обязаны соблюдать компании

Закон предоставляет физическим лицам определённый набор прав, реализуемых в письменной или электронной форме:

• Доступ: информация о целях обработки, копия своих данных, их источник и сведения о том, передавались ли они за рубеж.
• Возражение: включая безусловное право прекратить обработку в целях прямого маркетинга.
• Переносимость: получение своих данных в структурированном, читаемом формате или их передача другому контролёру.
• Ограничение обработки, исправление и удаление, с учётом перечисленных исключений.
• Право не подвергаться решениям, основанным исключительно на автоматизированной обработке, включая профилирование, с ограниченными исключениями.
• Назначение наследника в отношении своих персональных данных и представительство, например в отношении детей младше 16 лет.

В отношении большинства прав контролёр обязан ответить в течение 30 дней с момента получения запроса. Неудовлетворённое лицо может обжаловать ответ в надзорный орган в течение 30 дней, а надзорный орган отвечает в течение 60 дней. Поэтому отделам кадров, обслуживания клиентов и маркетинга необходим документально оформленный порядок действий. Работодателям следует согласовать его со своими трудовыми договорами и кадровыми политиками, поскольку данные о работниках также являются персональными данными.

Трансграничная передача, хранение данных и уведомление о нарушениях

Передача и хранение данных за пределами Руанды

По общему правилу персональные данные хранятся в Руанде. Хранение за пределами Руанды допускается только в том случае, если контролёр или обработчик имеет действительное свидетельство о регистрации, разрешающее такое хранение. Передача данных третьему лицу за рубежом допускается по установленным основаниям, включая разрешение надзорного органа после подтверждения надлежащих гарантий, согласие физического лица или необходимость для исполнения договора либо предъявления правового требования. Обязанности каждой стороны должны быть закреплены в письменном договоре, а надзорный орган вправе приостановить или запретить передачу.

Компаниям, использующим зарубежный облачный хостинг или групповые HR-системы, следует изучить предоставляемую DPO услугу по выдаче разрешений на передачу данных и включить соответствующие условия в свои коммерческие договоры. Более широкий политический контекст см. в нашем анализе трансграничных потоков данных в Африке.

Нарушения безопасности персональных данных

Сроки по нарушениям сжатые и нередко указываются неверно:

• ​ Контролёр данных обязан сообщить о нарушении безопасности персональных данных в надзорный орган в течение 48 часов с момента, когда ему стало об этом известно.
• A Обработчик данных обязан уведомить контролёра в течение 48 часов с момента, когда ему стало об этом известно.
• Затем контролёр обязан представить отчёт о нарушении в надзорный орган не позднее чем через 72 часа, включающий описание характера нарушения, затронутых лиц и записей, принятых мер и предложение по информированию пострадавших лиц.
• Если нарушение может повлечь высокий риск для физических лиц, контролёр также обязан проинформировать их, если не применяется предусмотренное законом исключение.

DPO предоставляет канал, через который можно сообщить об утечке данных. План, в котором заранее определены лица, принимающие решения, необходим для соблюдения этих сроков.

Санкции по закону о защите данных в Руанде

Административные правонарушения. Такие нарушения, как неведение учёта операций обработки, деятельность без свидетельства о регистрации, использование свидетельства с истёкшим сроком действия, неназначение ответственного за защиту данных, а также неуведомление о нарушении или непредставление отчёта о нём, влекут административный штраф в размере не менее RWF 2,000,000 и не более RWF 5,000,000 либо 1% мирового оборота за предыдущий финансовый год. Для юридических лиц закон предусматривает штраф в размере 1% мирового оборота за предыдущий финансовый год.

Уголовные преступления. Незаконный доступ к персональным данным, их сбор, использование, распространение или раскрытие наказываются лишением свободы на срок от одного года до трёх лет и штрафом от RWF 7,000,000 до RWF 10,000,000 либо одним из этих наказаний. Незаконная продажа данных и незаконная обработка чувствительных данных влекут более суровые наказания. Осуждённому юридическому лицу грозит штраф в размере 5% годового оборота за предыдущий финансовый год, а физические лица, которым причинён серьёзный ущерб, могут требовать компенсации в суде.

Практический чек-лист по соблюдению требований

• Проведите инвентаризацию данных: какие данные вы храните, где они находятся и куда передаются.
• Определите свою роль и зарегистрируйтесь в качестве контролёра, обработчика или обоих и запланируйте продление.
• Назначьте ответственного за защиту данных и сообщите его данные надзорному органу.
• Обновите уведомления и формы согласия на сайтах, в приложениях, формах и документах для работников.
• Создайте реестр операций обработки и процедуру DPIA для проектов с высоким уровнем риска.
• Получите разрешения на передачу и хранение данных и заключите письменные договоры о передаче данных с поставщиками.
• Протестируйте план реагирования на нарушения с учётом сроков 48 и 72 часа.
• Защитите связанные активы: базы данных клиентов и программное обеспечение часто также нуждаются в защите в соответствии с законодательством об интеллектуальной собственности в Руанде.
• Выстройте систему управления: докладывайте совету директоров о рисках, связанных с данными, в рамках надлежащего корпоративного управления, а также включайте вопросы защиты данных в due diligence при приобретениях и международных инвестициях.

Часто задаваемые вопросы

Как называется закон о защите данных в Руанде?

Это Закон Nº 058/2021 от 13/10/2021 о защите персональных данных и неприкосновенности частной жизни. Он вступил в силу с момента опубликования в Официальном вестнике 15 октября 2021 г., а двухлетний переходный период для действующих компаний завершился.

Кто регулирует защиту данных в Руанде?

Национальное управление кибербезопасности (NCSA) осуществляет надзор за соблюдением закона через своё Управление по защите данных и конфиденциальности. Оно регистрирует контролёров и обработчиков, выдаёт разрешения на передачу данных за рубеж, рассматривает жалобы и применяет административные санкции.

Нужно ли иностранным компаниям регистрироваться в NCSA?

Закон распространяется на контролёров и обработчиков за пределами Руанды, которые обрабатывают персональные данные лиц, находящихся в Руанде. Такие компании также обязаны письменно назначить представителя в Руанде. Поэтому иностранным компаниям, обслуживающим клиентов из Руанды, следует оценить, нужна ли им регистрация.

В какой срок необходимо сообщить о нарушении безопасности данных в Руанде?

Контролёр данных обязан уведомить надзорный орган в течение 48 часов с момента, когда ему стало известно о нарушении, а обработчик обязан уведомить контролёра в тот же срок. Полный отчёт о нарушении должен быть представлен не позднее чем через 72 часа. О нарушениях с высоким уровнем риска также необходимо сообщать пострадавшим лицам.

Можно ли хранить персональные данные за пределами Руанды?

Да, но только если контролёр или обработчик имеет действительное свидетельство о регистрации, разрешающее хранение за пределами Руанды. Передача данных третьим лицам за рубежом также должна основываться на одном из предусмотренных законом оснований и оформляться письменным договором.

Заключение

Соблюдение закона о защите данных в Руанде сегодня является операционным требованием, а промедление создаёт для компаний реальные административные и уголовные риски. В наилучшем положении окажутся организации, которые зарегистрируются, назначат ответственного за защиту данных, задокументируют процессы обработки и отработают реагирование на нарушения до наступления инцидента.

Эксперты WAYAN — юристы по защите данных и кибербезопасности в Руанде — оценят вашу ситуацию, проведут регистрацию и получение разрешений в NCSA и выстроят программу соблюдения требований, соответствующую вашему бизнесу. Запишитесь на консультацию в WAYAN и сделайте первый шаг.