卢旺达数据保护法：企业如何遵守第 Nº 058/2021 号法律

这 卢旺达数据保护法 已不再是未来的合规项目：现有企业的两年过渡期已经结束，监管机构现已开始登记组织、授权国际传输并接收泄露报告。本指南阐述该法的要求、适用对象、不合规的代价以及当前应采取的步骤。如需实务支持，我们的 数据保护与网络安全团队 为各行业的组织提供咨询服务。

什么是卢旺达数据保护法？

现行法律是 关于保护个人数据和隐私的第 Nº 058/2021 号法律（13/10/2021），刊登于 2021 年 10 月 15 日《官方公报》特刊。该法自公布之日起生效。已在运营的企业自公布之日起有不超过两年的期限使其运营符合规定，因此该宽限期现已结束。

该法将“监管机构”规定为负责网络安全的公共机构。实践中，该机构即 国家网络安全局 (NCSA)，其通过下设的数据保护与隐私办公室（DPO）监督该法的实施。

该法适用于哪些主体？

该法适用于数据控制者、数据处理者或第三方对个人数据进行的任何处理（无论是否自动化），只要该主体：

• 在卢旺达设立或居住，并在卢旺达境内处理个人数据；或
• 既未在卢旺达设立也不在卢旺达居住，但处理位于卢旺达的数据主体的个人数据。

因此，即使公司在卢旺达没有办事处，只要为卢旺达客户提供服务，仍可能受该法管辖，并且必须以书面形式在卢旺达指定代表。

个人数据与敏感个人数据

个人数据是指与已识别或可识别的自然人有关的任何信息，例如姓名、身份证号码、位置数据或网络标识符。 敏感个人数据（包括揭示健康状况、犯罪记录、宗教信仰、政治观点或基因数据的信息）适用更严格的条件，并面临最重的刑事处罚。

数据控制者和处理者的核心义务

在 NCSA 登记

任何拟担任数据控制者或数据处理者的人员均须向监管机构登记。申请须说明（其中包括）拟处理的个人数据、数据主体类别、处理目的、接收方、数据将传输至的任何国家，以及所涉风险和应对措施。监管机构须在收到申请后 30 个工作日 内向符合条件的申请人颁发证书。 DPO 登记指南 及申请表格均已在网上公布。

登记并非一次性工作：变更须在 15 个工作日内通知，续期可在到期前 45 个工作日内申请。

合法依据、透明度与记录

只有基于该法所列理由之一，处理才属合法，这些理由包括同意、履行合同、法定义务、重大利益、公共利益任务、合法利益以及经授权的研究。在收集数据时，控制者必须告知个人（其中包括）收集的原因、接收方、保存期限以及他们享有的权利。

控制者和处理者还必须保存所有处理活动的记录，实施适当的技术和组织安全措施，并在处理可能导致高风险时开展数据保护影响评估（DPIA）。触发情形包括大规模处理敏感数据、自动化画像以及新技术，这与部署数据分析的企业或涉及以下领域的企业直接相关： 人工智能与数据中心基础设施.

数据保护官

在若干情形下必须指定数据保护官，包括由公共或私营法人团体或法律实体（法院除外）进行处理的情形。按字面理解，这涵盖了大多数公司。数据保护官可以是员工，也可以是外部服务提供商，其联系方式必须公布并报送监管机构。DPO 发布了 指定指南 ，为这一步骤提供支持。

企业必须尊重的数据主体权利

该法赋予个人一系列明确的权利，可通过书面或电子方式行使：

• 访问权： 了解处理目的、获取其数据副本、数据来源以及数据是否已被传输至境外。
• 反对权： 包括无条件要求停止为直接营销目的进行处理的权利。
• 可携带权： 以结构化、可读的格式接收其数据，或将其数据发送给另一控制者。
• 限制处理权、更正权和删除权，但受所列例外情形的限制。
• 不受仅基于自动化处理作出的决定约束的权利（包括画像），但有限的例外情形除外。
• 指定继承人 （针对其个人数据）以及 代理权，例如针对 16 岁以下的儿童。

对于大多数权利，控制者必须在收到请求后 30 天 内作出答复。个人如不满意，可在 30 天内向监管机构申诉，监管机构须在 60 天内作出答复。因此，人力资源、客户服务和营销团队需要建立书面化流程。雇主应将此与其 雇佣合同和员工政策相协调，因为员工记录同样属于个人数据。

跨境传输、存储与泄露通知

在卢旺达境外的传输与存储

默认规则是个人数据存储在卢旺达境内。只有当控制者或处理者持有授权境外存储的有效登记证书时，方可在卢旺达境外存储。向境外第三方传输须基于特定理由，包括在证明具备适当保障措施后获得监管机构授权、个人同意，或为合同或法律诉求所必需。书面合同必须规定各方的责任，监管机构可暂停或禁止传输。

使用境外云托管或集团人力资源系统的企业应查阅 DPO 的 传输授权服务 ，并将相关条款纳入其 商业合同。如需了解更广泛的政策背景，请参阅我们关于以下主题的分析： 非洲跨境数据流动.

个人数据泄露

泄露通知的时限很紧，且常被误述：

• 这 数据控制者 必须在知悉个人数据泄露后向监管机构通报，时限为 48 小时 以内。
• A 数据处理者 必须在知悉后通知控制者，时限为 48 小时 以内。
• 随后，控制者必须提交 泄露报告 ，提交监管机构的时限不迟于 72 小时，内容应涵盖泄露的性质、受影响的人员和记录、已采取的措施，以及告知受影响个人的方案。
• 如泄露可能对个人造成高风险，控制者还必须告知相关个人，但适用法定例外情形的除外。

DPO 设有专门渠道，用于 报告数据泄露。事先指定决策人员的应对预案，是满足上述时限的关键。

卢旺达数据保护法下的处罚

行政违规。 未保存处理记录、无登记证书经营、使用过期证书、未指定数据保护官，或未通报或报告泄露等违规行为，将被处以不低于 RWF 2,000,000 且不超过 RWF 5,000,000 的行政罚款，或上一财政年度全球营业额 1% 的罚款。对于法人团体或法律实体，该法规定罚款为上一财政年度全球营业额的 1%。

刑事犯罪。 非法访问、收集、使用、共享或披露个人数据，可处一至三年监禁，并处 RWF 7,000,000 至 RWF 10,000,000 的罚款，或二者择一。非法出售数据和非法处理敏感数据将受到更重的处罚。被定罪的法人团体将被处以其上一财政年度年营业额 5% 的罚款，遭受严重损害的个人可向法院请求赔偿。

实用合规清单

• 梳理您的数据： 明确您持有哪些数据、存放在何处以及流向何处。
• 确认您的角色并完成登记 ：作为控制者、处理者或二者兼具进行登记，并记录续期日期。
• 任命数据保护官 ，并将其详细信息通知监管机构。
• 更新隐私声明和同意书 ，涵盖网站、应用程序、表格和员工文件。
• 建立记录登记册和 DPIA 流程 ，适用于高风险项目。
• 取得传输和存储授权 ，并与供应商签订书面传输合同。
• 演练泄露应对预案 ，对照 48 小时和 72 小时时限进行检验。
• 保护相关资产： 客户数据库和软件通常还需要依据以下法律获得保护： 卢旺达知识产权法.
• 建立治理机制： 作为健全的 公司治理的一部分，向董事会报告数据风险；并将数据保护纳入收购及以下领域的尽职调查： 国际投资.

常见问题

卢旺达数据保护法的名称是什么？

该法为关于保护个人数据和隐私的第 Nº 058/2021 号法律（13/10/2021）。该法于 2021 年 10 月 15 日在《官方公报》公布之日起生效，现有企业的两年过渡期已经结束。

卢旺达由谁监管数据保护？

国家网络安全局（NCSA）通过其数据保护与隐私办公室监督该法的实施。该机构负责登记控制者和处理者、授权境外传输、处理投诉并实施行政处罚。

外国公司是否需要在 NCSA 登记？

该法适用于在卢旺达境外处理位于卢旺达的个人之个人数据的控制者和处理者。此类企业还必须以书面形式在卢旺达指定代表。因此，为卢旺达客户提供服务的外国公司应评估其是否需要登记。

在卢旺达，数据泄露必须在多长时间内报告？

数据控制者必须在知悉泄露后 48 小时内通知监管机构，处理者必须在同一期限内通知控制者。完整的泄露报告必须在不迟于 72 小时内提交。高风险泄露还必须告知受影响的个人。

个人数据可以存储在卢旺达境外吗？

可以，但前提是控制者或处理者持有授权在卢旺达境外存储的有效登记证书。向境外第三方传输还必须符合该法规定的理由之一，并以书面合同加以约定。

结语

遵守卢旺达数据保护法现已成为一项运营要求，拖延的企业将面临实实在在的行政和刑事风险。最具优势的组织会在事件发生之前完成登记、任命数据保护官、记录其处理活动并演练泄露应对。

WAYAN 的 卢旺达数据保护与网络安全律师 可评估您的现状，办理您的 NCSA 登记和授权事宜，并构建契合您业务的合规方案。 预约 WAYAN 咨询 ，即刻开始。