Une décision d’adéquation positive de la Commission européenne permettrait aux données personnelles de circuler de l’UE vers le Kenya sans qu’il soit nécessaire de recourir à des mécanismes de transfert supplémentaires dans le cadre du RGPD. Les notes de l'ODPC définissent les conditions dans lesquelles les données personnelles peuvent actuellement quitter le Kenya.
Une décision d’adéquation positive de la Commission européenne permettrait aux données personnelles de circuler de l’UE vers le Kenya sans qu’il soit nécessaire de recourir à des mécanismes de transfert supplémentaires dans le cadre du RGPD. Les notes de l'ODPC définissent les conditions dans lesquelles les données personnelles peuvent actuellement quitter le Kenya.
Le Bureau du commissaire à la protection des données (ODPC) du Kenya a publié ses notes d'orientation pour les transferts de données transfrontaliers en septembre 2026. Les notes fournissent des orientations opérationnelles sur la partie VI de la loi sur la protection des données (DPA) de 2019 et le règlement 40 du règlement (général) sur la protection des données de 2021. Elles s'appliquent à toutes les entités qui traitent des données personnelles au Kenya et transfèrent ou ont l'intention de transférer ces données en dehors du Kenya.
Le moment de la publication coïncide avec l'évaluation en cours de l'adéquation du Kenya avec l'Union européenne. En juin 2026, lors de discussions entre le président kenyan William Ruto et la vice-présidente exécutive de la Commission européenne, Henna Virkkunen, l'UE a noté des progrès positifs dans le processus d'adéquation des données entre l'UE et le Kenya. jusqu'à présent et son intention de conclure l'évaluation le plus tôt possible.
Comment les données sont autorisées à quitter
L’architecture juridique fondamentale est définie dans le DPA et le Règlement général. Les contrôleurs et les sous-traitants doivent établir un fondement juridique valable avant de transférer des données personnelles en dehors du Kenya. Le règlement 40 identifie les bases disponibles comme des garanties appropriées en matière de protection des données, une décision d'adéquation prise par le commissaire aux données, un transfert comme une nécessité ou le consentement de la personne concernée.
Les lignes directrices de septembre 2026 fournissent des détails opérationnels sur ces exigences. Il comprend des clauses contractuelles standardisées pour les transferts de contrôleur à contrôleur et de contrôleur à sous-traitant, des procédures de demande formelles et des formulaires pour les règles d'entreprise contraignantes (BCR) et des exigences en matière de documentation. Les organisations qui s'appuient sur des garanties appropriées sont encouragées à intégrer les clauses dans leurs instruments juridiques et peuvent les adapter si nécessaire pour refléter les circonstances spécifiques d'un transfert, à condition que le niveau de protection ne soit pas réduit.
Immaculate Kassait, commissaire aux données au Bureau du commissaire à la protection des données, a déclaré dans les lignes directrices :
« Il fournit des conseils pratiques sur les conditions des transferts transfrontaliers licites, les garanties qui doivent être mises en place et les mécanismes disponibles pour garantir une protection adéquate des données personnelles dans le pays ou l'organisation destinataire. »
Équilibrer les données souveraines et les flux mondiaux
Les orientations intègrent des concepts utilisés dans les cadres internationaux, notamment les décisions d'adéquation, les BCR, les évaluations de l'environnement juridique du destinataire et les garanties supplémentaires. Les clauses contractuelles types 2021 de l'Union européenne contiennent quatre modules couvrant les relations de contrôleur à contrôleur, de contrôleur à processeur, de processeur à processeur et de processeur à contrôleur. Les orientations du Kenya fournissent des clauses standardisées uniquement pour les transferts de contrôleur à contrôleur et de contrôleur à sous-traitant.
En vertu du règlement 41(2), les transferts effectués sur la base de garanties appropriées doivent être documentés. La documentation doit inclure la date et l'heure du transfert, le nom du destinataire, la justification du transfert et une description des données personnelles transférées, et doit être fournie au commissaire aux données sur demande. Les directives indiquent en outre que les contrôleurs de données et les sous-traitants qui transfèrent des données personnelles en dehors du Kenya sont tenus d'informer l'ODPC du transfert afin que l'Office soit au courant des flux de données transfrontaliers et puisse contrôler la conformité.
Décoder le nouveau cadre de transfert offshore du Kenya
L'article 50 de la loi sur la protection des données prévoit que les données personnelles traitées pour les intérêts stratégiques de l'État doivent être domiciliées au Kenya. Un contrôleur de données ou un sous-traitant qui traite des données personnelles à de telles fins doit soit traiter les données via un serveur et un centre de données situés au Kenya, soit stocker au moins une copie des données personnelles concernées dans un centre de données situé au Kenya.
Les lignes directrices rappellent les catégories énoncées dans le règlement 26 du Règlement général. Il s'agit de : l'administration des systèmes d'état civil et de gestion de l'identité juridique ; faciliter la tenue d'élections pour la représentation du peuple conformément à la Constitution ; superviser tout système d'administration des finances publiques par tout organe de l'État ; exécuter tout système désigné comme système informatique protégé aux termes de l'article 20 de la loi sur l'utilisation abusive des ordinateurs et la cybercriminalité ; proposer toute forme d’éducation de la petite enfance et d’éducation de base en vertu de la loi sur l’éducation de base ; et la fourniture de soins de santé primaires ou secondaires à une personne concernée dans le pays. Les directives indiquent que les exigences de localisation doivent être respectées avant tout transfert là où elles s'appliquent.
La Collaboration sur la politique internationale des TIC en Afrique orientale et australe (CIPESA), dans sa soumission sur le projet de notes d'orientation de l'ODPC sur l'intelligence artificielle et les technologies émergentes, a déclaré que les exigences en matière d'évaluation de l'adéquation avant les transferts transfrontaliers de données personnelles traitées par l'IA pourraient conduire à une large localisation des données et entraver l'inférence transfrontalière de l'IA et le cloud computing si elles ne sont pas alignées sur les cadres régionaux. Les directives de l'ODPC elles-mêmes limitent l'obligation de localisation aux fins spécifiques énumérées dans le règlement 26.
Les implications plus larges pour la conformité mondiale
Les lignes directrices fournissent aux organisations des clauses standardisées, des documents de demande de BCR et des exigences en matière de documentation qui mettent en œuvre les dispositions existantes de la loi et des règlements. Une décision d’adéquation positive de la Commission européenne permettrait aux données personnelles de circuler de l’UE vers le Kenya sans qu’il soit nécessaire de recourir à des mécanismes de transfert supplémentaires dans le cadre du RGPD. Les notes de l'ODPC définissent les conditions dans lesquelles les données personnelles peuvent actuellement quitter le Kenya.
