Kenya : les règles cookies et consentement du Data Protection Act

Qu’est-ce que le Data Protection Act du Kenya ?

Le Data Protection Act, 2019 (No. 24 of 2019, loi sur la protection des données) met en œuvre le droit à la vie privée garanti par l’article 31 de la Constitution du Kenya. Il a été promulgué le 8 novembre 2019 et est entré en vigueur le 25 novembre 2019. Il a créé l’Office of the Data Protection Commissioner (ODPC, bureau du commissaire à la protection des données), qui enregistre les responsables de traitement et les sous-traitants, traite les plaintes, émet des injonctions (enforcement notices) et des avis de sanction (penalty notices), et publie des lignes directrices (guidance notes). Des règlements adoptés en 2021 couvrent les obligations générales, l’enregistrement, ainsi que le traitement des plaintes et les contrôles.

À qui s’applique la loi ?

L’article 4 applique la loi au traitement effectué par un responsable ou un sous-traitant établi ou résidant habituellement au Kenya qui traite des données personnelles au Kenya, et par un responsable ou sous-traitant qui n’est ni établi ni résident au Kenya mais traite des données personnelles de personnes concernées qui s’y trouvent. Un site étranger qui suit des visiteurs au Kenya relève de ce second cas. Une personne identifiable est une personne qui peut être identifiée directement ou indirectement par référence à un identifiant, et la loi cite parmi eux l’identifiant en ligne (article 2) : les identifiants de cookies et les identifiants publicitaires sont des données personnelles.

Les cookies exigent-ils un consentement au Kenya ?

La loi ne mentionne pas les cookies, et le Kenya n’a pas de règle de type ePrivacy. Le besoin de consentement pour un cookie dépend de la base légale. L’article 30 n’autorise le traitement que sur l’un de ces fondements : le consentement pour une ou plusieurs finalités déterminées ; la nécessité pour un contrat, une obligation légale, des intérêts vitaux, une mission d’intérêt public ou d’autorité publique ; les intérêts légitimes, sauf si le traitement est injustifié au regard de l’atteinte aux droits de la personne ; ou la recherche historique, statistique, journalistique, artistique ou scientifique. Les cookies strictement nécessaires peuvent reposer sur le service demandé par le visiteur. Pour la mesure d’audience et la publicité, trois éléments du droit kényan orientent vers le consentement :

• La définition du consentement. L’article 2 exige une manifestation de volonté expresse, non équivoque, libre, spécifique et éclairée, par une déclaration ou un acte positif clair. L’article 32 fait peser la charge de la preuve sur le responsable, donne un droit de retrait à tout moment, et considère que le consentement n’est pas libre lorsqu’un service est subordonné à un traitement dont il n’a pas besoin.
• L’usage commercial. L’article 37 interdit d’utiliser des données personnelles à des fins commerciales sauf si la personne a donné son consentement exprès ou si une loi écrite l’autorise et que la personne en a été informée. La publicité comportementale est un usage commercial des données de navigation. Le premier avis de sanction de l’ODPC, contre Oppo Kenya en décembre 2022, relevait que la société n’avait pas montré comment elle respectait l’article 37.
• Les lignes directrices de l’ODPC. Les Guidance Notes on Consent (lignes directrices sur le consentement) indiquent que le consentement n’est valable que si la personne a un vrai choix d’accepter ou de refuser sans préjudice, que la demande doit être visible, concise, séparée des autres conditions et rédigée en termes simples, qu’elle doit nommer le responsable et tout tiers qui s’en prévaut, couvrir chaque finalité, offrir des options granulaires pour chaque type de traitement distinct, expliquer comment retirer son consentement, et être obtenue avant le début du traitement. Les responsables doivent conserver des enregistrements montrant quand le consentement a été donné et ce qui a été dit à la personne.

Les Guidance Notes for Data Protection Policies (lignes directrices sur les politiques de protection des données, 2026) de l’ODPC traitent directement des cookies. Au titre de l’article 29, les personnes ont le droit d’être informées avant la collecte de leurs données : les sites doivent donc informer les visiteurs sur les cookies et mettre en place un mécanisme pour les informer et, « lorsque c’est requis, obtenir le consentement ou permettre le choix de l’utilisateur » (where required, to obtain consent or enable user choice). La politique cookies doit indiquer ce qui est collecté, comment c’est traité et protégé, les finalités, les types de cookies (de session, persistants, internes, tiers), si des tiers interviennent, et comment les visiteurs peuvent gérer leurs paramètres et s’opposer.

Mis bout à bout, le dispositif sûr au Kenya est un bandeau qui bloque les cookies de mesure d’audience et de publicité jusqu’à ce que le visiteur les accepte par catégorie, offre une option Refuser, renvoie à une politique cookies qui contient les éléments ci-dessus, et enregistre chaque choix.

Les données personnelles peuvent-elles quitter le Kenya ?

L’article 48 autorise un transfert lorsque le responsable a fourni au Data Commissioner la preuve de garanties appropriées, y compris pour les transferts vers des juridictions dotées de lois de protection des données équivalentes, ou lorsque le transfert est nécessaire, par exemple pour un contrat avec la personne. Les données personnelles sensibles ne peuvent être transférées qu’avec le consentement de la personne et des garanties confirmées (article 49), et le Commissioner peut suspendre ou interdire des transferts. L’ODPC a publié des lignes directrices sur les transferts transfrontaliers en 2026.

Quelles sont les sanctions ?

L’article 63 permet au Data Commissioner d’émettre un avis de sanction jusqu’à 5 millions de KES ou, pour une entreprise, jusqu’à 1 % de son chiffre d’affaires annuel de l’exercice précédent, le montant le plus faible étant retenu. Les infractions sans peine spécifique sont punies, sur condamnation, d’une amende jusqu’à 3 millions de KES, de dix ans d’emprisonnement au plus, ou des deux (article 73), et les personnes concernées peuvent demander réparation.

L’ODPC publie ses avis de sanction. Après la sanction de 5 millions de KES infligée à Oppo Kenya en décembre 2022 pour avoir ignoré une injonction concernant la photo d’une cliente utilisée sans consentement, il a annoncé le 26 septembre 2023 trois avis de sanction d’un total de 9 375 000 KES : 2 975 000 KES contre Mulla Pride, un prêteur numérique qui utilisait des contacts obtenus auprès de tiers pour envoyer des messages menaçants ; 1 850 000 KES contre Casa Vera Lounge pour avoir publié l’image d’une cliente sans consentement ; et 4 550 000 KES contre Roma School pour avoir publié des photos de mineurs sans le consentement des parents. Aucune sanction propre aux cookies n’a été publiée, mais chaque affaire portait sur le consentement.

Comment Cookiequiet s’y adapte

Le Kenya ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-le à une liste de pays personnalisée ou affichez le bandeau partout ; le ciblage géographique est inclus dans chaque offre. Le bandeau retient les scripts de mesure d’audience et de marketing jusqu’au choix du visiteur, propose « Tout accepter », « Tout refuser » et des interrupteurs par catégorie, et le registre des consentements conserve chaque choix avec sa date, ses catégories et la version du bandeau : c’est l’enregistrement qu’attendent les lignes directrices de l’ODPC sur le consentement. Le swahili ne fait pas partie des 24 langues intégrées ; les textes anglais sont modifiables. Le scanner de cookies liste les cookies et les prestataires que votre politique cookies doit décrire, et combien de temps conserver les preuves de consentement traite de la durée de conservation. Ceci n’est pas un conseil juridique.