Закон о защите данных, 2012 г.

Закон о защите данных, 2012 г.
Парламент Ганы
скрывать Длинное название ЗАКОН о создании Комиссии по защите данных для защиты конфиденциальности индивидуальных и личных данных путем регулирования обработки личной информации, обеспечения процесса получения, хранения, использования или раскрытия личной информации и по связанным с этим вопросам.
Цитирование	Закон 843
Территориальная протяженность	Республика Гана
Принят	Парламент Ганы
Согласен на	10 мая 2012 г.
Подписано	Президент Республики Гана
Эффективный	16 октября 2012 г.
Под управлением	Комиссия по защите данных
Ключевые слова
Гана Киберправо Конфиденциальность информации
Статус: Действующее законодательство

Закон о защите данных 2012 г. (Закон) Законодательство, принятое Парламентом Республики Гана для защиты конфиденциальности и личных данных физических лиц . Он регулирует процесс получения, хранения, использования или раскрытия личной информации контролерами и обработчиками данных, требуя соблюдения определенных принципов защиты данных. Несоблюдение положений Закона может повлечь либо гражданскую ответственность, либо уголовную ответственность, либо и то, и другое, в зависимости от характера нарушения. Закон также учреждает Комиссию по защите данных , которая уполномочена обеспечивать соблюдение его положений, а также вести Реестр защиты данных.

История

Закон был впервые внесен в парламент Ганы в 2010 году, но впоследствии был отозван тогдашним связи министром Харуной Иддрису для пересмотра. Парламент принял законопроект в 2012 году. который затем получил одобрение президента 10 мая 2012 года. Уведомление о Законе было опубликовано 18 мая 2012 года. и в соответствии со статьей 99 Закон вступил в силу 16 октября 2012 года.

Структура

Закон состоит из 99 разделов, которые объединены под различными заголовками, а именно:

Заголовок	Разделы
Комиссия по защите данных	1-10
Администрация	11-13
Финансы Комиссии	14-16
Применение принципов защиты данных	17-34
Права субъектов данных и других лиц	35-36
Обработка особых персональных данных	37-45
Реестр защиты данных	46-59
Исключения	60-74
Правоприменение	75-81
Записи, полученные в соответствии с правом доступа субъекта данных	82-83
Информация предоставлена ​​Комиссии	84-85
Разные и общие положения	86-99

Ключевые термины

Ключевые термины Закона определены в разделе толкования, раздел 96. Если из контекста не следует иное, раздел 96 содержит следующие определения важных терминов:

« контролер данных » означает лицо, которое либо единолично, совместно с другими лицами или совместно с другими лицами, либо в качестве установленной законом обязанности определяет цели и способ обработки или обработки персональных данных.

«обработчик данных» в отношении персональных данных означает любое лицо, кроме сотрудника контролера данных, которое обрабатывает данные от имени контролера данных.

«Субъект данных» — физическое лицо, являющееся субъектом персональных данных.

«иностранный субъект данных» означает информацию о субъекте данных, регулируемую законодательством иностранной юрисдикции, отправленную в Гану из иностранной юрисдикции полностью для обработки.

«Персональные данные» означают данные о физическом лице, которое может быть идентифицировано (а) на основе данных или (б) на основе данных или другой информации, которой владеет или может оказаться во владении контролера данных.

«обработка» означает операцию, действие или набор операций автоматическими или другими средствами, которые касаются данных или персональных данных, а также(a) сбор, организация, адаптация или изменение информации или данных,(b) поиск, консультация или использование информации или данных,(c) раскрытие информации или данных путем передачи, распространения или другими доступными способами, или(d) выравнивание, объединение, блокирование, стирание или уничтожение информации или данных

«получатель» означает лицо, которому раскрываются данные, включая сотрудника или агента контролера данных или обработчика данных, которому данные раскрываются в ходе обработки данных для контролера данных, но не включает в себя лицо, которому раскрытие информации осуществляется в отношении конкретного запроса в соответствии с постановлением

«специальные цели» означают одно или несколько из следующих действий:(а) цель журналистики ,(b) если цель отвечает общественным интересам ,(c) художественные цели, и (г) литературные цели

Применение Закона

Закон применяется, если

1. контролер данных находится в Гане, и данные обрабатываются в Гане,
2. обработчик данных не зарегистрирован в Гане, но использует оборудование или пользуется услугами обработчика данных, ведущего бизнес в Гане, для обработки данных, или
3. обрабатываемая информация частично или полностью поступает из Ганы. (Раздел 45(1))

Однако данные, которые происходят извне и просто проходят через Гану, не защищаются Законом (раздел 45 (4)).Закон применяется к правительству Ганы, и с этой целью каждое правительственное ведомство рассматривается как контролер данных. (раздел 91)

Принципы защиты данных

Закон предусматривает 8 принципов, которые обработчики данных должны учитывать при обработке данных, чтобы защитить конфиденциальность отдельных лиц. Эти принципы аналогичны Руководящим принципам ОЭСР. и о защите данных . Директива Европейского Союза

Принципы защиты данных перечислены в разделе 17 следующим образом:

1. подотчетность
2. законность обработки
3. спецификация цели
4. совместимость дальнейшей переработки с целью сбора
5. качество информации
6. открытость
7. гарантии безопасности данных и
8. участие субъекта данных.

Подотчетность

Принцип подотчетности при защите данных обычно рассматривается как основополагающий принцип соблюдения требований. Он требует, чтобы контролер данных нёс ответственность за соблюдение мер, обеспечивающих соблюдение принципов защиты данных.

Закон требует от лица, которое обрабатывает персональные данные, обеспечить, чтобы обработка данных не нарушала права субъекта данных, и обрабатывалась законным и разумным образом (раздел 18(1)). Если данные, подлежащие обработке, связаны с иностранным субъектом данных, контролер или процессор данных должен обеспечить обработку персональных данных в соответствии с законами о защите данных исходной юрисдикции (раздел 18 (2)).

Законность обработки

Обработка данных является законной при наличии условий, оправдывающих обработку.

Закон содержит положение о минимальности, которое требует, чтобы персональные данные могли обрабатываться только в том случае, если цель, для которой они должны обрабатываться, необходима, актуальна и не чрезмерна. (раздел 19)

Для обработки персональных данных также требуется предварительное согласие субъекта данных. (Раздел 20) Однако из этого требования возможны исключения. Например, если цель обработки персональных данных необходима для целей договора, стороной которого является субъект данных; разрешено или требуется по закону для защиты законных интересов субъекта данных; необходимо для надлежащего выполнения установленных законом обязанностей или необходимо для реализации законных интересов контролера данных или третьей стороны, которой предоставляются данные (раздел 20(1)). Согласие также требуется для обработки специальных персональных данных (раздел 37(2) (b)). Субъект данных также возражает против обработки персональных данных (раздел 20(2)), а обработчик данных обязан прекратить обработку данных в случае такого возражения (раздел 20(3)).

Что касается хранения записей, Закон запрещает хранение персональных данных в течение периода, превышающего период, необходимый для достижения цели сбора, за исключением случаев, когда сохранение требуется по закону или разумно необходимо для законной цели, связанной с функцией. или деятельность необходимы для договорных целей, или субъект данных дал согласие на сохранение. (Раздел 24(1)). Однако требование о хранении не применимо к персональным данным, которые хранятся в исторических, статистических или исследовательских целях (раздел 24(2)), за исключением того, что такие записи должны быть адекватно защищены от доступа или использоваться в несанкционированных целях (раздел 24). (3)).Если лицо использует запись личных данных для принятия решения о субъекте данных, данные должны храниться только в течение периода, требуемого законом или кодексом поведения, а в случае отсутствия такого закона или кодекса поведения - в течение периода. что даст субъекту данных возможность запросить доступ к записи. Однако по истечении срока хранения персональные данные должны быть удалены или уничтожены таким образом, чтобы предотвратить их восстановление в понятной форме, или запись персональных данных должна быть обезличена. (разделы 24(4), (5), (6)).

Субъект данных может также потребовать, чтобы запись личных данных об этом субъекте данных, хранящаяся у контролера данных, была уничтожена или удалена, если у контролера данных больше нет разрешения на сохранение этих данных. (Раздел 33(1)(b))

Указание цели

Закон требует, чтобы контролер данных, собирающий персональные данные, делал это для конкретной цели, которая четко определена и законна и связана с функциями или деятельностью лица. (Раздел 22) Контроллер данных, который собирает данные, также обязан предпринять необходимые шаги для обеспечения того, чтобы субъект данных знал о цели, для которой собираются данные. (раздел 23)

Совместимость дальнейшей обработки

Закон требует, чтобы, если контролер данных хранит персональные данные, собранные в связи с конкретной целью, любая дальнейшая обработка этих данных должна быть совместима с целью, для которой персональные данные были первоначально получены. (Раздел 25(1))

Обстоятельства, при которых обработка соответствует требованию совместимости, включают случаи, когда субъекты данных соглашаются на дальнейшую обработку информации, данные находятся в открытом доступе, дальнейшая обработка необходима в целях борьбы с преступностью, для законодательства, касающегося защиты сбора налоговых поступлений. , ведение судебного разбирательства, защита национальной безопасности, общественного здоровья или жизни или здоровья субъекта данных или другого лица. (Раздел 25(3))

Качество информации

В соответствии со статьей 26 Закона контролер данных, обрабатывающий персональные данные, должен гарантировать, что данные являются полными, точными, актуальными и не вводят в заблуждение, с учетом цели, для которой эти данные собираются или обрабатываются.

Открытость

Принцип открытости гарантирует, что люди знают и могут участвовать в защите своих прав в рамках режима защиты данных.

Раздел 27(1) обязывает контролера данных, который намеревается обрабатывать персональные данные, зарегистрироваться в Комиссии по защите данных. Контроллер данных, который намеревается собирать данные, также должен убедиться, что субъект данных осведомлен о характере собираемых данных, лицах, ответственных за сбор, цели сбора, а также о том, является ли предоставление данных обязательным или дискреционным. , среди прочего. (Раздел 27(2))

Если данные собираются от третьей стороны, Закон требует, чтобы субъект данных был проинформирован до того, как данные будут собраны, или как можно скорее после этого. (Раздел 27(3))

В Законе предусмотрены обстоятельства, при которых требование об уведомлении освобождается от ответственности, и они включают ситуации, когда это необходимо во избежание нарушения правопорядка, защиты национальной безопасности или когда это связано с подготовкой или проведением судебного разбирательства. Раздел 27(4))

Кроме того, хотя это и не является обязательным, контролер данных может назначить инспектора по защите данных, который будет отвечать за контроль за соблюдением Закона. (Раздел 58 (1), (2)) Контролером по защите данных может быть сотрудник (Раздел 58). 58(1)) и должен соответствовать квалификационным критериям, установленным Комиссией по защите данных. (Раздел 58(7))

Гарантии безопасности данных

В соответствии с Законом контролер данных обязан предотвращать потерю, повреждение или несанкционированное уничтожение персональных данных, а также незаконный доступ или несанкционированную обработку персональных данных. Поэтому контролер данных должен принять соответствующие, разумные, технические и организационные меры для принятия необходимых мер для обеспечения безопасности персональных данных, находящихся в его владении или под его контролем. (Раздел 28(1))

Контроллер данных также обязан принимать разумные меры для выявления и предотвращения любых разумно прогнозируемых рисков, а также обеспечивать эффективное внедрение и постоянное обновление любых установленных мер безопасности. (Раздел 28(2))

Контроллер данных также должен соблюдать как общепринятые, так и отраслевые передовые методы защиты данных (раздел 28 (3)), а также обеспечивать соблюдение обработчиками данных мер безопасности. (Раздел 30) Если обработчик данных не проживает в Гане, контролер данных должен гарантировать, что обработчик данных соблюдает соответствующие законы своей страны. (Раздел 30(4))

Закон также требует, чтобы контролер данных в кратчайшие возможные сроки уведомлял Комиссию по защите данных и субъекта данных о любых нарушениях безопасности его системы и предпринимал шаги для обеспечения восстановления целостности системы (раздел 31). )

Участие субъекта данных

Субъект данных может, при условии подтверждения личности субъекта данных, запросить у контролера данных подтверждение того, хранит ли контролер данных персональные данные этого субъекта данных, описать характер хранящихся персональных данных и личность любого третьего лица, которое имеет или имеет ранее имел доступ к этим данным (раздел 32(1)). Однако запрос должен быть подан разумным образом, в течение разумного периода времени, после уплаты всех установленных пошлин и в общепонятной форме (раздел 32(2)).

Субъект данных может также потребовать от контролера данных исправить или удалить персональные данные о субъекте данных, которые хранятся у контролера данных и которые являются неточными, нерелевантными, чрезмерными, устаревшими, неполными или вводящими в заблуждение (раздел 33(1)) . После получения запроса контролер данных должен либо выполнить запрос, либо предоставить субъекту данных достоверные доказательства в поддержку данных. (Раздел 33(2)).

Особые персональные данные

В разделе 96 «специальные персональные данные» означают персональные данные, которые состоят из информации, относящейся к(a) раса, цвет кожи, этническое или племенное происхождение субъекта данных;(б) политические взгляды субъекта данных;(c) религиозные убеждения или другие убеждения аналогичного характера субъекта данных;(d) физическое, медицинское, психическое здоровье или психическое состояние или ДНК субъекта данных;(д) сексуальная ориентация субъекта данных;(f) совершение или предполагаемое совершение преступления лицом; или(g) судебное разбирательство по делу о правонарушении, совершенном или предположительно совершенном лицом, прекращение такого разбирательства или приговор любого суда в ходе разбирательства;

Закон запрещает обработку данных, касающихся детей, находящихся под родительским контролем, или религиозных или философских убеждений, этнического происхождения, расы, членства в профсоюзах, политических взглядов, здоровья, сексуальной жизни или преступного поведения человека. Статья 37(1) .

Однако специальные персональные данные могут обрабатываться, если это необходимо или субъект данных дал согласие на обработку (раздел 37 (2)). Обработка персональных данных необходима для осуществления права или выполнения обязанности, возложенной или возложенной на работодателя законом (раздел 37(3)). Специальные персональные данные, относящиеся к субъектам данных, также могут обрабатываться, если это необходимо для защиты жизненно важных интересов субъекта данных, когда субъект данных не может дать согласие или от контроллера данных нельзя обоснованно ожидать получения согласия. или согласие субъекта данных было необоснованно отказано. (Раздел 37(4))

Обработка специальных персональных данных считается необходимой, если она требуется для целей судебного разбирательства, юридической консультации и в медицинских целях, когда она осуществляется медицинским работником и при условии соблюдения обязанности конфиденциальности между пациентом и медицинским работником. (Раздел 37(6))

Запрет на обработку специальных персональных данных, относящихся к религиозным или философским убеждениям, не применяется, если обработка осуществляется религиозной организацией, членом которой является субъект данных, или учреждением, основанным на религиозных или философских принципах в отношении лиц, связанных с с этим учреждением и необходимо для достижения целей учреждения (раздел 38(1)).

Права субъектов данных

В соответствии с Законом субъект данных имеет право на исправление своих личных данных (раздел 33), на доступ к своим личным данным (раздел 35); предотвратить обработку персональных данных, которая причиняет или может причинить ему необоснованный ущерб или страдания (раздел 39); предотвратить обработку персональных данных в целях прямого маркетинга (раздел 40); требовать от контролера данных не принимать решения, которые могли бы существенно повлиять на него исключительно в отношении обработки автоматическими средствами (раздел 41); освободить данные, вводимые вручную (раздел 42), на компенсацию за несоблюдение контролером данных положений Закона при подтверждении ущерба (раздел 43); и исправить неточные данные (раздел 44).

Комиссия по защите данных

Закон учреждает Комиссию по защите данных, преследующую две основные цели:

1. Защищать конфиденциальность личности и персональных данных, регулируя обработку личной информации, и
2. Предоставьте процесс получения, хранения, использования или раскрытия личной информации. (раздел 2)

Функции ЦОД заключаются в следующем:

1. Осуществлять и контролировать соблюдение положений Закона,
2. Принимать административные меры, которые он считает целесообразными для выполнения своих обязанностей.
3. Расследовать и справедливо выносить решения по любым жалобам, поданным в соответствии с Законом, и
4. Вести и вести Реестр защиты данных

(раздел 3)

DPC управляется советом из 11 членов, который назначается президентом Ганы, и Закон предусматривает определенное институциональное представительство. (Раздел 4) Члены Совета могут занимать должность на срок, не превышающий трех лет, и не могут назначаться более чем на два срока. (Раздел 5(1)) Размер надбавок членам Совета утверждается министром, ответственным за коммуникации, по согласованию с министром, ответственным за финансы. (Раздел 9) Правление было официально приведено к присяге 1 ноября 2012 года. в настоящее время его возглавляет профессор судья Сэмюэл Кофи Дате-Бах , бывший судья Верховного суда Ганы. ЦОД был официально запущен 18 ноября 2014 года.

Закон также уполномочивает Президента назначать исполнительного директора (раздел 11), который будет отвечать за повседневное управление DPC, а также за выполнение решений Совета. (Раздел 12). Г-жа Теки Акуэттех Фальконер является нынешним исполнительным директором.

В соответствии с Законом, источники средств ЦОД включают деньги, утвержденные парламентом, пожертвования и гранты, деньги, которые накапливаются ЦОД при выполнении своих функций, а также любые деньги, которые утверждает министр, ответственный за финансы. (раздел 14)

ЦОД также наделен полномочиями направлять контролерам данных принудительные уведомления, требующие от них воздерживаться от нарушения принципов защиты данных. (Статья 75) Уведомление о принудительном исполнении может быть отменено или изменено ДПК по собственной инициативе или по заявлению получателя уведомления. (раздел 76)

Реестр защиты данных

Закон предусматривает создание Реестра защиты данных, который должен вести ЦОД и в котором контролеры данных должны в обязательном порядке зарегистрироваться. (раздел 46)Заявления о регистрации в качестве контролера данных должны быть поданы в письменной форме, и Закон предусматривает определенные сведения, такие как название компании и адрес заявителя, описание собираемых персональных данных и описание целей обработки персональных данных. . (Раздел 47(1)) Заведомое предоставление ложной информации приравнивается к правонарушению, наказуемому штрафом или тюремным заключением. (Раздел 47(2)) Кроме того, для каждой отдельной цели, для которой контролер данных желает обрабатывать данные, в реестре должна быть сделана отдельная запись. (Раздел 47(3))

ЦОД имеет право отказать в удовлетворении заявления, если сведения, предусмотренные для включения в запись в реестре, недостаточны, контролер данных не смог обеспечить соответствующие гарантии для защиты конфиденциальности субъекта данных, и по мнению ЦОД, заявитель не заслуживает регистрации. (Раздел 47(1)) При отказе в регистрации заявления DPC обязан проинформировать заявителя о причинах отказа, и в таком случае заявитель может обратиться в Высокий суд для судебного пересмотра решения. (Раздел 47(2))

Регистрация в качестве контролера данных подлежит продлению каждые два года (раздел 50). DPC также имеет право отменить регистрацию по уважительной причине. (Раздел 52) Обработка персональных данных без регистрации является правонарушением. (раздел 56)

Закон также предусматривает доступ общественности к реестру после уплаты установленной пошлины. (раздел 54)

Общие исключения

Закон предусматривает несколько исключений для различных целей, а именно:Обработка персональных данных освобождается от положений Закона, если она связана с национальной безопасностью (раздел 60), а также с преступностью и налогообложением (раздел 61); раскрытие персональных данных, касающихся здравоохранения, образования и социальной работы; (раздел 61); запрещено, если этого не требует закон.

Положения Закона также не применимы для защиты представителей общественности от определенных положений об убытках или злоупотреблениях служебным положением (раздел 63).

Обработка персональных данных запрещена, за исключением случаев, когда обработка осуществляется в целях литературного или художественного материала, и контролер данных обоснованно полагает, что публикация будет отвечать общественным интересам и что соблюдение этого положения несовместимо со специальными целями. (раздел 64)

Положения о неразглашении не применяются, если раскрытие информации требуется по закону или по решению суда. (раздел 66)Закон не применяется, если данные обрабатываются только с целью ведения внутренних дел человека. (раздел 67)

Принципы защиты данных не распространяются на персональные данные, если они состоят из конфиденциальных ссылок, предоставленных в целях обучения, назначения на должность или предоставления услуги субъектом данных. (раздел 68)

Положения Закона о предметной информации не применяются к персональным данным, если они могут нанести ущерб боеспособности Вооруженных Сил (раздел 69); когда она обрабатывается для оценки пригодности лица для назначения на должность судьи или для присвоения национальной награды (раздел 70) или если она состоит из информации, касающейся притязаний на профессиональную привилегию или конфиденциальность. (раздел 74)

Персональные данные освобождаются от положений Закона, если они относятся к экзаменационным оценкам, обрабатываемым контролером данных, и связаны с результатами человека (раздел 72) или состоят из информации, записанной кандидатом для академических целей (раздел 73).

Разные положения

Закон запрещает покупку персональных данных, сознательное или неосторожное раскрытие персональных данных, а нарушение этого положения квалифицируется как правонарушение. (раздел 88)

Закон также квалифицирует продажу, предложение продажи и рекламу продажи персональных данных как правонарушение. (раздел 89)

Министр, ответственный за связь, может, после консультации с DPC, разработать правила для эффективного применения Закона.

Внешние ссылки

• Комиссия по защите данных