← Miongozo yote

Uzingatiaji wa Faragha ya Data kwa SME za Kenya: Mwongozo wa 2026

📅 1 Septemba 2026 · ✅ Imethibitishwa: 12 Oktoba 2026 · 📖 Soma dakika 11 · Usajili & Kisheria

Unakusanya majina ya wateja, nambari za simu, maelezo ya M-Pesa, anwani za uwasilishaji na labda hata nambari za kitambulisho. Unayahifadhi kwenye WhatsApp, Excel, simu yako na labda CRM. Je, ulijua kuwa hilo linakufanya kuwa mdhibiti wa data chini ya sheria ya Kenya—ukiwa na wajibu wa kisheria ambao huenda hukuujua?

Mwongozo huu unaeleza Sheria ya Ulinzi wa Data ya 2019 kwa SME za Kenya: inatumika lini, unachopaswa kufanya na jinsi ya kuifuata bila kuajiri wakili.

1. Je, Sheria ya Ulinzi wa Data inakuhusu?

Ndiyo, ikiwa unakusanya au kuhifadhi data ya kibinafsi. Data ya kibinafsi inajumuisha:

• Majina ya wateja, nambari za simu, anwani za barua pepe
• Rekodi za miamala ya M-Pesa
• Anwani za uwasilishaji
• Rekodi za wafanyakazi (faili za HR, taarifa za mishahara)
• Picha za CCTV
• Data ya wanaotembelea tovuti (cookies, fomu za mawasiliano)
• Maelezo ya mawasiliano ya wasambazaji
• Rekodi za mikopo au madeni ya wateja

Wewe ni "mdhibiti wa data" ikiwa unaamua kwa nini na jinsi data ya kibinafsi inavyochakatwa.

Wewe ni "mchakataji wa data" ikiwa unachakata data kwa niaba ya biashara nyingine.

SME nyingi ni wadhibiti wa data.

2. Ni lini lazima ujisajili na ODPC?

Usajili wa ODPC ni wa lazima isipokuwa masharti yote mawili ya msamaha yatimizwe. Kwa taasisi yenye faida, kipimo cha jumla ni mapato yote ya mwaka uliotangulia kuwa chini ya KES milioni 5 na kuwa na wafanyakazi wasiofika 10. Shughuli fulani zilizoorodheshwa bado zinahitaji usajili hata masharti hayo mawili yakitimia.

Kanuni ya 13 hufafanua “revenue” ya taasisi zenye faida kama jumla ya mapato ya mwaka uliotangulia mwaka wa usajili. Kwa taasisi zisizo za faida, “turnover” ni bajeti ya mwaka iliyotumika katika mwaka uliotangulia. Hata hivyo, FAQ ya sasa ya ODPC inasema taasisi za umma na zisizo za faida, kama za hisani na za kidini, lazima zijisajili bila kujali turnover au mapato. Kanuni na FAQ ya ODPC hazielezi wazi jinsi taarifa hizi zinavyopatana; taasisi zisizo za faida zithibitishe moja kwa moja na ODPC kabla ya kutegemea msamaha.

Usajili unahitajika ikiwa:

• Mapato yako ni KES milioni 5 au zaidi, au una wafanyakazi 10 au zaidi
• Unachakata data ya kibinafsi kwa madhumuni au katika sekta isiyo na msamaha, kama uuzaji wa moja kwa moja, huduma za kifedha, afya, elimu, ukarimu, usimamizi wa mali, usafiri, au data ya kijenetiki

Ada ya usajili: ODPC inaorodhesha ada za mara moja za KES 4,000 (micro/small), KES 16,000 (medium), na KES 40,000 (large). Thibitisha kundi lako na ada ya sasa kwenye mwongozo wa ODPC.

Jinsi ya kujisajili: Portal ya Usajili ya ODPC

Kumbuka: Hata ukiangukia kwenye msamaha, kanuni za Sheria ya Ulinzi wa Data bado zinatumika. Cheti cha usajili hudumu miezi 24; fuata maelekezo ya ODPC kuhusu uhuishaji.

3. Kanuni 7 za Ulinzi wa Data

1. Uchakataji wa kisheria, wa haki na wenye uwazi

• Waambie watu kwa nini unakusanya data yao
• Usikusanye data kwa udanganyifu
• Weka taarifa ya faragha (hata ikiwa ni fupi)

2. Kikomo cha madhumuni

• Kusanya data kwa madhumuni maalum na yaliyotajwa pekee
• Usitumie nambari za simu za wateja kwa uuzaji bila ridhaa yao

3. Kupunguza data

• Kusanya tu data unayohitaji kwa kweli
• Usiombe nambari za kitambulisho ikiwa huzihitaji

4. Usahihi

• Hakikisha data ya kibinafsi ni sahihi na imesasishwa
• Sahihisha makosa unapoarifiwa

5. Kikomo cha kuhifadhi

• Usihifadhi data kwa muda mrefu kuliko inavyohitajika
• Futa data ya mteja uhusiano unapoisha (isipokuwa sheria inakutaka kuihifadhi)

6. Uadilifu na usiri

• Linda data dhidi ya ufikiaji usioidhinishwa, upotevu au wizi
• Tumia nywila, usimbaji fiche na udhibiti wa ufikiaji

7. Uwajibikaji

• Uweze kuonyesha ushahidi wa utii
• Hifadhi rekodi za shughuli zako za uchakataji wa data

4. Misingi halali ya kuchakata data

Lazima uwe na sababu ya kisheria ya kuchakata data ya kibinafsi:

Kwa SME, misingi inayotumika mara nyingi ni mkataba, ridhaa na wajibu wa kisheria.

5. Mahitaji ya ridhaa

Ukitumia ridhaa kama msingi:

• Lazima iwe imetolewa kwa hiari, iwe maalum na iwe na taarifa
• Mtu lazima achague kujiunga mwenyewe (usiweke visanduku vilivyochaguliwa mapema)
• Lazima uweze kuthibitisha ridhaa (hifadhi rekodi)
• Mtu anaweza kuondoa ridhaa wakati wowote
• Ujumbe wa uuzaji unahitaji ridhaa ya wazi

Mfano wa vitendo:

Ukikusanya nambari za simu kwa ajili ya taarifa za uwasilishaji, huo ni msingi wa "mkataba".

Ukitaka baadaye kutuma ujumbe wa matangazo, unahitaji ridhaa tofauti.

6. Taarifa yako ya faragha

Kila biashara inahitaji taarifa ya faragha. Inaweza kuwa rahisi:

[Jina la biashara] hukusanya jina lako, nambari yako ya simu na anwani ya uwasilishaji

ili kutimiza oda yako na kuwasiliana nawe kuhusu uwasilishaji wako.

Hatushiriki data yako na watu wengine isipokuwa inapohitajika kwa

uwasilishaji na kutii sheria.

Unaweza kuomba data yako ifutwe kwa kuwasiliana na [barua pepe/simu].

Tunatunza rekodi za kodi kwa angalau miaka mitano kuanzia mwisho wa kipindi husika cha kuripoti, na kwa muda mrefu zaidi pale sheria inapohitaji. Tunatunza data nyingine ya kibinafsi kwa muda unaohitajika kwa madhumuni yake halali tu.

Mahali pa kuiweka:

• Tovuti (kiungo kwenye sehemu ya chini ya ukurasa)
• Wasifu wa biashara wa WhatsApp
• Eneo la biashara (kibao kidogo)
• Fomu za oda

7. Data ya wafanyakazi

Baadhi ya kumbukumbu za wafanyakazi zinaweza kuwa na data nyeti ya kibinafsi. Sheria inafafanua aina maalum za data nyeti, ikiwemo taarifa za afya, bayometriki, kijenetiki, familia na mali; si kila taarifa ya ajira ni data nyeti kwa sababu tu inamhusu mfanyakazi.

• Nambari za vitambulisho vya taifa
• KRA PIN
• Nambari za NSSF/SHIF
• Maelezo ya akaunti za benki
• Rekodi za utendaji
• Rekodi za kinidhamu

Mahitaji:

• Kuwa na taarifa ya faragha ya wafanyakazi
• Punguza ufikiaji kwa wafanyakazi wa HR na mishahara pekee
• Shiriki data ya mfanyakazi tu ikiwa kuna msingi halali chini ya Section 30, na ufichue kiwango kinachohitajika tu huku ukiweka ulinzi unaofaa
• Linda rekodi za karatasi na za kidijitali
• Futa data ajira inapoisha (baada ya muda wa kisheria wa kuhifadhi)

8. Jibu la uvunjaji wa usalama wa data

Uvunjaji wa usalama wa data ni ufikiaji, upotevu au ufichuaji wowote wa data ya kibinafsi usioidhinishwa.

Mifano:

• Laptop yenye data ya wateja kuibiwa
• Mfanyakazi kuvuja nambari za simu za wateja
• Data ya mteja kufichuliwa kwenye kikundi cha WhatsApp
• Akaunti ya kuhifadhi data mtandaoni kudukuliwa

Cha kufanya:

1. Zuia uvunjaji — Simamisha ufikiaji zaidi usioidhinishwa
2. Tathmini hatari — Watu wangapi wameathirika? Ni data gani?
3. Iarifu ODPC — Ndani ya saa 72 ikiwa uvunjaji unaweka watu hatarini
4. Wajulishe watu walioathirika — Ikiwa kuna hatari kubwa
5. Andika kila kitu — Hifadhi rekodi za uvunjaji na hatua ulizochukua

Kuripoti uvunjaji wa data kwa ODPC: Ripoti uvunjaji wa data kwa ODPC

9. Uhamishaji wa data kuvuka mipaka

Ukitumia huduma za wingu (Google Workspace, AWS, CRM za kimataifa), data yako inaweza kuhifadhiwa nje ya Kenya.

Kabla ya kuhamisha data binafsi nje ya Kenya, tumia njia inayoruhusiwa chini ya vifungu vya 48–49 vya Sheria ya Ulinzi wa Data na Sehemu ya VII ya Kanuni za Jumla. Hii inaweza kujumuisha uamuzi wa utoshelevu, hatua stahiki za ulinzi zilizothibitishwa kwa Data Commissioner, au uhamisho unaohitajika kwa madhumuni yaliyoorodheshwa katika kifungu cha 48. Ikiwa hakuna mojawapo ya njia hizo inayotumika, kanuni ya 46 inaruhusu uhamisho tu baada ya mhusika wa data kutoa ridhaa ya wazi na kufahamishwa hatari zinazoweza kutokea. Uhamisho wa data binafsi nyeti pia unahitaji ridhaa ya mhusika na uthibitisho wa hatua stahiki za ulinzi chini ya kifungu cha 49.

Ushauri wa vitendo: Huduma za wingu zinaweza kuhusisha uchakataji wa data nje ya Kenya. Kagua masharti halisi ya mtoa huduma na uthibitishe kuwa uhamisho unafuata njia inayoruhusiwa; mkataba wa uchakataji wa data au kutaja jambo hilo kwenye taarifa ya faragha pekee hakuthibitishi utii wa sheria.

10. Adhabu za kutofuata sheria

Chini ya kifungu cha 63, adhabu ya fedha ya kiutawala inaweza kufikia KES milioni 5 au asilimia 1 ya jumla ya mapato ya mwaka ya biashara kwa mwaka uliotangulia wa fedha, kiasi chochote kilicho chini.

Ufichuaji au uuzaji usio halali wa data ya kibinafsi unaweza kuwa kosa la jinai pale masharti ya kifungu cha 72 yanapotimizwa. Pale ambapo Sheria haijaweka adhabu maalum ya jinai, kifungu cha 73 kinaweka faini isiyozidi KES milioni 3, kifungo kisichozidi miaka 10, au vyote viwili. Makosa maalum yanaweza kuwa na adhabu tofauti; viwango hivi si adhabu ya jumla kwa kila ukiukaji wa faragha.

ODPC pia inaweza kutoa notisi za utekelezaji, amri za utii na karipio la umma.

11. Orodha ya ukaguzi wa utii kwa SME

• □ Amua kama unahitaji kujisajili na ODPC
• □ Andaa taarifa rahisi ya faragha
• □ Weka taarifa ya faragha kwenye tovuti au eneo la biashara
• □ Pata ridhaa ya wazi kwa ujumbe wa uuzaji
• □ Punguza ufikiaji wa data kwa wafanyakazi walioidhinishwa pekee
• □ Linda vifaa kwa nywila na usimbaji fiche
• □ Futa data usiyoihitaji tena
• □ Kuwa na mpango wa kukabiliana na uvunjaji wa data
• □ Wafunze wafanyakazi kuhusu utunzaji wa data
• □ Kagua utii wako kila mwaka

12. Cha kufanya wiki hii

1. [ ] Kagua data ya kibinafsi unayokusanya na kuhifadhi
2. [ ] Amua kama unahitaji usajili wa ODPC
3. [ ] Andaa taarifa yako ya faragha
4. [ ] Sasisha wasifu wako wa biashara wa WhatsApp kwa maelezo ya faragha
5. [ ] Kagua jinsi unavyopata ridhaa ya kutuma ujumbe wa uuzaji
6. [ ] Linda data ya wateja wako (nywila na udhibiti wa ufikiaji)

Maswali yanayoulizwa mara kwa mara

Je, nahitaji kujisajili na ODPC ikiwa nina wafanyakazi 3?

Ikiwa mapato yako yako chini ya KES milioni 5 na una wafanyakazi wasiozidi 9, unaweza kuwa na msamaha isipokuwa uchakataji wako uwe wa madhumuni au sekta isiyo na msamaha. Kanuni za Sheria ya Ulinzi wa Data bado zinatumika; angalia mwongozo wa sasa wa ODPC.

Je, ninaweza kutuma ujumbe wa uuzaji kwa wateja wangu wa sasa?

Ni baada tu ya wao kutoa ridhaa ya wazi. Ununuzi wa awali pekee si ridhaa ya uuzaji. Tumia msingi wa "mkataba" kwa ujumbe unaohusiana na oda pekee.

Nifanye nini mteja akiomba data yake ifutwe?

Jibu ombi ndani ya siku 14. Unaweza kukataa kufuta data kwa kiwango ambacho sheria inaruhusu au inakutaka kuihifadhi. Kwa kawaida rekodi za kodi lazima zihifadhiwe kwa angalau miaka mitano kuanzia mwisho wa kipindi husika cha kuripoti, na kwa muda mrefu zaidi pale sheria inapohitaji.

Je, nahitaji ridhaa ili kuhifadhi data ya mfanyakazi?

Data ya mfanyakazi kwa kawaida huchakatwa kwa msingi wa "wajibu wa kisheria" (kodi, NSSF, SHIF) na "mkataba" (ajira). Hata hivyo, bado unahitaji taarifa ya faragha ya wafanyakazi na lazima ulinde data hiyo.

Je, WhatsApp Business inatii sheria?

WhatsApp Business hutumia usimbaji fiche kutoka mwisho hadi mwisho, lakini bado lazima uwe na taarifa ya faragha, upate ridhaa kwa uuzaji na usishiriki data ya wateja kwenye vikundi bila ridhaa.

Makala yanayohusiana

• Mikataba ya Ajira
• Mwongozo wa eTIMS

Vyanzo na rekodi ya sasisho

Sasisho la 26 Oktoba 2026: Ilitofautisha taarifa nyeti za wafanyakazi na rekodi za kawaida na kufafanua misingi halali ya uchakataji.

Masharti ya usajili yamekaguliwa dhidi ya Kanuni ya 13 na FAQ ya sasa ya ODPC; tofauti kuhusu mashirika yasiyo ya faida imeelezwa hapo juu.

• Data Protection Act 2019
• Data Protection (Registration of Data Controllers and Data Processors) Regulations, 2021, regulation 13
• Maswali ya ODPC
• Mwongozo wa Usajili wa ODPC
• ODPC Registration Portal
• ODPC Guidelines

Pata masasisho

Pata mwongozo unaofuata kwenye kikasha chako.

Anwani ya barua pepe

Jiandikishe

Hakuna barua taka · Jiondoe wakati wowote.