Law Relating To The Protection of Personal Data and Privacy

Official Gazette n° Special of 15/10/2021
Umwaka wa 60 Year 60 60ème Année

Igazeti ya Leta n° Idasanzwe Official Gazette n° Special of Journal Officiel n° Spécial du
yo ku wa 15/10/2021 15/10/2021 15/10/2021
Ibirimo/Summary/Sommaire page/urup.
A. Itegeko/ Law/ Loi
N° 058/2021 ryo ku wa 13/10/2021

Itegeko ryerekeye kurinda amakuru bwite n’imibereho bwite by’umuntu .................................... 2
Nº 058/2021 of 13/10/2021
Law relating to the protection of personal data and privacy ……………………………….…….. 2
Nº 058/2021 du 13/10/2021
Loi relative à la protection des données à caractère personnel et de la vie privée ………….…… 2
1
ITEGEKO N° 058/2021 RYO KU WA LAW Nº 058/2021 OF 13/10/2021 LOI Nº 058/2021 DU 13/10/2021 RELATIVE
13/10/2021 RYEREKEYE KURINDA RELATING TO THE PROTECTION OF À LA PROTECTION DES DONNÉES À
AMAKURU BWITE N’IMIBEREHO PERSONAL DATA AND PRIVACY CARACTÈRE PERSONNEL ET DE LA
BWITE BY’UMUNTU VIE PRIVÉE
ISHAKIRO TABLE OF CONTENTS TABLE DES MATIERES
UMUTWE WA MBERE: INGINGO CHAPTER ONE: GENERAL CHAPITRE PREMIER: DISPOSITIONS

RUSANGE PROVISIONS GÉNÉRALES
Ingingo ya mbere: Icyo iri tegeko rigamije Article One: Purpose of this Law Article premier: Objet de la présente loi
Ingingo ya 2: Ibirebwa n’iri tegeko Article 2: Scope of this Law Article 2: Champ d’application de la
présente loi
Ingingo ya 3: Ibisobanuro by’amagambo Article 3: Definitions Article 3: Définitions
UMUTWE WA II: GUTUNGANYA CHAPTER II: PROCESSING AND CHAPITRE II: TRAITEMENT ET
AMAKURU BWITE N’IREME RYAYO QUALITY OF PERSONAL DATA QUALITÉ DE DONNÉES À
CARACTÈRE PERSONNEL
Icyiciro cya mbere: Gutunganya amakuru Section One: Processing of personal data Section première: Traitement des données à
bwite caractère personnel
Ingingo ya 4: Kwemererwa gutunganya Article 4: Authorisation to process personal Article 4: Autorisation de traitement de
amakuru bwite data données à caractère personnel
Ingingo ya 5: Imibereho bwite ya nyiri ubwite Article 5: Privacy of the data subject Article 5: Vie privée de la personne
concernée
2
Ingingo ya 6: Ukwemera kwa nyiri ubwite Article 6: Consent of the data subject Article 6: Consentement de la personne
concernée
Ingingo ya 7: Kugaragaza ibindi bintu mu Article 7: Indication of other matters in the Article 7: Indication d’autres éléments dans
nyandiko y’ukwemera declaration of consent la déclaration de consentement
Ingingo ya 8: Uburenganzira bwo Article 8: Right of the data subject to Article 8: Droit de la personne concernée de
kwisubiraho kwa nyiri ubwite withdraw his or her consent retirer son consentement
Ingingo ya 9: Gutunganya amakuru bwite Article 9: Processing a child’s personal data Article 9: Traitement des données à
y’umwana caractère personnel d’un enfant
Ingingo ya 10: Impamvu zo gutunganya Article 10: Grounds for processing sensitive Article 10: Fondements du traitement de
amakuru bwite y’ibanga personal data données à caractère personnel sensibles
Ingingo ya 11: Ibigomba kubahirizwa mu Article 11: Safeguards to process sensitive Article 11: Garanties pour le traitement des
gutunganya amakuru bwite y’ibanga personal data données à caractère personnel sensibles
Ingingo ya 12: Gutunganya amakuru bwite Article 12: Processing personal data of a Article 12: Traitement de données à
y’uwahamijwe icyaha convict caractère personnel d’un condamné
Ingingo ya 13: Gutunganya amakuru bwite Article 13: Processing of personal data Article 13: Traitement de données à
bidasaba umwirondoro wa nyiri ubwite which does not require data subject’s caractère personnel ne nécessitant pas
identification l’identification de la personne concernée
Ingingo ya 14: Inkomoko y’amakuru bwite Article 14: Source of personal data Article 14: Source des données à caractère
personnel
Icyiciro cya 2: Ireme ry’amakuru bwite Section 2: Quality of personal data and Section 2: Qualité et documents de données
n’inyandiko z’amakuru bwite records of personal data à caractère personnel
Ingingo ya 15: Ireme ry’amakuru bwite Article 15: Quality of personal data Article 15: Qualité de données à caractère
3
personnel
Ingingo ya 16: Kwandika icyakozwe ku Article 16: Personal data logging Article 16: Enregistrement de données à
makuru bwite caractère personnel
Ingingo ya 17: Kubika inyandiko z’amakuru Article 17: Maintaining records of Article 17: Tenue des documents des
bwite yatunganyijwe processed personal data données à caractère personnel traitées
UMUTWE WA III: UBURENGANZIRA CHAPTER III: RIGHTS OF THE DATA CHAPITRE III: DROITS DE LA
BWA NYIRI UBWITE SUBJECT PERSONNE CONCERNÉE
Ingingo ya 18: Uburenganzira ku makuru Article 18: Right to personal data Article 18: Droit aux données à caractère
bwite personnel
Ingingo ya 19: Uburenganzira bwo Article 19: Right to object Article 19: Droit d’opposition
gutambamira
Ingingo ya 20: Uburenganzira bwo Article 20: Right to personal data portability Article 20: Droit à la portabilité des données
gusubizwa no guhererekanya amakuru bwite à caractère personnel
Ingingo ya 21: Uburenganzira bwo Article 21: Right not to be subject to a Article 21: Droit de ne pas faire l’objet
kutagengwa n’icyemezo hashingiwe ku decision based on automated data d’une décision fondée sur un traitement
itunganywa ry’amakuru bwite ryikoresha processing automatisé des données
Ingingo ya 22: Uburenganzira bwo kubuza Article 22: Right to restriction of processing Article 22: Droit à la limitation du
gutunganya amakuru bwite of personal data traitement de données à caractère personnel
Ingingo ya 23: Uburenganzira bwo gusiba Article 23: Right to erasure of personal data Article 23: Droit à l’effacement de données à
amakuru bwite caractère personnel
Ingingo ya 24: Uburenganzira bwo gukosora Article 24: Right to rectification Article 24: Droit de rectification
4
Ingingo ya 25: Uburenganzira bwo kugena Article 25: Right to designate an heir to Article 25: Droit de désigner un héritier des
umuzungura ku makuru bwite personal data données à caractère personnel
Ingingo ya 26: Uburenganzira bwo Article 26: Right to representation Article 26: Droit à une représentation
guhagararirwa
UMUTWE WA IV: INSHINGANO CHAPTER VI: TASKS AND POWERS OF CHAPITRE IV: ATTRIBUTIONS ET
N’UBUBASHA BY’URWEGO THE SUPERVISORY AUTHORITY IN POUVOIRS DE L’AUTORITE DE
RUGENZURA MU BYEREKEYE MATTERS RELATING TO THE CONTRÔLE EN MATIÈRE DE
KURINDA AMAKURU BWITE PROTECTION OF PERSONAL DATA PROTECTION DES DONNÉES À
N’IMIBEREHO BWITE BY’UMUNTU AND PRIVACY CARACTÈRE PERSONNEL ET DE LA
VIE PRIVÉE
Ingingo ya 27: Inshingano z’Urwego Article 27: Duties of the supervisory Article 27: Attributions de l’autorité de
rugenzura mu byerekeye kurinda amakuru authority in matters relating to the contrôle en matière de protection des
bwite n’imibereho bwite by’umuntu protection of personal data and privacy données à caractère personnel et de la vie
privée
Ingingo ya 28: Ububasha bw’urwego Article 28: Powers of the supervisory Article 28 : Pouvoirs de l’autorité de
privée
UMUTWE WA V: IYANDIKWA CHAPTER V: REGISTRATION OF A CHAPITRE V: ENREGISTREMENT DU

RY’UMUGENZUZI W’AMAKURU DATA CONTROLLER AND A DATA RESPONSABLE DU TRAITEMENT ET
N’UTUNGANYA AMAKURU PROCESSOR DU SOUS-TRAITANT
Ingingo ya 29: Kwiyandikisha kuba Article 29: Registration as a data controller Article 29: Enregistrement à titre de
umugenzuzi w’amakuru cyangwa or a data processor responsable du traitement ou sous-traitant
utunganya amakuru
Ingingo ya 30: Ibisabwa kwiyandikisha kuba Article 30: Requirements for registration as Article 30: Conditions d’enregistrement à
5
umugenzuzi w’amakuru cyangwa utunganya a data controller or a data processor tire de responsable du traitement ou de sous-
amakuru traitant
Ingingo ya 31: Itangwa ry’icyemezo Article 31: Issuance of a registration Article 31: Octroi du certificat
cy’iyandikwa certificate d’enregistrement
Ingingo ya 32: Kumenyekanisha impinduka Article 32: Reporting a change after Article 32: Signaler un changement après
nyuma yo guhabwa icyemezo cy’iyandikwa receiving a registration certificate obtention du certificat d’enregistrement
Ingingo ya 33: Kongerera igihe icyemezo Article 33: Renewal of a registration Article 33: Renouvellement d’un certificat
Ingingo ya 34: Guhindura icyemezo Article 34: Modification of a registration Article 34: Modification d’un certificat
Ingingo ya 35: Gutesha agaciro icyemezo Article 35: Cancellation of a registration Article 35: Annulation d’un certificat
Ingingo ya 36: Igitabo cyandikwamo Article 36: Register of data controllers and Article 36: Registre de responsables du
abagenzuzi b’amakuru n’abatunganya data processors traitement et de sous-traitants
amakuru
UMUTWE WA VI: INSHINGANO CHAPTER VI: OBLIGATIONS OF THE CHAPTER VI: OBLIGATIONS DU
Z’UMUGENZUZI W’AMAKURU DATA CONTROLLER AND THE DATA RESPONSABLE DU TRAITEMENT ET
Ingingo ya 37: Amahame yerekeranye no Article 37: Principles relating to processing Article 37: Principes relatifs au traitement
gutunganya amakuru bwite of personal data des données à caractère personnel
Ingingo ya 38: Inshingano z’umugenzuzi Article 38: Duties of the data controller and Article 38: Attributions du responsable du
w’amakuru n’utunganya amakuru the data processor traitement et du sous-traitant
6
Ingingo ya 39: Ishyirwaho ry’uhagarariye Article 39: Designation of a representative of Article 39: Désignation d’un représentant du
umugenzuzi w’amakuru cyangwa the data controller or the data processor responsable du traitement ou du sous-
utunganya amakuru traitant
Ingingo ya 40: Ishyirwaho ry’umukozi Article 40: Designation of the personal data Article 40: Désignation du délégué à la
ushinzwe kurinda amakuru bwite protection officer protection des données à caractère personnel
Ingingo ya 41: Inshingano z’umukozi Article 41: Duties of the personal data Article 41: Attributions du délégué à la
Ingingo ya 42: Amakuru atangwa mu gihe cyo Article 42: Information to be provided Article 42: Informations à fournir lors de la
gukusanya amakuru bwite during personal data collection collecte des données à caractère personnel
Ingingo ya 43: Imenyekanisha ku ivogerwa Article 43: Notification of personal data Article 43: Notification de la violation des
ry’amakuru bwite breach données à caractère personnel
Ingingo ya 44: Raporo ku ivogerwa Article 44: Report on personal data breach Article 44: Rapport sur la violation des
ry’amakuru bwite données à caractère personnel
Ingingo ya 45: Kumenyesha nyiri ubwite Article 45: Communication of a personal Article 45: Communication à la personne
ivogerwa ry’amakuru bwite data breach to the data subject concernée d’une violation de données à
caractère personnel
Ingingo ya 46: Gutunganya amakuru bwite Article 46: Lawful processing of personal Article 46: Licéité du traitement de données
mu buryo bwemewe n’amategeko data à caractère personnel
Ingingo ya 47: Ingamba zo kugenzura Article 47: Measures to ensure security of Article 47: Mesures pour assurer la sécurité
umutekano w’amakuru bwite personal data des données à caractère personnel
UMUTWE WA VII: GUHANAHANA, CHAPTER VII: SHARING, TRANSFER, CHAPITRE VII: PARTAGE,
GUHEREREKANYA, KUBIKA NO STORAGE AND RETENTION OF TRANSFERT, STOCKAGE ET
GUKOMEZA KUBIKA AMAKURU PERSONAL DATA RÉTENTION DES DONNÉES À
7
BWITE CARACTÈRE PERSONNEL
Ingingo ya 48: Ihanahana n’ihererekanya Article 48: Sharing and transfer of personal Article 48: Partage et transfert des données
ry’amakuru bwite hanze y’u Rwanda data outside Rwanda à caractère personnel en dehors du Rwanda
Ingingo ya 49: Amasezerano mu Article 49: Contract for transfer of personal Article 49: Contrat de transfert des données
ihererekanya ry’amakuru bwite data à caractère personnel
Ingingo ya 50: Ibikwa ry’amakuru bwite Article 50 Storage of personal data Article 50: Stockage des données à
Ingingo ya 51: Kwimura no gucunga Article 51: Migration and management of Article 51: Migration et gestion de données
amakuru bwite nyuma yo guhindura personal data after change or closure of à caractère personnel après le changement
cyangwa gufunga ibikorwa business ou la fermeture des activités
Ingingo ya 52: Igihe amakuru bwite amara Article 52: Retention of personal data Article 52: Rétention de données à caractère
abitswe personnel
UMUTWE WA VIII: AMAKOSA, IBYAHA CHAPTER VIII: MISCONDUCTS, CHAPITRE VIII: FAUTES,
N’IBIHANO OFFENCES AND SANCTIONS INFRACTIONS ET SANCTIONS,
Icyiciro cya mbere: Amakosa n’ibihano byo Section One: Administrative misconducts Section première: Fautes et sanctions
mu rwego rw’ubutegetsi and sanctions administratives
Ingingo ya 53: Amakosa yo mu rwego Article 53: Administrative misconducts Article 53: Fautes administratives
rw’ubutegetsi
Ingingo ya 54: Kuregera urukiko Article 54: Filing an application to the court Article 54: Saisie de la juridiction
Ingingo ya 55: Aho ihazabu yo mu rwego Article 55: Place where the administrative Article 55: Lieu de versement de l’amende
rw’ubutegetsi ishyirwa fine is deposited administrative
8
Icyiciro cya 2: Ibyaha n’ibihano Section 2: Offences and penalties Section 2: Infractions et peines
Ingingo ya 56: Kubona, gukusanya, Article 56: Accessing, collecting, using, Article 56: Obtention, collecte, utilisation,
gukoresha, gutanga, guhanahana, offering, sharing, transfer or disclosing of offre, partage, transfert ou divulgation
guhererekanya cyangwa gutangaza personal data in a way that is contrary to illicite des données à caractère personnel
amakuru bwite mu buryo bunyuranyije n’iri this Law d’une manière contraire à la présente loi.
tegeko
Ingingo ya 57: Gusubiza ku makuru bwite Article 57: Re-identification of de-identified Article 57: Réidentification des données à
ibiyaranga byakuweho mu buryo personal data in a way that is contrary to caractère personnel anonymisées d’une
bunyuranyije n’iri tegeko this Law manière contraire à la présente loi
Ingingo ya 58: Gusenya, gusiba, guhisha Article 58: Destruction, erasure, Article 58: Destruction, effacement,
cyangwa guhindura amakuru bwite mu concealment or alteration of personal data dissimulation ou altération des données à
buryo bunyuranyije n’iri tegeko in a way that is contrary to this Law caractère personnel d’une manière
contraire à la présente loi
Ingingo ya 59: Kugurisha amakuru bwite Article 59: Sale of personal data in a way that Article 59: Vente des données à caractère
mu buryo bunyuranyije n’iri tegeko is contrary to this Law personnel d’une manière contraire à la
présente loi
Ingingo ya 60: Gukusanya cyangwa Article 60: Collecting or processing of Article 60: Collecte ou traitement des
gutunganya amakuru bwite y’ibanga mu sensitive personal data in a way that is données à caractère personnel sensibles
buryo bunyuranyije n’iri tegeko contrary to this Law d’une manière contraire à la présente loi
Ingingo ya 61: Gutanga amakuru atari yo Article 61: Providing false information Article 61: Fourniture de fausses
informations
Ingingo ya 62: Ihanwa ry’ikigo cyangwa Article 62: Punishment of a corporate body Article 62: Punition d’une personne morale
urwego bifite ubuzimagatozi or a legal entity ou d’une entité juridique
Ingingo ya 63: Ibihano by’inyongera Article 63: Additional penalties Article 63: Sanctions supplémentaires
9
UMUTWE WA IX: INGINGO CHAPTER IX: MISCELLANEOUS, CHAPITRE IX : DISPOSITIONS

ZINYURANYE, IZ’INZIBACYUHO TRANSITIONAL AND FINAL DIVERSES, TRANSITOIRES ET
N’IZISOZA PROVISIONS FINALES
Ingingo ya 64: Urwego rushinzwe gukemura Article 64: Organ in charge of settlement of Article 64: Organe chargé du règlement des
amakimbirane disputes différends
Ingingo ya 65: Uburenganzira bwo kuregera Article 65: Right to claim for compensation Article 65: Droit à la compensation
indishyi
Ingingo ya 66: Ububasha bwo gushyiraho Article 66: Power to put in place regulations Article 66: Pouvoir d’établir des règlements
amabwiriza
Ingingo ya 67: Igihe cy’inzibacyuho Article 67: Transitional period Article 67: Période transitoire
Ingingo ya 68: Itegurwa, isuzumwa n’itorwa Article 68: Drafting, consideration and Article 68: Initiation, examen et adoption de
by’iri tegeko adoption of this Law la présente loi
Ingingo ya 69: Ivanwaho ry’ingingo Article 69: Repealing provision Article 69: Disposition abrogatoire
zinyuranyije n’iri tegeko
Ingingo ya 70: Igihe iri tegeko ritangira Article 70: Commencement Article 70: Entrée en vigueur
gukurikizwa
10
ITEGEKO N° 058/2021 RYO KU WA LAW Nº 058/2021 OF 13/10/2021 LOI Nº 058/2021 DU 13/10/2021 RELATIVE
13/10/2021 RYEREKEYE KURINDA RELATING TO THE PROTECTION OF À LA PROTECTION DES DONNÉES À
AMAKURU BWITE N’IMIBEREHO PERSONAL DATA AND PRIVACY CARACTÈRE PERSONNEL ET DE LA
BWITE BY’UMUNTU VIE PRIVÉE
Twebwe, KAGAME Paul, We, KAGAME Paul, Nous, KAGAME Paul,

Perezida wa Repubulika; President of the Republic; Président de la République;
INTEKO ISHINGA AMATEGEKO THE PARLIAMENT HAS ADOPTED LE PARLEMENT A ADOPTÉ ET NOUS
YEMEJE NONE NATWE DUHAMIJE, AND WE SANCTION, PROMULGATE SANCTIONNONS, PROMULGUONS LA
DUTANGAJE ITEGEKO RITEYE RITYA THE FOLLOWING LAW AND ORDER IT LOI DONT LA TENEUR SUIT ET
KANDI DUTEGETSE KO RITANGAZWA BE PUBLISHED IN THE OFFICIAL ORDONNONS QU’ELLE SOIT PUBLIÉE
MU IGAZETI YA LETA YA REPUBULIKA GAZETTE OF THE REPUBLIC OF AU JOURNAL OFFICIEL DE LA
Y’U RWANDA RWANDA RÉPUBLIQUE DU RWANDA
INTEKO ISHINGA AMATEGEKO: THE PARLIAMENT: LE PARLEMENT:
Umutwe w’Abadepite, mu nama yawo yo ku wa The Chamber of Deputies, in its sitting of La Chambre des Députés, en sa séance du
12 Kanama 2021; 12 August 2021; 12 août 2021;
Ishingiye ku Itegeko Nshinga rya Repubulika Pursuant to the Constitution of the Republic of Vu la Constitution de la République du Rwanda
y’u Rwanda ryo mu 2003 ryavuguruwe mu 2015, Rwanda of 2003 revised in 2015, especially in de 2003 révisée en 2015, spécialement en ses
cyane cyane mu ngingo zaryo, iya 23, iya 64, Articles 23, 64, 69, 70, 88, 90, 91, 93, 106, articles 23, 64, 69, 70, 88, 90, 91, 93, 106, 120,
iya 69, iya 70, iya 88, iya 90, iya 91, iya 93, 120,122 and 176; 122 et 176;
iya 106, iya 120, iya 122 n’iya 176;
Ishingiye ku Masezerano y’Afurika Yunze Pursuant to the African Union Convention on Vu la Convention de l’Union Africaine sur la
Ubumwe yerekeye gucunga umutekano cyber security and personal data protection cybersécurité et la protection des données à
w’ibijyanye n’ikoranabuhanga n’amakuru adopted in Malabo, Equatorial Guinea, on caractère personnel, adoptée à Malabo, Guinée
y’umuntu bwite abikwa muri mudasobwa, 27 June 2014, ratified by Presidential Order Équatoriale le 27 juin 2014 ratifiée par Arrêté
11
yemerejwe i Malabo, muri Guinea Equatoriale n° 104/01 of 18/09/2019; Présidentiel n° 104/01 du 18/09/2019;
ku wa 27 Kamena 2014, yemejwe n’Iteka rya
Perezida n° 104/01 ryo ku wa 18/09/2019;
YEMEJE: ADOPTS: ADOPTE:
UMUTWE WA MBERE: INGINGO CHAPTER ONE: GENERAL CHAPITRE PREMIER: DISPOSITIONS

RUSANGE PROVISIONS GÉNÉRALES
Ingingo ya mbere: Icyo iri tegeko rigamije Article One: Purpose of this Law Article premier: Objet de la présente loi
Iri tegeko rigamije kurinda amakuru bwite This Law aims at the protection of personal data La présente loi vise à protéger les données à
n’imibereho bwite by’umuntu, rikagena kandi and privacy and determines their processing. caractère personnel et la vie privée et détermine
imitunganyirize yayo. leur traitement.
Ingingo ya 2: Ibirebwa n’iri tegeko Article 2: Scope of this Law Article 2: Champ d’application de la
présente loi
Iri tegeko rireba: This Law applies to: La présente loi s’applique:
1° itunganywa ry’amakuru bwite hifashishijwe 1° the processing of personal data by 1° au traitement de données à caractère
uburyo bw’ikoranabuhanga cyangwa ubundi electronic or other means using personal personnel par voie électronique ou autre en
buryo hakoreshejwe amakuru bwite data through an automated or non- utilisant des données à caractère personnel à
anyuzwa mu mashini koranabuhanga automated platform; travers une plate-forme automatisée ou non
yikoresha cyangwa itikoresha; automatisée;
2° umugenzuzi w’amakuru, utunganya 2° the data controller, the data processor or 2° au responsable du traitement, au sous-
amakuru cyangwa undi muntu: a third party who: traitant ou à un tiers:
a) ufite icyicaro cyangwa utuye mu a) is established or resides in Rwanda a) qui est établi ou installé au Rwanda et
12
Rwanda kandi utunganya amakuru and processes personal data while in qui traite des données à caractère
bwite mu Rwanda; Rwanda; personnel au Rwanda;
b) udafite icyicaro cyangwa udatuye b) is neither established nor resides in b) qui n’est ni établi ni résidant au Rwanda,
mu Rwanda, ariko utunganya Rwanda, but processes personal data mais qui traite des données à caractère
amakuru bwite ya ba nyiri ubwite of data subjects located in Rwanda. personnel des personnes concernées
bari mu Rwanda. situées au Rwanda.
Ingingo ya 3: Ibisobanuro by’amagambo Article 3: Definitions Article 3: Définitions
Muri iri tegeko, amagambo akurikira afite In this Law, the following terms have the Aux fins de la présente loi, les termes suivants
ibisobanuro bikurikira: following meanings: ont les significations suivantes :
1° amakuru bwite: amakuru ayo ari yo yose 1° personal data: any information 1° données à caractère personnel: toute
yerekeye umuntu ku giti cye uzwi cyangwa relating to an identified or identifiable information se rapportant à une personne
ushobora kumenyekana, mu buryo buziguye natural person who can be identified, physique identifiée ou identifiable qui peut
cyangwa butaziguye, by'umwihariko directly or indirectly, in particular by être identifiée, directement ou
hashingiwe ku kimuranga nk'izina, nimero reference to an identifier such as a indirectement, notamment par référence à
imuranga, aho aherereye, ikimuranga mu name, an identification number, un identifiant, tel qu’un nom, un numéro
buryo koranabuhanga cyangwa hashingiwe location data, an online identifier or to d’identification, des données de
ku kintu kimwe cyangwa byinshi byihariye one or more factors specific to the localisation, un identifiant en ligne, ou à un
biranga imiterere y'umubiri we, physical, psychological, genetic, ou plusieurs éléments spécifiques propres à
imitekerereze ye, inkomoko ye, ubuzima mental, economic, cultural or social son identité physique, psychologique,
bwe bwo mu mutwe, ubukungu, umuco identity of that natural person; génétique, psychique, économique,
cyangwa imibereho y'uwo muntu ku giti culturelle ou sociale;
cye;
2° amakuru bwite y’ibanga: amakuru 2° sensitive personal data: information 2° données à caractère personnel sensibles:
agaragaza isanomuzi y’umuntu, uko revealing a person’s race, health status, informations révélant la race d’une
ubuzima bwe buhagaze, ko yafunzwe criminal records, medical records, personne, son état de santé, son casier
cyangwa atafunzwe, dosiye ye yo kwa social origin, religious or philosophical judiciaire, son dossier médical, son origine
muganga, inkomoko ye mu muryango, beliefs, political opinion, genetic or sociale, ses convictions religieuses ou
imyemerere ye ishingiye ku idini cyangwa biometric information, sexual life or philosophiques, son opinion politique, ses
13
ku mitekerereze, ibitekerezo bye bya family details; données génétiques ou biométriques, sa vie
politiki, amakuru ndangasano cyangwa sexuelle ou détails sur sa famille;
ay’imiterere ye, ay’ubuzima bw’imibonano
mpuzabitsina cyangwa umwirondoro
w’umuryango;
3° guhisha imisomere y’amakuru: uburyo 3° encryption: technical method used to 3° chiffrement: méthode technique utilisée
bwa tekiniki bukoreshwa mu gutuma render the content of data unreadable to pour rendre le contenu des données
ibikubiye mu makuru bidasomeka k’uwo any person who is not authorised to illisibles pour toute personne qui n’est pas
ariwe wese atagenewe; access it; autorisée à y avoir accès;
4° gutunganya amakuru bwite: igikorwa 4° processing of personal data: an 4° traitement de données à caractère
kimwe cyangwa ibikorwa byinshi, bikozwe operation or set of operations which is personnel: une opération ou un ensemble
ku makuru bwite hakoreshejwe uburyo performed on personal data or on sets d’opérations effectuées ou non à l’aide de
bw’ikoranabuhanga bwikoresha cyangwa of personal data, whether or not by procédés automatisés et appliquées à des
butikoresha, harimo kugera, kubona, automated means, such as access to, données ou des ensembles de données à
gukusanya, kwandika, kunoza, kubika, obtaining, collection, recording, caractère personnel, tels que l’accès,
guhuza cyangwa guhindura, kugarura, structuring, storage, adaptation or l’obtention, la collecte, l’enregistrement, la
gusubiza, guhisha, kwifashisha, gukoresha, alteration, retrieval, reconstruction, structuration, la conservation, l’adaptation
kumenyesha amakuru yerekeye umuntu ku concealment, consultation, use, ou la modification, l’extraction, la
giti cye ahererekanijwe, kuyahanahana, disclosure by transmission, sharing, reconstitution, la dissimulation, la
kuyahererekanya cyangwa kuyatanga, transfer, or otherwise making consultation, l’utilisation, la
kuyagurisha, kubuza imikoreshereze yayo, available, sale, restriction, erasure or communication par transmission, le
gusiba cyangwa gusenya; destruction; partage, le transfert ou la mise à
disposition, la vente, la limitation,
l’effacement ou la destruction;
5° igitabo cyandikwamo abagenzuzi 5° register of data controllers and data 5° registre de responsables du traitement et
b’amakuru n’abatunganya amakuru: processors: a system of records de sous-traitants: système
inyandiko cyangwa uburyo physical or electronic of registered data d’enregistrements physiques ou
bw’ikoranabuhanga bwo kubika amakuru controllers and data processors; électroniques des responsables du
arebana n’abagenzuzi b’amakuru traitement et des sous-traitants enregistrés;
14
n’abatunganya amakuru banditse;
6° imibereho bwite y’umuntu: uburenganzira 6° privacy: a fundamental right of a 6° vie privée: droit fondamental d’une
bw’ibanze bw’umuntu bwo kwemeza undi person to decide who can access his or personne de décider qui peut accéder à ses
muntu ushobora kubona amakuru bwite ye, her personal data, when, where, why données à caractère personnel, quand, où,
igihe n’ahantu yayabonera, impamvu and how his or her personal data can be pourquoi et comment elles peuvent être
yayabona, uburyo akoresha ayabona accessed; accessibles;
n’uburyo bwakoreshwa kugira ngo
agerweho;
7° ingaruka zikomeye: ingaruka zifite 7° significant consequences: effects that 7° conséquences significatifs: conséquences
uburemere nk’izo mu rwego rw’amategeko are as similarly significant in their ayant un impact aussi significatif que les
zihungabanya nyiri ubwite ku myitwarire impact as legal effects and that effets juridiques qui affectent négativement
cyangwa amahitamo ye; adversely affect a data subject’s le comportement et les choix d’une
behaviour or choices; personne concernée;
8° ingaruka zo mu rwego rw’amategeko: 8° legal consequences: effects that 8° conséquences juridiques: conséquences
ingaruka zihungabanya imibereho adversely affect a person’s legal status qui affectent négativement le statut
y’umuntu n’uburenganzira bwe ahabwa or his/her legal rights; juridique d’une personne ou ses droits
n’amategeko; légaux;
9° insimburamakuru: uburyo bwo 9° tokenisation: the process of replacing 9° tokenisation: processus de remplacement
gusimbuza amakuru y’ibanga ibimenyetso sensitive data with unique de données sensibles par des symboles
ndangamakuru byihariye bibika ibisobanuro identification symbols that retain all d’identification uniques qui conservent
by’ingenzi byerekeye amakuru the essential information about the data toutes les informations essentielles sur les
bitabangamiye umutekano wayo; without compromising its security; données sans compromettre leur sécurité;
10° inyungu z’ingenzi: inyungu zifitanye isano 10° vital interests: interests linked to life 10° intérêts vitaux: intérêts liés à la vie ou au
n’ubuzima cyangwa urupfu bya nyiri or death of data subject; décès de la personne concernée;
ubwite;
11° ishusho y’amakuru: uburyo bwikoresha 11° profiling: form of automated 11° profilage: forme de traitement automatisé
15
bwo gutunganya amakuru bwite butuma processing of personal data consisting de données à caractère personnel consistant
hifashishwa amakuru bwite mu gusuzuma of the use of personal data to evaluate à utiliser ces données à caractère personnel
imiterere imwe n’imwe iranga umuntu, certain personal aspects relating to a pour évaluer certains aspects personnels
by’umwihariko mu gusesengura no natural person, in particular to analyse relatifs à une personne physique,
guteganya imiterere iranga imikorere y’uwo and predict aspects concerning that notamment pour analyser et prédire des
muntu mu kazi, uko ahagaze mu rwego natural person’s performance at work, éléments concernant le rendement au
rw’ubukungu, ubuzima bwe, ibyo akunda economic situation, health, personal travail, la situation économique, la santé,
kurusha ibindi, inyungu ze, uburyo yizerwa, preferences, interests, reliability, les préférences personnelles, les intérêts, la
imyitwarire ye, aho aherereye cyangwa behaviour, location or movements; fiabilité, le comportement, la localisation
ingendo akora; ou les déplacements de cette personne
physique;
12° kwandika icyakozwe ku makuru bwite: 12° personal data logging: the process of 12° enregistrement des données à caractère
uburyo bwo kubika ibikorwa byakozwe mu recording personal data processing personnel: processus d’enregistrement des
itunganwa ry’amakuru bwite mu gihe activities over a period of time for the activités de traitement des données pendant
runaka hagamijwe kubikurikirana no purpose of event monitoring and une période donnée aux fins de contrôle et
kubigenzura hifashishijwe uburyo auditing in an automated processing d’audit des événements dans un système de
koranabuhanga bwikoresha; system; traitement automatisé;
13° kuvogera amakuru bwite: igikorwa cyo 13° personal data breach: a breach of 13° violation de données à caractère
kuvogera umutekano w’amakuru bwite mu personal data security leading to personnel: violation de la sécurité de
buryo bunyuranyije n’amategeko gituma unlawful destruction, loss, alteration, données à caractère personnel entraînant,
amakuru yangirika, atakara, ahinduka, unauthorised disclosure of, or access de manière illicite, la destruction, la perte,
atangazwa mu buryo butemewe cyangwa to, personal data transmitted, stored or l’altération, la divulgation non autorisée de
abantu babona amakuru bwite otherwise processed; données à caractère personnel transmises,
yahererekanyijwe, abitse cyangwa conservées ou traitées d’une autre manière,
yatunganyijwe mu bundi buryo; ou l’accès non autorisé à de telles données;
14° kuyoberanya amakuru: gutunganya 14° pseudonymisation: the processing of 14° pseudonymisation: traitement de données
amakuru bwite ku buryo aba atakibashije personal data in such a manner that the à caractère personnel de telle façon que
kwitirirwa nyiri ubwite wihariye data can no longer be attributed to a celles-ci ne puissent plus être attribuées à
hadakoreshejwe ibisobanuro by’inyongera specific data subject without the use of une personne concernée précise sans avoir
16
bibitswe ukwabyo; additional information kept separately; recours à des informations supplémentaires
conservées séparément;
15° nyiri ubwite: umuntu ku giti cye amakuru 15° data subject: a natural person from 15° personne concernée: personne physique
bwite akomokaho cyangwa uwo amakuru whom or in respect of whom, personal en provenance de laquelle ou au sujet de
bwite yasabwe, akanatunganywa; data has been requested and processed; laquelle les données à caractère personnel
ont été demandées et traitées;
16° ugenewe amakuru: umuntu ku giti cye, 16° recipient: a natural person, a public or 16° destinataire: personne physique, personne
ikigo cya Leta cyangwa icy’abikorera private corporate body or legal entity to morale publique ou privée ou entité
cyangwa urwego bifite ubuzimagatozi which the personal data are disclosed; juridique qui reçoit la communication de
bitangarizwa amakuru bwite; données à caractère personnel;
17° ukoresha: umuntu ku giti cye, ikigo cya 17° user: a natural person, a public or 17° utilisateur: personne physique, personne
Leta cyangwa icy’abikorera cyangwa private corporate body or a legal entity, morale publique ou privée ou entité
urwego bifite ubuzimagatozi bikoresha who uses or who requests personal data juridique utilisant ou demandant un service
cyangwa bisaba serivisi yo gutunganya processing service; de traitement de données à caractère
amakuru bwite; personnel;
18° ukwemera kwa nyiri ubwite: kugaragaza 18° consent of the data subject: freely 18° consentement de la personne concernée:
mu bwisanzure ibyifuzo bya nyiri ubwite given, specific, informed and manifestation de volonté libre, spécifique,
nta gahato bishingiye ku bisobanuro yahawe unambiguous indication of the data éclairée et univoque par laquelle la
bitarimo urujijo, yumvikanisha akoresheje subject’s wishes by which he or she, by personne concernée accepte oralement, par
imvugo, uburyo bw’inyandiko cyangwa an oral, written or electronic statement écrit ou par voie électronique ou par un acte
bw’ikoranabuhanga cyangwa igikorwa or by a clear affirmative action, positif clair, que des données à caractère
kigaragara kandi gisobanutse ko yemeye signifies agreement to the processing personnel la concernant fassent l’objet d’un
itunganywa ry’amakuru bwite; of personal data relating to him or her; traitement;
19° umugenzuzi w’amakuru: umuntu ku giti 19° data controller: natural person, public 19° responsable du traitement: personne
cye, ikigo cya Leta cyangwa icy’abikorera or private corporate body or legal entity physique ou morale ou entité juridique qui,
cyangwa urwego bifite ubuzimagatozi, which, alone or jointly with others, seule ou conjointement avec d’autres, traite
habaho cyangwa hatabaho ubufatanye, processes personal data and determines les données à caractère personnel et
17
bitunganya amakuru bwite kandi bikagena the means of their processing; détermine les moyens de leur traitement;
uburyo bwo kuyatunganya;
20° umuntu: umuntu ku giti cye, ikigo cya Leta 20° person: natural person, corporate body 20° personne: personne physique, personne
cyangwa icy’abikorera cyangwa urwego or legal entity; morale ou entité juridique;
bifite ubuzimagatozi;
21° undi muntu: umuntu ku giti cye, ikigo cya 21° third party: natural person, corporate 21° tiers: personne physique, personne morale
Leta cyangwa icy’abikorera cyangwa body or legal entity other than the data publique ou privée ou entité juridique autre
urwego bifite ubuzimagatozi bitari nyiri subject, the data controller, the data que la personne concernée, le responsable
ubwite, umugenzuzi w’amakuru, utunganya processor and persons who, under the du traitement, le sous-traitant et les
amakuru n’abantu bagenzurwa authority of the data controller, are personnes qui, placées sous l’autorité du
n’umugenzuzi w’amakuru bemerewe authorised to process personal data; responsable du traitement, sont autorisées à
gutunganya amakuru bwite; traiter les données à caractère personnel;
22° urwego rubifitiye ububasha: ubuyobozi 22° competent authority: sectoral 22° autorité compétente: autorité sectorielle
mu nzego zitandukanye bushinzwe authority responsible for overseeing chargée de contrôler la conformité
kugenzura iyubahirizwa ry’amategeko muri sector-specific compliance in sectorielle spécifique conjointement avec
urwo rwego bufatanyije n’urwego conjunction with the supervisory l’autorité de contrôle;
rugenzura; authority;
23° urwego rugenzura: urwego rw’Igihugu 23° supervisory authority: a public 23° autorité de contrôle: autorité publique
rufite mu nshingano umutekano authority in charge of cyber security; ayant la cybersécurité dans ses attributions;
w’ibijyanye n’Ikoranabuhanga mu
Itangazabumenyi n’Itumanaho;
24° utunganya amakuru: umuntu ku giti cye, 24° data processor: natural person, public 24° sous-traitant: personne physique,
ikigo cya Leta cyangwa icy’abikorera or private corporate body or legal entity, personne morale publique ou privée ou
cyangwa urwego bifite ubuzimagatozi which is authorised to process personal entité juridique autorisée à traiter des
byemerewe gutunganya amakuru bwite mu data on behalf of the data controller. données à caractère personnel pour le
izina ry’umugenzuzi w’amakuru. compte du responsable du traitement.
18
UMUTWE WA II: GUTUNGANYA CHAPTER II: PROCESSING AND CHAPITRE II: TRAITEMENT ET
AMAKURU BWITE N’IREME RYAYO QUALITY OF PERSONAL DATA QUALITÉ DE DONNÉES À
CARACTÈRE PERSONNEL
Icyiciro cya mbere: Gutunganya amakuru Section One: Processing of personal data Section première: Traitement des données à
bwite caractère personnel
Ingingo ya 4: Kwemererwa gutunganya Article 4: Authorisation to process personal Article 4: Autorisation de traitement de
amakuru bwite data données à caractère personnel
Itunganywa ry’amakuru bwite rikorwa The processing of personal data carried out by Le traitement de données à caractère personnel
n’utunganya amakuru rigengwa n’amasezerano the data processor is governed by a written effectué par le sous-traitant est régi par un
yanditse akorwa hagati y’utunganya amakuru contract between the data processor and the contrat écrit conclu entre le sous-traitant et le
n’umugenzuzi w’amakuru. data controller. responsable du traitement.
Utunganya amakuru abikora mu izina The data processor processes personal data on Le sous-traitant traite des données à caractère
ry’umugenzuzi w’amakuru hashingiwe ku behalf of the data controller subject to a written personnel pour le compte du responsable du
masezerano yanditse avugwa mu gika cya contract referred to in Paragraph One of this traitement conformément au contrat écrit visé
mbere cy’iyi ngingo. Article. à l’alinéa premier du présent article.
Umugenzuzi w’amakuru atanga uburenganzira The data controller authorises the data Le responsable du traitement autorise le sous-
bwo gutunganya amakuru bwite k’utunganya processor who provides sufficient guarantees traitant qui offre des garanties suffisantes pour
amakuru ufite ibyangombwa byo gushyira mu to implement appropriate technical and mettre en œuvre des mesures techniques et
bikorwa ingamba zo mu rwego rwa tekiniki organisational measures in such a manner that organisationnelles appropriées de telle
n’urw’imitunganyirize ku buryo iryo processing meets the requirements of this Law. manière que ce traitement réponde aux
tunganywa ryubahiriza ibiteganywa n’iri conditions de la présente loi.
tegeko.
Ingingo ya 5: Imibereho bwite ya nyiri ubwite Article 5: Privacy of the data subject Article 5: Vie privée de la personne
concernée
Umugenzuzi w’amakuru, utunganya amakuru The data controller, the data processor or a third Le responsable de traitement, le sous-traitant ou
19
cyangwa undi muntu atunganya amakuru bwite party processes personal data in a manner which un tiers traite les données à caractère personnel
mu buryo butabangamira imibereho bwite ya does not infringe on the privacy of the data d’une manière qui ne porte pas atteinte à la vie
nyiri ubwite. subject. privée de la personne concernée.
Ingingo ya 6: Ukwemera kwa nyiri ubwite Article 6: Consent of the data subject Article 6: Consentement de la personne
concernée
Igihe gutunganya amakuru bwite bishingiye Where the processing of personal data is based Lorsque le traitement de données à caractère
k’ukwemera kwa nyiri ubwite, nyiri ubwite on the consent of the data subject, data subject personnel se fonde sur le consentement de la
agaragaza ko yemera ko amakuru bwite demonstrates that he or she has consented to personne concernée, cette personne démontre
amwerekeye atunganywa hagamijwe intego the processing of his or her personal data for a qu’elle a donné son consentement au
yihariye. specified purpose. traitement de données à caractère personnel la
concernant dans un but spécifié.
Ukwemera kwa nyiri ubwite kugira agaciro The consent of the data subject is valid only Le consentement de la personne concernée
gusa iyo gushingiye ku cyemezo nyiri ubwite when it is based on the data subject’s free n’est valable que s’il est basé sur sa décision
yifatiye mu bwisanzure nyuma yo decision after being informed of the libre après avoir été informée des
kumenyeshwa ingaruka z’ukwemera kwe. consequences of his or her consent. conséquences de son consentement.
Ukwemera kwa nyiri ubwite gushobora The consent of the data subject may be made Le consentement de la personne concernée
gukorwa mu mvugo, mu buryo bw’inyandiko in oral, written or electronic form. peut être donné oralement, par écrit ou par voie
cyangwa bw’ikoranabuhanga. électronique.
Ingingo ya 7: Kugaragaza ibindi bintu mu Article 7: Indication of other matters in the Article 7: Indication d’autres éléments dans
nyandiko y’ukwemera declaration of consent la déclaration de consentement
Inyandiko y’ukwemera kwa nyiri ubwite The data subject’s declaration of consent that La déclaration de consentement par la
ikubiyemo ibindi bintu, igomba kugaragaza mu contains other matters must clearly indicate personne concernée qui contient d’autres
buryo busobanutse ibyo bintu bindi yemeye those other matters to which he or she consents questions, doit indiquer clairement ces autres
muri rumwe mu ndimi zemewe mu butegetsi in one of the official languages that is questions auxquelles elle consent dans l’une
kandi yumva neza. understandable to him or her. des langues officielles qu’elle comprend.
20
Igice cyose cy’inyandiko ivugwa mu gika cya Any part of the declaration referred to in Aucune partie de la déclaration visée à l’alinéa
mbere cy’iyi ngingo cyaba kinyuranyije Paragraph One of this Article which premier du présent article qui constitue une
n’ibiteganywa n’iri tegeko nta gaciro kigira. constitutes an infringement of the provisions of violation des dispositions de la présente loi ne
this Law cannot be binding. peut être contraignante.
Ingingo ya 8: Uburenganzira bwo Article 8: Right of the data subject to Article 8: Droit de la personne concernée de
kwisubiraho kwa nyiri ubwite withdraw his or her consent retirer son consentement
Nyiri ubwite afite uburenganzira bwo The data subject has the right to withdraw his La personne concernée a le droit de retirer son
kwisubiraho k’ukwemera kwe igihe icyo ari or her consent at any time. consentement à tout moment.
cyo cyose.
Ukwisubiraho kwa nyiri ubwite ntibigira The withdrawal of consent by the data subject Le retrait de consentement par la personne
ingaruka ku gutunganya amakuru bwite does not affect the lawfulness of processing of concernée ne compromet pas la licéité du
byakozwe mu buryo bwemewe n’amategeko, personal data based on consent before its traitement de données personnelles fondé sur
igihe bishingiye ku kwemera kwakozwe mbere withdrawal. le consentement effectué avant ce retrait.
yo kwisubiraho.
Ukwisubiraho kwa nyiri ubwite gukorwa mu The withdrawal of consent by the data subject Le retrait de consentement par la personne
buryo bworoshye kimwe nk’ubwakoreshejwe is as easy as expressing it. concernée se fait de la manière aussi simple
yemera. que celle utilisée lors de l’expression de son
consentement.
Ukwisubiraho kwa nyiri ubwite kugira agaciro The withdrawal of consent by the data subject Le retrait de consentement par la personne
uhereye igihe byasabiwe na nyiri ubwite. takes effect as of the date on which the data concernée prend effet à la date à laquelle la
subject applied for it. personne concernée en a fait la demande.
Ingingo ya 9: Gutunganya amakuru bwite Article 9: Processing a child’s personal data Article 9: Traitement des données à
y’umwana caractère personnel d’un enfant
Iyo umugenzuzi w’amakuru, utunganya Where the data controller, the data processor Lorsque le responsable du traitement, le sous-
amakuru cyangwa undi muntu azi ko ari or a third party knows that personal data traitant ou un tiers sait que les données à
21
ay’umwana utarageza ku myaka cumi belong to a child under the age of sixteen (16) caractère personnel concernent un enfant de
n’itandatu (16) y’amavuko, agomba years, he or she must obtain the consent of a moins de seize (16) ans, il doit obtenir le
kubyemererwa n’ufite ububasha bwa kibyeyi holder of parental responsibility over the child consentement d’un titulaire de la responsabilité
kuri uwo mwana hakurikijwe amategeko in accordance with relevant Laws. parentale à l’égard de l’enfant conformément à
abigenga. la législation en la matière.
Haseguriwe ibiteganywa n’andi mategeko, Subject to the provisions of other Laws, the Sous réserve des dispositions d’autres lois, le
kwemera mu izina ry’umwana byemerwa gusa consent obtained on behalf of the child is consentement obtenu au nom de l’enfant n’est
iyo biri mu nyungu ze. acceptable only if it is given in the interest of acceptable que s’il est donné dans son intérêt.
the child.
Icyakora, uku kwemera ntigusabwa mu However, the consent is not required to process Toutefois, le consentement n’est pas requis
gutunganya amakuru bwite y’umwana iyo ari the child’s personal data if it is necessary for pour traiter les données à caractère personnel
ngombwa mu rwego rwo kurengera inyungu protecting the vital interest of the child. d’un enfant si cela est nécessaire pour protéger
z’ingenzi z’umwana. des intérêts vitaux de l’enfant.
Ingingo ya 10: Impamvu zo gutunganya Article 10: Grounds for processing sensitive Article 10: Fondements du traitement de
amakuru bwite y’ibanga personal data données à caractère personnel sensibles
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor Le responsable du traitement ou le sous-traitant
amakuru atunganya amakuru bwite y’ibanga processes sensitive personal data only if: de données à caractère personnel sensibles ne
gusa iyo: peut les traiter que si:
1° kuyatunganya bishingiye k’ukwemera kwa 1° the processing is based on the data 1° le traitement est basé sur le consentement
nyiri ubwite; subject’s consent; de la personne concernée;
2° kuyatunganya bikenewe hagamijwe 2° the processing is necessary for the 2° le traitement est nécessaire aux fins de
gushyira mu bikorwa inshingano purposes of carrying out the obligations l’exécution des obligations du responsable
z’umugenzuzi w’amakuru, iz’utunganya of the data controller, of the data du traitement, du sous-traitant ou de
amakuru cyangwa hubarizwa processor or exercising specific rights of l’exercice des droits spécifiques de la
uburenganzira bwihariye bwa nyiri ubwite the data subject in accordance with personne concernée conformément à la
hakurikijwe amategeko abigenga; relevant Laws; législation en la matière;
22
3° kuyatunganya bikenewe mu rwego rwo 3° the processing is necessary to protect the 3° le traitement est nécessaire à la sauvegarde
kurengera inyungu z’ingenzi za nyiri ubwite vital interests of the data subject or of des intérêts vitaux de la personne
cyangwa undi muntu; any other person; concernée ou de toute autre personne;
4° kuyatunganya bikenewe mu rwego 4° the processing is necessary for the 4° le traitement est nécessaire à des fins de
rw’ubuvuzi bwo kwirinda indwara cyangwa purposes of preventive or occupational médecine préventive ou du travail, de santé
ubuvuzi bw’indwara zikomoka ku murimo, medicine, public health such as publique comme la protection contre les
ubuzima rusange nko kwirinda ingorane protecting against serious cross-border menaces transfrontières graves pour la
zikomeye zo mu rwego rw’ubuzima threats to health or ensuring high santé ou la garantie des normes élevées de
zambukiranya imipaka cyangwa kureba ko standards of quality and safety of health qualité et de sécurité des soins de santé et
hari ibipimo ngenderwaho byo mu rwego care and of medicinal products or des médicaments ou dispositifs médicaux;
rwo hejuru by’ubuziranenge n’umutekano medical devices;
wa serivisi zita ku buzima n’imiti ikoreshwa
mu buvuzi cyangwa ibikoresho byo mu
buvuzi;
5° kuyatunganya bikenewe mu rwego rwo 5° the processing is necessary for archiving 5° le traitement est nécessaire à des fins
kunoza ishyinguramakuru mu nyungu purposes in the public interest or archivistiques dans l’intérêt public ou à des
rusange cyangwa ku mpamvu scientific and historical research fins de recherche scientifique et historique
z’ubushakashatsi mu bumenyi no mu purposes or statistical purposes. ou à des fins statistiques.
mateka cyangwa z’ibarurishamibare.
Ingingo ya 11: Ibigomba kubahirizwa mu Article 11: Safeguards to process sensitive Article 11: Garanties pour le traitement des
gutunganya amakuru bwite y’ibanga personal data données à caractère personnel sensibles
Mu gutunganya amakuru bwite y’ibanga, When processing sensitive personal data, the Lors du traitement de données à caractère
umugenzuzi w’amakuru cyangwa utunganya data controller or the data processor must: personnel sensibles, le responsable du
amakuru agomba: traitement ou le sous-traitant doit:
1° kubahiriza ibisabwa mu kurinda amakuru 1° comply with requirements for personal 1° respecter les exigences applicables à la
bwite cyangwa kugenzura amakuru bwite data protection or personal data protection de données à caractère personnel
nk’uko biteganywa n’iri tegeko; monitoring as required by this Law; ou au contrôle de données à caractère
23
personnel telles que prévues par la présente

loi;
2° kubahiriza ibihe byo kubika amakuru bwite 2° comply with applicable sensitive 2° respecter les délais de rétention de données
y’ibanga biteganywa n’iri tegeko; personal data retention periods à caractère personnel sensibles fixés par la
established by this Law; présente loi;
3° gushyiraho ingamba zo kongerera 3° put in place measures to strengthen 3° mettre en place des mesures de
ubumenyi n’ubushobozi abakozi bafite capacities of staff involved in the renforcement de capacités du personnel
uruhare mu itunganywa ry’amakuru bwite processing of sensitive personal data; participant au traitement de données à
y’ibanga; caractère personnel sensibles;
4° gushyiraho ingamba zo kubona amakuru 4° put in place measures to access 4° mettre en place des mesures d’accès aux
bwite y’ibanga yatunganyijwe sensitive personal data processed by the données à caractère personnel sensibles
n’umugenzuzi w’amakuru cyangwa data controller or the data processor; traitées par le responsable du traitement ou
utunganya amakuru; le sous-traitant;
5° gushyira mu bikorwa ingamba zo mu 5° implement appropriate technical and 5° mettre en œuvre des mesures techniques et
rwego rwa tekiniki n’imitunganyirize organisational measures to ensure a organisationnelles appropriées afin de
zigamije gushyiraho umutekano ukwiye ku level of security appropriate to the risk garantir un niveau de sécurité adapté au
ngorane nyiri ubwite ashobora guhura na posed to the data subject, including, risque posé à la personne concernée, y
zo, harimo, aho bikwiye, kubika amakuru where appropriate, storing sensitive compris, selon les besoins, le stockage de
bwite y’ibanga mu buryo butandukanye personal data separately from other données à caractère personnel sensibles
n’ubundi bwoko bw’amakuru, gushyiraho types of data, and applying measures séparément des autres types de données et
insimburamakuru no kuyoberanya such as tokenisation, l’application de la tokenisation, la
amakuru ya nyiri ubwite cyangwa guhisha pseudonymisation or encryption. pseudonymisation ou le chiffrement.
imisomere y’amakuru.
Ingingo ya 12: Gutunganya amakuru bwite Article 12: Processing personal data of a Article 12: Traitement de données à
y’uwahamijwe icyaha convict caractère personnel d’un condamné
Gutunganya amakuru bwite y’uwahamijwe Processing personal data of a convict is carried Le traitement de données à caractère personnel
24
icyaha bikorwa hakurikijwe ibiteganywa n’iri out under the supervision of the supervisory d’un condamné est effectué sous la supervision
tegeko, bigenzuwe n’urwego rugenzura. authority in accordance with the provisions of de l’autorité de contrôle conformément aux
this Law. dispositions de la présente loi.
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor puts Le responsable du traitement ou le sous-
amakuru ashyiraho ingamba ziboneye zo in place appropriate safeguards to ensure the traitant met en place des garanties appropriées
kubahiriza uburenganzira n’ubwisanzure bya respect of rights and freedoms of the data pour assurer le respect des droits et des libertés
nyiri ubwite. subject. de la personne concernée.
Ingingo ya 13: Gutunganya amakuru bwite Article 13: Processing of personal data Article 13: Traitement de données à
bidasaba umwirondoro wa nyiri ubwite which does not require data subject’s caractère personnel ne nécessitant pas
identification l’identification de la personne concernée
Iyo impamvu zituma umugenzuzi w’amakuru If the purposes for which the data controller or Si les finalités pour lesquelles des données à
cyangwa utunganya amakuru atunganya the data processor processes personal data do caractère personnel sont traitées n’imposent pas
amakuru bwite zidasaba cyangwa zitagisaba not or no longer require the identification of ou n’imposent plus au responsable du
umwirondoro wa nyiri ubwite, umugenzuzi the data subject, the data controller or the data traitement ou au sous-traitant d’identifier une
w’amakuru cyangwa utunganya amakuru processor is not obliged to maintain, acquire or personne concernée, celui-ci n’est pas tenu de
ntategetswe kubika, kwakira cyangwa gucunga process additional information in order to conserver, d’obtenir ou de traiter des
amakuru y’inyongera kugira ngo hamenyekane identify the data subject for the sole purpose of informations supplémentaires pour identifier la
nyiri ubwite ku mpamvu yonyine yo kubahiriza complying with this Law. personne concernée à la seule fin de respecter la
iri tegeko. présente loi.
Iyo umugenzuzi w’amakuru cyangwa In case the data controller or the data processor Lorsque le responsable du traitement ou le
utunganya amakuru adashoboye kumenya is unable to identify the data subject because of sous-traitant n’est pas en mesure d’identifier la
umwirondoro wa nyiri ubwite kubera ihindurwa the alteration of his or her personal data, the personne concernée à cause de l’altération de
ry’amakuru bwite ye, abimumenyesha mu data controller informs the data subject in ses données à caractère personnel, il en
buryo bw’inyandiko cyangwa writing or electronically, if necessary. informe la personne concernée par écrit ou par
bw’ikoranabuhanga, iyo bibaye ngombwa. voie électronique, si nécessaire.
Icyakora, nyiri ubwite, hubahirijwe However, the data subject, with respect to his Toutefois, la personne concernée, dans le
uburenganzira bwe, atanga amakuru or her rights, provides additional information respect de ses droits, fournit des informations
25
y’inyongera atuma umwirondoro we enabling his or her identification. complémentaires qui permettent de
umenyekana. l’identifier.
Ingingo ya 14: Inkomoko y’amakuru bwite Article 14: Source of personal data Article 14: Source des données à caractère
personnel
amakuru asaba nyiri ubwite amakuru bwite ye requests personal data directly from the data demande les données à caractère personnel
mu buryo butaziguye. subject. directement à la personne concernée.
Icyakora, umuntu ashobora gukusanya amakuru However, a person can collect personal data Toutefois, une personne peut collecter les
bwite ayakuye ku wundi muntu, ahandi hantu from another person, another source or a public données à caractère personnel auprès d’une
cyangwa ku rwego rwa Leta iyo: institution if: autre personne, d’une autre source ou d’une
institution publique si:
1° amakuru bwite afunguriwe rubanda; 1° the personal data is open to the public; 1° les données à caractère personnel sont
ouvertes au public;
2° nyiri ubwite yashyize ayo makuru bwite 2° the data subject has deliberately made 2° la personne concernée a délibérément
mu ruhame ku bushake; the personal data public; rendu publiques les données à caractère
personnel;
3° nyiri ubwite yemeye ko amakuru bwite 3° the data subject has consented to the 3° la personne concernée a consenti à la
akusanywa aturutse ahandi hantu; collection of personal data from collecte des données à caractère personnel
another source; auprès d’une autre source;
4° gukusanya amakuru bwite aturutse 4° the collection of the personal data from 4° la collecte des données à caractère
ahandi hantu byubahirije ibiteganywa another source complies with the personnel auprès d’une autre source est
n’iri tegeko. provisions of this Law. conforme aux dispositions de la présente
loi.
26
Icyiciro cya 2: Ireme ry’amakuru bwite Section 2: Quality of personal data and Section 2: Qualité et documents de données
n’inyandiko z’amakuru bwite records of personal data à caractère personnel
Ingingo ya 15: Ireme ry’amakuru bwite Article 15: Quality of personal data Article 15: Qualité de données à caractère
personnel
amakuru agenzura ko amakuru bwite yuzuye, ensures that the personal data is complete, veille à ce que les données à caractère personnel
ari yo, ajyanye n’igihe kandi adatera urujijo accurate, kept up to date and not misleading soient complètes, exactes, tenues à jour et non
hakurikijwe ikigamijwe mu kuyatunganya. having regard to the purposes for which they trompeuses eu égard aux finalités pour
are processed. lesquelles elles sont traitées.
Ingingo ya 16: Kwandika icyakozwe ku Article 16: Personal data logging Article 16: Enregistrement de données à
makuru bwite caractère personnel
amakuru yandika icyakozwe cyose ku makuru ensures personal data logging at least on the enregistre les données à caractère personnel au
bwite nibura mu bikorwa bikurikira: following data operations: moins dans les opérations suivantes:
1° amakuru yakusanyijwe; 1° data collected; 1° les données collectées;

2° amakuru yahinduwe; 2° data altered; 2° les données altérées;
3° amakuru yagezweho; 3° data accessed; 3° les données pour lesquelles l’accès a été
réalisé;
4° amakuru yatangajwe harimo n’ayasangijwe 4° data disclosed including data sharing 4° les données divulguées, y compris le
abandi n’ayahererekanyijwe; and transfer; partage et le transfert;
5° amakuru yakomatanyijwe; 5° combined data; 5° les données combinées;
6° amakuru yasibwe. 6° erased data. 6° les données effacées.
Icyakozwe ku makuru bwite kigomba Personal data logging must indicate L’enregistrement des données à caractère
kugaragaza impamvu yacyo, itariki n’igihe ibyo justification, date and time of such operations personnel doit indiquer la justification, la date
bikorwa byakorewe, bikagaragaza and, where possible, the contact details of the et l’heure des opérations et, dans la mesure du
n’umwirondoro w’umuntu wasomye cyangwa person who accessed or disclosed the personal possible, les coordonnées de la personne qui a
27
watanze amakuru bwite ndetse n’umwirondoro data, as well as the contact details of the consulté ou divulgué les données à caractère
w’abo ayo makuru yari agenewe. recipients of the data. personnel, ainsi que les coordonnées des
destinataires des données.
Urwego rugenzura rushobora gusaba The supervisory authority may require the data L’autorité de contrôle peut demander au
umugenzuzi w’amakuru cyangwa utunganya controller or the data processor to provide responsable du traitement ou au sous-traitant
amakuru gutanga uburenganzira bwo kugera ku access to the personal data logging so as to de lui donner accès à l’enregistrement des
cyakozwe ku makuru bwite hagamijwe kureba verify the lawfulness of the personal data données à caractère personnel afin de vérifier
niba gutunganya amakuru bwite bikorwa mu processing. la licéité du traitement des données à caractère
buryo bwemewe n’amategeko. personnel.
Ingingo ya 17: Kubika inyandiko z’amakuru Article 17: Maintaining records of Article 17: Tenue des documents des
bwite yatunganyijwe processed personal data données à caractère personnel traitées
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor must Le responsable du traitement ou le sous-
amakuru agomba kubika inyandiko y’ibikorwa maintain a record of all personal data traitant doit tenir un document des activités de
byose byerekeye amakuru bwite yatunganyijwe processing activities under his or her traitement de données à caractère personnel
ari mu nshingano ze igaragaza: responsibility that indicates: effectuées sous leur responsabilité qui indique:
1° izina n’umwirondoro by’umugenzuzi 1° the name and contact details of the data 1° le nom et les coordonnées du responsable
w’amakuru cyangwa utunganya amakuru, controller and, where applicable, the du traitement et, le cas échéant, du sous-
iby’umuhagarariye cyangwa undi mukozi data processor, the controller’s traitant, du représentant du responsable du
ushinzwe kurinda amakuru bwite aho representative or the data protection traitement ou du délégué à la protection des
bishoboka; officer; données à caractère personnel;
2° ikigamijwe mu gutunganya amakuru bwite; 2° the purposes of the processing of 2° les finalités du traitement des données à
personal data; caractère personnel;
3° ibisobanuro ku byiciro bya ba nyiri ubwite 3° a description of the categories of data 3° une description des catégories de personnes
n’iby’ibyiciro by’amakuru bwite; subjects and of the categories of concernées et des catégories de données à
personal data; caractère personnel;
28
4° urutonde rwuzuye rw’abagenewe amakuru 4° a full list of the recipients to whom 4° une liste complète de destinataires
bwite cyangwa abazayahabwa, harimo personal data have been or will be auxquels les données à caractère personnel
abatuye mu bindi bihugu; disclosed, including those based in ont été ou seront divulguées, y compris
other countries; ceux établis dans d’autres pays;
5° ibisobanuro ku ihererekanya ry’amakuru 5° a description of transfers of personal 5° une description des transferts de données à
bwite ajya hanze y’u Rwanda; data to any country outside Rwanda; caractère personnel vers l’extérieur du
Rwanda;
6° igihe ntarengwa giteganyijwe cyo 6° where possible, the envisaged data 6° dans la mesure du possible, les délais de
gukomeza kubika ibyiciro bitandukanye retention periods for the different rétention de données envisagés pour les
by’amakuru bwite aho bishoboka. categories of personal data. différentes catégories de données à
caractère personnel.
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor Le responsable du traitement ou le sous-
amakuru abisabwe, ashyikiriza urwego submits the records of personal data processing traitant soumet les documents des activités de
rugenzura inyandiko z’ibyakozwe mu activities to the supervisory authority on traitement de données à caractère personnel à
gutunganya amakuru bwite. request. l’autorité de contrôle sur demande.
UMUTWE WA III: UBURENGANZIRA CHAPTER III: RIGHTS OF THE DATA CHAPITRE III: DROITS DE LA
BWA NYIRI UBWITE SUBJECT PERSONNE CONCERNÉE
Ingingo ya 18: Uburenganzira ku makuru Article 18: Right to personal data Article 18: Droit aux données à caractère
bwite personnel
Bitabangamiye andi mategeko abigenga, nyiri Without prejudice to other relevant Laws, the Sans préjudice d’autres lois en la matière, la
ubwite ashobora gusaba umugenzuzi w’amakuru data subject may, in writing or electronically, personne concernée peut, par écrit ou par voie
cyangwa utunganya amakuru mu buryo request from the data controller or the data électronique, demander au responsable du
bw’inyandiko cyangwa bw’ikoranabuhanga ibi processor the following: traitement ou au sous-traitant ce qui suit:
bikurikira:
29
1° kumuha amakuru yerekeye ikigamijwe 1° to provide him or her with the 1° lui fournir les informations relatives aux
mu gutunganya amakuru bwite; information relating to the purposes of finalités du traitement de ses données à
the processing of personal data; caractère personnel;
2° kumuha kopi y’amakuru bwite; 2° to provide him or her with a copy of 2° lui fournir une copie de données à caractère
personal data; personnel;
3° kumuha imiterere y’amakuru bwite 3° to provide him or her with a description 3° lui fournir une description des données à
umugenzuzi w’amakuru cyangwa of personal data that the data controller caractère personnel que le responsable du
utunganya amakuru afite, harimo or the data processor holds, including traitement ou le sous-traitant détient y
amakuru yerekeye umwirondoro w’undi data on the contact details of a third compris des données sur les cordonnées
muntu cyangwa ibyiciro by’abandi bantu party or the categories of third parties d’un tiers ou des catégories de tiers qui ont
bafite cyangwa babonye amakuru bwite; who have or had access to personal ou ont eu accès aux données à caractère
data; personnel;
4° kumumenyesha inkomoko y’amakuru 4° to inform him or her of the source of 4° l’informer de la source des données à
bwite mu gihe amakuru bwite the personal data in case his or her caractère personnel lorsque ses données à
yakusanyijwe atamuturutseho; personal data have not been obtained caractère personnel n’ont pas été collectées
from the data subject; auprès de la personne concernée;
5° kumumenyesha mu gihe hari amakuru 5° to inform him or her in case his or her 5° l’informer en cas de transfert de ses
bwite ye yoherejwe mu kindi gihugu personal data have been transferred to données à caractère personnel vers un pays
cyangwa mu muryango mpuzamahanga. a third country or to an international tiers ou à une organisation internationale.
organisation.
Uburenganzira buvugwa mu gace ka 2° k’igika The right referred to in Item 2° of Paragraph L’exercice du droit visé au point 2° de l’alinéa
cya mbere cy’iyi ngingo ntibukoreshwa iyo: One of this Article is not exercised if: premier du présent article ne s’applique pas si:
1° bishobora kugira ingaruka ku burenganzira 1° it may adversely affect the rights and 1° il peut porter atteinte aux droits et libertés
cyangwa ku bwisanzure bw’abandi bantu; freedoms of other persons; d’autres personnes;
2° hakurikizwa amahitamo yo mu rwego 2° legal professional privilege or another 2° le privilège professionnel légal ou une
30
rw’umwuga cyangwa indi nshingano legal obligation of confidentiality autre obligation légale de confidentialité
ishingiye ku mategeko yo kugira ibanga; applies; s’applique;
3° amakuru afitanye isano n’imicungire 3° the data relates to information 3° les données concernent des informations
y’amakuru cyangwa amakuru areba nyiri management or information about the de gestion ou des informations sur la
ubwite cyangwa yerekeye imishyikirano data subject or relates to ongoing personne concernée ou sont liées aux
ikorwa muri icyo gihe na nyiri ubwite usaba; negotiations with the data subject négociations en cours avec la personne
requester; concernée qui fait la demande;
4° amakuru afitanye isano n’ibyifashishwa 4° the data relates to the data subject’s 4° les données se rapportent aux références
by’ibanga bya nyiri ubwite, inyandiko confidential references, examination confidentielles de la personne concernée,
z’ibizami cyangwa amanota y’ibizamini. scripts or examination marks. aux scripts d’examen ou aux notes
d’examen.
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor must Le responsable du traitement et le sous-traitant
amakuru agomba guha nyiri ubwite amakuru provide the data subject with his or her personal doit fournir à la personne concernée ses
bwite ye mu buryo busobanutse kandi buhinnye. data in a clear and concise manner. données à caractère personnel d’une manière
claire et concise.
Nyiri ubwite utishimiye igisubizo ahawe The data subject who is not satisfied with the La personne concernée qui n’est pas satisfaite
n’umugenzuzi w’amakuru cyangwa utunganya response of the data controller or the data de la réponse du responsable du traitement ou
amakuru ashobora kujuririra urwego rugenzura processor may appeal to the supervisory du sous-traitant peut faire recours auprès de
mu gihe kitarenze iminsi mirongo itatu (30) authority within thirty (30) days from the date l’autorité de contrôle dans les trente (30) jours
uhereye ku munsi yaboneye igisubizo. of receipt of the response. à compter du jour de réception de la réponse.
Iyo nyiri ubwite yajuriye, urwego rugenzura If the data subject appeals, the supervisory Si la personne concernée fait un recours,
rusubiza ku bujurire bwe mu gihe kitarenze authority responds to his or her appeal within l’autorité de contrôle réagit à son recours dans
iminsi mirongo itandatu (60) uhereye ku munsi sixty (60) days from the date of receipt of the les soixante (60) jours à compter du jour de
rwakiriyeho ubujurire. appeal. réception de recours.
31
Ingingo ya 19: Uburenganzira bwo Article 19: Right to object Article 19: Droit d’opposition
gutambamira
Nyiri ubwite ashobora, igihe icyo ari cyo cyose, The data subject, at any time in writing or La personne concernée peut, à tout moment par
gusaba umugenzuzi w’amakuru cyangwa electronically, may request the data controller écrit ou par voie électronique, demander au
utunganya amakuru, mu buryo bw’inyandiko or the data processor to stop processing his or responsable du traitement ou au sous-traitant
cyangwa bw’ikoranabuhanga guhagarika her personal data which causes or is likely to de cesser de traiter ses données à caractère
gutunganya amakuru bwite ye ateza cyangwa cause loss, sadness or anxiety to the data personnel qui causent ou sont susceptibles de
ashobora kumuteza igihombo, akababaro subject. causer de la perte, de la tristesse ou de l’anxiété
cyangwa guhangayika. à la personne concernée.
Icyakora, ubu burenganzira ntibukoreshwa iyo However, this right does not apply if the data Toutefois, ce droit ne s’applique pas si le
umugenzuzi w’amakuru cyangwa utunganya controller or the data processor demonstrates responsable du traitement ou le sous-traitant
amakuru agaragaje impamvu yumvikana kandi compelling legitimate grounds for the démontre qu’il existe des motifs légitimes et
ikomeye y’itunganywa ry’ayo makuru bwite, personnel data processing, which override the impérieux pour le traitement qui prévalent sur
irusha uburemere inyungu, uburenganzira interests, rights and freedoms of the data les intérêts et les droits et libertés de la
n’ubwisanzure bya nyiri ubwite cyangwa ku subject or for the establishment of the legal personne concernée, ou pour la constatation
mpamvu zo gutanga ikirego. claim. d’un droit en justice.
Nyiri ubwite ashobora, igihe icyo ari cyo cyose, The data subject, at any time in writing or La personne concernée peut, à tout moment par
gusaba umugenzuzi w’amakuru cyangwa electronically, may request the data controller écrit ou par voie électronique, demander au
utunganya amakuru mu buryo bw’inyandiko or the data processor to stop processing responsable du traitement ou au sous-traitant
cyangwa bw’ikoranabuhanga guhagarika personal data of the data subject if personal de cesser de traiter ses données à caractère
gutunganya amakuru bwite ye iyo amakuru data are processed for direct marketing personnel si les données à caractère personnel
bwite atunganywa ku mpamvu zo kwamamaza purposes, including profiling to the extent that sont traitées à des fins de prospection, y
mu buryo butaziguye, harimo no gukora ishusho it is related to such direct marketing. compris au profilage dans la mesure où il est lié
y’amakuru iyo ifitanye isano n’uko kwamamaza. à une telle prospection.
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor, Le responsable du traitement ou le sous-
amakuru, mu gihe kitarenze iminsi mirongo itatu within thirty (30) days from the date of receipt traitant, dans un délai de trente (30) jours après
(30) uhereye ku munsi yakiriyeho ubusabe, of the request, must inform the concerned data réception de la demande, doit informer, par
agomba kumenyesha nyiri ubwite mu buryo subject in writing or electronically of the écrit ou par voie électronique, la personne
32
bw’inyandiko cyangwa bw’ikoranabuhanga compliance with the request or reasons for concernée du respect de cette demande ou des
ibijyanye no kubahiriza ubwo busabe cyangwa non-compliance. raisons du non-respect.
impamvu zo kutabwubahiriza.
n’umugenzuzi w’amakuru cyangwa utunganya response of the data controller or the data de la réponse du responsable du traitement ou
amakuru ashobora kujuririra urwego rugenzura processor may appeal to the supervisory du sous-traitant peut faire recours auprès de
mu gihe kitarenze iminsi mirongo itatu (30) authority within thirty (30) days from the date l’autorité de contrôle dans les trente (30) jours
uhereye ku munsi yaboneye igisubizo. of receipt of the response. à compter du jour de réception de la réponse.
Ingingo ya 20: Uburenganzira bwo Article 20: Right to personal data portability Article 20: Droit à la portabilité des données
gusubizwa no guhererekanya amakuru bwite à caractère personnel
Nyiri ubwite afite uburenganzira bwo gusaba The data subject has the right to request the data La personne concernée a le droit de demander
umugenzuzi w’amakuru, mu buryo controller in writing or electronically to resend au responsable du traitement par écrit ou par
bw’inyandiko cyangwa bw’ikoranabuhanga the personal data concerning him or her as it voie électronique de lui renvoyer ses données à
kumusubiza amakuru bwite ye nk’uko was provided to the data controller, in a caractère personnel comme il les lui avait
yayamuhaye mu buryo butunganye kandi structured and readable format. fournies dans un format structuré et lisible.
asomeka.
Nyiri ubwite kandi afite uburenganzira bwo The data subject also has the right to request the La personne concernée a également le droit de
gusaba umugenzuzi w’amakuru mu buryo data controller in writing or electronically to demander au responsable du traitement par écrit
bw’inyandiko cyangwa bw’ikoranabuhanga ko have his or her personal data transmitted to ou par voie électronique que ses données à
amakuru bwite ye ahererekanywa ku wundi another data controller, where technically caractère personnel soient transmises à un autre
mugenzuzi w’amakuru nta mbogamizi biteye feasible, without hindrance. responsable du traitement, lorsque cela est
igihe bishoboka mu rwego rwa tekiniki. techniquement possible, sans aucune entrave.
33
Umugenzuzi w’amakuru, mu gihe kitarenze The data controller, within thirty (30) days Le responsable du traitement, dans un délai de
iminsi mirongo itatu (30) uhereye ku munsi from the date of receipt of the request, must trente (30) jours après réception de la demande,
yakiriyeho ubusabe, agomba kumenyesha nyiri inform the concerned data subject in writing or doit informer, par écrit ou par voie électronique,
ubwite mu buryo bw’inyandiko cyangwa electronically of personal data portability. la personne concernée de la portabilité des
bw’ikoranabuhanga ibijyanye no gusubizwa no données à caractère personnel.
guhererekanya amakuru bwite.
n’umugenzuzi w’amakuru ashobora kujuririra response of the data controller may appeal to the de la réponse du responsable du traitement
urwego rugenzura mu gihe kitarenze iminsi supervisory authority within thirty (30) days peut faire recours auprès de l’autorité de
mirongo itatu (30) uhereye ku munsi yaboneye from the date of receipt of the response. contrôle dans les trente (30) jours à compter du
igisubizo. jour de réception de la réponse.
Ingingo ya 21: Uburenganzira bwo Article 21: Right not to be subject to a Article 21: Droit de ne pas faire l’objet
kutagengwa n’icyemezo hashingiwe ku decision based on automated data d’une décision fondée sur un traitement
itunganywa ry’amakuru bwite ryikoresha processing automatisé des données
Nyiri ubwite afite uburenganzira bwo The data subject has the right not to be subject La personne concernée a le droit de ne pas faire
kutagengwa n’icyemezo cyafatwa hashingiwe to a decision based solely on automated l’objet d’une décision fondée exclusivement
gusa ku itunganywa ry’amakuru bwite personal data processing, including profiling, sur un traitement automatisé de données à
ryikoresha harimo gukora ishusho y’amakuru which may produce legal consequences or caractère personnel, y compris le profilage,
ashobora kumugiraho ingaruka zo mu rwego significant consequences to him or her. pouvant produire des conséquences juridiques
rw’amategeko cyangwa ingaruka zikomeye. ou des conséquences significatives sur lui.
Icyakora, ibivugwa mu gika cya mbere cy’iyi However, the provisions of Paragraph One of Toutefois, les dispositions de l’alinéa premier
ngingo ntibikurikizwa iyo icyo cyemezo: this Article do not apply if the decision: du présent article ne s’appliquent pas lorsque
la décision:
34
1° gishingiye k’ukwemera kwa nyiri ubwite 1° is based on the data subject’s explicit 1° est fondée sur le consentement explicite de
mu buryo bweruye; consent; la personne concernée;
2° gikenewe mu gukora cyangwa gushyira mu 2° is necessary for entering into, or 2° est nécessaire à la conclusion ou à
bikorwa amasezerano hagati ya nyiri ubwite performance of, a contract between the l’exécution d'un contrat entre la personne
n’umugenzuzi w’amakuru; data subject and the data controller; concernée et le responsable du traitement;
3° cyemewe n’amategeko umugenzuzi 3° is authorised by Laws to which the data 3° est autorisée par les lois auxquelles le
w’amakuru agomba kubahiriza kandi controller is subject and also puts in responsable du traitement est soumis et met
gishyiraho ingamba zikwiriye zo kurinda place suitable measures to safeguard également en place des mesures appropriées
uburenganzira, ubwisanzure n’inyungu the data subject’s rights, freedoms and pour la sauvegarde des droits, des libertés et
zemewe bya nyiri ubwite. legitimate interests. des intérêts légitimes de la personne
concernée.
Gutunganya amakuru bwite mu buryo Any automated processing of personal data Tout traitement automatisé des données à
bwikoresha ubwo ari bwo bwose bigamije intended to evaluate certain personal aspects caractère personnel destiné à évaluer certains
gusuzuma imwe mu miterere bwite yerekeye relating to a natural person does not base on aspects personnels relatifs à une personne
umuntu ku giti cye ntibishingira ku makuru sensitive personal data unless one of the physique ne s’appuie pas sur des données à
bwite y’ibanga keretse iyo bishingiye kuri grounds set out in Article 10 of this Law is met. caractère personnel sensibles sauf si l’une des
imwe mu mpamvu ziteganywa mu ngingo ya 10 fondements prévus par l’article 10 de la
y’iri tegeko. présente loi est remplie.
Ingingo ya 22: Uburenganzira bwo kubuza Article 22: Right to restriction of processing Article 22: Droit à la limitation du
gutunganya amakuru bwite of personal data traitement de données à caractère personnel
Nyiri ubwite cyangwa urwego rugenzura bafite The data subject or the supervisory authority La personne concernée ou l’autorité de
uburenganzira bwo kubuza umugenzuzi has the right to restrict the data controller from contrôle a le droit d’obtenir du responsable du
w’amakuru gutunganya amakuru bwite mu gihe processing personal data for a given period if: traitement la limitation du traitement des
kigenwe iyo: données à caractère personnel pendant une
période donnée si:
1° ukuri kw’amakuru bwite guhakanwe na 1° the accuracy of personal data is 1° l’exactitude des données à caractère
35
nyiri ubwite, mu gihe hakigenzurwa contested by the data subject, pending personnel est contestée par la personne
ukuri kwayo; the verification of their accuracy; concernée pendant la vérification de leur
exactitude;
2° kuyatunganya binyuranyije 2° the processing is unlawful and the data 2° le traitement est illicite et la personne
n’amategeko nyiri ubwite agasaba subject requests the erasure of the concernée exige l’effacement de données à
ihanagurwa ry’amakuru bwite cyangwa personal data or the restriction of the caractère personnel ou la limitation de
akabuza ikoreshwa ry’amwe muri ayo use of some of them; l’utilisation de certaines d’entre elles;
makuru bwite;
3° nyiri ubwite yatambamiye itunganywa 3° the data subject has objected to the 3° la personne concernée s’est opposée au
ry’amakuru bwite mu gihe processing of personal data pending the traitement de données à caractère personnel
hakigenzurwa niba hari impamvu verification whether the legitimate pendant la vérification portant sur le point
zemewe umugenzuzi w’amakuru grounds of the controller override those de savoir si les motifs légitimes poursuivis
ashingiraho zirusha uburemere iza nyiri of the data subject. par le responsable du traitement prévalent
ubwite. sur ceux de la personne concernée.
Uburenganzira bwo kubuza gutunganya The right to restriction of processing of L’exercice du droit à la limitation du
amakuru bwite buvugwa mu gika cya mbere personal data described in Paragraph One of traitement des données à caractère personnel
cy’iyi ngingo ntibukoreshwa iyo gutunganya this Article is not exercised if the processing of visé à l’alinéa premier du présent article ne
amakuru bwite: personal data: s’applique pas si le traitement de données à
caractère personnel:
1° ari ngombwa mu rwego rwo kurinda 1° is necessary for the protection of the 1° est nécessaire pour la protection des droits
uburenganzira bw’undi muntu; rights of another person; d’une autre personne;
2° ari ngombwa mu nyungu rusange. 2° is necessary for reasons of public 2° est nécessaire pour des motifs d’intérêt
interest. public.
Umugenzuzi w’amakuru, mbere yo gukuraho The data controller must, before lifting the Le responsable du traitement doit, avant de
ibuzwa ry’itunganywa ry’amakuru bwite restriction of processing of personal data lever la limitation du traitement des données à
riteganywa mu gace ka 1o k’igika cya 2 cy’iyi referred to in item 1o of Paragraph 2 of this caractère personnel prévue au point 1o de
36
ngingo, agomba kubimenyesha nyiri ubwite mu Article, inform the data subject in writing or l’alinéa 2 du présent article, informer la
buryo bw’inyandiko cyangwa electronically. personne concernée par écrit ou par voie
bw’ikoranabuhanga. électronique.
Ingingo ya 23: Uburenganzira bwo gusiba Article 23: Right to erasure of personal data Article 23: Droit à l’effacement de données à
amakuru bwite caractère personnel
Nyiri ubwite afite uburenganzira bwo gusaba The data subject has the right to request the data La personne concernée a le droit d’obtenir du
umugenzuzi w’amakuru mu buryo controller in writing or electronically for responsable du traitement par écrit ou par voie
bw’inyandiko cyangwa bw’ikoranabuhanga erasure of his or her personal data where: électronique l’effacement de ses données à
gusiba amakuru bwite ye iyo: caractère personnel lorsque:
1° amakuru bwite atagikenewe mu bijyanye 1° the personal data are no longer 1° les données à caractère personnel ne sont
n’icyari kigamijwe ubwo amakuru necessary in relation to the purposes plus nécessaires au regard des finalités pour
yakusanywaga cyangwa yatunganywaga; for which they were collected or lesquelles elles ont été collectées ou traitées;
processed;
2° nyiri ubwite yisubiyeho k’ukwemera kwe 2° the data subject withdraws consent on 2° la personne concernée retire le
ari na ko kwashingiweho mu gutunganya which the personal data processing is consentement sur lequel est fondé le
amakuru bwite kandi nta yindi mpamvu based and where there is no other legal traitement des données à caractère
yemewe n’amategeko y’iryo tunganywa; ground for the processing; personnel et il n’existe pas d’autre
fondement juridique au traitement;
3° nyiri ubwite atambamiye itunganywa 3° the data subject objects to the 3° la personne concernée s’oppose au
ry’amakuru bwite kandi hakaba nta processing of personal data and there traitement des données à caractère
mpamvu yemewe y’iryo tunganywa; are no overriding legitimate grounds personnel et il n’existe pas de motif légitime
for the processing; impérieux pour le traitement;
4° amakuru bwite yatunganyijwe mu buryo 4° the personal data have been unlawfully 4° les données à caractère personnel ont fait
bunyuranyije n’amategeko. processed. l’objet d’un traitement illicite.
Umugenzuzi w’amakuru watangarije amakuru The data controller who has disclosed personal Le responsable du traitement qui a divulgué les
37
bwite undi muntu cyangwa wayashyize ku data to a third party or has posted the personal données à caractère personnel à un tiers ou qui
rubuga rusange agomba kumenyesha mu buryo data in the public domain must, in writing or les a publiées dans le domaine public doit
bw’inyandiko cyangwa bw’ikoranabuhanga electronically, inform a third party processing informer par écrit ou par voie électronique un
undi muntu utunganya ayo makuru ko nyiri such data that the data subject has requested the tiers traitant ces données que la personne
ubwite yasabye isibwa ry’imiyoboro yayo erasure of any links to, or copy of, those concernée a demandé l’effacement de tout lien
cyangwa kopi y’ayo makuru bwite. personal data. vers ces données à caractère personnel ou de
toute copie de celles-ci.
Icyakora, uburenganzira bwo gusaba ko However, the right to request the erasure of Toutefois, le droit de demander l’effacement
amakuru bwite asibwa ntibukurikizwa iyo personal data does not apply to the extent that de données à caractère personnel ne s’applique
itunganywa ryayo rikenewe kubera: processing is necessary: pas dans la mesure où ce traitement est
nécessaire:
1° impamvu z’inyungu rusange; 1° for reasons of public interest; 1° pour des motifs d’intérêt public;
2° ubushakashatsi ku birebana n’amateka, 2° for historical or scientific research 2° à des fins de recherche historique ou
ibarurishamibare cyangwa ubumenyi; purposes or statistical purposes; scientifique ou à des fins statistiques;
3° kubahiriza inshingano iteganywa 3° for compliance with a legal obligation 3° pour respecter une obligation légale à
n’amategeko irebana n’umugenzuzi to which the controller is subject or for laquelle le responsable du traitement est
w’amakuru cyangwa kuzuza inshingano iri the performance of a task carried out in soumis ou pour exécuter une mission
mu nyungu rusange cyangwa gukoresha the public interest or in the exercise of d’intérêt public ou relevant de l’exercice
ububasha umugenzuzi w’amakuru afite; official authority vested in the data de l’autorité publique dont est investi le
controller; responsable du traitement;
4° gutanga ikirego mu rukiko, kugikurikirana 4° for the establishment, exercise or 4° à la constatation, à l'exercice ou à la
cyangwa kwisobanura mu nyungu defence of legal claims in the interest of défense de droits en justice dans l’intérêt
z’umugenzuzi w’amakuru. the data controller. du responsable du traitement.
iminsi mirongo itatu (30) uherereye ku munsi from the date of receipt of the request, must trente (30) jours après réception de la demande,
yakiriyeho ubusabe, agomba kumenyesha nyiri inform the concerned data subject in writing or doit informer, par écrit ou par voie électronique,
38
ubwite mu buryo bw’inyandiko cyangwa electronically of the erasure of his or her la personne concernée de l’effacement de ses
bw’ikoranabuhanga ibijyanye no gusiba personal data. données à caractère personnel.
amakuru bwite ye.
Nyiri ubwite utanyuzwe n’igisubizo The data subject who is not satisfied with the La personne concernée qui n’est pas satisfaite
cy’umugenzuzi w’amakuru ashobora kujuririra response of the data controller may appeal to the de la réponse du responsable du traitement
Ingingo ya 24: Uburenganzira bwo gukosora Article 24: Right to rectification Article 24: Droit de rectification
Nyiri ubwite afite uburenganzira bwo gusaba The data subject has the right to request the La personne concernée a le droit d’obtenir du
umugenzuzi w’amakuru mu buryo data controller the rectification of his or her responsable du traitement la rectification de
bw’inyandiko cyangwa bw’ikoranabuhanga personal data. ses données à caractère personnel.
gukosora amakuru bwite ye.
Nyiri ubwite, iyo ari ngombwa, afite The data subject has the right to have La personne concernée a le droit d’exiger que
uburenganzira bwo gusaba ko amakuru bwite incomplete personal data completed, where ses données à caractère personnel incomplètes
ye atuzuye yuzuzwa. necessary. soient complétées, le cas échéant.
iminsi mirongo itatu (30) uhereye ku munsi from the date of receipt of the request, must trente (30) jours après réception de la demande,
yakiriyeho ubusabe, agomba kumenyesha nyiri inform the data subject in writing or doit informer, par écrit ou par voie électronique,
ubwite mu buryo bw’inyandiko cyangwa electronically of the rectification of his or her la personne concernée de la rectification de ses
bw’ikoranabuhanga ibijyanye no gukosora personal data. données à caractère personnel.
amakuru bwite ye.
39
Nyiri ubwite utanyuzwe n’igisubizo The data subject who is not satisfied with the La personne concernée qui n’est pas satisfaite
cy’umugenzuzi w’amakuru ashobora kujuririra response of the data controller may appeal to the de la réponse du responsable du traitement
Ingingo ya 25: Uburenganzira bwo kugena Article 25: Right to designate an heir to Article 25: Droit de désigner un héritier des
umuzungura ku makuru bwite personal data données à caractère personnel
Amakuru bwite ya nyiri ubwite ntazungurwa. The personal data of the data subject are not Les données à caractère personnel de la
subject to succession. personne concernée ne font pas l’objet de la
succession.
Icyakora, iyo nyiri ubwite yakoze irage, atanga However, where the data subject had left a will, Toutefois, lorsqu’elle a laissé un testament, la
uburenganzira busesuye cyangwa budasesuye the data subject provides his or her heir with full personne concernée donne à son héritier le droit
ku muzungura we bwerekeye gutunganya or restricted rights relating to the processing of absolu ou limité relatif au traitement des
amakuru bwite abitswe n’umugenzuzi personal data kept by the data controller or the données à caractère personnel détenues par le
w’amakuru cyangwa utunganya amakuru mu data processor, if such personal data still need responsable du traitement ou le sous-traitant, si
gihe agikenewe gukoreshwa. to be used. ces données à caractère personnel doivent
encore être utilisées.
Ingingo ya 26: Uburenganzira bwo Article 26: Right to representation Article 26: Droit à une représentation
guhagararirwa
Uburenganzira bwa nyiri ubwite bwo The right of the data subject to representation Le droit de la personne concernée à une
guhagararirwa bwubahirizwa iyo nyiri ubwite: is exercised where: représentation est exercé lorsque:
40
1° atarageza ku myaka cumi n’itandatu 1° the data subject is under sixteen (16) years 1° la personne concernée n’a pas atteint l’âge
(16) y’amavuko agahagararirwa of age, in which case he or she is de seize (16) ans, auquel cas elle est
n’umuntu umufiteho ububasha bwa represented by a person who has parental représentée par une personne qui a l’autorité
kibyeyi cyangwa wagenwe authority over him or her or who was parentale sur le mineur ou qui a été désignée
nk’umwishingizi we; appointed as his or her guardian; comme son tuteur;
2° afite ubumuga bw’umubiri kandi 2° the data subject has a physical impairment 2° la personne concernée a une invalidité
atabasha kwihagararira, agahagararirwa and is unable to represent himself or physique et n’est pas en mesure de se
n’umubyeyi we, uwemeye kumubera herself, in which case he or she is représenter elle-même, auquel cas elle est
umubyeyi ataramubyaye, ikigo represented by his or her parent, adopter, représentée par son parent, son parent
cyangwa ishyirahamwe bimwitaho a centre or an association that caters for adoptif, un centre ou une association pour sa
cyangwa umwishingizi wagenwe him or her guardian appointed by a court; prise en charge ou un tuteur désigné par une
n’urukiko; juridiction;
3° afite ubumuga bwo mu mutwe 3° the data subject has a medically 3° la personne concernée a une invalidité
bwemejwe n’umuganga wemewe na determinable mental impairment and is mentale attestée par un médecin agréé et
Leta kandi atabasha kwihagararira, unable to represent himself or herself, in n’est pas en mesure de se représenter elle-
agahagararirwa n’umubyeyi we, which case he or she is represented by his même, auquel cas elle est représentée par
uwemeye kumubera umubyeyi or her parent, adopter, a centre or an son parent, son parent adoptif, un centre ou
ataramubyaye, ikigo cyangwa association that caters for him or her or the une association pour sa prise en charge ou
ishyirahamwe bimwitaho cyangwa guardian appointed by a court; un tuteur désigné par une juridiction;
umwishingizi wagenwe n’urukiko;
4° hari indi mpamvu, agahagararirwa 4° there is any other reason, in which case he 4° il y a une autre raison, auquel cas elle est
n’umuntu wabiherewe uburenganzira or she is represented by another person représentée par une autre personne autorisée
mu nyandiko na nyiri ubwite authorised in writing by the data subject in par écrit par la personne concernée
hakurikijwe amategeko abigenga. accordance with relevant law. conformément à la législation en la matière.
41
UMUTWE WA IV: INSHINGANO CHAPTER IV: DUTIES AND POWERS CHAPITRE IV: ATTRIBUTIONS ET
N’UBUBASHA BY’URWEGO OF THE SUPERVISORY AUTHORITY POUVOIRS DE L’AUTORITE DE
RUGENZURA MU BYEREKEYE IN MATTERS RELATING TO THE CONTRÔLE EN MATIÈRE DE
KURINDA AMAKURU BWITE PROTECTION OF PERSONAL DATA PROTECTION DES DONNÉES À
N’IMIBEREHO BWITE BY’UMUNTU AND PRIVACY CARACTÈRE PERSONNEL ET DE LA
VIE PRIVÉE
Ingingo ya 27: Inshingano z’urwego Article 27: Duties of the supervisory Article 27: Attributions de l’autorité de
privée
Urwego rugenzura rufite inshingano zikurikira: The supervisory authority has the following L’autorité de contrôle a les attributions
duties: suivantes:
1° gukurikirana ishyirwa mu bikorwa ry'iri 1° to oversee the implementation of this 1° contrôler la mise application de cette loi;
tegeko; law;
2° gusubiza buri busabe bufite ishingiro 2° to respond to every legitimate request 2° répondre à toute demande légitime d’avis
busaba inama ku itunganywa ry'amakuru for an opinion regarding personal data concernant le traitement de données à
bwite; processing; caractère personnel;
3° kumenyesha nyiri ubwite, umugenzuzi 3° to inform the data subject, the data 3° informer la personne concernée, le
w'amakuru n’utunganya amakuru n'undi controller, the data processor and a third responsable du traitement, le sous-
muntu uburenganzira n'inshingano party of their rights and obligations; traitant et un tiers de leurs droits et
byabo; obligations;
4° gushyiraho igitabo cyandikwamo 4° to put in place a register of data 4° mettre en place un registre de
abagenzuzi b’amakuru n’abatunganya controllers and data processors; responsables du traitement et de sous-
amakuru; traitants;
5° gusuzuma byimbitse ishingiro ry’ikibazo 5° to investigate the subject matter of the 5° examiner l’objet de la réclamation
42
cyerekeranye n’itunganywa ry’amakuru complaint lodged by the data subject, introduite par la personne concernée, le
bwite cyatanzwe na nyiri ubwite, the data controller, the data processor or responsable du traitement, le sous-
umugenzuzi w’amakuru, utunganya a third party relating to the processing of traitant ou un tiers concernant le
amakuru cyangwa undi muntu no personal data and inform them of the traitement de données à caractère
kubamenyesha mu gihe gikwiye outcome of the investigation within a personnel et les informer de l’issue de
ibyavuye muri iryo suzuma; reasonable period; l’examen dans un délai raisonnable;
6° kwakira no gusuzuma ubujurire bwa 6° to receive and consider the data 6° recevoir et examiner le recours de la
nyiri ubwite; subject’s appeal; personne concernée;
7° gutanga inama mu byerekeye kurinda 7° to advise on matters relating to the 7° conseiller au sujet des questions relatives
amakuru bwite n'imibereho bwite protection of personal data and privacy; à la protection de données à caractère
by'umuntu; personnel et de la vie privée;
8° kugira imikoranire n’inzego, imiryango 8° cooperate with authorities, 8° coopérer avec les autorités, organisations
cyangwa ibigo bikorera mu Gihugu no organisations or entities operating ou entités œuvrant au pays ou à l’étranger
mu mahanga mu kurinda amakuru bwite within the country or abroad in the sur la protection de données à caractère
n’imibereho bwite by’umuntu. protection of personal data and privacy. personnel et de la vie privée.
Ingingo ya 28: Ububasha bw’urwego Article 28: Powers of the supervisory Article 28: Pouvoirs de l’autorité de
privée
Urwego rugenzura rufite ububasha bwo: The supervisory authority has powers to: L’autorité de contrôle dispose des pouvoirs de:
1° gutanga icyemezo cy’iyandikwa nk’uko 1° to issue registration certificate as 1° octroyer un certificat d’enregistrement en
biteganywa n’iri tegeko; provided for by this Law; vertu de la présente loi;
2° kumenya no kugenzura ko gutunganya 2° ensure that the processing of personal 2° s’assurer que le traitement des données
amakuru bwite bikorwa hakurikijwe data is consistent with the provisions of personnelles est conforme aux
43
ibiteganywa n’iri tegeko; this Law; dispositions de la présente loi;
3° kumenya no kugenzura ko ikoranabuhanga 3° ensure that information and 3° s’assurer que les technologies de
mu itangazabumenyi n’itumanaho bitaba communication technologies do not l’information et de la communication ne
imbogamizi ku burenganzira n’imibereho constitute a threat to public freedoms constituent pas une menace pour les
bwite by’umuntu; and the privacy of a person; libertés publiques et la vie privée d’une
personne;
4° gushyiraho amabwiriza arebana no 4° to put in place a regulation relating to 4° établir un règlement relatif à l’application
gushyira mu bikorwa iri tegeko; the application of this Law; de la présente loi;
5° gutanga ibihano byo mu rwego 5° to impose administrative sanctions in 5° imposer des sanctions administratives
rw’ubutegetsi hakurikijwe ibiteganywa n’iri accordance with the provisions of this conformément aux dispositions de la
tegeko. Law. présente loi.
UMUTWE WA V: IYANDIKWA CHAPTER V: REGISTRATION OF THE CHAPITRE V: ENREGISTREMENT DU

RY’UMUGENZUZI W’AMAKURU DATA CONTROLLER AND THE DATA RESPONSABLE DU TRAITEMENT ET
Ingingo ya 29: Kwiyandikisha kuba Article 29: Registration as a data controller Article 29: Enregistrement à titre de
umugenzuzi w’amakuru cyangwa or a data processor responsable du traitement ou de sous-
utunganya amakuru traitant
Umuntu wifuza kuba umugenzuzi w’amakuru A person who intends to be a data controller or Une personne qui désire être responsable du
cyangwa utunganya amakuru agomba a data processor must register with the traitement ou sous-traitant doit se faire
kwiyandikisha ku rwego rugenzura. supervisory authority. enregistrer auprès de l’autorité de contrôle.
Ingingo ya 30: Ibisabwa kwiyandikisha kuba Article 30: Requirements for registration as Article 30: Conditions d’enregistrement à
umugenzuzi w’amakuru cyangwa utunganya a data controller or a data processor tire de responsable du traitement ou de sous-
amakuru traitant
Usaba kwiyandikisha kuba umugenzuzi An applicant for registration as a data controller Une personne faisant une demande
44
w’amakuru cyangwa utunganya amakuru or a data processor must indicate the following: d’enregistrement à titre de responsable du
agomba kugaragaza ibi bikurikira: traitement ou de sous-traitant doit indiquer ce
qui suit:
1° umwirondoro we n’ahantu abarizwa 1° his or her identity and his or her 1° son identité et son point de contact unique
yagennye; designated single point of contact; désigné;
2° umwirondoro n’ahantu 2° the identity and address of his or her 2° l’identité et l’adresse de son représentant
by’umuhagarariye iyo yamugennye; representative if he or she has s’il l’a nommé;
nominated any;
3° ibisobanuro ku makuru bwite 3° a description of personal data to be 3° la description des données à caractère
azatunganywa n’icyiciro cya ba nyiri processed and the category of data personnel à traiter et de la catégorie des
ubwite; subjects; personnes concernées;
4° niba afite cyangwa ashobora kugira 4° whether or not the applicant holds or is 4° si le demandeur détient ou non ou est
ubwoko bw’amakuru bwite akurikije likely to hold the types of personal data susceptible de détenir des types des
inzego z’imirimo akoreramo; based on the sectors in which it données à caractère personnel en fonction
operates; des secteurs dans lesquels il opère;
5° ikigamijwe mu gutunganya amakuru 5° the purposes of the processing of 5° les finalités du traitement des données à
bwite; personal data; caractère personnel doivent être traitées;
6° ibyiciro bw’abagenewe amakuru 6° the categories of recipients to whom 6° les catégories de destinataires auxquels le
umugenzuzi w’amakuru cyangwa the data controller or the data processor responsable du traitement ou le sous-
utunganya amakuru yifuza gutangariza intends to disclose the personal data; traitant entend communiquer les données
amakuru bwite; à caractère personnel;
7° igihugu yifuza koherezamo amakuru 7° the country to which the applicant 7° le pays vers lequel le demandeur entend
bwite ku buryo buziguye cyangwa intends to directly or indirectly transfer transférer directement ou indirectement
butaziguye; the personal data; les données à caractère personnel;
45
8° ingaruka mu itunganya ry’amakuru 8° risks in the processing of personal data 8° les risques liés au traitement des données
bwite n’ingamba zo kuzikumira no and measures to prevent such risks and à caractère personnel et les mesures visant
kurinda amakuru bwite. protect personal data. à prévenir ces risques et à protéger les
données à caractère personnel.
Urwego rugenzura rushobora gushyiraho The supervisory authority may put in place a L’autorité de contrôle peut établir un
amabwiriza agena ibisabwa by’inyongera usaba regulation determining additional requirements règlement déterminant les conditions
kwiyandikisha kuba umugenzuzi w’amakuru to be met by an applicant for registration as a additionnelles à être remplies par une personne
cyangwa utunganya amakuru agomba kuzuza. data controller or a data processor. faisant une demande d’enregistrement à titre
de responsable du traitement ou de sous-
traitant.
Ingingo ya 31: Itangwa ry’icyemezo Article 31: Issuance of a registration Article 31: Octroi du certificat
Urwego rugenzura rutanga icyemezo The supervisory authority issues a registration L’autorité de contrôle octroie un certificat
cy’iyandikwa k’usaba kuba umugenzuzi certificate to an applicant for registration as a d’enregistrement à une personne faisant une
w’amakuru cyangwa utunganya amakuru data controller or a data processor who meets demande d’enregistrement à titre de
wujuje ibisabwa mu kwiyandikisha mu gihe the requirements for registration within thirty responsable du traitement ou sous-traitant qui
kitarenze iminsi mirongo itatu (30) y’akazi (30) working days from the date of reception remplit les conditions d’enregistrement dans
uhereye ku munsi rwakiriyeho ubusabe bwo of the registration application. les trente (30) jours ouvrables à compter de la
kwiyandikisha. date de réception de la demande
d’enregistrement.
Urwego rugenzura rushyiraho amabwiriza agena The supervisory authority puts in place a L’autorité de contrôle met en place un
igihe icyemezo cy’iyandikwa kimara. regulation determining the period of validity of règlement qui détermine la durée de validité du
the registration certificate. certificat d’enregistrement.
Ingingo ya 32: Kumenyekanisha impinduka Article 32: Reporting a change after Article 32: Signaler un changement après
nyuma yo guhabwa icyemezo cy’iyandikwa receiving a registration certificate obtention du certificat d’enregistrement
Nyuma yo guhabwa icyemezo cy’iyandikwa, After receiving a registration certificate, if Après obtention du certificat d’enregistrement,
46
iyo habaye impinduka ku byashingiweho mu there is a change in the grounds on which a lorsqu’il survient un changement dans les
itangwa ryacyo, umugenzuzi w’amakuru registration certificate was issued, the data motifs pour lesquels un certificat
cyangwa utunganya amakuru wagihawe controller or the data processor who received it d’enregistrement a été octroyé, le responsable
abimenyesha urwego rugenzura mu buryo notifies the supervisory authority in writing or du traitement ou le sous-traitant en informe par
bw’inyandiko cyangwa bw’ikoranabuhanga, electronically within fifteen (15) working days écrit ou par voie électronique l’autorité de
mu gihe kitarenze iminsi cumi n’itanu (15) from the date on which such a change contrôle dans les quinze (15) jours ouvrables à
y’akazi uhereye umunsi izo mpinduka occurred. compter du jour où ce changement est
zabereyeho. intervenu.
Urwego rugenzura, rukimenyeshwa impinduka The supervisory authority, as soon as it is L’autorité de contrôle, dès qu’elle est informée
zivugwa mu gika cya mbere cy’iyi ngingo kandi informed of change referred to under Paragraph du changement visé à l’alinéa premier du
rukazemera, ruhuza amakuru n’igihe. One of this Article and gives its satisfaction, présent article et qu’elle en est satisfaite, met à
updates the information. jour les informations.
Ingingo ya 33: Kongerera igihe icyemezo Article 33: Renewal of a registration Article 33: Renouvellement d’un certificat
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor who Le responsable du traitement et le sous-traitant
amakuru ufite icyemezo cy’iyandikwa holds a registration certificate may apply for its ayant obtenu un certificat d’enregistrement
ashobora gusaba ko icyemezo cye cyongererwa renewal within forty-five (45) working days peut demander que son certificat soit renouvelé
igihe, mu gihe cy’iminsi mirongo ine n’itanu before the expiry date of the existing dans les quarante-cinq (45) jours ouvrables
(45) y’akazi mbere y’uko icyemezo certificate. avant la date d’expiration du certificat existant.
asanganywe kirangira.
Urwego rugenzura rusubiza ku busabe The supervisory authority responds in writing L’autorité de contrôle répond par écrit ou par
buvugwa mu gika cya mbere cy’iyi ngingo mu or electronically to the application referred to voie électronique à la demande visée à l’alinéa
buryo bw’inyandiko cyangwa under Paragraph One of this Article, within premier du présent article dans les trente (30)
bw’ikoranabuhanga, mu gihe cy’iminsi thirty (30) working days following receipt of jours ouvrables de la réception de la demande.
mirongo itatu (30) y’akazi uhereye igihe the application.
rwakiriye ubusabe.
Urwego rugenzura rushyiraho amabwiriza The supervisory authority puts in place a L’autorité de contrôle établit un règlement
47
agena ibisabwa mu kongerera igihe icyemezo regulation determining requirements for fixant les conditions pour le renouvellement
cy’iyandikwa. renewal of the registration certificate. d’un certificat d’enregistrement.
Ingingo ya 34: Guhindura icyemezo Article 34: Modification of a registration Article 34: Modification d’un certificat
Urwego rugenzura, rubyibwirije cyangwa The supervisory authority, on its own motion L’autorité de contrôle peut, de sa propre
rubisabwe n’ufite icyemezo cy’iyandikwa, or on request by the registration certificate initiative ou sur demande d’un titulaire de
rushobora guhindura icyemezo cy’iyandikwa holder, may modify the registration certificate certificat d’enregistrement, modifier le
mbere y’uko agaciro kacyo karangira iyo before its expiry, if the supervisory authority certificat d’enregistrement avant l’expiration de
urwego rugenzura rubona ko iryo hinduka believes that modification is needed to respond sa validité si l’autorité de contrôle estime cette
rikenewe kugira ngo gihuzwe: on: modification est nécessaire pour répondre:
1° n’impinduka yabaye mu mategeko 1° change that occurred on applicable 1° au changement intervenu dans des lois
akurikizwa; laws; applicables;
2° n’impinduka yabaye mu makuru 2° a change in the information that he or 2° à un changement dans les informations
yatanzwe ishobora kugira ingaruka ku she provided that may affect the qu`il a fournies pouvant affecter le
cyemezo cy’iyandikwa. registration certificate. certificat d’enregistrement.
Ingingo ya 35: Gutesha agaciro icyemezo Article 35: Cancellation of a registration Article 35: Annulation d’un certificat
Urwego rugenzura rushobora gutesha agaciro The supervisory authority may cancel the L’autorité de contrôle peut annuler le certificat
icyemezo cy’iyandikwa mbere y’uko igihe registration certificate before its date of expiry d’enregistrement avant sa date d’expiration si le
kizamara kirangira iyo ufite icyemezo if the registration certificate holder: titulaire de certificat d’enregistrement:
cy’iyandikwa:
1° yatanze amakuru y’ibinyoma cyangwa 1° has submitted false or misleading 1° a fourni des informations fausses ou
ayobya; information; trompeuses;
2° atubahirije ibisabwa n’iri tegeko 2° fails to comply with requirements of this 2° ne se conforme pas aux conditions de la
48
cyangwa ibikubiye mu cyemezo. Law or terms and conditions specified in présente loi ou aux termes et conditions
the certificate. spécifiés dans le certificat.
Urwego rugenzura, mbere yo gutesha agaciro Before cancellation of the registration L’autorité de contrôle, avant l’annulation du
icyemezo cy’iyandikwa, ruha integuza certificate, the supervisory authority provides certificat d’enregistrement, donne au titulaire
y’iminsi cumi n’itanu (15) y’akazi ufite icyo the certificate holder with fifteen (15) working du certificat, par écrit ou par voie électronique,
cyemezo mu buryo bw’inyandiko cyangwa days prior notice in writing or electronically, un préavis d’annulation de quinze (15) jours
bw’ikoranabuhanga, rumusaba gutanga requesting for explanations on non- ouvrables lui demandant des explications sur la
ibisobanuro ku mpamvu hatubahirijwe ibikubiye compliance with the provisions of Paragraph non-conformité aux dispositions de l’alinéa
mu gika cya mbere cy’iyi ngingo. One of this Article. premier du présent article.
Ingingo ya 36: Igitabo cyandikwamo Article 36: Register of data controllers and Article 36: Registre de responsables du
abagenzuzi b’amakuru n’abatunganya data processors traitement et de sous-traitants
amakuru
Urwego rugenzura rushyiraho igitabo The supervisory authority puts in place a L’autorité de contrôle met en place un registre
cyandikwamo abagenzuzi b’amakuru register of data controllers and data processors. de responsables du traitement et de sous-
n’abatunganya amakuru. Icyo gitabo kibikwa Such a register is kept and managed by the traitants. Ce registre est tenu et conservé par
kandi kigacungwa n’urwego rugenzura, ari na supervisory authority, which also determines l’autorité de contrôle qui détermine également
rwo rugena imiterere yacyo n’uburyo its form and the manner in which it is used. sa forme et la manière dont il est utilisé.
gikoreshwa.
Urwego rugenzura, rubisabwe n’umugenzuzi The supervisory authority may, at the request L’autorité de contrôle, à la demande du
w’amakuru cyangwa utunganya amakuru ufite of the data controller or the data processor who responsable du traitement ou du sous-traitant
inyandiko mu gitabo cyandikwamo abagenzuzi has an outdated entry in the register of data qui a un écrit obsolète dans le registre de
b’amakuru n’abatunganya amakuru itakijyanye controllers and data processors, erase the entry responsables du traitement et de sous-traitants,
n’igihe, rushobora gusiba iyo nyandiko muri from the register. peut l’effacer dans ce registre.
icyo gitabo.
Urwego rugenzura rushyiraho amabwiriza The supervisory authority puts in place a L’autorité de contrôle met en place un
agena uburyo abantu bafite impamvu regulation determining modalities under which règlement qui détermine les modalités selon
zumvikana bashobora guhabwa uburenganzira persons with justified reasons may have the lesquelles des personnes ayant des motifs
49
bubemerera kubona igitabo cyandikwamo right of access to the register of data controllers justifiés peuvent avoir le droit d’accès au
abagenzuzi b’amakuru n’abatunganya amakuru and data processors for consultation, or to be registre de responsables du traitement et de
kugira ngo basome ibikubiyemo, cyangwa issued with a certified copy or an extract of any sous-traitants pour la consultation, ou obtenir
guhabwa kopi yemejwe cyangwa inyandukuro entry in such a register. une copie certifiée ou un extrait d’un écrit dans
y’ibyanditswe muri icyo gitabo. ce registre.
UMUTWE WA VI: INSHINGANO CHAPTER VI: OBLIGATIONS OF THE CHAPTER VI: OBLIGATIONS DU
Z’UMUGENZUZI W’AMAKURU DATA CONTROLLER AND THE DATA RESPONSABLE DU TRAITEMENT ET
Ingingo ya 37: Amahame yerekeranye no Article 37: Principles relating to processing Article 37: Principes relatifs au traitement
gutunganya amakuru bwite of personal data des données à caractère personnel
Umugenzuzi w’amakuru n’utunganya amakuru The data controller and the data processor Le responsable du traitement et le sous-traitant
bubahiriza ko amakuru bwite ya nyiri ubwite: ensure that the data subject’s personal data: veillent à ce que les données à caractère
personnel de la personne concernée:
1° atunganywa mu buryo bukurikije 1° are processed lawfully, fairly and in a 1° soient traitées de manière licite, loyale et
amategeko, nta kubogama kandi bunyuze transparent manner; transparente;
mu mucyo;
2° akusanywa ku mpamvu zeruye, 2° are collected for explicit, specified and 2° soient collectées à des fins explicites,
zumvikana, zifite ishingiro, kandi ko legitimate purposes and not further spécifiées et légitimes et ne soient pas
adatunganywa mu buryo bunyuranye processed in a manner incompatible traitées d’une manière incompatible avec
n’izo mpamvu; with those purposes; ces objectifs;
3° ajyanye n’impamvu yasabiwe 3° are related to the purposes for which 3° soient en rapport avec les finalités pour
gutunganywa; their processing was requested; lesquelles leur traitement a été sollicité;
4° ari yo kandi, iyo bikenewe ahuzwa 4° are accurate and, where necessary, kept 4° soient exactes et, si nécessaire, tenues à
n’igihe, hamwe n’ingamba zose up to date, with every reasonable step jour, avec toutes les mesures raisonnables
ziboneye zituma amakuru bwite atari yo being taken to ensure that any prises pour assurer que les données à
50
ahanagurwa cyangwa agakosorwa inaccurate personal data are erased or caractère personnel inexactes soient
bidatinze; rectified without delay; effacées ou rectifiées sans tarder;
5° abikwa mu buryo butuma umwirondoro 5° are kept in a form which permits 5° soient conservées sous une forme
wa nyiri ubwite umenyekana mu gihe identification of data subjects for no permettant l'identification des personnes
kitarenze igihe gikenewe ku mpamvu longer than is necessary for the concernées pendant une durée n'excédant
zatumye amakuru bwite atunganywa; purposes for which the personal data pas celle nécessaire au regard des finalités
are processed; pour lesquelles elles sont traitées;
6° atunganywa hubahirizwa uburenganzira 6° are processed in compliance with the 6° soient traitées dans le respect des droits
bwa ba nyiri ubwite. rights of data subjects. des personnes concernées.
Ingingo ya 38: Inshingano z’umugenzuzi Article 38: Duties of the data controller and Article 38: Attributions du responsable du
w’amakuru n’utunganya amakuru the data processor traitement et du sous-traitant
Hubahirijwe amahame yo gutunganya amakuru In compliance with the principles of the Conformément aux principes de traitement des
bwite, umugenzuzi w’amakuru n’utunganya processing of personal data, the data controller données à caractère personnel, le responsable
amakuru bafite inshingano zikurikira: and the data processor discharge the following du traitement et le sous-traitant ont des
duties: attributions suivantes:
1° gushyira mu bikorwa ingamba zo mu 1° to implement appropriate technical and 1° mettre en œuvre les mesures techniques et
rwego rwa tekiniki n’urw’imitunganyirize; organisational measures; organisationnelles appropriées;
2° kubika inyandiko z’ibikorwa 2° to keep a record of personal data 2° tenir un registre des opérations de traitement
by’itunganywa ry’amakuru bwite; processing operations; des données à caractère personnel;
3° gukora isuzuma ry’ingaruka zo kurinda 3° to carry out personal data protection 3° mener une analyse d’impact relative à la
amakuru bwite mu gihe uburyo bwo impact assessments where the processing protection des données personnelles à
gutunganya amakuru bwite bushobora of personal data is likely to result in a caractère personnel lorsque le traitement des
gutera ingorane zikomeye ku burenganzira high risk to the rights and freedoms of a données à caractère personnel est
n’ubwisanzure bw’umuntu ku giti cye; natural person; susceptible d’entraîner un risque élevé pour
les droits et les libertés d’une personne
51
physique;
4° gukora undi murimo wose yahabwa 4° to perform such other duty as may be 4° s’acquitter de toute autre tâche qui pourrait
n’urwego rugenzura. assigned to him or her by the supervisory lui être confiée par l’autorité de contrôle.
authority.
Isuzuma ry’ingaruka zo kurinda amakuru bwite The personal data protection impact L’analyse d’impact relative à la protection des
rivugwa mu gace ka 3o k’igika cya mbere cy’iyi assessment referred to in item 3o of Paragraph données à caractère personnel visée au point 3o
ngingo rikorwa mu gihe hakorwa: one of this Article is carried out in case of: de l’alinéa premier du présent article est
requise en cas:
1° isuzuma rikozwe neza kandi ryimbitse 1° a systematic and extensive evaluation 1° de l’évaluation systématique et
ku birebana n’ibiranga abantu birebana of personal aspects relating to natural approfondie d’aspects personnels
n’abantu ku giti cyabo rishingiye ku persons which is based on automated concernant des personnes physiques, qui
itunganywa ry’amakuru bwite processing of personal data, including est fondée sur un traitement automatisé des
ryikoresha, harimo no gukora ishusho profiling, and on which decisions that données à caractère personnel, y compris le
y’amakuru kandi rigashingirwaho mu produce effects concerning such profilage, et sur la base de laquelle des
gufata ibyemezo bigira ingaruka kuri persons are based; décisions produisant des effets à l’égard de
abo bantu; ces personnes sont prises;
2° itunganywa ry’amakuru bwite y’ibanga 2° processing on a large scale of sensitive 2° du traitement à grande échelle de données
ku rwego rwagutse; personal data; à caractère personnel sensibles;
3° igenzura ry’ahantu nyabagendwa 3° a systematic monitoring of a publicly 3° de la surveillance systématique à grande

rikozwe neza ku buryo bwagutse; accessible area on a large scale; échelle d’une zone accessible au public;
4° itunganywa ry’amakuru bwite 4° processing of personal data identified 4° du traitement des données à caractère
ryagaragajwe n’urwego rugenzura by the supervisory authority as likely to personnel identifié par l’autorité de
nk’irishobora gutera ingorane zikomeye result in a high risk to the rights and contrôle comme susceptible d’engendrer
mu rwego rw’uburenganzira freedoms of natural persons; un risque élevé pour les droits et libertés
n’ubwisanzure bw’abantu ku giti cyabo; des personnes physiques;
52
5° ikoranabuhanga rishya rikoreshwa mu 5° new technologies used to process 5° de nouvelles technologies utilisées pour
gutunganya amakuru bwite. personal data. traiter les données à caractère personnel.
Ingingo ya 39: Ishyirwaho ry’uhagarariye Article 39: Designation of a representative of Article 39: Désignation d’un représentant du
umugenzuzi w’amakuru cyangwa utunganya the data controller or data processor responsable du traitement ou du sous-
amakuru traitant
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor who is Le responsable du traitement ou le sous-traitant
amakuru udafite icyicaro cyangwa udatuye mu neither established nor resides in Rwanda, but qui n’est ni établi ni résidant au Rwanda, mais
Rwanda, ariko utunganya amakuru bwite ya ba processes personal data of data subjects located qui traite des données à caractère personnel des
nyiri ubwite bari mu Rwanda, ashyiraho mu in Rwanda, designates in writing a personnes concernées situées au Rwanda,
nyandiko umuhagarariye mu Rwanda mu rwego representative in Rwanda to comply with his or désigne par écrit un représentant au Rwanda
rwo kubahiriza inshingano ze nk’uko her obligations under this Law. pour respecter ses obligations prévues par la
ziteganywa n’iri tegeko. présente loi.
Urwego rugenzura rushyiraho amabwiriza The supervisory authority puts in place a L’autorité de contrôle établit un règlement
agenga ishyirwaho ry’uhagarariye umugenzuzi regulation governing the designation of a régissant la désignation d’un représentant du
w’amakuru cyangwa utunganya amakuru. representative of the data controller or data responsable du traitement, du sous-traitant.
processor.
Ingingo ya 40: Ishyirwaho ry’umukozi Article 40: Designation of the personal data Article 40: Désignation du délégué à la
Umugenzuzi w’amakuru n’utunganya amakuru The data controller and the data processor Le responsable du traitement et le sous-traitant
bashyiraho umukozi ushinzwe kurinda amakuru designate a data protection officer where: désignent un délégué à la protection des
bwite iyo: données lorsque:
1° gutunganya amakuru bwite bikozwe 1° the processing of personal data is carried 1° le traitement des données à caractère
n’ikigo cya Leta cyangwa icy’abikorera out by public or private corporate body or personnel est effectué par une personne
cyangwa urwego rufite ubuzimagatozi, a legal entity, except courts; morale publique ou privée ou entité
uretse inkiko; juridique, à l'exception des juridictions;
53
2° ibikorwa by’ingenzi by’umugenzuzi 2° the core activities of the data controller 2° les activités de base du responsable du
w’amakuru cyangwa utunganya amakuru or the data processor consist of personal traitement ou du sous-traitant consistent
bigizwe n’ibikorwa byo gutunganya data processing operations which, by en des opérations de traitement des
amakuru bwite, bitewe n’imiterere virtue of their nature, their scope or their données à caractère personnel qui, du
yabyo, aho bigarukira cyangwa n’icyo purposes, require regular and systematic fait de leur nature, de leur portée ou de
bigamije, bisaba ikurikirana rihoraho monitoring of data subjects on a large leurs finalités, exigent un suivi régulier
kandi rinoze rya ba ny’ir’ubwite ku scale; et systématique à grande échelle des
rwego rwagutse; personnes concernées;
3° ibikorwa by’ingenzi by’umugenzuzi 3° the core activities of the data controller 3° les activités de base du responsable du
w’amakuru cyangwa iby’utunganya or the data processor consist of traitement ou du sous-traitant consistent
amakuru bigizwe no gutunganya ku processing on a large scale of special en un traitement à grande échelle de
rwego rwagutse ibyiciro byihariye categories of data pursuant to Article 10 catégories particulières de données
by’amakuru bwite hashingiwe ku ngingo of this Law and personal data relating to visées à l'article 10 de la présente loi et
ya 10 y’iri tegeko n’amakuru bwite criminal convictions referred to in de données à caractère personnel
y’abahamijwe ibyaha avugwa mu ngingo Article 12 of this Law. relatives à des condamnations pénales
ya 12 y’iri tegeko. visées à l'article 12 de la présente loi.
Itsinda ry’ibigo rishobora gushyiraho umukozi A group of undertakings may appoint a single Un groupe d'entreprises peut désigner un seul
umwe ushinzwe kurinda amakuru bwite mu gihe personal data protection officer provided that délégué à la protection des données à caractère
byakoroha ko uwo mukozi aboneka muri buri the data protection officer is easily accessible personnel à condition qu'un tel délégué soit
kigo mu buryo bworoshye. from each establishment. facilement joignable à partir de chaque lieu
d'établissement.
Iyo umugenzuzi w’amakuru cyangwa utunganya Where the data controller or the data processor Lorsque le responsable du traitement ou le sous-
amakuru ari ikigo cyangwa urwego rwa Leta, is a public authority or body, a single personal traitant est une autorité publique ou un
hashobora gushyirwaho umukozi umwe data protection officer may be designated for organisme public, un seul délégué à la
ushinzwe kurinda amakuru bwite mu bigo several such authorities or bodies, taking protection des données peut être désigné pour
cyangwa inzego za Leta, hitawe ku miterere account of their organizational structure and plusieurs autorités ou organismes de ce type,
n’ingano yabyo. size. compte tenu de leur structure organisationnelle
et de leur taille.
54
Mu bihe bitari ibivugwa mu gika cya mbere In cases other than those referred to in Dans les cas autres que ceux visés à l’alinéa
cy’iyi ngingo, umugenzuzi w’amakuru, Paragraph one of this Article, the data controller premier du présent article, le responsable du
utunganya amakuru, amashyirahamwe cyangwa or the data processor or associations and other traitement ou le sous-traitant ou les associations
ibindi bigo bihagarariye ibyiciro by’abagenzuzi bodies representing categories of data et autres organismes représentant des catégories
b’amakuru cyangwa abatunganya amakuru controllers or data processors may designate a de responsables du traitement ou de sous-
bashobora gushyiraho umukozi ushinzwe personal data protection officer in accordance traitants peuvent désigner un délégué à la
kurinda amakuru bwite hashingiwe ku with the provisions of this Law. protection des données à caractère personnel en
biteganywa n’iri tegeko. vertu des dispositions de la présente loi.
Umukozi ushinzwe kurinda amakuru bwite The data protection officer is designated on the Le délégué à la protection des données à
ashyirwaho hashingiwe ku bushobozi basis of professional qualities, expert caractère personnel est désigné sur la base de
bw’umwuga, ubuzobere mu bijyanye no kurinda knowledge of personal data protection, ses qualités professionnelles, ses connaissances
amakuru bwite, imikorere n’ubushobozi bwo practices and the ability to fulfil the tasks spécialisées en matière de protection des
kuzuza inshingano ze. assigned to him or her. données à caractère personnel, ses pratiques et
sa capacité à accomplir ses attributions.
Umukozi ushinzwe kurinda amakuru bwite The personal data protection officer may be a Le délégué à la protection des données à
ashobora kuba umukozi uhoraho w’umugenzuzi permanent staff member of the data controller caractère personnel peut être un membre du
w’amakuru cyangwa w’utunganya amakuru, or the data processor, or a person who fulfils the personnel du responsable du traitement ou du
cyangwa umuntu ugengwa n’amasezerano tasks on the basis of a service contract. sous-traitant, ou une personne qui exerce ses
y’umurimo. attributions sur la base d'un contrat de service.
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor must Le responsable du traitement ou le sous-traitant
amakuru bagomba gutangaza umwirondoro publish the contact details of the personal data doivent publier les coordonnées du délégué à la
w’umukozi ushinzwe kurinda amakuru bwite protection officer and communicate them to the protection des données à caractère personnel et
kandi bakawumenyesha urwego rugenzura. supervisory authority. les communiquer à l'autorité de contrôle.
Ingingo ya 41: Inshingano z’umukozi Article 41: Duties of the personal data Article 41: Attributions du délégué à la
Umukozi ushinzwe kurinda amakuru bwite afite The personal data protection officer has the Les attributions du délégué à la protection des
inshingano zikurikira: following duties: données à caractère personnel sont les
55
suivantes:
1° kumenyesha no kugira inama 1° to inform and advise the data controller, 1° informer et conseiller le responsable du
umugenzuzi w'amakuru, utunganya the data processor and the employees traitement, le sous-traitant et les employés
amakuru, n'abakozi bafite itunganywa who carry out personal data processing, qui procèdent au traitement des données à
ry'amakuru bwite mu nshingano zabo of their obligations pursuant to this Law; caractère personnel sur les obligations qui
nk’uko biteganywa n'iri tegeko; leur incombent en vertu de la présente loi;
2° kugenzura, aho akorera, ishyirwa mu 2° to monitor, in his or her area of work, 2° contrôler, à son lieu de travail, le respect de
bikorwa ry’iri tegeko na politiki compliance with this Law and with the la présente loi et des règles internes du
y’umugenzuzi w’amakuru n’utunganya policies of the data controller or data responsable du traitement ou du sous-
amakuru mu byerekeranye no kurinda processor in relation to the protection of traitant en matière de protection des données
amakuru bwite harimo no gutanga personal data, including the assignment à caractère personnel, y compris en ce qui
inshingano, ubukangurambaga of responsibilities, awareness-raising and concerne la répartition des responsabilités,
n’amahugurwa y’abakozi mu bikorwa training of staff involved in personal data la sensibilisation et la formation du
byo gutunganya amakuru bwite processing operations, and the related personnel participant aux opérations de
n’ubugenzuzi bwerekeranye nabyo; audits; traitement des données à caractère personnel
et les audits s'y rapportant;
3° gutanga inama mu byerekeranye 3° to provide advice where requested as 3° dispenser des conseils, sur demande, en ce
n’isesengura ry’ingaruka zo kurinda regards the data protection impact qui concerne l'analyse d'impact relative à la
amakuru bwite iyo bisabwe no assessment and monitor its performance; protection des données et vérifier
gukurikirana uko bikorwa; l'exécution de celle-ci;
4° kugira imikoranire myiza n’urwego 4° to cooperate with the supervisory 4° coopérer avec l'autorité de contrôle et faire
rugenzura no kuba imboni yarwo mu authority and to act as its contact point on office de son point de contact sur les
byerekeranye no gutunganya amakuru issues relating to processing of personal questions relatives au traitement des
bwite harimo no kugisha inama mbere data, including the prior consultation données à caractère personnel, y compris la
urwo rwego kandi iyo bishoboka, ku with the supervisory authority, and to consultation préalable à l’autorité de
byerekeranye n’ibindi bikorwa. consult, where appropriate, with regard to contrôle, et mener des consultations, le cas
any other matter. échéant, sur tout autre sujet.
56
Umukozi ushinzwe kurinda amakuru bwite, The personal data protection officer must in the Le délégué à la protection des données doit tenir
agomba mu gihe yuzuza inshingano ze, kwita performance of his or her tasks have due regard dûment compte, dans l'accomplissement de ses
ku ngaruka zikomoka ku bikorwa byo to the risk associated with personal data missions, du risque associé aux opérations de
gutunganya amakuru bwite hitabwa ku miterere processing operations, considering the nature, traitement des données à caractère personnel
yabyo, aho bigarukira n’icyo bigamije. scope, context and purpose of processing. compte tenu de la nature, de la portée, du
contexte et des finalités du traitement.
Ingingo ya 42: Amakuru atangwa mu gihe cyo Article 42: Information to be provided Article 42: Informations à fournir lors de la
gukusanya amakuru bwite during personal data collection collecte des données à caractère personnel
Umugenzuzi w’amakuru akusanya amakuru The data controller collects personal data for a Le responsable du traitement collecte les
bwite iyo hari ikigamijwe cyemewe lawful purpose connected to the activity of the données à caractère personnel pour des fins
n’amategeko gifitanye isano n’igikorwa cye data controller and when the data is necessary licites liées à l’activité du responsable du
kandi iyo ayo makuru bwite akenewe kugira ngo for that purpose. traitement et lorsque les données sont
ikigamijwe kigerweho. nécessaires pour ces fins.
Umugenzuzi w’amakuru ukusanya amakuru The data controller who collects personal data Le responsable du traitement qui collecte les
bwite amenyesha nyiri ubwite ibi bikurikira: informs the data subject of the following: données à caractère personnel informe la
personne concernée de ce qui suit:
1° umwirondoro we n’aho abarizwa; 1° his or her identity and contact details; 1° son identité et ses es coordonnées;
2° ikigamijwe mu ikusanywa ry’amakuru 2° the purposes for which personal data 2° les finalités pour lesquelles les données à
bwite; are collected; caractère personnel sont collectées;
3° abo ayo makuru bwite agenewe; 3° recipients of such personal data; 3° les destinataires de ces données à caractère
personnel;
4° ko afite uburenganzira bwo gutanga 4° whether the data subject has the right to 4° si la personne concernée a le droit de
amakuru bwite ku bushake cyangwa provide personal data voluntarily or fournir les données à caractère personnel
akayatanga abitegetswe; mandatorily; volontairement ou obligatoirement;
57
5° ko afite uburenganzira bwo kwisubiraho 5° the existence of the right to withdraw 5° l’existence du droit de retirer le
igihe icyo ari cyo cyose kandi bikaba consent at any time and that such consentement à tout moment et que ce
bidakuraho ko itunganywa ry’amakuru withdrawal does not affect the retrait n’affecte pas la licéité du traitement
bwite riba rikurikije amategeko hashingiwe lawfulness of the processing of des données à caractère personnel basé sur
ku kuba yari yarabanje kubyemera mbere personal data based on consent before le consentement avant son retrait;
yo kwisubiraho; its withdrawal;
6° ko afite uburenganzira bwo gusaba 6° the existence of the right to request 6° l’existence du droit de demander au
umugenzuzi w’amakuru kubona amakuru from the data controller access and responsable du traitement l’accès et la
bwite no kuyakosora, kubuza gutunganya rectification, restriction or erasure of rectification, la restriction ou l’effacement
cyangwa guhanagura amakuru bwite personal data concerning the data des données à caractère personnel qui
yerekeye nyiri ubwite cyangwa subject or to object to the processing of concernent la personne concernée ou de
gutambamira itunganywa ryayo; the data; s’opposer au traitement des données;
7° ko hari uburyo bwo gufata icyemezo 7° the existence of automated decision 7° l’existence d’une prise de décision
bwikoresha, harimo gukora ishusho making, including profiling, and automatisée, y compris le profilage et des
y’amakuru n’amakuru yerekeye information about the logic involved, as informations sur la logique impliquée
inyurabwenge yifashishijwe ndetse well as the significance and the ainsi que l’importance et les conséquences
n’akamaro n’ingaruka ziteganyijwe envisaged consequences of such envisagées d’un tel traitement des données
zizakurikira itunganywa ry’amakuru bwite processing personal data for the data à caractère personnel à la personne
zizaba kuri nyiri ubwite; subject; concernée;
8° igihe amakuru bwite azamara abitswe; 8° the period for which personal data will 8° la durée pour laquelle des données à
be stored; caractère personnel seront conservées;
9° afite uburenganzira bwo kujuririra urwego 9° the right to appeal to the supervisory 9° le droit de faire recours auprès de
rugenzura; authority; l’autorité de contrôle;
10° igihe bibaye ngombwa, ashobora kohereza 10° where applicable, that he or she can 10° le cas échéant, s’il peut transférer les
amakuru bwite hanze y’u Rwanda kandi transfer personal data outside Rwanda données à caractère personnel vers
akamwizeza umutekano wayo; and he or she assures him or her of their l’extérieur du Rwanda et s’il l’assure de
security; leur sécurité;
58
11° andi makuru akenewe yatuma gutunganya 11° any further information likely to 11° toute autre information susceptible de
amakuru bwite ye bikorwa mu buryo guarantee fair processing of the garantir un traitement équitable des
butabogamye, hitawe ku bihe byihariye personal data, having regard to the données à caractère personnel, compte
amakuru yakusanyijwemo. specific circumstances in which the tenu des circonstances spécifiques dans
data are collected. lesquelles les données sont collectées.
Icyakora, umugenzuzi w’amakuru ntategetswe However, the data controller is not required to Toutefois, le responsable du traitement n’est
kubahiriza ibikubiye mu gika cya 2 cy’iyi ngingo comply with the provisions of Paragraph 2 of pas tenu de se conformer aux dispositions de
iyo: this Article if: l’alinéa 2 du présent article si :
1° nyiri ubwite asanzwe afite amakuru 1° the data subject already has the 1° la personne concernée dispose déjà des
avugwa mu gika cya mbere cy’iyi information referred to in Paragraph informations visées à l’alinéa premier
ngingo; One of this Article; du présent article;
2° gutanga ayo makuru bidashoboka 2° the provision of such information 2° la fourniture de ces informations s’avère
cyangwa byasaba ubushobozi proves impossible or involves a impossible ou implique un effort
budasanzwe; disproportionate effort; disproportionné;
3° gufata cyangwa gutangaza amakuru 3° the recording or disclosure of the 3° l’enregistrement ou la divulgation des
bwite biteganywa n’amategeko. personal data is provided for by the Law. données à caractère personnel est prévu
par la loi.
Ingingo ya 43: Imenyekanisha ku ivogerwa Article 43: Notification of personal data Article 43: Notification de la violation des
ry’amakuru bwite breach données à caractère personnel
Iyo amakuru bwite avogerewe, umugenzuzi In case of personal data breach, the data En cas de violation des données à caractère
w’amakuru, mu gihe kitarenze amasaha controller, within forty-eight (48) hours after personnel, le responsable du traitement, dans
mirongo ine n’umunani (48) nyuma yo being aware of the incident, must les quarante-huit (48) heures après en avoir
kubimenya, agomba kubimenyesha urwego communicate the personal data breach to the pris connaissance, doit en informer l’autorité
rugenzura. supervisory authority. de contrôle.
59
Iyo utunganya amakuru amenye ko amakuru Where the data processor becomes aware of Lorsque le sous-traitant prend connaissance de
bwite yavogerewe, abimenyesha umugenzuzi personal data breach, he or she notifies the data la violation des données à caractère personnel,
w’amakuru mu gihe kitarenze amasaha controller within forty-eight (48) hours after il en informe le responsable du traitement dans
mirongo ine n’umunani (48) nyuma yo being aware of the incident. les quarante-huit (48) heures après en avoir
kubimenya. pris connaissance.
Ingingo ya 44: Raporo ku ivogerwa Article 44: Report on personal data breach Article 44: Rapport sur la violation des
ry’amakuru bwite données à caractère personnel
Umugenzuzi w’amakuru akora raporo ku The data controller draws up a report on Le responsable du traitement fait un rapport
ivogerwa ry’amakuru bwite, akayishyikiriza personal data breach and submits it to the sur la violation des données à caractère
urwego rugenzura mu gihe kitarenze amasaha supervisory authority not later than seventy- personnel et le transmet à l’autorité de contrôle
mirongo irindwi n’abiri (72) hamwe two (72) hours, with all facts available. dans les soixante-douze (72) heures avec tous
n’ibimenyetso byose bihari. les faits disponibles.
Raporo igaragaza nibura ibi bikurikira: The report describes at least: Le rapport indique au moins ce qui suit:
1° imiterere y’ivogerwa ry’amakuru bwite, 1° the nature of the personal data breach 1° la nature de la violation de données à
harimo, igihe cyose bishoboka, ibyiciro including where possible, the categories caractère personnel y compris, si possible, les
n’umubare ucishirije wa ba nyiri ubwite and approximate number of data catégories et le nombre approximatif de
n’ibyiciro n’umubare ucishirije w’inyandiko subjects concerned and the categories personnes concernées et les catégories et le
z’amakuru bwite yavogerewe bireba; and approximate number of personal nombre approximatif d’enregistrements de
data records concerned; données à caractère personnel concernés;
2° umwirondoro w’umukozi ushinzwe kurinda 2° the contact details of the personal data 2° les coordonnées du délégué à la protection
amakuru bwite cyangwa undi mukozi protection officer or other contact point des données ou d’un autre point de contact
ushobora gutanga amakuru y’inyongera; where more information can be auprès duquel des informations
obtained; supplémentaires peuvent être obtenues;
3° ingamba zigamije gukemura ivogerwa 3° the measures taken to address the 3° les mesures prises pour remédier à la
ry’amakuru bwite, harimo n’izerekeranye no personal data breach, including violation de données à caractère personnel, y
koroshya ingaruka zishobora guterwa n’iryo measures to mitigate its possible compris les mesures pour en atténuer les
60
vogerwa; adverse effects; éventuelles conséquences négatives;
4° ibikorwa byerekeranye n’ivogerwa 4° the acts relating to personal data 4° les actes relatifs à la violation de données à
ry’amakuru bwite, ingaruka z’ivogerwa breaches, the consequences of the caractère personnel, les conséquences de la
ry’amakuru bwite n’ingamba zafashwe zo personal data breach and the measures violation de données à caractère personnel et
gukosora iryo vogerwa; taken to rectify such a breach; les mesures prises pour rectifier cette
violation;
5° icyifuzo cye cyo kumenyesha nyiri ubwite 5° his or her proposal for communicating 5° sa proposition de communiquer la violation
wagizweho ingaruka n’ivogerwa ry’amakuru the personal data breach to affected de données à caractère personnel à la
bwite n’igihe iryo menyesha rigomba data subjects and the timeline for such personne concernée affectée et les délais de
gukorerwa bikemezwa n’urwego rugenzura. a communication, for approval by the cette communication, pour approbation par
supervisory authority. l’autorité de contrôle.
Ingingo ya 45: Kumenyesha nyiri ubwite Article 45: Communication of a personal Article 45: Communication à la personne
ivogerwa ry’amakuru bwite data breach to the data subject concernée d’une violation de données à
Iyo kuvogera amakuru bwite bishobora Where the personal data breach is likely to Lorsqu’une violation de données à caractère
kubangamira uburenganzira n’ubwisanzure bya result in a high risk to the rights and freedoms personnel est susceptible d’engendrer un risque
nyiri ubwite, umugenzuzi w’amakuru akimara of the data subject, the data controller élevé pour les droits et libertés de la personne
kubimenya abimenyesha nyiri ubwite mu buryo communicates the personal data breach to the concernée, le responsable du traitement
bw’inyandiko cyangwa bw’ikoranabuhanga ko data subject in writing or electronically, after communique la violation de données à caractère
amakuru bwite ye yavogerewe. having become aware of it. personnel à la personne concernée par écrit ou
par voie électronique après en avoir pris
connaissance.
Icyakora, umugenzuzi w’amakuru However, the data controller is not required to Toutefois, le responsable du traitement ne
ntamenyesha nyiri ubwite ko amakuru bwite ye communicate the personal data breach to the communique pas la violation de données à
yavogerewe iyo: data subject if: caractère personnel à la personne concernée si:
1° yashyize mu bikorwa ingamba 1° the data controller has implemented 1° le responsable du traitement a mis en œuvre
61
zumvikana zo mu rwego rwa tekiniki appropriate technical and les mesures de protection techniques et
n’urw’imitunganyirize zerekeranye no organisational protection measures in organisationnelles appropriées relatives à
kurinda amakuru bwite yavogerewe ku relation to personal data breached such la protection de données à caractère
buryo ivogerwa ry’amakuru bwite that the personal data breach is unlikely personnel violées de sorte que cette
ridashobora kubangamira to result in a high risk to the rights and violation n’engendre pas un risque élevé
uburenganzira n’ubwisanzure bya nyiri freedoms of the data subject; pour les droits et libertés de la personne
ubwite; concernée;
2° yafashe ingamba zigamije kugenzura ko 2° the data controller has taken measures 2° le responsable du traitement a pris des
kubangamira uburenganzira which ensure that the high risk to the mesures qui garantissent que le risque
n’ubwisanzure bya nyiri ubwite rights and freedoms of the data subject élevé pour les droits et libertés de la
bitazongera kubaho; is no longer likely to materialize; personne concernée n’est plus susceptible
de se matérialiser;
3° yabimenyesheje rubanda ku buryo nyiri 3° the data controller communicated it to 3° le responsable du traitement a procédé à
ubwite na we abimenyeshwa kimwe na the public whereby the data subject is une communication publique permettant à
bo mu buryo bukwiye. informed in an equally effective la personne concernée d’être informée de
manner. manière tout aussi efficace.
Iyo umugenzuzi w’amakuru atamenyesheje nyiri If the data controller has not communicated the Si le responsable du traitement n’a pas
ubwite ivogerwa ry’amakuru bwite ye, kandi personal data breach to the data subject, and communiqué à la personne concernée la
rishobora kubangamira uburenganzira the personal data breach is likely to result in a violation de données à caractère personnel, et
n’ubwisanzure bye, urwego rugenzura rushobora high risk to the rights and freedoms of the data que cette violation est susceptible d’engendrer
gutegeka umugenzuzi w’amakuru kumenyesha subject, the supervisory authority may request un risque élevé pour ses droits et libertés,
nyiri ubwite mu buryo bw’inyandiko cyangwa the data controller to communicate the l’autorité de contrôle peut exiger du
bw’ikoranabuhanga ivogerwa ry’amakuru bwite personal data breach to the data subject in responsable du traitement de communiquer à
ye. writing or electronically. la personne concernée la violation de données
à caractère personnel par écrit ou par voie
électronique.
62
Ingingo ya 46: Gutunganya amakuru bwite Article 46: Lawful processing of personal Article 46: Licéité du traitement de données
mu buryo bwemewe n’amategeko data à caractère personnel
amakuru atunganya amakuru bwite mu buryo lawfully processes personal data if: procède au traitement licite des données à
bwemewe n’amategeko iyo: caractère personnel si:
1° nyiri ubwite yemeye ko amakuru bwite 1° the data subject has given consent to the 1° la personne concernée a consenti au
ye atunganywa ku mpamvu processing of his or her personal data for traitement de ses données à caractère
yasobanuriwe; purposes explained to him or her; personnel pour des finalités qui lui ont été
expliquées;
2° nyiri ubwite ashyira mu bikorwa 2° processing is necessary for the 2° le traitement est nécessaire à l'exécution d'un
amasezerano yasinye, afitemo uruhare performance of a contract to which the contrat auquel la personne concernée est
cyangwa hagamijwe gufata icyemezo data subject is party or in order to take partie ou à l'exécution de mesures
ku busabe bwa nyiri ubwite mbere yo steps at the request of the data subject précontractuelles prises à la demande de
gusinya amasezerano; prior to entering into a contract; celle-ci;
3° umugenzuzi w’amakuru ashyira mu 3° the data controller executes a legal 3° le responsable du traitement exécute une
bikorwa inshingano ishingiye ku obligation to which he or she is a subject; obligation légale à laquelle il est soumis;
mategeko;
4° ari ngombwa mu kurengera inyungu 4° it is necessary for protection of vital 4° le traitement est nécessaire à la sauvegarde
z’ingenzi za nyiri ubwite cyangwa undi interests of the data subject or any other des intérêts vitaux de la personne concernée
muntu; person; ou de toute autre personne;
5° ari ngombwa mu rwego rwo kurangiza 5° it is necessary for the performance of a 5° le traitement est nécessaire à l’exécution
inshingano ziri mu nyungu rusange duty carried out in the public interest or in d’une mission d’intérêt public ou relevant de
cyangwa mu gukoresha ububasha the exercise of official authority vested in l’exercice de l’autorité publique dont est
umugenzuzi w’amakuru yahawe; the data controller; investi le responsable du traitement;
6° bikozwe hagamijwe gushyira mu 6° it is carried out for the performance of 6° il est mené à des fins d’exécution des tâches
63
bikorwa inshingano z’urwego rwa Leta; duties of a public entity; d’une entité publique;
7° hagamijwe inyungu zemewe 7° it is intended for legitimate interests 7° le traitement est nécessaire aux fins des
zikurikiranywe n’umugenzuzi pursued by the data controller or by a third intérêts légitimes poursuivis par le
w’amakuru cyangwa undi muntu party to whom the personal data are responsable du traitement ou par un tiers à
uhabwa amakuru bwite, keretse iyo disclosed, unless the processing of qui les données à caractère personnel sont
gutunganya ayo makuru bwite bitari personal data is unwarranted in any divulguées, à moins que le traitement de ces
ngombwa ku mpamvu zihariye zifitanye particular case having regard to the données à caractère personnel ne soit
isano no kubangamira uburenganzira prejudice to the rights and freedoms or nécessaire dans un cas particulier eu égard au
n’ubwisanzure cyangwa inyungu legitimate interests pursued by the data préjudice des droits et libertés ou des intérêts
zemewe zikurikiranywe na nyiri ubwite; subject; légitimes de la personne concernée;
8° bikozwe ku mpamvu z’ubushakashatsi 8° it is carried out for research purposes upon 8° il est mené à des fins de recherche sur
byatangiwe uruhushya n’urwego bireba. authorisation by relevant institution. autorisation de l’institution concernée.
Ingingo ya 47: Ingamba zo kugenzura Article 47: Measures to ensure security of Article 47: Mesures pour assurer la sécurité
umutekano w’amakuru bwite personal data des données à caractère personnel
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor must Le responsable du traitement ou le sous-traitant
amakuru agomba kurinda amakuru bwite afite, ensure security of the personal data in his or her doit assurer la sécurité des données à caractère
binyuze mu gufata ingamba zikwiye, zumvikana possession by, adopting appropriate, personnel en sa possession en adoptant des
zo mu rwego rwa tekiniki kugira ngo hirindwe reasonable technical measures to prevent loss, mesures appropriées, raisonnables d’ordre
itakara, iyangirika cyangwa isenywa ry’amakuru damage or destruction of personal data. technique pour éviter la perte, le dommage ou
bwite. la destruction des données à caractère
personnel.
Mu rwego rwo gushyira mu bikorwa ibivugwa For purposes of enforcing the provisions of Aux fins de l’application des dispositions de
mu gika cya mbere cy’iyi ngingo, umugenzuzi Paragraph One of this Article, the data l’alinéa premier du présent article, le
w’amakuru cyangwa utunganya amakuru afata controller or the data processor takes the responsable du traitement ou le sous-traitant
ingamba zo kugenzura umutekano w’amakuru following measures to ensure security of prend des mesures suivantes pour assurer la
bwite zikurikira: personal data: sécurité des données à caractère personnel:
64
1° gutahura ingorane zishobora kubaho ku 1° identify foreseeable risks to personal 1° identifier les risques prévisibles pour les
makuru bwite afitwe cyangwa data under that person’s possession or données à caractère personnel sous la
agenzurwa n’uwo muntu, gushyiraho no control, establish and maintain possession ou le contrôle de cette personne,
gukaza ingamba zikwiye zo kwirinda izo appropriate safeguards against those établir et maintenir des sauvegardes
ngorane; risks; appropriées contre ces risques;
2° kugenzura buri gihe niba kurinda 2° regularly verify whether the personal 2° vérifier régulièrement si les sauvegardes de
amakuru bwite bishyirwa mu bikorwa data security safeguards are effectively la sécurité de données à caractère personnel
uko bikwiye; implemented; sont effectivement mises en œuvre;
3° kugenzura niba kurinda amakuru bwite 3° ensure that the personal data security 3° veiller à ce que les garanties de la sécurité
bikomeza kujyana n’igihe hagamijwe safeguards are continually updated in de données à caractère personnel sont mises
guhangana n’ingorane nshya cyangwa response to new risks or any identified à jour pour répondre aux nouveaux risques
ibyuho byagaragara. deficiencies. ou aux défaillances identifiées.
Iyo urwego rugenzura rusanze gutunganya When the supervisory authority is of the Lorsque l’autorité de contrôle est d’avis que le
cyangwa guhererekanya amakuru bwite opinion that processing or transferring traitement ou le transfert de données à
bishobora kubangamira uburenganzira personal data may infringe the rights and caractère personnel peut porter atteinte aux
n’imibereho bwite bya nyiri ubwite, rukora privacy of the data subject, the supervisory droits et à la vie privée de la personne
igenzura n’isuzuma ry’ingamba zivugwa muri authority conducts an inspection and concernée, elle procède à une inspection et à
iyi ngingo. assessment of the measures set out in this une évaluation des mesures prévues au présent
Article. article.
UMUTWE WA VII: GUHANAHANA, CHAPTER VI: SHARING, TRANSFER, CHAPITRE VI : PARTAGE,

GUHEREREKANYA, KUBIKA NO STORAGE AND RETENTION OF TRANSFERT, STOCKAGE ET
GUKOMEZA KUBIKA AMAKURU PERSONAL DATA RÉTENTION DES DONNÉES À
BWITE CARACTÈRE PERSONNEL
Ingingo ya 48: Ihanahana n’ihererekanya Article 48: Sharing and transfer of personal Article 48: Partage et transfert des données
ry’amakuru bwite hanze y’u Rwanda data outside Rwanda à caractère personnel en dehors du Rwanda
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor may Le responsable du traitement ou le sous-
65
amakuru ashobora guhanahana cyangwa share or transfer personal data to a third party traitant peut partager ou transférer les données
guhererekanya amakuru bwite n’undi muntu outside Rwanda if: à caractère personnel vers un tiers en dehors du
hanze y’u Rwanda iyo: Rwanda si:
1° yabiherewe uruhushya n’urwego 1° he or she has obtained authorisation from 1° il a obtenu l’autorisation de l’autorité de
rugenzura nyuma yo kugaragaza ko the supervisory authority after providing contrôle après avoir fourni des garanties
yafashe ingamba ziboneye zo kurinda proof of appropriate safeguards with appropriées au regard de la protection des
amakuru bwite; respect to the protection of personal data; données à caractère personnel;
2° nyiri ubwite yabyiyemereye; 2° the data subject has given his or her 2° la personne concernée a donné son
consent; consentement;
3° ihererekanya rikenewe kugira ngo: 3° the transfer is necessary: 3° le transfert est nécessaire:
a. hashyirwe mu bikorwa amasezerano a. for the performance of a contract a. à l'exécution d'un contrat entre la
yakozwe hagati ya nyiri ubwite between the data subject and the data personne concernée et le responsable du
n’umugenzuzi w’amakuru cyangwa controller or the implementation of pre- traitement ou à la mise en œuvre de
ibyemezo nteguramasezerano byafashwe contractual measures taken in response mesures précontractuelles prises à la
ku busabe bwa nyiri ubwite; to the data subject's request; demande de la personne concernée;
b. hashyirwe mu bikorwa amasezerano b. for the performance of a contract b. à l’exécution d’un contrat conclu, dans
yumvikanyweho mu nyungu za nyiri concluded in the interest of the data l’intérêt de la personne concernée, entre
ubwite hagati y’umugenzuzi w’amakuru subject between the data controller and le responsable du traitement et un tiers;
n’undi muntu; a third party;
c. inyungu rusange zigerweho; c. for public interest grounds; c. pour des motifs d’intérêt public;
d. hatangwe, hakurikiranwe cyangwa d. for the establishment, exercise or d. pour la constatation, l’exercice ou la
hiregurwe ku kirego mu nkiko; defence of a legal claim; défense d’un droit en justice;
e. harengerwe inyungu z’ingenzi za nyiri e. to protect the vital interests of the data e. à la sauvegarde des intérêts vitaux de la
ubwite cyangwa iz’undi muntu iyo nyiri subject or of another person where the personne concernée ou d'une autre
ubwite adashoboye kwiyemerera kubera data subject is physically or legally personne dans le cas où la personne
66
ubumuga bw’umubiri cyangwa ku incapable of giving his or her consent; concernée se trouve dans l'incapacité
mpamvu zishingiye ku mategeko; physique ou juridique de donner son
consentement;
f. humvikanishwe inyungu zemewe f. for the purposes of compelling f. aux fins des intérêts légitimes impérieux
n’amategeko z’umugenzuzi w’amakuru legitimate interests pursued by the data poursuivis par le responsable du
cyangwa utunganya amakuru controller or by the data processor, traitement ou par le sous-traitant sur
zidasumbwa n’inyungu, uburenganzira which are not overridden by the lesquels ne prévalent pas les intérêts, les
n’ubwisanzure bwa nyiri ubwite kandi interests, rights and freedoms of the data droits et libertés de la personne
iyo: subject, and when: concernée, et lorsque:
i. ihererekanya ritisubiramo kandi i. the transfer is not repetitive and i. le transfert ne revêt pas de caractère
rireba umubare muto wa ba nyiri concerns only a limited number of répétitif et ne touche qu’un nombre
ubwite; data subjects; limité de personnes concernées;
ii. umugenzuzi w’amakuru cyangwa ii. the data controller or the data ii. le responsable du traitement ou le sous-
utunganya amakuru yasuzumye processor has assessed all the traitant a évalué toutes les circonstances
impamvu zose zijyanye n’igikorwa circumstances surrounding the data entourant le transfert de données à
cyo guhererekanya amakuru bwite transfer and has, on the basis of that caractère personnel et a offert, sur la
kandi, ashingiye kuri iryo suzuma, assessment, provided suitable base de cette évaluation, des garanties
yashyizeho ingamba zo kurinda safeguards with regard to the appropriées au regard de la protection
amakuru bwite; protection of personal data; des données à caractère personnel;
g. hashyirwe mu bikorwa amasezerano g. for the performance of international g. à l’exécution des instruments
mpuzamahanga yemejwe n’u Rwanda. instruments ratified by Rwanda. internationaux ratifiés par le Rwanda.
amabwiriza agena indi mpamvu yo guhanahana regulation determining another reason of règlement déterminant une autre raison de
cyangwa guhererekanya amakuru bwite n’undi sharing or transferring personal data to a third partage et de transfert à un tiers des données à
muntu hanze y’u Rwanda. party outside Rwanda. caractère personnel en dehors du Rwanda.
67
Ingingo ya 49: Amasezerano mu Article 49: Contract for transfer of personal Article 49: Contrat de transfert des données
ihererekanya ry’amakuru bwite data à caractère personnel
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor who Le responsable du traitement ou le sous-
amakuru wemerera umuntu kubona amakuru authorises a person to access personal data, traitant qui autorise à une personne d’obtenir
bwite, kuyageza cyangwa kuyahererekanya ku share or transfer them to a third party outside les données à caractère personnel, de les
wundi muntu hanze y’u Rwanda, akora Rwanda, enters into a written contract with partager et de les transférer vers un tiers en
amasezerano yanditse n’uwo muntu asobanura such a person setting out the respective roles dehors du Rwanda, conclut un contrat écrit
uruhare n’inshingano za buri ruhande hagamijwe and responsibilities of each party to ensure avec cette personne définissant les rôles et les
kubahiriza ibiteganywa n’iri tegeko. compliance with this Law. responsabilités de chaque partie pour assurer le
respect des dispositions de la présente loi.
Urwego rugenzura, rwifashishije amabwiriza, The supervisory authority may, by a L’autorité de contrôle peut, par voie de
rushobora kugena imiterere y’amasezerano regulation, determine the form of the contract règlement, déterminer le format du contrat
akoreshwa mu ihererekanya ry’amakuru bwite to be used for transfers of personal data outside devant être utilisé pour le transfert des données
hanze y’u Rwanda. Rwanda. à caractère personnel en dehors du Rwanda.
Ibivugwa mu gace ka 1° n’aka 3° a), b) na d) Provisions of Items 1o and 3° a), b) and d) of Les dispositions des points 1o et 3° a), b) et d)
by’ingingo ya 48 y’iri tegeko ntibikurikizwa ku Article 48 of this Law do not apply to activities de l’article 48 de la présente loi ne s’appliquent
bikorwa byakozwe n’ikigo cya Leta mu gihe carried out by a public body in the exercise of pas aux activités exercées par un organisme
gishyira mu bikorwa inshingano zacyo. its functions. public dans le cadre de l’exercice de ses
fonctions.
Urwego rugenzura rushobora gusaba The supervisory authority may require the data L’autorité de contrôle peut demander au
umugenzuzi w’amakuru cyangwa utunganya controller or the data processor to demonstrate responsable du traitement ou au sous-traitant
amakuru wohereza amakuru bwite hanze y’u their compliance with the provisions of this transférant les données à caractère personnel
Rwanda kugaragaza iyubahirizwa Article, and in particular, with personal data vers l’extérieur du Rwanda de prouver qu’il se
ry’ibiteganywa muri iyi ngingo by’umwihariko security safeguards and interests referred to in conforme aux dispositions du présent article,
ingamba zo kurinda amakuru bwite n’inyungu Item 3° f) of Article 48 of this Law. plus particulièrement de fournir des garanties
zivugwa mu gace ka 3ᵒ f) k’ingingo ya 48 y’iri de protection des données à caractère
tegeko. personnel et des intérêts visés au point 3o f) de
l’article 48 de la présente loi.
68
Urwego rugenzura, mu rwego rwo kurinda The supervisory authority, in order to protect L’autorité de contrôle peut, afin de protéger les
uburenganzira n’ubwisanzure bya nyiri ubwite, the rights and freedoms of the data subject, droits et les libertés de la personne concernée,
rushobora kubuza cyangwa guhagarika may prohibit or suspend the transfer of interdire ou suspendre le transfert de données
ihererekanya ry’amakuru bwite hanze y’u personal data outside Rwanda. à caractère personnel vers l’extérieur du
Rwanda. Rwanda.
Ingingo ya 50: Ibikwa ry’amakuru bwite Article 50: Storage of personal data Article 50: Stockage des données à
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor stores Le responsable du traitement ou le sous-
amakuru abika amakuru bwite mu Rwanda. personal data in Rwanda. traitant stocke les données à caractère
personnel au Rwanda.
Icyakora, kubika amakuru bwite hanze y’u However, the storage of personal data outside Toutefois, le stockage de données à caractère
Rwanda byemewe gusa iyo umugenzuzi Rwanda is only permitted if the data controller personnel en dehors du Rwanda n’est autorisé
w’amakuru cyangwa utunganya amakuru afite or the data processor holds a valid registration que si le responsable du traitement ou le sous-
icyemezo cy’iyandikwa kimwemerera kubika certificate authorising him or her to store traitant détient un certificat d’enregistrement
amakuru bwite hanze y'u Rwanda gitangwa personal data outside Rwanda, which is issued délivré par l’autorité de contrôle, qui l’autorise
n’urwego rugenzura. by the supervisory authority. à stocker les données à caractère personnel en
dehors du Rwanda.
Ingingo ya 51: Kwimura no gucunga Article 51: Migration and management of Article 51: Migration et gestion de données
amakuru bwite nyuma yo guhindura personal data after change or closure of à caractère personnel après le changement
cyangwa gufunga ibikorwa business ou la fermeture des activités
Urwego rugenzura rushyiraho amabwiriza The supervisory authority puts in place a L’autorité de contrôle met en place un
agena uburyo bwo kwimura no gucunga regulation determining modalities for règlement déterminant les modalités de
amakuru bwite mu gihe ibikorwa migration and management of personal data in migration et de gestion de données à caractère
by’umugenzuzi w’amakuru cyangwa case of change or closure of business of the personnel en cas de changement ou de
utunganya amakuru bihindutse cyangwa data controller or the data processor. fermeture des activités du responsable du
bifunzwe. traitement ou du sous-traitant.
69
Ingingo ya 52: Igihe amakuru bwite amara Article 52: Retention of personal data Article 52: Rétention de données à caractère
abitswe personnel
amakuru abika amakuru bwite kugeza igihe retains personal data until the purposes of the retient les données à caractère personnel jusqu’à
ikigamijwe mu itunganywa ryayo kigezweho. processing of personal data are fulfilled. ce que les finalités de leur traitement sont
atteintes.
Icyakora, umugenzuzi w’amakuru cyangwa However, the data controller or the data Toutefois, le responsable du traitement ou le
utunganya amakuru ashobora gukomeza kubika processor may retain personal data for a longer sous-traitant peut retenir les données à caractère
amakuru bwite igihe kirekire ku mpamvu period for the following grounds: personnel pendant une longue période pour des
zikurikira: raisons suivantes:
1° iyo byemewe n’itegeko; 1° if retention is authorised by Law; 1° si la rétention est autorisée par la loi;
2° iyo bisabwa mu masezerano yakozwe 2° if retention is required by a contract 2° si la rétention est requise par un contrat
hagati y’impande zayagiranye; concluded between the parties; conclu entre les parties;
3° iyo amakuru bwite afitanye isano 3° if the personal data is related to a 3° si les données à caractère personnel sont
n’umurimo cyangwa igikorwa byatumye function or activity for which the liées à une fonction ou une activité pour
amakuru bwite akusanywa cyangwa personal data are collected or laquelle les données à caractère personnel
atunganywa; processed; sont collectées ou traitées;
4° gukumira, gutahura, guperereza, 4° preventing, detecting, investigating, 4° prévenir, détecter, enquêter, poursuivre ou
gukurikirana cyangwa guhana uwakoze prosecuting or punishing an offender; sanctionner l’auteur d’une infraction;
icyaha;
5° kurinda umutekano w’Igihugu; 5° protecting national security; 5° protéger la sécurité nationale;
6° gushyira mu bikorwa icyemezo 6° enforcing a court order; 6° exécuter une décision judiciaire;
cy’Urukiko;
70
7° kubahiriza amategeko arebana no 7° enforcing legislation relating to 7° appliquer les lois relatives à la collecte des
gukusanya imisoro n’amahoro bya Leta; collection of public revenues; recettes publiques;
8° gukurikirana ikirego mu rukiko; 8° conducting proceedings before a court; 8° suivre une action devant une juridiction;
9° gukora ubushakashatsi byatangiwe 9° carrying out research authorised by a 9° mener une recherche autorisée par une
uruhushya n’urwego bireba; relevant authority; autorité compétente;
10° iyo nyiri ubwite yabyiyemereye. 10° if the data subject consents. 10° si la personne concernée a donné son
consentement.
amabwiriza agena indi mpamvu yo kubika regulation determining any other ground for règlement déterminant une autre raison de
amakuru bwite igihe kirekire. retention of personal data for a longer period. rétention des données à caractère personnel
pendant une longue période.
Iyo igihe cyo kubika amakuru bwite kirangiye, At the end of the personal data retention period, À la fin de la période de rétention des données
umugenzuzi w’amakuru cyangwa utunganya the data controller or the data processor must à caractère personnel, le responsable du
amakuru agomba kuyasenya ku buryo destroy the personal data in a manner that traitement ou le sous-traitant doit détruire les
bitashoboka kongera kuyasubiranya ngo prevents its reconstruction in an intelligible données à caractère personnel de manière à
yumvikane. form. empêcher leur reconstruction sous une forme
intelligible.
71
UMUTWE WA VIII: AMAKOSA, IBYAHA CHAPTER VIII: MISCONDUCTS, CHAPITRE VIII: FAUTES,
N’IBIHANO OFFENCES AND SANCTIONS INFRACTIONS ET SANCTIONS,
Icyiciro cya mbere: Amakosa n’ibihano byo Section One: Administrative misconducts Section première: Fautes et sanctions
mu rwego rw’ubutegetsi and sanctions administratives
Ingingo ya 53: Amakosa yo mu rwego Article 53: Administrative misconducts Article 53: Fautes administratives
rw’ubutegetsi
Umugenzuzi w’amakuru, utunganya amakuru The data controller, the data processor or a Le responsable du traitement, le sous-traitant
cyangwa undi muntu ukoze rimwe mu makosa third party who commits one of the following ou un tiers qui commet l’une des fautes
akurikira: misconducts: suivantes:
1° kutabika inyandiko z’amakuru bwite 1° failure to maintain records of processed 1° défaut de tenir les documents des
yatunganyijwe; personal data; données à caractère personnel traitées;
2° kutandika icyakozwe ku makuru bwite 2° failure to carry out personal data logging; 2° défaut d’effectuer l’enregistrement de
yatunganyijwe; données à caractère personnel;
3° gukora nta cyemezo cy’iyandikwa; 3° operating without a registration 3° fonctionnement sans détenir un certificat
certificate; d’enregistrement;
4° kutamenyekanisha impinduka nyuma 4° failure to report a change after receiving 4° défaut de signaler un changement après
yo guhabwa icyemezo cy’iyandikwa; a registration certificate; obtention du certificat d’enregistrement;
5° gukoresha icyemezo cy’iyandikwa 5° using a certificate whose term of validity 5° utilisation d’un certificat dont la durée de
cyarengeje igihe; has expired; validité a expiré;
6° kudashyiraho umukozi ushinzwe 6° failure to designate a personal data 6° défaut de désigner un délégué à la
kurinda amakuru bwite; protection officer; protection des données à caractère
personnel;
72
7° kutamenyekanisha ivogerwa 7° failure to notify a personal data breach; 7° défaut de signaler la violation des
ry’amakuru bwite; données à caractère personnel;
8° kudakora raporo ku ivogerwa 8° failure to make a report on personal data 8° défaut de faire rapport sur la violation des
ry’amakuru bwite; breach; données à caractère personnel;
9° kutamenyesha nyiri ubwite ivogerwa 9° failure to communicate a personal data 9° défaut de communiquer à la personne
ry’amakuru bwite; breach to the data subject; concernée la violation des données à
caractère personnel;
aba akoze ikosa. commits a misconduct. commet une faute.
Ahanishwa ihazabu yo mu rwego rw’ubutegetsi He or she is liable to an administrative fine of Il est passible d’une amende administrative d’au
itari munsi ya miliyoni ebyiri z’amafaranga y’u not less than two million Rwandan francs moins deux millions de francs rwandais
Rwanda (2.000.000 Frw) ariko itarenze (RWF 2,000,000) but not more than five (2.000.000 FRW) mais ne dépassant pas cinq
miliyoni eshanu z’amafaranga y’u Rwanda million Rwandan francs (RWF 5,000,000) or millions de francs rwandais (5.000.000 FRW)
(5.000.000 Frw) cyangwa rimwe ku ijana (1%) one percent (1%) of the global turnover of the ou d’un montant équivalant à un pourcent (1%)
by’amafaranga y’ibyacurujwe mu mwaka preceding financial year. du chiffre d’affaires global de l’exercice
w’ingengo y’imari wabanje. précédent.
Iyo ari ikigo cyangwa urwego bifite In the event of a corporate body or a legal En cas de personne morale ou d’entité
ubuzimagatozi, ahanishwa rimwe ku ijana (1%) entity, he or she is liable to one percent (1%) juridique, il est passible d’un montant
by’amafaranga y’ibyacurujwe mu mwaka of the global turnover of the preceding équivalant à un pourcent (1%) du chiffre
w’ingengo y’imari wabanje. financial year. d’affaires global de l’exercice précédent.
Urwego rugenzura rushobora gushyiraho The supervisory authority may put in place a L’autorité de contrôle peut mettre en place un
amabwiriza agena andi makosa n’ibindi bihano regulation determining other administrative règlement déterminant d’autre fautes et
byo mu rwego rw’ubutegetsi bitateganyijwe misconducts and sanctions that are not sanctions administratives qui ne sont pas
muri iri tegeko. provided for in this Law. prévues par la présente loi.
73
Ingingo ya 54: Kuregera urukiko Article 54: Filing an application to the court Article 54: Saisie de la juridiction
Umugenzuzi w’amakuru, utunganya amakuru The data controller, the data processor or a Le responsable du traitement, le sous-traitant
cyangwa undi muntu utishimiye igihano cyo third party who is not satisfied with ou un tiers qui n’est pas satisfait d’une sanction
mu rwego rw’ubutegetsi yahawe afite administrative sanction taken against him or administrative prise à son égard a le droit de
uburenganzira bwo kuregera urukiko rubifitiye her has the right to file an application to the saisir la juridiction compétente.
ububasha. competent court.
Ingingo ya 55: Aho ihazabu yo mu rwego Article 55: Place where the administrative Article 55: Lieu de versement de l’amende
rw’ubutegetsi ishyirwa fine is deposited administrative
Ihazabu yo mu rwego rw’ubutegetsi icibwa The administrative fine imposed by the L’amende administrative imposée par
n’urwego rugenzura ishyirwa mu Isanduku ya supervisory authority is deposited to the Public l’autorité de contrôle est versée au Trésor
Leta. Treasury. Public.
Icyiciro cya 2: Ibyaha n’ibihano Section 2: Offences and penalties Section 2: Infractions et peines
Ingingo ya 56: Kubona, gukusanya, Article 56: Accessing, collecting, using, Article 56: Obtention, collecte, utilisation,
gukoresha, gutanga, guhanahana, offering, sharing, transfer or disclosing of offre, partage, transfert ou divulgation
guhererekanya cyangwa gutangaza personal data in a way that is contrary to illicite des données à caractère personnel
amakuru bwite mu buryo bunyuranyije n’iri this Law d’une manière contraire à la présente loi.
tegeko
Umuntu ubona, ukusanya, ukoresha, utanga, A person who accesses, collects, uses, offers, Une personne qui obtient, collecte, utilise,
uhanahana, uhererekanya cyangwa utangaza shares, transfers or discloses personal data in a offre, partage, transfère ou divulgue des
amakuru bwite mu buryo bunyuranyije n’iri way that is contrary to this Law, commits an données à caractère personnel d’une manière
tegeko, aba akoze icyaha. offence. contraire à la présente loi, commet une
infraction.
Iyo abihamijwe n’urukiko, ahanishwa igifungo Upon conviction, he or she is liable to an Lorsqu’elle en est reconnue coupable, elle est
kitari munsi y’umwaka umwe (1) ariko imprisonment of not less than one (1) year but passible d’un emprisonnement d’au moins un
kitarenze imyaka itatu (3) n’ihazabu not more than three (3) years and a fine of not (1) an mais ne dépassant pas trois (3) ans et
74
y’amafaranga y’u Rwanda atari munsi ya less than seven million Rwandan francs d’une amende d’au moins sept millions de
miliyoni zirindwi (7.000.000 FRW) ariko (RWF 7,000,000) but not more than ten francs rwandais (7.000.000 FRW) mais ne
atarenze miliyoni icumi (10.000.000 FRW) million Rwandan francs (RWF 10,000,000) or dépassant pas dix millions de francs rwandais
cyangwa kimwe muri ibyo bihano. one of these penalties. (10.000.000 FRW) ou de l’une de ces peines.
Ingingo ya 57: Gusubiza ku makuru bwite Article 57: Re-identification of de-identified Article 57: Réidentification des données à
ibiyaranga byakuweho mu buryo personal data in a way that is contrary to caractère personnel anonymisées d’une
bunyuranyije n’iri tegeko this Law manière contraire à la présente loi
Umuntu ubizi, ubigambiriye cyangwa kubera Any person who knowingly, intentionally or Une personne qui, sciemment,
uburangare: recklessly: intentionnellement ou par imprudence :
1° usubiza ku makuru bwite ibiyaranga 1° re-identifies personal data which have 1° réidentifie les données à caractère
byari byavanyweho n’umugenzuzi been de-identified by a data controller personnel qui ont été anonymisées par un
w’amakuru cyangwa utunganya or a data processor; responsable du traitement ou un sous-
amakuru; traitant;
2° usubiza ku makuru bwite ibiyaranga 2° re-identifies and processes personal 2° réidentifie et traite des données à caractère
kandi akayatunganya, umugenzuzi data, without consent of the data personnel, sans le consentement du
w’amakuru atabyemeye; controller; responsable du traitement;
aba akoze icyaha. commits an offence. commet une infraction.
kitari munsi y’umwaka umwe (1) ariko kitarenze imprisonment of not less than one (1) year but passible d’un emprisonnement d’au moins un
imyaka itatu (3) n’ihazabu y’amafaranga y’u not exceeding three (3) years and a fine of not (1) an mais ne dépassant pas cinq (5) ans et
Rwanda atari munsi ya miliyoni zirindwi less than seven million Rwandan francs (RWF d’une amende d’au moins sept millions de
(7.000.000 FRW) ariko atarenze miliyoni icumi 7,000,000) but not more than ten million francs rwandais (7.000.000 FRW) mais ne
(10.000.000 FRW) cyangwa kimwe muri ibyo Rwandan francs (RWF 10,000,000) or one of dépassant pas dix millions de francs rwandais
bihano. these penalties. (10.000.000 FRW) ou de l’une de ces peines.
75
Ingingo ya 58: Gusenya, gusiba, guhisha Article 58: Destruction, erasure, Article 58: Destruction, effacement,
cyangwa guhindura amakuru bwite mu concealment or alteration of personal data dissimulation ou altération des données à
buryo bunyuranyije n’iri tegeko in a way that is contrary to this Law caractère personnel d’une manière
contraire à la présente loi
Umuntu usenya, usiba, uhisha cyangwa A person who destroys, erases, conceals or Une personne qui détruit, efface, dissimule ou
uhindura amakuru bwite mu buryo alters personal data in a way that is contrary to altère les données à caractère personnel d’une
bunyuranyije n’iri tegeko, aba akoze icyaha. this Law, commits an offence. manière contraire à la présente loi, commet une
infraction.
kitari munsi y’imyaka itatu (3) ariko kitarenze imprisonment of not less than three (3) years passible d’un emprisonnement d’au moins
imyaka itanu (5) n’ihazabu y’amafaranga y’u but not more than five (5) years and a fine of trois (3) ans mais ne dépassant pas cinq (5) ans
Rwanda atari munsi ya miliyoni zirindwi not less than seven million Rwandan francs et d’une amende d’au moins sept millions de
(7.000.000 FRW) ariko atarenze miliyoni icumi (RWF 7,000,000) but not more than ten million francs rwandais (7.000.000 FRW) mais ne
(10.000.000 FRW) cyangwa kimwe muri ibyo Rwandan francs (RWF 10,000,000) or one of dépassant pas dix millions de francs rwandais
bihano. these penalties. (10.000.000 FRW) ou de l’une de ces peines.
Ingingo ya 59: Kugurisha amakuru bwite Article 59: Sale of personal data in a way that Article 59: Vente des données à caractère
mu buryo bunyuranyije n’iri tegeko is contrary to this Law personnel d’une manière contraire à la
présente loi
Umuntu ugurisha amakuru bwite mu buryo A person who sells personal data in a way that Une personne qui vend les données à caractère
bunyuranyije n’iri tegeko aba akoze icyaha. is contrary to this Law, commits an offence. personnel d’une manière contraire à la présente
loi, commet une infraction.
kitari munsi y’imyaka itanu (5) ariko kitarenze imprisonment of not less than five (5) years but passible d’un emprisonnement d’au moins cinq
imyaka irindwi (7) n’ihazabu y’amafaranga y’u not more than seven (7) years and a fine of not (5) ans mais ne dépassant pas sept (7) ans et
Rwanda atari munsi ya miliyoni cumi n’ebyiri less than twelve million Rwandan francs d’une amende d’au moins douze millions de
(12.000.000 FRW) ariko atarenze miliyoni (RWF 12,000,000) but not more than fifteen francs rwandais (12.000.000 FRW) mais ne
icumi n’eshanu (15.000.000 FRW) cyangwa million Rwandan francs (RWF 15,000,000) or dépassant pas quinze millions de francs
76
kimwe muri ibyo bihano. one of these penalties. rwandais (15.000.000 FRW) ou de l’une de ces
peines.
Ingingo ya 60: Gukusanya cyangwa Article 60: Collecting or processing of Article 60: Collecte ou traitement des
gutunganya amakuru bwite y’ibanga mu sensitive personal data in a way that is données à caractère personnel sensibles
buryo bunyuranyije n’iri tegeko contrary to this Law d’une manière contraire à la présente loi
Umuntu ukusanya cyangwa utunganya A person who collects or processes sensitive Une personne qui collecte ou traite les données
amakuru bwite y’ibanga mu buryo personal data in a way that is contrary to this à caractère personnel sensibles d’une manière
bunyuranyije n’iri tegeko aba akoze icyaha. Law, commits an offence. contraire à la présente loi, commet une
infraction.
Iyo abihamijwe n’urukiko ahanishwa igifungo Upon conviction, he or she is liable to an Lorsqu’elle en est reconnue coupable, elle est
kitari munsi y’imyaka irindwi (7) ariko imprisonment of not less than seven (7) years passible d’un emprisonnement d’au moins sept
kitarenze imyaka icumi (10) n’ihazabu but not more than ten (10) years and a fine of (7) ans mais ne dépassant pas dix (10) ans et
y’amafaranga y’u Rwanda atari munsi ya not less than twenty million Rwandan francs d’une amende d’au moins vingt millions de
miliyoni makumyabiri (20.000.000 FRW) ariko (RWF 20,000,000) but not more than twenty- francs rwandais (20.000.000 FRW) mais ne
atarenze miliyoni makumyabiri n’eshanu five million Rwandan francs dépassant pas vingt-cinq millions de francs
(25.000.000 FRW) cyangwa kimwe muri ibyo (RWF 25,000,000) or one of these penalties. rwandais (25.000.000 FRW) ou de l’une de ces
bihano. peines.
Ingingo ya 61: Gutanga amakuru atari yo Article 61: Providing false information Article 61: Fourniture de fausses
informations
Umuntu utanga amakuru atari yo mu gihe na A person who provides false information during Une personne qui fournit de fausses
nyuma yo kwiyandikisha, aba akoze icyaha. and after registration, commits an offence. informations pendant et après l’enregistrement,
commet une infraction.
kitari munsi y’umwaka umwe (1) ariko imprisonment of not less than one (1) year but passible d’un emprisonnement d’au moins un
kitarenze imyaka itatu (3) n’ihazabu not more than three (3) years and a fine of not (1) an mais ne dépassant pas trois (3) ans et
y’amafaranga y’u Rwanda atari munsi ya less than three million Rwandan francs d’une amende d’au moins trois million de francs
77
miliyoni eshatu (3.000.000 FRW) ariko (RWF 3,000,000) but not more than five million rwandais (3.000.000 FRW) mais ne dépassant
atarenze miliyoni eshanu (5.000.000 FRW) Rwandan francs (RWF 5,000,000) or one of pas cinq millions de francs rwandais (5.000.000
cyangwa kimwe muri ibyo bihano. these penalties. FRW) ou de l’une de ces peines.
Ingingo ya 62: Ihanwa ry’ikigo cyangwa Article 62: Punishment of a corporate body Article 62: Punition d’une personne morale
urwego bifite ubuzimagatozi or a legal entity ou d’une entité juridique
Ikigo cyangwa urwego bifite ubuzima gatozi A corporate body or a legal entity that commits Une personne morale ou une entité juridique
bikoze kimwe mu byaha bivugwa mu ngingo ya one of the offences referred to in Articles 56, qui commet l’une des infractions visées aux
56, iya 57, iya 58, iya 59, iya 60 n’iya 61 biba 57, 58, 59, 60 and 61 commits an offence. articles 56, 57, 58, 59, 60 et 61 commet une
bikoze icyaha. infraction.
Iyo bihamijwe n'urukiko, bihanishwa ihazabu Upon conviction, it is liable to a fine of Lorsqu’elle en est reconnue coupable, elle est
y’amafaranga y’u Rwanda angana na gatanu ku Rwandan francs amounting to five percent passible d’une amende d’un montant de francs
ijana (5%) by’amafaranga y’ibyo byacuruje mu (5%) of its annual turnover of the previous rwandais équivalant à cinq pourcent (5%) de
mwaka w’ingengo y’imari wabanje. financial year. son chiffre d’affaires annuel de l’exercice
précédent.
Ingingo ya 63: Ibihano by’inyongera Article 63: Additional penalties Article 63: Sanctions supplémentaires
Ku bihano biteganywa n'iri tegeko, urukiko In addition to penalties provided for in this En plus des peines prévues par la présente loi,
rushobora kongeraho ifatira cyangwa inyagwa Law, the court, in all cases, may order the le tribunal, dans tous les cas, peut ordonner la
ry'ibikoresho byakoreshejwe mu gukora kimwe seizure or confiscation of items used in the saisie ou la confiscation des objets utilisés pour
mu byaha biteganywa n’iri tegeko ndetse n’ibyo commission of any of the offences provided for la commission de l’une des infractions prévues
uwahamwe n’icyaha yungutse. in this Law and the proceeds gained. par la présente loi et des produits gagnés.
Urukiko rushobora kandi gutegeka gufunga The court may also order permanent or La juridiction peut également ordonner la
by’agateganyo cyangwa burundu ikigo temporary closure of the legal entity or body, or fermeture permanente ou temporelle de l’entité
cyangwa urwego bifite ubuzimagatozi cyangwa the premises in which any of the offences juridique ou d’un organisme, ou du local dans
ahakorerwa imirimo hakorewe kimwe mu provided for under this Law was committed. lequel une infraction prévue par la présente loi
byaha biteganyijwe muri iri tegeko. a été commise.
78
UMUTWE WA IX: INGINGO CHAPTER IX: MISCELLANEOUS, CHAPITRE IX: DISPOSITIONS

ZINYURANYE, IZ’INZIBACYUHO TRANSITIONAL AND FINAL DIVERSES, TRANSITOIRES ET
N’IZISOZA PROVISIONS FINALES
Ingingo ya 64: Urwego rushinzwe gukemura Article 64: Organ in charge of settlement of Article 64: Organe chargé du règlement des
amakimbirane conflicts conflits
Urwego rugenzura ni rwo rwego rushinzwe The supervisory authority is the organ in L’autorité de contrôle est l’organe chargé du
gukemura amakimbirane yavuka afitanye isano charge of settlement of conflicts that may arise règlement des conflits qui peuvent surgir en
n’iri tegeko. in relation to this Law. rapport avec la présente loi.
Icyakora, umuntu utishimiye ikemurwa However, a person who is not satisfied with the Toutefois, une personne qui n’est pas satisfaite
ry’amakimbirane avugwa mu gika cya mbere settlement of conflicts referred to in Paragraph du règlement des conflits visés à l’alinéa
cy’iyi ngingo ashobora kuregera urukiko one of this Article may file a case with the premier du présent article peut saisir la
rubifitiye ububasha. competent court. juridiction compétente.
Ingingo ya 65: Uburenganzira bwo kuregera Article 65: Right to claim for compensation Article 65: Droit à la compensation
indishyi
Umuntu wagizweho ingaruka zikomeye A person who suffers serious damage due to Une personne qui subit un dommage grave en
n’ibikorwa by’umugenzuzi w’amakuru cyangwa acts of a data controller or a data processor in raison des actes du responsable du traitement ou
utunganya amakuru utubahirije iri tegeko afite violation of this Law has the right to claim for du sous-traitant en violation de la présente loi
uburenganzira bwo kuregera indishyi mu rukiko compensation with a competent court. peut introduire une demande en compensation
rubifitiye ububasha. devant la juridiction compétente.
Icyakora, umugenzuzi w'amakuru cyangwa However, the data controller or the data Toutefois, le responsable du traitement ou le
utunganya amakuru ntibaryozwa igihombo processor is exempt from liability if he or she sous-traitant est exonéré de responsabilité s'il
cyabaye iyo bigaragaye ko nta ruhare proves that he or she was not responsible for prouve qu’il n’est pas responsable du
babigizemo. the damage. dommage.
79
Ingingo ya 66: Ububasha bwo gushyiraho Article 66: Power to put in place regulations Article 66: Pouvoir d’établir des règlements
amabwiriza
Urwego rubifitiye ububasha, mu mikoranire The competent authority may, in conjunction L’autorité compétente peut, conjointement
n'urwego rugenzura, rushobora gushyiraho with the supervisory authority, put in place avec l’autorité de contrôle, établir d’autres
amabwiriza yihariye agenga kurinda amakuru other sector-specific regulations governing the réglementations spécifiques régissant la
bwite n’imibereho bwite bya nyiri ubwite. protection of personal data and privacy. protection des données à caractère personnel et
de la vie privée.
Ayo mabwiriza avugwa mu gika cya mbere The regulations referred to in Paragraph One Les réglementations visées à l’alinéa premier
cy’iyi ngingo agomba kubahiriza ibiteganywa of this Article must comply with the provisions du présent article doivent respecter les
n’iri tegeko. of this Law. dispositions de la présente loi.
Ingingo ya 67: Igihe cy’inzibacyuho Article 67: Transitional period Article 67: Période transitoire
Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor who is Le responsable du traitement ou le sous-traitant
amakuru usanzwe ukora, ahawe igihe kitarenze already in operation has a period not exceeding qui est déjà en exploitation, dispose d’un délai
imyaka ibiri (2) uhereye igihe iri tegeko two (2) years from the date of publication of this ne dépassant pas deux (2) ans à partir de la date
ritangarijweho mu Igazeti ya Leta ya Repubulika Law in the Official Gazette of the Republic of de publication de la présente loi au Journal
y’u Rwanda kugira ngo ahuze ibikorwa bye Rwanda to conform his or her operations to the Officiel de la République du Rwanda pour
n’ibiteganywa n’iri tegeko. provisions of this Law. conformer ses opérations aux dispositions de la
présente loi.
Ingingo ya 68: Itegurwa, isuzumwa n’itorwa Article 68: Drafting, consideration and Article 68: Initiation, examen et adoption de
by’iri tegeko adoption of this Law la présente loi
Iri tegeko ryateguwe mu rurimi rw’Icyongereza, This Law was drafted in English, considered La présente loi a été initiée en anglais, examinée
risuzumwa kandi ritorwa mu rurimi and adopted in Ikinyarwanda. et adoptée en Ikinyarwanda.
rw’Ikinyarwanda.
80
Ingingo ya 69: Ivanwaho ry’ingingo Article 69: Repealing provision Article 69: Disposition abrogatoire
zinyuranyije n’iri tegeko
Ingingo zose z’amategeko abanziriza iri kandi All prior legal provisions contrary to this Law Toutes les dispositions légales antérieures
zinyuranye na ryo zivanyweho. are repealed. contraires à la présente loi sont abrogées.
Ingingo ya 70: Igihe iri tegeko ritangira Article 70: Commencement Article 70: Entrée en vigueur
gukurikizwa
Iri tegeko ritangira gukurikizwa ku munsi This Law comes into force on the date of its La présente loi entre en vigueur le jour de sa
ritangarijweho mu Igazeti ya Leta ya publication in the Official Gazette of the publication au Journal Officiel de la République
Repubulika y’u Rwanda. Republic of Rwanda. du Rwanda.
81
Kigali, 13/10/2021
(sé)
KAGAME Paul
Perezida wa Repubulika
President of the Republic
Président de la République
(sé)
Dr NGIRENTE Edouard
Minisitiri w’Intebe
Prime Minister
Premier Ministre
Bibonywe kandi bishyizweho Ikirango cya Repubulika:

Seen and sealed with the Seal of the Republic:
Vu et scellé du Sceau de la République:
(sé)
Dr UGIRASHEBUJA Emmanuel
Minisitiri w’Ubutabera akaba n’Intumwa Nkuru ya Leta
Minister of Justice and Attorney General
Ministre de la Justice et Garde des Sceaux
82

Law Relating To The Protection of Personal Data and Privacy

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Law Relating To The Protection of Personal Data and Privacy

Transféré par

Droits d'auteur :

Formats disponibles

Official Gazette n° Special of 15/10/2021

Umwaka wa 60 Year 60 60ème Année

A. Itegeko/ Law/ Loi

N° 058/2021 ryo ku wa 13/10/2021

ISHAKIRO TABLE OF CONTENTS TABLE DES MATIERES

UMUTWE WA MBERE: INGINGO CHAPTER ONE: GENERAL CHAPITRE PREMIER: DISPOSITIONS

Ingingo ya 3: Ibisobanuro by’amagambo Article 3: Definitions Article 3: Définitions

UMUTWE WA V: IYANDIKWA CHAPTER V: REGISTRATION OF A CHAPITRE V: ENREGISTREMENT DU

BWITE CARACTÈRE PERSONNEL

UMUTWE WA IX: INGINGO CHAPTER IX: MISCELLANEOUS, CHAPITRE IX : DISPOSITIONS

Twebwe, KAGAME Paul, We, KAGAME Paul, Nous, KAGAME Paul,

INTEKO ISHINGA AMATEGEKO: THE PARLIAMENT: LE PARLEMENT:

YEMEJE: ADOPTS: ADOPTE:

UMUTWE WA MBERE: INGINGO CHAPTER ONE: GENERAL CHAPITRE PREMIER: DISPOSITIONS

Ingingo ya 3: Ibisobanuro by’amagambo Article 3: Definitions Article 3: Définitions

n’abatunganya amakuru banditse;

personnel telles que prévues par la présente

1° amakuru yakusanyijwe; 1° data collected; 1° les données collectées;

ibiteganywa n’iri tegeko; this Law; dispositions de la présente loi;

UMUTWE WA V: IYANDIKWA CHAPTER V: REGISTRATION OF THE CHAPITRE V: ENREGISTREMENT DU

3° igenzura ry’ahantu nyabagendwa 3° a systematic monitoring of a publicly 3° de la surveillance systématique à grande

vogerwa; adverse effects; éventuelles conséquences négatives;

UMUTWE WA VII: GUHANAHANA, CHAPTER VI: SHARING, TRANSFER, CHAPITRE VI : PARTAGE,

5° kurinda umutekano w’Igihugu; 5° protecting national security; 5° protéger la sécurité nationale;

aba akoze ikosa. commits a misconduct. commet une faute.

aba akoze icyaha. commits an offence. commet une infraction.

UMUTWE WA IX: INGINGO CHAPTER IX: MISCELLANEOUS, CHAPITRE IX: DISPOSITIONS

Bibonywe kandi bishyizweho Ikirango cya Repubulika:

Vous aimerez peut-être aussi