LAW Nº 058/2021 OF 13/10/2021 RELATING TO THE PROTECTION OF PERSONAL DATA AND PRIVACY

Ingingo ya mbere: Icyo iri tegeko rigamije Article One: Purpose of this Law Article premier: Objet de la présente loi Ingingo ya mbere: Icyo iri tegeko rigamije Article One: Purpose of this Law Article premier: Objet de la présente loi Iri tegeko rigamije kurinda amakuru bwite n’imibereho bwite by’umuntu, rikagena kandi imitunganyirize yayo. This Law aims at the protection of personal data and privacy and determines their processing. La présente loi vise à protéger les données à caractère personnel et la vie privée et détermine leur traitement.

Ingingo ya 2: Ibirebwa n’iri tegeko Article 2: Scope of this Law Article 2: Champ d’application de présente loi la Ingingo ya 2: Ibirebwa n’iri tegeko Article 2: Scope of this Law Article 2: Champ d’application de présente loi la Iri tegeko rireba: This Law applies to: La présente loi s’applique: 1° itunganywa ry’amakuru bwite hifashishijwe uburyo bw’ikoranabuhanga cyangwa ubundi buryo bwite anyuzwa mu mashini koranabuhanga yikoresha cyangwa itikoresha; hakoreshejwe amakuru 1° the processing of personal data by electronic or other means using personal data through an automated or non- automated platform; 1° au traitement de données à caractère personnel par voie électronique ou autre en utilisant des données à caractère personnel à travers une plate-forme automatisée ou non automatisée; 2° umugenzuzi w’amakuru, utunganya 2° the data controller, the data processor or 2° au responsable du traitement, au sous- amakuru cyangwa undi muntu: a third party who: traitant ou à un tiers: a) ufite icyicaro cyangwa utuye mu a) is established or resides in Rwanda a) qui est établi ou installé au Rwanda et 12 Official Gazette n° Special of 15/10/2021 Rwanda kandi utunganya amakuru bwite mu Rwanda; b) udafite icyicaro cyangwa udatuye mu Rwanda, ariko utunganya amakuru bwite ya ba nyiri ubwite bari mu Rwanda. and processes personal data while in Rwanda; b) is neither established nor resides in Rwanda, but processes personal data of data subjects located in Rwanda. qui traite des données à caractère personnel au Rwanda; b) qui n’est ni établi ni résidant au Rwanda, mais qui traite des données à caractère personnel des personnes concernées situées au Rwanda.

Ingingo ya 3: Ibisobanuro by’amagambo Article 3: Definitions Article 3: Définitions UMUTWE WA AMAKURU BWITE N’IREME RYAYO II: GUTUNGANYA CHAPTER QUALITY OF PERSONAL DATA II: PROCESSING AND CHAPITRE QUALITÉ CARACTÈRE PERSONNEL II: TRAITEMENT ET À DE DONNÉES Icyiciro cya mbere: Gutunganya amakuru bwite Section One: Processing of personal data Section première: Traitement des données à caractère personnel Ingingo ya 3: Ibisobanuro by’amagambo Article 3: Definitions Article 3: Définitions Muri iri tegeko, amagambo akurikira afite ibisobanuro bikurikira: In this Law, the following terms have the following meanings: Aux fins de la présente loi, les termes suivants ont les significations suivantes : butaziguye, 1° amakuru bwite: amakuru ayo ari yo yose yerekeye umuntu ku giti cye uzwi cyangwa ushobora kumenyekana, mu buryo buziguye by'umwihariko cyangwa hashingiwe ku kimuranga nk'izina, nimero imuranga, aho aherereye, ikimuranga mu buryo koranabuhanga cyangwa hashingiwe ku kintu kimwe cyangwa byinshi byihariye biranga we, imitekerereze ye, inkomoko ye, ubuzima bwe bwo mu mutwe, ubukungu, umuco cyangwa imibereho y'uwo muntu ku giti cye; y'umubiri imiterere 1° personal data: any information relating to an identified or identifiable natural person who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, identification number, location data, an online identifier or to one or more factors specific to the physical, genetic, psychological, mental, economic, cultural or social identity of that natural person; an identifiée, directement 1° données à caractère personnel: toute information se rapportant à une personne physique identifiée ou identifiable qui peut ou être indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro de des d’identification, localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à identité physique, psychologique, son économique, génétique, culturelle ou sociale; psychique, données isanomuzi 2° amakuru bwite y’ibanga: amakuru agaragaza uko ubuzima bwe buhagaze, ko yafunzwe cyangwa atafunzwe, dosiye ye yo kwa muganga, inkomoko ye mu muryango, imyemerere ye ishingiye ku idini cyangwa y’umuntu, 2° sensitive personal data: information revealing a person’s race, health status, criminal records, records, medical social origin, religious or philosophical beliefs, political opinion, genetic or biometric information, sexual life or 2° données à caractère personnel sensibles: informations race d’une révélant personne, son état de santé, son casier judiciaire, son dossier médical, son origine sociale, ses convictions religieuses ou philosophiques, son opinion politique, ses la 13 ibitekerezo bye bya ku mitekerereze, politiki, amakuru ndangasano cyangwa ay’imiterere ye, ay’ubuzima bw’imibonano mpuzabitsina umwirondoro cyangwa w’umuryango; Official Gazette n° Special of 15/10/2021 family details; données génétiques ou biométriques, sa vie sexuelle ou détails sur sa famille; 3° guhisha imisomere y’amakuru: uburyo tekiniki bukoreshwa mu gutuma bwa ibikubiye mu makuru bidasomeka k’uwo ariwe wese atagenewe; 3° encryption: technical method used to render the content of data unreadable to any person who is not authorised to access it; 3° chiffrement: méthode technique utilisée le contenu des données pour rendre illisibles pour toute personne qui n’est pas autorisée à y avoir accès; 4° gutunganya amakuru bwite: harimo kugera, igikorwa kimwe cyangwa ibikorwa byinshi, bikozwe ku makuru bwite hakoreshejwe uburyo bw’ikoranabuhanga bwikoresha cyangwa kubona, butikoresha, gukusanya, kwandika, kunoza, kubika, guhuza cyangwa guhindura, kugarura, gusubiza, guhisha, kwifashisha, gukoresha, kumenyesha amakuru yerekeye umuntu ku giti cye ahererekanijwe, kuyahanahana, kuyahererekanya kuyatanga, kuyagurisha, kubuza imikoreshereze yayo, gusiba cyangwa gusenya; cyangwa 5° igitabo cyandikwamo abagenzuzi b’amakuru n’abatunganya amakuru: uburyo inyandiko bw’ikoranabuhanga bwo kubika amakuru b’amakuru arebana n’abagenzuzi cyangwa 4° processing of personal data: an operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as access to, obtaining, recording, collection, structuring, storage, adaptation or reconstruction, alteration, concealment, use, disclosure by transmission, sharing, transfer, otherwise making available, sale, restriction, erasure or destruction; consultation, retrieval, or tels que 4° traitement de données à caractère personnel: une opération ou un ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, l’accès, l’obtention, la collecte, l’enregistrement, la structuration, la conservation, l’adaptation la ou la reconstitution, la consultation, le communication par la mise à partage, le disposition, limitation, la l’effacement ou la destruction; l’extraction, dissimulation, transfert ou la vente, la modification, transmission, l’utilisation, la 5° register of data controllers and data processors: a records physical or electronic of registered data controllers and data processors; system of 14 5° registre de responsables du traitement et système sous-traitants: de ou d’enregistrements électroniques du traitement et des sous-traitants enregistrés; physiques responsables des n’abatunganya amakuru banditse; Official Gazette n° Special of 15/10/2021 6° imibereho bwite y’umuntu: uburenganzira bw’ibanze bw’umuntu bwo kwemeza undi muntu ushobora kubona amakuru bwite ye, impamvu igihe ayabona yayabona, uburyo ngo n’uburyo agerweho; n’ahantu yayabonera, akoresha bwakoreshwa kugira 7° ingaruka zikomeye: zifite uburemere nk’izo mu rwego rw’amategeko zihungabanya nyiri ubwite ku myitwarire cyangwa amahitamo ye; ingaruka 8° ingaruka zo mu rwego rw’amategeko: ingaruka imibereho zihungabanya y’umuntu n’uburenganzira bwe ahabwa n’amategeko; 9° insimburamakuru: uburyo bwo gusimbuza amakuru y’ibanga ibimenyetso ndangamakuru byihariye bibika ibisobanuro by’ingenzi amakuru byerekeye bitabangamiye umutekano wayo; 6° privacy: a fundamental right of a person to decide who can access his or her personal data, when, where, why and how his or her personal data can be accessed; 6° vie privée: droit fondamental d’une personne de décider qui peut accéder à ses données à caractère personnel, quand, où, pourquoi et comment elles peuvent être accessibles; 7° significant consequences: effects that are as similarly significant in their impact as that adversely affect a data subject’s behaviour or choices; legal effects and 7° conséquences significatifs: conséquences ayant un impact aussi significatif que les effets juridiques qui affectent négativement le comportement et les choix d’une personne concernée; 8° legal consequences: that adversely affect a person’s legal status or his/her legal rights; effects 9° tokenisation: the process of replacing unique sensitive identification symbols that retain all the essential information about the data without compromising its security; with data 8° conséquences juridiques: conséquences qui affectent négativement le statut juridique d’une personne ou ses droits légaux; 9° tokenisation: processus de remplacement de données sensibles par des symboles d’identification uniques qui conservent toutes les informations essentielles sur les données sans compromettre leur sécurité; 10° inyungu z’ingenzi: inyungu zifitanye isano n’ubuzima cyangwa urupfu bya nyiri ubwite; 10° vital interests: interests linked to life 10° intérêts vitaux: intérêts liés à la vie ou au or death of data subject; décès de la personne concernée; 11° ishusho y’amakuru: uburyo bwikoresha 11° profiling: form of automated 11° profilage: forme de traitement automatisé 15 gusesengura bwo gutunganya amakuru bwite butuma hifashishwa amakuru bwite mu gusuzuma imiterere imwe n’imwe iranga umuntu, by’umwihariko mu no guteganya imiterere iranga imikorere y’uwo muntu mu kazi, uko ahagaze mu rwego rw’ubukungu, ubuzima bwe, ibyo akunda kurusha ibindi, inyungu ze, uburyo yizerwa, imyitwarire ye, aho aherereye cyangwa ingendo akora; Official Gazette n° Special of 15/10/2021 processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to a natural person, in particular to analyse and predict aspects concerning that natural person’s performance at work, economic situation, health, personal reliability, interests, preferences, behaviour, location or movements; de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser et prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique; 12° kwandika icyakozwe ku makuru bwite: uburyo bwo kubika ibikorwa byakozwe mu itunganwa ry’amakuru bwite mu gihe runaka hagamijwe kubikurikirana no kubigenzura uburyo koranabuhanga bwikoresha; hifashishijwe 12° personal data logging: the process of recording personal data processing activities over a period of time for the purpose of event monitoring and auditing in an automated processing system; 12° enregistrement des données à caractère personnel: processus d’enregistrement des activités de traitement des données pendant une période donnée aux fins de contrôle et d’audit des événements dans un système de traitement automatisé; 13° kuvogera amakuru bwite: igikorwa cyo kuvogera umutekano w’amakuru bwite mu buryo bunyuranyije n’amategeko gituma amakuru yangirika, atakara, ahinduka, atangazwa mu buryo butemewe cyangwa abantu bwite babona yahererekanyijwe, cyangwa yatunganyijwe mu bundi buryo; amakuru abitse 13° personal data breach: a breach of personal data security to unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed; leading 13° violation de données à caractère personnel: violation de la sécurité de données à caractère personnel entraînant, de manière illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données; 14° kuyoberanya gutunganya amakuru: amakuru bwite ku buryo aba atakibashije kwitirirwa wihariye hadakoreshejwe ibisobanuro by’inyongera ubwite nyiri 14° pseudonymisation: the processing of personal data in such a manner that the data can no longer be attributed to a specific data subject without the use of 14° pseudonymisation: traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir 16 bibitswe ukwabyo; additional information kept separately; Official Gazette n° Special of 15/10/2021 15° nyiri ubwite: umuntu ku giti cye amakuru bwite akomokaho cyangwa uwo amakuru bwite yasabwe, akanatunganywa; 15° data subject: a natural person from whom or in respect of whom, personal data has been requested and processed; recours à des informations supplémentaires conservées séparément; 15° personne concernée: personne physique en provenance de laquelle ou au sujet de laquelle les données à caractère personnel ont été demandées et traitées; 16° ugenewe amakuru: umuntu ku giti cye, ikigo cya Leta cyangwa icy’abikorera cyangwa urwego bifite ubuzimagatozi bitangarizwa amakuru bwite; 16° recipient: a natural person, a public or private corporate body or legal entity to which the personal data are disclosed; 16° destinataire: personne physique, personne morale publique ou privée ou entité juridique qui reçoit la communication de données à caractère personnel; 17° ukoresha: umuntu ku giti cye, ikigo cya Leta cyangwa icy’abikorera cyangwa urwego bifite ubuzimagatozi bikoresha cyangwa bisaba serivisi yo gutunganya amakuru bwite; 18° ukwemera kwa nyiri ubwite: kugaragaza mu bwisanzure ibyifuzo bya nyiri ubwite nta gahato bishingiye ku bisobanuro yahawe bitarimo urujijo, yumvikanisha akoresheje imvugo, uburyo bw’inyandiko cyangwa bw’ikoranabuhanga igikorwa kigaragara kandi gisobanutse ko yemeye itunganywa ry’amakuru bwite; cyangwa 17° user: a natural person, a public or private corporate body or a legal entity, who uses or who requests personal data processing service; specific, informed 18° consent of the data subject: freely given, and unambiguous indication of the data subject’s wishes by which he or she, by an oral, written or electronic statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her; 17° utilisateur: personne physique, personne morale publique ou privée ou entité juridique utilisant ou demandant un service de traitement de données à caractère personnel; 18° consentement de la personne concernée: manifestation de volonté libre, spécifique, éclairée et univoque par la personne concernée accepte oralement, par écrit ou par voie électronique ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement; laquelle 19° umugenzuzi w’amakuru: umuntu ku giti cye, ikigo cya Leta cyangwa icy’abikorera cyangwa urwego bifite ubuzimagatozi, habaho cyangwa hatabaho ubufatanye, 19° data controller: natural person, public or private corporate body or legal entity which, alone or jointly with others, processes personal data and determines 19° responsable du traitement: personne physique ou morale ou entité juridique qui, seule ou conjointement avec d’autres, traite les données à caractère personnel et 17 bitunganya amakuru bwite kandi bikagena uburyo bwo kuyatunganya; 20° umuntu: umuntu ku giti cye, ikigo cya Leta cyangwa icy’abikorera cyangwa urwego bifite ubuzimagatozi; 21° undi muntu: umuntu ku giti cye, ikigo cya Leta cyangwa icy’abikorera cyangwa urwego bifite ubuzimagatozi bitari nyiri ubwite, umugenzuzi w’amakuru, utunganya bagenzurwa amakuru n’umugenzuzi w’amakuru bemerewe gutunganya amakuru bwite; n’abantu 22° urwego rubifitiye ububasha: ubuyobozi mu nzego zitandukanye bushinzwe kugenzura iyubahirizwa ry’amategeko muri n’urwego urwo rugenzura; bufatanyije rwego Official Gazette n° Special of 15/10/2021 the means of their processing; détermine les moyens de leur traitement; 20° person: natural person, corporate body 20° personne: personne physique, personne or legal entity; morale ou entité juridique; 21° third party: natural person, corporate body or legal entity other than the data subject, the data controller, the data processor and persons who, under the authority of the data controller, are authorised to process personal data; 22° competent authority: sectoral authority responsible for overseeing sector-specific in supervisory conjunction with authority; compliance the 21° tiers: personne physique, personne morale publique ou privée ou entité juridique autre que la personne concernée, le responsable du les personnes qui, placées sous l’autorité du responsable du traitement, sont autorisées à traiter les données à caractère personnel; le sous-traitant et traitement, 22° autorité compétente: autorité sectorielle chargée de contrôler la conformité sectorielle spécifique conjointement avec l’autorité de contrôle; 23° urwego rugenzura: urwego rw’Igihugu umutekano nshingano mu rufite mu w’ibijyanye Itangazabumenyi n’Itumanaho; n’Ikoranabuhanga 23° supervisory authority: a public authority in charge of cyber security; 23° autorité de contrôle: autorité publique ayant la cybersécurité dans ses attributions; 24° utunganya amakuru: umuntu ku giti cye, icy’abikorera ikigo cya Leta cyangwa cyangwa urwego bifite ubuzimagatozi byemerewe gutunganya amakuru bwite mu izina ry’umugenzuzi w’amakuru. 24° data processor: natural person, public or private corporate body or legal entity, which is authorised to process personal data on behalf of the data controller. 18 24° sous-traitant: personne physique, personne morale publique ou privée ou entité juridique autorisée à traiter des données à caractère personnel pour le compte du responsable du traitement. Official Gazette n° Special of 15/10/2021 UMUTWE WA AMAKURU BWITE N’IREME RYAYO II: GUTUNGANYA CHAPTER QUALITY OF PERSONAL DATA II: PROCESSING AND CHAPITRE QUALITÉ CARACTÈRE PERSONNEL II: TRAITEMENT ET À DE DONNÉES Icyiciro cya mbere: Gutunganya amakuru bwite Section One: Processing of personal data Section première: Traitement des données à caractère personnel

Ingingo ya 4: Kwemererwa gutunganya amakuru bwite Article 4: Authorisation to process personal data Article 4: Autorisation de traitement de données à caractère personnel Ingingo ya 4: Kwemererwa gutunganya amakuru bwite Article 4: Authorisation to process personal data Article 4: Autorisation de traitement de données à caractère personnel ry’amakuru Itunganywa rikorwa n’utunganya amakuru rigengwa n’amasezerano yanditse akorwa hagati y’utunganya amakuru n’umugenzuzi w’amakuru. bwite amakuru abikora mu izina Utunganya ry’umugenzuzi w’amakuru hashingiwe ku masezerano yanditse avugwa mu gika cya mbere cy’iyi ngingo. Umugenzuzi w’amakuru atanga uburenganzira bwo gutunganya amakuru bwite k’utunganya amakuru ufite ibyangombwa byo gushyira mu bikorwa ingamba zo mu rwego rwa tekiniki n’urw’imitunganyirize iryo tunganywa ibiteganywa n’iri tegeko. ryubahiriza buryo ku The processing of personal data carried out by the data processor is governed by a written contract between the data processor and the data controller. Le traitement de données à caractère personnel effectué par le sous-traitant est régi par un contrat écrit conclu entre le sous-traitant et le responsable du traitement. The data processor processes personal data on behalf of the data controller subject to a written contract referred to in Paragraph One of this Article. Le sous-traitant traite des données à caractère personnel pour le compte du responsable du traitement conformément au contrat écrit visé à l’alinéa premier du présent article. The data controller authorises the data processor who provides sufficient guarantees technical and to organisational measures in such a manner that processing meets the requirements of this Law. implement appropriate Le responsable du traitement autorise le sous- traitant qui offre des garanties suffisantes pour mettre en œuvre des mesures techniques et appropriées organisationnelles telle manière que ce traitement réponde aux conditions de la présente loi. de

Ingingo ya 5: Imibereho bwite ya nyiri ubwite Article 5: Privacy of the data subject Article 5: Vie privée de concernée la personne 2 Official Gazette n° Special of 15/10/2021 Ingingo ya 5: Imibereho bwite ya nyiri ubwite Article 5: Privacy of the data subject Article 5: Vie privée de concernée la personne Umugenzuzi w’amakuru, utunganya amakuru The data controller, the data processor or a third Le responsable de traitement, le sous-traitant ou 19 Official Gazette n° Special of 15/10/2021 cyangwa undi muntu atunganya amakuru bwite mu buryo butabangamira imibereho bwite ya nyiri ubwite. party processes personal data in a manner which does not infringe on the privacy of the data subject. un tiers traite les données à caractère personnel d’une manière qui ne porte pas atteinte à la vie privée de la personne concernée.

Ingingo ya 6: Ukwemera kwa nyiri ubwite Article 6: Consent of the data subject Article 6: Consentement de la personne concernée Ingingo ya 6: Ukwemera kwa nyiri ubwite Article 6: Consent of the data subject Igihe gutunganya amakuru bwite bishingiye k’ukwemera kwa nyiri ubwite, nyiri ubwite agaragaza ko yemera ko amakuru bwite amwerekeye atunganywa hagamijwe intego yihariye. Where the processing of personal data is based on the consent of the data subject, data subject demonstrates that he or she has consented to the processing of his or her personal data for a specified purpose. Ukwemera kwa nyiri ubwite kugira agaciro gusa iyo gushingiye ku cyemezo nyiri ubwite yifatiye mu yo nyuma bwisanzure kumenyeshwa ingaruka z’ukwemera kwe. The consent of the data subject is valid only when it is based on the data subject’s free decision after being the consequences of his or her consent. informed of Article 6: Consentement de la personne concernée Lorsque le traitement de données à caractère personnel se fonde sur le consentement de la personne concernée, cette personne démontre qu’elle a donné son consentement au traitement de données à caractère personnel la concernant dans un but spécifié. Le consentement de la personne concernée n’est valable que s’il est basé sur sa décision libre des avoir conséquences de son consentement. informée après été Ukwemera kwa nyiri ubwite gushobora gukorwa mu mvugo, mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga. The consent of the data subject may be made in oral, written or electronic form. Le consentement de la personne concernée peut être donné oralement, par écrit ou par voie électronique.

Ingingo ya 7: Kugaragaza ibindi bintu mu nyandiko y’ukwemera Article 7: Indication of other matters in the declaration of consent Article 7: Indication d’autres éléments dans la déclaration de consentement Ingingo kwisubiraho kwa nyiri ubwite ya 8: Uburenganzira bwo Ingingo ya 7: Kugaragaza ibindi bintu mu nyandiko y’ukwemera Article 7: Indication of other matters in the declaration of consent Article 7: Indication d’autres éléments dans la déclaration de consentement Inyandiko y’ukwemera kwa nyiri ubwite ikubiyemo ibindi bintu, igomba kugaragaza mu buryo busobanutse ibyo bintu bindi yemeye muri rumwe mu ndimi zemewe mu butegetsi kandi yumva neza. The data subject’s declaration of consent that contains other matters must clearly indicate those other matters to which he or she consents in one of the official languages that is understandable to him or her. la La déclaration de consentement par personne concernée qui contient d’autres questions, doit indiquer clairement ces autres questions auxquelles elle consent dans l’une des langues officielles qu’elle comprend. 20 Official Gazette n° Special of 15/10/2021 Igice cyose cy’inyandiko ivugwa mu gika cya mbere cy’iyi ngingo cyaba kinyuranyije n’ibiteganywa n’iri tegeko nta gaciro kigira. Any part of the declaration referred to in Paragraph One of this Article which constitutes an infringement of the provisions of this Law cannot be binding. Aucune partie de la déclaration visée à l’alinéa premier du présent article qui constitue une violation des dispositions de la présente loi ne peut être contraignante. Ingingo kwisubiraho kwa nyiri ubwite ya 8: Uburenganzira bwo Nyiri ubwite afite uburenganzira bwo kwisubiraho k’ukwemera kwe igihe icyo ari cyo cyose. Ukwisubiraho kwa nyiri ubwite ntibigira ingaruka ku gutunganya amakuru bwite byakozwe mu buryo bwemewe n’amategeko, igihe bishingiye ku kwemera kwakozwe mbere yo kwisubiraho. Ukwisubiraho kwa nyiri ubwite gukorwa mu buryo bworoshye kimwe nk’ubwakoreshejwe yemera.

Article 8: Right of the data subject to withdraw his or her consent Article 8: Droit de la personne concernée de retirer son consentement Article 8: Right of the data subject to withdraw his or her consent Article 8: Droit de la personne concernée de retirer son consentement The data subject has the right to withdraw his or her consent at any time. La personne concernée a le droit de retirer son consentement à tout moment. The withdrawal of consent by the data subject does not affect the lawfulness of processing of personal data based on consent before its withdrawal. Le retrait de consentement par la personne concernée ne compromet pas la licéité du traitement de données personnelles fondé sur le consentement effectué avant ce retrait. The withdrawal of consent by the data subject is as easy as expressing it. Le retrait de consentement par la personne concernée se fait de la manière aussi simple que celle utilisée lors de l’expression de son consentement. Ukwisubiraho kwa nyiri ubwite kugira agaciro uhereye igihe byasabiwe na nyiri ubwite. The withdrawal of consent by the data subject takes effect as of the date on which the data subject applied for it. Le retrait de consentement par la personne concernée prend effet à la date à laquelle la personne concernée en a fait la demande.

Ingingo ya 9: Gutunganya amakuru bwite y’umwana Article 9: Processing a child’s personal data Article 9: Traitement des données à caractère personnel d’un enfant Ingingo ya 9: Gutunganya amakuru bwite y’umwana Article 9: Processing a child’s personal data Article 9: Traitement des données à caractère personnel d’un enfant umugenzuzi w’amakuru, Iyo utunganya amakuru cyangwa undi muntu azi ko ari Where the data controller, the data processor or a third party knows that personal data Lorsque le responsable du traitement, le sous- traitant ou un tiers sait que les données à 21 (16) cumi ay’umwana utarageza ku myaka n’itandatu agomba kubyemererwa n’ufite ububasha bwa kibyeyi kuri uwo mwana hakurikijwe amategeko abigenga. y’amavuko, Haseguriwe ibiteganywa n’andi mategeko, kwemera mu izina ry’umwana byemerwa gusa iyo biri mu nyungu ze. Icyakora, uku kwemera ntigusabwa mu gutunganya amakuru bwite y’umwana iyo ari ngombwa mu rwego rwo kurengera inyungu z’ingenzi z’umwana. Official Gazette n° Special of 15/10/2021 belong to a child under the age of sixteen (16) years, he or she must obtain the consent of a holder of parental responsibility over the child in accordance with relevant Laws. Subject to the provisions of other Laws, the consent obtained on behalf of the child is acceptable only if it is given in the interest of the child. However, the consent is not required to process the child’s personal data if it is necessary for protecting the vital interest of the child. caractère personnel concernent un enfant de moins de seize (16) ans, il doit obtenir le consentement d’un titulaire de la responsabilité parentale à l’égard de l’enfant conformément à la législation en la matière. Sous réserve des dispositions d’autres lois, le consentement obtenu au nom de l’enfant n’est acceptable que s’il est donné dans son intérêt. Toutefois, le consentement n’est pas requis pour traiter les données à caractère personnel d’un enfant si cela est nécessaire pour protéger des intérêts vitaux de l’enfant.

Ingingo ya 10: Impamvu zo gutunganya amakuru bwite y’ibanga Article 10: Grounds for processing sensitive personal data Article 10: Fondements du traitement de données à caractère personnel sensibles Ingingo ya 10: Impamvu zo gutunganya amakuru bwite y’ibanga Article 10: Grounds for processing sensitive personal data Article 10: Fondements du traitement de données à caractère personnel sensibles Umugenzuzi w’amakuru cyangwa utunganya amakuru atunganya amakuru bwite y’ibanga gusa iyo: The data controller or the data processor processes sensitive personal data only if: Le responsable du traitement ou le sous-traitant de données à caractère personnel sensibles ne peut les traiter que si: 1° kuyatunganya bishingiye k’ukwemera kwa 1° the processing is based on the data 1° le traitement est basé sur le consentement nyiri ubwite; subject’s consent; de la personne concernée; 2° kuyatunganya hagamijwe bikenewe inshingano gushyira mu bikorwa iz’utunganya z’umugenzuzi w’amakuru, hubarizwa cyangwa amakuru uburenganzira bwihariye bwa nyiri ubwite hakurikijwe amategeko abigenga; 2° the processing is necessary for the purposes of carrying out the obligations of the data controller, of the data processor or exercising specific rights of the data subject in accordance with relevant Laws; 2° le traitement est nécessaire aux fins de l’exécution des obligations du responsable du traitement, du sous-traitant ou de l’exercice des droits spécifiques de la personne concernée conformément à la législation en la matière; 22 Official Gazette n° Special of 15/10/2021 3° kuyatunganya bikenewe mu rwego rwo kurengera inyungu z’ingenzi za nyiri ubwite cyangwa undi muntu; 3° the processing is necessary to protect the vital interests of the data subject or of any other person; 3° le traitement est nécessaire à la sauvegarde la personne des concernée ou de toute autre personne; intérêts vitaux de 4° kuyatunganya bikenewe mu rwego rw’ubuvuzi bwo kwirinda indwara cyangwa ubuvuzi bw’indwara zikomoka ku murimo, ubuzima rusange nko kwirinda ingorane zikomeye zo mu rw’ubuzima zambukiranya imipaka cyangwa kureba ko hari ibipimo ngenderwaho byo mu rwego rwo hejuru by’ubuziranenge n’umutekano wa serivisi zita ku buzima n’imiti ikoreshwa mu buvuzi cyangwa ibikoresho byo mu buvuzi; rwego 5° kuyatunganya bikenewe mu rwego rwo ishyinguramakuru mu nyungu kunoza rusange mpamvu z’ubushakashatsi mu bumenyi no mu mateka cyangwa z’ibarurishamibare. cyangwa ku 4° the processing is necessary for the purposes of preventive or occupational such as medicine, public health protecting against serious cross-border threats to health or ensuring high standards of quality and safety of health care and of medicinal products or medical devices; 4° le traitement est nécessaire à des fins de médecine préventive ou du travail, de santé publique comme la protection contre les menaces transfrontières graves pour la santé ou la garantie des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou dispositifs médicaux; 5° the processing is necessary for archiving interest or research purposes scientific purposes or statistical purposes. the public historical and in 5° le traitement est nécessaire à des fins archivistiques dans l’intérêt public ou à des fins de recherche scientifique et historique ou à des fins statistiques.

Ingingo ya 11: Ibigomba kubahirizwa mu gutunganya amakuru bwite y’ibanga Article 11: Safeguards to process sensitive personal data Article 11: Garanties pour le traitement des données à caractère personnel sensibles Ingingo ya 11: Ibigomba kubahirizwa mu gutunganya amakuru bwite y’ibanga Article 11: Safeguards to process sensitive personal data Article 11: Garanties pour le traitement des données à caractère personnel sensibles Mu gutunganya amakuru bwite y’ibanga, umugenzuzi w’amakuru cyangwa utunganya amakuru agomba: 1° kubahiriza ibisabwa mu kurinda amakuru bwite cyangwa kugenzura amakuru bwite nk’uko biteganywa n’iri tegeko; When processing sensitive personal data, the data controller or the data processor must: 1° comply with requirements for personal data protection or personal data monitoring as required by this Law; le Lors du traitement de données à caractère personnel responsable du sensibles, traitement ou le sous-traitant doit: 1° respecter les exigences applicables à la protection de données à caractère personnel ou au contrôle de données à caractère 23 Official Gazette n° Special of 15/10/2021 2° kubahiriza ibihe byo kubika amakuru bwite y’ibanga biteganywa n’iri tegeko; 2° comply with applicable retention personal established by this Law; data personnel telles que prévues par la présente loi; sensitive periods 2° respecter les délais de rétention de données à caractère personnel sensibles fixés par la présente loi; 3° gushyiraho ingamba kongerera ubumenyi n’ubushobozi abakozi bafite uruhare mu itunganywa ry’amakuru bwite y’ibanga; zo 3° put in place measures to strengthen capacities of staff involved in the processing of sensitive personal data; 3° mettre en place des mesures de renforcement de capacités du personnel participant au traitement de données à caractère personnel sensibles; 4° gushyiraho ingamba zo kubona amakuru yatunganyijwe cyangwa bwite n’umugenzuzi w’amakuru utunganya amakuru; y’ibanga 4° put in place measures to access sensitive personal data processed by the data controller or the data processor; 4° mettre en place des mesures d’accès aux données à caractère personnel sensibles traitées par le responsable du traitement ou le sous-traitant; rwa 5° gushyira mu bikorwa ingamba zo mu tekiniki n’imitunganyirize rwego zigamije gushyiraho umutekano ukwiye ku ngorane nyiri ubwite ashobora guhura na zo, harimo, aho bikwiye, kubika amakuru bwite y’ibanga mu buryo butandukanye n’ubundi bwoko bw’amakuru, gushyiraho insimburamakuru kuyoberanya amakuru ya nyiri ubwite cyangwa guhisha imisomere y’amakuru. no 5° implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk posed to the data subject, including, where appropriate, storing sensitive personal data separately from other types of data, and applying measures such tokenisation, as pseudonymisation or encryption. 5° mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque posé à la personne concernée, y compris, selon les besoins, le stockage de données à caractère personnel sensibles séparément des autres types de données et l’application de la la pseudonymisation ou le chiffrement. tokenisation,

Ingingo ya 12: Gutunganya amakuru bwite y’uwahamijwe icyaha Article 12: Processing personal data of a convict Article 12: Traitement de données à caractère personnel d’un condamné Ingingo ya 12: Gutunganya amakuru bwite y’uwahamijwe icyaha Article 12: Processing personal data of a convict Article 12: Traitement de données à caractère personnel d’un condamné Gutunganya amakuru bwite y’uwahamijwe Processing personal data of a convict is carried Le traitement de données à caractère personnel 24 Official Gazette n° Special of 15/10/2021 icyaha bikorwa hakurikijwe ibiteganywa n’iri tegeko, bigenzuwe n’urwego rugenzura. out under the supervision of the supervisory authority in accordance with the provisions of this Law. d’un condamné est effectué sous la supervision de l’autorité de contrôle conformément aux dispositions de la présente loi. Umugenzuzi w’amakuru cyangwa utunganya amakuru ashyiraho ingamba ziboneye zo kubahiriza uburenganzira n’ubwisanzure bya nyiri ubwite. The data controller or the data processor puts in place appropriate safeguards to ensure the respect of rights and freedoms of the data subject. Le responsable du traitement ou le sous- traitant met en place des garanties appropriées pour assurer le respect des droits et des libertés de la personne concernée. Article 12 of this Law. to Itsinda ry’ibigo rishobora gushyiraho umukozi umwe ushinzwe kurinda amakuru bwite mu gihe byakoroha ko uwo mukozi aboneka muri buri kigo mu buryo bworoshye. A group of undertakings may appoint a single personal data protection officer provided that the data protection officer is easily accessible from each establishment. Iyo umugenzuzi w’amakuru cyangwa utunganya amakuru ari ikigo cyangwa urwego rwa Leta, umwe hashobora ushinzwe kurinda amakuru bwite mu bigo cyangwa inzego za Leta, hitawe ku miterere n’ingano yabyo. gushyirwaho umukozi Where the data controller or the data processor is a public authority or body, a single personal data protection officer may be designated for several such authorities or bodies, taking account of their organizational structure and size. 54 2° les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement des données à caractère personnel qui, du fait de leur nature, de leur portée ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées; 3° les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l'article 10 de la présente loi et de données à caractère personnel relatives à des condamnations pénales visées à l'article 12 de la présente loi. Un groupe d'entreprises peut désigner un seul délégué à la protection des données à caractère personnel à condition qu'un tel délégué soit facilement joignable à partir de chaque lieu d'établissement. Lorsque le responsable du traitement ou le sous- traitant est une autorité publique ou un la organisme public, un seul délégué à protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille. ngingo, Mu bihe bitari ibivugwa mu gika cya mbere cy’iyi umugenzuzi w’amakuru, utunganya amakuru, amashyirahamwe cyangwa ibindi bigo bihagarariye ibyiciro by’abagenzuzi b’amakuru cyangwa abatunganya amakuru bashobora gushyiraho umukozi ushinzwe kurinda ku bwite biteganywa n’iri tegeko. hashingiwe amakuru Official Gazette n° Special of 15/10/2021 In cases other than those referred to in Paragraph one of this Article, the data controller or the data processor or associations and other bodies categories of data controllers or data processors may designate a personal data protection officer in accordance with the provisions of this Law. representing hashingiwe Umukozi ushinzwe kurinda amakuru bwite ashyirwaho bushobozi bw’umwuga, ubuzobere mu bijyanye no kurinda amakuru bwite, imikorere n’ubushobozi bwo kuzuza inshingano ze. ku of professional The data protection officer is designated on the basis expert knowledge of personal data protection, practices and the ability to fulfil the tasks assigned to him or her. qualities, Umukozi ushinzwe kurinda amakuru bwite ashobora kuba umukozi uhoraho w’umugenzuzi w’amakuru cyangwa w’utunganya amakuru, cyangwa umuntu ugengwa n’amasezerano y’umurimo. The personal data protection officer may be a permanent staff member of the data controller or the data processor, or a person who fulfils the tasks on the basis of a service contract. Dans les cas autres que ceux visés à l’alinéa premier du présent article, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous- traitants peuvent désigner un délégué à la protection des données à caractère personnel en vertu des dispositions de la présente loi. Le délégué à la protection des données à caractère personnel est désigné sur la base de ses qualités professionnelles, ses connaissances spécialisées en matière de protection des données à caractère personnel, ses pratiques et sa capacité à accomplir ses attributions. Le délégué à la protection des données à caractère personnel peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou une personne qui exerce ses attributions sur la base d'un contrat de service. Umugenzuzi w’amakuru cyangwa utunganya amakuru bagomba gutangaza umwirondoro w’umukozi ushinzwe kurinda amakuru bwite kandi bakawumenyesha urwego rugenzura. The data controller or the data processor must publish the contact details of the personal data protection officer and communicate them to the supervisory authority. Le responsable du traitement ou le sous-traitant doivent publier les coordonnées du délégué à la protection des données à caractère personnel et les communiquer à l'autorité de contrôle.

Ingingo ya 13: Gutunganya amakuru bwite bidasaba umwirondoro wa nyiri ubwite Article 13: Processing of personal data which does not require data subject’s identification Article 13: Traitement de données à caractère personnel ne nécessitant pas l’identification de la personne concernée Ingingo ya 13: Gutunganya amakuru bwite bidasaba umwirondoro wa nyiri ubwite Article 13: Processing of personal data which does not require data subject’s identification Article 13: Traitement de données à caractère personnel ne nécessitant pas l’identification de la personne concernée amakuru Iyo impamvu zituma umugenzuzi w’amakuru cyangwa utunganya atunganya amakuru bwite zidasaba cyangwa zitagisaba umwirondoro wa nyiri ubwite, umugenzuzi w’amakuru cyangwa utunganya amakuru ntategetswe kubika, kwakira cyangwa gucunga amakuru y’inyongera kugira ngo hamenyekane nyiri ubwite ku mpamvu yonyine yo kubahiriza iri tegeko. umugenzuzi w’amakuru Iyo cyangwa utunganya amakuru adashoboye kumenya umwirondoro wa nyiri ubwite kubera ihindurwa ry’amakuru bwite ye, abimumenyesha mu buryo cyangwa bw’inyandiko bw’ikoranabuhanga, iyo bibaye ngombwa. If the purposes for which the data controller or the data processor processes personal data do not or no longer require the identification of the data subject, the data controller or the data processor is not obliged to maintain, acquire or process additional information in order to identify the data subject for the sole purpose of complying with this Law. In case the data controller or the data processor is unable to identify the data subject because of the alteration of his or her personal data, the data controller informs the data subject in writing or electronically, if necessary. Si les finalités pour lesquelles des données à caractère personnel sont traitées n’imposent pas responsable du ou n’imposent plus au traitement ou au sous-traitant d’identifier une personne concernée, celui-ci n’est pas tenu de traiter des conserver, d’obtenir ou de informations supplémentaires pour identifier la personne concernée à la seule fin de respecter la présente loi. Lorsque le responsable du traitement ou le sous-traitant n’est pas en mesure d’identifier la personne concernée à cause de l’altération de ses données à caractère personnel, il en informe la personne concernée par écrit ou par voie électronique, si nécessaire. Icyakora, uburenganzira nyiri ubwite, bwe, atanga hubahirijwe amakuru However, the data subject, with respect to his or her rights, provides additional information Toutefois, la personne concernée, dans le respect de ses droits, fournit des informations 25 Official Gazette n° Special of 15/10/2021 y’inyongera umenyekana. atuma umwirondoro we enabling his or her identification.

Ingingo ya 14: Inkomoko y’amakuru bwite Article 14: Source of personal data Article 14: Source des données à caractère personnel Icyiciro cya 2: Ireme ry’amakuru bwite n’inyandiko z’amakuru bwite Section 2: Quality of personal data and records of personal data Section 2: Qualité et documents de données à caractère personnel Ingingo ya 14: Inkomoko y’amakuru bwite Article 14: Source of personal data complémentaires l’identifier. qui permettent de Article 14: Source des données à caractère personnel Umugenzuzi w’amakuru cyangwa utunganya amakuru asaba nyiri ubwite amakuru bwite ye mu buryo butaziguye. The data controller or the data processor requests personal data directly from the data subject. Le responsable du traitement ou le sous-traitant demande les données à caractère personnel directement à la personne concernée. Icyakora, umuntu ashobora gukusanya amakuru bwite ayakuye ku wundi muntu, ahandi hantu cyangwa ku rwego rwa Leta iyo: However, a person can collect personal data from another person, another source or a public institution if: Toutefois, une personne peut collecter les données à caractère personnel auprès d’une autre personne, d’une autre source ou d’une institution publique si: 1° amakuru bwite afunguriwe rubanda; 1° the personal data is open to the public; 1° les données à caractère personnel sont 2° nyiri ubwite yashyize ayo makuru bwite 2° the data subject has deliberately made mu ruhame ku bushake; the personal data public; ouvertes au public; 2° la personne concernée a délibérément rendu publiques les données à caractère personnel; 3° nyiri ubwite yemeye ko amakuru bwite akusanywa aturutse ahandi hantu; 3° the data subject has consented to the from collection of personal data another source; 3° la personne concernée a consenti à la collecte des données à caractère personnel auprès d’une autre source; 4° gukusanya amakuru bwite aturutse ahandi hantu byubahirije ibiteganywa n’iri tegeko. 4° the collection of the personal data from another source complies with the provisions of this Law. 4° la collecte des données à caractère personnel auprès d’une autre source est conforme aux dispositions de la présente loi. 26 Official Gazette n° Special of 15/10/2021 Icyiciro cya 2: Ireme ry’amakuru bwite n’inyandiko z’amakuru bwite Section 2: Quality of personal data and records of personal data Section 2: Qualité et documents de données à caractère personnel

Ingingo ya 15: Ireme ry’amakuru bwite Article 15: Quality of personal data Article 15: Qualité de données à caractère 3 Official Gazette n° Special of 15/10/2021 personnel Ingingo ya 15: Ireme ry’amakuru bwite Article 15: Quality of personal data Article 15: Qualité de données à caractère personnel Umugenzuzi w’amakuru cyangwa utunganya amakuru agenzura ko amakuru bwite yuzuye, ari yo, ajyanye n’igihe kandi adatera urujijo hakurikijwe ikigamijwe mu kuyatunganya. The data controller or the data processor ensures that the personal data is complete, accurate, kept up to date and not misleading having regard to the purposes for which they are processed. Le responsable du traitement ou le sous-traitant veille à ce que les données à caractère personnel soient complètes, exactes, tenues à jour et non trompeuses eu égard aux finalités pour lesquelles elles sont traitées.

Ingingo ya 16: Kwandika icyakozwe ku makuru bwite Article 16: Personal data logging Article 16: Enregistrement de données à caractère personnel Ingingo ya 16: Kwandika icyakozwe ku makuru bwite Article 16: Personal data logging Article 16: Enregistrement de données à caractère personnel Umugenzuzi w’amakuru cyangwa utunganya amakuru yandika icyakozwe cyose ku makuru bwite nibura mu bikorwa bikurikira: The data controller or the data processor ensures personal data logging at least on the following data operations: Le responsable du traitement ou le sous-traitant enregistre les données à caractère personnel au moins dans les opérations suivantes: 1° amakuru yakusanyijwe; 2° amakuru yahinduwe; 3° amakuru yagezweho; 1° data collected; 2° data altered; 3° data accessed; 1° les données collectées; 2° les données altérées; 3° les données pour lesquelles l’accès a été réalisé; 4° amakuru yatangajwe harimo n’ayasangijwe 4° data disclosed including data sharing 4° les données divulguées, y compris le abandi n’ayahererekanyijwe; 5° amakuru yakomatanyijwe; 6° amakuru yasibwe. and transfer; 5° combined data; 6° erased data. partage et le transfert; 5° les données combinées; 6° les données effacées. ku makuru Icyakozwe kigomba kugaragaza impamvu yacyo, itariki n’igihe ibyo bikorwa bikagaragaza n’umwirondoro w’umuntu wasomye cyangwa byakorewe, bwite data logging must Personal indicate justification, date and time of such operations and, where possible, the contact details of the person who accessed or disclosed the personal L’enregistrement des données à caractère personnel doit indiquer la justification, la date et l’heure des opérations et, dans la mesure du possible, les coordonnées de la personne qui a 27 Official Gazette n° Special of 15/10/2021 watanze amakuru bwite ndetse n’umwirondoro w’abo ayo makuru yari agenewe. data, as well as the contact details of the recipients of the data. rushobora rugenzura gusaba Urwego umugenzuzi w’amakuru cyangwa utunganya amakuru gutanga uburenganzira bwo kugera ku cyakozwe ku makuru bwite hagamijwe kureba niba gutunganya amakuru bwite bikorwa mu buryo bwemewe n’amategeko. The supervisory authority may require the data controller or the data processor to provide access to the personal data logging so as to verify the lawfulness of the personal data processing. consulté ou divulgué les données à caractère personnel, ainsi que les coordonnées des destinataires des données. L’autorité de contrôle peut demander au responsable du traitement ou au sous-traitant de lui donner accès à l’enregistrement des données à caractère personnel afin de vérifier la licéité du traitement des données à caractère personnel.

Ingingo ya 17: Kubika inyandiko z’amakuru bwite yatunganyijwe Article 17: Maintaining processed personal data records of Article 17: Tenue des documents des données à caractère personnel traitées UMUTWE WA III: UBURENGANZIRA BWA NYIRI UBWITE CHAPTER III: RIGHTS OF THE DATA SUBJECT CHAPITRE PERSONNE CONCERNÉE III: DROITS DE LA Ingingo ya 17: Kubika inyandiko z’amakuru bwite yatunganyijwe Article 17: Maintaining processed personal data records of Article 17: Tenue des documents des données à caractère personnel traitées Umugenzuzi w’amakuru cyangwa utunganya amakuru agomba kubika inyandiko y’ibikorwa byose byerekeye amakuru bwite yatunganyijwe ari mu nshingano ze igaragaza: The data controller or the data processor must maintain a record of all personal data processing activities under his or her responsibility that indicates: Le responsable du traitement ou le sous- traitant doit tenir un document des activités de traitement de données à caractère personnel effectuées sous leur responsabilité qui indique: 1° izina n’umwirondoro by’umugenzuzi w’amakuru cyangwa utunganya amakuru, iby’umuhagarariye cyangwa undi mukozi ushinzwe kurinda amakuru bwite aho bishoboka; 1° the name and contact details of the data controller and, where applicable, the data controller’s representative or the data protection officer; processor, the 1° le nom et les coordonnées du responsable du traitement et, le cas échéant, du sous- traitant, du représentant du responsable du traitement ou du délégué à la protection des données à caractère personnel; 2° ikigamijwe mu gutunganya amakuru bwite; 2° the purposes of the processing of 2° les finalités du traitement des données à personal data; caractère personnel; 3° ibisobanuro ku byiciro bya ba nyiri ubwite n’iby’ibyiciro by’amakuru bwite; 3° a description of the categories of data subjects and of the categories of personal data; 3° une description des catégories de personnes concernées et des catégories de données à caractère personnel; 28 Official Gazette n° Special of 15/10/2021 4° urutonde rwuzuye rw’abagenewe amakuru bwite cyangwa abazayahabwa, harimo abatuye mu bindi bihugu; 4° a full list of the recipients to whom personal data have been or will be disclosed, including those based in other countries; 4° une liste complète de destinataires auxquels les données à caractère personnel ont été ou seront divulguées, y compris ceux établis dans d’autres pays; 5° ibisobanuro ku ihererekanya ry’amakuru bwite ajya hanze y’u Rwanda; 5° a description of transfers of personal data to any country outside Rwanda; 6° igihe ntarengwa cyo gukomeza kubika ibyiciro bitandukanye by’amakuru bwite aho bishoboka. giteganyijwe 6° where possible, the envisaged data the different retention periods for categories of personal data. 5° une description des transferts de données à caractère personnel vers l’extérieur du Rwanda; 6° dans la mesure du possible, les délais de rétention de données envisagés pour les différentes catégories de données à caractère personnel. Umugenzuzi w’amakuru cyangwa utunganya amakuru urwego rugenzura z’ibyakozwe mu gutunganya amakuru bwite. ashyikiriza inyandiko abisabwe, The data controller or the data processor submits the records of personal data processing activities to the supervisory authority on request. Le responsable du traitement ou le sous- traitant soumet les documents des activités de traitement de données à caractère personnel à l’autorité de contrôle sur demande. UMUTWE WA III: UBURENGANZIRA BWA NYIRI UBWITE CHAPTER III: RIGHTS OF THE DATA SUBJECT CHAPITRE PERSONNE CONCERNÉE III: DROITS DE LA

Ingingo ya 18: Uburenganzira ku makuru bwite Article 18: Right to personal data Article 18: Droit aux données à caractère personnel Ingingo ya gutambamira 19: Uburenganzira bwo Ingingo ya 18: Uburenganzira ku makuru bwite Article 18: Right to personal data Article 18: Droit aux données à caractère personnel Bitabangamiye andi mategeko abigenga, nyiri ubwite ashobora gusaba umugenzuzi w’amakuru cyangwa utunganya amakuru mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga ibi bikurikira: Without prejudice to other relevant Laws, the data subject may, in writing or electronically, request from the data controller or the data processor the following: Sans préjudice d’autres lois en la matière, la personne concernée peut, par écrit ou par voie électronique, demander au responsable du traitement ou au sous-traitant ce qui suit: 29 Official Gazette n° Special of 15/10/2021 1° kumuha amakuru yerekeye ikigamijwe mu gutunganya amakuru bwite; 1° to provide him or her with the information relating to the purposes of the processing of personal data; 1° lui fournir les informations relatives aux finalités du traitement de ses données à caractère personnel; 2° kumuha kopi y’amakuru bwite; 2° to provide him or her with a copy of 2° lui fournir une copie de données à caractère personal data; personnel; 3° kumuha imiterere y’amakuru bwite cyangwa umugenzuzi w’amakuru utunganya harimo amakuru yerekeye umwirondoro w’undi muntu cyangwa ibyiciro by’abandi bantu bafite cyangwa babonye amakuru bwite; amakuru afite, 4° kumumenyesha bwite mu amakuru yakusanyijwe atamuturutseho; inkomoko y’amakuru bwite gihe 3° to provide him or her with a description of personal data that the data controller or the data processor holds, including data on the contact details of a third party or the categories of third parties who have or had access to personal data; 3° lui fournir une description des données à caractère personnel que le responsable du traitement ou le sous-traitant détient y compris des données sur les cordonnées d’un tiers ou des catégories de tiers qui ont ou ont eu accès aux données à caractère personnel; 4° to inform him or her of the source of the personal data in case his or her personal data have not been obtained from the data subject; 4° l’informer de la source des données à caractère personnel lorsque ses données à caractère personnel n’ont pas été collectées auprès de la personne concernée; 5° kumumenyesha mu gihe hari amakuru bwite ye yoherejwe mu kindi gihugu cyangwa mu muryango mpuzamahanga. 5° to inform him or her in case his or her personal data have been transferred to a third country or to an international organisation. 5° l’informer en cas de transfert de ses données à caractère personnel vers un pays tiers ou à une organisation internationale. Uburenganzira buvugwa mu gace ka 2° k’igika cya mbere cy’iyi ngingo ntibukoreshwa iyo: The right referred to in Item 2° of Paragraph One of this Article is not exercised if: L’exercice du droit visé au point 2° de l’alinéa premier du présent article ne s’applique pas si: 1° bishobora kugira ingaruka ku burenganzira cyangwa ku bwisanzure bw’abandi bantu; 1° it may adversely affect the rights and 1° il peut porter atteinte aux droits et libertés freedoms of other persons; d’autres personnes; 2° hakurikizwa amahitamo yo mu rwego 2° legal professional privilege or another 2° le privilège professionnel légal ou une 30 Official Gazette n° Special of 15/10/2021 legal obligation of confidentiality applies; autre obligation légale de confidentialité s’applique; cyangwa rw’umwuga ishingiye ku mategeko yo kugira ibanga; indi nshingano 3° amakuru isano afitanye n’imicungire y’amakuru cyangwa amakuru areba nyiri ubwite cyangwa yerekeye imishyikirano ikorwa muri icyo gihe na nyiri ubwite usaba; 4° amakuru afitanye by’ibanga bya nyiri ubwite, z’ibizami cyangwa amanota y’ibizamini. isano n’ibyifashishwa inyandiko 3° the data to relates information management or information about the data subject or relates to ongoing negotiations with the data subject requester; 4° the data relates to the data subject’s confidential references, examination scripts or examination marks. Umugenzuzi w’amakuru cyangwa utunganya amakuru agomba guha nyiri ubwite amakuru bwite ye mu buryo busobanutse kandi buhinnye. The data controller or the data processor must provide the data subject with his or her personal data in a clear and concise manner. 3° les données concernent des informations de gestion ou des informations sur la personne concernée ou sont liées aux négociations en cours avec la personne concernée qui fait la demande; 4° les données se rapportent aux références confidentielles de la personne concernée, aux scripts d’examen ou aux notes d’examen. Le responsable du traitement et le sous-traitant doit fournir à la personne concernée ses données à caractère personnel d’une manière claire et concise. Nyiri ubwite utishimiye igisubizo ahawe n’umugenzuzi w’amakuru cyangwa utunganya amakuru ashobora kujuririra urwego rugenzura mu gihe kitarenze iminsi mirongo itatu (30) uhereye ku munsi yaboneye igisubizo. The data subject who is not satisfied with the response of the data controller or the data processor may appeal the supervisory authority within thirty (30) days from the date of receipt of the response. to La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement ou du sous-traitant peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse. Iyo nyiri ubwite yajuriye, urwego rugenzura rusubiza ku bujurire bwe mu gihe kitarenze iminsi mirongo itandatu (60) uhereye ku munsi rwakiriyeho ubujurire. If the data subject appeals, the supervisory authority responds to his or her appeal within sixty (60) days from the date of receipt of the appeal. Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours. 31 Official Gazette n° Special of 15/10/2021 ya Ingingo gutambamira 19: Uburenganzira bwo

Article 19: Right to object Article 19: Droit d’opposition Ingingo 20: Uburenganzira bwo gusubizwa no guhererekanya amakuru bwite ya Article 19: Right to object Article 19: Droit d’opposition Nyiri ubwite ashobora, igihe icyo ari cyo cyose, cyangwa gusaba umugenzuzi w’amakuru utunganya amakuru, mu buryo bw’inyandiko cyangwa guhagarika bw’ikoranabuhanga gutunganya amakuru bwite ye ateza cyangwa ashobora kumuteza akababaro cyangwa guhangayika. igihombo, The data subject, at any time in writing or electronically, may request the data controller or the data processor to stop processing his or her personal data which causes or is likely to cause loss, sadness or anxiety to the data subject. La personne concernée peut, à tout moment par écrit ou par voie électronique, demander au responsable du traitement ou au sous-traitant de cesser de traiter ses données à caractère personnel qui causent ou sont susceptibles de causer de la perte, de la tristesse ou de l’anxiété à la personne concernée. Icyakora, ubu burenganzira ntibukoreshwa iyo umugenzuzi w’amakuru cyangwa utunganya amakuru agaragaje impamvu yumvikana kandi ikomeye y’itunganywa ry’ayo makuru bwite, inyungu, uburenganzira irusha uburemere n’ubwisanzure bya nyiri ubwite cyangwa ku mpamvu zo gutanga ikirego. However, this right does not apply if the data controller or the data processor demonstrates compelling the legitimate grounds personnel data processing, which override the interests, rights and freedoms of the data subject or for the establishment of the legal claim. for Toutefois, ce droit ne s’applique pas si le responsable du traitement ou le sous-traitant démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation d’un droit en justice. Nyiri ubwite ashobora, igihe icyo ari cyo cyose, gusaba umugenzuzi w’amakuru cyangwa utunganya amakuru mu buryo bw’inyandiko guhagarika bw’ikoranabuhanga cyangwa gutunganya amakuru bwite ye iyo amakuru bwite atunganywa ku mpamvu zo kwamamaza mu buryo butaziguye, harimo no gukora ishusho y’amakuru iyo ifitanye isano n’uko kwamamaza. The data subject, at any time in writing or electronically, may request the data controller or the data processor to stop processing personal data of the data subject if personal data are processed for direct marketing purposes, including profiling to the extent that it is related to such direct marketing. La personne concernée peut, à tout moment par écrit ou par voie électronique, demander au responsable du traitement ou au sous-traitant de cesser de traiter ses données à caractère personnel si les données à caractère personnel sont traitées à des fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection. Umugenzuzi w’amakuru cyangwa utunganya amakuru, mu gihe kitarenze iminsi mirongo itatu (30) uhereye ku munsi yakiriyeho ubusabe, agomba kumenyesha nyiri ubwite mu buryo The data controller or the data processor, within thirty (30) days from the date of receipt of the request, must inform the concerned data subject in writing or electronically of the Le responsable du traitement ou le sous- traitant, dans un délai de trente (30) jours après réception de la demande, doit informer, par écrit ou par voie électronique, la personne 32 Official Gazette n° Special of 15/10/2021 cyangwa bw’ikoranabuhanga bw’inyandiko ibijyanye no kubahiriza ubwo busabe cyangwa impamvu zo kutabwubahiriza. compliance with the request or reasons for non-compliance. concernée du respect de cette demande ou des raisons du non-respect. igisubizo ahawe Nyiri ubwite utishimiye n’umugenzuzi w’amakuru cyangwa utunganya amakuru ashobora kujuririra urwego rugenzura mu gihe kitarenze iminsi mirongo itatu (30) uhereye ku munsi yaboneye igisubizo. The data subject who is not satisfied with the response of the data controller or the data processor may appeal the supervisory authority within thirty (30) days from the date of receipt of the response. to La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement ou du sous-traitant peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse. Iyo nyiri ubwite yajuriye, urwego rugenzura rusubiza ku bujurire bwe mu gihe kitarenze iminsi mirongo itandatu (60) uhereye ku munsi rwakiriyeho ubujurire. If the data subject appeals, the supervisory authority responds to his or her appeal within sixty (60) days from the date of receipt of the appeal. Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours. 20: Uburenganzira bwo Ingingo gusubizwa no guhererekanya amakuru bwite ya

Article 20: Right to personal data portability Article 20: Droit à la portabilité des données à caractère personnel ya Ingingo 21: Uburenganzira bwo kutagengwa n’icyemezo hashingiwe ku itunganywa ry’amakuru bwite ryikoresha Article 20: Right to personal data portability Article 20: Droit à la portabilité des données à caractère personnel Nyiri ubwite afite uburenganzira bwo gusaba w’amakuru, umugenzuzi buryo cyangwa bw’ikoranabuhanga bw’inyandiko kumusubiza nk’uko yayamuhaye mu buryo butunganye kandi asomeka. amakuru bwite mu ye The data subject has the right to request the data controller in writing or electronically to resend the personal data concerning him or her as it was provided to the data controller, in a structured and readable format. La personne concernée a le droit de demander au responsable du traitement par écrit ou par voie électronique de lui renvoyer ses données à caractère personnel comme il les lui avait fournies dans un format structuré et lisible. Nyiri ubwite kandi afite uburenganzira bwo gusaba umugenzuzi w’amakuru mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga ko amakuru bwite ye ahererekanywa ku wundi mugenzuzi w’amakuru nta mbogamizi biteye igihe bishoboka mu rwego rwa tekiniki. The data subject also has the right to request the data controller in writing or electronically to have his or her personal data transmitted to another data controller, where technically feasible, without hindrance. La personne concernée a également le droit de demander au responsable du traitement par écrit ou par voie électronique que ses données à caractère personnel soient transmises à un autre responsable du traitement, lorsque cela est techniquement possible, sans aucune entrave. 33 Official Gazette n° Special of 15/10/2021 Umugenzuzi w’amakuru, mu gihe kitarenze iminsi mirongo itatu (30) uhereye ku munsi yakiriyeho ubusabe, agomba kumenyesha nyiri ubwite mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga ibijyanye no gusubizwa no guhererekanya amakuru bwite. igisubizo ahawe Nyiri ubwite utishimiye n’umugenzuzi w’amakuru ashobora kujuririra urwego rugenzura mu gihe kitarenze iminsi mirongo itatu (30) uhereye ku munsi yaboneye igisubizo. The data controller, within thirty (30) days from the date of receipt of the request, must inform the concerned data subject in writing or electronically of personal data portability. Le responsable du traitement, dans un délai de trente (30) jours après réception de la demande, doit informer, par écrit ou par voie électronique, la personne concernée de la portabilité des données à caractère personnel. The data subject who is not satisfied with the response of the data controller may appeal to the supervisory authority within thirty (30) days from the date of receipt of the response. La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse. Iyo nyiri ubwite yajuriye, urwego rugenzura rusubiza ku bujurire bwe mu gihe kitarenze iminsi mirongo itandatu (60) uhereye ku munsi rwakiriyeho ubujurire. If the data subject appeals, the supervisory authority responds to his or her appeal within sixty (60) days from the date of receipt of the appeal. Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours. ya 21: Uburenganzira bwo Ingingo kutagengwa n’icyemezo hashingiwe ku itunganywa ry’amakuru bwite ryikoresha

Article 21: Right not to be subject to a decision based automated data on processing Article 21: Droit de ne pas faire l’objet d’une décision fondée sur un traitement automatisé des données Article 21: Right not to be subject to a decision based automated data on processing Article 21: Droit de ne pas faire l’objet d’une décision fondée sur un traitement automatisé des données afite uburenganzira bwo Nyiri ubwite kutagengwa n’icyemezo cyafatwa hashingiwe gusa ku ry’amakuru bwite ryikoresha harimo gukora ishusho y’amakuru ashobora kumugiraho ingaruka zo mu rwego rw’amategeko cyangwa ingaruka zikomeye. itunganywa The data subject has the right not to be subject to a decision based solely on automated personal data processing, including profiling, which may produce legal consequences or significant consequences to him or her. Icyakora, ibivugwa mu gika cya mbere cy’iyi ngingo ntibikurikizwa iyo icyo cyemezo: However, the provisions of Paragraph One of this Article do not apply if the decision: La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé de données à caractère personnel, y compris le profilage, pouvant produire des conséquences juridiques ou des conséquences significatives sur lui. Toutefois, les dispositions de l’alinéa premier du présent article ne s’appliquent pas lorsque la décision: 34 Official Gazette n° Special of 15/10/2021 1° gishingiye k’ukwemera kwa nyiri ubwite 1° is based on the data subject’s explicit 1° est fondée sur le consentement explicite de mu buryo bweruye; consent; la personne concernée; 2° gikenewe mu gukora cyangwa gushyira mu bikorwa amasezerano hagati ya nyiri ubwite n’umugenzuzi w’amakuru; 2° is necessary for entering into, or performance of, a contract between the data subject and the data controller; 2° est nécessaire à la conclusion ou à l’exécution d'un contrat entre la personne concernée et le responsable du traitement; 3° cyemewe n’amategeko umugenzuzi w’amakuru agomba kubahiriza kandi gishyiraho ingamba zikwiriye zo kurinda uburenganzira, ubwisanzure n’inyungu zemewe bya nyiri ubwite. 3° is authorised by Laws to which the data controller is subject and also puts in place suitable measures to safeguard the data subject’s rights, freedoms and legitimate interests. Gutunganya amakuru bwite mu buryo bwikoresha ubwo ari bwo bwose bigamije gusuzuma imwe mu miterere bwite yerekeye umuntu ku giti cye ntibishingira ku makuru bwite y’ibanga keretse iyo bishingiye kuri imwe mu mpamvu ziteganywa mu ngingo ya 10 y’iri tegeko. Any automated processing of personal data intended to evaluate certain personal aspects relating to a natural person does not base on sensitive personal data unless one of the grounds set out in Article 10 of this Law is met. 3° est autorisée par les lois auxquelles le responsable du traitement est soumis et met également en place des mesures appropriées pour la sauvegarde des droits, des libertés et la personne légitimes de des concernée. intérêts Tout traitement automatisé des données à caractère personnel destiné à évaluer certains aspects personnels relatifs à une personne physique ne s’appuie pas sur des données à caractère personnel sensibles sauf si l’une des fondements prévus par l’article 10 de la présente loi est remplie.

Ingingo ya 22: Uburenganzira bwo kubuza gutunganya amakuru bwite Article 22: Right to restriction of processing of personal data Article 22: Droit à limitation du traitement de données à caractère personnel la Ingingo ya 22: Uburenganzira bwo kubuza gutunganya amakuru bwite Article 22: Right to restriction of processing of personal data limitation du Article 22: Droit à traitement de données à caractère personnel la Nyiri ubwite cyangwa urwego rugenzura bafite uburenganzira bwo kubuza umugenzuzi w’amakuru gutunganya amakuru bwite mu gihe kigenwe iyo: The data subject or the supervisory authority has the right to restrict the data controller from processing personal data for a given period if: La personne concernée ou l’autorité de contrôle a le droit d’obtenir du responsable du traitement la limitation du traitement des données à caractère personnel pendant une période donnée si: 1° ukuri kw’amakuru bwite guhakanwe na 1° the accuracy of personal data is 1° l’exactitude des données à caractère 35 Official Gazette n° Special of 15/10/2021 nyiri ubwite, mu gihe hakigenzurwa ukuri kwayo; contested by the data subject, pending the verification of their accuracy; personnel est contestée par la personne concernée pendant la vérification de leur exactitude; 2° kuyatunganya binyuranyije n’amategeko nyiri ubwite agasaba ihanagurwa ry’amakuru bwite cyangwa akabuza ikoreshwa ry’amwe muri ayo makuru bwite; 2° the processing is unlawful and the data subject requests the erasure of the personal data or the restriction of the use of some of them; 2° le traitement est illicite et la personne concernée exige l’effacement de données à caractère personnel ou la limitation de l’utilisation de certaines d’entre elles; bwite 3° nyiri ubwite yatambamiye itunganywa gihe ry’amakuru impamvu hakigenzurwa niba hari zemewe umugenzuzi w’amakuru ashingiraho zirusha uburemere iza nyiri ubwite. mu 3° the data subject has objected to the processing of personal data pending the verification whether legitimate grounds of the controller override those of the data subject. the Uburenganzira bwo kubuza gutunganya amakuru bwite buvugwa mu gika cya mbere cy’iyi ngingo ntibukoreshwa iyo gutunganya amakuru bwite: The right to restriction of processing of personal data described in Paragraph One of this Article is not exercised if the processing of personal data: 3° la personne concernée s’est opposée au traitement de données à caractère personnel pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée. la L’exercice du droit à limitation du traitement des données à caractère personnel visé à l’alinéa premier du présent article ne s’applique pas si le traitement de données à caractère personnel: 1° ari ngombwa mu rwego rwo kurinda 1° is necessary for the protection of the 1° est nécessaire pour la protection des droits uburenganzira bw’undi muntu; rights of another person; d’une autre personne; 2° ari ngombwa mu nyungu rusange. 2° is necessary for reasons of public 2° est nécessaire pour des motifs d’intérêt interest. public. Umugenzuzi w’amakuru, mbere yo gukuraho ibuzwa ry’amakuru bwite riteganywa mu gace ka 1o k’igika cya 2 cy’iyi ry’itunganywa The data controller must, before lifting the restriction of processing of personal data referred to in item 1o of Paragraph 2 of this Le responsable du traitement doit, avant de lever la limitation du traitement des données à caractère personnel prévue au point 1o de 36 Official Gazette n° Special of 15/10/2021 ngingo, agomba kubimenyesha nyiri ubwite mu buryo cyangwa bw’ikoranabuhanga. bw’inyandiko Article, inform the data subject in writing or electronically. l’alinéa 2 du présent article, informer la personne concernée par écrit ou par voie électronique.

Ingingo ya 23: Uburenganzira bwo gusiba amakuru bwite Article 23: Right to erasure of personal data Article 23: Droit à l’effacement de données à caractère personnel Ingingo ya 23: Uburenganzira bwo gusiba amakuru bwite Article 23: Right to erasure of personal data Article 23: Droit à l’effacement de données à caractère personnel Nyiri ubwite afite uburenganzira bwo gusaba umugenzuzi buryo w’amakuru bw’inyandiko cyangwa bw’ikoranabuhanga gusiba amakuru bwite ye iyo: mu The data subject has the right to request the data controller in writing or electronically for erasure of his or her personal data where: La personne concernée a le droit d’obtenir du responsable du traitement par écrit ou par voie électronique l’effacement de ses données à caractère personnel lorsque: 1° amakuru bwite atagikenewe mu bijyanye amakuru n’icyari yakusanywaga cyangwa yatunganywaga; kigamijwe ubwo 1° the personal data are no longer necessary in relation to the purposes for which they were collected or processed; 1° les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées; 2° nyiri ubwite yisubiyeho k’ukwemera kwe ari na ko kwashingiweho mu gutunganya amakuru bwite kandi nta yindi mpamvu yemewe n’amategeko y’iryo tunganywa; 2° the data subject withdraws consent on which the personal data processing is based and where there is no other legal ground for the processing; 2° la retire concernée personne consentement sur traitement des données personnel et fondement juridique au traitement; le le lequel est fondé caractère à il n’existe pas d’autre 3° nyiri ubwite atambamiye itunganywa ry’amakuru bwite kandi hakaba nta mpamvu yemewe y’iryo tunganywa; 3° the data subject objects the processing of personal data and there are no overriding legitimate grounds for the processing; to 3° la personne au concernée traitement des données caractère personnel et il n’existe pas de motif légitime impérieux pour le traitement; s’oppose à 4° amakuru bwite yatunganyijwe mu buryo 4° the personal data have been unlawfully 4° les données à caractère personnel ont fait bunyuranyije n’amategeko. processed. l’objet d’un traitement illicite. Umugenzuzi w’amakuru watangarije amakuru The data controller who has disclosed personal Le responsable du traitement qui a divulgué les 37 Official Gazette n° Special of 15/10/2021 bwite undi muntu cyangwa wayashyize ku rubuga rusange agomba kumenyesha mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga undi muntu utunganya ayo makuru ko nyiri ubwite yasabye isibwa ry’imiyoboro yayo cyangwa kopi y’ayo makuru bwite. data to a third party or has posted the personal data in the public domain must, in writing or electronically, inform a third party processing such data that the data subject has requested the erasure of any links to, or copy of, those personal data. Icyakora, uburenganzira bwo gusaba ko amakuru bwite asibwa ntibukurikizwa iyo itunganywa ryayo rikenewe kubera: However, the right to request the erasure of personal data does not apply to the extent that processing is necessary: données à caractère personnel à un tiers ou qui les a publiées dans le domaine public doit informer par écrit ou par voie électronique un tiers traitant ces données que la personne concernée a demandé l’effacement de tout lien vers ces données à caractère personnel ou de toute copie de celles-ci. Toutefois, le droit de demander l’effacement de données à caractère personnel ne s’applique pas dans la mesure où ce traitement est nécessaire: 1° impamvu z’inyungu rusange; 1° for reasons of public interest; 1° pour des motifs d’intérêt public; 2° ubushakashatsi ku birebana n’amateka, ibarurishamibare cyangwa ubumenyi; 2° for historical or scientific research purposes or statistical purposes; 2° à des fins de recherche historique ou scientifique ou à des fins statistiques; 3° kubahiriza iteganywa inshingano n’amategeko n’umugenzuzi irebana w’amakuru cyangwa kuzuza inshingano iri mu nyungu rusange cyangwa gukoresha ububasha umugenzuzi w’amakuru afite; 3° for compliance with a legal obligation to which the controller is subject or for the performance of a task carried out in the public interest or in the exercise of official authority vested in the data controller; 3° pour respecter une obligation légale à laquelle le responsable du traitement est soumis ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement; 4° gutanga ikirego mu rukiko, kugikurikirana nyungu kwisobanura mu cyangwa z’umugenzuzi w’amakuru. 4° for the establishment, exercise or defence of legal claims in the interest of the data controller. 4° à la constatation, à l'exercice ou à la défense de droits en justice dans l’intérêt du responsable du traitement. Umugenzuzi w’amakuru, mu gihe kitarenze iminsi mirongo itatu (30) uherereye ku munsi yakiriyeho ubusabe, agomba kumenyesha nyiri The data controller, within thirty (30) days from the date of receipt of the request, must inform the concerned data subject in writing or Le responsable du traitement, dans un délai de trente (30) jours après réception de la demande, doit informer, par écrit ou par voie électronique, 38 Official Gazette n° Special of 15/10/2021 ubwite mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga ibijyanye no gusiba amakuru bwite ye. electronically of the erasure of his or her personal data. la personne concernée de l’effacement de ses données à caractère personnel. ubwite utanyuzwe n’igisubizo Nyiri cy’umugenzuzi w’amakuru ashobora kujuririra urwego rugenzura mu gihe kitarenze iminsi mirongo itatu (30) uhereye ku munsi yaboneye igisubizo. The data subject who is not satisfied with the response of the data controller may appeal to the supervisory authority within thirty (30) days from the date of receipt of the response. La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse. Iyo nyiri ubwite yajuriye, urwego rugenzura rusubiza ku bujurire bwe mu gihe kitarenze iminsi mirongo itandatu (60) uhereye ku munsi rwakiriyeho ubujurire. If the data subject appeals, the supervisory authority responds to his or her appeal within sixty (60) days from the date of receipt of the appeal. Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours.

Ingingo ya 24: Uburenganzira bwo gukosora Article 24: Right to rectification Article 24: Droit de rectification 4 Official Gazette n° Special of 15/10/2021 Ingingo ya 24: Uburenganzira bwo gukosora Article 24: Right to rectification Article 24: Droit de rectification Nyiri ubwite afite uburenganzira bwo gusaba buryo umugenzuzi w’amakuru bw’inyandiko cyangwa bw’ikoranabuhanga gukosora amakuru bwite ye. mu The data subject has the right to request the data controller the rectification of his or her personal data. La personne concernée a le droit d’obtenir du responsable du traitement la rectification de ses données à caractère personnel. iyo ari ngombwa, afite Nyiri ubwite, uburenganzira bwo gusaba ko amakuru bwite ye atuzuye yuzuzwa. The data subject has the right to have incomplete personal data completed, where necessary. La personne concernée a le droit d’exiger que ses données à caractère personnel incomplètes soient complétées, le cas échéant. Umugenzuzi w’amakuru, mu gihe kitarenze iminsi mirongo itatu (30) uhereye ku munsi yakiriyeho ubusabe, agomba kumenyesha nyiri ubwite mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga ibijyanye no gukosora amakuru bwite ye. The data controller, within thirty (30) days from the date of receipt of the request, must inform in writing or electronically of the rectification of his or her personal data. the data subject Le responsable du traitement, dans un délai de trente (30) jours après réception de la demande, doit informer, par écrit ou par voie électronique, la personne concernée de la rectification de ses données à caractère personnel. 39 ubwite utanyuzwe Nyiri n’igisubizo cy’umugenzuzi w’amakuru ashobora kujuririra urwego rugenzura mu gihe kitarenze iminsi mirongo itatu (30) uhereye ku munsi yaboneye igisubizo. Official Gazette n° Special of 15/10/2021 The data subject who is not satisfied with the response of the data controller may appeal to the supervisory authority within thirty (30) days from the date of receipt of the response. La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse. Iyo nyiri ubwite yajuriye, urwego rugenzura rusubiza ku bujurire bwe mu gihe kitarenze iminsi mirongo itandatu (60) uhereye ku munsi rwakiriyeho ubujurire. If the data subject appeals, the supervisory authority responds to his or her appeal within sixty (60) days from the date of receipt of the appeal. Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours.

Ingingo ya 25: Uburenganzira bwo kugena umuzungura ku makuru bwite Article 25: Right to designate an heir to personal data Article 25: Droit de désigner un héritier des données à caractère personnel Ingingo guhagararirwa ya 26: Uburenganzira bwo Ingingo ya 25: Uburenganzira bwo kugena umuzungura ku makuru bwite Article 25: Right to designate an heir to personal data Article 25: Droit de désigner un héritier des données à caractère personnel Amakuru bwite ya nyiri ubwite ntazungurwa. The personal data of the data subject are not subject to succession. Les données à caractère personnel de la personne concernée ne font pas l’objet de la succession. Icyakora, iyo nyiri ubwite yakoze irage, atanga uburenganzira busesuye cyangwa budasesuye ku muzungura we bwerekeye gutunganya n’umugenzuzi amakuru w’amakuru cyangwa utunganya amakuru mu gihe agikenewe gukoreshwa. abitswe bwite However, where the data subject had left a will, the data subject provides his or her heir with full or restricted rights relating to the processing of personal data kept by the data controller or the data processor, if such personal data still need to be used. Toutefois, lorsqu’elle a laissé un testament, la personne concernée donne à son héritier le droit absolu ou limité relatif au traitement des données à caractère personnel détenues par le responsable du traitement ou le sous-traitant, si ces données à caractère personnel doivent encore être utilisées. Ingingo guhagararirwa ya 26: Uburenganzira bwo

Article 26: Right to representation Article 26: Droit à une représentation IV: UMUTWE WA N’UBUBASHA RUGENZURA KURINDA N’IMIBEREHO BWITE BY’UMUNTU INSHINGANO BY’URWEGO BYEREKEYE BWITE AMAKURU MU CHAPTER VI: TASKS AND POWERS OF THE SUPERVISORY AUTHORITY IN MATTERS RELATING TO THE PROTECTION OF PERSONAL DATA AND PRIVACY CHAPITRE IV: ATTRIBUTIONS ET POUVOIRS DE L’AUTORITE DE CONTRÔLE DE PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL ET DE LA VIE PRIVÉE EN MATIÈRE Article 26: Right to representation Article 26: Droit à une représentation Uburenganzira bwa bwo guhagararirwa bwubahirizwa iyo nyiri ubwite: ubwite nyiri The right of the data subject to representation is exercised where: Le droit de la personne concernée à une représentation est exercé lorsque: 40 Official Gazette n° Special of 15/10/2021 y’amavuko 1° atarageza ku myaka cumi n’itandatu (16) agahagararirwa n’umuntu umufiteho ububasha bwa wagenwe cyangwa kibyeyi nk’umwishingizi we; 1° the data subject is under sixteen (16) years of age, in which case he or she is represented by a person who has parental authority over him or her or who was appointed as his or her guardian; 1° la personne concernée n’a pas atteint l’âge de seize (16) ans, auquel cas elle est représentée par une personne qui a l’autorité parentale sur le mineur ou qui a été désignée comme son tuteur; 2° afite ubumuga bw’umubiri kandi atabasha kwihagararira, agahagararirwa n’umubyeyi we, uwemeye kumubera umubyeyi ikigo ishyirahamwe bimwitaho cyangwa cyangwa umwishingizi wagenwe n’urukiko; ataramubyaye, 3° afite ubumuga bwo mu mutwe bwemejwe n’umuganga wemewe na Leta kandi atabasha kwihagararira, n’umubyeyi we, agahagararirwa umubyeyi uwemeye cyangwa ataramubyaye, ishyirahamwe bimwitaho cyangwa umwishingizi wagenwe n’urukiko; kumubera ikigo 2° the data subject has a physical impairment and is unable to represent himself or herself, in which case he or she is represented by his or her parent, adopter, a centre or an association that caters for him or her guardian appointed by a court; 2° la personne concernée a une invalidité physique et n’est pas en mesure de se représenter elle-même, auquel cas elle est représentée par son parent, son parent adoptif, un centre ou une association pour sa prise en charge ou un tuteur désigné par une juridiction; 3° the data subject has a medically determinable mental impairment and is unable to represent himself or herself, in which case he or she is represented by his or her parent, adopter, a centre or an association that caters for him or her or the guardian appointed by a court; 3° la personne concernée a une invalidité mentale attestée par un médecin agréé et n’est pas en mesure de se représenter elle- même, auquel cas elle est représentée par son parent, son parent adoptif, un centre ou une association pour sa prise en charge ou un tuteur désigné par une juridiction; 4° hari indi mpamvu, agahagararirwa n’umuntu wabiherewe uburenganzira ubwite na mu hakurikijwe amategeko abigenga. nyandiko nyiri 4° there is any other reason, in which case he or she is represented by another person authorised in writing by the data subject in accordance with relevant law. 4° il y a une autre raison, auquel cas elle est représentée par une autre personne autorisée la personne concernée par écrit par conformément à la législation en la matière. 41 IV: UMUTWE WA N’UBUBASHA RUGENZURA KURINDA N’IMIBEREHO BWITE BY’UMUNTU INSHINGANO BY’URWEGO BYEREKEYE BWITE AMAKURU MU Official Gazette n° Special of 15/10/2021 CHAPTER IV: DUTIES AND POWERS OF THE SUPERVISORY AUTHORITY IN MATTERS RELATING TO THE PROTECTION OF PERSONAL DATA AND PRIVACY z’urwego

Ingingo ya 27: z’Urwego rugenzura mu byerekeye kurinda amakuru bwite n’imibereho bwite by’umuntu Inshingano Article 27: Duties of the supervisory authority the in matters relating protection of personal data and privacy to Article 27: Attributions de l’autorité de contrôle en matière de protection des données à caractère personnel et de la vie privée l’autorité de Ingingo ya 27: rugenzura mu byerekeye kurinda amakuru bwite n’imibereho bwite by’umuntu Inshingano Article 27: Duties of authority to protection of personal data and privacy in matters relating the supervisory the CHAPITRE IV: ATTRIBUTIONS ET POUVOIRS DE L’AUTORITE DE CONTRÔLE DE PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL ET DE LA VIE PRIVÉE EN MATIÈRE Article 27: Attributions de l’autorité de contrôle en matière de protection des données à caractère personnel et de la vie privée Urwego rugenzura rufite inshingano zikurikira: The supervisory authority has the following duties: L’autorité de contrôle a suivantes: les attributions 1° gukurikirana ishyirwa mu bikorwa ry'iri 1° to oversee the implementation of this 1° contrôler la mise application de cette loi; tegeko; law; 2° gusubiza buri busabe bufite ishingiro busaba inama ku itunganywa ry'amakuru bwite; 2° to respond to every legitimate request for an opinion regarding personal data processing; 2° répondre à toute demande légitime d’avis concernant le traitement de données à caractère personnel; 3° kumenyesha nyiri ubwite, umugenzuzi w'amakuru n’utunganya amakuru n'undi muntu n'inshingano byabo; uburenganzira 3° to inform the data subject, the data controller, the data processor and a third party of their rights and obligations; 3° informer la personne concernée, traitement, le responsable du le sous- traitant et un tiers de leurs droits et obligations; 4° gushyiraho igitabo cyandikwamo abagenzuzi b’amakuru n’abatunganya amakuru; 4° to put in place a register of data controllers and data processors; 4° mettre en place un registre de responsables du traitement et de sous- traitants; 5° gusuzuma byimbitse ishingiro ry’ikibazo 5° to investigate the subject matter of the 5° examiner l’objet de la réclamation 42 Official Gazette n° Special of 15/10/2021 cyerekeranye n’itunganywa ry’amakuru bwite cyatanzwe na nyiri ubwite, umugenzuzi w’amakuru, utunganya amakuru cyangwa undi muntu no gikwiye gihe kubamenyesha mu ibyavuye muri iryo suzuma; complaint lodged by the data subject, the data controller, the data processor or a third party relating to the processing of personal data and inform them of the outcome of the investigation within a reasonable period; introduite par la personne concernée, le le sous- responsable du traitant ou un le traitement de données à caractère personnel et les informer de l’issue de l’examen dans un délai raisonnable; traitement, tiers concernant 6° kwakira no gusuzuma ubujurire bwa 6° to receive and consider the data 6° recevoir et examiner le recours de la nyiri ubwite; subject’s appeal; personne concernée; 7° gutanga inama mu byerekeye kurinda amakuru bwite n'imibereho bwite by'umuntu; 7° to advise on matters relating to the protection of personal data and privacy; 7° conseiller au sujet des questions relatives à la protection de données à caractère personnel et de la vie privée; 8° kugira imikoranire n’inzego, imiryango cyangwa ibigo bikorera mu Gihugu no mu mahanga mu kurinda amakuru bwite n’imibereho bwite by’umuntu. 8° cooperate authorities, with organisations or entities operating within the country or abroad in the protection of personal data and privacy. 8° coopérer avec les autorités, organisations ou entités œuvrant au pays ou à l’étranger sur la protection de données à caractère personnel et de la vie privée.

Ingingo ya 28: Ububasha bw’urwego rugenzura mu byerekeye kurinda amakuru bwite n’imibereho bwite by’umuntu Article 28: Powers of the supervisory authority the in matters relating protection of personal data and privacy to Article 28 : Pouvoirs de contrôle en matière de protection des données à caractère personnel et de la vie privée UMUTWE WA RY’UMUGENZUZI N’UTUNGANYA AMAKURU V: IYANDIKWA W’AMAKURU CHAPTER V: REGISTRATION OF A DATA CONTROLLER AND A DATA PROCESSOR CHAPITRE V: ENREGISTREMENT DU RESPONSABLE DU TRAITEMENT ET DU SOUS-TRAITANT Ingingo ya 28: Ububasha bw’urwego rugenzura mu byerekeye kurinda amakuru bwite n’imibereho bwite by’umuntu Article 28: Powers of the supervisory authority the to in matters relating protection of personal data and privacy Article 28: Pouvoirs de l’autorité de contrôle en matière de protection des données à caractère personnel et de la vie privée Urwego rugenzura rufite ububasha bwo: The supervisory authority has powers to: L’autorité de contrôle dispose des pouvoirs de: 1° gutanga icyemezo cy’iyandikwa nk’uko 1° to issue registration certificate as 1° octroyer un certificat d’enregistrement en biteganywa n’iri tegeko; provided for by this Law; vertu de la présente loi; 2° kumenya no kugenzura ko gutunganya amakuru bwite bikorwa hakurikijwe 2° ensure that the processing of personal data is consistent with the provisions of 43 2° s’assurer que le traitement des données aux est personnelles conforme ibiteganywa n’iri tegeko; this Law; dispositions de la présente loi; Official Gazette n° Special of 15/10/2021 3° kumenya no kugenzura ko ikoranabuhanga mu itangazabumenyi n’itumanaho bitaba imbogamizi ku burenganzira n’imibereho bwite by’umuntu; 3° ensure information and that communication technologies do not constitute a threat to public freedoms and the privacy of a person; 3° s’assurer que les technologies de l’information et de la communication ne constituent pas une menace pour les libertés publiques et la vie privée d’une personne; 4° gushyiraho amabwiriza arebana no gushyira mu bikorwa iri tegeko; 4° to put in place a regulation relating to 4° établir un règlement relatif à l’application the application of this Law; de la présente loi; 5° gutanga ibihano rwego rw’ubutegetsi hakurikijwe ibiteganywa n’iri tegeko. byo mu UMUTWE WA RY’UMUGENZUZI N’UTUNGANYA AMAKURU V: IYANDIKWA W’AMAKURU 5° to impose administrative sanctions in accordance with the provisions of this Law. 5° imposer des sanctions administratives conformément aux dispositions de la présente loi. CHAPTER V: REGISTRATION OF THE DATA CONTROLLER AND THE DATA PROCESSOR CHAPITRE V: ENREGISTREMENT DU RESPONSABLE DU TRAITEMENT ET DU SOUS-TRAITANT

Ingingo ya 29: Kwiyandikisha kuba umugenzuzi cyangwa utunganya amakuru w’amakuru Article 29: Registration as a data controller or a data processor Article 29: Enregistrement à titre de responsable du traitement ou sous-traitant Ingingo ya 29: Kwiyandikisha kuba umugenzuzi cyangwa utunganya amakuru w’amakuru Article 29: Registration as a data controller or a data processor Article 29: Enregistrement à titre de responsable du traitement ou de sous- traitant Umuntu wifuza kuba umugenzuzi w’amakuru cyangwa agomba amakuru utunganya kwiyandikisha ku rwego rugenzura. A person who intends to be a data controller or a data processor must register with the supervisory authority. Une personne qui désire être responsable du traitement ou sous-traitant doit se faire enregistrer auprès de l’autorité de contrôle.

Ingingo ya 30: Ibisabwa kwiyandikisha kuba Article 30: Requirements for registration as Article 30: Conditions d’enregistrement à 5 Official Gazette n° Special of 15/10/2021 umugenzuzi w’amakuru cyangwa utunganya amakuru a data controller or a data processor tire de responsable du traitement ou de sous- traitant Ingingo ya 30: Ibisabwa kwiyandikisha kuba umugenzuzi w’amakuru cyangwa utunganya amakuru Article 30: Requirements for registration as a data controller or a data processor Article 30: Conditions d’enregistrement à tire de responsable du traitement ou de sous- traitant Usaba kwiyandikisha kuba umugenzuzi An applicant for registration as a data controller Une personne faisant une demande 44 Official Gazette n° Special of 15/10/2021 w’amakuru agomba kugaragaza ibi bikurikira: cyangwa utunganya amakuru or a data processor must indicate the following: d’enregistrement à titre de responsable du traitement ou de sous-traitant doit indiquer ce qui suit: 1° umwirondoro we n’ahantu abarizwa yagennye; 1° his or her identity and his or her designated single point of contact; 1° son identité et son point de contact unique désigné; 2° umwirondoro n’ahantu by’umuhagarariye iyo yamugennye; 2° the identity and address of his or her if he or she has representative nominated any; 2° l’identité et l’adresse de son représentant s’il l’a nommé; 3° ibisobanuro ku makuru bwite azatunganywa n’icyiciro cya ba nyiri ubwite; 3° a description of personal data to be processed and the category of data subjects; 3° la description des données à caractère personnel à traiter et de la catégorie des personnes concernées; 4° niba afite cyangwa ashobora kugira ubwoko bw’amakuru bwite akurikije inzego z’imirimo akoreramo; 4° whether or not the applicant holds or is likely to hold the types of personal data based on the sectors in which it operates; 4° si le demandeur détient ou non ou est susceptible de détenir des types des données à caractère personnel en fonction des secteurs dans lesquels il opère; 5° ikigamijwe mu gutunganya amakuru 5° the purposes of the processing of bwite; personal data; 5° les finalités du traitement des données à caractère personnel doivent être traitées; 6° ibyiciro amakuru bw’abagenewe umugenzuzi w’amakuru cyangwa utunganya amakuru yifuza gutangariza amakuru bwite; 6° the categories of recipients to whom the data controller or the data processor intends to disclose the personal data; 6° les catégories de destinataires auxquels le responsable du traitement ou le sous- traitant entend communiquer les données à caractère personnel; 7° igihugu yifuza koherezamo amakuru bwite ku buryo buziguye cyangwa butaziguye; 7° the country to which the applicant intends to directly or indirectly transfer the personal data; 7° le pays vers lequel le demandeur entend transférer directement ou indirectement les données à caractère personnel; 45 Official Gazette n° Special of 15/10/2021 8° ingaruka mu itunganya ry’amakuru bwite n’ingamba zo kuzikumira no kurinda amakuru bwite. 8° risks in the processing of personal data and measures to prevent such risks and protect personal data. 8° les risques liés au traitement des données à caractère personnel et les mesures visant à prévenir ces risques et à protéger les données à caractère personnel. rugenzura Urwego rushobora gushyiraho amabwiriza agena ibisabwa by’inyongera usaba kwiyandikisha kuba umugenzuzi w’amakuru cyangwa utunganya amakuru agomba kuzuza. The supervisory authority may put in place a regulation determining additional requirements to be met by an applicant for registration as a data controller or a data processor. déterminant L’autorité de contrôle peut établir un règlement conditions additionnelles à être remplies par une personne faisant une demande d’enregistrement à titre de responsable du traitement ou de sous- traitant. les

Ingingo ya 31: cy’iyandikwa Itangwa ry’icyemezo Article 31: Issuance of a registration certificate Article d’enregistrement 31: Octroi du certificat Ingingo ya 31: cy’iyandikwa Itangwa ry’icyemezo Article 31: Issuance of a registration certificate Article d’enregistrement 31: Octroi du certificat rutanga rugenzura icyemezo Urwego cy’iyandikwa k’usaba kuba umugenzuzi w’amakuru cyangwa utunganya amakuru wujuje ibisabwa mu kwiyandikisha mu gihe kitarenze iminsi mirongo itatu (30) y’akazi uhereye ku munsi rwakiriyeho ubusabe bwo kwiyandikisha. The supervisory authority issues a registration certificate to an applicant for registration as a data controller or a data processor who meets the requirements for registration within thirty (30) working days from the date of reception of the registration application. d’enregistrement L’autorité de contrôle octroie un certificat d’enregistrement à une personne faisant une demande de responsable du traitement ou sous-traitant qui remplit les conditions d’enregistrement dans les trente (30) jours ouvrables à compter de la date demande de d’enregistrement. réception titre de la à Urwego rugenzura rushyiraho amabwiriza agena igihe icyemezo cy’iyandikwa kimara. The supervisory authority puts in place a regulation determining the period of validity of the registration certificate. L’autorité de contrôle met en place un règlement qui détermine la durée de validité du certificat d’enregistrement.

Ingingo ya 32: Kumenyekanisha impinduka nyuma yo guhabwa icyemezo cy’iyandikwa Article 32: Reporting a change after receiving a registration certificate Article 32: Signaler un changement après obtention du certificat d’enregistrement Ingingo ya 32: Kumenyekanisha impinduka nyuma yo guhabwa icyemezo cy’iyandikwa Article 32: Reporting a change after receiving a registration certificate Article 32: Signaler un changement après obtention du certificat d’enregistrement Nyuma yo guhabwa icyemezo cy’iyandikwa, After receiving a registration certificate, if Après obtention du certificat d’enregistrement, 46 iyo habaye impinduka ku byashingiweho mu ryacyo, umugenzuzi w’amakuru itangwa cyangwa utunganya amakuru wagihawe abimenyesha urwego rugenzura mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga, mu gihe kitarenze iminsi cumi n’itanu (15) y’akazi uhereye umunsi izo mpinduka zabereyeho. Urwego rugenzura, rukimenyeshwa impinduka zivugwa mu gika cya mbere cy’iyi ngingo kandi rukazemera, ruhuza amakuru n’igihe. Official Gazette n° Special of 15/10/2021 there is a change in the grounds on which a registration certificate was issued, the data controller or the data processor who received it notifies the supervisory authority in writing or electronically within fifteen (15) working days from the date on which such a change occurred. un pour lorsqu’il survient un changement dans les motifs certificat lesquels d’enregistrement a été octroyé, le responsable du traitement ou le sous-traitant en informe par écrit ou par voie électronique l’autorité de contrôle dans les quinze (15) jours ouvrables à compter du jour où ce changement est intervenu. The supervisory authority, as soon as it is informed of change referred to under Paragraph One of this Article and gives its satisfaction, updates the information. L’autorité de contrôle, dès qu’elle est informée du changement visé à l’alinéa premier du présent article et qu’elle en est satisfaite, met à jour les informations.

Ingingo ya 33: Kongerera igihe icyemezo cy’iyandikwa Article 33: Renewal of a registration certificate Article 33: Renouvellement d’un certificat d’enregistrement Ingingo ya 33: Kongerera igihe icyemezo cy’iyandikwa Article 33: Renewal of a registration certificate Article 33: Renouvellement d’un certificat d’enregistrement ufite icyemezo Umugenzuzi w’amakuru cyangwa utunganya cy’iyandikwa amakuru ashobora gusaba ko icyemezo cye cyongererwa igihe, mu gihe cy’iminsi mirongo ine n’itanu (45) icyemezo asanganywe kirangira. y’akazi mbere y’uko rugenzura Urwego rusubiza ku busabe buvugwa mu gika cya mbere cy’iyi ngingo mu cyangwa buryo bw’ikoranabuhanga, mu cy’iminsi mirongo itatu (30) y’akazi uhereye igihe rwakiriye ubusabe. bw’inyandiko gihe The data controller or the data processor who holds a registration certificate may apply for its renewal within forty-five (45) working days before the existing certificate. the expiry date of Le responsable du traitement et le sous-traitant ayant obtenu un certificat d’enregistrement peut demander que son certificat soit renouvelé dans les quarante-cinq (45) jours ouvrables avant la date d’expiration du certificat existant. The supervisory authority responds in writing or electronically to the application referred to under Paragraph One of this Article, within thirty (30) working days following receipt of the application. L’autorité de contrôle répond par écrit ou par voie électronique à la demande visée à l’alinéa premier du présent article dans les trente (30) jours ouvrables de la réception de la demande. Urwego rugenzura rushyiraho amabwiriza The supervisory authority puts in place a L’autorité de contrôle établit un règlement 47 Official Gazette n° Special of 15/10/2021 agena ibisabwa mu kongerera igihe icyemezo cy’iyandikwa. regulation determining renewal of the registration certificate. requirements for fixant les conditions pour le renouvellement d’un certificat d’enregistrement.

Ingingo ya 34: Guhindura cy’iyandikwa icyemezo Article 34: Modification of a registration certificate Article 34: Modification d’un certificat d’enregistrement Ingingo ya 34: Guhindura cy’iyandikwa icyemezo Article 34: Modification of a registration certificate Article 34: Modification d’un certificat d’enregistrement rugenzura, rubyibwirije cyangwa Urwego icyemezo cy’iyandikwa, rubisabwe n’ufite rushobora guhindura icyemezo cy’iyandikwa mbere y’uko agaciro kacyo karangira iyo urwego rugenzura rubona ko iryo hinduka rikenewe kugira ngo gihuzwe: The supervisory authority, on its own motion or on request by the registration certificate holder, may modify the registration certificate before its expiry, if the supervisory authority believes that modification is needed to respond on: L’autorité de contrôle peut, de sa propre initiative ou sur demande d’un titulaire de certificat le certificat d’enregistrement avant l’expiration de sa validité si l’autorité de contrôle estime cette modification est nécessaire pour répondre: d’enregistrement, modifier 1° n’impinduka yabaye mu mategeko 1° change that occurred on applicable 1° au changement intervenu dans des lois akurikizwa; laws; applicables; 2° n’impinduka yabaye mu makuru yatanzwe ishobora kugira ingaruka ku cyemezo cy’iyandikwa. 2° a change in the information that he or she provided that may affect the registration certificate. 2° à un changement dans les informations qu`il a fournies pouvant affecter le certificat d’enregistrement.

Ingingo ya 35: Gutesha agaciro icyemezo cy’iyandikwa Article 35: Cancellation of a registration certificate Article 35: Annulation d’un certificat d’enregistrement Ingingo ya 35: Gutesha agaciro icyemezo cy’iyandikwa Article 35: Cancellation of a registration certificate Article 35: Annulation d’un certificat d’enregistrement Urwego rugenzura rushobora gutesha agaciro icyemezo cy’iyandikwa mbere y’uko igihe kizamara icyemezo cy’iyandikwa: kirangira ufite iyo The supervisory authority may cancel the registration certificate before its date of expiry if the registration certificate holder: L’autorité de contrôle peut annuler le certificat d’enregistrement avant sa date d’expiration si le titulaire de certificat d’enregistrement: 1° yatanze amakuru y’ibinyoma cyangwa 1° has submitted false or misleading 1° a fourni des informations fausses ou ayobya; information; trompeuses; 2° atubahirije ibisabwa n’iri tegeko 2° fails to comply with requirements of this 2° ne se conforme pas aux conditions de la 48 Official Gazette n° Special of 15/10/2021 cyangwa ibikubiye mu cyemezo. Law or terms and conditions specified in the certificate. présente loi ou aux termes et conditions spécifiés dans le certificat. ruha cy’iyandikwa, Urwego rugenzura, mbere yo gutesha agaciro icyemezo y’iminsi cumi n’itanu (15) y’akazi ufite icyo cyemezo mu buryo bw’inyandiko cyangwa gutanga bw’ikoranabuhanga, ibisobanuro ku mpamvu hatubahirijwe ibikubiye mu gika cya mbere cy’iyi ngingo. rumusaba the Before cancellation of registration certificate, the supervisory authority provides the certificate holder with fifteen (15) working days prior notice in writing or electronically, non- requesting compliance with the provisions of Paragraph One of this Article. explanations for on integuza L’autorité de contrôle, avant l’annulation du certificat d’enregistrement, donne au titulaire du certificat, par écrit ou par voie électronique, un préavis d’annulation de quinze (15) jours ouvrables lui demandant des explications sur la non-conformité aux dispositions de l’alinéa premier du présent article.

Ingingo ya 36: abagenzuzi amakuru Igitabo cyandikwamo n’abatunganya b’amakuru Article 36: Register of data controllers and data processors Article 36: Registre de responsables du traitement et de sous-traitants UMUTWE WA VI: Z’UMUGENZUZI N’UTUNGANYA AMAKURU INSHINGANO W’AMAKURU CHAPTER VI: OBLIGATIONS OF THE DATA CONTROLLER AND THE DATA PROCESSOR CHAPTER VI: OBLIGATIONS DU RESPONSABLE DU TRAITEMENT ET DU SOUS-TRAITANT Ingingo ya 36: abagenzuzi amakuru Igitabo cyandikwamo n’abatunganya b’amakuru rugenzura rushyiraho abagenzuzi igitabo Urwego cyandikwamo b’amakuru n’abatunganya amakuru. Icyo gitabo kibikwa kandi kigacungwa n’urwego rugenzura, ari na rwo yacyo n’uburyo gikoreshwa. imiterere rugena Article 36: Register of data controllers and data processors Article 36: Registre de responsables du traitement et de sous-traitants The supervisory authority puts in place a register of data controllers and data processors. Such a register is kept and managed by the supervisory authority, which also determines its form and the manner in which it is used. L’autorité de contrôle met en place un registre de responsables du traitement et de sous- traitants. Ce registre est tenu et conservé par l’autorité de contrôle qui détermine également sa forme et la manière dont il est utilisé. Urwego rugenzura, rubisabwe n’umugenzuzi w’amakuru cyangwa utunganya amakuru ufite inyandiko mu gitabo cyandikwamo abagenzuzi b’amakuru n’abatunganya amakuru itakijyanye n’igihe, rushobora gusiba iyo nyandiko muri icyo gitabo. The supervisory authority may, at the request of the data controller or the data processor who has an outdated entry in the register of data controllers and data processors, erase the entry from the register. L’autorité de contrôle, à la demande du responsable du traitement ou du sous-traitant qui a un écrit obsolète dans le registre de responsables du traitement et de sous-traitants, peut l’effacer dans ce registre. rugenzura rushyiraho amabwiriza Urwego agena impamvu abantu zumvikana bashobora guhabwa uburenganzira uburyo bafite The supervisory authority puts in place a regulation determining modalities under which persons with justified reasons may have the L’autorité de contrôle met en place un règlement qui détermine les modalités selon lesquelles des personnes ayant des motifs 49 Official Gazette n° Special of 15/10/2021 igitabo cyandikwamo bubemerera kubona abagenzuzi b’amakuru n’abatunganya amakuru kugira ngo basome ibikubiyemo, cyangwa guhabwa kopi yemejwe cyangwa inyandukuro y’ibyanditswe muri icyo gitabo. right of access to the register of data controllers and data processors for consultation, or to be issued with a certified copy or an extract of any entry in such a register. justifiés peuvent avoir le droit d’accès au registre de responsables du traitement et de sous-traitants pour la consultation, ou obtenir une copie certifiée ou un extrait d’un écrit dans ce registre. UMUTWE WA VI: Z’UMUGENZUZI N’UTUNGANYA AMAKURU INSHINGANO W’AMAKURU CHAPTER VI: OBLIGATIONS OF THE DATA CONTROLLER AND THE DATA PROCESSOR CHAPTER VI: OBLIGATIONS DU RESPONSABLE DU TRAITEMENT ET DU SOUS-TRAITANT

Ingingo ya 37: Amahame yerekeranye no gutunganya amakuru bwite Article 37: Principles relating to processing of personal data Article 37: Principes relatifs au traitement des données à caractère personnel Ingingo ya 37: Amahame yerekeranye no gutunganya amakuru bwite Article 37: Principles relating to processing of personal data Article 37: Principes relatifs au traitement des données à caractère personnel Umugenzuzi w’amakuru n’utunganya amakuru bubahiriza ko amakuru bwite ya nyiri ubwite: The data controller and the data processor ensure that the data subject’s personal data: Le responsable du traitement et le sous-traitant veillent à ce que les données à caractère personnel de la personne concernée: 1° atunganywa mu bukurikije amategeko, nta kubogama kandi bunyuze mu mucyo; buryo 2° akusanywa ku mpamvu zeruye, zumvikana, zifite ishingiro, kandi ko adatunganywa mu buryo bunyuranye n’izo mpamvu; 1° are processed lawfully, fairly and in a 1° soient traitées de manière licite, loyale et transparent manner; transparente; 2° are collected for explicit, specified and legitimate purposes and not further processed in a manner incompatible with those purposes; 2° soient collectées à des fins explicites, spécifiées et légitimes et ne soient pas traitées d’une manière incompatible avec ces objectifs; 3° ajyanye n’impamvu yasabiwe 3° are related to the purposes for which gutunganywa; their processing was requested; 3° soient en rapport avec les finalités pour lesquelles leur traitement a été sollicité; 4° ari yo kandi, iyo bikenewe ahuzwa n’igihe, zose ziboneye zituma amakuru bwite atari yo n’ingamba hamwe 4° are accurate and, where necessary, kept up to date, with every reasonable step that any being to ensure taken 4° soient exactes et, si nécessaire, tenues à jour, avec toutes les mesures raisonnables prises pour assurer que les données à 50 Official Gazette n° Special of 15/10/2021 ahanagurwa bidatinze; cyangwa agakosorwa inaccurate personal data are erased or rectified without delay; inexactes caractère personnel effacées ou rectifiées sans tarder; soient 5° abikwa mu buryo butuma umwirondoro wa nyiri ubwite umenyekana mu gihe kitarenze igihe gikenewe ku mpamvu zatumye amakuru bwite atunganywa; 5° are kept in a form which permits identification of data subjects for no longer the purposes for which the personal data are processed; is necessary for than 5° soient conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées; 6° atunganywa hubahirizwa uburenganzira 6° are processed in compliance with the 6° soient traitées dans le respect des droits bwa ba nyiri ubwite. rights of data subjects. des personnes concernées.

Ingingo ya 38: Inshingano z’umugenzuzi w’amakuru n’utunganya amakuru Article 38: Duties of the data controller and the data processor Article 38: Attributions du responsable du traitement et du sous-traitant 6 Official Gazette n° Special of 15/10/2021 Ingingo ya 38: Inshingano z’umugenzuzi w’amakuru n’utunganya amakuru Article 38: Duties of the data controller and the data processor Article 38: Attributions du responsable du traitement et du sous-traitant Hubahirijwe amahame yo gutunganya amakuru bwite, umugenzuzi w’amakuru n’utunganya amakuru bafite inshingano zikurikira: In compliance with the principles of the processing of personal data, the data controller and the data processor discharge the following duties: Conformément aux principes de traitement des données à caractère personnel, le responsable du traitement et le sous-traitant ont des attributions suivantes: 1° gushyira mu bikorwa ingamba zo mu rwego rwa tekiniki n’urw’imitunganyirize; 1° to implement appropriate technical and 1° mettre en œuvre les mesures techniques et organisational measures; organisationnelles appropriées; 2° kubika inyandiko z’ibikorwa 2° to keep a record of personal data 2° tenir un registre des opérations de traitement by’itunganywa ry’amakuru bwite; processing operations; des données à caractère personnel; 3° gukora isuzuma ry’ingaruka zo kurinda amakuru bwite mu gihe uburyo bwo gutunganya amakuru bwite bushobora gutera ingorane zikomeye ku burenganzira n’ubwisanzure bw’umuntu ku giti cye; 3° to carry out personal data protection impact assessments where the processing of personal data is likely to result in a high risk to the rights and freedoms of a natural person; 51 3° mener une analyse d’impact relative à la protection des données personnelles à caractère personnel lorsque le traitement des est données susceptible d’entraîner un risque élevé pour les droits et les libertés d’une personne personnel caractère à Official Gazette n° Special of 15/10/2021 physique; 4° gukora undi murimo wose yahabwa n’urwego rugenzura. 4° to perform such other duty as may be assigned to him or her by the supervisory authority. 4° s’acquitter de toute autre tâche qui pourrait lui être confiée par l’autorité de contrôle. Isuzuma ry’ingaruka zo kurinda amakuru bwite rivugwa mu gace ka 3o k’igika cya mbere cy’iyi ngingo rikorwa mu gihe hakorwa: personal The impact assessment referred to in item 3o of Paragraph one of this Article is carried out in case of: protection data L’analyse d’impact relative à la protection des données à caractère personnel visée au point 3o de l’alinéa premier du présent article est requise en cas: 1° isuzuma rikozwe neza kandi ryimbitse ku birebana n’ibiranga abantu birebana n’abantu ku giti cyabo rishingiye ku itunganywa bwite ryikoresha, harimo no gukora ishusho y’amakuru kandi rigashingirwaho mu gufata ibyemezo bigira ingaruka kuri abo bantu; ry’amakuru 1° a systematic and extensive evaluation of personal aspects relating to natural persons which is based on automated processing of personal data, including profiling, and on which decisions that produce such effects persons are based; concerning 1° de l’évaluation systématique et approfondie personnels d’aspects concernant des personnes physiques, qui est fondée sur un traitement automatisé des données à caractère personnel, y compris le profilage, et sur la base de laquelle des décisions produisant des effets à l’égard de ces personnes sont prises; 2° itunganywa ry’amakuru bwite y’ibanga 2° processing on a large scale of sensitive 2° du traitement à grande échelle de données ku rwego rwagutse; personal data; à caractère personnel sensibles; 3° igenzura ry’ahantu rikozwe neza ku buryo bwagutse; nyabagendwa 4° itunganywa ry’amakuru n’urwego bwite ryagaragajwe rugenzura nk’irishobora gutera ingorane zikomeye rw’uburenganzira mu n’ubwisanzure bw’abantu ku giti cyabo; rwego 3° a systematic monitoring of a publicly accessible area on a large scale; 3° de la surveillance systématique à grande échelle d’une zone accessible au public; 4° processing of personal data identified by the supervisory authority as likely to result in a high risk to the rights and freedoms of natural persons; 4° du traitement des données à caractère personnel l’autorité de identifié par contrôle comme susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques; 52 Official Gazette n° Special of 15/10/2021 5° ikoranabuhanga rishya rikoreshwa mu 5° new technologies used to process gutunganya amakuru bwite. personal data. 5° de nouvelles technologies utilisées pour traiter les données à caractère personnel.

Ingingo ya 39: Ishyirwaho ry’uhagarariye umugenzuzi cyangwa utunganya amakuru w’amakuru Article 39: Designation of a representative of the data controller or the data processor Article 39: Désignation d’un représentant du responsable du traitement ou du sous- traitant Ingingo ya 39: Ishyirwaho ry’uhagarariye umugenzuzi w’amakuru cyangwa utunganya amakuru Article 39: Designation of a representative of the data controller or data processor Article 39: Désignation d’un représentant du responsable du traitement ou du sous- traitant Umugenzuzi w’amakuru cyangwa utunganya amakuru udafite icyicaro cyangwa udatuye mu Rwanda, ariko utunganya amakuru bwite ya ba nyiri ubwite bari mu Rwanda, ashyiraho mu nyandiko umuhagarariye mu Rwanda mu rwego rwo nk’uko kubahiriza ziteganywa n’iri tegeko. inshingano ze The data controller or the data processor who is neither established nor resides in Rwanda, but processes personal data of data subjects located in Rwanda, a representative in Rwanda to comply with his or her obligations under this Law. in writing designates Le responsable du traitement ou le sous-traitant qui n’est ni établi ni résidant au Rwanda, mais qui traite des données à caractère personnel des personnes concernées situées au Rwanda, désigne par écrit un représentant au Rwanda pour respecter ses obligations prévues par la présente loi. rugenzura rushyiraho amabwiriza Urwego agenga ishyirwaho ry’uhagarariye umugenzuzi w’amakuru cyangwa utunganya amakuru. The supervisory authority puts in place a regulation governing the designation of a representative of the data controller or data processor. L’autorité de contrôle établit un règlement régissant la désignation d’un représentant du responsable du traitement, du sous-traitant.

Ingingo ya 40: Ishyirwaho ry’umukozi ushinzwe kurinda amakuru bwite Article 40: Designation of the personal data protection officer Article 40: Désignation du délégué à la protection des données à caractère personnel Ingingo ya 40: Ishyirwaho ry’umukozi ushinzwe kurinda amakuru bwite Article 40: Designation of the personal data protection officer Article 40: Désignation du délégué à la protection des données à caractère personnel Umugenzuzi w’amakuru n’utunganya amakuru bashyiraho umukozi ushinzwe kurinda amakuru bwite iyo: The data controller and the data processor designate a data protection officer where: Le responsable du traitement et le sous-traitant désignent un délégué à la protection des données lorsque: 1° gutunganya amakuru bwite bikozwe n’ikigo cya Leta cyangwa icy’abikorera cyangwa urwego rufite ubuzimagatozi, uretse inkiko; 1° the processing of personal data is carried out by public or private corporate body or a legal entity, except courts; 1° le traitement des données à caractère personnel est effectué par une personne morale publique ou privée ou entité juridique, à l'exception des juridictions; 53 2° ibikorwa by’ingenzi by’umugenzuzi w’amakuru cyangwa utunganya amakuru bigizwe n’ibikorwa byo gutunganya amakuru bwite, bitewe n’imiterere yabyo, aho bigarukira cyangwa n’icyo bigamije, bisaba ikurikirana rihoraho kandi rinoze rya ba ny’ir’ubwite ku rwego rwagutse; 3° ibikorwa by’ingenzi by’umugenzuzi w’amakuru iby’utunganya cyangwa amakuru bigizwe no gutunganya ku rwego ibyiciro byihariye by’amakuru bwite hashingiwe ku ngingo ya 10 y’iri tegeko n’amakuru bwite y’abahamijwe ibyaha avugwa mu ngingo ya 12 y’iri tegeko. rwagutse Official Gazette n° Special of 15/10/2021 2° the core activities of the data controller or the data processor consist of personal data processing operations which, by virtue of their nature, their scope or their purposes, require regular and systematic monitoring of data subjects on a large scale; 3° the core activities of the data controller or the data processor consist of processing on a large scale of special categories of data pursuant to Article 10 of this Law and personal data relating to criminal convictions referred in

Ingingo ya 41: ushinzwe kurinda amakuru bwite Inshingano z’umukozi Article 41: Duties of the personal data protection officer Article 41: Attributions du délégué à la protection des données à caractère personnel Ingingo ya 41: ushinzwe kurinda amakuru bwite Inshingano z’umukozi Article 41: Duties of the personal data protection officer Article 41: Attributions du délégué à la protection des données à caractère personnel Umukozi ushinzwe kurinda amakuru bwite afite inshingano zikurikira: The personal data protection officer has the following duties: Les attributions du délégué à la protection des les données à caractère personnel sont 55 1° kumenyesha no kugira inama umugenzuzi w'amakuru, utunganya amakuru, n'abakozi bafite itunganywa ry'amakuru bwite mu nshingano zabo nk’uko biteganywa n'iri tegeko; ry’iri 2° kugenzura, aho akorera, ishyirwa mu bikorwa tegeko na politiki y’umugenzuzi w’amakuru n’utunganya amakuru mu byerekeranye no kurinda amakuru bwite harimo no gutanga inshingano, ubukangurambaga n’amahugurwa y’abakozi mu bikorwa bwite byo n’ubugenzuzi bwerekeranye nabyo; gutunganya amakuru 3° gutanga inama mu byerekeranye n’isesengura ry’ingaruka zo kurinda amakuru no gukurikirana uko bikorwa; bisabwe bwite iyo Official Gazette n° Special of 15/10/2021 suivantes: 1° to inform and advise the data controller, the data processor and the employees who carry out personal data processing, of their obligations pursuant to this Law; 1° informer et conseiller le responsable du traitement, le sous-traitant et les employés qui procèdent au traitement des données à caractère personnel sur les obligations qui leur incombent en vertu de la présente loi; 2° to monitor, in his or her area of work, compliance with this Law and with the policies of the data controller or data processor in relation to the protection of personal data, including the assignment of responsibilities, awareness-raising and training of staff involved in personal data processing operations, and the related audits; 2° contrôler, à son lieu de travail, le respect de la présente loi et des règles internes du responsable du traitement ou du sous- traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et formation du personnel participant aux opérations de traitement des données à caractère personnel et les audits s'y rapportant; la 3° to provide advice where requested as regards impact the data protection assessment and monitor its performance; 3° dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection vérifier l'exécution de celle-ci; données des et 4° kugira imikoranire myiza n’urwego rugenzura no kuba imboni yarwo mu byerekeranye no gutunganya amakuru bwite harimo no kugisha inama mbere urwo rwego kandi iyo bishoboka, ku byerekeranye n’ibindi bikorwa. 4° to cooperate with the supervisory authority and to act as its contact point on issues relating to processing of personal data, including the prior consultation with the supervisory authority, and to consult, where appropriate, with regard to any other matter. relatives au 4° coopérer avec l'autorité de contrôle et faire office de son point de contact sur les traitement des questions données à caractère personnel, y compris la consultation préalable à l’autorité de contrôle, et mener des consultations, le cas échéant, sur tout autre sujet. 56 Official Gazette n° Special of 15/10/2021 Umukozi ushinzwe kurinda amakuru bwite, agomba mu gihe yuzuza inshingano ze, kwita ku ngaruka zikomoka ku bikorwa byo gutunganya amakuru bwite hitabwa ku miterere yabyo, aho bigarukira n’icyo bigamije. The personal data protection officer must in the performance of his or her tasks have due regard to the risk associated with personal data processing operations, considering the nature, scope, context and purpose of processing. Le délégué à la protection des données doit tenir dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement des données à caractère personnel compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

Ingingo ya 42: Amakuru atangwa mu gihe cyo gukusanya amakuru bwite Article 42: Information to be provided during personal data collection Article 42: Informations à fournir lors de la collecte des données à caractère personnel Ingingo ya 42: Amakuru atangwa mu gihe cyo gukusanya amakuru bwite Article 42: Information to be provided during personal data collection Article 42: Informations à fournir lors de la collecte des données à caractère personnel iyo hari Umugenzuzi w’amakuru akusanya amakuru cyemewe bwite n’amategeko gifitanye isano n’igikorwa cye kandi iyo ayo makuru bwite akenewe kugira ngo ikigamijwe kigerweho. ikigamijwe The data controller collects personal data for a lawful purpose connected to the activity of the data controller and when the data is necessary for that purpose. Umugenzuzi w’amakuru ukusanya amakuru bwite amenyesha nyiri ubwite ibi bikurikira: The data controller who collects personal data informs the data subject of the following: Le responsable du traitement collecte les données à caractère personnel pour des fins licites liées à l’activité du responsable du traitement et sont lorsque nécessaires pour ces fins. les données Le responsable du traitement qui collecte les données à caractère personnel informe la personne concernée de ce qui suit: 1° umwirondoro we n’aho abarizwa; 1° his or her identity and contact details; 1° son identité et ses es coordonnées; 2° ikigamijwe mu ikusanywa ry’amakuru 2° the purposes for which personal data 2° les finalités pour lesquelles les données à bwite; are collected; caractère personnel sont collectées; 3° abo ayo makuru bwite agenewe; 3° recipients of such personal data; 3° les destinataires de ces données à caractère personnel; 4° ko afite uburenganzira bwo gutanga amakuru bwite ku bushake cyangwa akayatanga abitegetswe; 4° whether the data subject has the right to provide personal data voluntarily or mandatorily; 4° si la personne concernée a le droit de fournir les données à caractère personnel volontairement ou obligatoirement; 57 Official Gazette n° Special of 15/10/2021 5° ko afite uburenganzira bwo kwisubiraho igihe icyo ari cyo cyose kandi bikaba bidakuraho ko itunganywa ry’amakuru bwite riba rikurikije amategeko hashingiwe ku kuba yari yarabanje kubyemera mbere yo kwisubiraho; 5° the existence of the right to withdraw consent at any time and that such withdrawal does not affect the lawfulness of the processing of personal data based on consent before its withdrawal; 5° l’existence du droit de le consentement à tout moment et que ce retrait n’affecte pas la licéité du traitement des données à caractère personnel basé sur le consentement avant son retrait; retirer 6° ko afite uburenganzira bwo gusaba umugenzuzi w’amakuru kubona amakuru bwite no kuyakosora, kubuza gutunganya cyangwa guhanagura amakuru bwite cyangwa nyiri yerekeye gutambamira itunganywa ryayo; ubwite 6° the existence of the right to request from the data controller access and rectification, restriction or erasure of personal data concerning the data subject or to object to the processing of the data; 6° l’existence du droit de demander au responsable du traitement l’accès et la rectification, la restriction ou l’effacement des données à caractère personnel qui concernent la personne concernée ou de s’opposer au traitement des données; 7° ko hari uburyo bwo gufata icyemezo ishusho bwikoresha, harimo gukora yerekeye y’amakuru ndetse inyurabwenge ziteganyijwe n’ingaruka n’akamaro zizakurikira itunganywa ry’amakuru bwite zizaba kuri nyiri ubwite; yifashishijwe n’amakuru including profiling, 7° the existence of automated decision and making, information about the logic involved, as the well as such envisaged processing personal data for the data subject; the significance and consequences of 8° igihe amakuru bwite azamara abitswe; 8° the period for which personal data will be stored; 7° l’existence d’une prise de décision automatisée, y compris le profilage et des informations sur la logique impliquée ainsi que l’importance et les conséquences envisagées d’un tel traitement des données à caractère personnel à la personne concernée; 8° la durée pour laquelle des données à caractère personnel seront conservées; 9° afite uburenganzira bwo kujuririra urwego 9° the right to appeal to the supervisory 9° le droit de faire recours auprès de rugenzura; authority; l’autorité de contrôle; 10° igihe bibaye ngombwa, ashobora kohereza amakuru bwite hanze y’u Rwanda kandi akamwizeza umutekano wayo; 10° where applicable, that he or she can transfer personal data outside Rwanda and he or she assures him or her of their security; 10° le cas échéant, s’il peut transférer les données à caractère personnel vers l’extérieur du Rwanda et s’il l’assure de leur sécurité; 58 Official Gazette n° Special of 15/10/2021 11° andi makuru akenewe yatuma gutunganya amakuru bwite ye bikorwa mu buryo butabogamye, hitawe ku bihe byihariye amakuru yakusanyijwemo. 11° any further information fair processing of likely to guarantee the personal data, having regard to the specific circumstances in which the data are collected. 11° toute autre information susceptible de garantir un traitement équitable des données à caractère personnel, compte tenu des circonstances spécifiques dans lesquelles les données sont collectées. Icyakora, umugenzuzi w’amakuru ntategetswe kubahiriza ibikubiye mu gika cya 2 cy’iyi ngingo iyo: However, the data controller is not required to comply with the provisions of Paragraph 2 of this Article if: Toutefois, le responsable du traitement n’est pas tenu de se conformer aux dispositions de l’alinéa 2 du présent article si : 1° nyiri ubwite asanzwe afite amakuru avugwa mu gika cya mbere cy’iyi ngingo; 1° the data subject already has the information referred to in Paragraph One of this Article; 1° la personne concernée dispose déjà des informations visées à l’alinéa premier du présent article; 2° gutanga cyangwa budasanzwe; ayo makuru bidashoboka ubushobozi byasaba 2° the provision of such proves impossible or disproportionate effort; information involves a 2° la fourniture de ces informations s’avère implique un effort impossible ou disproportionné; 3° gufata cyangwa gutangaza amakuru bwite biteganywa n’amategeko. 3° the recording or disclosure of the personal data is provided for by the Law. 3° l’enregistrement ou la divulgation des données à caractère personnel est prévu par la loi.

Ingingo ya 43: Imenyekanisha ku ivogerwa ry’amakuru bwite Article 43: Notification of personal data breach Article 43: Notification de la violation des données à caractère personnel Ingingo ya 43: Imenyekanisha ku ivogerwa ry’amakuru bwite Article 43: Notification of personal data breach Article 43: Notification de la violation des données à caractère personnel Iyo amakuru bwite avogerewe, umugenzuzi w’amakuru, mu gihe kitarenze amasaha mirongo (48) nyuma yo kubimenya, agomba kubimenyesha urwego rugenzura. ine n’umunani In case of personal data breach, the data controller, within forty-eight (48) hours after being incident, must communicate the personal data breach to the supervisory authority. aware the of En cas de violation des données à caractère personnel, le responsable du traitement, dans les quarante-huit (48) heures après en avoir pris connaissance, doit en informer l’autorité de contrôle. 59 Official Gazette n° Special of 15/10/2021 Iyo utunganya amakuru amenye ko amakuru bwite yavogerewe, abimenyesha umugenzuzi w’amakuru mu gihe kitarenze amasaha mirongo (48) nyuma yo kubimenya. ine n’umunani Where the data processor becomes aware of personal data breach, he or she notifies the data controller within forty-eight (48) hours after being aware of the incident.

Ingingo ya 44: Raporo ku ry’amakuru bwite ivogerwa Article 44: Report on personal data breach Article 44: Rapport sur la violation des données à caractère personnel Ingingo ya 44: Raporo ku ry’amakuru bwite ivogerwa Article 44: Report on personal data breach Umugenzuzi w’amakuru akora raporo ku ivogerwa ry’amakuru bwite, akayishyikiriza urwego rugenzura mu gihe kitarenze amasaha mirongo hamwe n’ibimenyetso byose bihari. irindwi n’abiri (72) The data controller draws up a report on personal data breach and submits it to the supervisory authority not later than seventy- two (72) hours, with all facts available. Lorsque le sous-traitant prend connaissance de la violation des données à caractère personnel, il en informe le responsable du traitement dans les quarante-huit (48) heures après en avoir pris connaissance. Article 44: Rapport sur la violation des données à caractère personnel Le responsable du traitement fait un rapport sur la violation des données à caractère personnel et le transmet à l’autorité de contrôle dans les soixante-douze (72) heures avec tous les faits disponibles. Raporo igaragaza nibura ibi bikurikira: The report describes at least: Le rapport indique au moins ce qui suit: 1° imiterere y’ivogerwa ry’amakuru bwite, harimo, igihe cyose bishoboka, ibyiciro n’umubare ucishirije wa ba nyiri ubwite n’ibyiciro n’umubare ucishirije w’inyandiko z’amakuru bwite yavogerewe bireba; 1° the nature of the personal data breach including where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of personal data records concerned; 1° la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés; 2° umwirondoro w’umukozi ushinzwe kurinda amakuru bwite cyangwa undi mukozi ushobora gutanga amakuru y’inyongera; 2° the contact details of the personal data protection officer or other contact point information can be where more obtained; 2° les coordonnées du délégué à la protection des données ou d’un autre point de contact informations auprès supplémentaires peuvent être obtenues; duquel des 3° ingamba zigamije gukemura ivogerwa ry’amakuru bwite, harimo n’izerekeranye no koroshya ingaruka zishobora guterwa n’iryo 3° the measures taken to address the including its possible data to mitigate personal measures breach, 3° les mesures prises pour remédier à la violation de données à caractère personnel, y compris les mesures pour en atténuer les 60 vogerwa; adverse effects; éventuelles conséquences négatives; Official Gazette n° Special of 15/10/2021 4° ibikorwa byerekeranye n’ivogerwa ry’amakuru bwite, ingaruka z’ivogerwa ry’amakuru bwite n’ingamba zafashwe zo gukosora iryo vogerwa; 4° the acts relating to personal data breaches, the personal data breach and the measures taken to rectify such a breach; the consequences of 4° les actes relatifs à la violation de données à caractère personnel, les conséquences de la violation de données à caractère personnel et les mesures prises pour rectifier cette violation; 5° icyifuzo cye cyo kumenyesha nyiri ubwite wagizweho ingaruka n’ivogerwa ry’amakuru bwite n’igihe rigomba gukorerwa bikemezwa n’urwego rugenzura. iryo menyesha 5° his or her proposal for communicating the personal data breach to affected data subjects and the timeline for such a communication, for approval by the supervisory authority. 5° sa proposition de communiquer la violation de données à caractère personnel à la personne concernée affectée et les délais de cette communication, pour approbation par l’autorité de contrôle.

Ingingo ya 45: Kumenyesha nyiri ubwite ivogerwa ry’amakuru bwite Article 45: Communication of a personal data breach to the data subject Article 45: Communication à la personne concernée d’une violation de données à caractère personnel Ingingo ya 45: Kumenyesha nyiri ubwite ivogerwa ry’amakuru bwite Article 45: Communication of a personal data breach to the data subject Article 45: Communication à la personne concernée d’une violation de données à caractère personnel Iyo kuvogera amakuru bwite bishobora kubangamira uburenganzira n’ubwisanzure bya nyiri ubwite, umugenzuzi w’amakuru akimara kubimenya abimenyesha nyiri ubwite mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga ko amakuru bwite ye yavogerewe. the data subject, Where the personal data breach is likely to result in a high risk to the rights and freedoms of the data controller communicates the personal data breach to the data subject in writing or electronically, after having become aware of it. Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés de la personne concernée, traitement communique la violation de données à caractère personnel à la personne concernée par écrit ou par voie électronique après en avoir pris connaissance. responsable du le Icyakora, w’amakuru umugenzuzi ntamenyesha nyiri ubwite ko amakuru bwite ye yavogerewe iyo: However, the data controller is not required to communicate the personal data breach to the data subject if: Toutefois, le responsable du traitement ne communique pas la violation de données à caractère personnel à la personne concernée si: 1° yashyize mu bikorwa ingamba 1° the data controller has implemented 1° le responsable du traitement a mis en œuvre 61 zumvikana zo mu rwego rwa tekiniki n’urw’imitunganyirize zerekeranye no kurinda amakuru bwite yavogerewe ku buryo ry’amakuru bwite kubangamira ridashobora uburenganzira n’ubwisanzure bya nyiri ubwite; ivogerwa Official Gazette n° Special of 15/10/2021 technical and appropriate organisational protection measures in relation to personal data breached such that the personal data breach is unlikely to result in a high risk to the rights and freedoms of the data subject; 2° yafashe ingamba zigamije kugenzura ko uburenganzira ubwite nyiri kubangamira n’ubwisanzure bya bitazongera kubaho; 2° the data controller has taken measures which ensure that the high risk to the rights and freedoms of the data subject is no longer likely to materialize; les mesures de protection techniques et organisationnelles appropriées relatives à la protection de données à caractère personnel violées de sorte que cette violation n’engendre pas un risque élevé pour les droits et libertés de la personne concernée; 2° le responsable du traitement a pris des mesures qui garantissent que le risque élevé pour les droits et libertés de la personne concernée n’est plus susceptible de se matérialiser; 3° yabimenyesheje rubanda ku buryo nyiri ubwite na we abimenyeshwa kimwe na bo mu buryo bukwiye. 3° the data controller communicated it to the public whereby the data subject is informed in an equally effective manner. 3° le responsable du traitement a procédé à une communication publique permettant à la personne concernée d’être informée de manière tout aussi efficace. kubangamira Iyo umugenzuzi w’amakuru atamenyesheje nyiri ubwite ivogerwa ry’amakuru bwite ye, kandi rishobora uburenganzira n’ubwisanzure bye, urwego rugenzura rushobora gutegeka umugenzuzi w’amakuru kumenyesha nyiri ubwite mu buryo bw’inyandiko cyangwa bw’ikoranabuhanga ivogerwa ry’amakuru bwite ye. If the data controller has not communicated the personal data breach to the data subject, and the personal data breach is likely to result in a high risk to the rights and freedoms of the data subject, the supervisory authority may request the data controller the personal data breach to the data subject in writing or electronically. to communicate Si le responsable du traitement n’a pas communiqué à la personne concernée la violation de données à caractère personnel, et que cette violation est susceptible d’engendrer un risque élevé pour ses droits et libertés, l’autorité de contrôle peut exiger du responsable du traitement de communiquer à la personne concernée la violation de données à caractère personnel par écrit ou par voie électronique. 62 Official Gazette n° Special of 15/10/2021

Ingingo ya 46: Gutunganya amakuru bwite mu buryo bwemewe n’amategeko Article 46: Lawful processing of personal data Article 46: Licéité du traitement de données à caractère personnel Ingingo ya 46: Gutunganya amakuru bwite mu buryo bwemewe n’amategeko Article 46: Lawful processing of personal data Article 46: Licéité du traitement de données à caractère personnel Umugenzuzi w’amakuru cyangwa utunganya amakuru atunganya amakuru bwite mu buryo bwemewe n’amategeko iyo: The data controller or the data processor lawfully processes personal data if: Le responsable du traitement ou le sous-traitant procède au traitement licite des données à caractère personnel si: 1° nyiri ubwite yemeye ko amakuru bwite mpamvu atunganywa ku ye yasobanuriwe; 1° the data subject has given consent to the processing of his or her personal data for purposes explained to him or her; 2° nyiri ubwite ashyira mu bikorwa amasezerano yasinye, afitemo uruhare cyangwa hagamijwe gufata icyemezo ku busabe bwa nyiri ubwite mbere yo gusinya amasezerano; 3° umugenzuzi w’amakuru ashyira mu ishingiye ku inshingano bikorwa mategeko; 2° processing is for necessary the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract; 1° la personne concernée a consenti au traitement de ses données à caractère personnel pour des finalités qui lui ont été expliquées; 2° le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci; 3° the data controller executes a legal obligation to which he or she is a subject; 3° le responsable du traitement exécute une obligation légale à laquelle il est soumis; 4° ari ngombwa mu kurengera inyungu z’ingenzi za nyiri ubwite cyangwa undi muntu; 4° it is necessary for protection of vital interests of the data subject or any other person; 4° le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou de toute autre personne; 5° ari ngombwa mu rwego rwo kurangiza inshingano ziri mu nyungu rusange cyangwa mu gukoresha ububasha umugenzuzi w’amakuru yahawe; 5° it is necessary for the performance of a duty carried out in the public interest or in the exercise of official authority vested in the data controller; 5° le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement; 6° bikozwe hagamijwe gushyira mu 6° it is carried out for the performance of 6° il est mené à des fins d’exécution des tâches 63 bikorwa inshingano z’urwego rwa Leta; duties of a public entity; d’une entité publique; Official Gazette n° Special of 15/10/2021 7° hagamijwe inyungu zemewe zikurikiranywe n’umugenzuzi cyangwa undi muntu w’amakuru uhabwa amakuru bwite, keretse iyo gutunganya ayo makuru bwite bitari ngombwa ku mpamvu zihariye zifitanye isano no kubangamira uburenganzira n’ubwisanzure inyungu zemewe zikurikiranywe na nyiri ubwite; cyangwa 7° it is intended for legitimate interests pursued by the data controller or by a third party to whom the personal data are disclosed, unless the processing of personal data is unwarranted in any the particular case having regard prejudice to the rights and freedoms or legitimate interests pursued by the data subject; to par légitimes poursuivis 7° le traitement est nécessaire aux fins des intérêts le responsable du traitement ou par un tiers à qui les données à caractère personnel sont divulguées, à moins que le traitement de ces données à caractère personnel ne soit nécessaire dans un cas particulier eu égard au préjudice des droits et libertés ou des intérêts légitimes de la personne concernée; 8° bikozwe ku mpamvu z’ubushakashatsi byatangiwe uruhushya n’urwego bireba. 8° it is carried out for research purposes upon authorisation by relevant institution. 8° il est mené à des fins de recherche sur autorisation de l’institution concernée.

Ingingo ya 47: Ingamba zo kugenzura umutekano w’amakuru bwite Article 47: Measures to ensure security of personal data Article 47: Mesures pour assurer la sécurité des données à caractère personnel UMUTWE WA VII: GUHANAHANA, GUHEREREKANYA, NO AMAKURU GUKOMEZA KUBIKA KUBIKA CHAPTER VII: SHARING, TRANSFER, STORAGE AND RETENTION OF PERSONAL DATA PARTAGE, CHAPITRE TRANSFERT, ET RÉTENTION DES DONNÉES À VII: STOCKAGE 7 Official Gazette n° Special of 15/10/2021 BWITE CARACTÈRE PERSONNEL Ingingo ya 47: Ingamba zo kugenzura umutekano w’amakuru bwite Article 47: Measures to ensure security of personal data Article 47: Mesures pour assurer la sécurité des données à caractère personnel Umugenzuzi w’amakuru cyangwa utunganya amakuru agomba kurinda amakuru bwite afite, binyuze mu gufata ingamba zikwiye, zumvikana zo mu rwego rwa tekiniki kugira ngo hirindwe itakara, iyangirika cyangwa isenywa ry’amakuru bwite. The data controller or the data processor must ensure security of the personal data in his or her possession appropriate, reasonable technical measures to prevent loss, damage or destruction of personal data. adopting by, Le responsable du traitement ou le sous-traitant doit assurer la sécurité des données à caractère personnel en sa possession en adoptant des mesures appropriées, raisonnables d’ordre technique pour éviter la perte, le dommage ou la destruction des données à caractère personnel. Mu rwego rwo gushyira mu bikorwa ibivugwa mu gika cya mbere cy’iyi ngingo, umugenzuzi w’amakuru cyangwa utunganya amakuru afata ingamba zo kugenzura umutekano w’amakuru bwite zikurikira: For purposes of enforcing the provisions of Paragraph One of this Article, the data controller or the data processor takes the following measures to ensure security of personal data: Aux fins de l’application des dispositions de l’alinéa premier du présent article, le responsable du traitement ou le sous-traitant prend des mesures suivantes pour assurer la sécurité des données à caractère personnel: 64 bwite 1° gutahura ingorane zishobora kubaho ku makuru cyangwa agenzurwa n’uwo muntu, gushyiraho no gukaza ingamba zikwiye zo kwirinda izo ngorane; afitwe Official Gazette n° Special of 15/10/2021 1° identify foreseeable risks to personal data under that person’s possession or control, and maintain appropriate safeguards against those risks; establish 1° identifier les risques prévisibles pour les données à caractère personnel sous la possession ou le contrôle de cette personne, établir et maintenir des sauvegardes appropriées contre ces risques; 2° kugenzura buri gihe niba kurinda amakuru bwite bishyirwa mu bikorwa uko bikwiye; 2° regularly verify whether the personal data security safeguards are effectively implemented; 2° vérifier régulièrement si les sauvegardes de la sécurité de données à caractère personnel sont effectivement mises en œuvre; 3° kugenzura niba kurinda amakuru bwite bikomeza kujyana n’igihe hagamijwe guhangana n’ingorane nshya cyangwa ibyuho byagaragara. 3° ensure that the personal data security safeguards are continually updated in response to new risks or any identified deficiencies. 3° veiller à ce que les garanties de la sécurité de données à caractère personnel sont mises à jour pour répondre aux nouveaux risques ou aux défaillances identifiées. guhererekanya Iyo urwego rugenzura rusanze gutunganya cyangwa bwite bishobora uburenganzira n’imibereho bwite bya nyiri ubwite, rukora igenzura n’isuzuma ry’ingamba zivugwa muri iyi ngingo. kubangamira amakuru that processing or When the supervisory authority is of the opinion transferring personal data may infringe the rights and privacy of the data subject, the supervisory authority and assessment of the measures set out in this Article. inspection conducts an UMUTWE WA VII: GUHANAHANA, GUHEREREKANYA, NO GUKOMEZA AMAKURU BWITE KUBIKA KUBIKA CHAPTER VI: SHARING, TRANSFER, STORAGE AND RETENTION OF PERSONAL DATA le Lorsque l’autorité de contrôle est d’avis que le traitement ou transfert de données à caractère personnel peut porter atteinte aux droits et à la vie privée de la personne concernée, elle procède à une inspection et à une évaluation des mesures prévues au présent article. CHAPITRE TRANSFERT, RÉTENTION DES DONNÉES CARACTÈRE PERSONNEL VI : STOCKAGE PARTAGE, ET À

Ingingo ya 48: Ihanahana n’ihererekanya ry’amakuru bwite hanze y’u Rwanda Article 48: Sharing and transfer of personal data outside Rwanda Article 48: Partage et transfert des données à caractère personnel en dehors du Rwanda Ingingo ihererekanya ry’amakuru bwite ya 49: Amasezerano mu Ingingo ya 48: Ihanahana n’ihererekanya ry’amakuru bwite hanze y’u Rwanda Article 48: Sharing and transfer of personal data outside Rwanda Article 48: Partage et transfert des données à caractère personnel en dehors du Rwanda Umugenzuzi w’amakuru cyangwa utunganya The data controller or the data processor may Le responsable du traitement ou le sous- 65 ashobora cyangwa amakuru guhererekanya amakuru bwite n’undi muntu hanze y’u Rwanda iyo: guhanahana Official Gazette n° Special of 15/10/2021 share or transfer personal data to a third party outside Rwanda if: 1° yabiherewe uruhushya rugenzura nyuma yo kugaragaza ko yafashe ingamba ziboneye zo kurinda amakuru bwite; n’urwego 1° he or she has obtained authorisation from the supervisory authority after providing proof of appropriate safeguards with respect to the protection of personal data; traitant peut partager ou transférer les données à caractère personnel vers un tiers en dehors du Rwanda si: 1° il a obtenu l’autorisation de l’autorité de contrôle après avoir fourni des garanties appropriées au regard de la protection des données à caractère personnel; 2° nyiri ubwite yabyiyemereye; 2° the data subject has given his or her 2° la personne concernée a donné son consent; consentement; 3° ihererekanya rikenewe kugira ngo: a. hashyirwe mu bikorwa amasezerano yakozwe hagati ubwite cyangwa n’umugenzuzi w’amakuru ibyemezo nteguramasezerano byafashwe ku busabe bwa nyiri ubwite; nyiri ya 3° the transfer is necessary: 3° le transfert est nécessaire: a. for the performance of a contract between the data subject and the data controller or the implementation of pre- contractual measures taken in response to the data subject's request; a. à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée; b. hashyirwe mu bikorwa amasezerano yumvikanyweho mu nyungu za nyiri ubwite hagati y’umugenzuzi w’amakuru n’undi muntu; b. for the performance of a contract concluded in the interest of the data subject between the data controller and a third party; b. à l’exécution d’un contrat conclu, dans l’intérêt de la personne concernée, entre le responsable du traitement et un tiers; c. inyungu rusange zigerweho; c. for public interest grounds; c. pour des motifs d’intérêt public; d. hatangwe, hakurikiranwe cyangwa d. for the establishment, exercise or d. pour la constatation, l’exercice ou la hiregurwe ku kirego mu nkiko; defence of a legal claim; défense d’un droit en justice; e. harengerwe inyungu z’ingenzi za nyiri ubwite cyangwa iz’undi muntu iyo nyiri ubwite adashoboye kwiyemerera kubera e. to protect the vital interests of the data subject or of another person where the data subject is physically or legally e. à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne dans le cas où la personne 66 Official Gazette n° Special of 15/10/2021 ubumuga bw’umubiri cyangwa ku mpamvu zishingiye ku mategeko; incapable of giving his or her consent; f. humvikanishwe inyungu zemewe n’amategeko z’umugenzuzi w’amakuru cyangwa amakuru utunganya zidasumbwa n’inyungu, uburenganzira n’ubwisanzure bwa nyiri ubwite kandi iyo: i. ritisubiramo kandi ihererekanya rireba umubare muto wa ba nyiri ubwite; ii. umugenzuzi w’amakuru cyangwa yasuzumye amakuru utunganya impamvu zose zijyanye n’igikorwa cyo guhererekanya amakuru bwite kandi, ashingiye kuri iryo suzuma, yashyizeho ingamba zo kurinda amakuru bwite; f. for the purposes of compelling legitimate interests pursued by the data controller or by the data processor, the which are not overridden by interests, rights and freedoms of the data subject, and when: i. the transfer is not repetitive and concerns only a limited number of data subjects; ii. the data controller or the data the processor has assessed all circumstances surrounding the data transfer and has, on the basis of that suitable assessment, safeguards with the to regard protection of personal data; provided concernée se trouve dans l'incapacité physique ou juridique de donner son consentement; f. aux fins des intérêts légitimes impérieux poursuivis par responsable du le traitement ou par le sous-traitant sur lesquels ne prévalent pas les intérêts, les droits et la personne concernée, et lorsque: libertés de i. le transfert ne revêt pas de caractère répétitif et ne touche qu’un nombre limité de personnes concernées; ii. le responsable du traitement ou le sous- traitant a évalué toutes les circonstances entourant le transfert de données à caractère personnel et a offert, sur la base de cette évaluation, des garanties appropriées au regard de la protection des données à caractère personnel; g. hashyirwe mu bikorwa amasezerano mpuzamahanga yemejwe n’u Rwanda. g. for the performance of international g. à l’exécution des instruments instruments ratified by Rwanda. internationaux ratifiés par le Rwanda. rugenzura Urwego rushobora gushyiraho amabwiriza agena indi mpamvu yo guhanahana cyangwa guhererekanya amakuru bwite n’undi muntu hanze y’u Rwanda. The supervisory authority may put in place a regulation determining another reason of sharing or transferring personal data to a third party outside Rwanda. L’autorité de contrôle peut établir un règlement déterminant une autre raison de partage et de transfert à un tiers des données à caractère personnel en dehors du Rwanda. 67 Ingingo ihererekanya ry’amakuru bwite ya 49: Amasezerano mu Official Gazette n° Special of 15/10/2021 Article 48 of this Law do not apply to activities carried out by a public body in the exercise of its functions. rushobora rugenzura Urwego gusaba umugenzuzi w’amakuru cyangwa utunganya amakuru wohereza amakuru bwite hanze y’u iyubahirizwa Rwanda ry’ibiteganywa muri iyi ngingo by’umwihariko ingamba zo kurinda amakuru bwite n’inyungu zivugwa mu gace ka 3ᵒ f) k’ingingo ya 48 y’iri tegeko. kugaragaza The supervisory authority may require the data controller or the data processor to demonstrate their compliance with the provisions of this Article, and in particular, with personal data security safeguards and interests referred to in Item 3° f) of Article 48 of this Law. 68 Les dispositions des points 1o et 3° a), b) et d) de l’article 48 de la présente loi ne s’appliquent pas aux activités exercées par un organisme public dans le cadre de l’exercice de ses fonctions. L’autorité de contrôle peut demander au responsable du traitement ou au sous-traitant transférant les données à caractère personnel vers l’extérieur du Rwanda de prouver qu’il se conforme aux dispositions du présent article, plus particulièrement de fournir des garanties de protection des données à caractère personnel et des intérêts visés au point 3o f) de l’article 48 de la présente loi. Urwego rugenzura, mu rwego rwo kurinda uburenganzira n’ubwisanzure bya nyiri ubwite, rushobora guhagarika ihererekanya ry’amakuru bwite hanze y’u Rwanda. cyangwa kubuza Official Gazette n° Special of 15/10/2021 The supervisory authority, in order to protect the rights and freedoms of the data subject, may prohibit or suspend the transfer of personal data outside Rwanda.

Article 49: Contract for transfer of personal data Article 49: Contrat de transfert des données à caractère personnel Article 49: Contract for transfer of personal data Article 49: Contrat de transfert des données à caractère personnel Umugenzuzi w’amakuru cyangwa utunganya amakuru wemerera umuntu kubona amakuru bwite, kuyageza cyangwa kuyahererekanya ku wundi muntu hanze y’u Rwanda, akora amasezerano yanditse n’uwo muntu asobanura uruhare n’inshingano za buri ruhande hagamijwe kubahiriza ibiteganywa n’iri tegeko. The data controller or the data processor who authorises a person to access personal data, share or transfer them to a third party outside Rwanda, enters into a written contract with such a person setting out the respective roles and responsibilities of each party to ensure compliance with this Law. Le responsable du traitement ou le sous- traitant qui autorise à une personne d’obtenir les données à caractère personnel, de les partager et de les transférer vers un tiers en dehors du Rwanda, conclut un contrat écrit avec cette personne définissant les rôles et les responsabilités de chaque partie pour assurer le respect des dispositions de la présente loi. Urwego rugenzura, rwifashishije amabwiriza, rushobora kugena imiterere y’amasezerano akoreshwa mu ihererekanya ry’amakuru bwite hanze y’u Rwanda. The supervisory authority may, by a regulation, determine the form of the contract to be used for transfers of personal data outside Rwanda. L’autorité de contrôle peut, par voie de règlement, déterminer le format du contrat devant être utilisé pour le transfert des données à caractère personnel en dehors du Rwanda. Ibivugwa mu gace ka 1° n’aka 3° a), b) na d) by’ingingo ya 48 y’iri tegeko ntibikurikizwa ku bikorwa byakozwe n’ikigo cya Leta mu gihe gishyira mu bikorwa inshingano zacyo. Provisions of Items 1o and 3° a), b) and d) of

Ingingo ya 50: Ibikwa ry’amakuru bwite Article 50 Storage of personal data Article 50: Stockage des données à caractère personnel Ingingo ya 50: Ibikwa ry’amakuru bwite Article 50: Storage of personal data Umugenzuzi w’amakuru cyangwa utunganya amakuru abika amakuru bwite mu Rwanda. The data controller or the data processor stores personal data in Rwanda. Icyakora, kubika amakuru bwite hanze y’u iyo umugenzuzi Rwanda byemewe gusa w’amakuru cyangwa utunganya amakuru afite icyemezo cy’iyandikwa kimwemerera kubika amakuru bwite hanze y'u Rwanda gitangwa n’urwego rugenzura. However, the storage of personal data outside Rwanda is only permitted if the data controller or the data processor holds a valid registration certificate authorising him or her to store personal data outside Rwanda, which is issued by the supervisory authority. L’autorité de contrôle peut, afin de protéger les droits et les libertés de la personne concernée, interdire ou suspendre le transfert de données à caractère personnel vers l’extérieur du Rwanda. Article 50: Stockage des données à caractère personnel Le responsable du traitement ou le sous- les données à caractère traitant stocke personnel au Rwanda. Toutefois, le stockage de données à caractère personnel en dehors du Rwanda n’est autorisé que si le responsable du traitement ou le sous- traitant détient un certificat d’enregistrement délivré par l’autorité de contrôle, qui l’autorise à stocker les données à caractère personnel en dehors du Rwanda.

Ingingo ya 51: Kwimura no gucunga amakuru bwite nyuma yo guhindura cyangwa gufunga ibikorwa Article 51: Migration and management of personal data after change or closure of business Article 51: Migration et gestion de données à caractère personnel après le changement ou la fermeture des activités Ingingo ya 51: Kwimura no gucunga amakuru bwite nyuma yo guhindura cyangwa gufunga ibikorwa Article 51: Migration and management of personal data after change or closure of business Article 51: Migration et gestion de données à caractère personnel après le changement ou la fermeture des activités rugenzura rushyiraho amabwiriza Urwego agena uburyo bwo kwimura no gucunga ibikorwa amakuru cyangwa by’umugenzuzi utunganya cyangwa bifunzwe. amakuru bihindutse bwite mu w’amakuru gihe determining modalities The supervisory authority puts in place a regulation for migration and management of personal data in case of change or closure of business of the data controller or the data processor. L’autorité de contrôle met en place un règlement déterminant les modalités de migration et de gestion de données à caractère personnel en cas de changement ou de fermeture des activités du responsable du traitement ou du sous-traitant. 69 Official Gazette n° Special of 15/10/2021

Ingingo ya 52: Igihe amakuru bwite amara abitswe Article 52: Retention of personal data Article 52: Rétention de données à caractère personnel UMUTWE WA VIII: AMAKOSA, IBYAHA N’IBIHANO CHAPTER OFFENCES AND SANCTIONS VIII: MISCONDUCTS, CHAPITRE INFRACTIONS ET SANCTIONS, VIII: FAUTES, Icyiciro cya mbere: Amakosa n’ibihano byo mu rwego rw’ubutegetsi Section One: Administrative misconducts and sanctions Section première: Fautes et sanctions administratives Ingingo ya 52: Igihe amakuru bwite amara abitswe Article 52: Retention of personal data Article 52: Rétention de données à caractère personnel Umugenzuzi w’amakuru cyangwa utunganya amakuru abika amakuru bwite kugeza igihe ikigamijwe mu itunganywa ryayo kigezweho. The data controller or the data processor retains personal data until the purposes of the processing of personal data are fulfilled. Le responsable du traitement ou le sous-traitant retient les données à caractère personnel jusqu’à ce que les finalités de leur traitement sont atteintes. Icyakora, umugenzuzi w’amakuru cyangwa utunganya amakuru ashobora gukomeza kubika amakuru bwite igihe kirekire ku mpamvu zikurikira: However, the data controller or the data processor may retain personal data for a longer period for the following grounds: Toutefois, le responsable du traitement ou le sous-traitant peut retenir les données à caractère personnel pendant une longue période pour des raisons suivantes: 1° iyo byemewe n’itegeko; 1° if retention is authorised by Law; 1° si la rétention est autorisée par la loi; 2° iyo bisabwa mu masezerano yakozwe 2° if retention is required by a contract 2° si la rétention est requise par un contrat hagati y’impande zayagiranye; concluded between the parties; conclu entre les parties; 3° iyo amakuru bwite isano n’umurimo cyangwa igikorwa byatumye amakuru bwite akusanywa cyangwa atunganywa; afitanye 4° gukumira, guperereza, gutahura, gukurikirana cyangwa guhana uwakoze icyaha; 3° if the personal data is related to a function or activity for which the personal data collected or are processed; 3° si les données à caractère personnel sont liées à une fonction ou une activité pour laquelle les données à caractère personnel sont collectées ou traitées; 4° preventing, detecting, investigating, prosecuting or punishing an offender; 4° prévenir, détecter, enquêter, poursuivre ou sanctionner l’auteur d’une infraction; 5° kurinda umutekano w’Igihugu; 5° protecting national security; 5° protéger la sécurité nationale; 6° gushyira mu cy’Urukiko; bikorwa icyemezo 6° enforcing a court order; 6° exécuter une décision judiciaire; 70 7° kubahiriza amategeko gukusanya imisoro n’amahoro bya Leta; arebana no Official Gazette n° Special of 15/10/2021 7° enforcing legislation relating to 7° appliquer les lois relatives à la collecte des collection of public revenues; recettes publiques; 8° gukurikirana ikirego mu rukiko; 8° conducting proceedings before a court; 8° suivre une action devant une juridiction; 9° gukora ubushakashatsi byatangiwe 9° carrying out research authorised by a 9° mener une recherche autorisée par une uruhushya n’urwego bireba; relevant authority; autorité compétente; 10° iyo nyiri ubwite yabyiyemereye. 10° if the data subject consents. 10° si la personne concernée a donné son rugenzura Urwego rushobora gushyiraho amabwiriza agena indi mpamvu yo kubika amakuru bwite igihe kirekire. The supervisory authority may put in place a regulation determining any other ground for retention of personal data for a longer period. Iyo igihe cyo kubika amakuru bwite kirangiye, umugenzuzi w’amakuru cyangwa utunganya amakuru agomba kuyasenya ku buryo bitashoboka kongera kuyasubiranya ngo yumvikane. At the end of the personal data retention period, the data controller or the data processor must destroy the personal data in a manner that prevents its reconstruction in an intelligible form. consentement. L’autorité de contrôle peut établir un règlement déterminant une autre raison de rétention des données à caractère personnel pendant une longue période. À la fin de la période de rétention des données à caractère personnel, le responsable du traitement ou le sous-traitant doit détruire les données à caractère personnel de manière à empêcher leur reconstruction sous une forme intelligible. 71 Official Gazette n° Special of 15/10/2021 UMUTWE WA VIII: AMAKOSA, IBYAHA N’IBIHANO CHAPTER OFFENCES AND SANCTIONS VIII: MISCONDUCTS, CHAPITRE INFRACTIONS ET SANCTIONS, VIII: FAUTES, Icyiciro cya mbere: Amakosa n’ibihano byo mu rwego rw’ubutegetsi Section One: Administrative misconducts and sanctions Section première: Fautes et sanctions administratives

Ingingo ya 53: Amakosa yo mu rwego rw’ubutegetsi Article 53: Administrative misconducts Article 53: Fautes administratives Ingingo ya 53: Amakosa yo mu rwego rw’ubutegetsi Article 53: Administrative misconducts Article 53: Fautes administratives Umugenzuzi w’amakuru, utunganya amakuru cyangwa undi muntu ukoze rimwe mu makosa akurikira: The data controller, the data processor or a third party who commits one of the following misconducts: Le responsable du traitement, le sous-traitant ou un tiers qui commet l’une des fautes suivantes: 1° kutabika inyandiko z’amakuru bwite 1° failure to maintain records of processed 1° défaut de tenir les documents des yatunganyijwe; personal data; données à caractère personnel traitées; 2° kutandika icyakozwe ku makuru bwite 2° failure to carry out personal data logging; 2° défaut d’effectuer l’enregistrement de yatunganyijwe; données à caractère personnel; 3° gukora nta cyemezo cy’iyandikwa; 3° operating without a registration 3° fonctionnement sans détenir un certificat certificate; d’enregistrement; 4° kutamenyekanisha impinduka nyuma yo guhabwa icyemezo cy’iyandikwa; 4° failure to report a change after receiving a registration certificate; 4° défaut de signaler un changement après obtention du certificat d’enregistrement; 5° gukoresha icyemezo cy’iyandikwa 5° using a certificate whose term of validity 5° utilisation d’un certificat dont la durée de cyarengeje igihe; has expired; validité a expiré; 6° kudashyiraho umukozi ushinzwe 6° failure to designate a personal data kurinda amakuru bwite; protection officer; 6° défaut de désigner un délégué à la protection des données à caractère personnel; 72 Official Gazette n° Special of 15/10/2021 7° kutamenyekanisha ivogerwa 7° failure to notify a personal data breach; 7° défaut de signaler la violation des ry’amakuru bwite; données à caractère personnel; 8° kudakora raporo ku ivogerwa 8° failure to make a report on personal data 8° défaut de faire rapport sur la violation des ry’amakuru bwite; breach; données à caractère personnel; 9° kutamenyesha nyiri ubwite ivogerwa ry’amakuru bwite; 9° failure to communicate a personal data breach to the data subject; 9° défaut de communiquer à la personne concernée la violation des données à caractère personnel; aba akoze ikosa. commits a misconduct. commet une faute. Ahanishwa ihazabu yo mu rwego rw’ubutegetsi itari munsi ya miliyoni ebyiri z’amafaranga y’u Rwanda itarenze (2.000.000 Frw) ariko miliyoni eshanu z’amafaranga y’u Rwanda (5.000.000 Frw) cyangwa rimwe ku ijana (1%) by’amafaranga y’ibyacurujwe mu mwaka w’ingengo y’imari wabanje. He or she is liable to an administrative fine of not less than two million Rwandan francs (RWF 2,000,000) but not more than five million Rwandan francs (RWF 5,000,000) or one percent (1%) of the global turnover of the preceding financial year. Il est passible d’une amende administrative d’au moins deux millions de francs rwandais (2.000.000 FRW) mais ne dépassant pas cinq millions de francs rwandais (5.000.000 FRW) ou d’un montant équivalant à un pourcent (1%) du chiffre d’affaires global de l’exercice précédent. ari ikigo Iyo cyangwa urwego bifite ubuzimagatozi, ahanishwa rimwe ku ijana (1%) by’amafaranga y’ibyacurujwe mu mwaka w’ingengo y’imari wabanje. In the event of a corporate body or a legal entity, he or she is liable to one percent (1%) of the global turnover of the preceding financial year. En cas de personne morale ou d’entité juridique, il est passible d’un montant équivalant à un pourcent (1%) du chiffre d’affaires global de l’exercice précédent. rugenzura Urwego rushobora gushyiraho amabwiriza agena andi makosa n’ibindi bihano byo mu rwego rw’ubutegetsi bitateganyijwe muri iri tegeko. The supervisory authority may put in place a regulation determining other administrative misconducts and sanctions that are not provided for in this Law. L’autorité de contrôle peut mettre en place un fautes et règlement déterminant d’autre sanctions administratives qui ne sont pas prévues par la présente loi. 73

Ingingo ya 54: Kuregera urukiko Article 54: Filing an application to the court Article 54: Saisie de la juridiction Ingingo ya 54: Kuregera urukiko Article 54: Filing an application to the court Article 54: Saisie de la juridiction Official Gazette n° Special of 15/10/2021 Umugenzuzi w’amakuru, utunganya amakuru cyangwa undi muntu utishimiye igihano cyo afite mu uburenganzira bwo kuregera urukiko rubifitiye ububasha. rw’ubutegetsi yahawe rwego The data controller, the data processor or a third party who is not satisfied with administrative sanction taken against him or her has the right to file an application to the competent court. Le responsable du traitement, le sous-traitant ou un tiers qui n’est pas satisfait d’une sanction administrative prise à son égard a le droit de saisir la juridiction compétente.

Ingingo ya 55: Aho ihazabu yo mu rwego rw’ubutegetsi ishyirwa Article 55: Place where the administrative fine is deposited Article 55: Lieu de versement de l’amende administrative 8 Official Gazette n° Special of 15/10/2021 Icyiciro cya 2: Ibyaha n’ibihano Section 2: Offences and penalties Section 2: Infractions et peines Ingingo ya 55: Aho ihazabu yo mu rwego rw’ubutegetsi ishyirwa Article 55: Place where the administrative fine is deposited Article 55: Lieu de versement de l’amende administrative Ihazabu yo mu rwego rw’ubutegetsi icibwa n’urwego rugenzura ishyirwa mu Isanduku ya Leta. the The administrative fine supervisory authority is deposited to the Public Treasury. imposed by administrative par L’amende l’autorité de contrôle est versée au Trésor Public. imposée Icyiciro cya 2: Ibyaha n’ibihano Section 2: Offences and penalties Section 2: Infractions et peines

Ingingo ya 56: Kubona, gukusanya, gukoresha, guhanahana, gutanga, gutangaza guhererekanya amakuru bwite mu buryo bunyuranyije n’iri tegeko cyangwa Article 56: Accessing, collecting, using, offering, sharing, transfer or disclosing of personal data in a way that is contrary to this Law Article 56: Obtention, collecte, utilisation, offre, partage, transfert ou divulgation illicite des données à caractère personnel d’une manière contraire à la présente loi. Ingingo ya 56: Kubona, gukusanya, guhanahana, gutanga, gukoresha, guhererekanya gutangaza amakuru bwite mu buryo bunyuranyije n’iri tegeko cyangwa Article 56: Accessing, collecting, using, offering, sharing, transfer or disclosing of personal data in a way that is contrary to this Law Article 56: Obtention, collecte, utilisation, offre, partage, transfert ou divulgation illicite des données à caractère personnel d’une manière contraire à la présente loi. Umuntu ubona, ukusanya, ukoresha, utanga, uhanahana, uhererekanya cyangwa utangaza amakuru bwite mu buryo bunyuranyije n’iri tegeko, aba akoze icyaha. A person who accesses, collects, uses, offers, shares, transfers or discloses personal data in a way that is contrary to this Law, commits an offence. Une personne qui obtient, collecte, utilise, offre, partage, transfère ou divulgue des données à caractère personnel d’une manière contraire à la présente loi, commet une infraction. Iyo abihamijwe n’urukiko, ahanishwa igifungo kitari munsi y’umwaka umwe (1) ariko n’ihazabu kitarenze imyaka itatu (3) Upon conviction, he or she is liable to an imprisonment of not less than one (1) year but not more than three (3) years and a fine of not Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins un (1) an mais ne dépassant pas trois (3) ans et 74 Official Gazette n° Special of 15/10/2021 y’amafaranga y’u Rwanda atari munsi ya miliyoni zirindwi (7.000.000 FRW) ariko atarenze miliyoni icumi (10.000.000 FRW) cyangwa kimwe muri ibyo bihano. less than seven million Rwandan francs (RWF 7,000,000) but not more than ten million Rwandan francs (RWF 10,000,000) or one of these penalties. d’une amende d’au moins sept millions de francs rwandais (7.000.000 FRW) mais ne dépassant pas dix millions de francs rwandais (10.000.000 FRW) ou de l’une de ces peines.

Ingingo ya 57: Gusubiza ku makuru bwite ibiyaranga buryo bunyuranyije n’iri tegeko byakuweho mu Article 57: Re-identification of de-identified personal data in a way that is contrary to this Law Article 57: Réidentification des données à caractère personnel anonymisées d’une manière contraire à la présente loi Ingingo ya 57: Gusubiza ku makuru bwite ibiyaranga buryo bunyuranyije n’iri tegeko byakuweho mu Article 57: Re-identification of de-identified personal data in a way that is contrary to this Law Article 57: Réidentification des données à caractère personnel anonymisées d’une manière contraire à la présente loi Umuntu ubizi, ubigambiriye cyangwa kubera uburangare: Any person who knowingly, intentionally or recklessly: Une intentionnellement ou par imprudence : personne qui, sciemment, 1° usubiza ku makuru bwite ibiyaranga n’umugenzuzi utunganya byari byavanyweho w’amakuru amakuru; cyangwa 1° re-identifies personal data which have been de-identified by a data controller or a data processor; 1° réidentifie les données à caractère personnel qui ont été anonymisées par un responsable du traitement ou un sous- traitant; 2° usubiza ku makuru bwite ibiyaranga umugenzuzi akayatunganya, kandi w’amakuru atabyemeye; 2° re-identifies and processes personal data, without consent of the data controller; 2° réidentifie et traite des données à caractère le consentement du personnel, sans responsable du traitement; aba akoze icyaha. commits an offence. commet une infraction. Iyo abihamijwe n’urukiko, ahanishwa igifungo kitari munsi y’umwaka umwe (1) ariko kitarenze imyaka itatu (3) n’ihazabu y’amafaranga y’u Rwanda atari munsi ya miliyoni zirindwi (7.000.000 FRW) ariko atarenze miliyoni icumi (10.000.000 FRW) cyangwa kimwe muri ibyo bihano. Upon conviction, he or she is liable to an imprisonment of not less than one (1) year but not exceeding three (3) years and a fine of not less than seven million Rwandan francs (RWF 7,000,000) but not more than ten million Rwandan francs (RWF 10,000,000) or one of these penalties. Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins un (1) an mais ne dépassant pas cinq (5) ans et d’une amende d’au moins sept millions de francs rwandais (7.000.000 FRW) mais ne dépassant pas dix millions de francs rwandais (10.000.000 FRW) ou de l’une de ces peines. 75 Official Gazette n° Special of 15/10/2021

Ingingo ya 58: Gusenya, gusiba, guhisha cyangwa guhindura amakuru bwite mu buryo bunyuranyije n’iri tegeko 58: Article erasure, concealment or alteration of personal data in a way that is contrary to this Law Destruction, 58: Destruction, Article effacement, dissimulation ou altération des données à caractère d’une manière contraire à la présente loi personnel Ingingo ya 58: Gusenya, gusiba, guhisha cyangwa guhindura amakuru bwite mu buryo bunyuranyije n’iri tegeko 58: erasure, Article concealment or alteration of personal data in a way that is contrary to this Law Destruction, 58: Destruction, effacement, Article dissimulation ou altération des données à caractère d’une manière contraire à la présente loi personnel Umuntu usenya, usiba, uhisha cyangwa uhindura buryo bunyuranyije n’iri tegeko, aba akoze icyaha. bwite mu amakuru A person who destroys, erases, conceals or alters personal data in a way that is contrary to this Law, commits an offence. Une personne qui détruit, efface, dissimule ou altère les données à caractère personnel d’une manière contraire à la présente loi, commet une infraction. Iyo abihamijwe n’urukiko, ahanishwa igifungo kitari munsi y’imyaka itatu (3) ariko kitarenze imyaka itanu (5) n’ihazabu y’amafaranga y’u Rwanda atari munsi ya miliyoni zirindwi (7.000.000 FRW) ariko atarenze miliyoni icumi (10.000.000 FRW) cyangwa kimwe muri ibyo bihano. Upon conviction, he or she is liable to an imprisonment of not less than three (3) years but not more than five (5) years and a fine of not less than seven million Rwandan francs (RWF 7,000,000) but not more than ten million Rwandan francs (RWF 10,000,000) or one of these penalties. Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins trois (3) ans mais ne dépassant pas cinq (5) ans et d’une amende d’au moins sept millions de francs rwandais (7.000.000 FRW) mais ne dépassant pas dix millions de francs rwandais (10.000.000 FRW) ou de l’une de ces peines.

Ingingo ya 59: Kugurisha amakuru bwite mu buryo bunyuranyije n’iri tegeko Article 59: Sale of personal data in a way that is contrary to this Law Article 59: Vente des données à caractère personnel d’une manière contraire à la présente loi Ingingo ya 59: Kugurisha amakuru bwite mu buryo bunyuranyije n’iri tegeko Article 59: Sale of personal data in a way that is contrary to this Law Umuntu ugurisha amakuru bwite mu buryo bunyuranyije n’iri tegeko aba akoze icyaha. A person who sells personal data in a way that is contrary to this Law, commits an offence. Article 59: Vente des données à caractère personnel d’une manière contraire à la présente loi Une personne qui vend les données à caractère personnel d’une manière contraire à la présente loi, commet une infraction. Iyo abihamijwe n’urukiko, ahanishwa igifungo kitari munsi y’imyaka itanu (5) ariko kitarenze imyaka irindwi (7) n’ihazabu y’amafaranga y’u Rwanda atari munsi ya miliyoni cumi n’ebyiri (12.000.000 FRW) ariko atarenze miliyoni icumi n’eshanu (15.000.000 FRW) cyangwa Upon conviction, he or she is liable to an imprisonment of not less than five (5) years but not more than seven (7) years and a fine of not less than twelve million Rwandan francs (RWF 12,000,000) but not more than fifteen million Rwandan francs (RWF 15,000,000) or Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins cinq (5) ans mais ne dépassant pas sept (7) ans et d’une amende d’au moins douze millions de francs rwandais (12.000.000 FRW) mais ne dépassant pas quinze millions de francs 76 Official Gazette n° Special of 15/10/2021 kimwe muri ibyo bihano. one of these penalties. rwandais (15.000.000 FRW) ou de l’une de ces peines.

Ingingo ya 60: Gukusanya cyangwa gutunganya amakuru bwite y’ibanga mu buryo bunyuranyije n’iri tegeko Article 60: Collecting or processing of sensitive personal data in a way that is contrary to this Law Article 60: Collecte ou traitement des données à caractère personnel sensibles d’une manière contraire à la présente loi Ingingo ya 60: Gukusanya cyangwa gutunganya amakuru bwite y’ibanga mu buryo bunyuranyije n’iri tegeko Article 60: Collecting or processing of sensitive personal data in a way that is contrary to this Law Article 60: Collecte ou traitement des données à caractère personnel sensibles d’une manière contraire à la présente loi Umuntu amakuru bunyuranyije n’iri tegeko aba akoze icyaha. cyangwa y’ibanga mu ukusanya bwite utunganya buryo A person who collects or processes sensitive personal data in a way that is contrary to this Law, commits an offence. Une personne qui collecte ou traite les données à caractère personnel sensibles d’une manière contraire à la présente loi, commet une infraction. icumi imyaka Iyo abihamijwe n’urukiko ahanishwa igifungo irindwi (7) ariko kitari munsi y’imyaka kitarenze (10) n’ihazabu y’amafaranga y’u Rwanda atari munsi ya miliyoni makumyabiri (20.000.000 FRW) ariko atarenze miliyoni makumyabiri n’eshanu (25.000.000 FRW) cyangwa kimwe muri ibyo bihano. Upon conviction, he or she is liable to an imprisonment of not less than seven (7) years but not more than ten (10) years and a fine of not less than twenty million Rwandan francs (RWF 20,000,000) but not more than twenty- five (RWF 25,000,000) or one of these penalties. Rwandan million Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins sept (7) ans mais ne dépassant pas dix (10) ans et d’une amende d’au moins vingt millions de francs rwandais (20.000.000 FRW) mais ne dépassant pas vingt-cinq millions de francs rwandais (25.000.000 FRW) ou de l’une de ces peines. francs

Ingingo ya 61: Gutanga amakuru atari yo Article 61: Providing false information Article 61: informations Fourniture de fausses Ingingo ya 61: Gutanga amakuru atari yo Article 61: Providing false information Umuntu utanga amakuru atari yo mu gihe na nyuma yo kwiyandikisha, aba akoze icyaha. A person who provides false information during and after registration, commits an offence. Article 61: informations Fourniture de fausses Une personne qui fausses informations pendant et après l’enregistrement, commet une infraction. fournit de Iyo abihamijwe n’urukiko, ahanishwa igifungo (1) ariko kitari munsi y’umwaka umwe kitarenze n’ihazabu (3) imyaka y’amafaranga y’u Rwanda atari munsi ya itatu Upon conviction, he or she is liable to an imprisonment of not less than one (1) year but not more than three (3) years and a fine of not less three million Rwandan than Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins un (1) an mais ne dépassant pas trois (3) ans et d’une amende d’au moins trois million de francs francs 77 Official Gazette n° Special of 15/10/2021 (3.000.000 FRW) ariko miliyoni eshatu atarenze miliyoni eshanu (5.000.000 FRW) cyangwa kimwe muri ibyo bihano. (RWF 3,000,000) but not more than five million Rwandan francs (RWF 5,000,000) or one of these penalties. rwandais (3.000.000 FRW) mais ne dépassant pas cinq millions de francs rwandais (5.000.000 FRW) ou de l’une de ces peines.

Ingingo ya 62: Ihanwa ry’ikigo cyangwa urwego bifite ubuzimagatozi Article 62: Punishment of a corporate body or a legal entity Article 62: Punition d’une personne morale ou d’une entité juridique Ingingo ya 62: Ihanwa ry’ikigo cyangwa urwego bifite ubuzimagatozi Article 62: Punishment of a corporate body or a legal entity Article 62: Punition d’une personne morale ou d’une entité juridique Ikigo cyangwa urwego bifite ubuzima gatozi bikoze kimwe mu byaha bivugwa mu ngingo ya 56, iya 57, iya 58, iya 59, iya 60 n’iya 61 biba bikoze icyaha. A corporate body or a legal entity that commits one of the offences referred to in Articles 56, 57, 58, 59, 60 and 61 commits an offence. Iyo bihamijwe n'urukiko, bihanishwa ihazabu y’amafaranga y’u Rwanda angana na gatanu ku ijana (5%) by’amafaranga y’ibyo byacuruje mu mwaka w’ingengo y’imari wabanje. Upon conviction, it is liable to a fine of Rwandan francs amounting to five percent (5%) of its annual turnover of the previous financial year. Une personne morale ou une entité juridique qui commet l’une des infractions visées aux articles 56, 57, 58, 59, 60 et 61 commet une infraction. Lorsqu’elle en est reconnue coupable, elle est passible d’une amende d’un montant de francs rwandais équivalant à cinq pourcent (5%) de son chiffre d’affaires annuel de l’exercice précédent.

Ingingo ya 63: Ibihano by’inyongera Article 63: Additional penalties Article 63: Sanctions supplémentaires 9 Official Gazette n° Special of 15/10/2021 UMUTWE ZINYURANYE, N’IZISOZA WA IX: INGINGO IZ’INZIBACYUHO CHAPTER TRANSITIONAL PROVISIONS IX: MISCELLANEOUS, FINAL AND CHAPITRE DIVERSES, FINALES IX : TRANSITOIRES DISPOSITIONS ET Ingingo ya 63: Ibihano by’inyongera Article 63: Additional penalties Article 63: Sanctions supplémentaires Ku bihano biteganywa n'iri tegeko, urukiko rushobora kongeraho ifatira cyangwa inyagwa ry'ibikoresho byakoreshejwe mu gukora kimwe mu byaha biteganywa n’iri tegeko ndetse n’ibyo uwahamwe n’icyaha yungutse. In addition to penalties provided for in this Law, the court, in all cases, may order the seizure or confiscation of items used in the commission of any of the offences provided for in this Law and the proceeds gained. En plus des peines prévues par la présente loi, le tribunal, dans tous les cas, peut ordonner la saisie ou la confiscation des objets utilisés pour la commission de l’une des infractions prévues par la présente loi et des produits gagnés. Urukiko rushobora kandi gutegeka gufunga by’agateganyo ikigo cyangwa cyangwa urwego bifite ubuzimagatozi cyangwa ahakorerwa imirimo hakorewe kimwe mu byaha biteganyijwe muri iri tegeko. burundu The court may also order permanent or temporary closure of the legal entity or body, or the premises in which any of the offences provided for under this Law was committed. La juridiction peut également ordonner la fermeture permanente ou temporelle de l’entité juridique ou d’un organisme, ou du local dans lequel une infraction prévue par la présente loi a été commise. 78 Official Gazette n° Special of 15/10/2021 UMUTWE ZINYURANYE, N’IZISOZA WA INGINGO IX: IZ’INZIBACYUHO CHAPTER TRANSITIONAL PROVISIONS IX: MISCELLANEOUS, FINAL AND CHAPITRE DIVERSES, FINALES IX: TRANSITOIRES DISPOSITIONS ET

Ingingo ya 64: Urwego rushinzwe gukemura amakimbirane Article 64: Organ in charge of settlement of disputes Article 64: Organe chargé du règlement des différends Ingingo ya 64: Urwego rushinzwe gukemura amakimbirane Article 64: Organ in charge of settlement of conflicts Article 64: Organe chargé du règlement des conflits Urwego rugenzura ni rwo rwego rushinzwe gukemura amakimbirane yavuka afitanye isano n’iri tegeko. The supervisory authority is the organ in charge of settlement of conflicts that may arise in relation to this Law. L’autorité de contrôle est l’organe chargé du règlement des conflits qui peuvent surgir en rapport avec la présente loi. umuntu utishimiye ikemurwa Icyakora, ry’amakimbirane avugwa mu gika cya mbere cy’iyi ngingo ashobora kuregera urukiko rubifitiye ububasha. However, a person who is not satisfied with the settlement of conflicts referred to in Paragraph one of this Article may file a case with the competent court. Toutefois, une personne qui n’est pas satisfaite du règlement des conflits visés à l’alinéa premier du présent article peut saisir la juridiction compétente.

Ingingo ya 65: Uburenganzira bwo kuregera indishyi Article 65: Right to claim for compensation Article 65: Droit à la compensation Ingingo ya 65: Uburenganzira bwo kuregera indishyi Article 65: Right to claim for compensation Article 65: Droit à la compensation ingaruka Umuntu wagizweho zikomeye n’ibikorwa by’umugenzuzi w’amakuru cyangwa utunganya amakuru utubahirije iri tegeko afite uburenganzira bwo kuregera indishyi mu rukiko rubifitiye ububasha. A person who suffers serious damage due to acts of a data controller or a data processor in violation of this Law has the right to claim for compensation with a competent court. Une personne qui subit un dommage grave en raison des actes du responsable du traitement ou du sous-traitant en violation de la présente loi peut introduire une demande en compensation devant la juridiction compétente. Icyakora, umugenzuzi w'amakuru cyangwa igihombo utunganya amakuru ntibaryozwa cyabaye ruhare babigizemo. iyo bigaragaye ko nta However, the data controller or the data processor is exempt from liability if he or she proves that he or she was not responsible for the damage. Toutefois, le responsable du traitement ou le sous-traitant est exonéré de responsabilité s'il prouve qu’il n’est pas responsable du dommage. 79 Official Gazette n° Special of 15/10/2021

Ingingo ya 66: Ububasha bwo gushyiraho amabwiriza Article 66: Power to put in place regulations Article 66: Pouvoir d’établir des règlements Ingingo ya 66: Ububasha bwo gushyiraho amabwiriza Article 66: Power to put in place regulations Article 66: Pouvoir d’établir des règlements Urwego rubifitiye ububasha, mu mikoranire n'urwego rugenzura, rushobora gushyiraho amabwiriza yihariye agenga kurinda amakuru bwite n’imibereho bwite bya nyiri ubwite. The competent authority may, in conjunction with the supervisory authority, put in place other sector-specific regulations governing the protection of personal data and privacy. L’autorité compétente peut, conjointement avec l’autorité de contrôle, établir d’autres réglementations la spécifiques protection des données à caractère personnel et de la vie privée. régissant Ayo mabwiriza avugwa mu gika cya mbere cy’iyi ngingo agomba kubahiriza ibiteganywa n’iri tegeko. The regulations referred to in Paragraph One of this Article must comply with the provisions of this Law. Les réglementations visées à l’alinéa premier du présent article doivent respecter les dispositions de la présente loi.

Ingingo ya 67: Igihe cy’inzibacyuho Article 67: Transitional period Article 67: Période transitoire Ingingo ya 67: Igihe cy’inzibacyuho Article 67: Transitional period Article 67: Période transitoire Umugenzuzi w’amakuru cyangwa utunganya amakuru usanzwe ukora, ahawe igihe kitarenze imyaka tegeko ritangarijweho mu Igazeti ya Leta ya Repubulika y’u Rwanda kugira ngo ahuze ibikorwa bye n’ibiteganywa n’iri tegeko. ibiri (2) uhereye igihe iri The data controller or the data processor who is already in operation has a period not exceeding two (2) years from the date of publication of this Law in the Official Gazette of the Republic of Rwanda to conform his or her operations to the provisions of this Law. Le responsable du traitement ou le sous-traitant qui est déjà en exploitation, dispose d’un délai ne dépassant pas deux (2) ans à partir de la date de publication de la présente loi au Journal Officiel de la République du Rwanda pour conformer ses opérations aux dispositions de la présente loi.

Ingingo ya 68: Itegurwa, isuzumwa n’itorwa by’iri tegeko Article 68: Drafting, consideration and adoption of this Law Article 68: Initiation, examen et adoption de la présente loi Ingingo ya zinyuranyije n’iri tegeko 69: Ivanwaho ry’ingingo Ingingo ya 68: Itegurwa, isuzumwa n’itorwa by’iri tegeko Article 68: Drafting, consideration and adoption of this Law Article 68: Initiation, examen et adoption de la présente loi Iri tegeko ryateguwe mu rurimi rw’Icyongereza, risuzumwa rurimi rw’Ikinyarwanda. ritorwa mu kandi This Law was drafted in English, considered and adopted in Ikinyarwanda. La présente loi a été initiée en anglais, examinée et adoptée en Ikinyarwanda. 80 ya Ingingo zinyuranyije n’iri tegeko 69: Ivanwaho Official Gazette n° Special of 15/10/2021 ry’ingingo

Article 69: Repealing provision Article 69: Disposition abrogatoire Article 69: Repealing provision Article 69: Disposition abrogatoire Ingingo zose z’amategeko abanziriza iri kandi zinyuranye na ryo zivanyweho. All prior legal provisions contrary to this Law are repealed. Toutes les dispositions légales antérieures contraires à la présente loi sont abrogées.

Ingingo ya 70: Igihe iri tegeko ritangira gukurikizwa Article 70: Commencement Article 70: Entrée en vigueur 10 Official Gazette n° Special of 15/10/2021 ITEGEKO N° 058/2021 RYO KU WA KURINDA 13/10/2021 RYEREKEYE AMAKURU N’IMIBEREHO BWITE BY’UMUNTU BWITE 13/10/2021 058/2021 OF LAW Nº RELATING TO THE PROTECTION OF PERSONAL DATA AND PRIVACY LOI Nº 058/2021 DU 13/10/2021 RELATIVE À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL ET DE LA VIE PRIVÉE Twebwe, KAGAME Paul, Perezida wa Repubulika; We, KAGAME Paul, President of the Republic; Nous, KAGAME Paul, Président de la République; ISHINGA INTEKO AMATEGEKO YEMEJE NONE NATWE DUHAMIJE, DUTANGAJE ITEGEKO RITEYE RITYA KANDI DUTEGETSE KO RITANGAZWA MU IGAZETI YA LETA YA REPUBULIKA Y’U RWANDA THE PARLIAMENT HAS ADOPTED AND WE SANCTION, PROMULGATE THE FOLLOWING LAW AND ORDER IT BE PUBLISHED IN THE OFFICIAL GAZETTE OF THE REPUBLIC OF RWANDA LE PARLEMENT A ADOPTÉ ET NOUS SANCTIONNONS, PROMULGUONS LA LOI DONT LA TENEUR SUIT ET ORDONNONS QU’ELLE SOIT PUBLIÉE AU JOURNAL OFFICIEL DE LA RÉPUBLIQUE DU RWANDA INTEKO ISHINGA AMATEGEKO: THE PARLIAMENT: LE PARLEMENT: Umutwe w’Abadepite, mu nama yawo yo ku wa 12 Kanama 2021; The Chamber of Deputies, in its sitting of 12 August 2021; La Chambre des Députés, en sa séance du 12 août 2021; Ishingiye ku Itegeko Nshinga rya Repubulika y’u Rwanda ryo mu 2003 ryavuguruwe mu 2015, cyane cyane mu ngingo zaryo, iya 23, iya 64, iya 69, iya 70, iya 88, iya 90, iya 91, iya 93, iya 106, iya 120, iya 122 n’iya 176; Pursuant to the Constitution of the Republic of Rwanda of 2003 revised in 2015, especially in Articles 23, 64, 69, 70, 88, 90, 91, 93, 106, 120,122 and 176; Vu la Constitution de la République du Rwanda de 2003 révisée en 2015, spécialement en ses articles 23, 64, 69, 70, 88, 90, 91, 93, 106, 120, 122 et 176; Ishingiye ku Masezerano y’Afurika Yunze gucunga umutekano Ubumwe w’ibijyanye n’amakuru n’ikoranabuhanga y’umuntu bwite abikwa muri mudasobwa, yerekeye Pursuant to the African Union Convention on cyber security and personal data protection adopted in Malabo, Equatorial Guinea, on 27 June 2014, ratified by Presidential Order Vu la Convention de l’Union Africaine sur la cybersécurité et la protection des données à caractère personnel, adoptée à Malabo, Guinée Équatoriale le 27 juin 2014 ratifiée par Arrêté 11 Official Gazette n° Special of 15/10/2021 yemerejwe i Malabo, muri Guinea Equatoriale ku wa 27 Kamena 2014, yemejwe n’Iteka rya Perezida n° 104/01 ryo ku wa 18/09/2019; n° 104/01 of 18/09/2019; Présidentiel n° 104/01 du 18/09/2019; YEMEJE: ADOPTS: ADOPTE: UMUTWE WA MBERE: RUSANGE INGINGO CHAPTER PROVISIONS ONE: GENERAL CHAPITRE PREMIER: DISPOSITIONS GÉNÉRALES Ingingo ya 70: Igihe iri tegeko ritangira gukurikizwa Article 70: Commencement Article 70: Entrée en vigueur Iri tegeko ritangira gukurikizwa ku munsi ritangarijweho mu Igazeti ya Leta ya Repubulika y’u Rwanda. This Law comes into force on the date of its publication in the Official Gazette of the Republic of Rwanda. La présente loi entre en vigueur le jour de sa publication au Journal Officiel de la République du Rwanda. 81 Official Gazette n° Special of 15/10/2021 Kigali, 13/10/2021 (sé) KAGAME Paul Perezida wa Repubulika President of the Republic Président de la République (sé) Dr NGIRENTE Edouard Minisitiri w’Intebe Prime Minister Premier Ministre Bibonywe kandi bishyizweho Ikirango cya Repubulika: Seen and sealed with the Seal of the Republic: Vu et scellé du Sceau de la République: (sé) Dr UGIRASHEBUJA Emmanuel Minisitiri w’Ubutabera akaba n’Intumwa Nkuru ya Leta Minister of Justice and Attorney General Ministre de la Justice et Garde des Sceaux 82