Erfüllt Cyber Crucible das kenianische Datenschutzgesetz (Data Protection Act)?
Kurze Antwort: Ja. Kenias Data Protection Act 2019 beschränkt die grenzüberschreitende Übermittlung auf Länder mit angemessenen Schutzmaßnahmen und wendet für sensible personenbezogene Daten eine strengere Regel an. Cyber Crucible erhebt überhaupt keine sensiblen personenbezogenen Daten und kann so eingesetzt werden, dass keine Daten Kenia verlassen.
Was das Gesetz vorschreibt
Die Abschnitte 48 und 49 des Data Protection Act 2019 untersagen die Übermittlung personenbezogener Daten in ein Land, das keine angemessenen Datensicherheitsvorkehrungen aufweist, wobei mehrere zulässige Grundlagen bestehen, darunter die Angemessenheit (Adäquanz).
Die strengere Regel, auf die es ankommt: Die Übermittlung sensibler personenbezogener Daten ist nur zulässig, wenn die betroffene Person eingewilligt hat und angemessene Schutzmaßnahmen bestehen. Beide Bedingungen, nicht nur eine.
Warum die Regel zu sensiblen Daten der entscheidende Punkt ist
Diese doppelte Anforderung ist operativ nur schwer zu erfüllen — für jedes betroffene Individuum fortlaufend eine individuelle Einwilligung einzuholen und nachzuweisen, und das für ein Sicherheitswerkzeug.
Cyber Crucible umgeht dies: Es werden keine sensiblen personenbezogenen Daten erhoben. Weder biometrische, gesundheitsbezogene oder genetische Daten; noch Daten, die Rückschlüsse auf die rassische oder ethnische Herkunft, religiöse Überzeugungen oder politische Meinungen zulassen. Die Telemetriedaten beschreiben Systemverhalten und Sicherheitsereignisse, nicht persönliche Merkmale.
Wo Verhaltenstelemetrie indirekt eine Person identifizieren könnte, werden Identifikatoren pseudonymisiert oder maskiert.
Übermittlung
Durch die regionale Zwischenspeicherung (Staging) bleibt die Verarbeitung innerhalb Kenias. Der Air-Gapped-Einsatz erzeugt keinerlei ausgehende Telemetriedaten, sodass die Abschnitte 48–49 nicht zur Anwendung kommen.
Stand zum Zeitpunkt der Erstellung — bitte mit lokalem Rechtsbeistand bestätigen.