Ouganda : loi sur la protection des données et de la vie privée (2019)

La loi sur la protection des données et de la vie privée est entrée en application le 3 mai 2019 et le règlement d'application a pris effet le 12 mars 2021 ; le Bureau de protection des données à caractère personnel (PDPO) est devenu opérationnel en août 2021 au sein de la National Information Technology Authority Uganda. La loi s'applique à toute personne, entité ou organisme public qui collecte, traite, détient ou utilise des données à caractère personnel en Ouganda, ainsi qu'aux entités situées hors d'Ouganda qui traitent les données à caractère personnel de citoyens ougandais. Tout collecteur, sous-traitant ou responsable du traitement doit s'enregistrer auprès du PDPO, qui tient un registre public. Le consentement constitue la base première de la collecte, et les données des enfants ainsi que les données à caractère personnel particulières (convictions religieuses ou philosophiques, opinions politiques, vie sexuelle, informations financières, dossiers médicaux) sont soumises à des règles plus strictes.

Les violations doivent être notifiées immédiatement au PDPO, et les entités enregistrées doivent déposer des rapports annuels récapitulant les violations. Le traitement ou la conservation transfrontaliers exigent soit une protection adéquate dans le pays de destination, soit le consentement de la personne concernée. Le 18 juillet 2025, le PDPO a statué sur une plainte collective de quatre citoyens ougandais à l'encontre de Google LLC : écartant l'argument selon lequel l'absence de présence physique excluait toute obligation, le Bureau a jugé qu'une présence économique suffisait, a considéré que Google agissait en qualité de responsable du traitement et lui a ordonné de s'enregistrer auprès du PDPO dans un délai de 30 jours, de désigner un représentant pour l'Ouganda et de justifier de la conformité de ses transferts transfrontaliers.