Oeganda: wet inzake gegevensbescherming en privacy (2019)

De wet inzake gegevensbescherming en privacy trad in werking op 3 mei 2019 en de bijbehorende regelgeving werd van kracht op 12 maart 2021; het Personal Data Protection Office (PDPO) werd in augustus 2021 operationeel binnen de National Information Technology Authority Uganda. De wet is van toepassing op elke persoon, entiteit of overheidsinstantie die persoonsgegevens verzamelt, verwerkt, bewaart of gebruikt in Oeganda, alsook op entiteiten buiten Oeganda die persoonsgegevens van Oegandese burgers verwerken. Elke gegevensverzamelaar, verwerker of verwerkingsverantwoordelijke moet zich registreren bij het PDPO, dat een openbaar register bijhoudt. Toestemming vormt de voornaamste grondslag voor de verzameling, en gegevens van kinderen alsook bijzondere persoonsgegevens (religieuze of levensbeschouwelijke overtuigingen, politieke opvatting, seksueel leven, financiële informatie, medische dossiers) zijn aan strengere regels onderworpen.

Inbreuken moeten onmiddellijk aan het PDPO worden gemeld, en geregistreerde entiteiten moeten jaarverslagen indienen met een overzicht van de inbreuken. Voor grensoverschrijdende verwerking of opslag is ofwel een passend beschermingsniveau in het land van bestemming, ofwel de toestemming van de betrokkene vereist. Op 18 juli 2025 deed het PDPO uitspraak over een collectieve klacht van vier Oegandese burgers tegen Google LLC: het Bureau verwierp het argument dat het ontbreken van een fysieke aanwezigheid elke verplichting uitsloot, oordeelde dat een economische aanwezigheid volstond, stelde vast dat Google als verwerkingsverantwoordelijke optrad en gelastte het bedrijf zich binnen 30 dagen bij het PDPO te registreren, een vertegenwoordiger voor Oeganda aan te wijzen en de naleving van zijn grensoverschrijdende doorgiften aan te tonen.