Loading legal library
ይህ አዋጅ “ የግል ዳታ ጥበቃ አዋጅ ቁጥር ፩ሺ፫፻፳፩ / ፪ሺ፲፮ ” ተብሎ ሊጠቀስ ይችላል። This Proclamation may be cited as the “Personal Data Protection Proclamation No.1321/2024”.
፩/ “ዳታ” ማለት፡ሀ) ለታቀደ ዓላማ አስቀድሞ በተሰጠው ትእዛዝ መሰረት ራስ አዘዝ በሆነ መሳሪያ በመቀናበር ሂደት ላይ ያለ፤ ለ) በፊደል ተራ (ሀ) በተጠቀሰው መሳሪያ እንዲቀናበር ታሰቦ የተሰበሰበ፤ ሐ) በአንድ የመዝገብ ሥርዓት አካል እንዲሆን ወይም የመዝገብ ሥርዓቱ የተወሰነ ክፍልን ለማሟላት ታቅዶ የተመዘገበ፤ ወይም መ) በፊደል ተራ (ሀ)፣ (ለ) እና (ሐ) ሥር የማይወድቅ ነገር ግን ሌላ ለሕዝብ ተደራሽና የመዝገብ አካል የሆነ፤ መረጃ ነው። ፪/ “የግል ዳታ” ማለት በቀጥታ ወይም በተዘዋዋሪ በተለይም ስምን፣ መለያ ቁጥር ፣ የሰልክ ቁጥርን ፣ የኢንተርኔት መለያ አድራሻን ፣ የቦታ ዳታን ፣ የኦንላይን መለያን ወይም ከአንድ በላይ ከሆኑና ከአንድ የተፈጥሮ ሰው ጋር ተያያዥ ከሆኑ የአካላዊ ፣ የፊዚዎሎጂ ፣ የዘረመል ፣ የአዕምሮ ፣ የኢኮኖሚ ፣ የባህል ወይም የማህበራዊ ሁኔታዎች ጋር ተያያዥ የሆኑ መለያዎችን በመጠቀም ተለይቶ ከሚታወቅ ወይም ተለይቶ ሊታወቅ ከሚችል የተፈጥሮ ሰው ጋር የተገናኘ ማንኛውም መረጃ ነው፤ ፫/ “ የዘረመል ዳታ ” ማለት አንድ ግለሰብ በተፈጥሮ የወረሳቸው ወይም ያገኛቸው አጠቃላይ ባህርያት ሲሆን ፤ በተለይም ከግለሰቡ በተወሰዱ የሥሪተ ሕይወት ናሙናዎች ትንተና መሠረት ስለዚሁ ግለሰብ ፊዚዎሎጂ ወይም ጤና የተለየ መረጃን የሚሰጥ የግል ዳታ ነው፤ ፬/ “ትራፊክ ዳታ” ማለት በኮምፒውተር ሥርዓት ከሚደረግ ተግባቦት ጋር የተያያዘ፤ እና በተግባቦቱ ሠንሠለት ውስጥ ባሉ ሥርዓቶች የሚመነጭና የተግባቦት መነሻን፣ መድረሻን፣ የጉዞ መስመርን፣ ጊዜን፣ ቀንን፣ መጠንን፣ ክፍለ ጊዜን፣ ወይም የአገልግሎቱን ዓይነትን የሚገልጽ ማንኛውም ዳታ ነው፤ ፭/ “ጥንቃቄ የሚፈልግ የግል ዳታ” ማለት የአንድ የተፈጥሮ ሰው :- (ሀ) ዘርን ወይም ብሔርን፣ (ለ) የዘረመል ወይም የማንነት አካላዊ ዳታን፣ (ሐ) የአካላዊ ወይም የአዕምሯዊ ጤንነት ወይም ሁኔታን፣ (መ) የፖለቲካ አመለካከትን፣ (ሠ) የሙያ ማኅበር አባልነትን፣ (ረ) ሃይማኖትን ወይም ሌላ ሃይማኖት ነክ አስተሳሰብን፣ (ሰ) የተፈጸመ ወይም ተፈጸመ የተባለ ወንጀልን፤ (ሸ) የተፈጸመ ወይም ተፈጸመ የተባለ ወንጀልን አስመልክቶ የተካሄዱ ሂደቶችን ፣ እነዚህ ሂደቶች የተጠናቀቁበት መደምደሚያን ወይም በሂደቶቹ ዙሪያ ፍርድ ቤቶች የሰጡት የቅጣት ውሳኔን፣ (ቀ) ይዘትንና ሜታ ዳታን ወይም ገላጭ ዳታን ጨምሮ ያሉ የመልዕክት ልውውጥ ዳታ ፣ወይም (በ) ባለሥልጣኑ ከጊዜ ወደ ጊዜ ጥንቃቄ የሚፈልግ የግል ዳታ ነው በማለት የሚወስነው ሌላ የግል ዳታን የተመለከተ መረጃ ነው፤ ፮/ “የማንነት አካላዊ ዳታ” ማለት የአንድን የተፈጥሮ ሰው የአካላዊ፣ የፊዚዮሎጂ እና የባህርይ መለያዎችን መነሻ በማድረግ እሱ መሆኑን በተለየ መንገድ ለመለየት ወይም ለማረጋገጥ የሚረዳ ከታወቀ የቴክኒክ ማቀናበር ሂደት የተገኘ የገጽታ ምስል፣ የጣት አሻራ፣ የዓይን ብሌን አሻራ፣ ወይም ሌላ እነዚህን የሚመስል የግል ዳታ ነው፤ ፯/ “ የግል ዳታ ጥሰት” ማለት ከአንድ ቦታ ወደ ሌላ ቦታ በመንቀሳቀስ ላይ ያለን ፣ የተከማቸን ወይም በሌላ ማናቸውም አግባብ የሚቀናበር የግል ዳታን ድንገት ወይም ሕጋዊ ባልሆነ መልኩ በመደምሰስ ፣ በማጥፋት፣ ይዘቱን በመቀየር ፣ ያለምንም ሥልጣን ለሌሎች ይፋ በማድረግ ፣ ወይም ሌሎች እንዲያገኙት በማድረግ የሚፈጽም የደህንነት ጥሰት ነው፤ ፰/ “ የግል ዳታ ባለቤት መገለጫ ቅንብር ” ማለት የግል ዳታን በመጠቀም የግለሰቦች ማንኛውም የግል ሕይወትን ለመገምገም በተለይም የዚያን ግለሰብ የሥራ አፈጻጸም ፣ የኢኮኖሚክ ሁኔታ ፣ የጤና ፣ የግል ምርጫዎቹን ፣ ፍላጎቶቹን ፣ ታማኝነቱን ፣ ባሕርይውን ፣ መገኛ ቦታውንና እንቅስቃሴውን ለመተንተን ወይም ለመገመት በራስ አዘዝ መሳሪያ የሚደረግ የግል ዳታ ማቀናበር ነው፤ ፱/ “ የዳታ ባለቤት ” ማለት በግል ዳታ ላይ ባለቤት የሆነ የተፈጥሮ ሰው ነው፤ ፲/ “ የዳታ ተቆጣጣሪ ” ማለት ማንኛውም በራሱ ወይም ከሌሎች ጋር በመሆን የግል ዳታን የሚያቀናብር እንዲሁም የሚቀናበርበትን አግባብ የሚወስን ሰው ነው፤ ፲፩/ “ የዳታ አቀናባሪ ” ማለት የዳታ ተቆጣጣሪው ሠራተኛ ያልሆነና በዳታ ተቆጣጣሪው ተወክሎ ዳታ የሚያቀናብር ማንኛውም ሰው ነው፤ ፲፪/ “ የዳታ ተቀባይ ” ማለት የግል ዳታ ይፋ የተደረገለት ወይም ተደራሽ የተደረገለት ማንኛውም ሰው ነው፤ ፲፫/ “ ዳታ ጥበቃ መኮንን ” ማለት በአንድ ተቋም ወይም ድርጅት ውስጥ የዳታ አያያዝን፣ አስተዳደርን እና አጠቃቀምን የመቆጣጠር ኃላፊነት የተሰጠው የተፈጥሮ ሰው ነው። ፲፬/ “ፈቃድ ” ማለት የዳታ ባለቤት የግል ዳታው እንዲቀናበር ያለውን ፍላጎት በነጻነት፣ መረጃ ላይ በመመሥረት እና ጥርጣሬ በማያስነሳ መልክ፤ ሀ) በጽሑፍ፣ ለ) በቃል፣ ወይም ሐ) ሌላ አዎንታዊ እርምጃን በመውስድ የተሰጠ ስምምነት ነው፤ ፲፭/ “ ለአካለ መጠን ያልደረሰ ልጅ ” ማለት ዕድሜው ከአስራ ስድስት ዓመት በታች የሆነ የዳታ ባለቤት ነው፤ ፲፮/ “ማቀናበር” ማለት መሰብሰብ ፣ መመዝገብ ፣ ማደራጀት ፣ ማዋቀር ፣ ማከማቸት፣ ማስማማት ወይም መቀየር፣ ከተከማቸበት ማውጣት፣ ማማከር፣ ማመሳከር፣ መጠቀም ፣ በማስተላለፍ ፣ በማሰራጨት ወይም በሌላ መንገድ ይፋ ማድረግ ፣ አንድ ማድረግ ወይም ማዋሃድ፣ መገደብ፣ ማጥፋት ወይም መደምሰስን ጨምሮ በግል ዳታ ወይም በግል ዳታ ስብስቦች ላይ በራስ አዘዝ ወይም ራስ አዘዝ ባልሆኑ መሳሪያዎች የሚደረግ ተግባር ወይም የተግባራት ስብስብ ነው፤ ፲፯/ “ማቀናበርን መገደብ” ማለት የተከማቸ የግል ዳታ ወደ ፊት የሚቀናበርበትን አግባብ ለማጥበብ የሚደረግ ልየታ ነው፤ ፲፰/ “መመስጠር” ማለት ከተፈቀደለት ውጭ የቴክኒክ ዘዴን በመጠቀም ዳታን ማንም ሰው ወይም ማሽን እንዳያነበው የማድረግ ሂደት ነው፤ ፲፱/ “ ምስጥራዊነት ” ማለት የግል ዳታን ካልተፈቀደለት አካል ውጭ እንዳይታይ፣ ይፋ እንዳይደረግ፣ እንዳይተላለፍ ወይም ጥቅም ላይ እንዳይውል የማድረግ መርህ ነው፤ ፳/ “ምሉዕነት” ማለት የግል ዳታ ውስጥ መካተት ያለባቸው ይዘት ምን ያህል ተሟልተው እንደሚገኙ እና ትክክለኛ እንደሆኑ የሚያመለክት ቃል ነው፤ ፳፩/ “ሰነድ” ማለት ሀ) በኤሌክትሮኒክስ መሳሪያ ወይም ያለ መሳሪያ መልሶ ሊገኝ የሚችልን መረጃ እንዲቀመጥ የሚያደርግ ዲስክ ፣ የቴፕክር ወይም ተመሳሳይ መሳሪያ፤ወይም ለ) ከፊልም፣ ከቴፕ ክር ወይም ከሌሎች መገልገያዎች በሌሎች መሳሪያዎች ድጋፍ ወይም ያለድጋፍ እንደገና ሊታይ የሚችል ስዕላዊ መረጃ የያዘ ፊልም፣ የቴፕ ክር ወይም ሌላ መገልገያ ነው፤ ፳፪/ “መዝገብ” ማለት ባለሥልጣን የሚያስተዳድረው መዝገብ ነው ፤ ፳፫/ “ ተደራሽ የሆነ መዝገብ ” ማለት የጤና፣ የትምህርት ወይም ሌላ ለሕዝብ ተደራሽ የሆነና የግል ዳታ የያዘ መዝገብ ነው፤ ፳፬/ “ የጤና መዝገብ ” ማለት ለአንድ ግለሰብ የተሰጡ የጤና ክብካቤ አገልግሎቶችን ጨምሮ ከአንድ የተፈጥሮ ሰው አካላዊ ወይም አዕምሯዊ ጤና ጋር የተያያዘ የግል ዳታና የግለሰቡን የጤና ሁኔታ የሚገልጽ መረጃ ነው፤ ፳፭/ “ የመዝገብ ሥርዓት ” ማለት የተማከለ ፣ ያልተማከለ ወይም አሠራርን ወይም መልክዓ ምድርን ወይም ሌሎች የታወቁ ቅድመ ሁኔታዎችን መሠረት በማድረግ ተደራሽ እንዲሆን የተዋቀረ የግል ዳታ ስብስብ ነው፤ ፳፮/ “ራስ አዘዝ መሣሪያ” ማለት አስቀድሞ በተደራጀ ስልተ ቀመር እና ውቅር መሠረት የተወሰኑ ከባቢያዊ ሁኔታዎች፣ ጊዜን ወይም ዳታዎችን መሠረት በማድረግ የራሱን አመክንዮ አረዳድ በመከተል ያለ ሰዎች ጣልቃ ገብነት በራሱ ውሳኔ የሚሰጥ፣ ድርጊትን የሚያነሳሳ ወይም ተግባራዊ የሚያደርግ መሣሪያ ነው። ፳፯/ “ የፍርድ ሂደት ” ማለት በፍርድ ቤት ወይም ከፍርድ ቤት ውጪ በአማራጭ የሙግት መፍቻ አግባብ የሚካሄድ ሂደት ሲሆን ፣ በወንጀል ጥፋት ዙርያ የሚደረግ ምርመራን እና የዲስፕሊን ሂደቶችንም ይጨምራል፤ ፳፰/ “የቀጥታ የማሻሻጥ ሥራ” ማለት በማስታወቂያ ወይም በሌሎች የሽያጭ አማራጮች አማካይነት ምርትና አገልግሎትን ለመሸጥ ግለሰቦችን መሰረት ያደረገ የተግባቦት ሥራ ነው፤ ፳፱/ “ነባሪ” ማለት በቴክኖሎጂ ውስጥ የአንድን ሥርዓት፣ ሶፍትዌር ወይም መሣሪያ ቅድመ-ስሪት ወይም መደበኛ ውቅር፣ መቼት ወይም ባህሪ የሚገልጽ ነው፤ ፴/ “ንድፍ” ሥርዓቶችን ወይም አገልግሎቶችን ለመፍጠር ጥቅም ላይ የዋለ ወይም የሚውል ዕቅድ ነው፤ ፴፩/ “ስውር ስያሜ ” ማለት ተጨማሪ መረጃ በመጠቀም ካልሆነ በስተቀር የግል ዳታ ከአንድ የዳታ ባለቤት ጋር እንዳይቆራኝ በማድረግ የግል ዳታን ማቀናበር፣ የግል ዳታው ተለይቶ ከሚታወቅ ወይም ተለይቶ ሊታወቅ ከሚችል ግለሰብ ጋር እንዳይቆራኝ ለማድረግ ተጨማሪ መረጃው ለብቻው እንዲቀመጥ ፣ እንደዚሁም የቴክኒክ እና የአደረጃጀት እርምጃዎች ሥር እንዲወድቅ ማድረግ ነው፤ ፴፪/ “ ተለይቶ ሊታወቅ የሚችል የተፈጥሮ ሰው ” ማለት በተለይም ስምን፣ መለያ ቁጥርን፣ የስልክ ቁጥርን፣ የኢንተርኔት መለያ አድራሻን፣ የቦታ ዳታን፣ የኦንላይን መለያን፤ ወይም አንድ ወይም ከአንድ በላይ ከሆኑና ከዛ የተፈጥሮ ሰው ጋር ተያያዥ ከሆኑ የአካላዊ፣ የውስጥ ሰውነት፣ የዘረመል፣ የአዕምሮ፣ የኢኮኖሚ፣ የባህል ወይም የማህበራዊ ሁኔታዎች ጋር ተያያዥ የሆኑ መለያዎችን በመጠቀም በቀጥታ ወይም በተዘዋዋሪ ሊለይ የሚችል የተፈጥሮ ሰው ነው፤ ፴፫/ “ ሦስተኛ ወገን ” ማለት ከዳታ ባለቤቱ፣ ከዳታ ተቆጣጣሪው፣ ከዳታ አቀናባሪው፣ ወይም በዳታ ተቆጣጣሪው ወይም በዳታ አቀናባሪው ሥር ከሚሠሩ ሠራተኞች ውጪ የሆነና የግል ዳታን የማቀናበር ሥራ የሚሠራ ሰው ነው፤ ፴፬/ “ የሦስተኛ ወገን የሥልጣን ክልል ” ማለት ከኢትዮዽያ ሌላ አገር ፣ እንደዚሁም በዓለም አቀፍ ሕግ የሚተዳደር ዓለም አቀፍ ተቋምና የተቋሙ ቅርንጫፍ አካላት ፣ ወይም በሁለትና ከሁለት በላይ በሆኑ አገራት መካከል በተደረገ ስምምነት የተቋቋመ ተቋም ነው፤ ፴፭/ “ ውክልና የተሰጠው ተቋም ” ማለት በዚህ አዋጅ መሠረት የተሰጠውን ሥልጣንና ተግባራት ለመፈጸም ባለሥልጣኑ ውክልና የሰጠው የፌደራል ወይም የክልል መንግሥት ተቋም ነው፤ ፴፮/ “ ባለሥልጣን ” ማለት በኮሙኒኬሽን አገልግሎት አዋጅ ቁጥር ፩ሺ፩፻፵፰ / ፪ሺ፲፩ መሠረት የተቋቋመው የኢትዮጵያ የኮሙኒኬሽን ባለሥልጣን ነው፤ [[ ፴፯/ “ሚኒስቴር” ወይም “ሚኒስትር” ማለት እንዳግባነብቱ የኢኖቬሽንና ቴክኖሎጂ ሚኒስቴር ወይም ሚኒስትር ነው፤ ፴፰/ “ ምክር ቤት ” ማለት የኢትዮጵያ ፌደራላዊ ዲሞክራሲያዊ ሪፐብሊክ የሕዝብ ተወካዮች ምክር ቤት ነው፤ ፴፱/ “ሰው” ማለት የተፈጥሮ ሰው ወይም በሕግ የሰውነት መብት የተሰጠው አካል ነው፤ ፵/ ማንኛውም በወንድ ጾታ የተገለጸው ድንጋጌ የሴትንም ጾታ ይጨምራል። In this Proclamation, unless the context requires otherwise, 1/ “Data” means information that: a) Is being processed by means of equipment operating automatically in response to instructions given for that purpose ; b) Is collected with the intention that it should be processed by means of such equipment mentioned in lit. (a) ; c) Is recorded as part of a filing system or with the intention that it should form part of a filing system ;or d) Does not fall within lit. (a), (b) or (c) of this Sub article but forms part of any other accessible public record; 2/ “ Personal Data” means any information relating to an identified or identifiable natural person who can be identified , directly or indirectly , in particular by reference to an identifier such as a name, an identification number, location data , an online identifier or to one or more factors specific to the physical, physiological , genetic , mental , economic , cultural or social identity of that natural person; 3/ “Genetic Data” means personal data relating to the general characteristics of an individual which are inherited or acquired and which provide unique information about the physiology or health of the individual and which result, in particular, from an analysis of a biological sample from the individual in question; 4/ “Traffic Data” means any data relating to a communication by means of a computer system and generated by the system that form part in the chain of communication, indicating the communication’s origin, destination, route, time, date, size, duration, or type of underlying service; 5/ “Sensitive Personal Data” means natural person data on: a) Racial or ethnic origins; b) Genetic or biometric data; c) Physical or mental health or condition; d) Political opinions; e) Membership of a professional association ; f) Religious beliefs or other opinion of a similar nature; g) The commission or alleged commission of an offence; h) Any proceedings for an offence committed or alleged to have been committed, the disposal of such proceedings or the sentence of any court in the proceedings; i) Communications data, including content and metadata; or j) Any other personal data that the Authority may determine as sensitive personal data from time to time. 6/ “Biometric Data” means facial images, fingerprints, iris scans, or any other similar personal data resulting from specific technical processing relating to the physical, physiological or behavioural characteristics of a natural person, which allow or confirm the unique identification of that natural person; 7/ “Personal Data Breach” means breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to, personal data transmitted, stored or otherwise processed; 8/ “Profiling” means any form of automated processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to an individual, in particular to analyze or predict aspects concerning that individual’s performance at work, economic situation, health, personal preferences, interests, reliability, behavior, location or movements; 9/ “Data Subject” means an individual who is the subject of personal data; 10/ “Data Controller” means any person which, alone or jointly with others, process personal data and determine the purpose and means of processing of personal data; 11/ “ Data Processor ” means any person other than an employee of the data controller who processes the data on behalf of the data controller; 12/ “ Data Recipient ” means any person to whom personal data are disclosed or made available; 13/ “Data Protection Officer” means a natural person assigned in an organization with a responsiblties of controlling data handling , administration and usage 14/ “Consent” means any freely given specific, informed and unambiguous indication of the wishes of a data subject, either by a) A written statement; b) Verbal affirmations; or c) Any clear affirmative action by which he signifies his agreement to personal data relating to him being processed; 15/ “Minor” means a data subject below the age of sixteen years; 16/ “ Processing ” means an operation or set of operations performed on personal data or sets of personal data, whether or not by automated means, such as collection, recording, organization, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction; 17/ “Restriction of Processing” means the marking of stored personal data with the aim of limiting their processing in the future; 18/ “Encryption” means the process of transfroming data into a form that can not be read by a person or machine other than the authorized person through the use of technical method. 19/ “Confidentiality” means the principle of preventing personal data from being seen, disclosed, transmitted or used by unauthorized parties. 20/ “Completeness” is a term that referes to the extent to which the content to be included in personal data is complete and accurate ; 21/ “ Document ” means a) a disc, tape or other device in which information other than visual images are embodied so as to be capable, with or without the aid of some other equipment, of being reproduced from the disc, tape or other device; or b) a film, tape or other device in which visual images are embodied so as to be capable, with or without the aid of some other equipment, of being reproduced from the film, tape or other device; 22/ “ Register” means the register kept and maintained by the Authority; 23/ “Accessible Record” means a health record, an education record, or any other accessible public record which contains personal data; 24/ “Health Record” means personal data related to the physical or mental health of a natural person, including the provision of health care services, which reveal information about his health status; 25/ “Filing System” means a structured set of personal data which is accessible according to specific criteria, whether centralized, decentralized or dispersed on a functional or geographical basis; 26/ “Automated Device” means a device that makes decisions , intiates or implements actions without interventions , based on certain environmental conditions , time or data based on pre arranged algorithm and configuration . 27/“Proceedings” means any proceedings conducted by a court or an alternative dispute resolution mechanism; and may include an inquiry or investigation into a criminal offence; and disciplinary proceedings; 28/ “Direct marketing” means the communication of any advertising or marketing material which is directed to any particular individuals; 29/ "Default" means a pre-set or standard configuration, setting or nature of a system, software or device in a technology; 30/ "Design" is a plan used or to be used to create systems or services; 31/ “Pseudonymization” means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information and the additional information is kept separately and is subject to technical and organizational measures to ensure that the personal data are not attributed to an identified or identifiable individual; 32/ “Identifiable Natural Person” means one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, phone number, IP address, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person; [[ 33/ “Third party” means person other than the data subject, data controller, data processor or persons who, under the direct authority of the data controller or data processor, are authorized to process personal data; 34/ “Third Party Jurisdiction” means a country other than Ethiopia, and an international organization and its subordinate bodies governed by public international law, or any other body which is set up by, or on the basis of, an agreement between two or more countries; ‹‹ ‹‹35/ “Delegated Entity” means a Federal or Regional public body which is delegated by the Authority to perform the powers and functions entrusted to the later by this Proclamation; 36/ “Authority” means the Ethiopian Communications Authority established as per the Communications Proclamation No. 1148/2019; 37/ “Ministry” or “Minister” means the Ministry or the Minister of Innovation and Technology respectively; 38/ “House” means the House of Peoples’ Representative of the Federal Democratic Republic of Ethiopia; 39/ “Person” means a physical or legal person; and 40/ Any expression in the masculine gender shall include the feminine.
፩/ ይህ አዋጅ በሙሉ ወይም በከፊል ራስ አዘዝ በሆነ መሳሪያ ፣ እንደዚሁም የመዝገብ ሥርዓት አካል የሆነ ወይም የመዝገብ ሥርዓት አካል እንዲሆን የታሰበና ራስ አዘዝ ባልሆነ መሳሪያ በሌላ መንገድ በሚደረግ የግል ዳታ ማቀናበር ላይ ተፈጻሚ ነው። ፪/ ከዚህ በተቃራኒ ካልተደነገገ በስተቀር፣ ይህ አዋጅ ማንኛውንም የግል ዳታ በተመለከተ በዳታ ተቆጣጣሪ ወይም በዳታ አቀናባሪ ላይ ተፈጻሚ የሚሆነው :- ሀ) የተቋቋመው በኢትዮጵያ ከሆነና ዳታው የተቀናበረው ድርጅቱ ከተቋቋመበት አውድ አንፃር፣ ወይም ለ) የተቋቋመው በኢትዮጵያ ባይሆንም ዳታው በኢትዮጵያ አልፎ ለመሻገር ሳይሆን በኢትዮጵያ ውስጥ ያለ መሳሪያን በመጠቀም የሚቀናበር እና መቀመጫውን በኢትዮጵያ ያደረገ ወኪል ያለው ከሆነ ብቻ ነው። ፫/ በዚህ አንቀጽ ንዑስ አንቀጽ (፪) ፊደል ተራ (ሀ) አፈጻጸም ይህ አዋጅ የአዲስ አበባ እና የድሬዳዋ ከተማ አስተዳደሮችን ጨምሮ በፌደራልና ክልል መንግስት ውስጥ የግል ዳታ የማቀናበር ኃላፊነትና ተግባር ባላቸው የግል እና የመንግስት ተቋሞች ላይ ተፈጻሚነት ይኖረዋል። ፬/ በዚህ አንቀጽ ከንዑስ አንቀጽ (፩) እስከ (፫) የተደነገገው እንደተጠበቀ ሆኖ አዋጁ፡ሀ) አንድ ግለሰብ ለግሉ ወይም ለቤተሰቡ ግልጋሎት ለመስጠት በሚደረጉ፤ ለ) በመንግስት ተቋማት መካከል አንድን ጉዳይ ለማጣራት በሚደረጉ የመረጃ ልውውጦች ላይ የሚያተኩሩ፤ ሐ) በዚህ አዋጅ ድንጋጌዎች ተፈጻሚነት ላይ የተጣሉ ገደቦች ተብለው በተለዩ፣ እና መ) ከውጭ አገራት በመነጩ እና በኢትዮጵያ አልፈው ወደ ሶስተኛ አገራት የሚሻገሩ የግል ዳታ ማቀናበሮች ላይ ተፈፃሚ አይሆንም። 1/ This Proclamation shall apply to the processing of personal data, wholly or partly, by automated means and to any processing other than by automated means where the personal data form part of a filing system or are intended to form part of a filing system. 2/ Except as otherwise provided, this Proclamation applies to a data controller or data processor in respect of any personal data only if: a) It is established in Ethiopia and the data are processed in the context of that establishment, or b) It is not established in Ethiopia but uses equipment in Ethiopia for processing the data otherwise than for the purposes of transit through Ethiopia and has a representative established in Ethiopia. 3/ For the purpose of the application of Sub-Article (2) lit. (a) Of this Article, this Proclamation shall apply on private and public institutions of the federal and regional governments, including the City Administrations of Addis Abeba and Dire Dawa, which have the power and function to process personal data. 4/ Notwithstanding the provisions of Sub-Article (1) to (3) of this Article, this Proclamation shall not apply to processing of personal data: a) By an individual in the course of purely personal or household activity; b) Which involves the exchange of information between Government Agencies where such exchange is required on a need-to-know basis; c) where the application of the proclamation is restricted; and d) Originating from a country outside of Ethiopia and merely transiting through Ethiopia to a third country. .
ሚኒስቴሩ የግል ዳታ ጥበቃን በተመለከቱ ጉዳዮች ፖሊሲዎችንና ስትራቴጂዎችን ያመነጫል፤ ሲጸድቅ አፈጻጸሙን ይከታተላል። The Ministry shall have the Powers and Functions to formulate policies and strategies on personal data and when approved, follow-up their execution.
፩/ የዚህን አዋጅ ተፈጻሚነት ያረጋግጣል፤ ፪/ ኃላፊነቱን ለመወጣት የሚያስችለው አስፈላጊውን አስተዳደራዊ መዋቅር ይፈጥራል፤ ፫/ ለሚሰጣቸው አገልግሎቶች ይህን አዋጅ ለማስፈጸም በሚወጣ ደንብ መሠረት የአገልግሎት ክፍያ ይሰበስባል፤ ፬/ በዚህ አዋጅ ውስጥ በሚወድቁ ጉዳዮች ዙሪያ ሕብረተሰቡን ግንዛቤ ያስጨብጣል፤ ፭/ የዳታ ተቆጣጣሪዎችና የዳታ አቀናባሪዎች የሚያቀናብሯቸው የግል ዳታ በዳታ ማቀናበር መርሆዎች መሠረት መፈጸማቸውን ያረጋግጣል፤ ፮/ የግል ዳታና ጥንቃቄ የሚፈልግ የግል ዳታ አጠቃቀምን በሚመለከት ቁጥጥር ያካሂዳል፤ ፯/ የዳታ ማቀናበርና የኮምፒውተር ቴክኖሎጂ በግላዊነት መብት ላይ ያላቸው አሉታዊ ተፅዕኖ አነስተኛ እንዲሆን በማድረግ ዙሪያ ጥናቶችን ያጠናል፣ ዕድገቱን ይከታተላል፤ ፰/ በቴክኖሎጂና በግላዊነት መብት መካከል ያለ መስተጋብርን በማጥናት የዕውቀት ቋት የመፍጠርና የአቅም ግንባታ ሥራዎችን ይሠራል፤ ፱/ ከሌሎች ሀገራት ተቆጣጣሪ ባለሥልጣን መሥሪያ ቤቶች ጋር በትብብር ይሰራል፤ ፲/ በሶስተኛ ወገን የሥልጣን ክልል ውስጥ ያሉ የግል ዳታ ጥበቃ ሕጎች ከዚህ አዋጅና አዋጁን ተከትለው በሚወጡ ሕጎች የተቀመጡ የግል ዳታ ጥበቃ ደረጃዎች ጋር ተመጣጣኝ የሆነ የጥበቃ ደረጃ ያላቸው መሆኑን በተመለከተ ይወስናል፤ ፲፩/ ቅሬታዎች ሲቀርቡለት አስተዳደራዊ እርምጃዎችን ለመውሰድ የሚያስችለው ሕጋዊ የምርመራ ሂደቶችንና መርሆዎችን በመከተል ይመረምራል፣ ለምርመራው አስፈላጊ የሆኑ መረጃዎችን ይሰበስባል፤ ፲፪/ የዳታ ተቆጣጣሪዎችንና የዳታ አቀናባሪዎችን መዝገብ ይይዛል፣ ያስተዳድራል፤ ፲፫/ የግል ዳታ ሊጠፋ ወይም ይዘቱ ሊቀየር ይችላል ብሎ በበቂ ምክንያት ሲጠረጥር፣ የትራፊክ ዳታን ጨምሮ ዳታውን ባለበት ሁኔታ ለማቆየት የእግድ ትዕዛዝ እንዲሰጥ ይጠይቃል፤ ፲፬/ ዳታ ተቆጣጣሪው ወይም ዳታ አቀናባሪው ይህንን አዋጅ ተላልፏል፣ በመተላለፍ ላይ ነው ወይም ሊተላለፍ ነው ብሎ በበቂ መረጃ ላይ ተመስርቶ ሲያምን ይህን ለማስቆም ትዕዛዝ ይሰጣል፤ ፲፭/ የአዋጁ ድንጋጌዎች ሲጣሱ አስተዳደራዊ ቅጣቶችን ይወስናል፤ ፲፮/ እንደ አስፈላጊነቱ ለፌደራል ወይም ለክልል አካል ውክልና ይሰጣል፤ ፲፯/ የዚህን አዋጅ አፈፃጸም በተመለከተ ለምክር ቤቱ በዓመት ቢያንስ አንድ ጊዜ ሪፖርት ያቀርባል፤ ፲፰/ በዚህ አዋጅ እና ይህንን አዋጅ መሠረት በማድረግ በወጡ ሕጎች የተሰጡትን ተግባራቶችን፣ ኃላፊነቶችንና ግዴታዎችን ይፈጽማል። The Authority shall have the powers and functions to: 1/ Ensure the enforcement of this Proclamation; 2/ Establish administriative structures it considers appropriate to carry out its responsibilities; 3/ Collect service fees for the services it provides in accordance with a regulation to be issued to implement this Proclamation; 4/ Promote public awareness on issues which fall under this Proclamation; 5/ Ensure that personal data processed by data controllers and data processors in compliance with personal data processing principles ; 6/ Monitor the utilisation of of personal data and sensitive personal data; 7/ Undertake research into, and monitor developments in data processing and computer technology to ensure that any adverse effects of such developments on the privacy of persons are minimized; 8/ By undertaking research on the interaction of technology and the right to privacy, performs knowledge creation and capacity building works; 9/ Cooperate with supervisory authorities of other countries; 10/ Make determination as to whether a third-
፩/ ለማቀናበር ሕጋዊ መሠረት ያለው፣ የማቀናበሩ ሂደት ርዕታዊ እና ግልጽ የአሠራር ሥርዓት ላይ የተመሠረተ ፤ ፪/ የሚሰበሰበው ለአንድ ወይም ከአንድ በላይ ለሆነ እንደዚሁም ለተገለጸ ፣ ለታወቀ እና ሕጋዊ ለሆነ ዓላማ ወይም ዓላማዎች ፤ በቀጣይ የሚቀናበረው ከዚህ ዓላማ ወይም ከእነዚህ ዓላማዎች ጋር በሚጣጣም መልኩ፤ ፫/ የሚሰበሰበው ለሚቀናበርበት ዓላማ ልከኛ መሆኑ የተረጋገጠ፤ ፬/ ትክክለኛነቱንና እንዳስፈላጊነቱ ወቅታዊነቱን የጠበቀ፤ ፭/ ለዓላማው ወይም ለዓላማዎቹ አስፈላጊ ከሆነው ጊዜ በላይ አለመከማቸቱ፣ ፮/ ምሉዕነቱ፣ ሚስጥራዊነቱና ደህንነቱ የተረጋገጠ፤ እንደዚሁም ፯/ የሚቀናበረው የዳታ ሉዓላዊነትን ባከበረ መልኩ መሆን አለበት። Personal data shall be 1/ processed lawfully, fairly and in a transparent manner; 2/ obtained only for one or more explicit, specified and lawful purposes and further processed that is compatible with those purposes; 3/ adequate, relevant and not excessive in relation to the purposes for which they are processed; 4/ accurate and, where necessary, kept up to date; 5/ kept the personal data for no longer than is necessary for the purposes for which the personal data are processed; 6/ processed in a manner that ensures the integrity, confidentiality, and security of the personal data; and 7/ processed in a manner that ensures the sovereignty of the data. [[
፩/ በዚህ አዋጅ የአንቀጽ ፮ ንዑስ አንቀጽ (፩) ድንጋጌ እንደተጠበቀ ሆኖ የግል ዳታ በዚህ አንቀጽ ንዑስ አንቀጽ (፪) እና (፫) እንደዚሁም ጥንቃቄ የሚፈልግ የግል ዳታ በዚህ አዋጅ በአንቀጽ ፱ ላይ የተመለከቱትን ሁኔታዎች ማሟላት አለበት። ፪/ የግል ዳታ ማቀናበር ሕጋዊ ነው የሚባለው ሀ) የዳታው ባለቤት ፈቃዱን የገለጸ፤ ለ) ማቀናበሩ አስፈላጊና ከዳታ ባለቤቱ ጋር የተገባን ውል ከመፈጸም ጋር የተገናኘ ፣ ወይም የዳታ ባለቤቱ ውል ከመግባቱ በፊት በጠየቀው መሠረት እርምጃዎችን ለመውሰድ ማቀናበሩ አስፈላጊ፤ [[ ሐ) ማቀናበሩ የዳታ ተቆጣጣሪው ያለበትን ግዴታ ለመወጣት አስፈላጊ፤ መ) ማቀናበሩ የዳታ ባለቤቱን ሕይወትና ጤናን ጨምሮ ወሳኝና አስፈላጊ የሆኑ ጥቅሞቹን ለማስጠበቅ አስፈላጊ፤ ሠ) ማቀናበሩ ለሕብረተሰብ የጤና ቀውስ ወይም ለብሔራዊ አደጋ ምላሽ ለመስጠት ፣ ወይም መንግሥታዊ ተቋሞ የግል ዳታ ማቀናበርን ጨምሮ በሕግ የተሰጣቸውን ተግባርና ኃላፊነት ለመወጣት አስፈላጊ ፤ ወይም ረ) ማቀናበሩ ዳታው ለተሰጠው ዳታ ተቆጣጣሪ ሕጋዊ ጥቅሞች አስፈላጊ ሆኖ ሲገኝና፤ እነዚህ ጥቅሞች የግል ዳታ ጥበቃ በሚያስፈልጋቸው የዳታ ባለቤቱ ሌሎች መሠረታዊ መብቶች የማይገደቡ፤ ከሆነ ነው። ፫/ በዚህ አንቀጽ ንዑስ አንቀጽ (፪) ፊደል ተራ (ሠ) አፈጻጸም ፣ ሀ)ዳታ ማቀናበሩ በግለሰቦች የግላዊነት መብት ላይ የሚያሳድረው ጫና አስፈላጊና ተመጣጣኝ፤ ለ) የዳታ ማቀናበሩ ዋነኛ ክፍሎች በተለይም የዳታውን ምድብ ፣ የማቀናበሩን ዓላማ፣ዳታው የሚከማችበትን ጊዜ፣ዳታው ይፋ የሚደረግበትን አግባብ የሚወስን፤ እንደዚሁም ሐ) ሕጉ ተፈጻሚ መሆን ካቆመ በኋላ የሚደረግ የግል ዳታ ማቀናበር የተከለከለ፤ መሆን አለበት። ፬/ የዳታ ማቀናበር ከተከተለው ሕጋዊ ዓላማ ጋር ተመጣጣኝ መሆን አለበት። 1/ Notwithstanding the provision of Sub-Article (1) of Article 6 of this Proclamation, personal data shall not be processed unless there is compliance with at least one of the conditions set out in Sub-Articles (2) and (3) of this Article; or in the case of sensitive personal data, Article 9 of this Proclamation. 2/ The processing of personal data shall be regarded as lawful when:- a) The data subject has given his consent; b) Processing is necessary and is related to the fulfillment of a contract with the data subject or in order to take steps at the request of the data subject prior to entering into a contract; c) The processing is necessary for compliance with a legal obligation to which the data controller is subject; d) The processing is necessary to protect vitally important interests of the data subject, including life and health; e) The processing is necessary in order to respond to a public health crisis or national emergency or to fulfill functions of public authority which necessarily includes the processing of personal data for the fulfillment of its mandate within the limits of a law issued for this purpose; or f) The processing is necessary for the purposes of the legitimate interests pursued by the personal data controller to whom the data is disclosed, except where such interests are overridden by fundamental rights and freedoms of the data subject which require protection of personal data. 3/ For the purpose of Sub-Article (2) lit. (e) of this Article, a) The impact of data proceccing on privacy right of the data subject shall be necessary and proportionate; b) The law shall determine the essential elements of processing such as the categories of data, the purpose, storage period, and possible disclosure; and c) Further processing of personal data after the expiry of such law shall be prohibited. 4/ The data processing should be proportionate to the legal aim it complies.
፩/ በዚህ አዋጅ አንቀጽ ፯ ንዑስ አንቀጽ (፪) ፊደል ተራ (ሀ) አፈጻጸም የግል ዳታ ማቀናበር የሚቻለው ማቀናበሩ ከመጀመሩ በፊት በዳታ ባለቤቱ በሚሰጥ ፈቃድ ላይ ተመስርቶ ነው። ፪/ የዳታ ባለቤቱ የሰጠው ፈቃድ ሕጋዊ ውጤት እንዲኖረው ፈቃዱ በነፃነት ፣ በመረጃ ላይ በመመስረት ፣ በግልጽ ፣ እንደዚሁም በዳታ ባለቤቱ ግልጽ ተግባራትን በመፈጸም የተሰጠ መሆን አለበት። ፫/ የዳታ ባለቤቱ የሰጠውን ፈቃድ በማንኛውም ጊዜ ሊያነሳ ይችላል። ሆኖም የዳታ ባለቤቱ ፈቃዱን በሚሰጥበት ወቅት ፈቃድ ማንሳትን የተመለከተ መረጃ አስቀድሞ ሊሰጠው ይገባል። ፬/ ዳታ ተቆጣጣሪው የዕቃዎችንና የአገልግሎቶችን አቅርቦት ፣ ወይም የጥራት ደረጃቸውን ፤ የውል አፈፃጸምን ፣ ወይም የመብት አፈፃጸምን ከዚህ ዓላማ ጋር ተያያዥ ካልሆነና የግል ዳታን ለማቀናበር ከሚሰጥ ፈቃድ ጋር ማቆራኘት የለበትም ። የዚህ ድንጋጌ ተፈጻሚነት ጉዳዮችን አንድ በአንድ በመመልከት ይወስናል። ፭/ የዳታ ባለቤቱ ዳታ እንዲቀናበር ፈቃድ የሰጠው በዚህ አንቀጽ ንዑስ አንቀጽ (፪) መሠረት መሆኑን የማስረዳት ሸክም በዳታ ተቆጣጣሪው ላይ ያርፋል። የፈቃድ ጥያቄ ከሌሎች ጉዳዮች ተለይቶ መቅረብ አለበት፤ በተለይም ከደንብና ግዴታዎች ጋር መቀላቀል የለበትም። [[[[[ ፮/ የዳታ ባለቤቱ ለውል አፈጻጸም ዓላማ ሲባል የግል ዳታው እንዲቀናበር ሰጥቶ የነበረውን ፈቃድ ሲያነሳ፤ ፈቃድ በመነሳቱ ምክንያት ለሚመጣው ተገቢ ለሆነ ሕጋዊ ውጤት ኃላፊ ነው። ፈቃድ መነሳቱ ፈቃድ በነበረበት ጊዜ የተደረገው ማቀናበር ሕጋዊነት ላይ አሉታዊ ተፅዕኖ የለውም። 1/ For the purpose of Article 7 Sub-Article (2) lit. (a) Of this Proclamation, personal data should be processed on the basis of the consent given prior to the commencement of the processing. 2/ For the consent of the data subject to be valid, it must be free, informed, specific, clear and require an active action from the data subject. 3/ The data subject may withdraw his consent at any time. Information with regard to withdrawal of consent shall be given prior to giving his consent. [[[[[ 4/ The data controller shall not make the provision of any goods or services or the quality thereof, the performance of any contract, or the enjoyment of any legal right or claim, conditional on consent to processing of any personal data not necessary for that purpose. The application of this provision shall be decided on a case-by-case basis. 5/ The data controller shall bear the burden of proof to establish that consent has been given by the data subject for processing of personal data in accordance with Sub-Article (2) of this Article. The request for consent shall be presented in a manner which is clearly distinguishable and separate from other matters; request for consent cannot be bundled with other terms and conditions. 6/ Where the data subject withdraws consent for the processing of any personal data necessary for the performance of a contract to which he is a party, reasonable legal consequences for the effects of such withdrawal shall be borne by him. The withdrawal of consent by the data subject shall not affect the lawfulness of processing based on consent before its withdrawal.
፩/ ጥንቃቄ የሚፈልግ የግል ዳታ ማቀናበር ክልክል ነው። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተደነገገው ቢኖርም፣ ሀ) በዚህ አንቀጽ በንዑስ አንቀጽ (፩) የተጣለው ክልከላ በዳታ ባለቤቱ ሊነሳ አይችልም በማለት በሕግ ካልተደነገገ ፣ የዳታ ባለቤቱ ዳታው ከመቀናበሩ በፊት ለተጠቀሰው ዓላማ ፈቃዱን በጽሑፍ የሰጠ ከሆነ፣ ለ)ማቀናበሩ የዳታ ባለቤቱን ወይም የሌላ ሰው ሕይወትንና ጤናን ለመጠበቅ አስፈላጊ ከሆነ፣ እና የዳታው ባለቤት ዳታው ከመቀናበሩ በፊት በሕግም ሆነ በአካል ስምምነቱን መግለጽ የማይችል ከሆነ፣ ሐ) ማቀናበሩ የመንግሥታዊ ድርጅቶች ሕጋዊ የሆኑ ንግድ ነክ ያልሆኑ ዓላማዎችን ለማሳካት አስፈላጊ ከሆነ፣ መ) ማቀናበሩ ለሕክምና ዓላማዎች አስፈላጊ ከሆነና በሕክምና ተቋም ከተከናወነ ፣ ሠ) ማቀናበሩ በፍርድ ሂደት ላይ ወይም በሌሎች የመንግሥት ተቋማት ዘንድ ቀርበው ያሉ ሰዎች ሕጋዊ መብቶችን እና ጥቅሞችን ለማስጠበቅ አስፈላጊ የሆነን የግል ዳታ የሚመለከት ከሆነ ፣ ወይም ረ) ማቀናበሩ በሕግ የተፈቀዱለት ተግባራትን በመፈጸም በፋውንዴሽን ፣ በማኅበር ወይም የፖለቲካ ፣ የፍልስፍና፣ የሃይማኖት ወይም የሙያ ማህበር በሆነ ለትርፍ ዓላማ ባልተቋቋመ ድርጅት የተፈጸመ ከሆነ ፤ ማቀናበሩ የሚፈጸመው በአባላቶቹ ፣ በቀድሞ አባላቶቹና ከተቋሙ ጋር በተቋሙ ዓላማ ዙሪያ መደበኛ ግንኙነት ባላቸው ሰዎች ዙሪያ ከሆነ ፣ እንደዚሁም የግል ዳታው ያለ ዳታ ባለቤቱ ፈቃድ ከተቋሙ ውጪ የማይገለጽ ከሆነ ጥንቃቄ የሚፈልግ የግል ዳታን ማቀናበር ይፈቀዳል። ፫/ ዘርን ወይም ጎሳን የተመለከተ ልዩ ጥንቃቄ የሚያስፈልጋቸው የግል ዳታዎች ሀ) ዘርን ወይም ጎሳን አስመልክቶ ፍትሃዊነትንና ዕኩልነትን ለማስፈን አስፈላጊ፣ እንደዚሁም ለ) የዳታ ባለቤቶችን መብትና ነፃነቶች በተገቢው መልኩ በማስጠበቅ የሚከናወን ካልሆነ በስተቀር አይቀናበርም። ፬/ በዚህ አንቀጽ ንዑስ አንቀጽ (፪) እና (፫) አፈጻጸም ማቀናበሩ የሚፈቀደው ተገቢ የሆኑ ቴክኒካዊ የደህንንነት እርምጃዎችን የሚያከብር ከሆነ ነው። 1/ The processing of sensitive personal data shall be prohibited. 2/ Notwithstanding the provision of Sub-Article (1) of this Article, the processing of sensitive personal data shall be permitted in the following cases: a) The data subject has given his written consent, specific to the purpose prior to the processing except where a law provides that the prohibition referred in sub-Article of this Article may not be lifted by the data subject; b) The processing is necessary to protect the life and health of the data subject or another person, and the data subject is not legally or physically able to express his consent prior to the processing; c) The processing is necessary to achieve the lawful and non-commercial objectives of public organizations; d) The processing is necessary for purposes of medical treatment and is carried out by a medical treatment institution; e) The processing concerns such personal data as is necessary for the protection of lawful rights and interests of persons in court proceedings, or other public institutions, or f) processing is carried out in the course of its legitimate activities by a foundation, association or any other not-for-profit body with a political, philosophical, religious or trade union aim and on condition that the processing relates solely to the members or to former members of the body or to persons who have regular contact with it in connection with its purposes and that the personal data are not disclosed outside that body without the consent of the data subjects. 3/ Sensitive personal data in respect of race or ethnic origin shall not be processed unless the processing is: a) for ensuring justice and equality with regard to race or ethnic origin; and b) Carried out with appropriate safeguards for the rights and freedoms of the data subject. 4/ For the purpose of Sub-Article (2) and (3) of this Article, processing shall be permitted if it is done with appropriate technical and security safeguards.
፩/ ተጨማሪ የግል ዳታ ምድቦችን ጥንቃቄ የሚፈልግ የግል ዳታ በማለት በደንብ ሊመደብ ይችላል። ፪/ የግል ዳታ ምድቦች በዚህ አንቀጽ ንዑስ አንቀጽ (፩) መሠረት ጥንቃቄ የሚፈልግ የግል ዳታ ተብለው በሚመደቡበት ጊዜ፣ ሀ) በዚህ ምድብ ውስጥ የተካተተ የግል ዳታ ማቀናበር በዳታው ባለቤት ላይ ሊያስከትለው የሚችለውን የአደጋ የሥጋት ደረጃ፣ ለ) በዚህ ምድብ ውስጥ የተካተተ የግል ዳታ የሚጠበቅበትን የሚስጥራዊነት ደረጃ፣ ሐ) በዚህ ምድብ የተካተተ ዳታ ማቀናበሩ በቁጥር ከፍ ባሉና በሚታወቁ የዳታ ባለቤቶች ላይ ሊያስከትል የሚችለውን የአደጋ የሥጋት ደረጃ፣ እና መ) መደበኛ የሆኑ የግል ዳታ ድንጋጌዎች የሚሰጡት ጥበቃ በቂ መሆናቸውን መነሻ በማድረግ በዚህ ሥር የተካተቱ የግል ዳታዎች የሚቀናበሩበትን ተጨማሪ ምክንያቶች መወሰን ይችላል። ፫/ ባለሥልጣኑ ተጨማሪ ቴክኒካዊ የደህንነት እርምጃዎችን ወይም ገደቦችን የሚጠይቁ ሌሎች የግል የዳታ ምድቦችን በተመለከተ በጥናት የተደገፈ ሀሳብ ሊያቀርብ ይችላል። Data 1/ A Regulation may prescribe further categories of personal data which may be classified as sensitive personal data. 2/ Where categories of personal data have been specified as sensitive personal data under Sub-Article (1) of this Article, the Authority may specify any further grounds on which such specified categories may be processed, having regard to: a) the risk of significant harm that may be caused to a data subject by the processing of such category of personal data; b) the level of confidentiality attached to such category of personal data; c) whether a significantly discernible class of data subjects may suffer significant harm from the processing of such category of personal data; and d) The adequacy of protection afforded by ordinary provisions applicable to personal data. 3/ The Authority may specify other categories of personal data based on study which require additional safeguards or restrictions.
፩/ ለአካለ መጠን ያልደረሰ ልጅን የግል ዳታ ማቀናበር የልጁን መብትና ጥቅም በሚያስከብር እና በሚያስቀድም መንገድ መከናወን አለበት ። ይህን የማስረዳት ሸክም በዳታ ተቆጣጣሪው ላይ ያርፋል። ፪/ ለአካል መጠን ያልደረሰ ልጅ የግል ዳታ የማቀናበር ሂደት ሕጋዊ የሚሆነው ሀ) ወላጆቹ ወይም አሳዳሪው ወይም ሞግዚቱ ፈቃድ ወይም ሥልጣን የሰጠ ፣ ወይም [[ ለ) ማቀናበሩ ለልጁ ወሳኝ ጥቅሞች አስፈላጊ ከሆነ ነው። ፫/ የዳታ ተቆጣጣሪው በወቅቱ ያለውን ቴክኖሎጂ ግምት ውስጥ በማስገባት የዳታ ባለቤቱን ዕድሜ፣ እንዲሁም ፈቃድ በልጁ ወላጅ ወይም ሞግዚት መሰጠቱን ማረጋገጥ አለበት። ፬/ በዚህ አንቀጽ ከንዑስ አንቀጽ (፩) እስከ (፫) የተደነገገው እንደተጠበቀ ሆኖ ለአካለ መጠን ያልደረሰ ልጅን የግል ዳታ ለማሻሻጥ ሥራ ፣ የግል ዳታ ባለቤት መገለጫ ለማቀናበር ወይም የግል ዳታ ባለቤት መገለጫ ቅንብርን ለማዋሃድ በማሰብ ማቀናበር የተከለከለ ነው። 1/ Personal data of a minor shall be processed in a manner that protects and advances the rights and best interests of the minor. The data controller shall bear the burden of proof. 2/ The processing of a minor’s personal data shall be lawful where and to the extent that: a) consent is given or authorized by the parent or guardian or tutor of the minor; or [[ b) Processing is necessary to the minor’s vitally important interest. 3/ The data controller shall make reasonable efforts to verify the age of the data subject and that consent is given or authorized by the parent or guardian of a minor, taking into consideration available technology. 4/ Notwithstanding the provisions of Sub-Article (1) – (3) of this Article, the processing of personal data of a minor for the purposes of marketing, profiling, or merging of profiles shall not be allowed.
፩/ በዚህ አዋጅ አንቀጽ ፮ ንዑስ አንቀጽ (፩) የተገለጸውን የርዕታዊነትና የግልጽነት መርሕ ድንጋጌን ለማሟላት፣ ሀ) የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው የዳታ ማቀናበሩን በተመለከተ ለዳታ ባለቤቱ መረጃ ለመስጠት ተገቢውን እርምጃ መውስድ፤ ለ) የሚሰጠው መረጃ ለመረዳት የማይከብድ ቋንቋን በመጠቀም የተከናወነና አጭር፣ ግልጽ፣ በቀላሉ የሚነበብና በቀላሉ ተደራሽ የሆነ ቅርጽን ጥቅም ላይ ያዋለ መሆን፤ ሐ)ማቀናበሩ የዳታ ባለቤቱን ባልጠበቀው ወይም በሚያሳስት ሁኔታ ያልተከናወነ መሆን፤ ወይም መ) ማቀናበሩ የዳታ ባለቤቱን መረጃ የማግኘት መብት የሚያከብር፣ እንደዚሁም ግልጽ፣ ክፍት እና ተዓማኒ በሆነ መልኩ የተከናወነ መሆን፤ አለበት። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) ፊደል ተራ (ለ) መሠረት መረጃው የሚሰጠው ለአካለ መጠን ላልደረሰ ልጅ ከሆነ ልዩ ትኩረት ሊሰጠው ይገባል። ፫/ዳታ ተቆጣጣሪው በዚህ አዋጅ በአንቀጽ ፳፭ የተዘረዘሩትን መረጃዎችን የመስጠት የዘወትር ግዴታ አለበት። 1/ To meet the principle of fairness and transparency stated in Article 6 Sub-Article (1) of this proclamation , the processing of personal data shall meet the following conditions: a) The data controller or data processor shall take appropriate measures to provide any information relating to processing to the data subject; b) The information shall be provided in a concise, transparent, intelligible and easily accessible form, using clear and plain language; c) Processing shall not be done in a way that is unexpected or misleading to the data subject; or d) Processing shall respect the right of the data subject to informed and be done in a manner which is clear, open and honest. 2/ Any information addressed specifically to a minor as per the provisions of Sub-Article (1) lit. (b) Of this Article shall be given special attention. 3/ The data controller shall be under a duty to always provide the information stipulated in Article 25 of this Proclamation.
፩/ በዚህ አዋጅ አንቀጽ ፮ ንዑስ አንቀጽ (፪) አፈጻጸም፣ የግል ዳታ የተሰበሰበበት ዓላማ፤ ሀ) የዳታ ተቆጣጣሪው ዳታው በቀጣይ ከመቀናበሩ በፊት ለዳታ ባለቤቱ በሚሰጠው የጽሑፍ ማስታወቂያ ፤ ወይም ለ) የግል ዳታ የሚቀናበርበት ወይም ሊቀናበር የሚችልበት ምክንያት የሚገልጽ መግለጫ ለባለሥልጣኑ መስጠት አለበት። ፪/ በዚህ አዋጅ አንቀጽ ፮ ለንዑስ አንቀጽ (፪) አፈጻጸም፣ የግል ዳታ ይፋ የተደረገበት አግባብ ዳታው ከተሰበሰበበት ዓላማ ጋር የሚጣጣም መሆኑን ለመወሰን፤ ሀ) የግል ዳታ ይፋ የተደረገላቸው ሰዎች ዳታውን የሚያቀናብሩበት ዓላማ፣ እና ለ) የግል ዳታ የሚያቀናብረው ሰው የተጣለበት ኃላፊነት ወይም የሚያከናውናቸው ተግባራት ግምት ውስጥ መግባት አለበት። ፫/ በዚህ አንቀጽ ለንዑስ አንቀጽ (፪) አፈፃጸም ለሕብረተሰብ ጥቅም የሚደረግ የወመዘክር ፣ ለሳይንሳዊና ታሪካዊ ፣ እንደዚሁም ለስታቲስቲክስ ዓላማዎች የሚደረግ ቀጣይ ማቀናበር ከዚህ ዓላማ ጋር የሚጣጣሙ ቴክኒካል የደህንነት እርምጃዎችን ማካተት አለበት። 1/For the purposes of the application of the principles stipulated in Article 6 Sub-Article (2) of this Proclamation, the purpose for which personal data are obtained shall be specified a) In a notice given by the data controller to the data subject prior to that further processing; or b) In a description given to the Authority. 2/ For the purpose of the application of of Article 6 Sub-Article (2) of of this Proclamation, in determining whether any disclosure of personal data is compatible with the purpose for which the data were obtained, regard is to be had to the: a) Purpose for which the personal data are intended to be processed by any person to whom they are disclosed; and b) Functions or activities of the person processing the personal data. 3/ For the purpose of Sub-Article (2) of this Article, further processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes is, subject to appropriate safeguards, compatible with those purposes.
የግል ዳታ በውስጡ የዳታ ባለቤቱ ወይም ሦስተኛ ወገን የሰጠውን መረጃ በትክክል መዝግቦ እስከያዘ ድረስ :- ፩/ በተለይም ዳታው የተሰበሰበትን እና በቀጣይ የተቀናበረ ዓላማ ግምት ውስጥ በማስገባት ፣ የዳታ ተቆጣጣሪው የዳታውን ትክክለኛነት ለማረጋገጥ ተገቢ የሆኑ እርምጃዎችን የወሰደ ፣ እንደዚሁም ፪/ የዳታ ባለቤቱ ዳታው ትክክለኛ አለመሆኑን ለዳታ ተቆጣጣሪው ገልጾ ከሆነና የዳታ ባለቤቱ አስተያየት ተካቶ ከሆነ ፤ ትክክለኛ ያልሆነ መረጃ ማካተቱ የትክክለኛነት መርሕን ጥሷል አያስብልም። The principle of accuracy is not to be regarded as being contravened by reason of any inaccuracy in personal data which accurately record information obtained by the data controller from the data subject or a third party in a case where: 1/ Having regard to the purpose for which the data were obtained and further processed, the data controller has taken reasonable steps to ensure the accuracy of the data; and 2/ The data subject have notified the data controller of his view that the data is inaccurate, and the data indicates that fact.
፩/ የዳታ ተቆጣጣሪ ወይም የዳታ አቀናባሪ የግል ዳታ የተቀናበረበትን ዓላማ ወይም ዓላማዎቹ ለማሳካት አስፈላጊ ለሆነበት ምክንያታዊ ጊዜ ወይም በሕግ ተገልጾ ለተቀመጠ ጊዜ አከማችቶ ማቆየት አለበት። ፪/ የዚህ አንቀጽ ንዑስ አንቀጽ ፩ ድንጋጌ ቢኖርም፤ የሚከተሉት ሁኔታዎች ሲኖሩ የግል ዳታ ላልተወሰነ ጊዜ ሊከማች ይችላል፡ሀ) በዚህ ወይም በሌላ ሕግ የተደነገገ ከሆነ፤ ለ) የዳታ ባለቤቱ ሲፈቅድ፤ ሐ ለሕጋዊ ዓላማ አስፈላጊ ሆኖ ሲገኝ፤ወይም መ) ለታሪክ፣ ለስታቲስቲክስ፣ ለሥነ-ጽሑፍ እና ለምርምር ዓላማ። ፫/ የግል ዳታን ለታሪክ ፣ ለስታቲስቲክስ እና ለምርምር ዓላማ የሚያስቀምጥ ሰው የግል ዳታን የያዙ ሰነዶች ላልተፈቀዱ ዓላማዎች ይፋ እንዳይደረጉ ወይም ጥቅም ላይ እንዳይውሉ ለማድረግ በቂ ጥበቃ ሚደረግላቸው መሆኑን ማረጋገጥ አለበት። ፬/ የዳታ ባለቤቱን የግል ዳታ ሰነድ በመጠቀም የዳታ ባለቤቱን የሚመለከት ውሳኔ የሚወስን ሰው ሰነዱን በሕግ ወይም በአሠራር ደንብ ለተቀመጠው ጊዜ ያህል ጠብቆ ማቆየት አለበት። 1/ A data controller or a data processer must store and retain personal data for a reasonable period of time necessary to achieve the purpose of or the purpose for which it was processd or for a period defined by law. 2/ Notwihthstanding to Sub Article (1) of this article ; personal data may be stored indifinately in the following circumstances : (a) as provided by this law or any other law; (b) when the data owner consents ; (c) when its necessary for lawful purposes;or (d) For historical, stastical, literally and research purpose. ] [[[[ 3/ A person who retains records for historical, statistical or research purposes shall ensure that the records that contain the personal data are adequately protected against access or use for unauthorized purposes. 4/ A person who uses a record of the personal data of a data subject to make a decision about the data subject shall retain the record for a period required or prescribed by law or a code of conduct.
፩/ ዳታ ተቆጣጣሪው በሥራቸው አጋጣሚ የግል ዳታ የሚያገኙ ሠራተኞቹን ታማኝነት ለማረጋገጥ አስፈላጊውን ቴክኒካዊ እርምጃ መውሰድ አለበት። ፪/ የግል ዳታ ማቀናበሩ በዳታ ተቆጣጣሪው ምትክ በዳታ አቀናባሪው የሚከናወን ከሆነ፣ ይህን መርሕ ለማክበር ዳታ ተቆጣጣሪው ሀ) የሚከናወነውን የማቀናበር ሥራ ለመተግበር አስፈላጊ የሆኑ የቴክኒክና ተቋማዊ የደህንነት እርምጃዎች ያሉትና ለዚህም ማረጋገጫ ማቅረብ የሚችል የዳታ አቀናባሪ መምረጥ ፣ እንደዚሁም ለ) እነዚህ እርምጃዎች መተግበራቸውን ለማረጋገጥ አስፈላጊ የሆነውን ሁሉ መውሰድ፤ አለበት። ፫/ የግል ዳታ ማቀናበሩ በዳታ ተቆጣጣሪው ምትክ ሆኖ በዳታ አቀናባሪው የተከናወነና :- ሀ) የዳታ ማቀናበር ሥራው በፅሁፍ በተሰጠ ውል ወይም በጽሑፍ በተደገፈ ሰነድ መከናወኑ ማስረጃ ሊቀርብበት ካልቻለ፣ ] [[[[ ለ) ዳታ አቀናባሪው ከዳታ ተቆጣጣሪው በተሰጠው ትዕዛዝ መሰረት ብቻ የማይሰራ ከሆነ፣ እና ሐ) ለዳታ አቀናባሪው የተሰጠው ውል በዳታ ተቆጣጣሪው ላይ የምሉዕነትና ምስጥራዊነት መርህ ከጣለበት ግዴታ ጋር ተመጣጣኝ የሆነ ግዴታን በዳታ አቀናባሪው ላይ የማይጥል ከሆነ፤ ዳታ ተቆጣጣሪው የምሉዕነትና የምስጥራዊነት መርሕን እንዳከበረ አይቆጠርም። ፬/ ዳታ ተቆጣጣሪውና ዳታ አቀናባሪው በሥልጣናው ሥር ያለና በሥራው አጋጣሚ የግል ዳታን ማግኘት የሚችል ግለሰብ በሕግ ካልተገደደ በስተቀር ከዳታ ተቆጣጣሪው ትዕዛዝ ውጪ የግል ዳታን አለማቀናበሩን ለማረጋገጥ ተገቢውን የቴክኒክ እርምጃ መውሰድ አለባቸው። [፲፯. የቴክኒክ ደህንነት ፩/ ያልተፈቀደና ሕጋዊ ያልሆነ የግል ዳታ ማቀናበር እንደዚሁም የግል ዳታ ድንገተኛ መጥፋትን ወይም መውደምን ወይም መጎዳትን ለማስቀረት ተገቢ የሆነ የቴክኒክና ተቋማዊ እርምጃዎች መወሰድ አለበት። ፪/ የምሉዕነት እና የምስጥራዊነት መርሕን ለመተግበር የቴክኖሎጂ እድገት ግምት ውስጥ መግባት አለበት። ፫/ በዚህ አንቀጽ ንዑስ አንቀጽ (፪) ላይ የተቀመጠ እርምጃ :- ሀ) ካልተፈቀደ ወይም ሕጋዊ ካልሆነ ማቀናበር፣ ወይም በድንገተኛ የዳታ መጥፋት፣ መውደም ወይም መጎዳት ምክንያት ሊደርስ ከሚችል ጥፋት፣ እና ለ) ጥበቃ ከሚደረግለት የዳታ ባህርይ ጋር የሚመጣጠን የደህንነት ደረጃዎችን ማረጋገጥ አለበት። ፬/ የቴክኖሎጂ የእድገት ደረጃን፣ የማቀናበሩን ባሕርይ፣ ወሰን፣ ዓውድ፣ እና ዓላማዎች፤ እንደዚሁም በግለሰቦች ነጻነቶችና መብቶች ላይ ሊያመጣ የሚችለውን የአደጋ ሥጋትና መጠን ከግምት ውስጥ በማስገባት፤ የዳታ ተቆጣጣሪውና የዳታ አቀናባሪው :- ሀ) ግላዊ ዳታን በተመለከተ ስውር ስያሜ መጠቀምንና ዳታውን መመስጠርን፤ ለ) የማቀናበሩን ሥርዓቶችና አገልግሎቶች ምስጢራዊነት፣ ምሉዑነት ፣ በቀላሉ የሚያገኘው መሆኑን እና አደጋ የመቋቋም ብቃትን፤ ሐ) አካላዊና የቴክኒክ ተግዳሮቶች ሲያጋጥም የግል ዳታን በፍጥነት እንዲያገኘውና ተደራሽ እንዲሆን በማድረግ ወደ ነበረበት የመመለስ አቅም፤ እንደዚሁም መ) የማቀናበሩን ደህንነት ለማረጋገጥና የቴክኒክና ተቋማዊ እርምጃዎችን ውጤታማነት ለመገምገም የሚደረጉ መደበኛ የሙከራ፣ የምዘናና የግምገማ ሂደቶችን ጨምሮ ተገቢ የሆነ የቴክኒክና ተቋማዊ እርምጃዎችን በመተግበር ለሥጋቱ ደረጃውን የሚመጥን የደህንንነት ደረጃ ማረጋገጥ አለባቸው። ፭/ተገቢውን የደህንነት ደረጃ ለመመዘን በዋነኛነት በማቀናበሩ ላይ ያሉ ሥጋቶች ከግምት ውስጥ መግባት አለባቸው። ፮/ በማስተላለፍ ሂደት፣ በክምችት ወይም በሌላ ማንኛውም መንገድ እየተቀናበረ ያለ የግል ዳታ ባልታሰበ ወይም ሕጋዊ ባልሆነ አግባብ መውደም ፣ መጥፋት ፣ ይዘት መቀየር፣ ይፋ መደረግ ፣ ተደራሽ መደረግ በዚህ አንቀጽ ንዑስ አንቀጽ (፭) መሠረት ሥጋት ተብሎ ይቆጠራል። 1/ The data controller shall take reasonable steps to ensure the reliability of any employees of his who have access to the personal data. 2/ Where processing of personal data is carried out by a data processor on behalf of a data controller, the data controller shall in order to comply with this principle: a) choose a data processor who provides sufficient guarantees in respect of the technical and organizational security measures governing the processing to be carried out; and b) Take reasonable steps to ensure compliance with those measures. 3/ Where processing of personal data is carried out by a data processor on behalf of a data controller, the data controller is not to be regarded as complying with this principle unless: a) the processing is carried out under a contract which is made or evidenced in writing; b) the data processor is to act only on instructions from the data controller; and c) The contract requires the data processor to comply with obligations equivalent to those imposed on a data controller by the principle of integrity and confidentiality. 4/ The data controller and data processor shall take technical steps to ensure that any individual acting under their authority and has access to personal data does not process the personal data except on instructions from the data controller, unless he is required to do so by a law.
1/Appropriate technical and organizational measures shall be taken against unauthorized or unlawful processing of personal data and against accidental loss or destruction of, or damage to personal data. 2/ For the purposes of the application of the principle of integrity and confidentiality regard shall be made to the state of technological development. 3/ The measures referred in Sub-Article (2) of this Article must ensure a level of security appropriate to : a) The harm that might result from such unauthorized or unlawful processing or accidental loss, destruction or damage; and b) It must ensure security levels commensurate with nature of the the data to be protected. 4/ Taking into account the state of the art, the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of individuals, the data controller and the data processor shall implement appropriate technical and organizational measures to ensure a level of security appropriate to the risk, including: a) the pseudonymization and encryption of personal data; b) the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems and services; c) the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident; and d) A process for regularly testing, assessing and evaluating the effectiveness of technical and organizational measures for ensuring the security of the processing. 5/ In assessing the appropriate level of security account shall be taken in particular of the risks that are presented by processing. 6/ For the purpose of Sub-Article (5) of this Article, risks shall include in particular those risks from accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to personal data transmitted, stored or otherwise processed.
ከዳታ ማስተላለፍ ጋር ተያያዥ የሆኑ ድንጋጌዎች እንደተጠበቁ ሆኖ የግል ዳታ እንዲቀናበር ወደ ሦስተኛ ወገን የሥልጣን ክልል የሚተላለፈው በዚህ አዋጅ ድንጋጌዎች መሠረት እና ዳታው የሚተላለፍለት የሥልጣን ክልል ተገቢ የሆነ ጥበቃ የሚያደርግ መሆኑን በማረጋገጥ ነው። Without prejudice to the provisions on data transfer, the transfer to a third-party jurisdiction of personal data that is to undergo processing may only take place subject to the provisions of this Proclamation and provided that the third-
፩/ በዚህ አዋጅ በአንቀጽ ፲፰ መሠረት ተገቢ የሆነ የጥበቃ ደረጃ የሚመዘነው ዳታው ከመተላለፉ በፊትና በዳታ ማስተላለፉ ተግባር ወይም ተግባራቶች ዙሪያ ያሉ ሁኔታዎችን ግምት ውስጥ በማስገባት ነው። ፪/ የዚህ አንቀጽ ንዑስ አንቀጽ (፩) አፈጻጸም የዳታው ባህርይ ፣ የታሰበው የማቀናበር ዓላማ ፣ ማቀናበሩ ሊወስድ የሚችለው ጊዜ ፣ የዳታው መነሻ እና መዳረሻ ሀገር ፣ በሶስተኛው ወገን የሥልጣን ክልል ውስጥ ያለ የሕግ የበላይነት መርሕ አተገባበር ፣ እንደዚሁም በሦስተኛው ወገን የሥልጣን ክልል ውስጥ የሚተገበሩ የሙያ እና የደህንነት እርምጃዎች ግምት ውስጥ መግባት አለባቸው። ፫/ ባለሥልጣኑ ተገቢ የዳታ ጥበቃ ደረጃ በሌለበት ሁኔታ የተወሰነ ዳታ ማስተላለፍ ተገቢ ነው ብሎ ሲያምን በዚህ አዋጅ የተረጋገጡ የዳታ ባለቤቱ መብቶች እንዳይጣሱ በሚገድብ መልኩ ዳታ ማስተላለፉን ሊፈቅድ ይችላል። ፬/ በዚህ አንቀጽ ንዑስ አንቀጽ (፫) በተደነገገው አግባብ ባለሥልጣኑ የዳታ ማስተላለፉን ሲፈቅድ ሀ) የዳታ ባለቤቱ ዳታው ወደ ሦስተኛ ወገን የሥልጣን ክልል እንዲተላለፍ ፈቃድ የሰጠ መሆኑን፤ እና ለ) በራሱ ተቀባይነት ያገኘና ከግል ዳታው ውስጥ ተቆርጦ ወይም ተቀንሶ የወጣ ክፍል መኖሩን፤ ማረጋገጥ አለበት። ፭/ በዚህ አንቀጽ ንዑስ አንቀጽ (፫) እና (፬) የተደነገገው እንደተጠበቀ ሆኖ ለግል ዳታ ተገቢ የሆነ የጥበቃ ደረጃ ወደ ማይሰጥ ሦስተኛ ወገን የሥልጣን ክልል የግል ዳታን ማስተላለፍ የተከለከለ ነው። Jurisdiction 1/ The appropriate level of protection stipulated under Article 18 of this Proclamation shall be assessed in the light of all the circumstances surrounding a data transfer operation or a set of data transfer operations before the data is transferred. 2/ For the purpose of Sub-Article (1) of this Article, particular consideration shall be given to the nature of the data, the purpose and duration of the proposed processing operation or operations, the country of origin and country of final destination, the rules of law in force in the third party jurisdiction and the professional rules and security measures which are compiled within that jurisdiction. 3/ Where, despite the absence of appropriate levels of protection, the Authority determines that some limited form of transfer may be facilitated; it shall authorize such transfer provided that the data subject’s rights in accordance with this Proclamation are not violated. 4/ Where the Authority determines that some limited form of transfer may be facilitated as per the provision of Sub-Article (3) of this Article, it shall ensure that a) the data subject consents to the transfer of the data to the third-party jurisdiction; and b) There is appropriate severance or reduction of those aspects of the data which it deems appropriate. 5/ Without prejudice the provision of Sub-Article (3) and (4) of this Article, the transfer of personal data to a third-party jurisdiction that does not ensure appropriate level of protection is prohibited.
፩/ የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው የግል ዳታን ወደ ሶስተኛ ወገን የሥልጣን ክልል ማስተላለፍ የሚችለው ሀ) የግል ዳታ ደህንነትንና ጥበቃን በሚመለከት በሦስተኛ ወገን የሥልጣን ክልል ውስጥ ተገቢ የሆኑ የጥበቃ ደረጃዎች መኖሩን ለባለሥልጣኑ ማስረጃ የሰጠ፣ እንደዚሁም ባለሥልጣኑ በዚህ አዋጅ አንቀጽ ፲፱ ንዑስ አንቀጽ (፫) መሠረት ውሳኔ የወሰነ፣ ለ) የዳታ ባለቤቱ ዳታ ከማስተላለፉ ጋር የተያያዙ ሥጋቶችን የተገለጹለት ከሆነና ይህን መነሻ በማድረግ ግልጽ የሆነ ፈቃድ የሰጠ፣ ሐ) ማስተላለፉ አስፈላጊ፣ ወይም መ) የተላለፈው የግል ዳታ የተወሰደው በሕግ አግባብ ሕብረተሰቡ መረጃ እንዲያገኝ ታስቦ ከተዘጋጀ መዝገብ የተወሰደ ከሆነ ነው። ፪/ በዚህ አንቀጽ በንዑስ አንቀጽ (፩) ፊደል ተራ (ሐ) መሠረት ሀ) በዳታ ባለቤቱ እና በዳታ ተቆጣጣሪው ወይም ዳታ አቀናባሪው መካከል የተደረገ ውልን ለመፈጸም ፣ ወይም በዳታ ባለቤቱ ጥያቄ መሠረት ለሚደረግ የቅድመ ውል እርምጃዎች አስፈላጊ ከሆነ፣ ለ) በዳታ ተቆጣጣሪው እና በሌላ ሰው መካከል ለዳታ ባለቤቱ ጥቅም ሲባል ውል ለመግባት ወይም ውል ለመፈጸም የሚደረግ ከሆነ፣ ሐ) ለማንኛውም የሕዝብ ጥቅም ተብሎ የሚደረግ፣ መ) ሕጋዊ መብትን ለማቋቋም፣ ለመፈጸም ወይም ለመከላከል የሚደረግ፣ ወይም ሠ) የዳታው ባለቤት በአካል ወይም በሕጋዊ መንገድ ፈቃድ መስጠት በማይችልበት ጊዜ የዳታ ባለቤቱን ወይም የሌሎች ሰዎችን ወሳኝ ፍላጎቶች ለመጠበቅ፣ የዳታ ማስተላለፉ አስፈላጊ ነው ተብሎ ይወሰዳል። 1/ A data controller or data processor may transfer personal data to a third-party jurisdiction where: a) He has given proof to the Authority on the existence of appropriate level of protection in that third party jurisdiction, and the Authority has made the determination according to Sub- Article (3) of Article 19 of this Proclamation; b) The data subject has given explicit consent to the proposed transfer, after having been informed of the possible risks of the transfer; c) The transfer is necessary; or d) The transfer is made from a register which, according to law, is intended to provide information to the public. 2/ For the purpose of Sub-Article (1) lit. (c) of this Article, the transfer is necessary where: a) The performance of a contract between the data subject and the data controller or data processor or implementation of pre-contractual measures taken at the data subject’s request; b) For the conclusion or performance of a contract concluded in the interest of the data subject between the data controller and another person; c) For important reasons of public interest; d) For the establishment, exercise or defense of a legal claim; or e) In order to protect the vital interests of the data subject or of other persons, where the data subject is physically or legally incapable of giving consent.
፩/ ባለሥልጣኑ ዳታ ወደ ሦስተኛ ሀገር የሥልጣን ክልል የሚያስተላልፍ ሰው የዳታ ጥበቃ የደህንነት እርምጃዎቹ ውጤታማ መሆናቸውን ወይም ማስተላለፉ የግድ እንደሆነ እንዲያሳይ መጠየቅ ይችላል። ፪/ የዳታ ባለቤቶች መብቶችን እና መሠረታዊ ነፃነቶችን ለመጠበቅ ሲባል ባለሥልጣኑ ማስተላለፉን ሊከለክል፣ ሊያቋርጥ ወይም ሌሎች አስፈላጊ ያላቸው ቅድመ ሁኔታዎች እንዲሟሉ ማዘዝ ይችላል። 1/The Authority may request a person who transfers data to a third-party jurisdiction to demonstrate the effectiveness of the security safeguards and the existence of compelling legitimate interests. 2/ The Authority may, in order to protect the rights and fundamental freedoms of data subjects, prohibit, suspend or subject the transfer to such conditions as may be determined.
፩/ እያንዳንዱ የዳታ ተቆጣጣሪ ወይም የዳታ አቀናባሪ በአገር ውስጥ የተሰበሰበ ወይም የተገኘ የግል ዳታ በኢትዮጵያ ውስጥ በሚገኝ ሰርቨር ወይም የዳታ ማዕከል ውስጥ ማስቀመጡን ማረጋገጥ አለበት። ፪/ ባለሥልጣኑ የመንግሥት ስትራቴጂካዊ ፍላጎቶች መሠረት በማድረግ የተወሰኑ የግል ዳታ ምድቦች ወሳኝ የግል ዳታ ናቸው በማለት ፤ ሊቀናበሩ የሚችሉት በኢትዮጵያ ውስጥ በሚገኝ ሰርቨር ወይም የዳታ ማዕከል ብቻ ነው በማለት ገደብ የማስቀመጥ ግዴታ አለበት። ፫/ ጥንቃቄ የሚፈልግ የግል ዳታን ከአገር ወደ ውጪ ለማስተላለፍ በቅድሚያ የባለሥልጣኑን ፈቃድ ማግኘት አለበት። 1/ Every data controller or data processor shall ensure the storage, on a server or data center located in Ethiopia, of personal data collected or obtained locally. 2/ The Authority shall prescribe, based on grounds of strategic interests of the state, categories of personal data as critical personal data that shall only be processed in a server or data center located in Ethiopia. 3/ Cross-border transfer of sensitive personal data shall require the prior approval of the Authority.
፩/ የዳታ ባለቤት የግላዊነት መብት ከግለሰቡ የሕይወት ዘመን በኋላ ቀጣይነት ያለው መብት ነው። ፪/ በዚህ አንቀጽ ለንዑስ አንቀጽ (፩) አፈጻጸም የግላዊነት መብት የዳታ ባለቤቱ ከሞተ በኋላ ባሉ አስር ዓመታት ጭምር የጸኑ ናቸው። ፫/ የዳታ ባለቤቱ ሕጋዊ ወራሽ የዳታ ባለቤቱ ከሞተ በኋላ ባሉ አሥር ዓመታት ውስጥ በማንኛውም ጊዜ መብቶቹን ማስከበር ይችላል። ፬/ የተቀናበረው ዳታ የዳታ ባለቤቱን ስም፣ ጾታ፣ የልደት የሞት ቀን፣ የአሟሟቱን ሁኔታ እና የቀብሩን ጊዜና ቦታ የሚገልጽ ከሆነ የዳታ ባለቤቱ ሕጋዊ ወራሽን ፈቃድ መጠየቅ አያስፈልግም። 1/ Privacy rights survive the death of the data subject. 2/ For the execution of the provision of Sub- Articles (1) of this Article, privacy rights shall remain valid for ten years after the death of the data subject. 3/ The lawful heir of the data subject may invoke the rights of the data subject at any time within the ten years which follow the death of the data subject. 4/ The consent of the lawful heir is not required if the processed personal data only contain the data subject's name, sex, date of birth and death, the fact of death, and the time and place of burial.
፩/ የግል ዳታ ከዳታ ባለቤቱ ወይም ከሌላ ምንጮች የተሰበሰበ ከሆነ፣ የዳታ ባለቤቱ ሀ) የዳታ ተቆጣጣሪውን ስም እና ሙሉ አድራሻን፣ ለ) የዳታ ተቆጣጣሪው ተወካይ ስም እና ሙሉ አድራሻን፣ ሐ) የዳታ ተቆጣጣሪው የዳታ ጥበቃ መኮንን እና የተወካዩ ሙሉ አድራሻን፣ መ) የማቀናበሩ ዓላማዎችን፣ ሠ) ለጥያቄዎች መልስ መስጠት በፈቃደኝነት ወይም በግዴታ የተመሠረተ ስለ መሆኑና ምላሽ አለመስጠት የሚያስከትለው ውጤት መኖሩን፣ ረ) የማቀናበር ሂደቱ ሕጋዊ መሠረትን፣ ሰ) የግል ዳታው ተቀባዮች ወይም የተቀባዮች ምድቦችን፣ ሸ) የግል ዳታው ለሦስተኛ ወገን የሥልጣን ክልል የሚተላለፍበት ዝርዝር መረጃን፣ ቀ) የግል ዳታው ተጠብቆ የሚቆይበት ጊዜን፣ በ) የዳታ ባለቤቱ ዳታ ከማቀናበር አንጻር ያሉት መብቶችን፣ ተ) ፈቃድን የማንሳት መብትን፣ ቸ) ለተቆጣጣሪ ባለሥልጣን አቤቱታን የማቅረብ መብትን፣ ኀ) የግል ዳታ ባለቤት መገለጫ ቅንብር ጨምሮ በራስ አዘዝ መሳሪያ የሚሰጥ ውሳኔ መኖርን፣ ነ) የተቀናበረው የግል ዳታ ምድቦችን ፣ እና ኘ) ርዕታዊና ግልጽ ማቀናበር መኖሩን ለማረጋገጥ አስፈላጊ የሆነ ተጨማሪ መረጃን፤ በተመለከተ ከዳታ ተቆጣጣሪው መረጃ የማግኘት መብት አለው። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) ሥር ከተዘረዘሩት መረጃዎች በተጨማሪ፣ የግል ዳታዎች የተገኙት በቀጥታ ከዳታው ባለቤት ካልሆነ፣ የዳታ ተቆጣጣሪው ሀ) የግል ዳታ ምድቦችን፣ እና ለ) የግል ዳታው ምንጭን በተመለከተ ለዳታ ባለቤቱ መረጃ መስጠት አለበት። ፫/ የዳታ ባለቤቱ የግል ዳታዎች የተሰበሰቡት በቀጥታ ከዳታው ባለቤት ከሆነ ፣ ዳታ ተቆጣጣሪው ለዳታ ባለቤቱ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተዘረዘረውን መረጃ የግል ዳታው በተሰበሰበበት ጊዜ ማሳወቅ አለበት። ፬/ የግል ዳታው የተሰበሰበው ከዳታ ባለቤቱ ካልሆነ፣ ዳታ ተቆጣጣሪው በዚህ አንቀጽ ንዑስ አንቀጽ (፩) እና (፪) የተገለጹትን መረጃዎች :- ሀ) የግል ዳታው የተቀናበረበትን ልዩ ሁኔታዎች ግምት ውስጥ በማስገባት የግል ዳታው ከተገኘበት ዕለት ጀምሮ ተገቢ ነው በተባለ የጊዜ ገደብ ውስጥ ወይም ቢበዛ ከአንድ ወር ባልበለጠ ጊዜ ውስጥ፣ ለ) የግል ዳታውን መነሻ በማድረግ ከዳታ ባለቤቱ ጋር ግንኙነት የሚደረግ ከሆነ ቢበዛ ከዳታው ባለቤት ጋር ግንኙነት እንደተደረገ ወዲያውኑ፣ ወይም ሐ) የግል ዳታው ለሌላ ተቀባይ የሚገለጽ ከሆነ የግል ዳታው ከመገለጹ በፊት ለዳታ ባለቤቱ መሰጠት አለበት። ፭/ የዳታ ተቆጣጣሪው የግል ዳታን ማቀናበር የሚፈልገው ዳታው ከተሰበሰበበት ወይም ከተገኘበት ዓላማ የተለየ ከሆነ ዳታ ተቆጣጣሪው ዳታውን በቀጣይ ከማቀናበሩ በፊት ለዳታ ባለቤቱ ይህን አዲስ ዓላማ በተመለከተ እንደዚሁም ሌሎች አግባብነት ያላቸውን መረጃዎች መስጠት አለበት። 1/ Where personal data relating to a data subject are collected either from the data subject or other sources, the data subject shall have the right to be provided by the data controller with the following information: a) The name and contact details of the data controller; b) The name and contact details of the representative of the data controller; c) The contact details of the data protection officer of the data controller and his representative; d) The purposes of the processing; e) Whether providing answers to questions are voluntary or compulsory and the possible consequences of failure to reply; f) The lawful basis for the processing; g) The recipients or categories of recipients of the personal data; h) The details of transfers of the personal data to a third-party jurisdiction; i) The retention periods for the personal data; j) The rights available to data subjects in respect of the processing; k) The right to withdraw consent; l) The right to lodge a complaint for the authority; m) The details of the existence of an automated decision-making, including profiling; n) The categories of personal data processed; and o) Any necessary additional information in order to ensure fair and transparent processing. 2/ Apart from the information listed under Sub- Article (1), where personal data have not been obtained from the data subject, the data controller shall provide the data subject with the following information: a) The categories of personal data obtained; and b) The source of the personal data. 3/ Where personal data relating to a data subject are collected from the data subject, the data controller shall provide the data subject with all of the information listed in Sub-Article (1) of this Article, at the time when personal data are obtained. 4/ Where personal data relating to the data subject are not collected from the data subject, the data controller shall provide the data subject the information referred to in Sub-Article (1) and (2) of this Article: a) Within a reasonable period after obtaining the personal data, but at the latest within one month, having regard to the specific circumstances in which the personal data are processed; b) If the personal data are to be used for communication with the data subject, at the latest at the time of the first communication to that data subject; or c) If a disclosure to another recipient is envisaged, at the latest when the personal data are first disclosed. 5/ Where the data controller intends to further process the personal data for a purpose other than that for which the personal data were collected or obtained, as the case may be, he shall provide the data subject prior to that further processing with information on that other purpose and with any relevant further information.
፩/ የዳታው ባለቤት ስለራሱ የተያዙ ዳታዎችን አስመልክቶ መረጃ እንዲሰጠው ሲጠይቅና፣ይህ ጥያቄ ተቀባይነት ባለው የጊዜ ልዩነት ውስጥ የቀረበ ከሆነ፤ ሀ) ከእርሱ ጋር የተገናኘ የግል ዳታ መቀናበሩን የሚያረጋግጥ ማረጋገጫ፣ ለ)የተቀናበረው ዳታ በሚነበብ ቅርጽ እንዲቀርብለት፣ ሐ)የዳታ ምንጭን በተመለከተ ያለ መረጃ በጠቅላላ፣ መ)ዳታው የሚከማችበትን የጊዜ ርዝማኔ፣ እንደዚሁም ሠ) በዚህ አዋጅ አንቀጽ ፳፬ መሠረት ግልጸኝነት ለማስፈን የዳታ ተቆጣጣሪው ማቅረብ ያለበትን ሌሎች መረጃዎች ከክፍያ ነጻና ያላግባብ መዘግየት ተደራሽ እንዲደረግለት የመጠየቅ መብት አለው። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተዘረዘሩት መረጃዎች የዳታ ባለቤቱ በፈለገው አግባብ በኤሌክትሮኒክ ወይም በወረቀት የማግኘት መብት አለው። 1/ A data subject shall have a right to obtain, on request, at reasonable intervals, free of charge, and without excessive delay: a) Confirmation of the processing of personal data relating to him; b) The communication in an intelligible form of the data processed; c) All available information on their origin; d) On the period for which the data will be stored; and e) Any other information that the data controller is required to provide in order to ensure the transparency of processing in accordance with Article 24 of this Proclamation. 2/ A data subject shall have the right to obtain the information listed in Sub-Article (1) of this Article, based on his preference, in an electronic or hard copy format.
፩/ የዳታ ተቆጣጣሪው ሀ) ይፋ መደረጉ የሌላ ግለሰብን ግላዊ መብት የሚጋፋ ሲሆን፣ ለ) ዳታው ሕጋዊ ልዩ መብት ሥር የሚወድቅ ወይም የተገኘው በምርመራ ወይም በፍርድ ሂደት ከሆነ፣ ሐ) የጤና ወይም የሕክምና ዳታ ከሆነና ዳታ ተቆጣጣሪው ዳታውን ተደራሽ ማድረጉ የሌላን ሰው ጤና ወይም ደህንነት ሊጎዳ ይችላል የሚል ግምት ካለው፣ ወይም መ) ለሥራ ቅጥር ተስማሚ የሆነን ተወዳዳሪ ለማጣራት የመንግሥት ኮንትራት አሸናፊን ለመለየት እና ሌሎች ጥቅማ ጥቅሞችን ለመስጠት የተሰበሰበና በዚህ ምክንያት ዳታው የግምገማ ወይም የአስተያየት ይዘት ያለው ከሆነና የግል ዳታው ይፋ መደረግ በምስጢር መያዝ የነበረበት የመረጃ ምንጭ የሚያጋልጥ ከሆነ የግል ዳታ ለሚመለከተው ግለሰብ ተደራሽ እንዳይሆን መከልከል ይችላል። ፪/ ዳታ ተቆጣጣሪው ጥያቄው ተደጋጋሚ፣ ሥልታዊ፣ ይዘታቸው አሳማኝ ያልሆኑ ወይም ቅሬታ የሚያስከትሉ ከሆነና በዚህ ምክንያት ሥራውን የሚያስተጓጉል ከሆነ፣ ጥያቄ አቅራቢው የግል ዳታ ተደራሽ እንዲደረግለት ያቀረበለትን ጥያቄ ላይቀበለው ይችላል። ፫/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) ፊደል ተራ (ለ) መሠረት የተደራሽነት መብት ቀሪ የሚሆነው የምርመራ ወይም የፍርድ ሂደትን የሚያስተጓጉል ከሆነ ነው። ፬/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) እና (፪) መሠረት የግል ዳታ ተደራሽ እንዳይሆን የሚከለክል ውሳኔ በጽሑፍ መስጠትና ምክንያቶቹንም የሚዘረዝር መሆን አለበት። 1/The data controller may refuse to disclose personal data to the individual to whom the data relates where: a) The disclosure would constitute an unjustified invasion of another individual’s personal privacy; b) It is data that is subject to legal privilege or obtained in the course of an investigation or legal proceeding; c) It is health or medical data where the data controller has a reasonable belief that providing access to the data could harm the health or safety of another person; or d) It is evaluative, or opinion material compiled solely for the purpose of determining suitability or eligibility for employment, the award of government contracts and other benefits where the disclosure would reveal the identity of a source who furnished data in circumstances where it may reasonably be assumed that the identity of the source would be held in confidence. 2/ The data controller may disregard requests from an individual for access to that individual’s personal data where it would unreasonably interfere with the operations of the data controller because of the repetitious and systematic nature of the requests, and the requests are frivolous or vexatious. ‹‹ 3/ With regard to Sub-Article (1) lit. (b) Of this Article denial shall be limited to the extent and for as long as access would pose a risk to an investigation or the proper conduct of a legal proceeding. 4/ The decision to refuse to disclose according to Sub-Article (1) and (2) of this Article shall be communicated in a written form and has to give detailed reasons for the denial.
፩/ የዳታ ባለቤት የግል ዳታው ትክክለኛ ያልሆነ ፣ ያልተሟላ ፣ አሳሳች ፣ ወቅታዊ ያልሆነ ፣ ወይም የሚቀናበረው ከዚህ አዋጅ በተቃራኒ ነው ብሎ በሚያምንበት ጊዜ ፣ የዳታው ባለቤት ዳታው ያለምንም ክፍያና ያላግባብ መዘግየት የዳታ ተቆጣጣሪው እንዲያስተካክል የማድረግ መብት አለው። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) መሠረት የግል ዳታ ከተስተካከለ፣ የዳታ ተቆጣጣሪው እርማቱ ከመጠየቁ በፊት ባለው አንድ ዓመት ጊዜ ውስጥ የግል ዳታው ተደራሽ ለተደረገለት ሌላ ዳታ ተቆጣጣሪ ወይም ሦስተኛ ወገን የተደረገውን ማስተካከያ መግለጽ አለበት። ፫/በዚህ አንቀጽ ንዑስ አንቀጽ (፪) መሠረት የማስተካከያው ማስታወቂያ የደረሰው ማንኛውም ሰው በይዞታው ወይም በቁጥጥሩ ሥር በሚገኝ መዝገብ ውስጥ ያለ የግል ዳታን ማስተካከል አለበት። 1/ Where a data subject believes that the personal data is inaccurate, incomplete, misleading, not- up-to-date, or is otherwise being processed contrary to the provisions of this Proclamation, the data subject shall have, on request, free of charge and without excessive delay, the right that the data controller corrects the data. 2/ Based on Sub article (1) of this provision On correcting personal data, the data controller shall notify any other data controller or any third party to whom that data has been disclosed during the one-year period before the correction was requested, of such correction. 3/ Upon being notified under Sub-Article (2) of this Article of a correction of personal data, the person shall make the correction on any record of that data in its custody or control.
፩/ የዳታው ባለቤት ‹‹ ሀ) ከተሰበሰበበት ወይም ከተቀናበረበት ዓላማ አንጻር ሲፈተሽ ዳታው አስፈላጊ ካልሆነ፣ ለ) ዳታ እንዲቀናበር የሰጠውን ፈቃድ ካነሳና በቀጣይ ዳታ ለማቀናበር ሌላ ሕጋዊ መሠረት ከሌለ፣ ሐ) ዳታ የተቀናበረበትን መሠረት ከተቃወመ እና ለማቀናበር ከፍ ያሉ ሕጋዊ ምክንያቶች የሌሉ ከሆነ፤ ወይም መ) የግል ዳታ የተቀናበረው ሕጋዊ መሠረት ሳይኖረው ከሆነ የግል ዳታው ያለ ምንም ክፍያና ያላግባብ መዘግየት እንዲደመሰስ የማድረግ መብት አለው። ፪/ዳታ ተቆጣጣሪው የግል ዳታን ለሕዝብ ይፋ ያደረገው ከሆነ፣ የዳታው ባለቤት ከግል ዳታው ጋር የተሳሰሩ ሰነዶች ወይም ቅጅዎች እንዲደመሰሱ የጠየቀ መሆኑን ዳታውን የሚያቀናብሩ ሦሰተኛ ወገኖች እንዲያውቁ ለማድረግ አስፈላጊ የሆኑ ቴክኒካዊ እርምጃዎች መውሰድ አለበት። ፫/ የግል ዳታን ማቀናበር ሀ) በህብረተሰብ ጤና መስክ ለሕዝብ ጥቅም ተብለው ለተለዩ ምክንያቶች፤ ለ) የዳታ ባለቤቱ መብቶችና መሠረታዊ ነጻነቶችን የሚጥስ የታወቀ ሥጋት ከሌለ፤ ለታሪካዊ፣ ለስታስቲካዊ ወይም ለሳይንስ ምርምር ዓላማ፤ ሐ) የዳታ ተቆጣጣሪው የግል ዳታን ለማቀናበር ያ ለበትን ሕጋዊ ግዴታ ለመወጣት፣ ወይም ለሕዝብ ጥቅም በሚል የሚከናወነውን ተግባር ለመፈጸም፣ ወይም ዳታ ተቆጣጣሪው ከያዘው ሥልጣን በመነጨ ኃላፊነቱን ለመወጣት ወይም ሥልጣኑን ለመተግበር፤ ወይም መ) ሕጋዊ መብትን ለማቋቋም፣ ለመተግበር ወይም ለመከላከል፤ አስፈላጊ በሚሆንበት ጊዜ የዚህ አንቀጽ ንዑስ አንቀጽ (፩) እና (፪) ተፈጻሚ አይሆኑም። 1/ A data subject shall have on request, free of charge and without excessive delay, the right to erasure of personal data where: a) The data are no longer necessary in relation to the purpose for which they were collected or otherwise processed; b) The data subject withdraws consent on which the processing is based and where there is no other legal ground for the processing; c) The data subject objects to the processing of personal data and there are no overriding legitimate grounds for the processing; or d) If the personal data has been processed unlawfully, the person has the right to claim for the personal data to be deleted as soon as possible with out any payment. 2/ Where the data controller has made the personal data public, he shall take all reasonable steps to inform third parties processing such data, that the data subject has requested the erasure of any links to, or copy or replication of, that personal data. 3/ Sub-Article (1) and (2) of this Article shall not apply where the processing of the personal data is necessary: a) For reasons of public interest in the field of public health; b) For the purpose of historical, statistical or scientific research when there is no recognizable risk of infringement of the rights and fundamental freedoms of data subjects; c) For compliance with a legal obligation to process the personal data to which the data controller is subject or for the performance of a task carried out in the public interest or in the exercise of official authority vested in the data controller; or d) For the establishment, exercise or defense of a legal claim.
፩/ የዳታ ተቆጣጣሪው ከዳታ ባለቤቱን ፍላጎቶች፣ መብቶች እና ነፃነቶች ከፍ ያሉ ወይም ሕጋዊ መብቱን ለማቋቋም፣ ለመተግበር ወይም ለመከላከል የሚያስችሉ ሕጋዊ ምክንያቶችን በጽሑፍ ዘርዝሮ ካላቀረበ በስተቀር፤ የዳታ ባለቤቱ የግል ዳታው እንዳይቀናበር በማንኛውም ጊዜ በጽሑፍ የመቃወም መብት አለው። ፪/የግል ዳታ የሚቀናበረው ቀጥታ የማሻሻጥ ሥራ ለማካሄድ የሚል ዓላማን ለማሳካት ከሆነ፣ የዳታ ባለቤቱ የግል ዳታ ባለቤት መገለጫ ቅንብርን ጨምሮ ከዚሁ የቀጥታ ቀጥታ የማሻሻጥ ሰራ ጋር የተያያዙና እሱን የተመለከተ የግል ዳታ ማቀናበርን መቃወም ይችላል። ፫/ የዳታ ባለቤቱ ከቀጥታ የማሻሻጥ ሥራ ጋር በተያያዘ የግል ዳታው እንዳይቀና ከተቃወመ ፣ የግል ዳታው ይህንን ዓላማ አስመልክቶ ማቀናበር አይቻልም። ፬/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) እና (፪) የተደነገጉት መብቶች የዳታው ባለቤት በግልጽ እንዲያውቀው መደረግ አለበት። 1/ The data subject shall have the right to object in writing at any time to the processing of personal data concerning him unless the data controller demonstrates in a written format compelling legitimate grounds for the processing which override the data subject’s interests, rights and freedoms or for the establishment, exercise or defense of a legal claim. 2/ Where personal data are processed for the purpose of direct marketing, the data subject may object to processing of personal data concerning him for such marketing, which includes profiling to the extent that it is related to such direct marketing. 3/ Where a data subject objects to processing of personal data for the purpose of direct marketing, the personal data shall no longer be processed for that purpose. 4/ The rights referred to in Sub-Articles (1) and (2) of this Article shall be explicitly brought to the attention of the data subject.
፩/ የዳታ ባለቤቱ ሀ) በዳታው ትክክለኛነት ላይ ተቃውሞ ያቀረበና የዳታ ተቆጣጣሪው የዳታውን ትክክለኛነት ለማረጋገጥ እንዲችል ጊዜ የተሰጠው፣ ለ) የዳታ ተቆጣጣሪው ለማቀናበር የማይፈልገው ፣ ነገር ግን የዳታው ባለቤት ሕጋዊ መብቱን ለማረጋገጥ፣ ለመተግበር ወይም ለመከላከል የሚፈልገው የግል ዳታ፣ ሐ) የዳታ ማቀናበሩ ሕጋዊ መሠረት የሌለው፣ እና የዳታው ባለቤት የግል ዳታው እንዳይደመሰስ ተቃውሞ ያቀረበና በምትኩ ማቀናበሩ እንዲገደብ የሚል ጥያቄ ያቀረበ፣ ወይም መ) በአንቀጽ ፳፱ መሠረት ማቀናበሩ እንዲቆም ተቃውሞ አቅርቦ ከሆነና ዳታ ተቆጣጣሪው ያለው ሕጋዊ ምክንያቶች የዳታ ባለቤቱ ካለው መብት ከፍ ያሉ መሆኑን በማጣራት ሂደት ላይ ያለ፣ ከሆነ የግል ዳታ ማቀናበር እንዲገደብ የመጠየቅ መብት አለው። ፪/ የግል ዳታን ማቀናበር በዚህ አንቀጽ ንዑስ አንቀጽ (፩) መሠረት የተገደበ ከሆነ :- ሀ) የግል ዳታን ከማከማቸት በስተቀር ዳታ የሚቀናበረ በዳታ ባለቤቱ ፈቃድ ፣ ወይም ሕጋዊ መብትን ለማረጋገጥ ፣ ለመተግበር ወይም ለመከላከል ፣ ወይም የሌላን ሰው መብት ለመጠበቅ ፣ ወይም የሕዝብን ጥቅም ለማስጠበቅ ነው ፤ ለ) የዳታ ተቆጣጣሪው የግል ዳታን ለማቀናበር የተቀመጠን ገደብ ከማንሳቱ በፊት ይህንኑ ለዳታው ባለቤት ማሳወቅ አለበት። 1/ A data subject shall have the right to request the restriction of processing of personal data where: a) The accuracy of the personal data is contested by the data subject, for a period enabling the data controller to verify the accuracy of the data; b) The data controller no longer needs the personal data for the purpose of the processing, but the data subject requires them for the establishment, exercise or defense of a legal claim; c) The processing is unlawful and the data subject opposes the erasure of the personal data and requests the restriction of their use instead; or d) He has objected to the processing pursuant to Article 29 of this Proclamation pending verification as to whether the legitimate grounds of the controller override those of the data subject. 2/ Where processing of personal data is restricted under Sub-Article (1) of this Article : a) the personal data shall, with the exception of storage, only be processed with the data subject’s consent or for the establishment, exercise or defense of a legal claim, the protection of the rights of another person or for reasons of public interest; and b) The data controller shall inform the data subject before lifting the restriction on the processing of the personal data.
፩/ ማንኛውም የዳታ ባለቤት ሀ) የሕግ ውጤት የሚያስከትል ወይም አሉታዊ ጫና የሚያሳድርበትንና የግል ዳታ ባለቤት መገለጫ ቅንብርን ጨምሮ ራስ አዘዝ በሆኑ መሳሪያዎች ብቻ የሚሰጡ ውሳኔዎችን የመቃወም፤ ለ) በማቀናበር ሂደቱ ውስጥ የዳታ ተቆጣጣሪው የተፈጥሮ ሰውን እንዲካተት የመጠየቅ ፤ እንደዚሁም ሐ) በጉዳዩ ላይ አስተያየት የመስጠት፤ መብት አለው። ፪/ ውሳኔው ሀ) በዳታ ባለቤቱ እና በዳታ ተቆጣጣሪው መካከል ውል ለመግባት፣ ወይም ውል ለመፈጸም አስፈላጊ ስለሆነ፣ ለ) ዳታ ተቆጣጣሪው በሚገዛበትና የዳታ ባለቤቱን መብቶች፣ ነፃነቶች እና ሕጋዊ ጥቅሞች ለመጠበቅ ተስማሚ እርምጃዎችን በደነገገ ሕግ፣ ወይም ሐ) በዳታ ባለቤቱ ግልጽ ፈቃድ መሠረት፤ የተሰጠ ከሆነ የዚህ አንቀጽ ንዑስ አንቀጽ (፩) ተፈጻሚ አይሆንም። ፫/ ከግለሰብ ጋር የተዛመዱ የተወሰኑ ግላዊ ጉዳዮችን ለመገምገም የታሰበ በራስ አዘዝ መሳሪያዎች የሚደረግ የግል ዳታ ማቀናበር፣ ጥንቃቄ በሚፈልግ የግል ዳታ ላይ ማካሄድ አይቻልም። ፬/ በዚህ አንቀጽ ንዑስ አንቀጽ (፪) ውስጥ ለተመለከቱት ጉዳዮች ፣ ዳታ ተቆጣጣሪው በዚህ አዋጅ አንቀጽ ፳፬ መሠረት ለዳታ ባለቤቱ ከሚሰጠው መረጃዎች ውስጥ በዚህ አንቀጽ በንዑስ አንቀጽ (፩) ውስጥ የተጠቀሰው ዓይነት ውሳኔ ለማሳረፍ የተደረገ ማቀናበር መኖሩን እና እንደዚህ ዓይነቱ ማቀናበር በዳታ ባለቤቱ ላይ የሚያስከትለውን ውጤቶች ማካተት አለበት። ፭/ በዚህ አንቀጽ ንዑስ አንቀጽ (፪) ፊደል ተራ (ሀ) ወይም (ሐ) በተዘረዘሩት ጉዳዮች ላይ የዳታ ተቆጣጣሪው የዳታ ባለቤቱን መብቶች፣ ነፃነቶች እና ሕጋዊ ፍላጎቶች ለመጠበቅ ተስማሚ የሆኑ ቴክኒካዊ እርምጃዎችን መተግበር አለበት። 1/ Every data subject shall have the right a) not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or significantly affects him; b) to obtain human intervention on the part of the data controller; and c) To express his views on the matter. 2/ Sub-Article (1) of this Article shall not apply where the decision is: a) Necessary for entering into, or performing, a contract between the data subject and a data controller; b) Authorized by a law to which the data controller is subject, and which lays down suitable measures to safeguard the data subject’s rights, freedoms and legitimate interests; or c) If it is Based on the data subject’s explicit consent. 3/ Any automated processing of personal data intended to evaluate certain personal aspects relating to an individual shall not be based on sensitive personal data. 4/ In the cases referred to in Sub-Article (2) of this Article, the data to be provided by the data controller under Article 24 of this Proclamation shall include data as to the existence of processing for a decision of the kind referred to in Sub-Article (1) of this Article and the envisaged effects of such decision on the data subject. 5/ In the cases referred to in Sub-Article (2) lit. (a) Or (c) of this Article, the data controller shall implement suitable measures to safeguard the data subject’s rights, freedoms and legitimate interests.
፩/ የዳታ ባለቤቱ እሱን አስመልክቶ ለዳታ ተቆጣጣሪው ወይም ለዳታ አቀናባሪው የሰጠውን ዳታ፤ በተዋቀረ ፣ በተለምዶ ጥቅም ላይ በሚውል እና በማሽን ሊነበብ የሚችል ቅርጽ የማግኘት መብት አለው። ፪/ የዳታ ባለቤቱ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) ያገኘውን ዳታ ወደ ሌላ ዳታ ተቆጣጣሪ ወይም ዳታ አቀናባሪ ያለምንም ዕንቅፋት የማስተላለፍ መብት አለው። ፫/ በቴክኒካዊ ሁኔታ የሚቻል ከሆነ፣ የዳታ ባለቤቱ የግል ዳታው ከአንድ የዳታ ተቆጣጣሪ ወይም የዳታ አቀናባሪ ወደ ሌላ በቀጥታ እንዲተላለፍለት የማድረግ መብት አለው። ፬/ በዚህ አንቀጽ ድንጋጌዎች ሥር ያለው መብት :- ሀ) ማቀናበሩ ለሕዝብ ጥቅም ሲባል ለሚከናወን ተግባር ወይም ኃላፊነትን ለመወጣት የተደረገ ከሆነ፣ ወይም ለ) የሌሎች ሰዎች መብቶች እና ነጻነቶች ላይ አሉታዊ ተጽዕኖ ሊያሳድር የሚችል ከሆነ ተፈፃሚ አይሆንም። ፭/ የዳታ ተቆጣጣሪ ወይም የዳታ አቀናባሪ የዳታ ማዟዟር ጥያቄዎችን ያለ ምንም ክፍያና ያላግባብ መዘግየት መፈፀም አለበት። 1/ A data subject has the right to receive personal data concerning him, which the data subject has provided to a data controller or data processor, in a structured, commonly used and machine-readable format. 2/ A data subject have the right to transmit the data obtained under Sub-Article (1) of this Article, to another data controller or data processor without any hindrance. 3/ Where technically possible, the data subject shall have the right to have his personal data transmitted directly from one data controller or processor to another. 4/ The right under this Article shall not apply in circumstances where: a) processing may be necessary for the performance of a task carried out in the public interest or in the exercise of an official authority; or b) It may adversely affect the rights and freedoms of others. 5/ A data controller or data processor shall comply with data portability requests, free of charge and without excessive delay.
፩/ ዳታ ተቆጣጣሪ ወይም ዳታ አቀናባሪ የግል ዳታ ለማቀናበር በቅድሚያ በባለሥልጣኑ መመዝብ አለበት። ፪/ ዳታ ተቆጣጣሪው የግል ዳታን ለሁለትና ከዚያ በላይ ለሆኑ ዓላማዎች ማቀናበር ከፈለገ፣ ባለሥልጣኑ እያንዳንዱን ዓላማ በመዝገብ ውስጥ ለብቻው ማካተት አለበት። ፫/ ባለሥልጣኑ የምዝገባ ቅድመ ሁኔታዎችን በተመለከተ በመመሪያ ይወስናል። 1/ In order to process personal data the data controller or the data processor shall be registered with the Authority. 2/Where a data controller or data processor intends to process personal data for two or more purposes, the Authority shall make separate entries for each purpose in the Register. 3/The Authority may determine the requirements for registration by a Directive.
፩/ በዚህ አዋጅ መሠረት ለምዝገባ ከቀረበ ማመልከቻ ጋር በተያያዘ በመዝገብ እንዲካተት የቀረበው ዝርዝር መረጃ በቂ ካልሆነ ባለሥልጣኑ ማመልከቻውን ውድቅ ያደርጋል። ፪/ ባለሥልጣኑ የዳታ ተቆጣጣሪውን የምዝገባ ጥያቄ ካልተቀበለ፣ በአሥራ አራት ቀናት ውስጥ ውሳኔውንና ማመልከቻውን ያልተቀበለበትን ምክንያት በጽሑፍ ለአመልካቹ ማሳወቅ አለበት። ፫/ የምዝገባ ማመልከቻን ውድቅ ማድረግ በድጋሚ ማመልከትን አይከለክልም። 1/ The Authority shall reject an application for registration under this Proclamation where the particulars provided for inclusion in an entry in the Register are insufficient. 2/ Where the Authority refuses an application for registration as a data controller, it shall inform the applicant in writing within fourteen days of its decision and the reasons for the refusal, and 3/ A refusal of an application for registration is not a bar to re-application.
፩/ ባለሥልጣኑ ማመልከቻው ለምዝገባ የተቀመጡትን ቅድመ ሁኔታዎች የሚያሟላ ሆኖ ካገኘው በመዝገብ ላይ እንዲመዘገብ ያደርጋል:: ፪/ባለሥልጣኑ ለሁለት ዓመታት የሚያገለግል የምዝገባ ሰርተፊኬት ይሰጠዋል፣ ሰርተፊኬቱ በየሁለት ዓመቱ ይታደሳል። ፫/ የምዝገባ ሰርተፊኬት ቅድመ ሁኔታዎች በሚመለከት ባለሥልጣኑ በመመሪያ ይወስናል። 1/ The Authority shall enter the application in the Register if it is satisfied that the conditions required for registration are met. 2/ The Authority shall issue a certificate of Registration which is valid for a period of two years; the certificate shall be renewed every two years. 3/ The Authority determine the requirements for certificate of registration by a Directive.
፩/ የዳታ ተቆጣጣሪዎች በዚህ አዋጅ አንቀፅ ፴፫ ንዑስ አንቀጽ (፫) መሠረት መመዝገብ ያለበትን መረጃ የተመለከቱ ማሻሻያዎች ለባለሥልጣኑ የማሳወቅ ግዴታ አለባቸው። ፪/ ባለሥልጣኑ ማሳወቂያውን እንደተቀበለ አግባብነት ያለውን ማሻሻያ በመዝገቡ ላይ ያሰፍራል። 1/ Data controllers shall have the duty to notify the Authority of matters relating to changes made to the registerable particulars stipulated under Article 33 Sub-Article (3) of this Proclamation. 2/ On receiving any notification, the Authority shall make such amendments of the relevant entry in the Register as are necessary.
ከባለሥልጣኑ መዝገብ ላይ ስሙ እንዲፋቅለት የሚፈልግ አመልካች ጥያቄውን ለባለሥልጣኑ በማቅረብ ከመዝገብ ላይ ስሙ እንዲፋቅለት ማድረግ ይችላል። A person who wants the removal of its registration may request the Authority such removal to be effected from the Register.
፩/ ባለሥልጣኑ፡ሀ) አመልካቹ ለባለሥልጣኑ ያቀረባቸው መረጃዎች የሀሰት መረጃዎች ከሆኑ፣ ወይም ለ) የምዝገባ ሠርተፊኬት ባለቤት የሆነ ግለሰብ በዚህ አዋጅ ውስጥ የተቀመጡ ግዴታዎቹን በምዝገባ ሠርተፊኬቱ ላይ የተቀመጡ ቅድመ ሁኔታዎችን ያለ ምንም ሕጋዊ ምክንያት ያላከበረ ከሆነ፤ ምዝገባውን የመሰረዝ ወይም በሠርተፊኬቱ የተጣሉ ደንብና ግዴታዎችን የመቀየር ሥልጣን አለው። ፪/ ባለሥልጣኑ የምዝገባ ሠረተፊኬቱን ከመሰረዙ ወይም ደንብና ግዴታዎችን ከመቀየሩ በፊት የምዝገባ ሠርተፊኬት ባለቤቱን የምዝገባ ሠርተፊኬቱ ሊሰረዝ ወይም ደንብና ግዴታዎች ሊቀየሩ የማይገባበትን ምክንያት በሃያ አንድ (፳፩) ቀናት ውስጥ እንዲያስረዳ በጽሁፍ ሊጠይቀው ይገባል። 1/The Authority has the power to cancel a registration or vary its terms and conditions where ; a) Any information given to it by the applicant is false or misleading in any material particular; or b) If the holder of the registration certificate fails, without lawful excuse, to comply with any requirement of this Proclamation; or any term or condition specified in the certificate. 2/ The Authority shall, before cancelling or varying the terms and conditions of a registration certificate, require, by notice in writing, the holder of the certificate to show cause, within 21 days of the notice, why the registration certificate should not be cancelled, or its terms and conditions should not be varied.
፩/ ባለሥልጣኑ በመዝገብ የተካተተ መረጃ ሀ) በሥራ ሰዓት ለኅብረተሰቡ ተደራሽ ማድረግ የሚያስችለውን አገልግሎት ማቅረብ፣ እና ለ) ሌሎች ተገቢ ሆነው ያገኛቸውን ሁኔታዎች ማመቻቸት አለበት። ፪/ ማንኛውም ሰው በባለሥልጣኑ መዝገብ ውስጥ የተካተተ ዝርዝር መረጃ ሲጠይቅ ባለሥልጣኑ የተረጋገጠ የጽሑፍ ቅጅ ይሰጣል። 1/ The Authority: a) shall provide facilities for making the information contained in the Register available for inspection by members of the public at all reasonable hours; and b) May provide such other facilities when they seem necessary. 2/ The Authority shall supply any member of the public with a duly certified copy in writing of the particulars contained in the Register.
፩/ የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው ሀ) በፍርድ ቤቶች የዳኝነት ሥልጣን ሥር ከሚወድቁ ጉዳዮች በስተቀር፣ ማቀናበሩ የሚካሄደው በመንግስት አካል ከሆነ፤ ለ) ዋነኛ ተግባሩ በባህርያቸው፣ በወሰናቸው ወይም በዓላማቸው በዳታ ባለቤቶች ላይ መጠነ ሰፊ የሆነና በመደበኛነት በተደራጀ አግባብ የሚደረግ የማቀናበር ሥራ ከሆነ፤ ወይም ሐ) ዋነኛ ተግባሩ መጠነ ሰፊ የሆነ ጥንቃቄ የሚፈልግ የግል ዳታ ማቀናበር ከሆነ ፤ ራሱ ያስቀመጠውን ቅድመ ሁኔታ የሚያሟላ የዳታ ጥበቃ መኮንን መምረጥ ወይም መመደብ አለበት። ፪/ የዳታ ጥበቃ መኮንኑ ለእያንዳንዱ ድርጅት በቀላሉ ተደራሽ እስከሆነ ድረስ ተቋሞች በጋራ አንድ የዳታ ጥበቃ መኮንን ሊመድቡ ይችላሉ። ፫/ የዳታ ተቆጣጣሪዎቹ ወይም የዳታ አቀናባሪዎቹ የመንግሥት አካላት ከሆኑ፣ ተቋማዊ አወቃቀራቸውን ግንዛቤ ውስጥ በማስገባት አንድ የዳታ ጥበቃ መኮንን ለተለያዩ የመንግሥት አካላት በጋራ ሊሰየም ይችላል። ፬/ አንድ ግለሰብ አስፈላጊ የሆነ የትምህርት እና የሞያ ዝግጅት ማለትም ከዳታ ጥበቃ ጋር ተያያዥ የሆነ ዕውቀት እና የቴክኒክ ልምድ ካለው የዳታ ጥበቃ መኮንን ሆኖ ሊመረጥ ወይም ሊመደብ ይችላል። ፭/ የዳታ ተቆጣጣሪው ወይም ዳታ አቀናባሪው የዳታ ጥበቃ መኮንን በመደበ ጊዜ የመኮንኑን ሙሉ አድራሻ በህትመት ለሦስተኛ ወገኖች እና ለባለሥልጣኑ ማሳወቅ አለበት። 1/ A data controller or data processor shall designate or appoint a data protection officer on such terms and conditions as the data controller or data processor may determine, where: a) The processing is carried out by a goverment body, except for courts acting in their judicial capacity; b) The core activities of the data controller or data processor consist of processing operations which, by virtue of their nature, scope or purposes, require regular and systematic monitoring of data subjects on a large scale; or c) The core activities of the data controller or the data processor consist of processing on a large scale of sensitive personal data. 2/ A group of entities may appoint a single data protection officer provided that such officer is easily accessible by each entity. 3/ Where a data controller or a data processor is a a goverment body, a single data protection officer may be designated for several such public bodies, taking into account their organizational structures. 4/ A person may be designated or appointed as a data protection officer, if that person has relevant academic or professional qualifications which may include knowledge and technical skills in matters relating to data protection. 5/ A data controller or data processor shall publish the contact details of the data protection officer and communicate them to the Authority.
፩/ የግል ዳታ ጥበቃ መኮንኑ፡ሀ) በዚህ አዋጅ እና በሌሎች ሕጎች በተደነገጉት የዳታ ማቀናበር መስፈርቶች ዙሪያ የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው እና ሠራተኞቻቸው ሥራቸውን በአግባቡ እንዲፈጽሙ የማገዝ፤ ለ) ዳታ ተቆጣጣሪውን ወይም ዳታ አቀናባሪውን በመወከል ይህ አዋጅ መከበሩን የማረጋገጥ፤ ሐ) በዳታ ማቀናበር ሥራዎች ውስጥ የሚሳተፉ ሠራተኞች አቅም እንዲጎለብት ሁኔታዎችን የማመቻቸት፤ መ) የዳታ ጥበቃ ባመጣው የተጽዕኖ ግምገማ ላይ አስተያየት የማቅረብ፤ ሠ) ከባለሥልጣኑና ከሌሎች በዳታ ጥበቃ ዙሪያ ከሚሰሩ ባለሥልጣን መሥሪያ ቤቶች ጋር የመተባባር ፤ ኃላፊነት አለበት። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተደነገገው እንደተጠበቀ ሆኖ የዳታ ጥበቃ መኮንኑ የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው ሠራተኛና የጥቅም ግጭት እስከሌለ ድረስ በተደራቢነት ሌሎች ሥራዎችና ግዴታዎችን የሚፈጽም ሊሆን ይችላል። 1/ The responsibility of a data protection officer shall be to: a) Support the data controller or data processor and their employees on data processing requirements provided under this Proclamation or any other law; b) Ensure on behalf of the data controller or data processor that this Proclamation is complied with; c) Facilitate capacity building of staff involved in data processing operations; d) Provide advice on data protection impact assessment; and e) Cooperate with the Authority and any other authority on matters relating to data protection. 2/ Notwithstanding the provisions of Sub-Article (1) of this Article, a data protection officer may be a staff member of the data controller or data processor and may fulfill other tasks and duties provided that any such tasks and duties do not result in a conflict of interest.
፩/ ዳታ ተቆጣጣሪው እና የዳታ አቀናባሪው ዳታ ማቀናበሩ በዚህ አዋጅ መሠረት መከናወኑን ለማረጋገጥ ተገቢ የሆኑ ቴክኒካዊና ተቋማዊ እርምጃዎችን መተግበር አለበት። ፪/ በዚህ አንቀጽ ንዑስ አንቀፅ (፩) ላይ የተጠቀሱ እርምጃዎች ፡ሀ) ተገቢውን የዳታ ደህንነት እና ተቋማዊ እርምጃዎች ማስፈፀምን፣ ለ)የማቀናበር ሥራዎችን በጠቅላላ መዝግቦ ማስቀመጥን፣ ሐ) የዳታ ጥበቃ ተጽዕኖን የመገምገም ሥራ መሥራትን፣ መ) ባለሥልጣኑን ፈቃድ መጠየቅ ወይም ማማከር በሚገባ ጊዜ ይሄንኑ መፈጸምን፣ እና ሠ) የዳታ ጥበቃ መኮንን መመደብን ያካትታሉ። ፫/ ማንኛውም የዳታ ተቆጣጣሪና የዳታ አቀናባሪ በዚህ አንቀፅ ድንጋጌ ውስጥ የተጠቀሱት እርምጃዎችን ውጤታማነት ለማረጋገጥ ተገቢ የሆኑ ተቋማዊ ፖሊሲዎችንና የአሠራር ስልቶችን ሥራ ላይ ማዋል አለበት። 1/ The data controller and data processor shall implement the appropriate technical and organizational measures to ensure that processing is performed in accordance with this Proclamation. 2/ The measures referred to in Sub-Article (1) of this Article shall include: a) Implementing appropriate data security and organizational measures; b) Keeping a record of all processing operations; c) Performing a data protection impact assessment; d) Complying with the requirements for prior authorization from, or consultation with the Authority; and e) Designating a data protection officer. 3/ Every data controller and data processor shall implement such internal policies and mechanisms as may be required to ensure verification of the effectiveness of the measures referred to in this Article.
፩/ የግል ዳታ ጥሰት በሚኖርበት ጊዜ ዳታ ተቆጣጣሪው ጥሰቱን ካወቀበት ከ ፸፪ ሰዓት ባልበለጠ ጊዜ ውስጥ የግል ዳታ ጥሰቱን ለባለሥልጣኑ ማሳወቅ አለበት። ፪/ የግል ዳታ ጥሰቱን በዚህ አንቀጽ ንዑስ አንቀጽ (፩) በተገለጸው ጊዜ ውስጥ ለባለሥልጣኑ ካላሳወቀ የዘገየበትን ምክንያት አካቶ መቅረብ አለበት ። ፫/ ዳታ አቀናባሪው የግል ዳታ ጥሰት መኖሩን እንዳወቀ ያለምንም መዘግየት ለዳታ ተቆጣጣሪው ማሳወቅ አለበት። ፬/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) ድንጋጌ መሠረት ለባለሥልጣኑ የሚቀርበው የግል ዳታ ጥሰት ማሳወቂያ ሀ) የግል ዳታ ጥሰቱን ባህርይ እና ከተቻለ የዳታ ባለቤቶቹን ምድቦችና ግምታዊ ቁጥር፣ እንደዚሁም የግል ዳታ ምድቦችና ግምታዊ ቁጥር፣ ለ) የዳታ ጥበቃ መኮንኑን ሙሉ አድራሻ ወይም ሌላ ተጨማሪ መረጃ ማግኘት የሚቻልበትን አግባብ፣ ሐ) የግል ዳታ ጥሰቱ ሊያስከትል የሚችለው ውጤቶች፣ እና መ) ለግል ዳታ ጥሰቱ ምላሽ ለመስጠት በዳታ ተቆጣጣሪው የተወሰዱ ወይም ሊወሰዱ የታሰቡ እርምጃዎች ፣ እንደዚሁም ተገቢ ሆኖ ሲገኝ አሉታዊ ውጤቶችን ለመቀነስ የሚወሰዱ ዕርምጃዎችን መግለጽ አለበት። ፭/ መረጃውን በአንድ ጊዜ ማቅረብ በማይቻልበት ጊዜ መረጃው እንደተገኘ ያለምንም ተጨማሪ መዘግየት ማቅረብ ይቻላል። ፮/ ባለሥልጣኑ የዳታ ተቆጣጣሪው በዚህ አዋጅ ድንጋጌ መሠረት መሥራቱን ለመገምገም እንዲያግዘው፣ ዳታ ተቆጣጣሪው ከግል ዳታ ጥሰቱ ጋር የተያያዙ እውነታዎችንና ውጤታቸውን፣ እንደዚሁም የተወሰዱ የእርምት እርምጃዎችን በሰነድ ማስቀመጥ አለበት። 1/ Where there is a personal data breach, the data controller shall within 72 hours after having become aware of it, notify the personal data breach to the Authority. 2/ Where the notification of the personal data breach to the Authority is not made as per the provision of Sub-Article (1) of this Article, the notification shall be accompanied by reasons for the delay. 3/ The data processor shall notify the data controller without undue delay after becoming aware of a personal data breach. 4/ The notification of the personal data breach to the Authority referred to in Sub-Article (1) of this Article shall: a) Describe the nature of the personal data breach including where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of personal data records concerned; b) Communicate the name and contact details of the data protection officer or other contact point where more information can be obtained; c) Describe the likely consequences of the personal data breach; and d) Describe the measures taken or proposed to be taken by the data controller to address the personal data breach, including, where appropriate, measures to mitigate its possible adverse effects. 5/ Where it is not possible to provide the information at the same time, the information may be provided in phases without undue further delay. 6/ The data controller shall document any personal data breaches, comprising the facts relating to the personal data breach, its effects and the remedial action taken in order to facilitate the Authority in its assessment of the data controller’s compliance with this provision.
፩/ የግል ዳታ ጥሰት ከተፈፀመ ዳታ ተቆጣጣሪው ጥሰቱን ባወቀ ከ ፸፪ ሠዓታት ባልበለጠ ጊዜ ውስጥ ሁኔታውን ለዳታ ባለቤቱ መግለጽ አለበት። ፪/ ለዳታ ባለቤቱ የሚቀርበው መግለጫ የግል ዳታ ጥሰቱን ባህርይ በግልጽ ቋንቋ የሚያብራራና በዚህ አዋጅ አንቀጽ ፵፫ ንዑስ አንቀጽ (፬) ፊደል ተራ (ለ) እስከ (መ) የተዘረዘረውን መረጃ ያካተተ መሆን አለበት። ፫/ ዳታ ተቆጣጣሪው :- ሀ)ተገቢውን የቴክኒክና ተቋማዊ የመከላከል እርምጃዎችን ከወሰደ፣ እና እነዚህ እርምጃዎች በጥሰቱ በተጎዱ የግል ዳታዎች ላይ ከተተገበሩ፣ በተለይም ዳታ ከተፈቀደለት ሰው በስተቀር ሊረዳው እንዳይችል ለማድረግ የመመስጠር እና ሌሎች ተመሳሳይ እርምጃዎች የተወሰዱ ከሆነ፣ ለ) በዚህ አንቀጽ ንዑስ አንቀጽ (፩) ላይ የተገለጸው የዳታ ባለቤትን መብቶችና ነፃነቶች አደጋ ላይ የሚጥሉ ሁኔታዎች ከዚህ በኋላ ሊከሰቱ እንዳይችሉ ለማድረግ ተከታታይ እርምጃዎች ከወሰደ፣ ወይም ሐ) የዳታ ባለቤቱን ለማሳወቅ ተመጣጣኝ ያልሆነ ጥረት ውስጥ የሚከተውከሆነና፤ ዳታ ተቆጣጣሪው ለህዝብ የማሳወቅ ሥራዎች በመሥራቱ ወይም ተመሳሳይ እርምጃዎችን በመውስዱ የዳታ ባለቤቱ ጥሰቱን በተመለከተ መረጃ ያገኘ ከሆነ የግል ዳታ ጥሰቱን ለዳታ ባለቤቱ እንዲገልጽ አይጠበቅም። ፬/ የዳታ ተቆጣጣሪው የግል ዳታ ጥሰቱን ለዳታ ባለቤቱ ካላሳወቀ፣ ባለሥልጣኑ የዳታ ጥሰቱን ለዳታ ባለቤቱ እንዲያሳውቅ ሊያዘው ይችላል። To Data Subject 1/ Where a personal data breach has occurred, the controller shall communicate the personal data breach to the data subject within 72 hours after having become aware of it. 2/ The communication to the data subject shall describe in clear language the nature of the personal data breach and set out the information in Article 43 Sub-Article (4) lit. (b)- (d) Of this Proclamation. 3/ The communication of a personal data breach to the data subject shall not be required where: a) The data controller has implemented appropriate technical and organizational protection measures, and those measures were applied to the personal data affected by the breach, in particular, those that render the data unintelligible to any person who is not authorized to access it, such as encryption; b) The data controller has taken subsequent measures to ensure that the high risk to the rights and freedoms of the data subject referred to in Sub-Article (1) of this Article is no longer likely to materialize; or c) It would involve disproportionate effort and the data controller has made a public communication or similar measure whereby data subject is informed in an equally effective manner. 4/ Where the data controller has not already communicated the personal data breach to the data subject, the Authority may require it to do so.
፩/ ባለሥልጣኑ በዳታ ተቆጣጣሪው ወይም በዳታ አቀናባሪ የሚደረግ የዳታ ማቀናበር ወይም ማስተላለፍ ሥራ የዳታ ባለቤቱን ግላዊ መብት አደጋ ውስጥ የሚከት ሆኖ ሲያገኘው፣ በዚህ አዋጅ አንቀፅ ፲፯ ንዑስ አንቀጽ (፬)፣ (፭) እና (፮) ላይ የተዘረዘሩ የደህንነት እርምጃዎችን ዳታ ከማቀናበሩ ወይም ከመተላለፉ በፊት ባለሥልጣኑ ሊመረምር እና ሊገመግም ይችላል። ፪/ ባለሥልጣኑ በዚህ አዋጅ አንቀፅ ፲፯ ንዑስ አንቀጽ (፬)፣ (፭) እና (፮) መሠረት በዳታ ተቆጣጣሪ ወይም በዳታ አቀናባሪ ላይ የተጣሉ የደህንነት እርምጃዎችን በተመለከተ በመደበኛ የሥራ ሰዓት ተገኝቶ ተጨማሪ ምርመራ እና ግምገማ ማካሄድ ይችላል። 1/ Where the Authority is of the opinion that the processing or transfer of data by a data controller or data processor may entail a specific risk to the privacy rights of data subjects, it may inspect and assess the security measures taken under Article 17 Sub- Articles (4), (5) and (6) of this Proclamation prior to the beginning of the processing or transfer. 2/ The Authority may, at any reasonable time during working hours, carry out further inspection and assessment of the security measures imposed on a data controller or data processor under Article 17 Sub-Article (4), (5) and (6) of this Proclamation.
፩/ ማንኛውም ዳታ ተቆጣጣሪም ሆነ ዳታ አቀናባሪ የመግቢያ የይለፍ ሥርዓትን የተመለከቱ ተግባራትን ጨምሮ በኃላፊነቱ ሥር ያሉትን የማቀናበር ሥራዎች ጠቅላላ መዝግቦ መያዝ አለበት። ፪/ መዝገቡ፡ሀ) የዳታ ተቆጣጣሪውን ወይም የዳታ አቀናባሪውን ስምና አድራሻ፣ እንደዚሁም እንዳግባብነቱ የተወካዩንና የዳታ ጥበቃ መኮንኑን ስምና አድራሻን፣ ለ) የማቀናበሩ ዓላማን፣ ሐ)የዳታ ባለቤቶችና የግል ዳታ ምድቦች መግለጫን፣ መ) በውጭ አገር ያሉ ተቀባዮችን ጨምሮ የግል ዳታውን ሲቀበሉ የነበሩ ወይም የሚላክላቸው ተቀባዮች ምድቦች መግለጫን፣ ሠ) ማንኛውም ወደ ሦስተኛ ወገን የሥልጣን ክልል የተላለፈ ዳታ፣ እና የተወሰዱ የጥንቃቄ እርምጃዎችን፣ ረ) ከተቻለ የተለያዩ የዳታ ምድቦች የሚደመሰሱበት የጊዜ ገደብን፣ እንደዚሁም (ሰ) የዳታ ደህንነት ማረጋገጫ ዘዴዎች መግለጫን ማካተት አለበት ። ፫/ የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው ሲጠየቅ መዝገቡን ለባለሥልጣኑ ማቅረብ አለበት። ፬/ የዳታ ተቆጣጣሪዎችና ዳታ አቀናባሪዎች የመግቢያ የይለፍ ሥርዓት ሥራዎችን ሲያከናውኑ ሀ) ማንበብን ጨምሮ የግል ዳታ የማቀናበር ተግባራት ጋር የተያያዙ የመግቢያ የይለፍ ሥርዓት ተግባራትን መዝግቦ ማቆየት አለባቸው፤ ለ) ከማንበብ፣ ከመግለጽና ከማስተላለፍ ጋር የተያያዙ የመግቢያ የይለፍ ሥርዓት ምዝገባዎች፤ የተግባሩን አስፈላጊነት፣ ተግባሩ የተፈጸመበት ቀንና ሠዓት፣ የግል ዳታውን ያነበበው የገለጸውና ያስተላለፈው ሰው ማንነት፣ የግል ዳታውን ተቀባይ ማንነትን ማወቅ የሚያስችል መሆን አለበት፤ ሐ) የመግቢያ የይለፍ ሥርዓት የዳታ ማቀናበር ተግባራት ሕጋዊነትን፣ የውስጥ ቁጥጥር የሚደረግበትን አግባብ እና የግል ዳታን ደሕንነትና ምሉዕነት ለማረጋገጥ እንደዚሁም በአስተዳደራዊና በወንጀል የፍትህ ሂደቶች ላይ ሊውል ይችላል፤ መ) ከመግቢያ የይለፍ ሥርዓት ጋር የተያያዘ መረጃ ለባለሥልጣኑ መቅረብ አለበት፤ ሠ) ባለሥልጣኑ የመግቢያ የይለፍ ሥርዓት መረጃ ተጠብቆ የሚቆይበትን ጊዜ ይወስናል። 1/ Every data controller and data processor shall maintain, including logging, a record of all processing operations under his responsibility. 2/ The record shall set out: a) The name and contact details of the data controller or data processor, and, where applicable, his representative and any data protection officer; b) The purpose of the processing; c) A description of the categories of data subjects and of personal data; d) A description of the categories of recipients to whom personal data have been or will be disclosed, including recipients in other countries; e) Any transfers of data to another country, and the suitable safeguards; f) where possible, the envisaged time limits for the erasure of the different categories of data; and g) The description of the mechanisms on data security. 3/ The data controller or data processor shall, on request, make the record available to the Authority. 4/ In case of logging, a) Data controllers and data processors shall keep logs of personal data processing activities including reading; b) Logs recording reading, disclosure and transmission shall enable to ascertain the reasoning for conduct of the specified activities, the date and time thereof and the information about the person who read, disclosed or transmitted the personal data, and the names of the recipients of such personal data; c) Logs may be used for verification of legality of personal data processing activities, internal monitoring, ensuring integrity and security of personal data and for adminstative and criminal proceedings; d) Information on logs shall be made available to the Authority; e) The Authority shall establish the retention periods of logs.
፩/ የዳታ ማቀናበር ሥራ በባህርዩ ፣ በወሰኑ ፣ በአውዱ እና በዓላማው የዳታ ባለቤቱ መብቶችና ነፃነቶች ላይ ስጋት የሚደቅን ከሆነ፣ ማንኛውም የዳታ ተቆጣጣሪ ወይም የዳታ አቀናባሪ ዳታን ከማቀናበሩ በፊት የማቀናበር ሂደቱ በግል ዳታ ጥበቃ ላይ ሊያስከትል የሚችለውን ተፅዕኖ መገምገም አለበት። ፪/ በዚህ አንቀጽ ንዑስ አንቀፅ (፩) የተጠቀሰው የማቀናበር ሂደት ;- (ሀ) የግል ዳታ ባለቤት መገለጫ ቅንብርን ጨምሮ በራስ አዘዝ መሳሪያዎች የተመሠረተ፣ የተደራጀና ሰፊ የሆነ ከግለሰቦች ግላዊ ሕይወት ጋር የተያያዘ፣ እንደዚሁም በግለሰቦች ላይ ለሚሰጥና ሕጋዊ ውጤት ለሚያመጣ ውሳኔ መነሻ የሆነ ወይም በግለሰቦች ላይ ጉልህ ጫና የሚያሳድር፣ (ለ) መጠነ ሰፊና ጥንቃቄ የሚፈልግ የግል ዳታ ላይ የሚካሄድ፣ (ሐ) መጠነ ሰፊና ሕዝብ የሚሰበሰብበትን ቦታ በተደራጀ መንገድ መቆጣጠርን የተመለከተ፣ እንደዚሁም፣ (መ) ሌላ ከባለሥልጣኑ ጋር ምክክር ማድረግ የሚጠይቅ ማናቸውም ዓይነት ማቀናበርን ያካትታል። ፫/ ግምገማው (ሀ) ሊተገበር የተፈለገው የማቀናበር ሥራን በተደራጀ አግባብ ማብራራት፣ እንዳግባቡ የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው ሊያሳካ የሚፈልገው ሕጋዊ ፍላጎትን ጨምሮ የማቀናበሩን ዓላማ፣ (ለ) የማቀናበሩ ሥራ ከዓላማው ጋር ሲነጻጸር የአስፈላጊነቱንና ተመጣጣኝነቱን ግምገማ ፣ (ሐ) የዳታ ባለቤቱ መብቶችን እና ነፃነቶች ላይ የሚጥለው የሥጋት ደረጃ ግምገማ፣ እንደዚሁም (መ) የዳታ ባለቤቱን እና ሌሎች የሚመለከታቸው ሰዎች መብቶች እና ሕጋዊ ጥቅሞች ግምት ውስጥ በማስገባት፣ ሥጋቱን ለመግታት የሚወሰዱ ዕርምጃዎች፣ እንደዚሁም የግል ዳታ ጥበቃን ለማረጋገጥ የሚወሰዱ የደህንነት ዕርምጃዎች እና የግል ዳታ ጥበቃን ለማረጋገጥና ከዚህ አዋጅ ጋር የተጣጣሙ መሆናቸውን ለማሳየት በዚህ አዋጅ መሠረት መደረጉን የሚገልጽ መግለጫ ሊያካትት ይገባል። ፬/ ተገቢ ሆኖ ሲገኝና የንግድ ወይም የመንግሥት ፍላጎቶችን ወይም የማቀናበር ሥራውን ደህንነት በማይጣረስ መልኩ፤ የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው ስለታሰበው ማቀናበር የዳታ ባለቤቱን ዕይታ ሊጠይቅ ይችላል። ‹፵፰. ባለሥልጣኑን ፈቃድ መጠየቅና ማማከር ፩/ ማንኛውም የዳታ ተቆጣጣሪ ወይም የዳታ አቀናባሪ የታሰበው የማቀናበር ሥራ ከአዋጁ ጋር የሚጣጣም መሆኑን ለማረጋገጥና በተለይም ዳታ ተቆጣጣሪውም ሆነ ዳታ አቀናባሪው የግል ዳታን ወደ ሶስተኛ ወገን የሥልጣን ክልል ከማስተላለፍ ጋር በተያያዘ ተገቢውን የጥበቃ እርምጃዎች መውስድ በማይቻልበት ጊዜ ፣ በዳታ ባለቤቱ ላይ የሚያደርሰውን ሥጋት ለመቀነስ ከባለሥልጣኑ ቅድሚያ ፈቃድ ማግኘት አለበት። ፪/ የዳታ ተቆጣጣሪውም ሆነ የዳታ አቀናባሪው የግል ዳታን ከማቀናበሩ በፊት የታቀደው የማቀናበር ሥራ ከአዋጁ ጋር የማይጣረስ መሆኑን ለማረጋገጥና በዳታ ባለቤቶች ላይ የሚያስከትለውን የሥጋት ጫና ለመቀነስ :- (ሀ) የዳታ ጥበቃ ተፅዕኖ ግምገማው የማቀናበሩ ሥራ በባሕርዩ፣ በወሰኑ እና በዓላማው በከፍተኛ ደረጃ ለሥጋት የተጋለጠ መሆኑን የሚያመላክት፣ ወይም (ለ) ባለሥልጣኑ የማቀናበሩ ሥራ በባሕርዩ ፣ በወሰኑ እና በዓላማው የዳታ ባለቤቶችን መብቶችና ነጻነቶች በከፍተኛ ደረጃ ለሥጋት ያጋልጣል ብሎ ሲገምት ባለሥልጣኑን አስቀድሞ ማማከር አለበት። ፫/ ባለሥልጣኑ የታሰበው ማቀናበር ከአዋጁ ጋር የማይጣጣም ሆኖ ካገኘው በተለይም ማቀናበሩ ሊያስከትላቸው የሚችላቸው ሥጋቶች በበቂ ሁኔታ ካልተለዩ እና ካልተቀነሱ ፣ የታቀደውን ማቀናበር ይከለክላል ፤ ከአዋጁ ጋር አለው የተባለውን አለመጣጣም በተመለከተ ሊወሰድ የሚገባውን ተገቢ እርምጃምን እንደሆነ ያሳውቃል። [[[ ፬/ ባለሥልጣኑ በዚህ አንቀጽ ንዑስ አንቀፅ ፪ ፊደል ተራ (ለ) መሠረት ቅድመ ምክክር የሚያስፈልጋቸውን የማቀናበር ሥራዎች ዘርዝሮ ለሕዝብ ማሳወቅ አለበት። ፭/ ዳታ ተቆጣጣሪው ወይም ዳታ አቀናባሪው የዳታ ጥበቃ ተፅዕኖ ግምገማ ሰነድ እና ሌሎች ተጨማሪ መረጃዎች በባለሥልጣኑ ሲጠየቅ በተጠየቀው አግባብ ማቅረብ አለበት። 1/ Where processing operations may result in a risk to the rights and freedoms of data subjects by virtue of their nature, scope, context and purposes, every data controller or data processor shall, prior to the processing, carry out an assessment of the impact of the envisaged processing operations on the protection of personal data. 2/ The processing operations referred to in Sub- Article (1) of this Article are: a) A systematic and extensive evaluation of personal aspects relating to individuals which is based on automated processing, including profiling, and on which decisions are based that produce legal effects concerning the individual or significantly affect the individual; b) Processing on a large scale of sensitive personal data; c) A systematic monitoring of a publicly accessible area on a large scale; and d) Any other processing operations for which consultation with the Authority is required. 3/ An assessment shall include: a) systematic description of the envisaged processing operations and the purposes of the processing, including, where applicable, the legitimate interest pursued by the data controller or data processor; b) an assessment of the necessity and proportionality of the processing operations in relation to the purposes; c) an assessment of the risks to the rights and freedoms of data subjects; and d) The measures envisaged to address the risks and the safeguards, security measures and mechanisms to ensure the protection of personal data and to demonstrate compliance with this Proclamation, taking into account the rights and legitimate interests of data subjects and other persons concerned. 4/ Where appropriate, the data controller or data processor shall seek the views of data subjects on the intended processing, without prejudice to the protection of commercial or public interests or the security of the processing operations.
1/ Every data controller or data processor shall obtain authorization from the Authority prior to processing personal data in order to ensure compliance of the intended processing with this Proclamation and in particular to mitigate the risks involved for the data subjects where a data controller or data processor cannot provide for the appropriate safeguards in relation to the transfer of personal data to a third party jurisdiction. 2/ The data controller or data processor shall consult the Authority prior to processing personal data in order to ensure compliance of the intended processing with this Proclamation and in particular to mitigate the risks involved for the data subjects where: a) a data protection impact assessment indicates that processing operations are by virtue of their nature, scope or purposes, likely to present a high risk; or b) The Authority considers it necessary to carry out a prior consultation on processing operations that are likely to present a high risk to the rights and freedoms of data subjects by virtue of their nature, scope or purposes. [[[ 3/ Where the Authority is of the opinion that the intended processing does not comply with this Proclamation, it shall prohibit the intended processing and make appropriate proposals to remedy such non-compliance. 4/ The Authority shall make public a list of the processing operations which are subject to prior consultation in accordance with Sub-Article (2) lit. (b) Of this Article. 5/The data controller or data processor shall provide the Authority with the data protection impact assessment and, whenever requested, any other information.
፩/ የዳታ ተቆጣጣሪው እንዳግባብነቱ የዳታ አቀናባሪው በጋራ፤ የዳታ ማቀናበሪያው መንገድ ተለይቶ በሚወሰንበትና ማቀናበሩ በሚከናወንበት ጊዜ :- (ሀ) በዚህ አዋጅ ውስጥ የተደነገጉ የግል ዳታ ማቀናበር መርሆዎች ውጤታማ በሆነ መንገድ መፈጸማቸውን፣ እንደዚሁም (ለ) የዳታ ባለቤቶችን መብት የሚያስከብሩ የደህንነት እርምጃዎች የተካተቱ መሆናቸውን ማረጋገጥ አለባቸው። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተደነገጉት የደህንነት እርምጃዎች ቴክኖሎጂ የደረሰበትን ደረጃ ፣ የማቀናበሩን ባህርይ ፣ ወሰን ፣ አግባብና ዓላማ ፤ እንደዚሁም ማቀናበሩ በግለሰቦች መብቶችና ነጻነቶች ላይ ሊያመጣ የሚችለውን የአደጋ ሥጋት ጫና ግምት ውስጥ ማስገባት አለበት። ፫/ የዳታ ተቆጣጣሪው በነባሪ ለእያንዳንዱ የተለየ ዓላማ አስፈላጊ የሆኑ የግል ዳታዎች ብቻ መቀናበራቸውን የሚያረጋግጥ ተገቢ የሆነውን ቴክኒካዊ እና ተቋማዊ እርምጃዎችን በሥራ ላይ ያውላል። ፬/ የዚህ አንቀጽ ንዑስ አንቀጽ (፫) ድንጋጌ በሚሰበሰበው የግል ዳታ መጠን፣ የግል ዳታ በሚቀናበርበት መጠን፣ የግል ዳታ በሚከማችበት የጊዜ ርዝማኔ፣ እና በግል ዳታ ተደራሽነት ላይ ተፈጻሚ ይሆናል። ፭/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተመለከቱት የቴክኒክ እና ተቋማዊ እርምጃዎች የግል ዳታ በነባሪ ካለ ግለሰብ ጣልቃ ገብነት ቁጥራቸው በውል ላልታወቁ ግለሰቦች ተደራሽ የማይደረግ መሆኑን ማረጋገጥ አለበት። 1/ The data controller, where applicable, the data processor shall both at the time of the determination of the means for processing and at the time of the processing itself, implement appropriate technical and organizational measures designed to: a) Implement the personal data processing principles set out in this Proclamation in an effective manner; and b) Integrate the necessary safeguards into the processing in order to meet the requirements of this Proclamation and protect the rights of data subjects. 2/ The measures stipulated under Sub-Article (1) of this Article shall take into consideration the state of the art, the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of individuals posed by the processing. 3/The data controller shall implement the appropriate technical and organizational measures for ensuring that, by default, only personal data which are necessary for each specific purpose of the processing is processed. 4/ Sub-Article (3) of this Article applies to the amount of personal data collected, the extent of processing of the personal data, the period of storage of the personal data and the accessibility to the personal data. 5/ The technical and organizational measures referred to in Sub-Article (1) of this Article shall ensure that personal data is not, by default, made accessible without the individual's intervention to an indefinite number of individuals.
፩/ በዚህ አዋጅ አንቀጽ ፲፭ ከተደነገገው በተቃራኒ ካልተገለጸ በስተቀር እና የግል ዳታ ተጠብቆ መቆየት ያለበት የጊዜ ገደብ ከተጠናቀቀ እያንዳንዱ የዳታ ተቆጣጣሪ በተቻለ ፍጥነት የግል ዳታን መደምሰስ አለበት። ፪/ የግልዳታ መዝገብ የሚደመሰስበት ወይም የሚሰረዝበት አግባብ፣ ዳታው መልሶ የሚነበብ እንዳይሆን ማድረግን በማረጋገጥ መሆን አለበት። ፫/ የዳታ ተቆጣጣሪው የግል ዳታን ለያዘው ማንኛውም የዳታ አቀናባሪ በዚህ አንቀጽ ድንጋጌ ያለበትን ግዴታ የማሳወቅ ግዴታ አለበት። ፬/ በዚህ አንቀጽ ንዑስ አንቀጽ (፫) መሠረት ማስታወቂያ የተቀበለ ማንኛውም የዳታ አቀናባሪ በተቻለ መጠን በፍጥነት በዳታ ተቆጣጣሪው የተገለጸውን ዳታ መደምሰስ አለበት። 1/ Unless the contrary is stipulated under Article 15 of this Proclamation, where the purpose for storing personal data has lapsed, every data controller shall destroy the personal data as soon as is reasonably practicable. 2/The destruction or deletion of a record of personal data shall be done in a manner that prevents its reconstruction in an intelligible form. 3/ The data controller shall have the duty to notify any data processor holding the data of its obligation under this Article. 4/ Any data processor who receives a notification under Sub-Article (3) of this Article shall, as soon as is reasonably practicable, destroy the data specified by the data controller.
፩/ ሁለትና ከሁለት በላይ የሆኑ ዳታ ተቆጣሪዎች የግል ዳታው የሚቀናበርበትን ዓላማና መንገድ በጋራ የሚወስኑ ከሆነ የጋራ ዳታ ተቆጣጣሪዎች በመባል ይታወቃሉ። ፪/ የጋራ ዳታ ተቆጣጣሪዎች ኃላፊነታቸውን ፣ የግዴታቸውን ወሰንና የዳታ ባለቤቶች አገልግሎት የሚያገኙት የት እንደሆነ በውላቸው ውስጥ በዝርዝር መደንገግ አለባቸው። 1/ Where two or more data controllers jointly determine the purposes and means of processing of personal data, they shall be joint data controllers. 2/ Joint data controllers shall determine in their contracts their responsibilities, the scope of their obligations and the contact points for data subjects.
፩/ዳታ ተቆጣጣሪውና እንደ አግባብነቱ ዳታ አቀናባሪው በራሱ ወይም በምትኩ የሚከናወኑ ዳታ የማቀናበር ተግባራትን በተመለከተ በዚህ አዋጅ የተቀመጡት ግዴታዎችን የመወጣት ኃላፊነት አለበት። ፪/ዳታ ተቆጣጣሪው በራሱ ወይም በምትኩ የሚከናወኑ የማቀናበር ሥራዎች በዚህ አዋጅ መሠረት መከናወናቸውን ማረጋገጥ አለበት። 1/ The data controller and, where applicable, the data processor, shall be responsible for complying with all obligations set out in this Proclamation in respect of any processing undertaken by him or on his behalf. 2/ The data controller shall be able to demonstrate that any processing undertaken by it or on its behalf is in accordance with the provisions of this Proclamation.
፩/ በዚህ አዋጅ ድንጋጌዎች ተፈጻሚነት ላይ የሚጣል ገደብ ተፈጻሚ የሚሆነው ፣ ገደብ መጣሉ በዲሞክራሲያዊ ማኅበረሰብ ውስጥ አስፈላጊና ተመጣጣኝ እርምጃ ከሆነ ነው። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተደነገገው እንደተጠበቀ ሆኖ :- ሀ) ለብሔራዊ ደህንነት፣ ለአገር መከላከያ እና ለሕዝብ ሠላም፤ ለ) ለታሪካዊ፣ ለስታስቲክስ ወይም ለሳይንሳዊ ምርምሮች ዓላማ፤ ሐ) የመንግሥት የኢኮኖሚና የፋይናንስ ጥቅሞችን ጨምሮ ለአጠቃላይ የሕዝብ ጥቅም ዓላማ፤ መ) የዳኝነት ነጻነትና የፍርድ ሂደቶችን ለመጠበቅ፤ ወይም ሠ) የዳታ ባለቤቱን ወይም የሌሎችን መብትና ነጻነት ለመጠበቅ የግል ዳታ የማቀናበር ገደብ የሚጥል ዝርዝር ሕግ በደንብ ማውጣት ይቻላል። ፫/ የዳታ ባለቤቱ ወይም ባለሥልጣኑ ወይም ሦስተኛ ወገን በዚህ አዋጅ መሠረት የተጣለ ገደብ አስፈላጊና ተመጣጣኝ አይደለም ብሎ ካመነ የግለ ሰቦች መብት እንዲከበር በፍርድ ቤት ክስ መመስረት ይችላል። 1/ Exception to the provisions of this Proclamation shall be allowed where it constitutes a necessary and proportionate measure in a democratic society. 2/ Notwithstanding the provisions of Sub-Article (1) of this article : a) the protection of national security, defense or public security; b) historical, statistical and scientific research; c) an objective of general public interest, including an economic or financial interest of the State; d) the protection of judicial independence and judicial proceedings; or e) The protection of a data subject or the rights and freedoms of others shall be governed by Regulation. 3/ If the data subject, the Authority or third party is convinced that the exception introduced is not necessary and proportionate, he or it may institute a case in a court of law.
፩/ የግል ዳታ ለታሪካዊ፣ ለስታስቲክስ ወይም ለሳይንሳዊ ምርምሮች ዓላማ ለማሳካት ገደብ ሊጣልበት ይችላል። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተደነገገው እንደተጠበቀ ሆኖ፣ የግል ዳታ ለምርምር የሚቀናበረው ስውር ስያሜ ወይም ሌላ ተመሳሳይ የጥበቃ ደረጃ የሚሰጥ የአሠራር ሥርዓትን በመተግበር ነው። ፫/ ስውር ስያሜን ወይም ተመሳሳይ የጥበቃ ደረጃ የሚሠጥና ባለቤቱ እንዳይታወቅ የሚያስችል ሌላ አሠራርን በመጠቀም ዳታን ወደ ቀደመው ደረጃ መመለስ የሚፈቀደ ለተጫማሪ የሳይንሳዊ ፣ ታሪካዊ ወይም የስታቲስቲክ ዓላማ አስፈላጊ ከሆነ ብቻ ነው። ፬/ የግል ዳታ ያለ ስውር ስያሜ ማቀናበር የሚፈቀደው (ሀ) የማቀናበሩ ዓላማ የዳታው ባለቤትን ለማወቅ የሚያስችሉ መለያዎችን ካስወገዱ በኃላ ማሳካት የማይቻል ከሆነ ወይም ይህን ዓላማ ማሳካት ከሚገመተው በላይ አስቸጋሪ (ለ) በሚቀናበረው የግል ዳታ ምክንያት የግል ዳታ ባለቤቱ የግዴታ ተፈጻሚነት ወሰን የማይቀየር ከሆነ ወይም የዳታ ባለቤቱ መብት ተመጣጣኝ ከሆነው በላይ አሉታዊ ጫና የማያርፍበት ከሆነ ነው። ፭/ የዚህ አዋጅ ድንጋጌዎች የግል ዳታን ለታሪካዊ ፣ ለስታስቲክስ ወይም ለሳይንሳዊ ምርምሮች ዓላማ ማቀናበርን በተመለከተ ገደብ የሚጣልባቸው ፤ የዳታ ማቀናበር መርሆዎች ፣ የዳታ ባለቤቶች መብቶች ፣ የዳታ ተቆጣጣሪውና ዳታ አቀናባሪው ግዴታዎች ፣ እንደዚሁም በዚህ አዋጅ አንቀጽ ፲፯ ንዑስ አንቀጽ (፬) ፣ (፭) እና (፮) የተደነገጉት የደህንነትና ተቋማዊ እርምጃዎች የዳታ ባለቤቱን መብቶችና ነጻነቶች ለመጠበቅ የሚተገበሩ ከሆነ ነው። 1/ Processing of personal data for historical, statistical or scientific research may be exempt from the provisions of this Proclamation. 2/ Without prejudice Sub Article 1 of this article, personal data may be processed without the consent of the data subject for the needs of scientific and historical research and official statistic, in a pseudonymised format or a format which provides an equivalent level of protection. 3/Pseudonymisation or any other method by which the data not enabling identification of persons are changed again into the data which enable identification of persons are only permitted for the needs of additional scientific and historical research or official statistics. 4/ Processing of data concerning any data subjects for the needs of scientific and historical research or official statistics without the consent of the data subject in a format which enables identification of the data subject is permitted only in the case the following conditions are met: a) the purposes of data processing can no longer be achieved after removal of the data enabling identification or it would be unreasonably difficult to achieve these purposes; b) There is overriding public interest for it in the estimation of the persons conducting scientific and historical research or compiling official statistics. 5/ The processing of personal data for the purpose of historical, statistical or scientific research may be exempt from the provisions of this Proclamation where the data protection principles, rights of data subject and obligations put on data controllers and data processors, and the security and organizational measures specified in Article 17 Sub- Article (4), (5) and (6) of this Proclamation are implemented to protect the rights and freedoms of data subjects involved. ‹‹‹
፩/ ባለሥልጣኑ የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው የዚህን አዋጅ ድንጋጌዎች ጥሷል፣ በመጣስ ላይ ነው ፣ ወይም ለመጣስ በዝግጅት ላይ ብሎ ከጠረጠረ፤ ባለሥልጣኑ ቀነ ገደብ በማስቀመጥ ሊፈጽማቸው ይገባል ያላቸውን ተግባራት ዘርዝሮ በአፈጻጸም ትዕዛዝ ሊያዘው ይችላል። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) መሠረት የተሰጠው የአፈጻጸም ትዕዛዝ :- (ሀ) የተጣሰውን፣ በመጣስ ላይ ያለውን ወይም ሊጣስ ያለውን የዚህ አዋጅ ድንጋጌ ለይቶ ማሳወቅ፤ (ለ) ሊፈጸም ያለውን ጥሰት ሊያስተካክል ወይም ሊያስወግድ የሚችለውን እርምጃ ለይቶ ማሳወቅ፣ ‹‹‹ (ሐ) እርምጃዎች የሚተገበሩበት ከሀያ አንድ (፳፩) ቀናት ያላነሰ የጊዜ ገደብ ማስቀመጥ፣ እንደዚሁም (መ) በተሰጠው ትዕዛዝ ላይ ይግባኝ የመጠየቅ መብት ያለው መሆኑን መግለጽ አለበት። ፫/ የአፈጻጸም ትዕዛዙን በመተግበር ሂደት እንዳግባብነቱ ዳታ ተቆጣጣሪው ወይም ዳታ አቀናባሪው በተቀመጠለት የጊዜ ገደብ ውስጥ፣ (ሀ) ለሚመለከተው የዳታ ባለቤት፣ እና (ለ) የትዕዛዙ መፈጸም የሚመለከተውን ዳታ በመሠረታዊ ደረጃ የሚቀይር ከሆነ፣ ትዕዛዙ ከተሰጠበት ዕለት ጀምሮ ወደ ኋላ ባሉ አስራ ሁለት (፲፪) ወራቶች ጀምሮ ትዕዛዙ ከመፈጸሙ ዕለት በፊት እስካለው ዕለት ድረስ ባለው ጊዜ ውስጥ ዳታው ይፋ ለተደረገላቸው ሰዎች ለውጡን ማሳወቅ አለበት። ፬/ ባለሥልጣኑ የዚህ አዋጅ መከበርን ለማረጋገጥ የሰጠው የአፈጻጸም ትዕዛዝ አለመፈጸሙ የተሻለ ሆኖ ካገኘው፣ ትዕዛዙን ሊያነሳው ይችላል፤ ባለሥልጣኑ ይህን ሲያደርግ አዲሱን ትዕዛዝ በጽሑፍ ማውጣትና ለሚመለከተው ሰው ማድረስ አለበት። ፭/የሚሰጠው ትእዛዝ በዚህ አንቀጽ ንዑስ አንቀጽ (፪) ፊደል ተራ (ሐ) በተገለጸው ቀናት ውስጥ በትዕዛዙ ላይ የተጠቀሱ መስፈርቶችን የመቃወም መብት እንዳለው መግለጽ አለበት። 1/ Where the Authority is of the opinion that a data controller or a data processor has contravened, is contravening or is about to contravene this Proclamation, the Authority may serve an enforcement order on him requiring him to take such steps within such period as may be specified in the order. 2/ An enforcement order served under Sub-Article (1) of this Article shall: a) specify the provision of this Proclamation which has been, is being or is likely to be contravened; b) specify the measures that shall be taken to remedy or eliminate the situation which makes it likely that a contravention will arise; c) specify a period which shall not be less than 21 days within which those measures shall be implemented; and d) State that a right of appeal is available. 3/ On complying with an enforcement order, the data controller or data processor, as the case may be, shall, within the period set, notify: a) the data subject concerned; and b) Where such compliance materially modifies the data concerned, any person to whom the data was disclosed during the period beginning 12 months before the date of the service of the order and ending immediately before compliance, of any amendment. 4/ Where the Authority considers that the enforcement order he has issued is not to the best interst of the situiation,, it may withdraw the order and, where it does so, it shall give written notice to the person on whom the order was served. 5/ The information order shall state that the person to whom the order is addressed has a right of appeal against the requirement specified in the order within the period specified under Sub- Article (2) lit. (c) Of this Article.
፩/ የህዝብ ጥቅም የሚነካ ካልሆነ በስተቀር ባለሥልጣኑ ከማንኛውም አካል መረጃ ጠይቆ መውሰድ ይችላል። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተጠየቀው መረጃ ለባለሥልጣኑ የሚሰጠው ወይም ተደራሽ የሚደረገው ሊወሰድ፣ ሊነበብ እና ደጋግሞ ጥቅም ላይ ሊውል በሚችል መልኩ መሆን አለበት። 1/The Authority may, unless it violates public interest, request anyone to furnish to it information. 2/ The information requested under Sub-Article (1) of this Article shall be produced or given access to the Authority in a form in which it can be taken away, is intelligible and is retrievable.
ባለሥልጣኑ የሚያካሂደው የቁጥጥር ሥራ የባለሥልጣኑን ሠራተኞች መደበኛ የሥራ እንቅስቃሴዎችን ወይም ፍላጎት ባለው ማንኛውም አካል የቀረበ መረጃ ወይም ቅሬታ መሠረት ሊያደርግ ይችላል። The Authority’s monitoring activity may arise from the regular activities of its staff or from information or complaints submitted to it by any interested party. ‹
፩/ የዳታ ባለቤት በዚህ አዋጅ ውስጥ የተደነገገ መብቱ ሲጣስበት አቤቱታ በጽሑፍ ለባለሥልጣኑ የማቅረብ መብት አለው። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) አግባብ መሠረት አቤቱታ ለባለሥልጣኑ ሲቀርብ፣ ባለሥልጣኑ (ሀ) አቤቱታው በቅን ልቦና ያልቀረበ ነው ካላለ በስተቀር፣ አቤቱታውን በራሱ መመርመር ወይም በሌላ ተቋም እንዲመረምር ማድረግ፣ እና (ለ) የቀረበውን አቤቱታ በተመለከተ የሰጠውን ውሳኔ በሀያ አንድ ቀናት ውስጥ ለዳታ ባለቤቱ በጽሑፍ የማሳወቅ ግዴታ፣ አለበት። ፫/ የዳታ ባለቤቱ በባለሥልጣኑ ውሳኔ ቅር የተሰኘ እንደሆነ ውሳኔው በተሰጠ በሥልሳ ቀናት ውስጥ በፌደራል ከፍተኛ ፍርድ ቤት ይግባኝ የመጠየቅ መብት አለው። ‹ 1/ Data subjects shall have the right to submit a complaint in writing to the Authority to have remedy for violation of his rights under this Proclamation. 2/ Where a complaint is made to the Authority under Sub-Article (1) of this Article, the Authority shall: a) Investigate the complaint or cause it to be investigated by an authorized entity, unless the Authority is of the opinion that the complaint is not made in good faith; and b) Within Twenty-One days, notify the data subject concerned in writing of its decision. 3/ The decision of the Authority may be appealed to the Federal High Court within sixty days of the date the decision was rendered.
፩/ ባለሥልጣኑ በዚህ አዋጅ መሠረት አስተዳደራዊ እርምጃ ሲወሰን ውሳኔው ውጤታማ፣ ተመጣጣኝና አስተማሪ መሆኑን ማረጋገጥ አለበት። ፪/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) የተደነገገው እንደተጠበቀ ሆኖ፣ አስተዳደራዊ እርምጃ በመወሰን ሂደት ባለሥልጣኑ ከሌሎች መመዘኛዎች ባሻገር :- (ሀ) የጥሰቱ ባህርይ፣ የጊዜ ርዝማኔና ስፋትን፣ (ለ) በዳታ ባለቤቱ ላይ የደረሰው የጉዳት ባህርይና መጠንን፣ (ሐ) ጥሰቱ ሆነ ተብሎ ወይም በቸልተኝነት የተፈጸመ መሆኑን፣ (መ) የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው ተግባራዊ ያደረገው የርዕታዊነትና የተጠያቂነት እርምጃዎች እንደዚሁም አግባብነት ያላቸው የሥነምግባር ደንቦችን የተተገበሩ መሆናቸውን፣ (ሠ) በዳታ ባለቤቱ ላይ የደረሰውን ጉዳት ለመቀነስ የዳታ ተቆጣጣሪው ወይም የዳታ አቀናባሪው የወሰዳቸው እርምጃዎችን፣ (ረ) ከዚህ በፊት በዳታ ተቆጣጣሪው ወይም በዳታ አቀናባሪው የተፈጸሙ ጥፋቶች ያሉ መሆናቸውን፣ (ሰ) ዳታ አቀናባሪው ዳታ ተቆጥጣሪውን ተክቶ የሚያቀናብረውን የግል ዳታ በተመለከተ በዳታ ተቆጣጣሪውና በዳታ አቀናባሪው መካከል የተደረጉ ስምምነቶች በቂ የግልጸኛነትና የተጠያቂነት እርምጃዎችን ያካተተ መሆኑን፣ (ሸ) ጥሰቱ በመፈጸሙ የተገኙና ሊለኩ የሚችሉ ተገቢ ያልሆኑ ጥቅሞች ያሉ መሆናቸውን፣ እንደዚሁም (ቀ) አግባብ የሆኑና ጥፋቱን ሊያከብዱ ወይም ሊያቀሉ የሚችሉ ሌሎች ሁኔታዎች መኖራቸውን ግምት ውስጥ ማስገባት አለበት። 1/The Authority shall ensure that the imposition of administrative fines pursuant to this Proclamation is effective, proportional and dissuasive. 2/ Notwithstanding the provision of Sub Article (1) of this this article while deciding to impose administrative fines, the Authority shall have due regard, inter alias, to the following factors, namely : a) Nature, duration and extent of violation; b) Nature and extent of harm suffered by the data subject; c) Intentional or negligent character of the violation; d) Transparency and accountability measures implemented by the data controller or the data processor, as the case may be, including adherence to any relevant code of practice relating to security safeguards; e) Action taken by the data controller or the data processor, as the case may be, to mitigate the damage suffered by the data subject; f) Previous history of any, or such, violation by the data controller or the data processor, as the case may be; g) Whether the arrangement between the data controller and data processor contains adequate transparency and accountability measures to safeguard the personal data being processed by the data processor on behalf of the data controller; h) The accrual of undue benefits which can be measured; and i) Any other aggravating or mitigating factor relevant to the circumstances of the case.
፩/ ባለሥልጣኑ የዚህን አዋጅ ድንጋጌዎች እና በዚህ አዋጅ መሠረት የወጡ ደንቦችና መመሪያዎችን በመጣስ የግል ዳታ የሚያቀናብሩ ሰዎች ላይ አስተዳደራዊ እርምጃ የመውሰድ ሥልጣን አለው። ፪/ ጥሰቱ የተፈጸመው (ሀ) በተቋም ከሆነ፤ (ለ) ጥንቃቄ በሚፈልግ የግል ዳታ ዙሪያ የተፈጸመ ከሆነ፤ ወይም (ሐ) ለአካለ መጠን ያልደረሰ ልጅ የግል ዳታን የሚመለከት ከሆነ በጉዳዩ ላይ አቤቱታ ከተመሰረተበት ዓመት በፊት ባለው የሥራ ዘመን ተቋሙ ከሚካሄደው የንግድ ሥራው ካገኘው ጠቅላላ ሽያጭ እስከ አራት ፐርሰንት ያህል መቀጮ ይቀጣል። በድርጊቱ የተገኘ ፍሬ ለመንግሥት ገቢ ይሆናል። ፫/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩) እስከ (፪) የተደነገገው ቢኖርም አስተዳደራዊ ቅጣት የሚያስከትሉ የሕግ መተላለፍ ዓይነቶች እንዲሁም የቅጣት መጠን በደንብ ይወስናል። 1/ The Authority shall have the power to impose administrative penalities on persons who process personal data in contravention of provisions of this Proclamation and regulations and directives issued according to this Proclamation. 2/ When the offence has been committed a) by an institution, b) in relation to sensitive data, or c) Against the personal data of a minor, the offence shall be punishable by a fine up to four per cent of its total worldwide turn over of the preceding financial year. Any gain made through this act will go to the government. 3/ Without prejudice the provisions of Sub-Articles (1) and (2) of this Article, the details of administrative offences and fines shall be governed by regulation.
፩/ በዚህ አዋጅ እና አዋጁን ተከትለው የወጡ ደንብና መመሪያ በሚሸፈን በማናቸውም ጉዳይ ላይ ዳታ ተቆጣጣሪው በሚወስናቸው ውሳኔዎች ቅሬታ ያለው ማንኛውም ሰው ቅሬታውን ለባለሥልጣኑ በ፳፩ ቀን ውስጥ አቤቱታ ማቅረብ ይችላል። ፪/ ባለሥልጣኑ የቀረበውን አቤቱታ ሰምቶ በ፳፩ ቀናት ውስጥ ውሳኔውን ለአመልካቹ በጽሁፍ ማሳወቅ አለበት። 1/ Anyone who has a complaint against a decision rendered by a data controller or data processor, in a matters related to the proclamation and regulation and directive adopted following the proclamation, shall have the right to make an administrative complaint to the Authority within twenty one days of such decision. 2/ The Authority after hearing the complaint shall render its decision in writing within twenty one days.
፩/ ባለሥልጣኑ፡ሀ) የቅሬታ አቤቱታው እንደደረሰው ጉዳዩ የሚመለከተውን ዳታ ተቆጣጣሪና ሌሎች የሚመለከታቸው ሰዎችን ስለ ቀረበው ቅሬታ ማሳወቅ አለበት። ለ) የቀረበውን ቅሬታ መርምሮ ተገቢውን ውሳኔ ይሰጣል። ሐ) የቅሬታ አቤቱታው በበቂ ምክንያት የተደገፈ አይደለም ብሎ ካመነ ቅሬታውን ውድቅ ሊያደርግ ይችላል። መ) የቀረቡ የቅሬታ አቤቱታዎች እንደ አስፈላጊነቱ በግልግል ዳኛ እንዲታዩ ማድረግ ይችላል። ፪/ ባለሥልጣኑ ወይም የግልግል ዳኛው የሚያደረጓቸው የአስተዳደራዊ ምርመራ ሂደቶች በዝግ ሊካሄዱ ይችላሉ። ፫/ አቤቱታና አስተዳደራዊ የምርመራ ሥርዓትን በተመለከተ ባለሥልጣኑ መመሪያ ያወጣል። 1/ The Authority a) Shall upon receiving the notice of appeal inform the data controller concerned and any other affected person of the notice of appeal. b) Investigate the compliant and provide appropriate decision. c) May dismiss the complaint if it holds that it is not supported by enough evidence. d) May, if it deems necessary, entertained by an arbitrator. 2/ The Inquiry by the Authority or arbitrator may be conducted in private. 3/ The Authority may issue a directive regarding complaint handling and administrative investigation procedure.
የዳታ ተቆጣጣሪው የዳታ ባለቤቱን ጥያቄ ምላሽ ለመስጠት ፈቃደኛ ካልሆነ፣ መረጃው በአዋጁ ድንጋጌዎች ተፈጻሚነት ላይ በተጣሉ ገደቦች በአንዱ ውስጥ የሚወድቅ መሆኑን የማረጋገጥ ሸክም የሚያርፈው በዳታ ተቆጣጣሪው ላይ ነው። Where the data controller refuses to grant the request of the data subject, the burden of proof that the information lies within one of the specified exemptions of the Proclamation lies upon the data controller.
፩/ ማንኛውም ሰው ሀ) የግል ዳታ ጥሰትን ካላሳወቀ፣ ለ) የግል ዳታ ጥሰት ተፈጽሞ ሲገኝ ተገቢውን የቴክኒክና ተቋማዊ እርምጃዎች ካልወሰደ፤ ሐ) የግል ዳታ በአዋጁ ከተደነገጉት የማቀናበር መርሆዎች ውጪ ካቀናበረ፤ከአንድ ዓመት እስከ ሦስት ዓመት በሚደርስ ቀላል እስራ ወይም ከብር ከ፷ሺ እስከ ፩፻ሺ በሚደርስ መቀጮ ወይም በሁለቱም ይቀጣል። ፪/ ማንኛውም ሰው በዚህ አዋጅ የተደነገጉና የግል ዳታ ባለቤት የግል ዳታው ሀ) እንዲደመሰስ የማድረግ፣ ለ) እንዳይቀናበር የመቃወም፣ ሐ) ማቀናበር እንዲገደብ የመጠየቅ፣ መ)ራስ አዘዝ በሆኑ መሳሪያዎች በሚሰጡ ውሳኔዎች ላይ ያለውን መብቱን ካላከበረ ከሶስት እስከ አምስት ዓመት በሚደርስ እስራት እና ከብር ፩፻ሺ እስከ ፪፻ሺ በሚደርስ መቀጮ ወይም በሁለቱም ይቀጣል። ፫/ ማንኛውም ሰው ሀ)የግል ዳታ ባለቤቱ ተለይቶ እንዳይታወቅ የተደረገን የግል ዳታ ተለይቶ እንዲታወቅ ካደረገ፤ ለ) በዚህ ንዑስ አንቀጽ በፊደል ተራ (ሀ) አግባብ መሠረት ተለይቶ የታወቀውን የግል ዳታ ካቀናበረ፤ ሐ) የግል ዳታን ከሸጠ ወይም ለሽያጭ ካቀረበ፤ ወይም ለሽያጭ ካቀረበ፤ ወይም መ) የግል ዳታን በአዋጁ ከተደነገገው ውጪ ከአገር ውጪ ካስተላለፈ አምስት ዓመት አስር ዓመት በሚደርስ ጽኑ እስራት እና ከብር ፪፻ሺ እስከ ፮፻ሺ በሚደርስ መቀጮ ይቀጣል። ፬/ በዚህ አንቀጽ ንዑስ አንቀጽ (፩)፣ (፪) እና (፫) የተደነገገው እንደተጠበቀ ሆኖ፣ ሀ) ጥፋቱ የተፈጸመው በተቋም ከሆነ፣ ወይም ለ) የተፈጸመው ጥፋት ጉዳት አድርሶ ከሆነ ከዚህም የተነሳ የወንጀሉን አፈጻጸም ከባድ አድርጎት ከሆነ፣ ወይም ሐ) ጥፋቱ ጥንቃቄ በሚፈልግ የግል ዳታ ዙሪያ የተፈጸመ ከሆነ፣ ወይም መ) ለአካለ መጠን ያልደረሰ ልጅን የሚመለከት ከሆነ በጉዳዩ ላይ አቤቱታ ከተመሰረተበት ዓመት በፊት ባለው የሥራ ዘመን ተቋሙ ከሚያካሂደው የንግድ ሥራው ካገኘው ጠቅላላ ሽያጭ እስከ አራት ፐርሰንት ያህል መቀጮ ይቀጣል። 1/ Any person who a) does not to notify personal data breach b) does not implement technical and organizational measures when a breach is committed; or c) Processes personal data in contravention of the provisions of this Proclamation; Shall be punished with simple imprisonment from one to three years or fined from 60,000 – 100,000 birr or both. 2/ Any person who against the rights of the data subject a) fails to erase personal data; b) fails to respect the right to object processing; c) restricts processing; or d) Does not respect the right against automated decisions shall be punished with imprisonment for a period starting from three years to five years or fined from 100,000 – 200,000 birr or both. 3/ Any person a) Re-identifies personal data which has been de- identified; or b) Processes Re-identified personal data which is identified in Sub Article 3 let (a) of this article; c) sells or offers to sell personal data; or d) Transfers of personal data outside Ethiopia in violation of this Proclamation; shall be punished with serious imprisonment from five years to ten years or fined from 200,000 - 600,000 birr or both. 4/ Notwithstanding the provisions of Sub-Article (1), (2) and (3) of this Article, if the offence a) has been committed by an institution; or b) has caused any damage and as a result became a serious offence; [[ c) has been committed in relation to sensitive personal data; or d) has been committed in relation the personal data of a minor, the offence shall be punishable with a fine up to four per cent of its total worldwide turnover of the preceding financial year.
የኮሙኒኬሽን አገልግሎት አዋጅ ድንጋጌዎች እንደ አግባቡ በግል ዳታ ጥበቃ ላይ ተፈጻሚነት ይኖራቸዋል። [[ The relevant provisions of the Communications including Appeals Tribunal Service Proclamation shall apply mutatis mutandis on personal data protection related matters.
ማንኛውም ሰው የአዋጁ ዓላማ እንዲሳካና ባለሥልጣኑ በዚህ አዋጅ የተሰጠውን ሥልጣንና ተግባር መፈጸም እንዲችል የመተባበር ግዴታ አለበት። Every person shall have the duty to cooperate with the Authority in order for the Authority to meet the objective and purpose of this Proclamation and may discharge the powers and functions entrusted to it.
ይህንን አዋጅ የሚቃረን ማናቸውም ሕግ ወይም የአሰራር ልምድ በዚህ አዋጅ የተሸፈኑ ጉዳዮችን በሚመለከት ተፈጻሚነት አይኖረውም። With regard to declarations stated here, any law or custumarly practice conterary to this proclamation will not be applicable.
ይህ አዋጅ ከመጽናቱ በፊት የተሰበሰቡ ወይም የተገኙ የግል ዳታዎች እንደዚሁም ጥንቃቄ የሚፈልጉ የግል ዳታዎች የሚቀናበሩት ወይም በቀጣይ የሚቀናበሩት በዚህ አዋጅ ድንጋጌዎች አግባብ ብቻ ነው። Personal data’s which existed before publication of this proclation and personal data’s which need protection processed or will be processed only according to this proclamation .
፩/ የሚኒስትሮች ምክር ቤት ለዚህ አዋጅ አፈጻጸም የሚያስፈልግ ደንብ ሊያወጣ ይችላል። ፪/ ባለሥልጣኑ ይህንን አዋጅ እና በዚህ አንቀጽ ንዑስ አንቀጽ (፩) መሰረት የወጡ ደንቦችን ለማስፈጸም መመሪያዎችን ሊያወጣ ይችላል። 1/ The Council of Ministers may issue Regulations to implement this proclamation. 2/ The Authority may issue Directives to implement this proclamation and Regulations issued based Sub Article (1) of this Article.
ይህ አዋጅ በፌደራል ነጋሪት ጋዜጣ ታትሞ ከወጣበት ቀን ጀምሮ የጸና ይሆናል። አዲስ አበባ ሐምሌ ፲፯ ቀን ፪ሺ፲፮ ዓ/ም ሣህለ ወርቅ ዘውዴ የኢትዮጵያ ፌደራላዊ ዴሞክራሲያዊ ሪፐብሊክ ፕሬዚዳንት This proclamation shall enter into force on the date of publication in the Negarit Gazeta. Done at Addis Abeba , this 24th day of July 2024 SAHLE-WORK ZEWDE PRISEDENT OF THE FEDERAL DEMOCRATIC REPUBLIC OF ETHIOPIA
Choose an article to open it.