Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Réglementations › Reste du monde › Zimbabwe
CDPA (Zimbabwe)
Loi sur la cybersécurité et la protection des données, 2021 (Zimbabwe)
QuandPubliée au Journal officiel en décembre 2021 ; le règlement sur les licences (SI 155 de 2024) a suivi
Qui en assure l’applicationPOTRAZ, en qualité d’autorité de protection des données
À qui elle s’appliqueResponsables du traitement traitant des données personnelles au Zimbabwe.
Informer le régulateurNotifier l’POTRAZ dans un délai de 24 heures à compter de la prise de connaissance, au moyen du formulaire DP3
DPO requisChaque responsable du traitement doit désigner un DPO et en informer l’POTRAZ au moyen du formulaire DP2
EnregistrementLes responsables du traitement traitant les données de 50 personnes ou plus doivent obtenir une licence de l’POTRAZ, échelonnée de USD 50 à 2,500, r…
Transferts à l’étrangerLes transferts à l’étranger nécessitent une protection adéquate dans le pays destinataire ou une dérogation énumérée telle que…
Délai de réponse aux demandesAucun délai de réponse fixé dans la loi ni dans le SI 155
Amende maximaleAmendes jusqu’au niveau 11 (soit environ USD 1,000 selon les sources) et/ou jusqu’à 7 ans d’emprisonnement
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Portée et base légale
Portée extraterritoriale
1
Applies to controllers active in Zimbabwe and to controllers not established there that use means located in Zimbabwe.s.4(2)(a)-(b) · source ↗
Base légale
1
Consent or listed grounds including legal obligation, vital interests, public interest and legitimate interests of the controller or third party.s.10(1), (3) · source ↗
Consentement
1
Consent must be specific, unequivocal, freely given and informed but may be implied for adults; sensitive data needs written consent.s.3 (definition); s.10(2); s.11(1) · source ↗
Données sensibles
2
Sensitive, genetic, biometric and health data require written consent or listed exceptions; some uses need Authority authorization.ss.11-12; s.12(9); s.22 · source ↗
Enfants
3
Age 18. Parents or guardians consent and exercise rights; controllers must verify consent and run regular DPIAs for children's data.s.3; s.26; Reg. 10(5), SI 155/2024 · source ↗
Droits des personnes
Droits
2
Information, access, objection, correction and deletion of false data, and protection from solely automated decisions.ss.14, 25 · source ↗
No portability or restriction right.
Délai de réponse aux demandes
0
No fixed response deadline in the Act or SI 155.s.13(f) ('without delay' for erasure/rectification) · source ↗
Marketing
1
Data subjects may object free of charge to processing for direct marketing; no opt-in rule.s.15(1)(c); s.16(1)(d) · source ↗
Section numbers from ZimLII summary; DLA Piper says electronic marketing is not addressed.
Gouvernance
DPO requis
3
Every data controller must appoint a DPO and notify POTRAZ on Form DP2.s.20(5); Reg. 12(1), SI 155/2024 · source ↗
Qualifications du DPO
3
DPOs must complete a POTRAZ-approved certification course from an accredited provider and keep certification through CPD.Regs 10(1), 13(1)-(3), SI 155/2024 · source ↗
Enregistrement
3
Controllers processing data of 50 or more people need a POTRAZ licence, tiered USD 50-2,500, renewed every 12 months.Regs 3-9, SI 155/2024 · source ↗
DPIA
2
Regular DPIAs required for children's data; specific-risk processing needs prior Authority authorization. No general DPIA duty.Reg. 10(5)(d), SI 155/2024; s.22 · source ↗
Registres
3
Controllers must notify the Authority of all processing activities, including purposes and retention, and keep a breach register.s.21(1); Regs 10(2)(a), 17(4)(b), SI 155/2024 · source ↗
Conservation
1
Data may be kept no longer than necessary for the purpose collected; no specific periods.s.13(f) · source ↗
Violations
Informer le régulateur
3
Notify POTRAZ within 24 hours of becoming aware, on Form DP3; investigation report within 21 days.s.19; Reg. 17(1)-(2), (5), SI 155/2024 · source ↗
Information des personnes
3
Inform data subjects within 72 hours where the breach is likely to result in high risk.Reg. 17(3), SI 155/2024 · source ↗
High-risk trigger with a fixed 72-hour deadline; scored 3 for the fixed deadline.
Transferts
Transferts à l’étranger
2
Transfers abroad need adequate protection in the recipient country or a listed derogation such as unambiguous consent.ss.28-29 · source ↗
Application
Amende maximale
1
Fines up to level 11 (reported at about USD 1,000) and/or up to 7 years' imprisonment.s.33(2); SI 155 offense regs · source ↗
Level 11 dollar value from MISA (secondary); level values change by statutory instrument.
Responsabilité pénale
3
Most breaches of the Act and SI 155 are offenses, carrying up to 7 years' imprisonment; failing to appoint a DPO up to 2 years.s.33; Regs 3(3), 5(3), 10(6), 12(6), 16(7), 17(6), SI 155/2024 · source ↗
Offenses target controllers broadly; no specific officer-liability clause seen.
Action privée
1
No statutory compensation right; data subjects complain to POTRAZ, with appeal to the Administrative Court.s.34 · source ↗
Common-law claims may remain available.
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Bibliothèque des réglementations
Toutes les lois des États américains sur la vie privée, sur une seule carte
24 États disposent d’une loi générale sur la vie privée dans la bibliothèque, aux côtés des lois de l’UE, du Royaume-Uni, des lois fédérales américaines et des lois du reste du monde : 102 au total, chacune expliquée en termes simples avec ses sources. Sélectionnez un État pour voir ce qui s’y applique.
- En vigueur
- Entrée en vigueur prochaine
- Lois sectorielles