软件与数字健康器械：电子健康条款与《数据保护法》2019 年第 24 号交叉

正文核验日期：2026 年 10 月 30 日

一、结论先行

• 软件（software）被明确写入肯尼亚医疗器械定义，独立医疗软件（SaMD）在肯尼亚属于器械，须走 PPB 注册路径。
• 《健康法》2017 年第 21 号第十五部分第 103–105 条规范电子健康（e-Health）、电子立法与健康信息系统；第 2 条把 e-Health 定义为在卫生部门中综合运用电子通信与信息技术，包括远程医疗。
• 《数据保护法》（Data Protection Act）2019 年第 24 号于 2019 年 11 月 8 日批准、2019 年 11 月 25 日生效，设立数据保护专员办公室，并对健康相关数据（属敏感个人数据）设有专门处理规则。
• 数据跨境与本地化要求落在《数据保护法》第 48–50 条（向肯尼亚境外转移个人数据的条件、转移前的保障措施、在肯尼亚境内的数据服务器或数据中心处理）。
• 数据控制者与数据处理者的登记义务落在第 18–24 条；数据保护影响评估落在第 31 条；个人数据泄露的通知与沟通落在第 43 条。

二、法规依据

法规名称	文号／编号	公布／生效日期	条款号	与本篇相关的要点
The Health Act, 2017（《健康法》）	No. 21 of 2017	批准 2017 年 6 月 21 日；生效 2017 年 7 月 7 日	第 2 条释义（e-Health）、第 103–105 条	电子健康定义含远程医疗；电子健康、电子立法、健康信息系统
Data Protection Act, 2019（《数据保护法》）	No. 24 of 2019	批准 2019 年 11 月 8 日；生效 2019 年 11 月 25 日	第 18–24 条	数据控制者与处理者的登记、申请、证书有效期、登记册、变更与撤销、合规审计、数据保护官指定
同上	No. 24 of 2019	同上	第 25–43 条	个人数据保护原则、数据主体权利、合法处理、第 31 条数据保护影响评估、第 41 条设计与默认的数据保护、第 43 条泄露通知
同上	No. 24 of 2019	同上	第 44–47 条	敏感个人数据处理；第 46 条健康相关数据
同上	No. 24 of 2019	同上	第 48–50 条	向肯尼亚境外转移的条件、转移前保障措施、境内数据服务器或数据中心处理
同上	No. 24 of 2019	同上	第 56–65 条	投诉、调查、执行通知、处罚通知与行政罚款、申诉权
Guidelines for Registration of Medical Devices including In-Vitro Diagnostics	HPT/PER/HTR/GUD/011 Rev.02	生效 2022 年 1 月 31 日	III. 术语表（Medical device）、CSDT 模块	软件属器械；CSDT 含软件、设计验证与确认、风险管理模块
Pharmacy and Poisons (Registration of Health Products and Technologies) Rules, 2022	Legal Notice No. 100 of 2022	制定 2022 年 6 月 8 日	第 3 条	未注册不得进口、制造或销售

三、专业解读看点

看点一：软件类器械在肯尼亚要过「三道门」

第一道是器械定义门——软件被写进定义，SaMD 属于器械；第二道是PPB 注册门——须按风险分级完成注册或列示，并在 CSDT 中提交软件、设计验证与确认、风险管理等模块；第三道是数据合规门——只要产品处理个人健康数据，就受《数据保护法》2019 年第 24 号约束。国瑞中安提示：中国企业常见的疏漏是只做前两道，把数据合规当作 IT 问题而非注册问题，结果在落地阶段被客户或合作方要求补充合规证明。

看点二：「健康相关数据」属敏感个人数据，处理门槛更高

《数据保护法》第五章（第 44–47 条）专门规定敏感个人数据，其中第 46 条针对与健康有关的个人数据。国瑞中安的解读是：医疗软件处理的病历、影像、检验结果、基因信息等，几乎必然落入敏感数据范畴，其合法处理基础、同意机制与安全保障措施的要求高于一般个人数据。企业在设计产品的数据流时，应以敏感数据标准设定默认配置（对应第 41 条「设计与默认的数据保护」）。

看点三：跨境传输是架构设计的硬约束，不是补充条款

第 48–50 条规定向肯尼亚境外转移个人数据的条件、转移前的保障措施，以及在肯尼亚境内通过数据服务器或数据中心处理的要求。国瑞中安判断：这对采用云端 SaaS 架构、境外集中训练 AI 模型、境外远程运维的器械企业构成实质约束。架构决策应当在注册申报之前完成评估，因为部署架构一旦写入申报资料，后续变更可能触发 PPB 变更通知义务。

看点四：数字健康已被纳入监管机构的组织设计

拟设 KHPTA 的法案文本在科学顾问委员会清单中列有数字健康与技术委员会（Digital Health and Technologies Committee）（法案第四附表，参议院版本讨论稿，实务口径）；同时，肯尼亚已设有数字健康机构参与国家追溯与认证系统的建设（公开报道，实务口径）。国瑞中安判断：数字健康在肯尼亚正从「器械的一个子类」升级为「独立监管条线」，软件类器械企业应当预期更专门的审评要求与更明确的注册口径。

四、实务建议

1. 把数据合规纳入注册项目范围。 在立项时就完成《数据保护法》项下的角色判定（数据控制者／处理者）与登记评估。
2. 健康数据按敏感数据标准设计。 默认配置即满足第 41 条「设计与默认的数据保护」要求。
3. 架构决策前置。 云部署、跨境传输与远程运维方案应在申报前定稿，避免后续触发变更通知。
4. 完成数据保护影响评估。 涉及大规模健康数据处理的，按第 31 条开展评估并留档。
5. 建立泄露响应机制。 按第 43 条建立个人数据泄露的通知与沟通流程。
6. 关注数字健康专门审评的动向。 跟踪 KHPTA 立法与数字健康相关指南的发布。

五、核验清单

• □ 是否已确认软件产品属于肯尼亚法下的医疗器械？
• □ 是否已完成 PPB 风险分级与注册路径确认？
• □ CSDT 中的软件、设计验证与确认、风险管理模块是否齐备？
• □ 是否已完成《数据保护法》项下角色判定与登记评估（第 18–24 条）？
• □ 健康数据是否按敏感个人数据标准设计（第 44–47 条）？
• □ 跨境传输方案是否已对照第 48–50 条评估？
• □ 是否已开展数据保护影响评估（第 31 条）并建立泄露响应机制（第 43 条）？
• □ 部署架构是否已定稿并与申报资料保持一致？

法规信息核验至 2026 年 10 月 30 日。

在非洲市场，国瑞中安法规团队以肯尼亚、尼日利亚、南非、埃及等法域为重点，建立了基于一手法规库的核验机制：所有对外输出的法规结论均以官方公报、主管机构指南原文与公开法律数据库为唯一依据，并标注核验日期；无法在官方来源中定位的数字、周期与金额，一律标注「实务口径」，不做推定。

国瑞中安的服务覆盖：市场准入策略与风险分级判定；注册申报资料（CSDT／STED／CTD 格式）编制与审核；本地授权代表（LAR）遴选与管理；质量管理体系与 GMP／GSDP 合规辅导；上市后警戒、变更管理与召回应对；进口清关与 PVoC 协调；法规情报订阅与企业合规台账建设。

如需针对具体产品的肯尼亚准入方案，请与国瑞中安法规团队联系。