💡 律咖编者按：
本文由律咖网社群读者 HeiSongZi 投稿分享。
为了方便大家阅读，律咖网编辑 JingJing（微信：lvga2015）对原文进行了细致的逻辑润色与合规性整理。希望能给正在 乌干达 创业路上的你带来真实的参考。

我在乌干达阿鲁阿经营一家小型咖啡滤纸出口公司，刚满一年。团队只有三个人：我、一名本地物流协调员，还有一名兼职社交媒体助理，负责处理 TikTok 和 WhatsApp 的更新。我们没有网站，不收集支付数据，也不存储客户邮箱。所以当我开始听到“网络安全合规”这个词时，我以为那是银行、电信公司或大型电商平台要操心的事——跟一个通过 WhatsApp 向肯尼亚和坦桑尼亚的小众买家卖滤纸的人没关系。

不过上个月，一位当地会计师问我：“你是否根据乌干达的《数据保护法》审查过自己的数据处理方式？”我甚至都不知道有这么一部法律。

That’s when I realized: compliance isn’t about scale. It’s about visibility.

一、表层现象

在阿鲁阿，和东非许多二线城市一样，网络安全法规的执行并没有任何可见迹象。没有政府审计。没有对小型出口商开出罚单。没有本地IT检查人员上门检查。信息与通信技术及国家指导部确实发布了指导方针——大多是英文版，很少翻译成卢格巴拉语或斯瓦希里语——而且它们被埋在层层政策文件之下，放在一个加载缓慢、甚至根本无法打开的网站上。

The surface impression? Cybersecurity compliance is optional. A luxury for urban startups in Kampala.

But beneath that silence lies a quiet shift.

2023年，乌干达通过了以GDPR原则为蓝本的《数据保护与隐私法》（DPPA）。该法适用于任何处理乌干达居民个人数据的实体——即使企业为外资所有或完全在乌干达境外运营。受保护的数据包括：姓名、电话号码、交易记录、位置数据，甚至包含可识别信息的社交媒体私信。

My assistant collects phone numbers from customers to confirm delivery times. That’s personal data.

曾经有一位客户发来一张照片，照片中他的妻子手�着咖啡滤纸，并附言：“感谢品质——她喜欢这个味道。”我把这张照片保存了下来。这同样也是个人数据。

I didn’t think about it. I thought: “It’s just WhatsApp.”

But under DPPA, that’s not just “just WhatsApp.” It’s processing.

二、隐藏变量

真正的问题不在于网络安全合规是否是法律要求，而在于不合规是否会被察觉，或是否会受到惩罚。

Here are three hidden variables I’ve observed:

  1. 第三方依赖
    我使用乌干达的云存储服务进行备份。他们声称“符合 GDPR”，但条款中未提及本地 DPPA 义务。如果他们遭到黑客攻击，客户数据泄露，我作为数据控制者仍可能被追究责任——即使数据并非由我直接存储。

  2. 境外平台管辖权
    我在 TikTok 和 Facebook 上发布产品视频。这两个平台均位于美国，受加利福尼亚州 CCPA 以及澳大利亚近期儿童社交媒体禁令等法律约束。但当我上传的视频中出现乌干达客户的姓名和电话号码（即使已模糊处理）时，就触发了跨境数据流动。这正是法律灰色地带的开始。

  3. 声誉风险，而非法律风险
    没有人罚过我。但如果客户的号码被卖给骗子——而他们因为我“把号码发到网上”而怪罪于我——我可能会失去信任。在阿鲁阿，声誉就是你唯一的执照。失去它，你的生意就会悄无声息地死去。

最危险的误区是：“如果没人检查，那就无关紧要。” 实际上，第一次审计可能来自心怀不满的员工，或者竞争对手出口商，或者在签署大额订单前进行尽职调查的外国买家。

三、制度逻辑

Uganda’s DPPA isn’t designed to punish small traders. It’s designed to create legal certainty for foreign investors.

政府希望科技初创企业、金融科技公司和数字出口商能够感到安全。为此，它需要向国际合作伙伴证明数据受到保护——这并非因为执法力度，而是因为相关框架已经存在。

正因如此，法律的规定才如此宽泛：

  • 适用于任何个人数据处理活动
  • 要求获得同意、目的限制、数据最小化
  • 强制要求在可行情况下于72小时内通知数据泄露事件
  • 对于“重大处理”活动，要求任命数据保护官

There’s no threshold for size. No exemption for micro-businesses.

但执法是分散的。 数据保护与隐私办公室（DPPO）人手有限。他们优先处理涉及银行、医院或电信公司的案件。 所以像我这样的小出口商？我们是隐形的。

That doesn’t mean we’re exempt.
It means we’re at risk—not from regulators, but from cascading consequences.

可以把它想象成一个乡村小镇的交通规则：没有测速摄像头。但如果你撞了人，法院不会在意有没有设置警示标志。

四、创业者视角

As a 56-year-old from Liaoning, I’ve learned: in foreign markets, the rules you don’t see are often the ones that hurt you most.

Here’s what I’ve done differently since learning about DPPA:

  • 我已停止保存客户照片。哪怕看起来“不错”。哪怕是“感谢”信息。我现在会问自己：“我需要这些数据来运营吗？”如果不需要，就删除。
  • 我在 WhatsApp 个人资料中添加了一条简单的免责声明：“我们仅收集您的电话号码以确认配送。不会与第三方共享任何数据。如有疑问，请直接联系 HeiSongZi。”
  • 我不再使用免费云服务。现在我使用一家本地乌干达供应商，并签署了数据处理协议（DPA）。费用高出 30%。但它为我提供了书面记录。
  • 我对助手进行了培训。不是法律术语。而是这点：“如果有人索要你的姓名、身份证、地址或照片——除非我同意，否则一律不给。”

I didn’t hire a lawyer. I didn’t pay for certification.
I didn’t need to.

What I needed was awareness.

And patience.

Because in Arua, the most valuable compliance tool isn’t software.
It’s silence.

你不会公开自己的数据习惯。 你不会自以为隐身。 你只是停止去做那些可能变成责任的事。

❓ FAQ

Q1: Do I need to register my business with Uganda’s Data Protection Office if I’m a small exporter?

A：不是自动的。只有在“相当大规模”处理个人数据时才必须登记——但“相当大规模”没有官方定义。

  • 步骤：访问 DPPO 网站（dpgo.go.ug）并下载 Form 1（数据控制者通知表）。
  • 路径：填写你的姓名、企业名称、所收集数据的类型以及存储方式。
  • 关键点：即使你不提交，保留已填写并注明日期的表格也能作为你有意遵守规定的记录。
  • 官方渠道：dpgo.go.ug | 电子邮箱：info@dpgo.go.ug

Q2: Can I use WhatsApp or Telegram to communicate with Ugandan customers?

A：可以——但有限制。

  • 步骤：除非加密，否则绝不要将客户号码存储在电子表格或云文件夹中。
  • 路径：使用 WhatsApp 内置的“归档”功能隐藏聊天记录。绝不要截图或转发包含姓名或地址的信息。
  • 要点：如果客户向您发送照片或身份证件，除非获得书面同意，否则请在 48 小时内删除。
  • 官方渠道：WhatsApp Business API 在乌干达尚未广泛可用。避免使用自动备份聊天记录的第三方工具。

Q3: What if my payment processor (like Flutterwave or Paystack) stores customer data?

A：你仍作为数据控制者承担责任。

  • 步骤：索取其《数据处理协议》（DPA）副本。
  • 路径：询问：“你们是否遵守乌干达《数据保护与隐私法》？”
  • 关键点：若对方称“我们符合 GDPR”，请追问：“这是否涵盖乌干达居民？”
  • 官方渠道：联系 DPPO 获取已批准处理方名单（如有）。目前尚无任何处理方获得官方认证。

结论：4条行动建议（非建议，是观察）

  1. 假定每一次数字互动都会留下痕迹。即使是 WhatsApp 上的一条“谢谢”消息也是数据。请把它当作一张已签收的收据来对待。
  2. 删除的内容要多于保留的内容。如果不需要用于记账或交付，就不要存储。
  3. 使用本地服务——即使速度较慢。一家签署了 DPA 的乌干达云服务提供商，也比一家根本不提及乌干达的全球服务商要好。
  4. 记录你的选择。保持一份简单的日志：“日期：2026-04-10 | 操作：从手机删除客户照片 | 原因：无合法依据。”
    你今天可能用不上。但如果明天有人问起，你就有证据证明自己已尽力而为。

我不是来乌干达当合规官的。 我是来卖咖啡滤纸的。 但如果我还想在这里再待五年，我就得弄懂那些看不见的规则—— 那些没人谈论的， 那些没人执行的， 却依然重要的规则。

如果你在阿鲁阿、坎帕拉或东非任何地方经营一家小型跨境业务——
而你在想网络安全合规是否重要——
它确实重要。

Not because the law says so.
Because the world is watching.

And the quietest businesses are the ones that last.

💡 想继续交流？
律咖网是一个专注跨境创业信息分享的小团队，没有销售，没有服务，只有真实经验。
如果你也在乌干达、坦桑尼亚、肯尼亚做小生意，欢迎加入我们的跨境创业交流群，一起讨论选品、本地化、合规踩坑。
添加编辑 JingJing 微信：lvga2015，备注“乌干达合规”，我会拉你进群。
我们不承诺结果，只分享路径。

🔸 延伸阅读

🔸 Australia bans social media accounts for children under 16; Reddit challenges law as unconstitutional 🗞️ 来源: Lvga.com – 📅 2026-05-06
🔗 阅读原文

🔸 Israeli-backed surveillance tech used in Côte d’Ivoire to suppress dissent 🗞️ 来源: Lvga.com – 📅 2026-05-06
🔗 阅读原文

📌 免责声明：
请知悉：律咖网（Lvga.com）是跨境创业公开信息与内容分享平台，不提供法律、税务、会计或合规服务。
本文内容基于公开资料，并由人工编辑与 AI 工具协助整理，仅供信息参考之用，不构成任何法律、投资、移民或商业决策建议。
政策可能随时间变化，请以官方渠道与当地持牌专业人士意见为准。
如内容有需要修订之处，欢迎随时与我联系。