Law No. 73/2018 of 31 August 2018 Governing the Credit Reporting System

Official Gazette nº 37 of 10/09/2018 60 ITEGEKO Nº 73/2018 RYO KU WA 31/08/2018 RIGENA UBURYO BW’IHEREREKANYAMAKURU KU MYENDA ISHAKIRO UMUTWE WA MBERE: INGINGO RUSANGE Ingingo ya mbere: Icyo iri tegeko rigamije Ingingo ya 2: Ibisobanuro by’amagambo UMUTWE WA II: ITANGWA RY’AMAKURU KU MYENDA Ingingo ya 3: Abatanga amakuru Ingingo ya 4: Inshingano z’utanga amakuru Ingingo ya 5: Itangwa ry’amakuru ritegetswe Ingingo ya 6: Itangwa ry’amakuru ku bushake LAW Nº 73/2018 OF 31/08/2018 GOVERNING CREDIT REPORTING SYSTEM TABLE OF CONTENTS CHAPTER ONE: GENERAL PROVISIONS Article One: Purpose of this Law Article 2: Definitions CHAPTER II: CREDIT DATA TRANSMISSION Article 3: Data providers Article 4: Obligations of a data provider Article 5: Mandatory data transmission Article 6: Voluntary data transmission LOI Nº 73/2018 DU 31/08/2018 REGISSANT LE SYSTEME D’INFORMATION SUR LES CREDITS TABLE DES MATIERES CHAPITRE PREMIER: DISPOSITIONS GENERALES Article premier: Objet de la présente loi Article 2: Définitions CHAPITRE II: TRANSMISSION DES DONNÉES SUR LES CREDITS Article 3: Fournisseurs de données Article 4: Obligations d’un fournisseur de données Article 5: Transmission obligatoire des données Article 6: Transmission volontaire de données

Official Gazette nº 37 of 10/09/2018 61 Ingingo ya 7: Ibisabwa mu gutanga amakuru UMUTWE WA III: IMIRIMO Y’UTANGA SERIVISI Z’IBIRO BY’AMAKURU KU MYENDA Icyiciro cya mbere: Kwemererwa gukora imirimo y’utanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 8: Icyemezo cyo gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 9: Ibishingirwaho mu kwemera gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 10: Kutemera ubusabe bwo gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda Icyiciro cya 2: Imikorere y’utanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 11: Inshingano z’utanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 12: Inshingano yo kugira Inama y’Ubutegetsi Ingingo ya 13: Inshingano z’Inama y’Ubutegetsi y’utanga serivisi z’ibiro by’amakuru ku myenda Article 7: Requirements for data transmission CHAPTER III: ACTIVITIES OF AN OPERATOR OF CREDIT BUREAU Section One: License to carry out activities of an operator of credit bureau Article 8: License to carry out activities of a credit bureau Article 9: Licensing criteria for operating a credit bureau Article 10: Rejection of an application for license to operate a credit bureau Section 2: Functioning of an operator of credit bureau Article 11: Obligations of an operator of a credit bureau Article 12: Obligations to have a Board of Directors Article 13: Obligations of the Board of Directors of operator of a credit bureau Article 7: Exigences relatives à la transmission de données CHAPITRE III: ACTIVITES DE L’OPERATEUR DU BUREAU DE CREDIT Section première: Agrément pour l’exploitation d’un opérateur du bureau de crédit Article 8: Agrément d’exploiter un bureau de crédit Article 9: Critères d’octroi d’agrément d’exploiter un bureau de crédit Article 10: Rejet d’une demande d’agrément pour exploiter un bureau de crédit Section 2: Fonctionnement d’un opérateur du bureau de crédit Article 11: Obligations d’un opérateur de bureau de crédit Article 12: Obligations d’avoir un Conseil d’administration Article 13: Obligations du Conseil d’Administration de l’opérateur de bureau de crédit

Official Gazette nº 37 of 10/09/2018 62 Ingingo ya 14: Amahame n’amabwiriza y’imiyoborere Ingingo ya 15: Ibisabwa utanga serivisi z’ibiro by’amakuru ku myenda Icyiciro cya 3: Ihagarikwa ry’utanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 16: Kwamburwa icyemezo cyo gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 17: Ibikorwa iyo gutanga serivisi z’ibiro by’amakuru ku myenda bihagaritswe UMUTWE WA IV: GUKUSANYA, KUBIKA NO GUHEREREKANYA AMAKURU KU MYENDA Icyiciro cya mbere: Gukusanya amakuru ku myenda Ingingo ya 18: Ireme ry’amakuru ashyirwa mu ihererekanyamakuru Ingingo ya 19: Impamvu amakuru akusanywa Ingingo ya 20: Kugena amakuru y’ingenzi ashyirwa mu biro by’amakuru ku myenda Article 14: Corporate governance standards and principles Article 15: Requirements for credit reporting service providers Section 3: Suspension of an operator of a credit bureau Article 16: Revocation of a license to carry out activities of a credit bureau Article 17: Activities in case of winding up a credit bureau CHAPTER IV: COLLECT, CONSERVATION AND CREDIT REPORTING Section One: Collection of credit information Article 18: Data quality of information in credit reporting Article 19: Purpose of information collection Article 20: Determination of key items to be included in the credit bureaus Article 14: Normes et principes de gouvernance Article 15: Exigences aux prestataires de services d’informations sur les crédits Section 3: Suspension d’un opérateur d’un bureau de credit Article 16: Révocation d’un agrément d’exploiter un bureau de crédit Article 17: Activités en cas de cessation de fonctionnement du bureau de crédit CHAPITRE IV: COLLECTE, CONSERVATION ET DIFFUSION D’INFORMATIONS SUR LES CREDITS Section première: Collecte des informations sur les crédits Article 18: Qualité des données d’informations sur les crédits Article 19: Motif de collecte d’informations Article 20: Détermination de données clés à inclure dans les bureaux de crédit

Official Gazette nº 37 of 10/09/2018 63 Ingingo ya 21: Amakuru y’inyongera yemerewe guhabwa utanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 22: Uruhushya rwemera ikusanywa ry’amakuru y’inyongera Icyiciro cya 2: Kubika amakuru ku myenda Ingingo ya 23 : Umutekano w’amakuru Ingingo ya 24: Igihe ntarengwa cyo kubika amakuru Ingingo ya 25: Kugira ibanga Ingingo ya 26 : Irengayobora ku kugira ibanga ku ihererekanyamakuru Icyiciro cya 3: Guhererekanya amakuru ku myenda Ingingo ya 27: Impamvu zemewe mu ihererekanyamakuru Ingingo ya 28: Inshingano yo kumenyesha nyir’amakuru Ingingo ya 29: Uruhushya rwa nyir’amakuru rwemera itangazwa ryayo Ingingo ya 30: Uruhushya rwa nyir’amakuru rwemerera uyakoresha kuyageraho Article 21: Permissible additional information for operator of credit bureaus Article 22: Authorisation for additional data collection Section 2: Conservation of credit information Article 23: Data security Article 24: Time limit for data conservation Article 25: Confidentiality Article 26: Exceptions to confidentiality requirements in exchange of information Section 3: Credit data flow Article 27: Permissible purposes in data flows Article 28: Obligation of informing data subject Article 29: Data subject consent to disclosure Article 30: Data subject consent to user’s access Article 21: Informations additionnelles permises à l’opérateur du bureau de crédit Article 22: Autorisation de collecte de données additionnelles Section 2: Conservation d’information sur les crédits Article 23: Sécurité de données Article 24: Période limite de conservation des données Article 25: Confidentialité Article 26: Exceptions aux exigences de confidentialité dans l’échange des informations Section 3: Flux de données sur les crédits Article 27: Motifs permis lors du flux de données Article 28: Obligation d’informer le sujet des données Article 29: Consentement du sujet de données à la révélation Article 30: Consentement du sujet de données l’accès d’un utilisateur

Official Gazette nº 37 of 10/09/2018 64 Icyiciro cya 4: Ikoresha ry’amakuru ku myenda Ingingo ya 31: Abakoresha serivisi z’ibiro by’amakuru ku myenda bemewe Ingingo ya 32: Ibisabwa ku kugera ku makuru yerekeye imyenda ari mu biro by’amakuru ku myenda Ingingo ya 33: Impamvu zo kubona amakuru ari mu ikusanyirizo ry’amakuru ku myenda Ingingo ya 34: Impamvu zemewe zo kubona serivisi zerekeye amakuru ku myenda Icyiciro 5: Uburenganzira bwa nyir’amakuru Ingingo ya 35: Uburenganzira bwo guhabwa amakuru yuzuye Ingingo ya 36: Uburenganzira bwa nyir’amakuru bwo kugera ku makuru amureba Ingingo ya 37: Uburenganzira bwo gusaba gukosora amakuru Ingingo ya 38: Uburenganzira bwo kunenga amakuru Ingingo ya 39: Kubahiriza uburenganzira bwa nyir’amakuru Section 4: Use of credit information Article 31: Authorised users of credit bureaus services Article 32: Requirements for access to credit information at the credit bureau Article 33: Reasons for access to data which are in credit registry Article 34: Permissible purposes for access to credit reporting services Section 5: Data subject’s rights Article 35: Right to receive complete information Article 36: Right of the data subject to access his/her own information Article 37: Right to request for correction of information Article 38: Right for challenging data Article 39: Respect of rights of data subject Section 4: Utilisation d’informations sur les crédits Article 31: Utilisateurs agréés des services des bureaux de crédit Article 32: Conditions d’accès aux informations de crédit au niveau du bureau de crédit Article 33: Motifs d’accès aux données se trouvant dans la centrale d’information Article 34: Motifs autorisés pour accès aux services d’informations sur les crédits Section 5: Droits du sujet de données Article 35: Droit de réception d’informations complètes Article 36: Droit au sujet de données d’accès à ses propres informations Article 37: Droit de demander la correction d’information Article 38: Droit de contester les données Article 39: Respect des droits du sujet de données

Official Gazette nº 37 of 10/09/2018 65 Ingingo ya 40: Ibigomba kubahirizwa bijyanye n’uburenganzira bwa nyir’amakuru Ingingo ya 41: Ibigize amakuru atangarizwa rubanda UMUTWE WA V: INSHINGANO N’UBUBASHA BYA BANKI NKURU MU BIJYANYE N’IHEREREKANYAMAKURU KU MYENDA Ingingo ya 42: Gukora ubugenzuzi Ingingo ya 43: Ububasha bwa Banki Nkuru mu bijyanye n’ubugenzuzi Ingingo ya 44: Gucunga ibikorwa by’ikusanyirizo ry’amakuru ku myenda Ingingo ya 45: Gushyiraho ingamba z’umutekano mu gutangaza amakuru Ingingo ya 46: Ububasha bwa Banki Nkuru ku bijyanye n’ihererekanya ry’amakuru n’ibindi bihugu Ingingo ya 47: Ububasha bwo gushyiraho amabwiriza Ingingo ya 48: Ubundi bubasha bwa Banki Nkuru Article 40: Requirements concerning the rights of a data subject Article 41: Content of information to be disclosed to the public CHAPTER V: OBLIGATIONS AND POWERS OF CENTRAL BANK IN CREDIT REPORTING Article 42: Carry out inspection Article 43: Supervisory powers of the Central Bank Article 44: Maintenance of the credit registry operations Article 45: Setting up security measures in data disclosure Article 46: Powers of the Central Bank over cross-border data flows Article 47: Regulation powers Article 48: Other powers of the Central Bank Article 40: Conditions en rapport avec les droits du sujet de données Article 41: Contenu d’information à révéler au public CHAPITRE V: OBLIGATIONS ET POUVOIRS DE LA BANQUE CENTRALE EN MATIERE D’INFORMATION SUR LES CREDITS Article 42: Faire l’inspection Article 43: Pouvoir d’inspection de la Banque Centrale Article 44: Maintien des opérations de la centrale d’informations sur les crédits Article 45: Mettre en place les mesures de sécurité dans la révélation de données Article 46: Pouvoirs de la Banque Centrale en matière de flux transfrontaliers de données Article 47: Pouvoirs de régulation Article 48: Autres pouvoirs de la Banque Centrale

Official Gazette nº 37 of 10/09/2018 66 UMUTWE WA VI: INAMA NGISHWANAMA Y’IHEREREKANYAMAKURU KU MYENDA Ingingo ya 49: Ishyirwaho ry’Inama Ngishwanama y’ihererekanyamakuru ku myenda n’abayigize UMUTWE WA VII: AMAKOSA, IBYAHA N’IBIHANO Icyiciro cya mbere: Amakosa n’ibihano byo mu rwego rw’ubutegetsi Ingingo ya 50: Amakosa n’ibihano byo mu rwego rw’ubutegetsi Icyiciro cya 2: Ibyaha n’ibihano Ingingo ya 51: Gukora umurimo w’ihererekanyamakuru ku myenda nta ruhushya Ingingo ya 52: Gukoresha no gutanga amakuru ku myenda mu buriganya Ingingo ya 53: Ibyaha bikozwe n’isosiyete y’ubucuruzi, umuryango, ikigo, ishyirahamwe cyangwa urugaga rw’amashyirahamwe bifite ubuzimagatozi CHAPTER VI: ADVISORY CREDIT REPORTING COUNCIL Article 49: Establishment of the Advisory Credit Reporting Council and its members CHAPTER VII: FAULTS, OFFENCES AND PENALTIES Section One: Faults and administrative sanctions Article 50: Faults and administrative sanctions Section 2: Offences and penalties Article 51: Unlicensed credit reporting services Article 52: Fradulent use and disclosure of credit information Article 53: Offences committed by a company, organization, body, association or an umbrella of associations with legal personality CHAPITRE VI: CONSEIL CONSULTATIF D’INFORMATIONS SUR LES CRÉDITS Article 49: Création du Conseil Consultatif d’Informations sur les Crédits et ses membres CHAPITRE VII: FAUTES, INFRACTIONS ET PEINES Section première: Fautes et sanctions administratives Article 50: Fautes et sanctions administratives Section 2: Infractions et peines Article 51: Prestation de service d’informations sur les crédits sans agrément Article 52: Utilisation et révélation d’informations de crédit de façon frauduleuse Article 53: Infractions commises par une société commerciale, organisation, une entité, une association ou un collectif d’associations dotées de la personnalité juridique

Official Gazette nº 37 of 10/09/2018 67 UMUTWE WA VIII: INGINGO Y’INZIBACYUHO N’IZISOZA Ingingo ya 54: Agaciro k’ibyakozwe Ingingo ya 55: Itegurwa, isuzumwa n’itorwa by’iri tegeko Ingingo ya 56: Ivanwaho ry’itegeko n’ingingo z’amategeko zinyuranyije n’iri tegeko Ingingo ya 57: Igihe iri tegeko ritangira gukurikizwa CHAPTER VIII: TRANSITIONAL AND FINAL PROVISIONS Article 54: Validity of acts performed Article 55: Drafting, consideration and adoption of this Law Article 56: Repealing provision Article 57: Commencement . CHAPITRE VIII: DISPOSITIONS TRANSITOIRES ET FINALES Article 54: Validité des actes accomplis Article 55: Initiation, examen et adoption de la présente loi Article 56: Disposition abrogatoire Article 57: Entrée en vigueur

Official Gazette nº 37 of 10/09/2018 68 ITEGEKO Nº 73/2018 RYO KU WA 31/08/2018 RIGENA UBURYO BW’IHEREREKANYAMAKURU KU MYENDA Twebwe, KAGAME Paul, Perezida wa Repubulika; INTEKO ISHINGA AMATEGEKO YEMEJE NONE NATWE DUHAMIJE, DUTANGAJE ITEGEKO RITEYE RITYA KANDI DUTEGETSE KO RYANDIKWA MU IGAZETI YA LETA YA REPUBULIKA Y’U RWANDA INTEKO ISHINGA AMATEGEKO: Umutwe w’Abadepite, mu nama yawo yo ku wa 27 Nyakanga 2018; Ishingiye ku Itegeko Nshinga rya Repubulika y’u Rwanda ryo mu 2003 ryavuguruwe mu 2015, cyane cyane mu ngingo zaryo, iya 64, iya 69, iya 70, iya 88, iya 90, iya 91, iya 106, iya 119, iya 120, n’iya 176; Isubiye ku Itegeko nº 16/2010 ryo ku wa 07/05/2010 rigena uburyo bw’ihererekanyamakuru ku myenda mu Rwanda; YEMEJE: LAW Nº 73/2018 OF 31/08/2018 GOVERNING CREDIT REPORTING SYSTEM We, KAGAME Paul, President of the Republic; THE PARLIAMENT HAS ADOPTED AND WE SANCTION, PROMULGATE THE FOLLOWING LAW AND ORDER IT BE PUBLISHED IN THE OFFICIAL GAZETTE OF THE REPUBLIC OF RWANDA THE PARLIAMENT: The Chamber of Deputies, in its session of 27 July 2018; Pursuant to the Constitution of the Republic of Rwanda of 2003 revised in 2015, especially in Articles 64, 69, 70, 88, 90, 91, 106, 119, 120 and 176; Having reviewed Law nº 16/2010 of 07/05/2010 governing credit information system in Rwanda; ADOPTS: LOI Nº 73/2018 DU 31/08/2018 REGISSANT LE SYSTEME D’INFORMATION SUR LES CREDITS Nous, KAGAME Paul, Président de la République; LE PARLEMENT A ADOPTE ET NOUS SANCTIONNONS, PROMULGUONS LA LOI DONT LA TENEUR SUIT ET ORDONNONS QU’ELLE SOIT PUBLIEE AU JOURNAL OFFICIEL DE LA REPUBLIQUE DU RWANDA LE PARLEMENT: La Chambre des Députés, en sa séance du 27 juillet 2018; Vu la Constitution de la République du Rwanda de 2003 révisée en 2015, spécialement en ses articles 64, 69, 70, 88, 90, 91, 106, 119, 120 et 176; Revu la Loi nº 16/2010 of 07/05/2010 régissant le système de gestion d’informations sur le crédit au Rwanda; ADOPTE:

Official Gazette nº 37 of 10/09/2018 69 UMUTWE WA MBERE: INGINGO RUSANGE Ingingo ya mbere: Icyo iri tegeko rigamije Iri tegeko rigena uburyo bw’ihererekanyamakuru ku myenda. Ingingo ya 2: Ibisobanuro by’amagambo Muri iri tegeko, amagambo akurikira asobanura: 1° amakuru mabi: amakuru y’umuntu cyangwa ikigo gifite ubuzima gatozi akubiyemo ibimenyetso byo kutubahiriza amasezerano, harimo amakuru yerekeye kutishyura, ibirarane n'ibihombo. Ashobora kuba arimo amakuru yerekeye imanza, uburenganzira bw’ubugwate ku mutungo n’ibyemezo bitangwa n'inkiko cyangwa izindi nzego zemewe; 2° amakuru meza: amakuru y’umuntu cyangwa ikigo gifite ubuzima gatozi akubiyemo ibimenyetso bigaragaza imyitwarire yo kubahiriza amasezerano. Akubiyemo amakuru arambuye agaragaza umwenda wishyuwe, ingano y’inguzanyo yatanzwe, uko zishyuwe, umutungo, imyenda n’ingwate zatanzwe kuri izi nguzanyo; 3° amateka y’uko imyenda yagiye yishyurwa: inyandiko igaragaza imyitwarire ya nyir’amakuru ku bijyanye n’uburyo yishyuye CHAPTER ONE: GENERAL PROVISIONS Article One: Purpose of this Law This Law governs credit reporting system. Article 2: Definitions In this Law, the following terms are defined as follows: 1º negative data: information on data subject with legal personality that covers facts not complying with contractual provisions including statements about payment defaults, arrears and bankruptcies. It may include statements about lawsuits, liens and judgments that are obtained from courts or other competent institutions; 2º positive data: information on data subject with legal personality that covers facts of contractually compliant behaviour. It includes detailed statements about outstanding credit, amount of loans, repayment patterns, assets and liabilities, as well as guarantees or collateral for these loans; 3º credit history: record of data of the subject’s behaviour with regard to payment of his/her past or current loans or CHAPITRE PREMIER: DISPOSITIONS GENERALES Article premier: Objet de la présente loi La présente loi régit le système d’information sur les crédits. Article 2: Définitions Dans la présente loi, les termes ci-après sont définis comme suit: 1° données négatives: informations sur un sujet de données jouissant d’une personnalité juridique couvrant des faits de non respect du contrat, y compris son incapacité de paiement de crédit, d’arriérés de paiement et de faillite. Elles peuvent comprendre les procès, les privilèges sur le patrimoine et les décisions obtenues des tribunaux ou d’autres instances habilitées; 2° données positives: informations sur un sujet de données jouissant d’une personnalité juridique couvrant des faits de comportement de conformité au contrat. Elles comprennent des déclarations détaillées sur le montant de crédit restant, des sommes de prêts, des plans de remboursement, des bilans ainsi que des garanties ou des hypothèques pour ces prêts; 3° historique de crédit: rapport sur le comportement d’un sujet de données en rapport avec le remboursement de ses

Official Gazette nº 37 of 10/09/2018 70 cyangwa yishyura inguzanyo yafashe cyangwa afite cyangwa uburyo yubahiriza izindi nshingano zerekeye kwishyura; 4° ibiro by’amakuru ku myenda: uburyo bw’ihererekanyamakuru ku myenda bufite intego y’ibanze yo gukusanya no kubika amakuru ku myenda aturutse ku bigo biberewemo imyenda n’ahandi, yerekeye abantu ku giti cyabo n’ibigo bifite ubuzimagatozi no gutegura raporo zerekeye imyenda no gutanga izindi serivisi zirengera ababerewemo imyenda cyangwa abandi bantu batanga ibicuruzwa na serivisi ariko kwishyura biteganyijwe nyuma y’igihe; 5° ikusanyirizo ry’amakuru ku myenda: uburyo bw’ihererekanyamakuru ku myenda bufite intego y'ibanze yo gukusanya amakuru yerekeye imyenda ku bantu ku giti cyabo n’ibigo bifite ubuzimagatozi bagenzurwa na Banki Nkuru kugira ngo ayo makuru ayifashe kuzuza neza inshingano zayo; 6° nyir’amakuru: umuntu ku giti cye cyangwa ikigo gifite ubuzima gatozi aho amakuru ye cyangwa yacyo ashobora gukusanywa, gutunganywa no gutangarizwa abandi mu buryo bw’ihererekanyamakuru ku myenda; 7° raporo y’umwenda: serivisi itangwa hifashishijwe uburyo bunyuranye bw’ihererekanyamakuru ku myenda kandi fulfilment of other obligations under any type of credit; 4º credit bureau: type of credit reporting system whose primary objective is to collect and store credit information received from creditors and other sources on individuals and entities with legal personality and develop credit reports and other services to creditors and other persons engaged in providing goods and services subject to deferred payment; 5º credit registry: type of credit reporting system whose main objective consists of collecting credit information on individuals and legal entities, regulated by the Central Bank to assist it in effectively fulfilling its mandate; 6º data subject: an individual or a legal entity whose data may be collected, processed and disclosed to third parties in a credit reporting system; 7º credit report: service provided through credit reporting systems and including emprunts antérieurs ou actuels ou l’exécution d’autres engagements liés au crédit; 4° bureau de crédits: type de système d’informations sur les crédits dont l’objectif principal est de collecter et stocker des informations sur les crédits reçus des créanciers et d’autres sources sur les individus et les entités jouissant d’une personnalité juridique et d’élaborer des rapports de crédit et de fournir d’autres services aux créanciers et aux autres personnes engagées dans la fourniture des biens et des services qui prévoit le paiement différé; 5° centrale d’information sur les crédits: type de système d’informations sur les crédits dont l’objectif principal consiste à collecter les informations sur les crédits des individus et des personnes morales reglementés par la Banque Centrale en vue d’aider cette dernière à remplir efficacement sa mission; 6° sujet de données: tout individu ou personne morale dont les données peuvent être collectées, traitées et révélées à des tierces parties dans un système d’informations sur les crédits; 7° rapport de crédit: service offert à travers divers systèmes d’informations sur les crédits et comprenant des informations

Official Gazette nº 37 of 10/09/2018 71 ikaba ikubiyemo amakuru y’ingenzi yerekeye amateka y’uko imyenda yagiye yishyurwa n’abantu ku giti cyabo cyangwa ibigo bifite ubuzimagatozi; 8° uburyo bw’ihererekanyamakuru ku myenda: inzego, abantu ku giti cyabo, amabwiriza, uburyo bw’imikorere, ibipimo ngenderwaho n’ikoranabuhanga bituma haboneka amakuru y’ingirakamaro mu ifatwa ry’ibyemezo binoze ku masezerano y’umwenda; 9° ukoresha amakuru: umuntu ku giti cye cyangwa ikigo gifite ubuzima gatozi bisaba raporo z’imyenda na dosiye z’imyenda cyangwa izindi serivisi zijyanye na yo abatanga serivisi z’ihererekanyamakuru ku myenda hakurikijwe ibisabwa n’amabwiriza byagenwe hakurikijwe ibiteganywa n’iri tegeko; 10° umwenda: inguzanyo cyangwa amafaranga y’ubwishyu nyir’amakuru agomba ikigo cyishyuza cyangwa undi muntu iyo biteganyijwe ko kwishyurwa bizakorwa nyuma; 11° uruhushya: inyandiko ikozwe kandi yemejwe na nyir’amakuru yemera ku bushake ikusanywa, itunganywa n’itangazwa ry’amakuru amwerekeye; 12° utanga amakuru: uberewemo umwenda n’ikindi kigo baha amakuru utanga serivisi relevant information about credit payment history by individuals or legal entities; 8º credit reporting system: the institutions, individuals, rules, procedures, standards and technology that enable information flows relevant to making informed decisions related to credit agreement; 9º user: an individual or a legal entity that requests credit reports, files or other related services from credit reporting service providers, under pre-defined conditions and rules in accordance with this Law; 10º credit: a loan, any other commitment between a data subject and a creditor or any other person where deferred payment is provided; 11º consent: a document made and confirmed by a data subject accepting collection, processing and disclosure of personal data; 12º data provider: creditors and other entity that, in a structured fashion, supplies pertinentes sur l’historique de remboursement de crédits par des individus ou des personnes morales; 8° système d’informations sur les crédits: les institutions, les individus, les règlements, les procédures, les normes et la technologie qui rendent possible la circulation d’informations pertinentes en vue de prendre des décisions sur les accords de crédit en connaissance de cause; 9° utilisateur: un individu ou une personne morale qui sollicite des rapports sur les crédits, des dossiers ou d’autres services connexes aux prestataires de services d’informations sur les crédits, sous des conditions et des règlements préétablis conformément à la présente loi ; 10° crédit: un emprunt, tout autre engagement entre un sujet de données et un créancier ou toute autre personne pour lequel un paiement différé est prévu; 11° consentement: un accord écrit et confirmé par un sujet de données pour la collecte, le traitement et la révélation de données personnelles; 12° fournisseurs de données: créanciers et autres entités qui fournissent des

Official Gazette nº 37 of 10/09/2018 72 zerekeye ihererekanyamakuru ku myenda mu buryo bwagenwe; 13° utanga serivisi z’ihererekanyamakuru ku myenda: ikigo gifite ubuzima gatozi gicunga uburyo bw’ihererekanyamakuru ku myenda. UMUTWE WA II: ITANGWA RY’AMAKURU KU MYENDA Ingingo ya 3: Abatanga amakuru Abatanga amakuru ni aba bakurikira: 1° banki; 2° ibigo by’ubwishingizi; 3° ibigo by’imari iciriritse; 4° amasosiyete y’itumanaho; 5° inzego z’imirimo ifitiye igihugu akamaro; 6° umucuruzi ; 7° isosiyete itanga serivisi n’ibicuruzwa byishyurwa nyuma y’igihe byatangiwe. Banki Nkuru ishobora kugena abandi batanga amakuru bagomba gushyikiriza amakuru ibiro information to the credit reporting service providers; 13º credit reporting service provider: a legal entity that administers a credit reporting system as a credit registry or credit bureau; CHAPTER II: CREDIT DATA TRANSMISSION Article 3: Data providers Data providers are the following: 1° banks; 2° insurance companies; 3° microfinance institutions; 4° telecommunication companies; 5° public service utilities; 6° trader; 7° a company that offers products and services subject to deferred payments. The Central Bank may designate additional data providers that must transmit data to the credit bureaus or credit registry. informations aux prestataires de services des informations sur les crédits de façon structurée; 13° prestataire de services d’informations sur les crédits: personne morale qui administre un système d’informations sur les crédits comme la centrale d’informations sur les crédits ou le bureau de crédits; CHAPITRE II: TRANSMISSION DES DONNÉES SUR LES CREDITS Article 3: Fournisseurs de données Les fournisseurs de données sont les suivants: 1° les banques; 2° les sociétés d’assurance; 3° les institutions de microfinance; 4° les sociétés de télécommunication; 5° les services d’utilité publique; 6° commerçant; 7° une société commerciale qui offre des produits et des services soumis aux paiements différés. La Banque Centrale peut désigner d’autres fournisseurs de données supplémentaires qui

Official Gazette nº 37 of 10/09/2018 73 by’amakuru ku myenda cyangwa ikusanyirizo ry’amakuru ku myenda. Ingingo ya 4: Inshingano z’utanga amakuru Utanga amakuru afite inshingano zikurikira: 1° gukusanya amakuru ahabwa na nyir’amakuru hagendewe ku masezerano cyangwa inshingano afitanye n’utanga amakuru ; 2° kubika amakuru y’ukuri kandi atarimo amakosa; 3° guha abatanga serivisi z’ihererekanyamakuru ku myenda amakuru hakurikijwe ingengabihe yo gutanga amakuru yateganyijwe. Utanga amakuru yirengera ingaruka zaterwa no guha abatanga serivisi z’ihererekanyamakuru ku myenda amakuru atari ukuri. Ingingo ya 5: Itangwa ry’amakuru ritegetswe Aba bakurikira bategetswe gutanga amakuru ku myenda: Article 4: Obligations of a data provider A data provider has the following obligations: 1° to collect information from the data subject on the basis of contractual obligation with the data provider; 2° to maintain accurate information and without error; 3° to provide information, on a systematic basis, to the credit reporting service providers in accordance with a pre-established schedule of data transmission. A data provider is accountable for any transmission of incorrect information to the credit reporting service providers. Article 5: Mandatory data transmission The following have the obligation to provide credit information: doivent transmettre des données aux bureaux de crédit ou centrales d’informations sur les crédits. Article 4: Obligations d’un fournisseur de données Un fournisseur de données a les obligations suivantes: 1° collecter des informations du sujet de données sur base d’une obligation contractuelle avec le fournisseur de données; 2° conserver des informations justes et ne contenant pas d’erreur; 3° fournir des informations de façon systématique aux prestataires de services d’informations sur les crédits suivant un programme de soumission des données préétabli. Un fournisseur de données est responsable de soumission d’informations incorrectes aux prestataires de services d’informations sur les crédits. Article 5: Transmission obligatoire des données Les personnes suivantes ont l’obligation de fournir des informations sur les crédits :

Official Gazette nº 37 of 10/09/2018 74 1° amabanki, ibigo by’imari iciriritse bitanga inguzanyo cyangwa imyenda bigomba gushyikiriza amakuru ikusanyirizo ry’amakuru ku myenda; 2° amabanki, ibigo by’imari iciriritse bitanga inguzanyo cyangwa imyenda, ibigo by’ubwishingizi, ibigo bitanga serivisi z’itumanaho n’inzego z’imirimo ifitiye igihugu akamaro bigomba gushyikiriza amakuru ku myenda utanga serivisi z’ibiro by’amakuru ku myenda. Abatanga amakuru bagomba guha nyir’amakuru inyandiko yo kumugirira ibanga mbere yo kuyaha utanga serivisi z’ibiro by’amakuru ku myenda cyangwa ikusanyirizo ry’amakuru ku myenda. Abatanga amakuru bavugwa mu gika cya mbere n’icya kabiri by’iyi ngingo bagomba kubikora hakurikijwe amabwiriza agenga itangwa ry’amakuru agenwa na Banki Nkuru. Ingingo ya 6: Itangwa ry’amakuru ku bushake Umucuruzi cyangwa indi sosiyete iyo ari yo yose itanga serivisi zishyurwa nyuma, bashobora guha amakuru utanga serivisi z’ibiro by’amakuru ku myenda hakurikijwe amabwiriza agenga itangwa ry’amakuru akubiye mu gitabo cy’amabwiriza agenga imitegurire y’amakuru asabwa cyateguwe na Banki Nkuru. 1° banks and micro-finance institutions that extend credit or engage in lending must report credit information to the credit registry; 2° banks, micro-finance institutions that extend credit or engage in lending, insurance companies, telecommunication companies and public services utilities must report credit information to the operator of credit bureaus. The data providers are subject to the data subject a privacy notice prior to submitting the information to the respective operator of credit Bureau or to the credit registry. Data providers specified in paragraph one and 2 of this Article must comply with the rules for data transmission issued by the Central Bank. Article 6: Voluntary data transmission Trader or any other company providing services which implies a deferred payment may submit data to the operator of credit Bureau in accordance with rules for data transmission included under data standardization manual developed by the Central Bank. 1° les banques et les institutions de micro￾finance qui donnent des crédits ou des prêts doivent transmettre les informations sur les crédits à la Centrale d’informations sur les crédits; 2° les banques, les institutions de micro￾finances qui donnent des crédits, ou des prêts, les sociétés d’assurance, les opérateurs de télécommunication, les services d’utilité publique doivent transmettre les informations sur les crédits à l’opérateur du bureau de crédits. Les fournisseurs de données délivrent au sujet de données un avis de confidentialité avant de soumettre les informations à l’opérateur du bureau de crédit respectif ou à la centrale d’informations sur les crédits. Les fournisseurs de données visées aux alinéas premier et 2 du présent article doivent le faire conformément au règlement relatif à la transmission des données émis par la Banque Centrale. Article 6: Transmission volontaire de données Le commerçant ainsi que toute autre société commerciale qui offre des services impliquant un paiement différé peuvent soumettre des données à l’opérateur du Bureau des crédits suivant les règles de transmission des données contenues dans le manuel de normalisation des données élaboré par la Banque Nationale.

Official Gazette nº 37 of 10/09/2018 75 Abatanga serivisi z’ihererekanyamakuru ku myenda bashobora kugirana amasezerano n’ibigo bya Leta kugira ngo bakusanye amakuru akenewe mu rwego rwo kunoza imikorere y’utanga serivisi z’ibiro by’amakuru ku myenda cyangwa ikusanyirizo ry’amakuru ku myenda. Ingingo ya 7: Ibisabwa mu gutanga amakuru Utanga amakuru agaragaza neza mu makuru atanga uko nyir’amakuru n’umwishingizi we bahagaze, harimo amakuru meza n’amabi. By’umwihariko, utanga amakuru agomba: 1° gutanga amakuru yerekeye imyenda cyangwa andi makuru akenewe y’ukuri kandi ku gihe; 2° guha amakuru utanga serivisi z’ibiro by’amakuru ku myenda mu buryo bwagenwe; 3° guhuza n’igihe amakuru yerekeye imyenda hakurikijwe imikorere yashyizweho na Banki Nkuru; 4° guha ikusanyirizo ry’amakuru ku myenda amakuru mu gihe cyagenwe kandi agahuza n’igihe amakuru yerekeye imyenda hakurikijwe amabwiriza ya Banki Nkuru iyo utanga amakuru agenzurwa na yo. Credit reporting service providers may enter into agreement with government agencies to collect information considered necessary to enhance the performance of the operator of credit Bureau or credit registry. Article 7: Requirements for data transmission A data provider submits information that reflects the situation of the data subject and the guarantor, including positive and negative data. Specifically, a data provider must: 1° transmit complete, accurate and timely credit information or other relevant data; 2° transmit data to the operator of credit bureau on a systematic basis; 3° update credit information in accordance with procedures developed by the Central Bank; 4° in case of a data provider regulated by the Central Bank, submit data to the credit registry on a systematic basis and update credit information in accordance with regulations of the Central Bank. Les prestataires de services d’informations sur les crédits peuvent conclure un accord avec les institutions publiques en vue de la collecte d’informations nécessaires pour améliorer la performance de l’opérateur du Bureau de crédit ou de la centrale d’informations sur les crédits. Article 7: Exigences relatives à la transmission de données Un fournisseur de données donne des informations qui reflètent de façon juste la situation du sujet de données et du garant, y compris les données positives et les données négatives. Spécialement, un fournisseur de données doit: 1° transmettre des informations sur les crédits ou d’autres données pertinentes de façon complète, juste et en temps opportun; 2° transmettre des données à l’opérateur du bureau de crédit de façon systématique; 3° mettre à jour les informations sur les crédits conformément aux procédures élaborées par la Banque Centrale; 4° dans le cas d’un fournisseur de données réglementé par la Banque Centrale, soumettre des données à la centrale d’informations sur les crédits de façon systématique et mettre à jour les informations

Official Gazette nº 37 of 10/09/2018 76 Abatanga serivisi z’ibiro by’amakuru ku myenda n’iz’ikusanyirizo ry’amakuru ku myenda bashobora gutegura amadosiye y’ibitemewe byerekana amakosa ari mu madosiye y’utanga amakuru kugira ngo akosorwe mbere y’uko ayo madosiye yinjizwa mu bubiko. Banki Nkuru, ishyiraho amabwiriza ashyiraho ibisabwa bya ngombwa ku ireme ry’amakuru atangwa n’abatanga amakuru ku bushake, ibijyanye n’itangwa ry’amakuru no kugera ku makuru y’utanga serivisi z’ibiro by’amakuru ku myenda. UMUTWE WA III: IMIRIMO Y’UTANGA SERIVISI Z’IBIRO BY’AMAKURU KU MYENDA Icyiciro cya mbere: Kwemererwa gukora imirimo y’utanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 8: Icyemezo cyo gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda Icyemezo cyo gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda gitangwa na Banki Nkuru. Icyemezo cyo gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda ntigishobora guhererekanywa. Operators of Credit bureau and the credit registry may generate rejected files reflecting the errors included in the data provider’s files for their correction before those files are uploaded. The Central Bank issues a regulation establishing the minimum requirements on data quality for voluntary data providers regarding transmission of data and access of data from the operator of credit bureau. CHAPTER III: ACTIVITIES OF AN OPERATOR OF CREDIT BUREAU Section One: License to carry out activities of an operator of credit bureau Article 8: License to carry out activities of a credit bureau A license to engage in operating credit bureau is issued by the Central Bank. A license to operate a credit bureau is not transferable. sur les crédits conformément aux règlements de la Banque Centrale. Les opérateurs du bureau de crédit et la centrale d’informations sur les crédits peuvent créer des dossiers de rejet reflétant les erreurs contenus dans les dossiers des fournisseurs de données en vue de leur correction avant que les dossiers soient téléchargés. La Banque Centrale établit par un règlement des exigences minimales de qualité des données pour les fournisseurs de données volontaires en ce qui concerne la transmission des données et l’accès aux données en provenance de l’opérateur du bureau de crédit. CHAPITRE III: ACTIVITES DE L’OPERATEUR DU BUREAU DE CREDIT Section première: Agrément pour l’exploitation d’un opérateur du bureau de crédit Article 8: Agrément d’exploiter un bureau de crédit L‘agrément pour s’engager dans l’exploitation du bureau de crédit est délivré par la Banque Centrale. Un agrément d’exploiter un bureau de crédit n’est pas transférable.

Official Gazette nº 37 of 10/09/2018 77 Ukora imirimo yo gutanga serivisi z’Ibiro by’amakuru ku myenda wahawe icyemezo ntiyemerewe gukora ibindi bikorwa bidateganywa n’iri tegeko cyangwa bitemejwe na Banki Nkuru. Ingingo ya 9: Ibishingirwaho mu kwemera gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda Banki Nkuru isuzuma ko usaba gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda yujuje ibi bikurikira: 1° kuba ari isosiyete y’ubucuruzi yanditswe mu Rwanda hakurikijwe itegeko rigenga amasosiyete y’ubucuruzi; 2° iyo umunyamigabane ari banki, ikigo cy'imari iciriritse, ikindi kigo cy’imari cyangwa undi wese ukoresha amakuru bigomba kuba bitarengeje cumi na gatanu ku ijana (15%) by’imigabane cyangwa uburenganzira bwo gutora mu isosiyete isaba; 3° afite imari shingiro yishyuwe iteganywa na Banki Nkuru; 4° afite gahunda y’ishoramari ry’imari shingiro hakurikijwe amabwiriza ya Banki Nkuru agenga ishoramari ry’abatanga serivisi z’ibiro by’amakuru ku myenda; The operator of credit bureau cannot engage in activities other than those specified in this Law or as approved by the Central Bank. Article 9: Licensing criteria for operating a credit bureau The Central Bank assesses whether a person who applies for a license to operate a credit bureau fulfils the following: 1° to be a company incorporated in Rwanda according to the Law relating to companies; 2° where a shareholder is a bank, a microfinance institution, any other financial institution or any other use, such a shareholder should not have more than fifteen per cent (15%) of shares or the voting rights in the proposed credit bureau. 3° to have the paid-up capital prescribed by the Central Bank; 4° to have an investment plan of the capital that complies with the Central Bank regulation governing investment of operators of credit bureaus; L’opérateur du bureau de crédit ne peut s’engager dans des activités autres que celles spécifiées dans la présente loi ou tel qu’approuvé par la Banque Centrale. Article 9: Critères d’octroi d’un Agrément d’exploiter un bureau de crédit La Banque Centrale examine qu’une personne qui demande un agrément pour l’exploitation d’un bureau de crédit remplit les conditions suivantes: 1° être une société commerciale enregistrée au Rwanda conformément à la loi regissant les sociétés commerciales; 2° lorsque l’actionnaire est une banque, une institution de microfinance, une autre institution financière, ou un autre utilisateur, cet actionnaire ne doit pas disposer de plus de quinze pour cent (15%) des actions ou des droits de vote dans le bureau de crédit proposé. 3° avoir payé le capital prescrit par la Banque Centrale; 4° avoir un plan d’investissement de son capital qui est conforme au règlement de la Banque Centrale régissant les investissements des opérateurs des bureaux de crédit;

Official Gazette nº 37 of 10/09/2018 78 5° akorera mu mucyo mu birebana n’imigabane n’imiyoborere by’isosiyete y’ubucuruzi; 6° afite abakozi n’ubushobozi byo gukora bikwiriye bizatuma akora neza kandi agatunganya inshingano ze ku buryo bunoze kandi butekanye; 7° afite aho akorera, imiyoboro n’ibikorwaremezo byujuje ibisabwa byo gucunga no kubika amakuru bijyanye n’ibikorwa usaba ateganya gukora; 8° afite uburyo bunoze bw’umutekano mu rwego rwo kurinda itakara, ihindurwa, iyangirika ry’amakuru cyangwa ko amakuru n’umuyoboro bigerwamo n’abatabyemerewe; Ibindi bishingirwaho mu kwemera gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda bigenwa n’amabwiriza ya Banki Nkuru. Ingingo ya 10: Kutemera ubusabe bwo gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda Banki Nkuru ishobora kutemera ubusabe bwo gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda iyo: 1° usaba atujuje ibisabwa; 5° to have sufficient transparency in the ownership structure and governance arrangements of the company; 6° to have human and operational resources that are adequate to perform its function efficiently and safely; 7° to have premises, networks, data governance and supporting infrastructure which are suitable for the intended activities; 8° to have adequate security systems in place to avoid loss, corruption, destruction or unauthorized access to data and network; Other licensing criteria of a credit bureau are determined by the regulations of the Central Bank. Article 10: Rejection of an application for license to operate a credit bureau The Central Bank may reject an application for a license to carry on credit bureau business if: 1° the applicant fails to satisfy any requirement; 5° faire preuve de transparence suffisante en ce qui concerne la structure de son actionnariat et dans la gouvernance de la société commerciale; 6° disposer de ressources humaines et opérationnelles adéquates pour mener ses fonctions de façon efficace et sûre; 7° disposer des locaux, des réseaux, des infrastructures de gouvernance et de support de données qui sont adaptés aux activités envisagées; 8° disposer des systèmes de sécurité satisfaisants en place pour éviter les pertes, la corruption, la destruction ou l’accès non autorisé aux données et au réseau; Les autres critères d’octroi d’un agrément pour l’exploitation du bureau de crédit sont déterminés par les règlements de la Banque Centrale. Article 10: Rejet d’une demande d’agrément pour exploiter un bureau de crédit La Banque Centrale peut rejeter une demande d’agrément pour exploiter un bureau de crédit d’un requérant si: 1° le requérant ne parvient pas à satisfaire les conditions préalables;

Official Gazette nº 37 of 10/09/2018 79 2° mu busabe harimo amakuru atuzuye cyangwa amakosa akomeye; Iyo mu busabe harimo amakosa cyangwa amakuru atuzuye, Banki Nkuru ibimenyesha usaba mu nyandiko, mu gihe cy’amezi abiri (2) nyuma yo kwakira ubusabe, kandi ikamusaba gukosora amakosa cyangwa kuzuza amakuru atuzuye mu gihe cy’iminsi mirongo itatu (30) ibarwa kuva ku munsi yakiriyeho imenyesha. Iyo usaba kwemererwa adatanze amakuru yuzuye cyangwa adakosoye amakosa ari mu busabe bwe mu gihe giteganywa mu gika cya 2 cy’iyi ngingo, Banki Nkuru imumenyesha mu nyandiko icyemezo cyayo cya nyuma cy’uko ubusabe bwe butemewe. Icyiciro cya 2: Imikorere y’utanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 11: Inshingano z’utanga serivisi z’ibiro by’amakuru ku myenda Utanga serivisi z’ibiro by’amakuru ku myenda ashinzwe gukusanya, gusuzuma no gukwirakwiza amakuru hagamijwe kureba ubushobozi n’imyitwarire y’abantu n’ibigo mu bijyanye no kwishyura. Utanga serivisi z’ibiro by’amakuru ku myenda agomba kwitwararika ko serivisi atanga ifite umutekano, yizewe, kandi inoze, kandi akagenzura ko ibiro by’amakuru bifite ubushobozi bwo gutanga raporo zerekeye imyenda n’ibindi bicuruzwa na 2° there is incomplete information or a material error in the application; When there is incomplete information or a material error in the application, the Central Bank, within two (2) months after receiving the application, notifies the applicant to rectify the situation within thirty (30) calendar days after receipt of the notification. Where the applicant fails to provide complete information or rectify material error within a period provided in paragraph 2 of this Article, the Central Bank communicates to the applicant in writing the final decision of rejection of the application. Section 2: Functioning of credit bureau Article 11: Obligations of an operator of a credit bureau An operator of a credit bureau collects, processes and disseminates data for the purpose of evaluating the creditworthiness or re-payment behaviour of individuals and legal entities. An operator of a credit bureau ensures that the service is secure, reliable, efficient, and that the credit reporting solution is capable of delivering credit reports and any other related products and 2° il y a une information incomplète ou une erreur matérielle dans la demande; S’il y a une information incomplète ou une erreur matérielle dans la demande, la Banque Centrale notifie au requérant dans un délai de deux (2) mois après la réception de la demande, de rectifier la situation dans les trente (30) jours calendriers suivant la notification. Si le requérant ne donne pas d’informations complète ou ne réctifie pas les erreurs matérielles dans le délai prévu à l’alinéa 2 du présent article, la Banque Centrale lui communique par écrit la décision finale de rejet de la demande. Section 2: Fonctionnement d’un bureau de crédit Article 11: Obligations d’un opérateur de bureau de crédit Un opérateur de bureau de crédit collecte, traite et diffuse des données dans l’objectif d’évaluation de la solvabilité ou du comportement de remboursement des individus et des personnes morales. Un opérateur de bureau de crédit s’assure que le service est sûr, digne de confiance, efficace et que la solution d’informations sur les crédits est entièrement en mesure de transmettre des rapports de crédit et tous autres produits et services y

Official Gazette nº 37 of 10/09/2018 80 serivisi byose bijyanye nazo hakurikijwe ibiteganywa n’iri tegeko. Ingingo ya 12: Inshingano yo kugira Inama y’Ubutegetsi Utanga serivisi z’ibiro by’amakuru ku myenda agomba kugira Inama y’Ubutegetsi igizwe n’abantu basobanukiwe muri rusange imirimo n’uburyo bw’ikoranabuhanga by’ibiro by’amakuru ku myenda. Umubare w’abagize Inama y’Ubutegetsi y’utanga serivisi z’ibiro by’amakuru ku myenda ugenwa n’amabwiriza ya Banki Nkuru. Ingingo ya 13: Inshingano z’Inama y’Ubutegetsi y’utanga serivisi z’ibiro by’amakuru ku myenda Bitabangamiye ibiteganywa n’itegeko rigenga amasosiyete y’ubucuruzi, Inama y’Ubutegetsi y’utanga serivisi z’ibiro by’amakuru ku myenda ifite inshingano zo kugenzura ko: 1° ibikorwa by' utanga serivisi z’ibiro by’amakuru ku myenda bikorwa hakurikijwe ibiteganywa n’iri tegeko; 2° imiyoborere y’utanga serivisi z’ibiro by’amakuru ku myenda yita ku nshingano, ububasha, itumanaho n’itangwa ry’ububasha; services in compliance with the provisions of this Law. Article 12: Obligations to have a Board of Directors An operator of a credit bureau must have a Board of Directors consisting of members who must have an overall understanding of the operations and information technology systems of the credit bureau. The number of members of the Board of Directors for the Credit Bureau is determined by the regulations of the Central Bank. Article 13: Obligations of the Board of Directors of operator of a credit bureau Without prejudice to the provisions of the Law governing companies, the Board of Directors of operator of a credit bureau has obligations to ensure that: 1° the operator of credit bureau’s activities are conducted in full compliance with the provisions of this Law; 2° governance of the operator of credit bureau takes into account responsibility, authority, communication and delegation of powers; relatifs conformément aux dispositions de la présente loi. Article 12: Obligations d’avoir un Conseil d’administration Un opérateur de bureau de crédit doit avoir un Conseil d’Administration composé de membres qui doivent avoir une compréhension globale des opérations et des systèmes de technologie d’information du bureau de crédit. Le nombre des membres du Conseil d’Administration d’un bureau de crédit est déterminé par les règlements de la Banque centrale. Article 13: Obligations du Conseil d’Administration de l’opérateur de bureau de crédit Sans préjudice des dispositions de la loi régissant les sociétés commerciales, le Conseil d’administration de l’opérateur de bureau de crédit a les obligations de s’assurer que: 1° les activités de l’opérateur du bureau de crédit sont menées conformément aux dispositions de la présente loi; 2° la gouvernance de l’opérateur du bureau de crédit prend en considération la responsabilité, l’autorité, la communication et la délégation de pouvoirs;

Official Gazette nº 37 of 10/09/2018 81 3° ibikorwa byerekeye ubusugire bw’amakuru, umutekano wayo, kuyageraho, ikomeza ry’ibikorwa, gutegura ibicuruzwa bishya, imicungire y’amakuru n’ibijyanye no kugirira ibanga amakuru byitabwaho uko bikwiye; 4° ibyemezo bifatwa n’utanga serivisi z’ibiro by’amakuru ku myenda mu bijyanye n’ishoramari, kwifashisha ibindi bigo mu gukora imirimo, imicungire y’ibijyanye n’ikoranabuhanga, gutegura ibicuruzwa bishya, no gukemura ibibazo bya ba nyir’amakuru bikorwa mu mucyo kandi mu buryo bwumvikana; 5° ibipimo by’ubuziranenge mpuzamahanga byashyizweho n’Umuryango Mpuzamahanga utsura Ubuziranenge byubahirizwa. Ingingo ya 14: Amahame n’amabwiriza y’imiyoborere Banki Nkuru, ikoresheje amabwiriza, ishyiraho amahame n’amabwiriza y’imiyoborere agenga utanga serivisi z’ibiro by’amakuru ku myenda. Ingingo ya 15: Ibisabwa utanga serivisi z’ibiro by’amakuru ku myenda Utanga serivisi z’ibiro by’amakuru ku myenda asabwa ibi bikurikira: 1° kuba afite ikoranabuhanga, amabwiriza agenga ihererekanyamakuru ku muyoboro n’uburyo bw’imikorere binoze kugira ngo 3° relevant aspects related to data integrity, security, accessibility, business continuity, product development, data governance and privacy are adequately addressed; 4° decisions made by the operator of credit bureaus in respect to investment, outsourcing of processes, information technology management, product development and data subject’s complaints handling are transparent and clear; 5° international standards developed by International Organization for Standardisation are complied with. Article 14: Corporate governance standards and principles The Central Bank issues by regulation corporate governance principles and standards that guide the operator of a credit bureau. Article 15: Requirements for credit reporting service providers Operator of credit bureau must: 1° have adequate technology, protocols and procedures to ensure that data uploaded into the credit reporting system is accurate; 3° les aspects pertinents relatifs à l’integrité, la sécurité, l’accessibilité des données, à la continuité des affaires économiques, au développement des produits, la gouvernance et au caractère privé des données ont été traités de façon appropriée; 4° les décisions de l’opérateur du bureau de crédit eu égard aux investissements, externalisation des processus, la gestion de la technologie informatique, le développement des produits et le traitement des réclamations du sujet des données sont prises d’une manière transparente et claire; 5° les normes internationales élaborées par l'Organisation internationale de normalisation sont respectées. Article 14: Normes et principes de gouvernance La Banque Centrale édicte, par voie de règlement des principes et des normes de gouvernance qui guident l’opérateur du bureau de crédit. Article 15: Exigences aux prestataires de services d’informations sur les crédits L’opérateur du bureau de crédit doit: 1° avoir une technologie, des protocoles, et des procédures appropriés permettant de s’assurer que les données téléchargées dans

Official Gazette nº 37 of 10/09/2018 82 amakuru ajya mu buryo bw’ihererekanyamakuru ku myenda abe yizewe ko ari ukuri; 2° gutanga raporo ku myenda n’izindi serivisi zijyanye na yo kandi zemewe hakurikijwe ibiteganywa n’iri tegeko; 3° gushyiraho amabwiriza anoze agenga itumanaho n’ihuzwa ry’imiyoboro kugira ngo bakire amakuru bahabwa n’abatanga amakuru mu buryo bunoze kandi butekanye; 4° gufata ingamba mu kwitwararika ko amakuru bakiriye yerekeye nyir’amakuru arindwa gutakara mu buryo ubwo ari bwo bwose no kugerwaho n’abatabyemerewe; 5° kwitwararika kugira ngo abanyamigabane, abagize Inama y’Ubutegetsi, abakozi bakuru, abakozi basanzwe cyangwa intumwa, bubahirize inshingano ihoraho y’ibanga rigirirwa amakuru bahawe hakurikijwe ibiteganywa n’iri tegeko; 6° gushyiraho amabwiriza n’ibikoresho byifashishwa mu kwemeza amakuru hagamijwe kunoza ireme ry’amakuru abitse mu bubiko bw’amakuru butandukanye; 7° gushyiraho ishami rishinzwe kurengera ba nyir’ amakuru rikemura ibibazo byabo 2° provide credit reports and any other related and permitted services in accordance with the provisions of this Law; 3° develop adequate communication and connectivity protocols to effectively and safely receive data from data providers; 4° take steps to ensure that the data subject information collected is duly protected against any loss and unauthorized access; 5° ensure that their shareholders, membres of Board of Directors, senior officers, employees or agents, observe a permanent obligation of confidentiality with regard to the information provided to them in accordance with the provisions of this Law; 6° develop validation rules and tools ensuring adequate data quality in the respective databases; 7° establish a data subjects protection unit to handle data subject inquiries related to the credit reporting system they operate; le système d’informations sur les crédits sont justes; 2° donner des rapports sur les crédits ainsi que tous les autres services connexes et autorisés conformément aux dispositions de la présente loi; 3° élaborer une communication et des protocoles de connectivité adéquats permettant de recevoir les données des fournisseurs de données de façon efficace et sûre; 4° prendre des mesures pour s’assurer que les informations collectées concernant le sujet de données sont dûment protégées contre toute perte et accès non autorisé; 5° s’assurer que leurs actionnaires, les membres du Conseil d’administration, les hauts cadres, les employés ou les agents observent une obligation permanente de confidentialité eu égard aux informations qui leur sont founies conformément aux dispositions de la présente loi; 6° élaborer des règles et des outils de validation pour s’assurer de la qualité appropriée dans les bases de données respectives; 7° établir une unité de protection des sujets de données chargée de traiter les requêtes des

Official Gazette nº 37 of 10/09/2018 83 bijyanye n’uburyo bw’ihererekanyamakuru ku myenda; 8° kubika inyandiko zose zerekeranye na serivisi atanga. Icyiciro cya 3: Ihagarikwa ry’utanga serivisi z’ibiro by’amakuru ku myenda Ingingo ya 16: Kwamburwa icyemezo cyo gukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda Banki Nkuru ishobora gukuraho icyemezo yahaye ukora imirimo yo gutanga serivisi z’ibiro by’amakuru ku myenda iyo: 1° adatangiye ibikorwa mu gihe cy’amezi cumi n’abiri (12) akurikirana uhereye ku itariki icyemezo cyatangiweho; 2° yahawe uruhushya hashingiwe ku imenyekanisha ritari ukuri cyangwa ririmo uburiganya; 3° asabye mu nyandiko ko icyemezo kivanwaho; 4° atacyujuje ibishingirwaho mu itangwa ry’icyemezo; 5° bigaragaye ko atubahiriza amategeko cyangwa anyuranya n’amabwiriza ya Banki Nkuru ku buryo bihungabanya ubushobozi bwe bwo kwishyura, imitunganyirize 8° maintain record of all services provided. Section 3: Suspension of an operator of a credit bureau Article 16: Revocation of a license to carry out activities of a credit bureau The Central Bank may revoke a license granted to an operator of a credit bureau if the operator: 1° has not commenced operations within twelve (12) consecutive months from the date on which the license was granted; 2° has obtained the license through false statements or fraudulent means; 3° makes a written request to have the license revoked; 4° no longer meets the applicable licensing criteria; 5° is found to be in violation of law or in material breach of any regulation of the Central Bank, which affects its solvency, the effectiveness of its operations or public trust. sujets de données en rapport avec le système d’informations sur les crédits ; 8° garder les archives de tous les services prestés. Section 3: Suspension d’un opérateur d’un bureau de credit Article 16: Révocation d’un agrément d’exploiter un bureau de crédit La Banque Centrale peut révoquer l’agrément accordé à un opérateur de bureau de crédit si l’opérateur: 1° n’a pas commencé ses opérations dans un délai de douze (12) mois consécutifs à compter de la date d’octroi de l’agrément; 2° a obtenu l’agrément à la suite de déclarations fausses ou de moyens frauduleux; 3° demande par écrit la révocation de l’agrément; 4° ne remplit plus les critères d’agrément; 5° est déclaré en violation d'une loi ou en violation substantielle d'un règlement de la Banque centrale affectant ainsi sa solvabilité, l'efficacité de ses opérations ou sa crédibilité.

Official Gazette nº 37 of 10/09/2018 84 y’ibikorwa bye cyangwa icyizere afitiwe na rubanda. Iyo Banki Nkuru ikuyeho icyemezo, ihita ibimenyesha utanga serivisi z’ibiro by’amakuru ku myenda igaragaza n’impamvu. Ingingo ya 17: Ibikorwa iyo gutanga serivisi z’ibiro by’amakuru ku myenda bihagaritswe Iyo utanga serivisi z’ibiro by’amakuru ku myenda ahagaritse burundu ibikorwa bye biturutse ku bushake bwe, icyemezo cy’urukiko cyangwa Banki Nkuru imwambuye icyemezo cyo gukora, ashyikiriza Banki Nkuru ububiko bwose bw’amakuru yakusanyije na kopi z’ingoboka z’amakuru yerekeye ba nyir’amakuru. Ububiko bw’amakuru butangwa buherekejwe n’ibisobanuro n’inyandiko irambuye ku mikoreshereze yabwo bigamije gufasha kwinjiza nta ngorane ubwo bubiko bw’amakuru mu buryo bukoreshwa n’ibiro by’amakuru ku myenda busimbura ibiro by’amakuru ku myenda bigiye gufunga. Banki Nkuru, imaze gusuzuma ubusugire bw’amakuru yahawe, itegeka utanga serivisi z’ibiro by’amakuru ku myenda wahagaritse burundu imirimo gusiba amakuru yose yerekeye ba nyir’amakuru abitswe mu bubiko bwe bwose bukoresha za mudasobwa no kuyiha inyandiko zemeza iryo siba. When the Central Bank decides to revoke a license, it immediately notifies the operator of a credit bureau provider of its decision and the grounds thereof. Article 17: Activities in case of winding up a credit bureau If an operator of a credit bureau winds up its operations either voluntarily or involuntarily, following a court decision or after the Central Bank revokes the license, the operator of a credit bureau delivers the complete database and backup copies of data subjects’ information to the Central Bank. The database is accompanied by sufficient technical instructions and support to ensure that the database may be successfully imported into a successor credit bureau system. After verification of the integrity of the database received, the Central Bank orders the operator of a credit bureau that wound up its operations to erase all database records of data subjects’ information from all its storage and provide sufficient documentation to the Central Bank evidencing that erasure. Lorsque la Banque Centrale prend la décision de révoquer un agrément, elle notifie immédiatement le prestataire de services de bureau de crédit de sa décision motivée. Article 17: Activités en cas de cessation de fonctionnement du bureau de crédit Si l’opérateur de bureau de crédit procède à la liquidation de ses opérations volontairement ou suite à une décision judiciaire, ou lorsque la Banque Centrale révoque son agrément, l’opérateur de bureau de crédit, remet à la Banque Centrale toute la base des données ainsi que des copies de secours d’informations concernant les sujets de données. La base de données est accompagnée d’instructions et appuis techniques suffisants permettant de s’assurer qu’elle peut être importée avec succès dans un système de bureau de crédit successeur. Après vérification de l’intégrité de la base des données lui remise, la Banque Centrale ordonne à l’opérateur du bureau de crédit liquidé de radier de tous ses stockages de données toutes les archives de la base des données contenant les informations sur les sujets de données et de lui

Official Gazette nº 37 of 10/09/2018 85 UMUTWE WA IV: GUKUSANYA, KUBIKA NO GUHEREREKANYA AMAKURU KU MYENDA Icyiciro cya mbere: Gukusanya amakuru ku myenda Ingingo ya 18: Ireme ry’amakuru ashyirwa mu ihererekanyamakuru Utanga serivisi z’ihererekanyamakuru ku myenda acunga amakuru y’ukuri, atarimo amakosa kandi ahuje n’igihe. Ayo makuru ku myenda agomba kuba: 1° yakuwe ahantu hemewe n’amategeko kandi hizewe; 2° akenewe mu kubona umwirondoro w’ukuri wa nyirayo, mu rwego rwo gusuzuma ubushobozi bwe bwo kwishyura no kwegeranya amateka y’umwenda we. Ingingo ya 19: Impamvu amakuru akusanywa Amakuru akusanywa kubera impamvu zikurikira: 1º kugaragaza nyir’amakuru; CHAPTER IV: COLLECT, CONSERVATION AND CREDIT REPORTING Section One: Collection of credit information Article 18: Data quality of information in credit reporting The credit reporting service provider administers information that is accurate, without error and updated. Data in credit reporting system must be: 1° collected from lawful and relevant sources; 2° necessary and relevant to obtain valid identification of the data subject, to evaluate the credit worthiness of the data subject and build its credit history. Article 19: Purpose of information collection The information is collected for the purpose of: 1° identifying the data subject; fournir une documentation suffisante prouvant cette radiation. CHAPITRE IV: COLLECTE, CONSERVATION ET DIFFUSION D’INFORMATIONS SUR LES CREDITS Section première: Collecte des informations sur les crédits Article 18: Qualité des données d’informations sur les crédits Un prestataire de services d’informations sur les crédits donne des informations qui sont justes, sans erreurs et mises à jour. Ces données sur les crédits doivent être: 1° collectées auprès des sources légitimes et pertinentes; 2° nécessaires et pertinentes pour une identification valable du sujet de données, pour évaluer sa solvabilité et pour etablir l’historique de son crédit. Article 19: Motif de collecte d’informations Les informations sont collectées pour des motifs suivants: 1° identifier le sujet de données;

Official Gazette nº 37 of 10/09/2018 86 2º kugaragaza imyitwarire ya nyir’amakuru mu bijyanye no kwishyura imyenda, inguzanyo n’uko yubahiriza izindi nshingano zo mu rwego rw’imari; 3º koroshya igenzura rinoze ry’imyitwarire ya nyirayo mu bijyanye no kwishyura n’iyubahirizwa ry’andi masezerano arebana n’iby’imari ateganya ubwishyu bukorwa mu bihe byagenwe. By’umwihariko Banki Nkuru ikusanya amakuru ku myenda igamije ibi bikurikira: 1° kumenya amakuru yerekeye imyenda n’inguzanyo zitangwa n’amabanki n’ibindi bigo by’imari bigenzurwa na Banki Nkuru; 2° kugenzura ireme ry’amakuru yakuwe mu batanga amakuru no mu bigo bikusanya amakuru yerekeye imyenda; 3° gushyigikira igenzura rikorerwa urwego rw’imari n’amabanki n’amabwiriza rusange n’indi mirimo ya Banki Nkuru bikenewe kugira ngo inshingano yayo ishyirwe mu bikorwa uko bikwiye. Banki Nkuru ishobora gutegura ibitabo by’imikorere bigenga ibikorwa by’ikusanyirizo ry’amakuru ku myenda. 2° reflecting the data subject’s repayment behaviour of credit, loan and fulfilment of other financial obligations; 3° facilitating an effective monitoring of the data subject’s payment behaviour and fulfilment of commitments as regards its financial obligations implying regular payment. Particulay, the Central Bank collects information for the following purpose: 1° collect information related to any credits and loans provided by all banks and other financial institutions regulated by the Central Bank; 2° monitor the quality of information collected from data providers and credit bureaus; 3° support banking and financial supervision and regulation and any other Central Bank function as may be necessary for a successful fulfilment of its mission. The Central Bank may issue operating manuals governing operations of the credit registry. 2° refléter le comportement de remboursement de crédits, de prêts et d’exécution des autres obligations financières du sujet de données; 3° faciliter le suivi efficace du comportement de remboursement du sujet de données ainsi que du respect de ses engagements en ce qui concerne ses obligations financières qui impliquent un remboursement régulier. La Banque Centrale opère une collecte d’informations sur les crédits pour des objectifs suivants: 1° collecter des informations relatives à tous les crédits et prêts consentis par toutes les banques et autres institutions financières réglementées par la Banque Centrale; 2° faire le suivi de la qualité des informations collectées auprès des fournisseurs des données et des bureaux de crédit; 3° appuyer la supervision bancaire et la règlementation financière et assumer toute autre fonction de la Banque Centrale autant que nécessaire en vue du bon accomplissement de sa mission. La Banque Centrale peut mettre en place des manuels opérationnels régissant les opérations de la centrale d’informations sur les crédits.

Official Gazette nº 37 of 10/09/2018 87 Ingingo ya 20: Kugena amakuru y’ingenzi ashyirwa mu biro by’amakuru ku myenda Banki Nkuru igena, ikoresheje inyandiko y’icyitegererezo amakuru y’ingenzi ategetswe ashyirwa mu biro by’amakuru ku myenda. Amakuru y’ingenzi agomba kuba nibura akubiyemo amakuru atuma ababerewemo umwenda babasha, mu buryo bukwiye kandi bwihariye, kugaragaza nyir’amakuru mu buryo bw’ihererekanyamakuru ku myenda n’amakuru arambuye yerekeye imyenda atuma hategurwa amateka y’imyenda ya nyir’amakuru. Banki Nkuru, ikoresheje amabwiriza, ishobora kugena andi makuru agomba gukusanywa n’abatanga amakuru ashyikirizwa abatanga serivisi z’ihererekanyamakuru ku myenda. Ingingo ya 21: Amakuru y’inyongera yemerewe guhabwa utanga serivisi z’ibiro by’amakuru ku myenda Utanga serivisi z’ibiro by’amakuru ku myenda ashobora gukusanya amakuru y’inyongera ayahawe n’abandi bayafite, barimo: 1° inkiko, ku manza zerekeye imyenda n’ibihombo; 2° ikigo cyandika ingwate ku makuru yerekeye ingwate; Article 20: Determination of key items to be included in the credit bureaus The Central Bank, in a standard data format, determines the key items to be included in the credit bureaus. The key items must at the minimum, contain information that allows creditors to adequately and uniquely identify the data subject in the credit reporting system and credit information details that enable the development of a data subject’s credit history. The Central Bank may, by a regulation, determine additional data that must be collected by data providers and submitted to the credit reporting service providers. Article 21: Permissible additional information for operator of credit bureaus Operator of credit bureau may collect additional information from other data sources including: 1° courts on judgments related to debts and insolvency proceedings; 2° the collateral registry office on information related to collaterals; Article 20: Détermination de données clés à inclure dans les bureaux de crédit La Banque Centrale détermine, dans un format de données standard, les données clés à inclure dans les bureaux de crédit. Les données clés doivent au minimum contenir les informations qui permettent aux créanciers d’identifier de façon suffisante et unique le sujet de données dans le système d’informations sur les crédits et les détails d’informations sur les crédits qui rendent possible l’élaboration des antécédents de crédit du sujet de données. La Banque Centrale peut au moyen d’un règlement déterminer les données additionnelles devant être collectées par les fournisseurs de données et remises aux prestataires de services d’informations sur les crédits. Article 21: Informations additionnelles permises à l’opérateur du bureau de crédit Un opérateur du bureau de crédit peut collecter les informations additionnelles d’autres sources de données y compris: 1° les tribunaux pour les jugements concernant les dettes et les procédures d’insolvabilité; 2° l’office de registre des sûretés pour les informations en rapport avec les sûretés;

Official Gazette nº 37 of 10/09/2018 88 3° ikigo cyandika amasosiyete y’ubucuruzi ku makuru arebana na ba nyir’ayo masosiyete, urwego rwayo n’uko ahagaze; 4° ubuyobozi bw’imisoro ku makuru yerekeye iyubahiriza ry’amategeko y’imisoro; 5° ushinzwe gushyira mu bikorwa ibyemezo by’iseswa ry’ibikorwa by’ubucuruzi; 6° undi muntu cyangwa ikigo ufite amakuru akenewe kugira ngo hakorwe isuzuma rinoze ry’ubushobozi bwa nyir’amakuru bwo kwishyura. Hashingiwe ku biteganywa mu gika cya mbere cy’iyi ngingo, utanga serivisi z’ibiro by’amakuru ku myenda ashobora kugirana amasezerano n’inzego za Leta zifite amakuru yerekeye imyirondoro y’abantu ku giti cyabo cyangwa ibigo bifite ubuzimagatozi mu rwego rwo kwemeza amakuru yakusanyijwe. Ingingo ya 22: Uruhushya rwemera ikusanywa ry’amakuru y’inyongera Amakuru y’inyongera akusanywa n’utanga serivisi z’ibiro by’amakuru ku myenda atangirwa uruhushya na nyirayo uretse inzego za Leta zibifitiye ububasha. 3° the companies’ registry office on information on companies’ composition, sector and status; 4° the fiscal authorities on information on tax law compliance ; 5° the liquidator of business activities; 6° any other person or entity holding information deemed necessary for the adequate evaluation of credit worthiness of data subjects. For the purpose of Paragraph One of this Article, an operator of credit bureau can enter into contract with public institutions holding information on identification of individuals or legal entities to validate collected information. Article 22: Authorization for additional data collection The operator of credit bureau collects additional information which is subject to prior consent of the data subject save for the competent State organs. 3° l’office de registre des sociétés commerciales, pour les informations concernant la composition, le secteur d’activités et le statut des sociétés commerciales; 4° les autorités fiscales sur les informations relatives à la conformité aux lois fiscales; 5° le liquidateur des activités commerciales; 6° toute autre personne ou entité détentrice d’une information jugée nécessaire pour une évaluation adéquate de la solvabilité des sujets de données. Aux fins de l’alinéa premier du présent article, l’opérateur du bureau de crédit peut conclure un contrat avec les institutions publiques détentrices d’informations sur l’identification d’individus ou avec des personnes morales pour valider les informations collectées. Article 22: Autorisation de collecte de données additionnelles L‘opérateur du bureaude crédit collecte des informations additionnelles qui sont soumises au consentement préalable du sujet de données à l’exception des organes compétents de l’Etat.

Official Gazette nº 37 of 10/09/2018 89 Gukusanya amakuru y’inyongera bigomba kubahiriza amategeko abigenga. Icyiciro cya 2: Kubika amakuru ku myenda Ingingo ya 23 : Umutekano w’amakuru Utanga serivisi z’ihererekanyamakuru ku myenda arinda itakara, ibonwa, ikoreshwa cyangwa itangazwa ry’amakuru n’abatabyemerewe. Utanga serivisi z’ihererekanyamakuru ku myenda, abatanga amakuru ku myenda, n’abayakoresha bari mu buryo bw’ihererekanyamakuru ku myenda bagomba gushyiraho uburyo bwo kugarura amakuru mu gihe yangiritse no gusubukura ibikorwa nyuma y’ibiza byibasiye amakuru. Ingingo ya 24: Igihe ntarengwa cyo kubika amakuru Amakuru ku myenda abikwa mu gihe ntarengwa gikurikira: 1° utanga serivisi z’ihererekanyamakuru ku myenda abika amakuru meza yerekeye nyir’amakuru yakusanyijwe n’ibiro by’amakuru ku myenda kandi akayaha abayakoresha mu gihe cy’imyaka itanu (5) ibarwa uhereye ku itariki ntarengwa yo kwishyura umwenda. Collecting additional information must comply with the relevant legislation. Section 2: Conservation of credit information Article 23: Data security The credit reporting service provider protects the reporting system against any data loss, unauthorized access, use or disclosure. Credit reporting service provider, data providers and users participating in any type of credit reporting system must institute data recovery plan in case of data corruption and activity resumption plan after data damage. Article 24: Time limit for data conservation Credit information is retained within the following time limit: 1° the credit report service provider retains and makes available to users positive information regarding data subject collected by credit bureaus for a period of five (5) years starting from the final date for payment. Collecter les informations doit respecter la législation en la matière. Section 2: Conservation d’information sur les crédits Article 23: Sécurité de données Le prestataire de services d’informations sur les crédits protège le système d’information contre toute perte de données, tout accès, utilisation ou diffusion non autorisés. Le prestataire de services d’informations sur les crédits, les fournisseurs d’informations sur les crédits et les utilisateurs participant à tout type de système d’informations sur les crédits doivent mettre en place le plan de récupération des données altérées et le plan de reprise d’activités après un sinistre de données. Article 24: Période limite de conservation des données L’information sur les crédits est conservée dans la période limite suivante: 1° le prestataire de services d’information sur les crédits conserve et rend disponibles aux utilisateurs les informations positives concernant le sujet de données collectées par des bureaux de crédit pour une période de cinq ans (5) à compter de la date limite de paiement.

Official Gazette nº 37 of 10/09/2018 90 2° amakuru mabi areba amateka y’umwenda yerekeye nyir’amakuru abikwa kandi ahabwa abayakoresha kugeza ku myaka itanu (5) ibarwa kuva ku itariki aherukira kwishyura umwenda asigayemo utishyuwe neza. 3° ibiro by’amakuru ku myenda biha amakuru meza n’amabi yavuye mu nzego za Leta abayakoresha mu gihe cy’imyaka itanu (5) ibarwa guhera ku itariki byayatangiyeho cyangwa byayakiriyeho. Ingingo ya 25: Kugira ibanga Utanga serivisi z’ihererekanyamakuru ku myenda agira ibanga ry’amakuru ku myenda n’andi makuru y’ingirakamaro ari mu biro by’amakuru ku myenda cyangwa mu ikusanyirizo ry’amakuru ku myenda keretse iyo amategeko abiteganya ukundi. Abatanga serivisi z’ihererekanyamakuru ku myenda, abatanga amakuru n’abayakoresha bagomba kugenzura ko abanyamigabane, abayobozi, abakozi cyangwa intumwa zabo bubahiriza, mu buryo buhoraho, inshingano yo kugirira ibanga amakuru. Utanga amakuru ayaha ibiro by’amakuru ku myenda agomba kubikora hakurikijwe ibiteganywa 2° negative information regarding data subject credit history is retained and made available to users until the expiry of a period of five (5) years from the date of final settlement of the amount in default. 3° credit bureaus make available positive and negative informations obtained from public sources to users for a period of five (5) years from the date of transmission or receipt of the information. Article 25: Confidentiality A credit reporting service provider makes confidential credit information and other relevant information included in the credit bureau or the credit registry unless otherwise provided by laws. Credit reporting service providers, data providers and users must ensure that their shareholders, directors, senior officers, employees or agents, observe a permanent obligation of confidentiality with regard to the information. A data provider that reports information to a credit bureau must do so in complying with the legislation applicable on privacy and on confidentiality. 2° les informations négatives concernant les antécédents de crédit des sujets des données sont conservées et rendues disponibles aux utilisateurs jusqu’à la fin d’une période de cinq (5) ans à compter de la date de régularisation finale du montant impayé. 3° les bureaux de crédit mettent à la disposition des utilisateurs les informations positives et les informations négatives obtenues des sources publiques au profit des utilisateurs pendant une période de cinq (5) ans à compter à partir de la date de soumission ou de réception d’informations. Article 25: Confidentialité Un prestataire de services d’informations sur les crédits maintient la confidentialité des informations sur les crédits et d’autres informations pertinentes contenues dans le bureau de crédit ou dans la centrale d’informations sur les crédits sauf si la législation en prévoit autrement. Les prestataires de services d’information sur les crédits, les fournisseurs d’information et les utilisateurs doivent s’assurer que leurs actionnaires, leurs directeurs, leurs cadres supérieurs, leurs employés ou leurs agents observent une obligation permanente de confidentialité eu égard aux informations. Un fournisseur de données qui déclare des informations à un bureau de crédit doit le faire en

Official Gazette nº 37 of 10/09/2018 91 n’amategeko akurikizwa mu bijyanye n’ubuzima bwite no kubika amabanga. Abatanga serivisi z’ihererekanyamakuru ku myenda, abatanga amakuru n’abakoresha amakuru bagomba kugenzura ko amakuru y’ibanga adatangarizwa abandi bantu batari abayemerewe cyangwa ngo bikorwe mu buryo bunyuranyije n’ibiteganywa n’iri tegeko. Umuntu wese, harimo abakozi b’abatanga amakuru, abakozi b’abatanga serivisi z’ihererekanyamakuru ku myenda n’undi muntu wakira, ukusanya cyangwa utunganya amakuru yerekeye imyenda, ukoresha amakuru n’uyatangaza, bagomba gukora ibyo bikorwa hakurikijwe iri tegeko, amabwiriza ya Banki Nkuru arishyira mu bikorwa n’andi mategeko y’u Rwanda agenga itangwa ry’amakuru. Ingingo ya 26: Irengayobora ku kugira ibanga ku ihererekanyamakuru Bitabangamiye ibiteganywa n’ingingo ya 25 y’iri tegeko, Banki Nkuru ishobora guhererekanya amakuru y’ibanga ari mu ikusanyirizo ry’amakuru ku myenda n’izindi nzego hashingiwe ku masezerano y’ubufatanye yerekeye ihererekanya ry’amakuru hagati y’inzego mu gihe iryo hererekanya ry’amakuru rikozwe kubera impamvu yemewe n’amategeko. Credit reporting service providers, data providers and users ensure that confidential information is not disclosed to any third party other than the persons authorized or is done contrary to the provisions of this Law. Any person, including data providers’ employees, credit reporting service providers’ employees and a person who, in the course of providing any service to them receives, compiles or processes, uses or discloses credit information, must perform these activities in accordance with this Law and its implementing regulations by the Central Bank as well as other laws applicable in Rwanda. Article 26: Exceptions to confidentiality requirements in exchange of information Without prejudice to the provisions of Article 25 of this Law, the Central Bank may exchange confidential information included in the credit registry with other authorities based on existing memorandum of understanding for exchange of information between authorities provided that such exchange is justified by legally recognized purpose. respectant la législation applicable aux principes d’intimité de la vie privée et de confidentialité; Les prestataires des services d’information sur les crédits, les fournisseurs des données et les utilisateurs s’assurent que les informations confidentielles ne sont pas divulguées à une tierce personne autre que les personnes autorisées ou soient fait contrairement aux dispositions de la présente loi. Toute personne, y compris les employés du fournisseur de données, les employés du prestataire de services d’informations sur les crédits et une personne qui, en leur offrant n’importe quel service reçoit, compile ou traite, utilise ou révèle les informations sur les crédits, doit mener ces activités conformément à la présente loi, à ses règlements de mise en application et aux autres lois applicables en la matière au Rwanda. Article 26: Exceptions aux exigences de confidentialité dans l’échange des informations Sans préjudice des dispositions de l’article 25 de la présente loi, la Banque Centrale peut échanger des informations confidentielles contenues dans la centrale d’informations sur les crédits avec d’autres autorités sur base de protocoles d’ententes en place sur l’échange d’information entre les institutions à condition que cet échange soit justifié par un motif reconnu par la loi.

Official Gazette nº 37 of 10/09/2018 92 Abatanga serivisi z’ibiro by’amakuru ku myenda babyemerewe nabo bashobora guhererekanya amakuru y’ibanga n’abandi bari hanze y’u Rwanda bisabwe mu nyandiko na nyir’amakuru. Icyiciro cya 3: Guhererekanya amakuru ku myenda Ingingo ya 27: Impamvu zemewe mu ihererekanyamakuru Amakuru y’umuntu ku giti cye ashyirwa mu buryo bw’ihererekanyamakuru ku myenda mu Rwanda yakirwa akanatunganywa ku mpamvu zemewe n’amategeko. Amakuru y’umuntu ku giti cye yatunganyijwe kubera impamvu izwi ntabikwa igihe kirengeje icyo akenewemo hakurikijwe iyo mpamvu. Banki Nkuru ikusanya kandi igatunganya amakuru yerekeye imyenda n’andi makuru ajyanye na yo mu rwego rwo kubahiriza inshingano yayo y’ubugenzuzi n’irebana na politiki y’ifaranga kandi ishobora gutanga ayo makuru ibisabwe hakurikijwe ibiteganywa n’amategeko. Utanga serivisi z’ibiro by’amakuru ku myenda akusanya, agatanga kandi agakwirakwiza amakuru ku myenda n’andi makuru ajyanye na yo afasha ababerewemo imyenda n’izindi nzego gufata ibyemezo bishingiye ku makuru akwiye mu itangwa Operators of credit bureaus operating under a license may exchange confidential information with third parties located outside Rwanda at the written request of the data subject. Section 3: Credit data flow Article 27: Permissible purposes in data flows In credit reporting system in Rwanda, personal data are received and processed for legally recognized purposes. Personal data are received and processed for legally recognized purposes are not retained for more than the appropriate period compared to such purposes. The Central bank collects and processes credit information and other related data to fulfil its supervisory and monetary policy mandate and may disseminate such information, upon request and in accordance with the law; An operator of credit bureau collects, processes and disseminates credit information and other related data to enable creditors and other entities make informed decisions about the provision of credit, goods or services subject to deferred payment. Les opérateurs des bureaux de crédit agréés peuvent échanger des informations confidentielles avec de tierces personnes œuvrant en dehors du Rwanda sur demande écrite du sujet de données. Section 3: Flux de données sur les crédits Article 27: Motifs permis lors du flux de données Dans le systeme d’information sur les credits, les données personnelles sont reçues et traitées pour des motifs reconnus par la loi. Les données personnelles reçues et traitées pour des motifs reconnus par la loi ne peuvent pas être conservées pendant une période supérieure à la période appropriée par rapport à ces motifs. La Banque centrale collecte et traite des informations sur les crédits et d’autres données connexes afin de remplir sa mission de supervision et celle relative à la politique monétaire et peut diffuser ces informations sur demande et conformément à la loi; L’opérateur du bureau de crédit collecte, traite et diffuse les informations de crédit ainsi que d’autres données connexes en vue de permettre aux créanciers et aux autres entités de prendre des décisions éclairées sur l’octroi de crédit, de

Official Gazette nº 37 of 10/09/2018 93 ry’imyenda, ibicuruzwa cyangwa serivisi byishyurwa nyuma y’igihe bitangiwe. Ingingo ya 28: Inshingano yo kumenyesha nyir’amakuru Abatanga amakuru, bifashishije inyandiko yo kugirira ibanga nyir’amakuru yemewe yashyizweho na Banki Nkuru, bagomba kumenyesha nyir’amakuru ko bazashyikiriza amakuru ye utanga serivisi z’ibiro by’amakuru ku myenda cyangwa ikusanyirizo ry’amakuru ku myenda. Inyandiko ivugwa mu gika cya mbere cy’iyi ngingo ikubiyemo ibi bikurikira: 1° amakuru yerekeye itunganywa ry’amakuru rizakorwa hakoreshejwe amakuru ye; 2° ibyiciro by’abakoresha amakuru bashobora kugera ku makuru yatunganyijwe; 3° amazina y’abatanga serivisi z’ibiro by’amakuru ku myenda; 4° inzira ba nyir’amakuru bifashisha kugira ngo uburenganzira bwabo bwubahirizwe. Ingingo ya 29: Uruhushya rwa nyir’amakuru rwemera itangazwa ryayo Abatanga amakuru batari banki, ikigo cy’ubwishingizi, ikigo cy’imari iciriritse, Article 28: Obligation of informing data subject Data providers must, using a standard privacy note prescribed by the Central Bank, inform data subjects about their data transmission to the operator of credit bureau or to credit registry. The privacy note specified in Paragraph One of this Article includes the following: 1° information related to the type of data processing that is going to take place using data subjects’ information; 2° categories of users that can access the processed information; 3° names of the operators of credit bureaus ; 4° specific procedures for data subjects to exercise their rights. Article 29: Data subject consent to disclosure Data providers other than a bank, an insurance company, a microfinance institution, a marchandises ou de services pour lesquels le paiements différé est prévu. Article 28: Obligation d’informer le sujet des données Les fournisseurs des données doivent, en utilisant une note de confidentialité standard prescrite par la Banque Centrale, informer le sujet des données sur la transmission de ses données à l’opérateur du bureau de crédit ou à la centrale d’informations sur les crédits. La note de confidentialité specifiée à l’alinéa premier du présent article comprend les informations suivantes: 1° des informations relatives au type de traitement des données qui aura lieu sur les informations du sujet des données; 2° les catégories d’utilisateurs qui peuvent avoir accès aux informations traitées; 3° les noms des opérateurs des bureaux des crédits; 4° les procédures spécifiques permettant aux sujets des données d’exercer leurs droits. Article 29: Consentement du sujet de données à la révélation Les fournisseurs de données autre que la banque, une société d’assurance, une société de

Official Gazette nº 37 of 10/09/2018 94 amasosiyete y’itumanaho, inzego z’imirimo ifitiye igihugu akamaro n’izindi nzego za Leta bagomba gusaba uruhushya nyir’amakuru mbere yo kuyaha utanga serivisi z’ibiro by’amakuru ku myenda. Utanga amakuru utabashije kugaragaza ikimenyetso cy’uko nyir’amakuru yahisemo ko ashyikirizwa utanga serivisi z’ibiro by’amakuru ku myenda aryozwa kutubahiriza uburenganzira bwa nyir’amakuru nk’uko biteganywa n’amabwiriza ya Banki Nkuru. Banki Nkuru igaragaza imiterere y’uruhushya ruvugwa mu gika cya mbere cy’iyi ngingo. Ingingo ya 30: Uruhushya rwa nyir’amakuru rwemerera uyakoresha kuyageraho Ukoresha amakuru ahabwa uruhushya na nyir’amakuru mbere yo kuyageraho. Banki Nkuru ishyiraho ingingo yerekeye uruhushya rwemewe ishyirwa mu masezerano y’inguzanyo cyangwa mu nyandiko y’amasezerano ku itangwa rya serivisi. Abakoresha amakuru n’abatanga serivisi z’ihererekanyamakuru ku myenda bagomba kugaragaza ko nta makuru yagezweho nyirayo atarabitangiye uruhushya. Iyo batabigaragaje, ukoresha amakuru n’abatanga serivisi z’ihererekanyamakuru bashobora guhabwa ibihano telecommunication company, public utility organs and other State organs must request data subjects’ consent prior to submitting the data to the operator of credit bureau. Data provider’s failure to prove the choice made by data subjects to submit their data to the operator of credit bureau renders the concerned data provider liable for such violation of data subjects’ right as provided by regulation of the Central Bank. The Central Bank specifies a standard consent clause referred to in Paragraph One of this Article. Article 30: Data subject consent to user’s access The data user obtains consent of the data subject prior to accessing its information. The Central Bank specifies a standard consent clause to be included as an integral part of the loan contract or service agreement document. Data users and credit reporting service providers must prove that no information has been accessed without data subject’s consent. Failure to present such a proof, subject the user and credit reporting services providers to sanctions in accordance with the Central Bank’s regulations. télécommunication, les organes d’utilité publique et les autres organes de l’Etat doivent requérir le consentement du sujet de données avant de soumettre les données à l’opérateur du bureau de crédit. Tout manquement du fournisseur de données de prouver le choix fait par les sujets des données de soumettre leurs données à l’opérateur du bureau de crédit rend le fournisseur concerné responsable d’une telle violation du droit de sujets des données tel que prévu par les règlements de la Banque Centrale. La Banque Centrale spécifie une clause de consentement standard dont mention est faite dans l’alinéa premier du présent article. Article 30: Consentement du sujet de données l’accès d’un utilisateur Un utilisateur obtient préalablement le consentement du sujet de données pour avoir accès à ses informations. La Banque Centrale spécifie la clause standard de consentement qui doit faire partie intégrante du contrat de prêt ou du document d’accord de services. Les utilisateurs de données et les prestataires de services d’informations sur les crédits doivent prouver qu’aucune information n’a été accédée sans le consentement du sujet de données. Tout manquement à présenter une telle preuve expose l’utilisateur et les prestataires de services d’informations sur les crédits aux sanctions

Official Gazette nº 37 of 10/09/2018 95 hakurikijwe ibiteganywa n’amabwiriza ya Banki Nkuru. Icyakora, ibi ntibireba Banki Nkuru cyangwa urundi rwego rwa Leta igihe zuzuza inshingano zazo cyangwa nyir’amakuru igihe ayo makuru ari aye. Icyiciro cya 4: Ikoresha ry’amakuru ku myenda Ingingo ya 31: Abakoresha serivisi z’ibiro by’amakuru ku myenda bemewe Abakoresha serivisi z’ibiro by’amakuru ku myenda bemewe ni aba bakurikira: 1° banki, ibigo by’imari iciriritse n’ikindi kigo cy’imari cyose gitanga inguzanyo y’ubwoko ubwo ari bwo bwose; 2° ibigo bifite ubuzimagatozi bitanga ibicuruzwa na serivisi byishyurwa nyuma y’igihe byatangiwe; 3° ukoresha amakuru ukorera inzego za Leta cyangwa inzego zishamikiye kuri Leta zishaka gukoresha amakuru mu gusuzuma niba nyirayo yujuje ibisabwa kugira ngo ahabwe icyemezo cyangwa indi nyungu bitangwa n’urwego rwa Leta rusabwa n’itegeko kubanza gusuzuma imyitwarire y’usaba cyangwa uko ahagaze mu rwego rw’imari; However, this requirement does not apply to the Central Bank or any other State organ in the exercise of its responsibilities and to the data subject on its own data. Section 4: Use of credit information Article 31: Authorised users of credit bureaus services Authorised users of credit bureaus services are the following: 1° banks, microfinance institutions and any other financial institution providing any type of credit; 2° legal entities engaged in the provision of goods and services subject to deferred payments; 3° user from public or parastatal institutions intending to use the information in connection with a determination of the data subject eligibility for a license or other benefit granted by a government agency required by law to consider an applicant’s financial responsibility or status; conformément aux règlements de la Banque Centrale. Toutefois, cette exigence n’est pas applicable à la Banque Centrale ou tout autre organe de l’Etat dans l’exercice de ses responsabilités ou au sujet de données sur ses informations. Section 4: Utilisation d’informations sur les crédits Article 31: Utilisateurs agréés des services des bureaux de crédit Les utilisateurs agrées des services des bureaux de crédit sont les suivants: 1° les banques, les institutions de microfinance et toute autre institution financière offrant tout type de crédit; 2° des personnes morales engagées dans la fourniture des biens et des services soumis aux paiements différés; 3° un utilisateur provenant des institutions publiques ou parastatales désireuses d’utiliser ces informations en vue de déterminer l’éligibilité du sujet de données à un agrément ou à un autre avantage que confère l’agence gouvernementale à laquelle il est exigé par la loi de considérer la responsabilité ou la situation financière du requérant;

Official Gazette nº 37 of 10/09/2018 96 4° abakoresha amakuru bashaka kuyakoresha ku bijyanye n’impaka zatangijwe na nyir’amakuru zishingiye ku ireme ry’amakuru; 5° nyir’amakuru ku bijyanye n’uko yagiye yishyura umwenda we; 6° urundi rwego rufite inyungu yemewe n’amategeko cyangwa rubyemerewe na Banki Nkuru. Ingingo ya 32: Ibisabwa ku kugera ku makuru yerekeye imyenda ari mu biro by’amakuru ku myenda Kugera ku makuru y’uburyo bw’ihererekanyamakuru ku myenda byemerewe abakoresha amakuru bafite impamvu zemewe zo kuyageraho. Abakoresha amakuru bashaka kugera ku makuru ari mu biro by’amakuru ku myenda babisaba utanga serivisi z’ibiro by’amakuru ku myenda. Ingingo ya 33: Impamvu zo kubona amakuru ari mu ikusanyirizo ry’amakuru ku myenda Abakoresha amakuru ku myenda ari mu ikusanyirizo ry’amakuru ku myenda bagera ku makuru kubera impamvu zikurikira: 4° users intending to use the information in connection with a data quality dispute initiated by the data subject; 5° data subject as regards to its own credit history; 6° another organ with a legitimate interest or authorized by the Central Bank. Article 32: Requirements for access to credit information at the credit bureau Access to credit reporting systems is restricted to users that have valid reasons to access such information. Users intending to access information which is in a credit bureau submit a request for credit information to the operator of the credit bureau. Article 33: Reasons for access to data which are in credit registry Users of credit information which is in the credit registry access to data under the following reasons: 4° les utilisateurs ayant l’intention d’utiliser les informations en lieu avec un litige sur la qualité des données initié par un sujet de données; 5° un sujet de données en ce qui concerne l’historique de son propre crédit; 6° une autre autorité ayant un intérêt légitime, ou autorisée par la Banque Centrale. Article 32: Conditions d’accès aux informations de crédit au niveau du bureau de crédit L’accès aux systèmes d’informations sur les crédits est limité aux seules personnes qui ont un motif légitime d’accéder à de telles informations. Les utilisateurs qui désirent accéder aux informations se trouvant dans un bureau de crédit soumettent une demande d’informations de crédit à l’opérateur de bureau de crédit. Article 33: Motifs d’accès aux données se trouvant dans la centrale d’information Les utilisateurs d’informations sur les crédits se trouvant dans la centrale d’informations sur les crédits accèdent aux données pour des motifs suivants:

Official Gazette nº 37 of 10/09/2018 97 1° igenzura rikorerwa mu kigo cyangwa rishingiye kuri raporo mu rwego rwo kuzuza inshingano isanzwe y’ubugenzuzi bw’amabanki n’ibindi bigo by’imari; 2° gusuzuma ko ibyemezo bishyirwaho n’urwego rugenzura binoze; 3° indi mpamvu yose ifite aho ihuriye n’inshingano za Banki Nkuru. Ingingo ya 34: Impamvu zemewe zo kubona serivisi zerekeye amakuru ku myenda Utanga serivisi z’ibiro by’amakuru ku myenda aha abakoresha amakuru serivisi z’ihererekanyamakuru ku myenda kubera impamvu zikurikira: 1° gusuzuma ubusabe bw’umwenda cyangwa inguzanyo, hashingiwe ku busabe bwa nyir’amakuru, kongera umwenda cyangwa inguzanyo, guhindura imiterere y’umwenda cyangwa inguzanyo cyangwa kugena amafaranga ntarengwa y’inguzanyo yongerewe; 2° gusuzuma ubusabe bw’ubwishingizi cyangwa ikirego cyabwo; 3° gusuzuma ubusabe bwa serivisi igihe kwishyura biteganyijwe nyuma; 4° gusuzuma cyangwa gukurikirana inguzanyo cyangwa imyenda yatanzwe; 1° on-site and off-site inspections under a regular bank and other financial institutions supervisory function; 2° to calibrate regulatory measures related to prudential supervision; 3° any other circumstance in relation to the Central Bank’s legal mandate. Article 34: Permissible purposes for access to credit reporting services An operator of a credit bureau provides credit reporting services to the users for the following purposes: 1° to assess a credit or loan application based on an existing data subject request, its extension, restructuring or limit the increase of the amount of loan; 2° to assess an insurance application or claim; 3° to assess a request for service that involves a deferred payment; 4° to review or monitor existing loans or credits; 1° inspections sur place ou sur pièce dans le cadre d’une supervision régulière des banques et des autres institutions financières; 2° pour calibrer les mesures règlementaires relatives à la supervision prudentielle; 3° toute autre circonstance ayant trait au mandat légal de la Banque Centrale. Article 34: Motifs autorisés pour accès aux services d’informations sur les crédits L’opérateur de bureau de crédit offre des services d’informations sur les crédits aux utilisateurs pour des objectifs suivants: 1° examiner une demande de crédit ou de prêt sur base de la demande existante du sujet de données, son extension, sa restructuration ou pour limiter la majoration du montant du prêt; 2° examiner une demande d’assurance ou une réclamation; 3° examiner une demande de services qui implique un paiement différé; 4° revoir ou faire le suivi des prêts ou des crédits existants;

Official Gazette nº 37 of 10/09/2018 98 5° gusubiza ubusabe bw’urukiko rubifitiye ububasha hashingiwe ku cyemezo cyarwo; 6° gusubiza urwego rwa Leta rubyemerewe hakurikijwe ibiteganywa n’amategeko; 7° gutahura uburiganya no gushyiraho ingamba zo kubukumira; 8° gusubiza ubusabe bwa nyir’amakuru ku makuru ye bwite; 9° gusubiza inzego z’ubugenzuzi cyangwa izishyiraho amabwiriza hakurikijwe ibiteganywa n’amategeko; 10° izindi mpamvu zakwemezwa n’amabwiriza ya Banki Nkuru. Abatanga serivisi z’ihererekanyamakuru ku myenda bashyiraho uburyo, inzira zikurikizwa n’amabwiriza bigaragaza uko abakoresha amakuru bagera kuri serivisi z’ibiro by’amakuru ku myenda cyangwa z’ikusanyirizo ry’amakuru ku myenda. Kugera ku makuru y’ibiro by’amakuru ku myenda cyangwa ikusanyirizo ry’amakuru ku myenda bisaba ingamba ziboneye z’umutekano, zirimo kurinda amakuru ari muri interineti kuvogerwa n’abatabyemerewe, hifashishwa imibare y’ibanga iranga mudasobwa, amagambo banga cyangwa irindi koranabuhanga ryizewe rikoresha ihamya ry’uburyo bubiri. 5° to respond to the request by the competent court based on a court order; 6° to respond to a Government entity which is entitled to it in accordance with the law; 7° to detect and put in place measures to prevent fraudulent activities; 8° to respond to a data subject’s request on its own data; 9° to respond to supervisory or regulatory authorities in accordance with the law; 10° any other purpose as may be approved by the regulations of the Central Bank. Credit reporting service providers establish processes, procedures and rules for users to access the credit bureaus or credit registry services. Access to credit bureau and credit registry is subject to appropriate security measures, including internet protection addresses, passwords or other appropriate double authentication technology. 5° répondre à une requête d’une juridiction compétente sur base de l’ordonnance de la juridiction; 6° répondre à une institution publique habilitée conformément à la loi; 7° détecter et prendre des mesures pour prévenir les activités de fraude; 8° répondre à une demande du sujet de données sur ses propres données; 9° répondre aux autorités de supervision ou de réglementation conformément à la loi; 10° autres motifs pouvant être approuvés par les règlements de la Banque Centrale. Les prestataires des services d’informations sur les crédits établissent pour les utilisateurs des procédés, des procédures et des règlements pour l’accès aux services des bureaux de crédit ou de la centrale d’informations sur les crédits. L’accès au bureau de crédit ou à la centrale d’informations sur les crédits est soumis aux mesures de sécurité appropriées comprenant les adresses de protection d’internet, les mots de passe ou autre technologie de double authentification.

Official Gazette nº 37 of 10/09/2018 99 Icyiciro cya 5: Uburenganzira bwa nyir’amakuru Ingingo ya 35: Uburenganzira bwo guhabwa amakuru yuzuye Utanga serivisi z’ibiro by’amakuru ku myenda n’abatanga amakuru bagomba kumenyesha ba nyir’amakuru impamvu yo kuyakusanya, abazayakoresha, izina ry’umuntu ushinzwe ububiko bw’amakuru, iby’ingenzi bijyanye n’uburenganzira bwabo bwo kubona kopi ya raporo ku myenda yabo n’uburyo bwo kunenga amakuru atari ukuri. Nyir’amakuru amenyeshwa icyemezo yafatiwe cyerekeranye n’impinduka mu bisabwa bijyanye n’inguzanyo, umwenda cyangwa serivisi cyangwa niba atemerewe inguzanyo, umwenda cyangwa serivisi, bitewe n’amakuru ari muri raporo k’umwenda we. Ingingo ya 36: Uburenganzira bwa nyir’amakuru bwo kugera ku makuru amureba Nyir’amakuru afite uburenganzira bukurikira: 1° kumenya amakuru amureba abitswe n’utanga serivisi z’ibiro by’amakuru ku myenda hakurikijwe amabwiriza ya Banki Nkuru; 2° kubona raporo y’imyenda ye nibura rimwe mu mwaka nta kiguzi. Nyir’amakuru ashobora Section 5: Data subject’s rights Article 35: Right to receive complete information Operator of credit bureau and data providers must inform data subjects about the purpose for data collection, the users, the name of the responsible person for the database, key aspects of their rights to obtain copies of their credit report and process to challenge erroneous information. The data subject is informed of any adverse action taken against him or her related to change in the loan, credit or service conditions or if he/she has been refused a loan, credit or service depending on the data which are in the credit report. Article 36: Right of the data subject to access his/her own information A data subject has the following rights: 1° to access information relating to him/her kept in any operator of credit bureau in accordance with the regulation of the Central Bank; 2° to access his/her credit report at least once a year, at no cost. Additional reports may be requested by a data subject with a fee, in Section 5: Droits du sujet de données Article 35: Droit de réception d’informations complètes L’opérateur du bureau de crédit et des fournisseurs de données informent les sujets de données des raisons concernant les objectifs de la collecte des données, des utilisateurs, le nom de la personne responsable de la base des données, les aspects clés de leurs droits d’obtention des copies des rapports sur leur crédit et du processus de contestation d’informations erronées. Le sujet de données est informé de toute decision défavorable prise contre lui en rapport avec les changements de conditions de prêt, de crédit ou de services ou s’il lui a été refusé un prêt, un crédit ou un service suite aux données se trouvant dans le rapport de crédit. Article 36: Droit au sujet de données d’accès à ses propres informations Un sujet de données a les droits suivants: 1° accéder aux informations le concernant tenues par l’opérateur du bureau de crédit conformément au règlement de la Banque Centrale; 2° accéder gratuitement à son rapport de crédit au moins une fois par an. Des rapports additionnels peuvent être sollicités par un

Official Gazette nº 37 of 10/09/2018 100 gusaba raporo z’inyongera zishyurwa hakurikijwe amabwiriza ya Banki Nkuru; 3° guhabwa kopi y’amakuru yerekeye imyenda ari mu bubiko bw’amakuru, arimo amazina y’abakoresheje ayo makuru mu gihe cy’amezi atandatu (6) ashize kuva hatanzwe ubusabe bwo guhabwa amakuru. Ingingo ya 37: Uburenganzira bwo gusaba gukosora amakuru Nyir’amakuru afite uburenganzira bwo gusaba igihe icyo ari cyo cyose ikosorwa ry’amakuru yerekeye imyenda ye ari mu buryo bw’ihererekanyamakuru ku myenda arimo amakosa, atari ukuri cyangwa atuzuye. Ingingo ya 38: Uburenganzira bwo kunenga amakuru Iyo nyir’amakuru amenye ko amakuru abitswe mu bubiko bw’amakuru ku myenda atari ukuri, arimo amakosa, adahagije, atuzuye cyangwa adahuje n’igihe, ashobora kubimenyesha mu nyandiko utanga serivisi z’ibiro by’amakuru ku myenda kandi agasaba ko amakuru akemangwa akosorwa. Utanga serivisi z’ibiro by’amakuru ku myenda washyikirijwe inyandiko inenga amakuru ari mu bubiko bwe bw’amakuru agomba gusubira mu makuru akusanyijwe, agasuzuma niba ibyo accordance with applicable regulation of the Central Bank; 3° to receive a copy of the credit information contained in the database including names of the users that accessed such information in the last six (6) months since data access request. Article 37: Right to request for correction of information A data subject is entitled to request for correction of any incorrect, inaccurate or incomplete credit information included in the credit reporting system at any time. Article 38: Right for challenging data When a data subject realizes that the information contained in the credit bureau database is inaccurate, erroneous, insufficient, incomplete or outdated, he/ she may notify the operator of credit bureau in writing and request that the information disputed be corrected. An operator of a credit bureau receiving a claim challenging information included in its database must revisit its database to ensure that a claim is founded or not. sujet de données avec frais conformément au règlement de la Banque Centrale y relatif; 3° recevoir une copie d’informations sur les crédits contenues dans la base des données y compris les noms des utilisateurs qui ont accédé à ces informations au cours des six (6) derniers mois à partir de la date de la demande d’accès aux données. Article 37: Droit de demander la correction d’information Un sujet de données a le droit de demander la correction de toute information incorrecte, inexacte ou incomplète sur les crédits contenue dans le système d’informations sur les crédits à tout moment. Article 38: Droit de contester les données Lorsqu’un sujet de données réalise que les informations contenues dans la base des données du bureau de crédit sont fausses, erronées, insuffisantes, incomplètes ou désuètes, il peut en notifier à l’opérateur du bureau de crédit par écrit et demander que les informations douteuses soient corrigées. Un opérateur de bureau de crédit, qui reçoit une réclamation contestant des informations contenues dans sa base de données, la revisite pour s’assurer que cette réclamation est fondée ou non.

Official Gazette nº 37 of 10/09/2018 101 nyir’amakuru avuga bifite cyangwa bidafite ishingiro. Iyo utanga amakuru yatanze amakuru nyayo ariko akongerwamo amakosa cyangwa agahindurwa mu gihe cy’itunganywa ryayo, bikozwe n’utanga serivisi z’ibiro by’amakuru ku myenda, ibiro bikosora amakuru akemangwa bitiyambaje utanga amakuru, kandi bikamenyesha nyir’amakuru ko yakosowe. Iyo igenzura rigaragaje ko utanga amakuru yahaye utanga serivisi z’ibiro by’amakuru ku myenda amakuru atari ukuri, utanga serivisi z’ibiro by’amakuru ku myenda asaba utanga amakuru ku myenda gukurikiza imirongo ngenderwaho yashyizweho mu gusuzuma ubwo busabe mu gihe kitarengeje iminsi (10) y’akazi. Icyemezo gifashwe n’utanga amakuru ku busabe bwa nyir’amakuru bwo gukosora amakuru kimenyeshwa nyir’amakuru mu nyandiko mu gihe kitarengeje iminsi icumi (10) y’akazi. Ingingo ya 39: Kubahiriza uburenganzira bwa nyir’amakuru Abatanga serivisi z’ihererekanyamakuru ku myenda, abatanga amakuru n’abayakoresha bagomba kubahiriza no gushyira mu bikorwa uburenganzira bwa nyir’amakuru ku makuru ye nk’uko biteganywa n’iri tegeko. If the data provider had provided correct data which thereafter underwent erroneous operations or changes in the processing stage by the operator of a credit bureau, the bureau corrects the information disputed without involving the data provider, and notify the data subject of the correction made. If verification proves that the Credit reporting service provider submitted wrong information about the data subject to the operator of credit bureau, the operator of credit bureau informs the relevant data provider and requests the concerned data provider to respect the guidelines in place to handle the request within ten (10) working days. The decision taken by the data provider on a data subject’s request for correction of information is notified to the data subject, in writing within ten (10) working days. Article 39: Respect of rights of data subject Credit reporting service providers, data providers and users must respect and apply the rights of the data subject regarding his/her data as provided for by this Law. Si le fournisseur des données a fourni des données correctes qui par la suite ont subi des modifications erronées ou des changements au cours du traitement par l’opérateur du bureau de crédit, le bureau de crédit corrige les informations contestées sans passer par le fournisseur de données et notifie le sujet de données de cette correction. Si la vérification aboutit à la conclusion que le prestataire de services des informations sur les crédits a présenté à l’opérateur du bureau de crédit de fausses informations concernant le sujet de données, l’opérateur du bureau de crédit en fait part au fournisseur de données concerné et lui demande de traiter la demande suivant les lignes directrices en place endéans dix (10) jours ouvrables. La décision prise par le fournisseur des données sur la requête du sujet de données relative à la correction des informations est notifiée à celui-ci par écrit endéans dix (10) jours ouvrables. Article 39: Respect des droits du sujet de données Les prestataires des services d’informations sur les crédits, les fournisseurs et les utilisateurs de données doivent respecter les droits du sujet des données en ce qui concerne ses données tel que prévu par la présente loi.

Official Gazette nº 37 of 10/09/2018 102 Ingingo ya 40: Ibigomba kubahirizwa bijyanye n’uburenganzira bwa nyir’amakuru Mu gushyira mu bikorwa uburenganzira bwa nyir’amakuru hagomba kubahirizwa ibi bikurikira: 1° ishami ryabugenewe ry’utanga serivisi z’ibiro by’amakuru ku myenda rikemura ibibazo n’ubusabe bwa nyir’amakuru kandi rikamuha kopi ya raporo y’umwenda we iyo atanze icyangombwa kigaragaza umwirondoro we; 2° Banki Nkuru itangaza ku rubuga rwa interineti rwayo amakuru yerekeye uburyo bw’ihererekanyamakuru ku myenda mu Rwanda. Ingingo ya 41: Ibigize amakuru atangarizwa rubanda Amakuru Banki Nkuru itangariza rubanda, agomba kuba arimo: 1° amazina n’aho ibiro by’amakuru ku myenda byemewe byose bibarizwa; 2° izina ry’ikusanyirizo ry’amakuru ku myenda n’aho ribarizwa; 3° amakuru yerekeye intego z’ibiro by’amakuru ku myenda n’ikusanyirizo Article 40: Requirements concerning the rights of a data subject While applying the rights of the data subjects, the following requirements must be met: 1° a dedicated unit of the operator of credit attends to claims and requests from data subject and provides to the data subject a copy of his or her credit report if the latter has provided proof of identification; 2° the Central Bank publishes on its website relevant information regarding the credit reporting system in Rwanda. Article 41: Content of information to be disclosed to the public Information that the Central Bank discloses to the public, must include: 1° name and contact details of all licensed credit bureaus; 2° name and contact details of the credit registry; 3° information regarding the objectives of the credit bureaus and credit registry, their data sources and their users; Article 40: Conditions en rapport avec les droits du sujet de données Lors de l’application des droits des sujets des données, les conditions suivantes doivent être remplies: 1° une unité spécialisée de l’opérateur du bureau de crédit s’occupe des réclamations et des demandes du sujet de données et lui donne une copie du rapport de son crédit si le sujet de données a fourni une preuve de son identification; 2° la Banque Centrale publie sur son site web les informations pertinentes concernant le système d’informations sur les crédits au Rwanda. Article 41: Contenu d’information à révéler au public L’information que la Banque centrale révèle au public, doivent comprendre: 1° les noms et les coordonnées de contact de tous les bureaux de crédit agréés; 2° le nom et les coordonnées de contact de la centrale d’informations sur les crédits; 3° les informations concernant les objectifs des bureaux de crédit, de la centrale

Official Gazette nº 37 of 10/09/2018 103 ry’amakuru ku myenda, aho bikura amakuru n’abayakoresha; 4° amakuru yerekeye uburenganzira bwa nyir’amakuru n’uburyo bwo kubahiriza ubwo burenganzira; 5° umurongo wa interineti uyobora kuri iri tegeko no ku yandi mabwiriza cyangwa imirongo ngenderwaho ya ngombwa ireba uburyo bw’ihererekanyamakuru ku myenda; 6° ibindi byose Banki Nkuru ibona ko ari ngombwa. UMUTWE WA V: INSHINGANO N’UBUBASHA BYA BANKI NKURU MU BIJYANYE N’IHEREREKANYAMAKURU KU MYENDA Ingingo ya 42: Gukora ubugenzuzi Banki Nkuru ifite inshingano zo gushyiraho abagenzuzi igihe bibaye ngombwa cyangwa guha ububasha undi muntu ubifitiye ubushobozi kugira ngo akore igenzura ku utanga serivisi z’ibiro by’amakuru ku myenda, k’utanga amakuru cyangwa k’uyakoresha. Iyo hakorwa igenzuramikorere, abagenzuzi ba Banki Nkuru cyangwa undi muntu wese washyizweho na Banki Nkuru kugira ngo akorere igenzura utanga serivisi z’ibiro by’amakuru ku 4° information regarding the data subjects’ rights and the process for implementing those rights; 5° a link to this Law and any relevant regulation or appropriate guidelines issued in respect of credit reporting systems; 6° any other aspects that are considered necessary by the Central Bank. CHAPTER V: OBLIGATIONS AND POWERS OF CENTRAL BANK IN CREDIT REPORTING Article 42: Carry out inspection The Central Bank has the obligations to appoint inspectors when considered necessary or empower any other competent person to carry out an on-site inspection of an operator of credit bureau, a data provider or a data user. In the course of on-site inspection, the Central Bank inspectors or any other person appointed by the Central Bank for inspection of an operator of credit bureau, data provider or a data user, enters d’informations sur les crédits, leurs sources des données et leurs utilisateurs; 4° les informations concernant les droits du sujet de données et les processus de mise en œuvre de ces droits; 5° un lien menant à la présente loi à tout règlement ou directives appropriées émises concernant les systèmes d’informations sur les crédits; 6° tous les autres aspects que la Banque Centrale juge nécessaires. CHAPITRE V: OBLIGATIONS ET POUVOIRS DE LA BANQUE CENTRALE EN MATIERE D’INFORMATION SUR LES CREDITS Article 42: Faire l’inspection La Banque Centrale a les obligations de nommer les inspecteurs quand cela s’avère nécessaire ou abiliter toute autre personne compétente pour mener une inspection sur place d’un opérateur du bureau de crédit, d’un fournisseur des données ou d’un utilisateur des données. Au cours de l’inspection sur place, les inspecteurs de la Banque Centrale ou toute autre personne désignée par elle pour inspecter un opérateur du bureau de crédit, un fournisseur des données ou un

Official Gazette nº 37 of 10/09/2018 104 myenda, utanga amakuru cyangwa uyakoresha, yinjira aho ari ho hose bakorera kugira ngo akore igenzura. Utanga serivisi z’ibiro by’amakuru ku myenda, utanga amakuru cyangwa uyakoresha ukorerwa igenzura agomba gutanga amakuru asabwa abitse cyangwa abikiwe ari muri kopi y’umwimerere, muri mudasobwa cyangwa mu nyandiko, cyangwa ari mu bundi buryo hakurikijwe uko akenewe n’uko ayafite. Utanga amakuru ahabwa icyemezo cy’uko amakuru yakiriwe n’abagenzuri ba Banki Nkuru, cyangwa undi muntu ubifitiye ububasha washyizweho hakurikijwe iri tegeko. Amakuru yose abonetse mu gihe cy’ubugenzuzi cyangwa akomotse kuri ubwo bugenzuzi agirwa ibanga kandi ahabwa Banki Nkuru gusa. Ingingo ya 43: Ububasha bwa Banki Nkuru mu bijyanye n’ubugenzuzi Mu gukora ubugenzuzi, Banki Nkuru ifite ububasha bukurikira: 1° kugenzura ibikorwa by’abatanga serivisi z’ihererekanyamakuru ku myenda, abatanga amakuru ku myenda n’abayakoresha; 2° gusuzuma no kwemeza uburyo bw’imikorere y’abatanga serivisi z’ihererekanyamakuru ku any place of business of the latter for purpose of supervision. The operator of credit bureau, the data provider or the data user being inspected must provide the required data maintained by such entity or individual or by a third party in original, soft or hard copy, in written or in any other form as may be required and available. The data provider obtains an aknowledgment of receipt certifying that such data were received by the inspectors of the Central Bank or competent person appointed in accordance with this Law. Any information obtained in the course of or resulting from examinations or supervisory process is confidential and only available to the Central Bank. Article 43: Supervisory powers of the Central Bank While carrying out inspection, the Central Bank has the following powers: 1° to supervise the activities of the credit reporting service providers, data providers and users; 2° to review and approve operating procedures of credit reporting service providers on data utilisateur des données, entre dans n’importe quel lieu de travail de ces derniers afin de faire la supervision. L’opérateur du bureau de crédit, le fournisseur des données ou l’utilisateur des données sous inspection doit rendre disponibles les données requises tenues par cette entité ou cet individu ou une tierce personne en original, copie papier ou copie électronique de façon écrite ou sous une autre forme autant qu’exigé et disponible. Le fournisseur des données, reçoit un accusé de réception attestant que ces données sont reçues par les inspecteurs de la Banque Centrale ou les personnes compétentes nommées conformément à la présente loi. Toute information obtenue dans le cadre de vérification ou résultant des procédures de supervision est confidentielle et n’est disponible que pour la Banque Centrale. Article 43: Pouvoir d’inspection de la Banque Centrale Lors de l'inspection, la Banque centrale dispose des pouvoirs suivants: 1° superviser les activités des prestataires de services d’informations sur les crédits, des fournisseurs et des utilisateurs de données; 2° revoir et approuver les procédures opérationnelles des prestataires de services

Official Gazette nº 37 of 10/09/2018 105 myenda ku bijyanye n’ukuri n’ubusugire by’amakuru n’imiterere y’ibiciro igihe ibona bikwiriye; 3° gutegeka gutanga raporo n’andi makuru igihe akenewe kugira ngo hakorwe igenzura rikwiye kandi rinoze; 4° gukora igenzura ry’ibitabo, ibaruramari, inyandiko, ibikorwa n’iry’andi makuru arebana n’utanga serivisi z’ibiro by’amakuru ku myenda, abatanga amakuru, n’abayakoresha igihe bikenewe no gukora igenzuramikorere. Ingingo ya 44: Gucunga ibikorwa by’ikusanyirizo ry’amakuru ku myenda Banki Nkuru ishinzwe ibikorwa by’ikusanyirizo ry’amakuru ku myenda. Banki Nkuru itegura kandi igacunga ububiko bw’amakuru bunoze cyangwa igaha undi muntu ububasha bwo kuyitegurira no kuyicungira ubwo bubiko. Banki Nkuru cyangwa umuntu wahawe ububasha bwo gucunga ububiko bw’amakuru yita ku ireme ry’amakuru, ibanga, umutekano w’amakuru n’uburenganzira bwa nyir’amakuru biteganywa n’iri tegeko. accuracy and integrity and fee structures, as it considers appropriate; 3° to instruct the transmission of reports and other information necessary for effective and efficient supervision; 4° to conduct audit of books, accounts, documents, transactions, and any other information relating to the operator of credit bureau, data providers and data users if considered necessary and conduct technical audits. Article 44: Maintenance of the credit registry operations The Central Bank is responsible for the operations of the credit registry. The Central Bank develops and maintains an adequate database or empowers a third party acting on behalf of the Central Bank to develop and maintain such database. The Central Bank or a person empowered to maintain the credit registry is subject to data quality, confidentiality, data security and data subject’s rights provided for by this Law. d’informations sur les crédits sur la véracité et l’intégrité des données et les structures des frais, s’il le considère approprié; 3° exiger la transmission de rapports et d’autres informations nécessaires pour une supervision effective et efficiente; 4° mener les inspections des livres, des comptes, des documents, des opérations, et de toute autre information relative à l’opérateur du bureau de crédit, aux fournisseurs des données et aux utilisateurs des données s’il s’avère nécessaire, et mener des audits techniques. Article 44: Maintien des opérations de la centrale d’informations sur les crédits La Banque Centrale est responsable des opérations de la centrale d’informations sur les crédits. La Banque Centrale développe et maintient une base de données adéquate ou la fait développer et maintenir par une tierce partie agissant pour son compte. La Banque Centrale ou une personne agissant pour son compte veille à la qualité des données, à la confidentialité, à la sécurité des données et aux droits de sujets de données prévus par la la présente loi.

Official Gazette nº 37 of 10/09/2018 106 Icyakora uwahawe ububasha bwo gucungira Banki Nkuru ikusanyirizo ry’amakuru ku myenda ntiyemerewe: 1° gushinga ibiro by’amakuru ku myenda mu Rwanda; 2° gutanga amakuru ku bigo bikusanya amakuru ku myenda bikorera mu Rwanda; 3° gutangaza mu izina rya Banki Nkuru cyangwa mu izina rye bwite amakuru ayo ariyo yose yabonye mu gihe yakoraga imirimo ashinzwe. Ingingo ya 45: Gushyiraho ingamba z’umutekano mu gutangaza amakuru Banki Nkuru iteganya ingamba z’umutekano zirimo: 1° amasezerano hagati y’abatanga serivisi z’ihererekanyamakuru ku myenda bemerewe gukora nk’utanga serivisi z’ibiro by’amakuru ku myenda n’undi utanga serivisi, agaragaza ibigomba gukurikizwa kuri serivisi yerekeye amakuru; 2° inyandiko ku ngamba z’umutekano igaragaza intambwe zatewe n’abakorana n’utanga serivisi z’ibiro by’amakuru ku myenda mu rwego rwo kugenzura ko ahakusanyirizwa amakuru hatekanye kandi ko amakuru yizewe; However, a third party empowered to run the Credit registry on behalf of the Central Bank is not allowed to: 1° establish a credit bureau in Rwanda; 2° transmit data to credit registries operating in Rwanda; 3° disclose on behalf of the Central Bank or on its own behalf any information obtained in course of performing his/her duties. Article 45: Setting up security measures in data disclosure The Central Bank provides for security measures including: 1° agreement between the credit reporting service provider authorized to operate as an operator of credit bureau’s license and the third party service provider specifying conditions of the service regarding the data; 2° security measures document indicating the specific steps undertaken by partners of the credit reporting service provider in order to ensure perfect protection and integrity of the database; Toutefois, il est interdit à une tierce personne à laquelle il est donné le pouvoir de gérer la centrale d’informations sur les crédits de: 1° mettre en place un bureau de crédit au Rwanda; 2° transmettre des données aux centrales d’informations sur les crédits opérant au Rwanda; 3° révéler pour le compte de la Banque Centrale ou pour son propre compte toute information obtenue dans l’exercice de ses attributions. Article 45: Mettre en place les mesures de sécurité dans la révélation des données La Banque Centrale prévoit des mesures de sécurité comprenant: 1° un accord entre le prestataire des services d’information sur les crédits agréé comme opérateur du bureau de crédit et un tiers prestataire de services, spécifiant les conditions du service sur les données; 2° un document sur les mesures de sécurité indiquant les étapes spécifiques entreprises par les partenaires du prestataire des services d’informations sur les crédits pour assurer une parfaite protection et une intégrité de la base des données;

Official Gazette nº 37 of 10/09/2018 107 3° kugaragaza neza abirengera ingaruka zaturuka ku mikoreshereze mibi y’amakuru, ku kuyabona bitemewe, ku ibura ryayo, ku kuyahindura bitemewe n’amategeko cyangwa kuyangiza. Ingingo ya 46: Ububasha bwa Banki Nkuru ku bijyanye n’ihererekanya ry’amakuru n’ibindi bihugu Banki Nkuru ishobora kwemera ihererekanyamakuru ryerekeye imyenda n’ibindi bihugu hashingiwe ku masezerano u Rwanda rugirana na byo cyangwa hashingiwe ku masezerano y’ubufatanye hagati ya Banki Nkuru n’urwego rw’ikindi gihugu bireba. Ingingo ya 47: Ububasha bwo gushyiraho amabwiriza Banki Nkuru ishyiriraho amabwiriza n’imirongo ngenderwaho abatanga serivisi z’ibigo by’amakuru ku myenda, abatanga amakuru n’abayakoresha kugira ngo bubahirize ibiteganywa n’iri tegeko. Ingingo ya 48: Ubundi bubasha bwa Banki Nkuru Banki Nkuru kandi ifite ububasha bukurikira: 3° clear accountability for data misuse or unauthorized access, loss, corruption or destruction. Article 46: Powers of the Central Bank over cross-border data flows The Central Bank may approve the sharing of credit information beyond borders of the Republic of Rwanda, subject to terms and conditions of an agreement between Rwanda and those States or a memorandum of understanding between the Central Bank and the relevant authority of the concerned country. Article 47: Regulation powers The Central Bank issues regulations, instructions and guidelines for Credit reporting service providers, data providers and users to ensure compliance with provisions of this Law. Article 48: Other powers of the Central Bank The Central Bank also has the following powers: 3° une définition claire des responsabilités pour mauvaise utilisation des données ou un accès non autorisé, une perte, une corruption ou une destruction. Article 46: Pouvoirs de la Banque Centrale en matière de flux transfrontaliers de données La Banque Centrale peut approuver l’échange d’informations sur les crédits au délà des frontières de la République du Rwanda, sous les termes et les conditions d’un accord entre le Rwanda et ces Etats ou d’un protocole d’entente entre la Banque Centrale et l’autorité compétente du pays concerné. Article 47: Pouvoirs de régulation La Banque Centrale édicte des règlements, des instructions et des lignes directrices pour les prestataires de service d’information sur les crédits, les fournisseurs et les utilisateurs de données en vue de s’assurer de leur conformité aux dispositions de la présente loi. Article 48: Autres pouvoirs de la Banque Centrale La Banque Centrale a également les pouvoirs suivants:

Official Gazette nº 37 of 10/09/2018 108 1° gutanga no kuvanaho icyemezo cy’utanga serivisi z’ibiro by’amakuru ku myenda; 2° gukurikirana uburyo amahame ngengamyitwarire, umutekano n’imikorere inoze mu ihererekanya ry’amakuru ku myenda byubahirizwa; 3° gufatira ibihano byo mu rwego rw’ubutegetsi abatubahirije iri tegeko n’amabwiriza atangwa na Banki Nkuru. UMUTWE WA VI: INAMA NGISHWANAMA Y’IHEREREKANYAMAKURU KU MYENDA Ingingo ya 49: Ishyirwaho ry’Inama Ngishwanama y’ihererekanyamakuru ku myenda n’abayigize Hashyizweho Inama Ngishwanama y’ihererekanyamakuru ku myenda. Iteka rya Minisitiri w’Intebe rigena inshingano z’Inama Ngishwanama y’ihererekanyamakuru ku myenda rikanashyiraho abayigize na manda yabo. 1° to issue and revoke the license of operator of credit bureau; 2° to monitor modalities of compliance with proper standards of conduct, ensure safety and efficiency of credit information reporting practices; 3° to impose administrative sanctions to those infringing this Law as well as regulations and instructions issued by the Central Bank. CHAPTER VI: ADVISORY CREDIT REPORTING COUNCIL Article 49: Establishment of the Advisory Credit Reporting Council and its members An Advisory credit reporting Council is established. An Order of the Prime Minister determines responsibilities of the Advisory credit reporting Council, appoints of its members and their term of office. 1° approuver et révoquer les agréments de l’opérateur du bureau de crédit; 2° faire le suivi des modalités du respect des normes de conduite appropriées et d’assurer la sécurité et l’efficacité des pratiques de déclaration d’informations de crédit; 3° imposer des sanctions administratives aux personnes violant les dispositions de la présente loi ainsi que des règlements et des instructions émises par la Banque Centrale. CHAPITRE VI: CONSEIL CONSULTATIF D’INFORMATIONS SUR LES CREDITS Article 49: Création du Conseil Consultatif d’Informations sur les Crédits et ses membres Il est créé un Conseil Consultatif d’informations sur les crédits. Un arrêté du Premier Ministre détermine les attributions du Conseil Consultatif d’informations sur les crédits, la nomination de ses membres et leur mandat.

Official Gazette nº 37 of 10/09/2018 109 UMUTWE WA VII: AMAKOSA, IBYAHA N’IBIHANO Icyiciro cya mbere: Amakosa n’ibihano byo mu rwego rw’ubutegetsi Ingingo ya 50: Amakosa n’ibihano byo mu rwego rw’ubutegetsi Utanga serivisi z’ihererekanyamakuru ku myenda cyangwa utanga amakuru ukora ibikorwa bikurikira: 1° uhindura cyangwa usiba bidakurikije amategeko cyangwa wangiza amakuru ari mu ikusanyirizo ry’amakuru; 2° utubahiriza ingamba z’umutekano ukenewe mu kurinda amakuru kugira ngo atagerwaho n’abatabyemerewe cyangwa kugira ngo adakoreshwa nabi; 3° udasuzuma ireme ry’amakuru no kutagenzura dosiye zo kubika mu biro by’amakuru ku myenda; 4° udakorana neza n’umugenzuzi mu gihe cy’igenzura cyangwa utamushyikiriza raporo cyangwa amakuru akenewe; 5° ikindi gikorwa kinyuranyije n’ibiteganywa n’iri tegeko; CHAPTER VII: FAULTS, OFFENCES AND PENALTIES Section One: Faults and administrative sanctions Article 50: Faults and administrative sanctions A credit reporting service provider or a data provider that performs the following acts: 1° to unlawfully modify, delete or damage information from its database; 2° to fail to adopt security measures that are necessary to protect data from unauthorized access or misuse; 3° to fail to adopt data quality control and to monitor the files to load into the credit bureau; 4° to fail to collaborate with the supervisor during the examination process or to provide required reports or information to the supervisor; 5° any other act infringing upon the provisions of this Law; CHAPITRE VII: FAUTES, INFRACTIONS ET PEINES Section première: Fautes et sanctions administratives Article 50: Fautes et sanctions administratives Le prestataire de services d’information sur les crédits et le fournisseur de données qui pratique des actes suivants: 1° modifier illégalement, rayer ou endommager des informations contenues dans sa base de données; 2° ne pas adopter des mesures de sécurité nécessaires pour protéger les données contre l’accès non autorisé ou le mauvais usage; 3° ne pas faire le suivi de la qualité des données et la surveillance des dossiers à mettre au bureau; 4° ne pas collaborer avec le superviseur pendant le processus de vérification ou ne pas fournir au superviseur des rapports ou des informations requises ; 5° tout autre acte en contravention des dispositions de la présente loi ;

Official Gazette nº 37 of 10/09/2018 110 aba akoze ikosa. Ahanishwa ibihano byo mu rwego rw’ubutegetsi bigenwa na Banki Nkuru, ikoresheje amabwiriza. Icyiciro cya 2: Ibyaha n’ibihano Ingingo ya 51: Gukora umurimo w’ihererekanyamakuru ku myenda nta ruhushya Umuntu wese: 1° ukora umurimo w’ihererekanyamakuru ku myenda atabifitiye uruhushya; 2° ukoresha amagambo “ibiro by’amakuru ku myenda” cyangwa “utanga serivisi z’ihererekanyamakuru” cyangwa amagambo bifitanye isano mu izina ry’ikigo cyangwa mu ntego zacyo kandi atabifiye uruhushya; aba akoze icyaha. Iyo abihamijwe n’urukiko ahanishwa igifungo kitari munsi y’imyaka itatu (3) ariko kitarenze imyaka itanu (5) n’ihazabu y’amafaranga y’u Rwanda atari munsi ya miliyoni eshanu (5.000.000 FRW) ariko atarenze miliyoni icumi (10.000.000 FRW). commits a fault. He/she is liable to administrative sanctions determined by the regulations or instructions of the Central Bank. Section 2: Offences and penalties Article 51: Unlicensed credit reporting services Any person who: 1° administrates a credit bureau without a license; 2° uses the words "credit bureau" or “credit reporting service provider” or related terms in its corporate names or its trade names without license; commits an offence. Upon conviction he/she is liable to imprisonment for a term of not less than three (3) years and not more five (5) years and a fine of not less than five million Rwandan francs (FRW 5,000,000) and not more than ten million Rwandan francs (FRW 10,000,000). commet une faute. Il est passible d’une sanction administrative determinée par les règlements ou instructions de la Banque centrale. Section 2: Infractions et peines Article 51: Prestation de service d’informations sur les crédits sans agrément Toute personne qui: 1° administre un bureau de crédit sans agrément; 2° utilise les mots “bureau de crédit” ou “prestataire de service d’informations sur les crédits” ou des termes connexes dans son appellation ou sa raison sociale, sans agrément; commet une infraction. Si elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins trois (3) ans mais n’excédant pas cinq (5) ans et d’une amende d’au moins cinq million de francs rwandais (5.000.000 FRW) mais n’excédent pas dix million de francs rwandais (10.000. 000 FRW).

Official Gazette nº 37 of 10/09/2018 111 Ingingo ya 52: Gukoresha no gutanga amakuru ku myenda mu buriganya Umuntu wese: 1° ukoresha mu buriganya, agatangaza amakuru ku myenda ari mu bubiko bw’utanga serivisi z’ihererekanyamakuru ku myenda; 2° utanga amakuru azi neza ko atari yo k’utanga serivisi z’ihererekanyamakuru ku myenda ; aba akoze icyaha. Iyo abihamijwe n’urukiko, ahanishwa igifungo kitari munsi y’amezi atandatu (6) ariko kitarenze imyaka ibiri (2) n’ihazabu y’amafaranga y’u Rwanda atari munsi ya miliyoni eshatu (3.000.000 FRW) ariko atarenze miliyoni eshanu (5.000.000 FRW) cyangwa kimwe gusa muri ibi bihano. Ingingo ya 53: Ibyaha bikozwe n’isosiyete y’ubucuruzi, umuryango, ikigo, ishyirahamwe cyangwa urugaga rw’amashyirahamwe bifite ubuzimagatozi Iyo icyaha giteganywa n’iri tegeko gikozwe n’ isosiyete y’ubucuruzi, umuryango, ikigo, ishyirahamwe cyangwa urugaga rw’amashyirahamwe bifite ubuzimagatozi kandi hakagaragara ibimenyetso by’uko cyakozwe Article 52: Fraudulent use and disclosure of credit information Any person who: 1° fraudulently manipulates and discloses credit information contained in the credit reporting service provider’s database; 2° knowingly provides false information to a credit reporting service provider; commits an offence. Upon conviction, he/she is liable to imprisonment for a term of not less than six (6) months but not more than two (2) years and a fine of not less than three million Rwandan francs (FRW 3,000,000) but not more than five million Rwandan francs (Frw 5,000.000) or one of these penalties only. Article 53: Offences committed by a company, organization, body, association or an umbrella of associations with legal personality Where an offence provided for by this Law is committed by a company, organization body, association or an umbrella of associations with legal personality and there is evidence that the offence is committed due to its consent, negligence or bad faith of the following persons: Article 52: Utilisation et révélation d’informations de crédit de façon frauduleuse Toute personne qui: 1° manipule et révèle de façon frauduleuse les informations de crédit contenues dans la base des données du prestataire de services d’information sur les crédits; 2° sciemment, fournit des informations erronées à un prestataire de services d’information sur les credits; commet une infraction. Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins six (6) mois mais n’excédant pas deux (2) ans et d’une amende d’au moins trois millions de francs rwandais (3.000.000 FRW) mais n’excédant pas cinq millions de francs rwandais (5.000.000 FRW) ou de l’une de ces peines seulement. Article 53: Infractions commises par une société commerciale, organisation, entité, association ou collectif d’associations dotées de la personnalité juridique Lorqu’une infraction est commise par une société commerciale, organisation, une entité, une association ou un collectif d’associations dotés de la personnalité juridique et qu’il a des peuves que la commission de l’infraction resulte de son

Official Gazette nº 37 of 10/09/2018 112 bibyemeye, biturutse ku burangare cyangwa umugambi mubisha by’aba bakurikira: 1º umuyobozi uwo ari we wese, umucungamutungo, umunyamabanga cyangwa umukozi babyo; 2º uwiyitiriye ububasha bw’abavugwa mu gace ka 1° k’igika cya mbere cy’iyi ngingo kubera ko akorana cyangwa yigeze gukorana na byo; biba bikoze icyaha. Iyo bigihamijwe n’urukiko, bihanishwa kwishyura ihazabu y’amafaranga y’u Rwanda atari munsi ya miliyoni makumyabiri (20,000,0000FRW) ariko atarengeje miliyoni mirongo itanu (50,000,000 FRW) cyangwa iseswa. Uburyozwacyaha bw’isosiyete y’ubucuruzi, umuryango, ikigo, ishyirahamwe cyangwa urugaga rw’amashyirahamwe bifite ubuzimagatozi, buteganywa n’igika cya mbere cy’iyi ngingo ntibibuza ko ababigizemo uruhare cyangwa ibyitso byabo bakurikiranwaho ibyaha ku giti cyabo. 1º an official at any level, a manager, a secretary or a staff member; 2º a person who usurped the power referred to in item 1° of Paragraph One of this Article following the position he/she has or used to have; commits an offence. Upon conviction, the legal entity is liable to a fine of not less than twenty million Rwandan francs (FRW 20,000,000) and not more than fifty million Rwandan francs (FRW 50,000,000) or its dissolution. The criminal liability of the company, institution or organization, body, association or an umbrella of associations with legal personality provided for in Paragraph One of this Article does not exclude criminal proceedings against the offenders or their accomplices. accord, de la négligence ou de la mauvaise foi des personnes suivantes: 1º une autorité quel que soit le niveau, un gestionnaire, un secrétaire ou un employé; 2º une personne ayant usurpé le pouvoir visé au point 1° de l’alinéa premier du present article suite au poste occupé ou ayant été occupé; commet une infraction. Lorsque la personne morale en est reconnue coupable, elle est passible d’une amende d’au moins vingt millions de francs rwandais (20.000.000 FRW) mais n’excédent pas cinquante millions de francs rwandais (50.000. 000 FRW) ou de sa dissolution La résponsabilité pénale de la société commerciale institution, organisation, une entité, une association ou un collectif d’associations dotées de la personnalité juridique prévues par l’alinéa premier du present article n’exclut pas la poursuite pénale des auteurs de l’infraction et de leurs complices.

Official Gazette nº 37 of 10/09/2018 113 UMUTWE WA VIII: INGINGO Y’INZIBACYUHO N’IZISOZA Ingingo ya 54: Agaciro k’ibyakozwe Ibyakozwe hashingiwe ku Itegeko nº 16/2010 ryo ku wa 07/05/2010 rigena uburyo bw’ihererekanyamakuru ku myenda mu Rwanda bigumana agaciro kabyo. Ingingo ya 55: Itegurwa, isuzumwa n’itorwa by’iri tegeko Iri tegeko ryateguwe mu rurimi rw’Icyongereza, risuzumwa kandi ritorwa mu rurimi rw’Ikinyarwanda. Ingingo ya 56: Ivanwaho ry’itegeko n’ingingo z’amategeko zinyuranyije n’iri tegeko Itegeko nº 16/2010 ryo ku wa 07/05/2010 rigena uburyo bw’ihererekanyamakuru ku myenda mu Rwanda n’izindi ngingo zose z’amategeko abanziriza iri zinyuranyije na ryo bivanyweho. Ingingo ya 57: Igihe iri tegeko ritangira gukurikizwa Iri tegeko ritangira gukurikizwa ku munsi ritangarijweho mu Igazeti ya Leta ya Repubulika y’u Rwanda. CHAPTER VIII: TRANSITIONAL AND FINAL PROVISIONS Article 54: Validity of acts performed Acts performed under Law nº 16/2010 of 07/05/2010 governing credit information system in Rwanda remain valid. Article 55: Drafting, consideration and adoption of this Law This Law was drafted in English, considered and adopted in Ikinyarwanda. Article 56: Repealing provision Law nº 16/2010 of 07/05/2010 governing credit information system in Rwanda and all other prior legal provisions contrary to this Law are repealed. Article 57: Commencement This Law comes into force on the date of its publication in the Official Gazette of the Republic of Rwanda. CHAPITRE VIII: DISPOSITIONS TRANSITOIRES ET FINALES Article 54: Validité des actes accomplis Les actes accomplis en vertu de la Loi nº 16/2010 of 07/05/2010 régissant le système de gestion d’informations sur le crédit au Rwanda restent valides. Article 55: Initiation, examen et adoption de la présente loi La présente loi a été initiée en anglais, examinée et adoptée en Ikinyarwanda. Article 56: Disposition abrogatoire La Loi no 16/2010 du 07/05/2010 régissant le système de gestion d’informations sur le crédit au Rwanda et toutes les autres dispositions légales antérieures contraires à la présente loi sont abrogées. Article 57: Entrée en vigueur La présente loi entre en vigueur le jour de sa publication au Journal Officiel de la République du Rwanda.

Official Gazette nº 37 of 10/09/2018 114 Kigali, ku wa 31/08/2018 (sé) KAGAME Paul Perezida wa Repubulika Kigali, on 31/08/2018 (sé) KAGAME Paul President of the Republic Kigali, le 31/08/2018 (sé) KAGAME Paul Président de la République (sé) Dr. NGIRENTE Edouard Minisitiri w’Intebe (sé) Dr. NGIRENTE Edouard Prime Minister (sé) Dr. NGIRENTE Edouard Premier Ministre Bibonywe kandi bishyizweho Ikirango cya Repubulika: (sé) BUSINGYE Johnston Minisitiri w’ Ubutabera/Intumwa Nkuru ya Leta Seen and sealed with the Seal of the Republic: (sé) BUSINGYE Johnston Minister of Justice/Attorney General Vu et scellé du Sceau de la République: (sé) BUSINGYE Johnston Ministre de la Justice/Garde des Sceaux