ما هي اللائحة العامة لحماية البيانات؟

التعريف

البيانات الشخصية هي أي معلومة عن شخص يمكن تحديد هويته. ويهم دوران: المتحكم يقرر لماذا تُستخدم البيانات وكيف، والمعالج يعالجها نيابة عن المتحكم.

قد يفاجئ النطاق الجغرافي البعض. فوفق المادة 3، تخضع للائحة شركة خارج الاتحاد الأوروبي إذا عرضت سلعاً أو خدمات على أشخاص في الاتحاد أو راقبت سلوكهم فيه.

لماذا يهم

تسمح المادة 83 بغرامات تصل إلى 20 مليون يورو أو 4% من رقم الأعمال السنوي العالمي، أيهما أعلى، عن أخطر المخالفات.

لكن الضغط اليومي يأتي غالباً من المبيعات. فالمشترون يريدون اتفاقية معالجة ومعلومات أمنية قبل التوقيع.

كيف يعمل

سجّل أنشطة المعالجة لديك (المادة 30). وأعطِ كل نشاط غرضاً وأحد الأسس القانونية الستة في المادة 6: الموافقة، أو العقد، أو الالتزام القانوني، أو المصالح الحيوية، أو المهمة العامة، أو المصالح المشروعة.

طبّق مبادئ المادة 5، وأخبر الأشخاص بما تفعله، وأجب عن طلباتهم في الوصول والتصحيح والمحو وما شابه، عادة خلال شهر واحد (المادة 12).

ثم يأتي الأمن (المادة 32)، والاتفاقيات مع المعالجين (المادة 28)، وإخطار السلطة بالانتهاك الواجب الإبلاغ عنه خلال 72 ساعة (المادة 33).

حالة تطبيقية

تسجل شركة توظيف نشاطاً واحداً لطلبات التوظيف. الأساس القانوني هو الإجراءات السابقة للتعاقد. ومدة الاحتفاظ سنتان بعد آخر اتصال، مع ملاحظة بالسبب، والجهة المتلقية هي برنامج تتبع المتقدمين لديها، المشمول باتفاقية معالجة.

وحين يطلب متقدم نسخة من بياناته، يُسجَّل الطلب ويُجاب عنه خلال ثلاثة أسابيع.

ممارسات جيدة

• حدّث سجل المعالجة مع تغير المشاريع، ما دام الناس يتذكرون التفاصيل.
• اختر الأساس القانوني قبل بدء المعالجة، إذ يصعب تغييره بعد ذلك.
• حدد مدة احتفاظ لكل غرض، ثم احذف فعلاً.
• تدرّب على انتهاك وعلى طلب من صاحب البيانات، فكلاهما يأتي بمهلة.
• تحقق من مكان تخزين كل معالج للبيانات وأداة النقل التي تنطبق.

أخطاء شائعة

• استخدام الموافقة في كل مكان. فيمكن سحبها في أي وقت، وكثيراً ما يناسب أساس آخر أكثر.
• نسخ إشعار خصوصية لا يطابق ما تفعله، مما يحوّل مشكلة ورقية إلى إخلال بالشفافية.
• الاحتفاظ بالبيانات «تحسباً»، خلافاً لمبدأ تقييد التخزين.
• نسيان أن حاسوباً محمولاً مفقوداً قد يكون انتهاكاً للبيانات الشخصية.

أسئلة

هل تنطبق اللائحة على الشركات الصغيرة؟

نعم. الحجم لا يخفف إلا بعض الالتزامات، مثل الإعفاء المحدود من سجل المعالجة في الفقرة 5 من المادة 30.

هل تعيين مسؤول حماية البيانات إلزامي؟

فقط في حالات المادة 37: السلطات العامة، والمراقبة المنتظمة على نطاق واسع، ومعالجة الفئات الخاصة من البيانات على نطاق واسع.

هل يجب الإبلاغ عن كل انتهاك للبيانات الشخصية؟

لا. يُبلّغ إلى السلطة ما لم يكن من غير المرجح أن ينتج عنه خطر على الأشخاص، وإلى الأشخاص المعنيين حين يكون الخطر مرتفعاً (المادة 34). ويجب تسجيل كل الانتهاكات داخلياً.

هل يمكن نقل البيانات الشخصية خارج الاتحاد الأوروبي؟

نعم، وفق الفصل الخامس: قرار كفاية، أو ضمانات مناسبة مثل البنود التعاقدية القياسية، أو استثناءات محدودة.

ما الفرق بين المتحكم والمعالج؟

المتحكم يقرر الأغراض والوسائل. والمعالج يعمل وفق تعليماته وعليه التزامات مباشرة خاصة به.