وبالنظر الى نص مرجعي عن الـGDPR، اخبرني كيف الـGDPR يساعد على تأمين البيانات الشخصية.
Context:اللائحة العامة لحماية البيانات (2016/679، "GDPR") هي لائحة في قانون الاتحاد الأوروبي عن حماية البيانات والخصوصية في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية (EEA). الـGDPR مكون مهم من قانون الخصوصية في الاتحاد الأوروبي وقانون حقوق الإنسان، وخاصة المادة 8 (ب) من ميثاق الحقوق الأساسية في الاتحاد الأوروبي. ويهتم ايضاً بنقل البيانات الشخصية خارج منطقة الاتحاد الأوروبي و المنطقة الاقتصادية الأوروبية. الهدف الأساسي من الـGDPR هو تعزيز سيطرة الأفراد وحقوقهم على بياناتهم الشخصية وتبسيط البيئة التنظيمية للعمل التجاري الدولي. ويحل اللائحة محل توجيه حماية البيانات 95/46 / EC، ويحتوي على احكام ومتطلبات مرتبطة بمعالجة البيانات الشخصية للأفراد، والتي تسمى رسميا "موضوع البيانات" ، والذين يقعون في المنطقة الاقتصادية الأوروبية، وتطبق على اي مؤسسة -بغض النظر عن موقعها و جنسية مواضيع البيانات او اقامتها- التي تعالج معلومات شخصية للأفراد داخل المنطقة الاقتصادية الأوروبية. الـGDPR اتبنت في 14 ابريل 2016 واصبحت قابلة للتنفيذ بداية من 25 مايو 2018. بِمَا ان الـGDPR هو نظام، لا توجيه، هو ملزم و قابل للتطبيق مباشرة، ويقدم مرونة لبعض جوانب اللائحة ليتم تعديلها من قبل الدول الأعضاء الفردية.  وفقاً للمفوضية الأوروبية، "البيانات الشخصية هي معلومات تتعلق بشخص معين او قابل للتعريف. اذا لم تتمكن من تحديد هوية الفرد مباشرة من تلك المعلومات، فانك تحتاج ان تفكر اذا كان الفرد مازال قابل للتعرف عليه. يجب عليك ان تأخذ في الاعتبار المعلومات التي تعالجها مع كل الوسائل المحتمل ان تستخدمها انت او اي شخص اخر لتحديد هوية هذا الفرد". التعريفات الدقيقة للمصطلحات مثل "البيانات الشخصية" و "المعالجة" و "موضوع البيانات" و "المشرف" و "المعالج" موجودة في المادة 4 من اللائحة.  مبادئ لا يجوز معالجة البيانات الشخصية الا اذا كان هناك اساس قانوني واحد على الاقل للقيام بذلك. المادة 6 تنص على الأغراض المشروعة هي:  (أ) اذا موضوع البيانات اعطي موافقته على معالجة بياناته الشخصية؛ (b) للوفاء بالتزامات تعاقدية مع موضوع البيانات، او للمهام بناء على طلب من موضوع البيانات الذي هو في عملية الدخول في عقد؛ (ج) للوفاء بالتزامات القانونية لمراقب البيانات؛ (د) لحماية المصالح الحيوية لموضوع البيانات او فرد آخر؛ (هـ) لأداء مهمة في المصلحة العامة او في السلطة الرسمية؛ (f) للمصالح المشروعة لمراقب البيانات او لجهة ثالثة ، الا اذا كانت هذه المصالح مهمة اكثر من مصالح موضوع البيانات او حقوقه وفقاً لميثاق الحقوق الاساسية (خاصة في حالة الاطفال).  أمن البيانات الشخصية المتحكمين و معالجين للبيانات الشخصية يجب ان يضعوا تدابير تقنية وتنظيمية مناسبة لتنفيذ مبادئ حماية البيانات. العمليات التجارية التي تتعامل مع البيانات الشخصية يجب ان تصمم وتبنى مع مراعاة المبادئ وتوفر ضمانات لحماية البيانات (على سبيل المثال، باستخدام التشفير المزيف او التشفير الكامل عند الاقتضاء). مراقبو البيانات لازم يصمموا انظمة المعلومات مع الخصوصية في الاعتبار. مثلًا، باستخدام أعلى إعدادات الخصوصية الممكنة بشكل افتراضي، بحيث لا تكون مجموعات البيانات متاحة للجمهور بشكل افتراضي ولا يمكن استخدامها لتحديد هوية الشخص. لا يمكن معالجة البيانات الشخصية الا اذا كان هذا المعالجة تمت تحت واحد من الستة اسس قانونية المحددة في اللائحة (الموافقة، العقد، المهمة العامة، المصلحة الحيوية، المصلحة المشروعة او المطلب القانوني). حين تكون المعالجة مبنية على الموافقة، يحق لموضوع البيانات الانسحاب من الموافقة في اي وقت.  المادة 33 تَقُول بِأن المتحكم بالبيانات مُلزم قانوناً بِإخطار الهيئة الإشرافية بدون تأخير غير مبرر الا اذا كان من غير المرجح ان يؤدي الخرق الى خطر على حقوق وحريات الأفراد. اكو حد اعلى 72 ساعه من بعد علمنا بخروجه البيانات لاخراج التقرير. الافراد لازم يبلغوا اذا تم تحديد خطر كبير للتأثير السلبي (المادة 34). وبالاضافه، المُعَالِجُ عَلَى ان يُبلغ المُدَبِّر بدون تأخير زائف بعد ان يكتشف انتهاك البيانات الشخصية (المادة 33). بَعْدَ كُلِّ، الإشعار للمخضوعين للبيانات لا يَلْزَمُ إذا كان وَكِيل البيانات قد نفذ تدابير حماية تقنية وتنظيمية مناسبة تجعل البيانات الشخصية غير مفهومة لأي شخص غير مخول للوصول اليها، مثل التشفير (المادة 34).  موظف حماية البيانات  المادة 37 تشترط تعيين موظف حماية البيانات. اذا كانت المعالجة تقوم بها سلطة عامة (باستثناء المحاكم او الجهات القضائية المستقلة اذا كانت تعمل بصفتها القضائية) ، او اذا كانت عمليات المعالجة تتضمن مراقبة منتظمة ومنهجية لموضوع البيانات على نطاق واسع، او اذا كانت المعالجة على نطاق واسع من فئات خاصة من البيانات والبيانات الشخصية المتعلقة بالادعاءات الجنائية والجرائم (المواد 9 والمادة 10) موظف حماية البيانات (DPO) - شخص لديه معرفة خبرية بقانون وحماية البيانات والممارسات - يجب ان يتم تعيينه لمساعدة المسؤول عن المعالجة او المعالج في مراقبة امتثالهم الداخلي لللائحة.  الموظف المعين يمكن ان يكون عضو حالي في موظفي وحدة التحكم او المعالج، او يمكن ان يكون الدور من الخارج الى شخص خارجي او وكالة من خلال عقد خدمة. بأي حال، الجهاز المهتم بالمعالجة يجب عليه ان يتأكد من عدم وجود تضارب مصالح في الأدوار أو المصالح الاخرى التي قد يحملها مراقب البيانات. بيانات الاتصال لموظف حماية البيانات يجب ان تنشر من قبل منظمة المعالجة (مثلاً في اعلان الخصوصية) وتسجل مع الجهة الرقابية.  ضابط الخصوصية يشبه موظف الامتثال ويتوقع ايضا ان يكون ماهرا في ادارة عمليات تكنولوجيا المعلومات, امن البيانات (بما في ذلك التعامل مع الهجمات الالكترونية) وقضايا استمرارية العمل الحرجة الاخرى المرتبطة بحفظ ومعالجة البيانات الشخصية والحساسة. المهارات المطلوبة تمتد اكثر من فهم الامتثال القانوني لقوانين وحماية البيانات. الموظف المكلف بالبيانات يجب عليه ان يحافظ على مخزون من البيانات الحية لكل البيانات المجمعة والمخزنة نيابة عن المنظمة. الاطلاع اكثر على الوظيفه ودور موظف حماية البيانات اعطى في 13 ديسمبر 2016 (مراجعة في 5 ابريل 2017) في وثيقة توجيهات.  المنظمات المُقيمه خارج الاتحاد الاوروبي لازم تُعيّن شخص مقيم في الاتحاد الاوروبي كممثل ونقطة اتصال لالتزاماتهم في الـ GDPR (المادة 27). هذا دور مميز من DPO، بالرغم من ان هناك تداخل في المسؤوليات التي تَقترح ان هذا الدور يمكن ان يحمله DPO المعين ايضا.
اللائحة العامة لحماية البيانات توفر توجيهات حول تخزين ومعالجة البيانات الشخصية. البيانات الشخصية هي اي معلومات عن شخص محدد او قابل للتعرف عليه، والمعروف ايضا باسم موضوع البيانات. البيانات الشخصية تتضمن معلومات مثل:  الاسم العنوان رقم بطاقة الهوية/ جواز السفر دخل ملامح ثقافيه عنوان بروتوكول الانترنت البيانات التي تملكها المستشفى او الطبيب (التي تحدد شخص بشكل فريد لأغراض صحية).  فئات خاصة من البيانات لا يجوز لك معالجة بيانات شخصية عن شخص ما:  العرق او الأصل العرقي التوجه الجنسي الآراء السياسية المعتقدات الدينية او الفلسفية عضوية نقابات المعلومات الجينية او البيومترية او المعلومات الصحية الا في حالات محددة (مثلاً اذا اعطيت موافقتك الصريحة او اذا كانت المعالجة ضرورية لأسباب من المصلحة العامة الجوهرية على اساس قانون الاتحاد الاوروبي او الوطني) البيانات الشخصية المتعلقة بالادعاءات الجنائية والجرائم الا اذا كان هذا مسموح به بموجب قانون الاتحاد الاوروبي او القانون الوطني.  من يعالج البيانات الشخصية؟ اثناء المعالجة، البيانات الشخصية يمكن ان تمر عبر شركات او منظمات مختلفة. في هذه الدورة، هناك اثنين من الملفات الرئيسية التي تتعامل مع معالجة البيانات الشخصية:  مدير البيانات يقرر الغرض والطريقة التي تتم فيها معالجة البيانات الشخصية. معالج البيانات - يحتفظ بالبيانات ويعالجها نيابة عن مراقب البيانات. مَنْ يراقب كيفية معالجة البيانات الشخصية داخل الشركة؟ موظف حماية البيانات (DPO) ، والذي قد يكون قد عينته الشركة، هو المسؤول عن مراقبة كيفية معالجة البيانات الشخصية وإبلاغ ونصيحة الموظفين الذين يعالجون البيانات الشخصية عن التزاماتهم. مُدير الاطلاع على البيانات ايضاً يتعاون مع هيئة حماية البيانات (DPA) ، ويعمل كمركز اتصال مع هيئة حماية البيانات والافراد.  معالجة البيانات لشركة اخرى ويمكن لمراقب البيانات ان يستخدم فقط معالج البيانات الذي يقدم ضمانات كافية، وينبغي تضمينها في عقد مكتوب بين الاطراف المعنية. العقد لازم يحتوي ايضاً على عدد من البنود الإلزامية، مثلًا أن معالج البيانات سيقوم بمعالجة البيانات الشخصية فقط عندما يطلب منه معالج البيانات فعل ذلك.  نقل البيانات خارج الاتحاد الأوروبي عندما يتم نقل البيانات الشخصية خارج الاتحاد الأوروبي، الحماية التي يوفرها الـGDPR يجب ان تتنقل مع البيانات. هذا يعني اذا كنت تصدر البيانات لخارج البلاد، شركتك لازم تضمن احدى التدابير التالية:  الحماية لبلد خارج الاتحاد الاوروبي تعتبر كافية من قبل الاتحاد الاوروبي. شركتك تتخذ التدابير اللازمة لتوفير الضمانات المناسبة، مثل تضمين بنود محددة في العقد المتفق عليه مع المستورد غير الأوروبي للبيانات الشخصية. شركتك تعتمد على أسباب محددة للتحويل (استثناءات) مثل موافقة الفرد. متى يُسمح بمعالجة البيانات؟ قوانين حماية البيانات في الاتحاد الأوروبي تعني انه يجب عليك معالجة البيانات بطريقة عادلة وقانونية، لغرض محدد وشرعي ومعالجة البيانات اللازمة فقط للوفاء بهذا الغرض. عليك التأكد من انك تمتثل لواحد من الشروط التالية لمعالجة البيانات الشخصية:  حصلوا على موافقة الفرد المعني احتاج البيانات الشخصية للوفاء بالتزام تعاقدي مع الفرد احتاج البيانات الشخصية لتلبية التزام قانوني احتاج البيانات الشخصية لحماية المصالح الحيوية للفرد معالجة البيانات الشخصية لتنفيذ المهمة بمصلحة الجمهور تعمل في المصالح المشروعة لشركتك، طالما ان الحقوق والحريات الأساسية للفرد الذي تتم معالجته بياناته لا تتأثر بشكل كبير. اذا حقوق الشخص تفوق مصالح شركتك، فلن تتمكن من معالجة البيانات الشخصية.   الموافقة على معالجة البيانات - الموافقة حق الوصول والحق في نقل البيانات الحق في التصحيح والحق في الاعتراض الحق بالمسح (الحق بالانسيان) إتخاذ القرارات الآلي و التنميط خرق البيانات <unk> توفير الإخطار المناسب الرد على الطلبات تقييمات التأثير حفظ سجل