لو اعطيتني نص مرجعي عن قانون حماية البيانات العامة، قل لي كيف يساعد قانون حماية البيانات العامة في تأمين البيانات الشخصية؟
Context:اللائحة العامة لحماية البيانات (2016/679، "GDPR") هي لائحة في قانون الاتحاد الأوروبي عن حماية البيانات والخصوصية في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية. الـGDPR جزء مهم من قانون الخصوصية في الاتحاد الأوروبي وقانون حقوق الإنسان، ولا سيما المادة 8 (1) من ميثاق الحقوق الأساسية للاتحاد الأوروبي. ويتناول ايضا نقل البيانات الشخصية خارج مناطق الاتحاد الاوروبي والمنطقة الاقتصادية الأوروبية. الهدف الرئيسي من الـ GDPR هو تعزيز سيطرة الأفراد وحقوقهم على بياناتهم الشخصية وتبسيط البيئة التنظيمية للأعمال التجارية الدولية. بيحل محل توجيه حماية البيانات 95/46 / EC، واللائحة تحتوي على أحكام ومتطلبات تتعلق بمعالجة البيانات الشخصية للأفراد، والتي تسمى رسمياً "مواضيع البيانات"، والتي تقع في المنطقة الاقتصادية الأوروبية، وتطبق على أي مؤسسة - بغض النظر عن موقعها وجنسية مواضيع البيانات أو إقامتهم - التي تعالج معلومات شخصية للأفراد داخل المنطقة الاقتصادية الأوروبية. تم اعتماد الـ GDPR في 14 أبريل 2016 وأصبح قابل للتنفيذ ابتداء من 25 مايو 2018. لأن الـGDPR هو لائحة، وليس توجيه، هو ملزم و قابل للتطبيق مباشرة، ويوفر مرونة لبعض جوانب اللائحة التي يمكن تعديلها من قبل الدول الأعضاء الفردية.  طبقاً للمفوضية الأوروبية، "البيانات الشخصية هي معلومات تتعلق بشخص محدد أو قابل للتعرف عليه. اذا لم تستطع تحديد هوية الفرد مباشرة من هذه المعلومات، فعليك ان تفكر اذا كان الفرد ممكن التعرف عليه. عليك أن تأخذ بعين الاعتبار المعلومات التي تعالجها مع جميع الوسائل التي من المحتمل معقولًا أن تستخدمها أنت أو أي شخص آخر لتحديد هوية هذا الشخص". التعريفات الدقيقة للمصطلحات مثل "البيانات الشخصية" و "المعالجة" و "موضوع البيانات" و "المشغل" و "المعالج" موجودة في المادة 4 من اللائحة.  مبادئ لا يجوز معالجة البيانات الشخصية إلا إذا كان هناك أساس قانوني واحد على الأقل للقيام بذلك. المادة 6 تنص على الأغراض المشروعة هي:  (أ) إذا كان موضوع البيانات قد وافق على معالجة بياناته الشخصية؛ (ب) للوفاء بالتزامات التعاقدية مع موضوع البيانات، أو للمهام بناء على طلب موضوع البيانات الذي هو في عملية إبرام عقد؛ (ج) للوفاء بالتزامات القانونية للمتحكم بالبيانات؛ (د) لحماية المصالح الحيوية لموضوع البيانات أو أي فرد آخر؛ (هـ) لأداء مهمة في المصلحة العامة أو في سلطة رسمية؛ (و) للمصالح المشروعة لمراقب البيانات أو لجهة ثالثة، إلا إذا كانت مصالح موضوع البيانات أو حقوقه وفقاً للميثاق الخاص بالحقوق الأساسية (خاصة في حالة الأطفال) تفوق هذه المصالح.  أمن البيانات الشخصية المتحكمين ومعالجين للبيانات الشخصية لازم يضعوا تدابير تقنية وتنظيمية مناسبة لتنفيذ مبادئ حماية البيانات. العمليات التجارية التي تتعامل مع البيانات الشخصية يجب تصميمها وبناءها مع مراعاة المبادئ وتوفير ضمانات لحماية البيانات (على سبيل المثال، باستخدام التشفير أو التشفير الكامل عند الاقتضاء). مراقبو البيانات لازم يصمموا انظمة المعلومات مع الخصوصية في الاعتبار. مثلًا، باستخدام أعلى إعدادات الخصوصية الممكنة بشكل افتراضي، بحيث لا تكون مجموعات البيانات متاحة للجمهور بشكل افتراضي ولا يمكن استخدامها لتحديد هوية الشخص. لا يجوز معالجة أي بيانات شخصية إلا إذا تمت هذه المعالجة بناء على واحد من الأسس القانونية الستة المحددة في اللائحة (الموافقة أو العقد أو المهمة العامة أو المصلحة الحيوية أو المصلحة المشروعة أو المتطلبات القانونية). عندما تكون المعالجة مبنية على الموافقة، يحق لموضوع البيانات إلغاء الموافقة في أي وقت.  المادة 33 بتقول ان معالج البيانات ملزم قانوناً بإخطار السلطة الإشرافية دون تأخير غير مبرر ما لم يكن من المرجح أن يؤدي الإخلال إلى خطر على حقوق وحريات الأفراد. عندكم 72 ساعة بعد معرفة اختراق البيانات لتقديم التقرير. يجب ان يبلغ الأفراد إذا تم تحديد خطر كبير للتأثير السلبي (المادة 34). وبالإضافة إلى ذلك، يجب على معالج البيانات إخطار المسؤول دون تأخير غير مبرر بعد أن يكتشف انتهاك البيانات الشخصية (المادة 33). ومع ذلك، الإخطار للمخضعين بالبيانات غير مطلوب إذا كان وحدة التحكم قد نفذت تدابير حماية تقنية وتنظيمية مناسبة تجعل البيانات الشخصية غير مفهومة لأي شخص غير مخول الوصول إليها، مثل التشفير (المادة 34).  مسؤول حماية البيانات  المادة 37 تتطلب تعيين موظف حماية البيانات. اذا كانت المعالجة تقوم بها سلطة عامة (باستثناء المحاكم او السلطات القضائية المستقلة عندما تعمل بصفتها القضائية) او اذا كانت عمليات المعالجة تتضمن مراقبة منتظمة ومنهجية لمواضيع البيانات على نطاق واسع او اذا كانت المعالجة على نطاق واسع للفئات الخاصة من البيانات والبيانات الشخصية المتعلقة بالادعاءات الجنائية والجرائم (المواد 9 والمادة 10) ، يجب تعيين موظف حماية البيانات (DPO) -شخص لديه معرفة متخصصة في قانون وممارسات حماية البيانات- لمساعدة المسؤول عن المعالجة أو المعالج في مراقبة امتثالهم الداخلي لللائحة.  مدبر بيانات معين يمكن ان يكون عضو حالي في موظفي معالج او معالج، او يمكن ان يكون الدور معتمد على شخص خارجي او وكالة من خلال عقد خدمة. في أي حال، يجب على هيئة المعالجة التأكد من عدم وجود تضارب في المصالح في الأدوار أو المصالح الأخرى التي قد يحملها موظف حماية البيانات. لازم تنشر منظمة المعالجة تفاصيل الاتصال لموظف حماية البيانات (على سبيل المثال، في إشعار خصوصية) وتسجل لدى السلطة الإشرافية.  موظف حماية البيانات يشبه موظف الامتثال، ومن المتوقع ايضا ان يكون ماهرا في ادارة عمليات تكنولوجيا المعلومات، وأمن البيانات (بما في ذلك التعامل مع الهجمات الالكترونية) وغيرها من المسائل الحرجة المتعلقة باستمرارية العمل المرتبطة بحفظ ومعالجة البيانات الشخصية والحساسة. مجموعة المهارات المطلوبة تتعدى فهم الامتثال القانوني لقوانين وحماية البيانات. الموظف المسؤول عن حماية البيانات يجب ان يحافظ على مخزون البيانات الحية لكل البيانات التي تم جمعها وتخزينها نيابة عن المنظمة. في 13 ديسمبر 2016 (مراجعة في 5 أبريل 2017) تم تقديم مزيد من التفاصيل حول وظيفة ودور موظف حماية البيانات في وثيقة توجيهات.  المنظمات الموجودة خارج الاتحاد الأوروبي لازم تسمي شخص مقيم في الاتحاد الأوروبي كممثل ونقطة اتصال لالتزاماتها في القانون (المادة 27). هذا دور مختلف عن الموظف المكلف بإنقاذ البيانات، مع ان هناك تداخل في المسؤوليات التي تشير الى ان هذا الدور يمكن ان يؤديه الموظف المكلف بإنقاذ البيانات المعين.
اللائحة العامة لحماية البيانات توفر توجيهات حول تخزين ومعالجة البيانات الشخصية. البيانات الشخصية هي أي معلومات عن شخص محدد أو قابل للتعرف عليه، والمعروف أيضا باسم موضوع البيانات. البيانات الشخصية تتضمن معلومات مثل:  اسم عنوان رقم بطاقة الهوية/ جواز السفر دخل ملف ثقافي عنوان بروتوكول الانترنت البيانات التي تحتفظ بها المستشفى أو الطبيب (التي تحدد شخصية الشخص بشكل فريد لأغراض صحية).  فئات بيانات خاصة لا يجوز لك معالجة بيانات شخصية عن شخص ما:  عنصري او عرقي التوجه الجنسي آراء سياسية معتقدات دينية او فلسفية عضوية في نقابة البيانات الوراثية أو البيومترية أو البيانات الصحية ما عدا في حالات محددة (مثلاً، عندما تُعطى موافقتك الصريحة أو عندما تكون المعالجة ضرورية لأسباب تتعلق بمصلحة عامة كبيرة، على أساس قانون الاتحاد الأوروبي أو القانون الوطني) البيانات الشخصية المتعلقة بالإدانات الجنائية والجرائم ما لم يسمح بذلك قانون الاتحاد الأوروبي أو القانون الوطني.  من يعالج البيانات الشخصية؟ خلال المعالجة، البيانات الشخصية ممكن تمر عبر شركات أو منظمات مختلفة. في هذه الدورة، هناك ملفين رئيسيين يتعاملون مع معالجة البيانات الشخصية:  مسؤول البيانات - يقرر الغرض والطريقة التي تتم بها معالجة البيانات الشخصية. معالج البيانات - يحتفظ بالبيانات ويعالجها نيابة عن مراقب البيانات. من يراقب كيفية معالجة البيانات الشخصية داخل الشركة؟ موظف حماية البيانات، والذي يمكن ان يكون قد عينته الشركة، هو المسؤول عن مراقبة كيفية معالجة البيانات الشخصية وتقديم المعلومات والمشورة للموظفين الذين يعالجون البيانات الشخصية حول التزاماتهم. مدير حماية البيانات يتعاون أيضا مع هيئة حماية البيانات، وهو بمثابة نقطة اتصال مع هيئة حماية البيانات والأفراد.  معالجة بيانات لشركة اخرى مسؤول البيانات يقدر يستخدم فقط معالج البيانات الذي يقدم ضمانات كافية، وينبغي تضمينها في عقد مكتوب بين الأطراف المعنية. العقد لازم يحتوي ايضاً على عدد من البنود الملزمة، على سبيل المثال، أن معالج البيانات لن يعالج البيانات الشخصية إلا عندما يطلب منه معالج البيانات القيام بذلك.  نقل البيانات خارج الاتحاد الاوروبي عندما يتم نقل البيانات الشخصية خارج الاتحاد الأوروبي، يجب أن تسافر الحماية التي يوفرها نظام حماية البيانات العامة مع البيانات. هذا يعني انه اذا كنت تصدر البيانات للخارج، يجب على شركتك ان تتأكد من التمسك بأحد التدابير التالية:  الحماية التي تقدمها دولة خارج الاتحاد الأوروبي تعتبر كافية من قبل الاتحاد الأوروبي. شركتك تتخذ التدابير اللازمة لتوفير الضمانات المناسبة، مثل تضمين بنود محددة في العقد المتفق عليه مع المستورد غير الأوروبي للبيانات الشخصية. شركتك تعتمد على أسباب محددة للتحويل (استثناءات) مثل موافقة الفرد. متى مسموح بمعالجة البيانات؟ قواعد حماية البيانات في الاتحاد الأوروبي تعني انه يتوجب عليك معالجة البيانات بطريقة عادلة وقانونية، لغرض محدد وشرعي ومعالجة البيانات اللازمة فقط لتحقيق هذا الغرض. لازم تضمن انك تفي بواحد من الشروط التالية لمعالجة البيانات الشخصية:  حصلوا على موافقة الشخص المعني احتاج البيانات الشخصية للوفاء بالتزام تعاقدي مع الفرد احتاج البيانات الشخصية لتلبية التزام قانوني يحتاج البيانات الشخصية لحماية المصالح الحيوية للفرد معالج البيانات الشخصية لتنفيذ المهمة في المصلحة العامة. تعمل في المصالح المشروعة لشركتك، طالما ان الحقوق والحريات الاساسية للشخص الذي تتم معالجته بياناته لا تتأثر بشكل خطير. اذا حقوق الشخص تفوق مصالح شركتك، فلن تقدر تعالج البيانات الشخصية.   الموافقة على معالجة البيانات - الموافقة الحق في الوصول والحق في نقل البيانات الحق في التصحيح والحق في الاعتراض حق الحذف (حق النسيان) صنع القرار الآلي وتحديد الملفات الشخصية انتهاكات البيانات <unk> توفير الإخطار المناسب استجابة للطلبات تقييمات التأثير حفظ سجل