مع إعطاء نص مرجعي عن الـGDPR، قل لي كيف يساعد الـGDPR في تأمين البيانات الشخصية.
Context:اللائحة العامة لحماية البيانات (2016/679، "GDPR") هي لائحة في قانون الاتحاد الأوروبي عن حماية البيانات والخصوصية في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية. الـGDPR مكون مهم في قانون الخصوصية في الاتحاد الأوروبي وقانون حقوق الإنسان، وخصوصاً المادة 8 (1) من ميثاق الحقوق الأساسية في الاتحاد الأوروبي. بتتعامل كمان مع نقل البيانات الشخصية خارج مناطق الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية. الهدف الأساسي من الـGDPR هو تعزيز سيطرة الأفراد وحقوقهم على بياناتهم الشخصية وتبسيط البيئة التنظيمية للأعمال التجارية الدولية. ويحتوي النظام على أحكام ومتطلبات تتعلق بمعالجة البيانات الشخصية للأفراد، المعروفين رسميًا باسم "مواضيع البيانات"، الموجودين في المنطقة الاقتصادية الأوروبية، ويطبق على أي مؤسسة، بغض النظر عن موقعها أو جنسية أو إقامة مواضيع البيانات، تعالج معلومات شخصية للأفراد داخل المنطقة الاقتصادية الأوروبية. تم اعتماد الـGDPR في 14 نيسان 2016 وبقى قابل للتنفيذ بداية من 25 مايو 2018. لأن الـGDPR هو نظام، مش توجيه، هو ملزم و قابل للتطبيق مباشرة، ويوفر مرونة لبعض جوانب اللائحة ليتم تعديلها من قبل الدول الأعضاء الفردية.  حسب المفوضية الأوروبية، "البيانات الشخصية هي معلومات تتعلق بشخص محدد أو قابل للتعرف عليه. اذا ما تقدر تحدد شخصية شخصية من المعلومات دي، لازم تفكر اذا كان الشخص لسه ممكن تحديده. لازم تاخد بعين الاعتبار المعلومات اللي بتعالجها مع كل الوسائل المحتمل ان تستخدمها انت او اي شخص اخر لتحديد هوية هذا الشخص". التعريفات الدقيقة للمصطلحات زي "بيانات شخصية"، "معالجة"، "موضوع البيانات"، "المشرف على المعالجة"، و "المعالج" موجودة في المادة 4 من اللائحة.  مبادئ البيانات الشخصية ممكن تتم معالجتها الا اذا كان هناك اساس قانوني واحد على الاقل. المادة 6 بتقول الأغراض المشروعة هي:  (أ) إذا كان موضوع البيانات قد وافق على معالجة بياناته الشخصية؛ (ب) للوفاء بالتزامات تعاقدية مع موضوع البيانات، أو للوفاء بالمهام بناء على طلب من موضوع البيانات اللي في عملية إبرام عقد؛ (ج) للوفاء بالالتزامات القانونية للمتحكم بالبيانات؛ (د) لحماية المصالح الحيوية لموضوع البيانات أو أي فرد آخر؛ (هـ) للقيام بمهمة في المصلحة العامة أو في سلطة رسمية؛ (و) للمصالح المشروعة لمراقب البيانات أو لجهة ثالثة، إلا إذا كانت مصالح موضوع البيانات أو حقوقه بموجب ميثاق الحقوق الأساسية (خاصة في حالة الأطفال) تفوق هذه المصالح.  أمن البيانات الشخصية المتحكمين ومعالجين للبيانات الشخصية لازم يضعوا تدابير تقنية وتنظيمية مناسبة لتنفيذ مبادئ حماية البيانات. العمليات التجارية اللي بتتعامل مع البيانات الشخصية لازم تصمم وتبنى مع مراعاة المبادئ وتوفر ضمانات لحماية البيانات (مثلاً، باستخدام التشفير أو التشفير الكامل عند الاقتضاء). مراقبي البيانات لازم يصمموا انظمة المعلومات مع الخصوصية في الاعتبار. مثلاً، باستخدام أعلى إعدادات الخصوصية الممكنة بشكل افتراضي، بحيث المجموعات من البيانات مش متاحة للجمهور بشكل افتراضي ولا يمكن استخدامها لتحديد هوية الشخص. ما في معالجة لبيانات شخصية إلا إذا كانت المعالجة بتعمل على أساس واحد من الأسس الستة القانونية المحددة في اللائحة (الموافقة، العقد، المهمة العامة، المصلحة الحيوية، المصلحة المشروعة أو المتطلبات القانونية). لما يكون المعالجة مبنية على الموافقة، يحق للموضوع بالبيانات إلغائها في أي وقت.  المادة 33 بتقول إن صاحب البيانات ملزم قانوناً بإخطار سلطة الرقابة دون تأخير زائف، إلا إذا كان من غير المرجح أن يؤدي الإخلال إلى خطر على حقوق وحريات الأفراد. في حدا أقصى 72 ساعة بعد ما عرفنا عن خرق البيانات علشان نعمل تقرير. لازم يخطر على الأفراد إذا تم تحديد خطر كبير للتأثير السلبي (المادة 34). وبالإضافة، لازم على معالج البيانات إخطار المسؤول عن المعالجة دون تأخير غير مبرر بعد ما يكتشف انتهاك البيانات الشخصية (المادة 33). ومع ذلك، الإخطار للمسؤولين عن البيانات مش مطلوب إذا كان المسؤول عن البيانات قد نفذ تدابير حماية تقنية وتنظيمية مناسبة تجعل البيانات الشخصية غير مفهومة لأي شخص غير مخول الوصول إليها، مثل التشفير (المادة 34).  مسؤول حماية البيانات  المادة 37 بتتطلب تعيين موظف حماية البيانات. اذا كانت المعالجة بتتم من قبل سلطة عامة (باستثناء المحاكم او الهيئات القضائية المستقلة لما تعمل بصفتها القضائية) او اذا كانت عمليات المعالجة تتضمن مراقبة منتظمة ومنهجية لمواضيع البيانات على نطاق واسع او اذا كانت المعالجة على نطاق واسع للفئات الخاصة من البيانات والبيانات الشخصية المتعلقة بالإدانات الجنائية والجرائم (المواد 9 والمادة 10) ، لازم يعين موظف حماية البيانات (DPO) -شخص لديه معرفة خبرية بقانون وممارسات حماية البيانات- لمساعدة المسؤول عن المعالجة او المعالج في مراقبة امتثالهم الداخلي لللائحة.  الموظف المعين ممكن يكون عضوا حاليا في موظفي الشخص المسؤول عن المعالجة أو المعالج، أو ممكن يكون الدور من خلال عقد خدمة مع شخص أو وكالة خارجية. بأي حال، لازم على هيئة المعالجة التأكد من عدم وجود تضارب مصالح في الأدوار أو المصالح الأخرى التي قد يحملها مدير حماية البيانات. لازم تنشر منظمة المعالجة تفاصيل الاتصال لموظف حماية البيانات (مثلاً، في إشعار خصوصية) وتسجل عند السلطة الإشرافية.  ضابط المعلومات يشبه موظف الامتثال، ويتوقع منه ايضا ان يكون ماهر في ادارة عمليات تكنولوجيا المعلومات، وأمن البيانات (بما في ذلك التعامل مع الهجمات الالكترونية) وقضايا الاستمرارية التجارية الحرجة الأخرى المرتبطة بحفظ ومعالجة البيانات الشخصية والحساسة. مجموعة المهارات المطلوبة بتتعدى فهم الامتثال القانوني لقوانين وحماية البيانات. ضابط البيانات المذكور لازم يحافظ على مخزون بيانات حي لكل البيانات المجمعة والمخزنة نيابة عن المنظمة. في 13 ديسمبر 2016 (مراجعة في 5 نيسان 2017)، تم تقديم مزيد من التفاصيل عن وظيفة ودور موظف حماية البيانات في وثيقة توجيهات.  المنظمات اللي مقرها خارج الاتحاد الاوروبي لازم تسمي شخص مقره في الاتحاد الاوروبي كممثل ونقطة اتصال لالتزاماتها في القانون (المادة 27). هاد دور مميز عن مكتب مراقب البيانات، بالرغم من وجود تداخل في المسؤوليات اللي بتقترح ان هذا الدور ممكن يحمله مكتب مراقب البيانات المعين.
اللائحة العامة لحماية البيانات بتوفر توجيهات حول تخزين ومعالجة البيانات الشخصية. البيانات الشخصية هي أي معلومات عن شخص محدد أو قابل للتعرف عليه، والمعروف أيضاً باسم موضوع البيانات. البيانات الشخصية بتشمل معلومات زي:  اسم عنوان رقم بطاقة الهوية/جواز السفر دخول ملف ثقافي عنوان بروتوكول الإنترنت (IP) بيانات بحوزة مستشفى او طبيب (اللي بتحدد شخص بشكل فريد لأغراض صحية).  فئات بيانات خاصة ما تقدرش تعالج بيانات شخصية عن شخص:  أصل عرقي أو عرقي التوجه الجنسي آراء سياسية معتقدات دينية أو فلسفية عضوية نقابية البيانات الوراثية أو البيومترية أو البيانات الصحية ما عدا في حالات محددة (مثلاً، عندما تكون قد أعطيت موافقتك الصريحة أو عندما تكون المعالجة ضرورية لأسباب تتعلق بمصلحة عامة كبيرة، على أساس قانون الاتحاد الأوروبي أو القانون الوطني) البيانات الشخصية المتعلقة بالإدانات الجنائية والجرائم ما لم يسمح بذلك قانون الاتحاد الأوروبي أو القانون الوطني.  مين بيعالج البيانات الشخصية؟ وخلال المعالجة، البيانات الشخصية ممكن تمر عبر شركات أو منظمات مختلفة. بداخل الدورة، في صورتين رئيسيين بتتعامل مع معالجة البيانات الشخصية:  صاحب البيانات - بيقرر الغرض والطريقة اللي بيعالج فيها البيانات الشخصية. معالج البيانات - يحفظ ويعالج البيانات بالنيابة عن مراقب البيانات. مين اللي بيقوم بمراقبة طريقة معالجة البيانات الشخصية داخل الشركة؟ موظف حماية البيانات، واللي ممكن يكون معين من قبل الشركة، مسؤول عن مراقبة طريقة معالجة البيانات الشخصية وإبلاغ الموظفين الذين يعالجون البيانات الشخصية ونصيحتهم عن التزاماتهم. مكتب حماية البيانات بيعمل كمان مع هيئة حماية البيانات، وبيعمل كمركز اتصال بين هيئة حماية البيانات والأفراد.  معالجة بيانات لشركة اخرى مسؤول البيانات يقدر يستخدم معالج البيانات اللي يقدم ضمانات كافية، وينبغي تضمينها في عقد مكتوب بين الطرفين المعنيين. العقد لازم يحتوي كمان على عدد من البنود الإلزامية، مثلًا بإن معالج البيانات بيعالج البيانات الشخصية بس لما يطلب منه معالج البيانات فعل ذلك.  نقل البيانات خارج الاتحاد الأوروبي لما بيتنقل البيانات الشخصية خارج الاتحاد الأوروبي، الحماية اللي بيقدمها قانون حماية البيانات العامة لازم تسافر مع البيانات. هاد يعني انه اذا كنت تصدر البيانات لخارج البلاد، شركتك لازم تضمن ان واحد من الاجراءات التالية يتم الالتزام به:  الحماية اللي بتقدمها الدولة اللي مش عضو في الاتحاد الاوروبي تعتبر كافية من قبل الاتحاد الاوروبي. شركتك بتتخذ التدابير اللازمة لتوفير الضمانات المناسبة، مثل تضمين بنود محددة في العقد المتفق عليه مع المستورد غير الأوروبي للبيانات الشخصية. الشركة بتعتمد على أسباب محددة للتحويل (استثناءات) زي موافقة الفرد. متى مسموح بتجهيز البيانات؟ قواعد حماية البيانات في الاتحاد الأوروبي تعني أنه يتوجب عليك معالجة البيانات بطريقة عادلة وقانونية، لغرض محدد وشرعي ومعالجة البيانات اللازمة فقط لتحقيق هذا الغرض. لازم تتأكد انك بتلبي احدى الشروط التالية عشان تعالج البيانات الشخصية:  حصلوا على موافقة الشخص المعني احتاج البيانات الشخصية عشان يحقق التزام تعاقدي مع الفرد احتاج البيانات الشخصية لتلبية التزام قانوني احتاج البيانات الشخصية لحماية المصالح الحيوية للفرد معالجة البيانات الشخصية لتنفيذ المهمة بمصلحة الجمهور بتعملوا لمصلحة شركتك المشروعة، طالما حقوق وحريات الشخص الأساسية اللي بتتم معالجتها، ما بتتأثر بشدة. اذا حقوق الشخص تفوق مصالح شركتك، ما تقدرش تعالج البيانات الشخصية.   موافقة على معالجة البيانات - موافقة الحق في الوصول والحق في نقل البيانات الحق في التصحيح والحق في الاعتراض حق الحذف (الحق في النسيان) اتخاذ القرارات الآلي وتحديد الملفات الشخصية انتهاكات البيانات <unk> توفير إخطار مناسب استجابة للطلبات تقييمات التأثير حفظ سجل