مع وجود نص مرجعي عن GDPR، قل لي كيف يساعد GDPR في تأمين البيانات الشخصية.
Context:اللائحة العامة لحماية البيانات (2016/679، "GDPR") هي لائحة في قانون الاتحاد الأوروبي عن حماية البيانات والخصوصية في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية (EEA). الـGDPR هو مكون مهم في قانون الخصوصية في الاتحاد الأوروبي وقانون حقوق الإنسان، وخاصة المادة 8 (1) من ميثاق الحقوق الأساسية في الاتحاد الأوروبي. ويتناول ايضا نقل البيانات الشخصية خارج مناطق الاتحاد الاوروبي والمنطقة الاقتصادية الاوروبية. الهدف الرئيسي لـ GDPR هو تعزيز سيطرة الأفراد وحقوقهم على بياناتهم الشخصية وتبسيط البيئة التنظيمية للأعمال التجارية الدولية. ويحتوي هذا اللائحه على احكام ومتطلبات متعلقة بمعالجة البيانات الشخصية للأفراد، الذين يسمون رسميا "مواضيع البيانات"، والذين يقعون في المنطقة الاقتصادية الأوروبية، ويطبق على أي مؤسسة، بغض النظر عن موقعها وجنسية أو إقامة مواضيع البيانات، التي تعالج معلومات شخصية للأفراد داخل المنطقة الاقتصادية الأوروبية. تم تبني الـGDPR في 14 أبريل 2016 وأصبح قابل للتنفيذ ابتداء من 25 مايو 2018. بما ان الGDPR هو نظام وليس توجيه، فانه ملزم و قابل للتطبيق بشكل مباشر، ويوفر مرونة لبعض جوانب اللائحة التي يمكن تعديلها من قبل الدول الأعضاء الفردية.  طبقاً للمفوضية الأوروبية، "البيانات الشخصية هي معلومات تتعلق بشخص محدد أو قابل للتحديد. لو ما تقدرش تحدد شخصيه مباشرة من هذه المعلومات، فعليك ان تفكر اذا كان الشخص ما زال قابل للتعرف عليه. يجب عليك ان تضع في الاعتبار المعلومات التي تعالجها مع كل الوسائل المحتمل ان تستخدمها انت او اي شخص اخر لتحديد هوية هذا الفرد". تعريفات دقيقة للمصطلحات مثل "بيانات شخصية"، "معالجة"، "موضوع البيانات"، "المراقب" و "المعالج" موجودة في المادة 4 من اللائحة.  مبادئ لا يجوز معالجة البيانات الشخصية الا اذا كان هناك اساس قانوني واحد على الاقل للقيام بذلك. المادة 6 تقول ان الأغراض المشروعة هي:  (أ) اذا كان موضوع البيانات قد وافق على معالجة بياناته الشخصية؛ (ب) للوفاء بالتزامات التعاقدية مع موضوع البيانات، او للمهام بناء على طلب من موضوع البيانات الذي هو في مرحلة عقد عقد؛ (ج) للوفاء بالتزامات القانونية للمتحكم بالبيانات؛ (د) لحماية المصالح الحيوية لموضوع البيانات أو أي فرد آخر؛ (هـ) للقيام بمهمة في المصلحة العامة أو في السلطة الرسمية؛ (و) للمصالح المشروعة لمراقب البيانات او لطرف ثالث، الا اذا كانت هذه المصالح تتفوق على مصالح موضوع البيانات او حقوقه وفقا لميثاق الحقوق الاساسية (خاصة في حالة الاطفال).  امن البيانات الشخصيه المتحكمين ومعالجين للبيانات الشخصية يجب ان يضعوا تدابير تقنية وتنظيمية مناسبة لتنفيذ مبادئ حماية البيانات. عمليات الاعمال التي تتعامل مع البيانات الشخصية يجب ان تصمم وتبنى مع مراعاة المبادئ وتوفير ضمانات لحماية البيانات (على سبيل المثال، باستخدام التشفير أو التشفير الكامل عند الاقتضاء). مراقبو البيانات لازم يصمموا انظمة المعلومات مع الخصوصية في الاعتبار. مثلًا، باستخدام أعلى إعدادات الخصوصية الممكنة بشكل افتراضي، بحيث لا تكون مجموعات البيانات متاحة للجمهور بشكل افتراضي ولا يمكن استخدامها لتحديد هوية الشخص. لا يجوز معالجة اي بيانات شخصية الا اذا كانت هذه المعالجة تقوم على احد الاساسات الستة القانونية المحددة في اللائحة (الموافقة، العقد، المهمة العامة، المصلحة الحيوية، المصلحة المشروعة او المتطلبات القانونية). في حالة معالجة البيانات على أساس الموافقة، يحق لموضوع البيانات إلغائها في أي وقت.  المادة 33 تنص على ان معالج البيانات ملزم قانوناً بإخطار السلطة الإشرافية دون تأخير غير مبرر الا اذا كان من غير المرجح ان يؤدي الانتهاك الى خطر على حقوق وحريات الأفراد. عندكم ما يزيد عن 72 ساعة بعد ان تدركوا انخفاض البيانات لتقديم التقرير. يجب ان يبلغ الافراد اذا تم تحديد خطر كبير للتأثير السلبي (المادة 34). وبالاضافه، المُعَالِج على البيانات ان يبلغ المُدبر بدون تأخير غير مبرر بعد ان يكتشف انتهاك البيانات الشخصيه (المادة 33). ومع ذلك، لا يحتاج البلاغ للمخضوعين للبيانات اذا كان مراقب البيانات قد نفذ تدابير حماية تقنية وتنظيمية مناسبة تجعل البيانات الشخصية غير مفهومة لأي شخص غير مخول الوصول اليها، مثل التشفير (المادة 34).  موظف حماية البيانات  المادة 37 تتطلب تعيين موظف حماية البيانات. اذا كانت المعالجه تتم من قبل سلطه عامه (باستثناء المحاكم او الجهات القضائية المستقلة عندما تعمل بصفتها القضائية) او اذا كانت عمليات المعالجه تتضمن مراقبة منتظمه ومنهجيه لموضوعات البيانات على نطاق واسع او اذا كانت المعالجه على نطاق واسع من فئات خاصه من البيانات و البيانات الشخصيه المتعلقه بالادعاءات الجنائية و الجرائم (المواد 9 و 10) يجب تعيين موظف حمايه البيانات (DPO) -شخص لديه معرفة متخصصة في قانون وممارسات حمايه البيانات- لمساعدة المسؤول او المعالج في مراقبة امتثالهم الداخلي لللائحه.  الموظف المعين يمكن ان يكون عضوا حاليا في موظفي معالج او معالج او يمكن ان يكون الدور معتمد على شخص خارجي او وكالة من خلال عقد خدمة. في اي حال، يجب على هيئة المعالجة التأكد من عدم وجود تضارب في المصالح في الأدوار أو المصالح الأخرى التي قد يحملها موظف حماية البيانات. بيانات الاتصال لموظف حماية البيانات يجب ان تنشر من قبل منظمة المعالجة (على سبيل المثال، في إشعار خصوصية) وتسجل لدى السلطة الإشرافية.  الموظف المسؤول عن الاطلاع على البيانات يشبه موظف الامتثال ويتوقع منه ايضا ان يكون ماهر في ادارة عمليات تكنولوجيا المعلومات وامان البيانات (بما في ذلك التعامل مع الهجمات الالكترونية) وغيرها من المسائل الحرجة المتعلقة باستمرارية العمل المرتبطة بحفظ ومعالجة البيانات الشخصية والحساسة. المهارات المطلوبه تتعدى فهم الامتثال القانوني لقوانين وحماية البيانات. الموظف المسؤول عن حماية البيانات يجب ان يحافظ على مخزون بيانات حي لكل البيانات التي تم جمعها وتخزينها نيابة عن المنظمة. في 13 ديسمبر 2016 (مراجعه في 5 ابريل 2017) تم اعطاء مزيد من التفاصيل عن وظيفة ودور موظف حماية البيانات في وثيقة توجيهات.  المنظمات مقرها خارج الاتحاد الاوروبي لازم تسمي شخص مقره في الاتحاد الاوروبي كممثل ونقطة اتصال لالتزاماتها في القانون (المادة 27). هذا دور مختلف عن الموظف المسئول عن حماية البيانات، بالرغم من ان هناك تداخل في المسؤوليات التي تشير الى ان هذا الدور يمكن ان يضطلع به الموظف المسئول عن حماية البيانات المعيّن.
اللائحه العامة لحماية البيانات توفر توجيهات عن تخزين ومعالجة البيانات الشخصية. بيانات شخصية هي اي معلومات عن شخص محدد او قابل للتعرف عليه، المعروف ايضا باسم موضوع البيانات. البيانات الشخصيه تشمل معلومات مثل:  اسم عنوان رقم بطاقة الهوية/جواز السفر دخل ملف ثقافي عنوان بروتوكول الانترنت بيانات بحوزة مستشفى او طبيب (اللي بتحدد شخص بشكل فريد لأغراض صحية).  فئات خاصه للبيانات ما تقدرش تعالج بيانات شخصية عن شخص ما:  عرق او أصل عرقي التوجه الجنسي آراء سياسية معتقدات دينيه او فلسفيه عضوية في نقابة المعلومات الجينية، البيومترية أو الصحية ما عدا في حالات محددة (مثلاً عندما يكون لديك موافقة صريحة أو عندما تكون المعالجة ضرورية لأسباب تتعلق بمصلحة عامة جوهرية، على أساس قانون الاتحاد الأوروبي أو القانون الوطني) البيانات الشخصية المتعلقة بالإدانات الجنائية والجرائم ما لم يسمح بذلك قانون الاتحاد الأوروبي أو القانون الوطني.  من يعالج البيانات الشخصيه؟ خلال المعالجة، البيانات الشخصية يمكن ان تمر عبر شركات او منظمات مختلفة. في هذه الدورة، هناك ملفين رئيسيين يتعاملون مع معالجة البيانات الشخصية:  مدير البيانات - يقرر الغرض والطريقة التي تتم بها معالجة البيانات الشخصية. معالج البيانات - يحتفظ بالبيانات ويعالجها نيابة عن مراقب البيانات. من يراقب طريقة معالجة البيانات الشخصية داخل الشركة؟ موظف حماية البيانات (DPO) ، الذي قد يكون قد عينته الشركة، هو المسؤول عن مراقبة كيفية معالجة البيانات الشخصية وتقديم المعلومات والمشورة للموظفين الذين يعالجون البيانات الشخصية حول التزاماتهم. الموظف المسئول عن حماية البيانات يتعاون ايضاً مع هيئة حماية البيانات (DPA) ، ويعمل كمركز اتصال مع هيئة حماية البيانات والافراد.  معالجة بيانات لشركه اخرى مراقب البيانات يقدر يستخدم فقط معالج بيانات يقدم ضمانات كافية، وينبغي تضمينها في عقد مكتوب بين الأطراف المعنية. يجب ان يحتوي العقد ايضاً على عدد من البنود الملزمة، مثلاً ان معالج البيانات سوف يعالج البيانات الشخصية فقط عندما يطلب منه معالج البيانات فعل ذلك.  نقل البيانات خارج الاتحاد الاوروبي عندما يتم نقل البيانات الشخصية خارج الاتحاد الأوروبي، الحماية التي يوفرها نظام حماية البيانات العامة يجب ان تسافر مع البيانات. هذا يعني انه اذا كنت تصدر البيانات لخارج البلاد، شركتك يجب ان تضمن احدى التدابير التالية:  الحمايه في البلد الغير عضو في الاتحاد الاوروبي تعتبرها الاتحاد الاوروبي كافيه. شركتك تتخذ الاجراءات اللازمة لتوفير الضمانات المناسبة، مثل تضمين بنود محددة في العقد المتفق عليه مع المستورد غير الأوروبي للبيانات الشخصية. شركتك تعتمد على أسباب محدده للتحويل (استثناءات) مثل موافقة الفرد. متى مسموح بمعالجة البيانات؟ قواعد حماية البيانات في الاتحاد الأوروبي تعني انه يتوجب عليك معالجة البيانات بطريقة عادلة وقانونية، لغرض محدد وشرعي ومعالجة البيانات اللازمة فقط لتحقيق هذا الغرض. لازم تتأكد انك تمتثل لواحد من الشروط التالية لمعالجة البيانات الشخصية:  حصلوا على موافقة الفرد المعني يحتاج البيانات الشخصية للوفاء بالتزام تعاقدي مع الفرد احتاج البيانات الشخصية للوفاء بالتزام قانوني يحتاج البيانات الشخصية لحماية المصالح الحيوية للفرد معالج البيانات الشخصية لتنفيذ المهمة في المصلحة العامة تشتغل في المصالح المشروعة لشركتك، طالما ان الحقوق والحريات الاساسية للشخص الذي تتم معالجته بياناته لا تتأثر بشكل خطير. اذا حقوق الشخص فوق مصالح شركتك، فلن تقدر تعالج البيانات الشخصية.   موافقة على معالجة البيانات - موافقة الحق في الوصول والحق في نقل البيانات الحق في التصحيح والحق في الاعتراض الحق في المحو (حق في النسيان) اتخاذ القرارات الآلي وتحديد الملفات الشخصية خرق البيانات <unk> توفير الإخطار المناسب استجابة للطلبات تقييمات التأثير حفظ سجل