مع إعطاء نص مرجعي عن GDPR، قوللي كيف GDPR بيساعد في تأمين البيانات الشخصية.
Context:اللائحة العامة لحماية البيانات (2016/679، "GDPR") هي لائحة في قانون الاتحاد الأوروبي عن حماية البيانات والخصوصية في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية (EEA). بيعتبر القانون العام لحماية البيانات جزء مهم من قانون الخصوصية في الاتحاد الأوروبي وقانون حقوق الإنسان، وخصوصاً المادة 8 (1) من ميثاق الحقوق الأساسية للاتحاد الأوروبي. بتتعامل بردو مع نقل البيانات الشخصية خارج مناطق الاتحاد الأوروبي والإييه إي. الهدف الأساسي من الـ GDPR هو تعزيز سيطرة الأفراد وحقوقهم على بياناتهم الشخصية وتبسيط البيئة التنظيمية للأعمال التجارية الدولية. بيستبدل اللائحة توجيه حماية البيانات 95/46 / EC، وبتحتوي على أحكام ومتطلبات متعلقة بمعالجة البيانات الشخصية للأفراد، واللي بيتسمى رسمياً "مواضيع البيانات"، واللي بتقع في المنطقة الاقتصادية الأوروبية، وتطبق على أي مؤسسة <unk> بغض النظر عن موقعها وجنسية مواضيع البيانات أو إقامتهم <unk> بتعالج معلومات شخصية للأفراد داخل المنطقة الاقتصادية الأوروبية. تم اعتماد الـGDPR في 14 أبريل 2016 وبقى قابل للتنفيذ بداية من 25 مايو 2018. عشان الـGDPR هو نظام، مش توجيه، فهو ملزم ومطبق بشكل مباشر، ويقدم مرونة لبعض جوانب اللائحة علشان تتعديلها الدول الأعضاء الفردية.  وفقًا للمفوضية الأوروبية، "البيانات الشخصية هي معلومات بتتعلق بشخص محدد أو قابل للتعرف عليه. لو ما قدرتش تحدد شخص بشكل مباشر من المعلومات دي، لازم تفكر إذا كان الشخص لسه ممكن يتعرف عليه. لازم تأخذ في الاعتبار المعلومات اللي بتعملها مع كل الوسائل اللي ممكن تستخدمها انت أو أي شخص تاني عشان تحدد هوية الشخص ده". التعريفات الدقيقة للمصطلحات زي "البيانات الشخصية" و "المعالجة" و "موضوع البيانات" و "المشرف" و "المعالج" موجودة في المادة 4 من اللائحة.  مبادئ المعلومات الشخصية ممكن تتم معالجتها إلا لو كان في أساس قانوني واحد على الأقل للقيام بذلك. المادة 6 بتقول الأغراض المشروعة هي:  (أ) إذا أعطى موضوع البيانات موافقته على معالجة بياناته الشخصية؛ (ب) للوفاء بالالتزامات التعاقدية مع موضوع البيانات، أو للمهام بناءً على طلب موضوع البيانات اللي في عملية إبرام عقد؛ (ج) الامتثال للالتزامات القانونية للمتحكم بالبيانات؛ (د) لحماية المصالح الحيوية لموضوع البيانات أو فرد آخر؛ (هـ) للقيام بمهمة في المصلحة العامة أو في سلطة رسمية؛ (و) لمصالح مشروعة لمشرف على البيانات أو طرف ثالث، إلا إذا كانت مصالح موضوع البيانات أو حقوقه وفقاً لميثاق الحقوق الأساسية (خاصةً في حالة الأطفال) تتفوق على هذه المصالح.  أمان البيانات الشخصية المتحكمين ومعالجين البيانات الشخصية لازم يضعوا تدابير تقنية وتنظيمية مناسبة علشان يطبقوا مبادئ حماية البيانات. يجب تصميم عمليات الأعمال اللي بتعامل مع البيانات الشخصية وبناءها مع مراعاة المبادئ وتوفير ضمانات لحماية البيانات (مثلًا، باستخدام التشفير أو التشفير الكامل عند الاقتضاء). المتحكمين بالبيانات لازم يصمموا أنظمة المعلومات مع الخصوصية في الاعتبار. مثلًا، باستخدام أعلى إعدادات الخصوصية الممكنة بشكل افتراضي، بحيث المجموعات من البيانات مش متاحة للجمهور بشكل افتراضي ولا يمكن استخدامها لتحديد موضوع. مفيش بيانات شخصية ممكن تتم معالجتها إلا إذا كانت المعالجة دي بتتعمل على أساس واحد من الأسس الستة القانونية المحددة في اللائحة (الموافقة أو العقد أو المهمة العامة أو المصلحة الحيوية أو المصلحة المشروعة أو المتطلبات القانونية). لما كانت المعالجة بتعتمد على الموافقة، يكون للموضوع البيانات الحق في إلغاء الموافقة في أي وقت.  المادة 33 بتقول إن صاحب البيانات تحت التزام قانوني بإخطار السلطة الإشرافية من غير تأخير غير مبرر إلا إذا كان من غير المرجح أن يؤدي الإخلال لخطر على حقوق وحريات الأفراد. في أقصى 72 ساعة من بعد معرفة خرق البيانات علشان تعمل التقرير. لازم يتم إخطار الأفراد إذا تم تحديد خطر كبير للتأثير السلبي (المادة 34). وبالإضافة، لازم يقوم معالج البيانات بإخطار وحدة التحكم من غير تأخير بعد ما يكتشف خرق في بيانات شخصية (المادة 33). ومع كده، مش لازم الإخطار لمواضيع البيانات لو قام وحدة التحكم بالبيانات بتنفيذ تدابير حماية تقنية وتنظيمية مناسبة بتجعل البيانات الشخصية مش مفهومة لأي شخص مش مخول للوصول إليها، زي التشفير (المادة 34).  مسؤول حماية البيانات  المادة 37 بتطلب تعيين موظف حماية البيانات. إذا كانت المعالجة بتتعمل من قبل سلطة عامة (باستثناء المحاكم أو السلطات القضائية المستقلة لما بتعمل بصفتها القضائية) ، أو إذا كانت عمليات المعالجة بتتضمن مراقبة منتظمة ومنهجية لموضوعات البيانات على نطاق واسع، أو إذا كانت المعالجة على نطاق واسع لفئات خاصة من البيانات والبيانات الشخصية المتعلقة بالإدانات الجنائية والجرائم (المواد 9 والمادة 10) ، لازم يتم تعيين موظف حماية البيانات (DPO) -شخص لديه معرفة خبرية بقانون وممارسات حماية البيانات- لمساعدة وحدة التحكم أو المعالج في مراقبة امتثالها الداخلي لللائحة.  ممكن يكون مسؤول حماية البيانات المعيّن عضو حالي في طاقم عامل المعالج أو المعالج، أو ممكن يتم توكيل الدور لشخص أو وكالة خارجية عن طريق عقد خدمة. في أي حال، لازم تتأكد هيئة المعالجة إنه ما فيش تضارب في المصالح في الأدوار أو المصالح التانية اللي ممكن يكون عند مدير حماية البيانات. لازم تنشر منظمة المعالجة تفاصيل الاتصال لموظف حماية البيانات (على سبيل المثال، في إشعار خصوصية) وتسجل عند السلطة الإشرافية.  الموظف المسؤول عن الاحتياجات الشخصية هو زي مسؤول الامتثال، ومن المتوقع كمان إنه يكون ماهر في إدارة عمليات تكنولوجيا المعلومات، وأمن البيانات (بما في ذلك التعامل مع الهجمات الإلكترونية) وقضايا استمرارية العمل الحرجة التانية المرتبطة بحفظ ومعالجة البيانات الشخصية والحساسة. مجموعة المهارات المطلوبة بتتجاوز فهم الامتثال القانوني لقوانين وقوانين حماية البيانات. الموظف المسؤول عن حماية البيانات لازم يحافظ على جرد بيانات حي لجميع البيانات المجمعة والمخزنة نيابة عن المنظمة. تم إعطاء تفاصيل أكتر عن وظيفة ودور موظف حماية البيانات في 13 ديسمبر 2016 (مراجعة 5 أبريل 2017) في وثيقة توجيهات.  لازم على المنظمات اللي مقرها خارج الاتحاد الأوروبي بردو تعين شخص مقره في الاتحاد الأوروبي كممثل ونقطة اتصال لالتزاماتها في القانون العام لحماية البيانات (المادة 27). ده دور مميز من DPO، بالرغم من وجود تداخل في المسؤوليات اللي بتشير إلى إن الدور ده ممكن يلعبه DPO المعين برضو.
اللائحة العامة لحماية البيانات بتوفر توجيهات حول تخزين ومعالجة البيانات الشخصية. البيانات الشخصية هي أي معلومات عن شخص معروف أو قابل للتعرف عليه، والمعروف بردو باسم موضوع البيانات. بتشمل البيانات الشخصية معلومات زي:  اسم العنوان رقم بطاقة الهوية/جواز السفر دخول ملامح ثقافية عنوان بروتوكول الإنترنت (IP) البيانات اللي عند المستشفى أو الطبيب (اللي بتحدد الشخص بشكل فريد لأغراض صحية).  فئات بيانات خاصة مش ممكن تعالج بيانات شخصية عن شخص ما:  أصل عرقي أو عرقي التوجه الجنسي آراء سياسية معتقدات دينية أو فلسفية عضوية النقابة البيانات الوراثية أو البيومترية أو البيانات الصحية إلا في حالات محددة (مثلاً لما اتمنيت موافقة صريحة أو لما تكون المعالجة ضرورية لأسباب ذات مصلحة عامة كبيرة، على أساس قانون الاتحاد الأوروبي أو القانون الوطني) البيانات الشخصية المتعلقة بالإدانات الجنائية والجرائم إلا إذا كان القانون الاتحادي أو الوطني يسمح بذلك.  مين بيعالج البيانات الشخصية؟ خلال المعالجة، ممكن تمر البيانات الشخصية من خلال شركات أو منظمات مختلفة. في الدورة دي فيه ملفين رئيسيين بتتعامل مع معالجة البيانات الشخصية:  مسؤول البيانات - بيقرر الغرض وطريقة معالجة البيانات الشخصية. معالج البيانات - بيحتفظ بالبيانات ويعالجها نيابة عن وحدة التحكم بالبيانات. مين اللي بيحرس طريقة معالجة البيانات الشخصية داخل الشركة؟ مسؤول حماية البيانات (DPO) ، واللي ممكن يكون قد عينته الشركة، مسؤول عن مراقبة طريقة معالجة البيانات الشخصية وإبلاغ الموظفين الذين يعالجون البيانات الشخصية ونصيحتهم عن التزاماتهم. بيشتغل مسؤول حماية البيانات بردو مع هيئة حماية البيانات (DPA) ، واللي بيعمل كمركز اتصال مع هيئة حماية البيانات والأفراد.  معالجة بيانات لشركة تانية المتحكم في البيانات ممكن يستخدم فقط معالج بيانات يقدم ضمانات كافية، لازم يتم تضمينها في عقد مكتوب بين الأطراف المعنية. لازم يحتوي العقد كمان على عدد من البنود الإلزامية، مثلًا إن معالج البيانات هيعمل البيانات الشخصية بس لما يطلب منه معالج البيانات فعل كده.  نقل البيانات خارج الاتحاد الاوروبي لما بيتنقل البيانات الشخصية خارج الاتحاد الأوروبي، لازم تكون الحماية اللي بيقدمها القانون بتسافر مع البيانات. ده بيعني إنه لو قمت بتصدير البيانات للخارج، لازم تضمن شركتك إحدى التدابير اللي تحتوي عليها:  بتعتبر الاتحاد الأوروبي الحماية اللي بتقدمها الدولة اللي مش عضو في الاتحاد الأوروبي كافية. بتتخذ شركتك التدابير اللازمة علشان توفر ضمانات مناسبة، زي تضمين بنود محددة في العقد المتفق عليه مع المستورد غير الأوروبي للبيانات الشخصية. بتعتمد شركتك على أسباب محددة للتحويل (استثناءات) زي موافقة الفرد. ومتى مسموح بتجهيز البيانات؟ بتعني قواعد حماية البيانات في الاتحاد الأوروبي إنه يجب عليك تعالج البيانات بطريقة نزيهة وقانونية، لغرض محدد وشرعي ومعالج البيانات اللازمة فقط لتحقيق الغرض ده. لازم تتأكد انك بتلبي واحد من الشروط التالية عشان تعالج البيانات الشخصية؛ انت:  حصلوا على موافقة الشخص المعني محتاج البيانات الشخصية عشان يفي بالتزام تعاقدي مع الفرد محتاج البيانات الشخصية عشان يفي بالتزام قانوني محتاج البيانات الشخصية علشان يحمي المصالح الحيوية للفرد معالجة البيانات الشخصية علشان يقوموا بالواجب في مصلحة الجمهور بتعمل في المصالح المشروعة لشركتك، طالما حقوق الحريات الأساسية للفرد اللي بتتم معالجة بياناته مش متأثرة بشكل كبير. لو حقوق الشخص فوق مصالح شركتك، فممكنش تعالج البيانات الشخصية.   الموافقة على معالجة البيانات - الموافقة حق الوصول والحق في نقل البيانات حق التصحيح والحق في الاعتراض حق المحو (حق التنسيان) صنع القرار الآلي وتحديد الملفات الشخصية خرق البيانات <unk> توفير الإخطار المناسب رد على الطلبات تقييمات التأثير حفظ سجل