بعد إعطائي نص مرجعي عن GDPR، قللي كيف بيساعد GDPR في تأمين البيانات الشخصية.
Context:اللائحة العامة لحماية البيانات (2016/679، "GDPR") هيئة في قانون الاتحاد الأوروبي عن حماية البيانات والخصوصية في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية (EEA). الـGDPR مكون مهم من قانون الخصوصية في الاتحاد الأوروبي وقانون حقوق الإنسان، وبالأخص المادة 8 (1) من ميثاق الحقوق الأساسية في الاتحاد الأوروبي. بتتعامل كمان مع نقل البيانات الشخصية خارج مناطق الاتحاد الأوروبي والإي ار اي. الهدف الأساسي من الـGDPR هو تعزيز سيطرة الأفراد وحقوقهم على بياناتهم الشخصية وتبسيط البيئة التنظيمية للعمل التجاري الدولي. بيحل محل توجيه حماية البيانات 95/46 / CE، بيشتمل اللائحة على أحكام ومتطلبات تتعلق بمعالجة البيانات الشخصية للأفراد، المعروفين رسمياً باسم "مواضيع البيانات"، الموجودين في المنطقة الاقتصادية الأوروبية، ويطبق على أي مؤسسة - بغض النظر عن موقعها وجنسية أو إقامة مواضيع البيانات - بتعالج معلومات شخصية للأفراد داخل المنطقة الاقتصادية الأوروبية. تم إعتماد الـGDPR بتاريخ 14 أبريل 2016 وبقى قابل للتنفيذ بتاريخ 25 مايو 2018. بما إن اللوائح العامة لحماية البيانات هيئة لائحة، مش توجيه، فإنها ملزمة ومتطبقة بشكل مباشر، وتوفر مرونة لبعض جوانب اللوائح التي يمكن تعديلها من قبل الدول الأعضاء الفردية.  حسب المفوضية الأوروبية، "البيانات الشخصية هيي معلومات بتتعلق بشخص محدد أو قابل للتعرف عليه. إذا ما فيك تحدد شخص مباشرة من المعلومات، لازم تبحث إذا كان الشخص لسه ممكن يتعرف عليه. لازم تاخد بعين الاعتبار المعلومات اللي بتعالجها مع كل الوسائل اللي من المحتمل تستخدمها انت أو أي شخص تاني عشان تحدد هوية الشخص. " التعاريف الدقيقة للمصطلحات زي "البيانات الشخصية" و "المعالجة" و "موضوع البيانات" و "المشرف على المعالجة" و "المعالج" موجودة بمادة 4 من اللائحة.  مبادئ البيانات الشخصية ما بتتعامل إلا إذا كان في أساس قانوني واحد على الأقل. المادة 6 بتقول الأغراض المشروعة هيدي:  (أ) إذا أعطى موضوع البيانات الموافقة على معالجة بياناته الشخصية؛ (b) للوفاء بالتزامات التعاقدية مع موضوع البيانات، أو للوفاء بالمهام بناءً على طلب موضوع البيانات الموجود في عملية إبرام عقد؛ (ج) للوفاء بالالتزامات القانونية للمتحكم بالبيانات؛ (د) لحماية المصالح الحيوية لموضوع البيانات أو فرد آخر؛ (ه) للقيام بمهمة بمصلحة عامة أو بمسؤولية رسمية؛ (f) لمصالح مشروعة لمشرف على البيانات أو لجهة ثالثة، إلا إذا كانت مصالح موضوع البيانات أو حقوقه وفقًا لميثاق الحقوق الأساسية (بخاصة في حالة الأطفال) تفوق هذه المصالح.  أمن البيانات الشخصية المتحكمين ومعالجين للبيانات الشخصية لازم يضيفوا تدابير فنية وتنظيمية مناسبة عشان يطبقوا مبادئ حماية البيانات. العمليات التجارية اللي بتعالج البيانات الشخصية لازم تصمم وتبنى مع مراعاة المبادئ وتوفر ضمانات لحماية البيانات (مثلًا باستخدام التشفير أو التشفير الكامل حسب الاقتضاء). المتحكمين بالبيانات لازم يصمموا أنظمة المعلومات مع الخصوصية في الاعتبار. مثلاً، باستخدام أعلى إعدادات الخصوصية ممكنة بشكل افتراضي، بحيث إن مجموعات البيانات مش متوفرة علناً بشكل افتراضي ولا يمكن استخدامها للتعرف على موضوع. ما في بيانات شخصية تتم معالجتها إلا إذا كانت المعالجة بتتعمل بناءً على واحد من الأسس الستة القانونية المحددة باللائحة (الموافقة أو العقد أو المهمة العامة أو المصلحة الحيوية أو المصلحة المشروعة أو المتطلبات القانونية). وبالإضافة، المواضيع المذكورة أعلاه هيدي:  المادة 33 بتقول إن المتحكم بالبيانات تحت التزام قانوني بإخطار السلطة الإشرافية من دون تأخير زائف إلا إذا كان من غير المرجح إن الإخلال بيؤدي لخطر على حقوق وحريات الأفراد. في حدا أقصى 72 ساعة من بعد إكتشاف خرق البيانات علشان تعمل التقرير. لازم يبلغ الأفراد إذا اتأكد خطر كبير من التأثير السلبي (المادة 34). وبالإضافة، لازم على معالج البيانات إخطار وحدة التحكم من دون تأخير زائف بعد ما يكتشف خرق في البيانات الشخصية (المادة 33). ومع كدا، ما بيحتاج الإخطار لمواضيع البيانات إذا عمل المتحكم في البيانات تدابير حماية تقنية وتنظيمية مناسبة بتجعل البيانات الشخصية مش مفهومة لأي شخص مش مخول للوصول إليها، زي التشفير (المادة 34).  مسؤول حماية البيانات  المادة 37 بتطلب تعيين موظف حماية البيانات. إذا كان المعالجة بيتم تنفيذها من قبل سلطة عامة (باستثناء المحاكم أو السلطات القضائية المستقلة لما تعمل بصفتها القضائية) ، أو إذا كانت عمليات المعالجة بتتضمن مراقبة منتظمة ومنهجية لموضوعي البيانات على نطاق واسع، أو إذا كانت عمليات المعالجة على نطاق واسع بتتضمن فئات خاصة من البيانات وبيانات شخصية تتعلق بالإدانات الجنائية والجرائم (المواد 9 والمادة 10) ، لازم يعين موظف حماية البيانات (DPO) -شخص ذي معرفة خبيرة بقانون وممارسات حماية البيانات- لمساعدة المعالج أو المعالج في مراقبة امتثالهم الداخلي لللائحة.  مكتب حماية البيانات المعيّن بيقدر يكون عضو حالي في موظفي المعالج أو المعالج، أو بيقدر يتم توكيل الدور لشخص أو وكالة خارجية عن طريق عقد خدمة. بأي حال، لازم يتأكد الجهاز المعالج من عدم وجود تعارض مصالح في أدوار أو مصالح تانية ممكن يكون عند مدير حماية البيانات. لازم تنشر منظمة المعالجة تفاصيل الاتصال لموظف حماية البيانات (مثلاً في إشعار خصوصية) وتسجل عند الجهة الإشرافية.  الموظف المعني بالمعايير شبيه بموظف الامتثال، ويُتوقع كمان إن يكون ماهر في إدارة عمليات تكنولوجيا المعلومات وأمن البيانات (بما في ذلك التعامل مع الهجمات الإلكترونية) وغيرها من المسائل المهمة المتعلقة باستمرارية الأعمال المرتبطة بحفظ ومعالجة البيانات الشخصية والحساسة. المهارات المطلوبة بتتعدى فهم الامتثال القانوني لقوانين وقوانين حماية البيانات. الموظف المكلف بالبيانات لازم يحافظ على مخزن بيانات حي لكل البيانات اللي بتتجمع وتتخزن بالنيابة عن المنظمة. بتاريخ 13 ديسمبر 2016 (مراجعة بتاريخ 5 نيسان 2017) تم إعطاء تفاصيل أكتر عن وظيفة ودور موظف حماية البيانات في وثيقة توجيه.  المنظمات اللي مقرها برا الاتحاد الأوروبي لازم تعيين شخص مقره في الاتحاد الأوروبي كممثل ونقطة اتصال لالتزامات GDPR (المادة 27). هيدا دور متميز عن مكتب حماية البيانات، بالرغم من إن في تداخل في المسؤوليات اللي بتشير إن هاد الدور ممكن يلعبه مكتب حماية البيانات المعين كمان.
اللائحة العامة لحماية البيانات بتوفر توجيهات عن تخزين ومعالجة البيانات الشخصية. البيانات الشخصية هيي أي معلومات عن شخص محدد أو قابل للتحديد، المعروف بردو باسم موضوع البيانات. البيانات الشخصية بتشمل معلومات زي:  اسم عنوان رقم بطاقة الهوية/جواز السفر دخول ملف ثقافي عنوان بروتوكول الإنترنت (IP) البيانات اللي بحوزة مستشفى أو طبيب (اللي بتعرف شخص بشكل فريد لأغراض صحية).  فئات خاصة للبيانات ما فيك تعالج بيانات شخصية عن شخص:  أصل عرقي أو عرقي التوجه الجنسي آراء سياسية معتقدات دينية أو فلسفية عضوية في نقابة البيانات الوراثية أو البيومترية أو البيانات الصحية ما عدا في حالات محددة (مثلاً لما اتخذت موافقتك الصريحة أو لما تكون المعالجة ضرورية لأسباب من مصلحة عامة كبيرة، بناءً على قانون الاتحاد الأوروبي أو القانون الوطني) البيانات الشخصية اللي بتتصل بالإدانات الجنائية والجرائم إلا إذا كان القانون الاتحادي أو الوطني بيوصي بذلك.  مين بيعمل البيانات الشخصية؟ خلال المعالجة، البيانات الشخصية ممكن تمر من خلال شركات أو منظمات مختلفة. بداخل هالدورة، في صورتين رئيسيين بتتعاملوا مع معالجة البيانات الشخصية:  مسؤول البيانات - بيقرر الغرض وطريقة معالجة البيانات الشخصية. معالج البيانات - بيحمل ويعالج البيانات بالنيابة عن وحدة التحكم. مين بيحرس كيف بتتعامل البيانات الشخصية داخل الشركة؟ مسؤول حماية البيانات (DPO) ، واللي ممكن تكون عينته الشركة، مسؤول عن مراقبة كيفية معالجة البيانات الشخصية وإبلاغ الموظفين اللي بيعالجوا البيانات الشخصية ونصيحتهم عن التزاماتهم. مكتب حماية البيانات بيعمل كمان مع هيئة حماية البيانات، وبيعمل كمركز اتصال مع هيئة حماية البيانات والأفراد.  معالجة البيانات لشركة تانية مسؤول البيانات بيقدر يستخدم بس معالج بيانات بيدي ضمانات كافية، لازم يكونوا مدرجين في عقد مكتوب بين الطرفين المعنيين. العقد لازم يحتوي كمان على عدد من البنود الإلزامية، مثلًا إن المعالج بيعالج البيانات الشخصية بس لما يطلب منه المعالج.  نقل البيانات خارج الاتحاد الأوروبي لما بيتنقلوا البيانات الشخصية برة الاتحاد الأوروبي، المواصفات المتاحة بموجب اللائحة العامة لحماية البيانات لازم تمشي مع البيانات. يعني إذا بتصدر بيانات لخارج البلاد، لازم تضمن شركتك إن إحدى الإجراءات التالية اتبعت:  حماية البلد اللي مش في الاتحاد الأوروبي بتعتبره كافية من قبل الاتحاد الأوروبي. شركتك بتتخذ الإجراءات الضرورية لتوفير الضمانات المناسبة، زي إدراج بنود محددة في العقد المتفق عليه مع المستورد غير الأوروبي للبيانات الشخصية. شركتك بتعتمد على أسباب محددة للتحويل (استثناءات) زي موافقة الفرد. أيمتا بتتسمح معالجة البيانات؟ قواعد حماية البيانات بالاتحاد الأوروبي بتعني لازم تعالج البيانات بطريقة عادلة وقانونية، لغرض محدد ومشروع، وتعالج فقط البيانات الضرورية لتحقيق هاد الغرض. لازم تضمن إنك بتلبي واحد من الشروط التالية عشان تعالج البيانات الشخصية:  أخدوا موافقة الشخص المعني بدك البيانات الشخصية لتلبية التزام تعاقدي مع الشخص بحاجة للبيانات الشخصية عشان يفي بالتزام قانوني بدك البيانات الشخصية لحماية المصالح الحيوية للشخص معالجة البيانات الشخصية عشان تنفي المهمة بمصلحة الجمهور بتعملوا بمصلحة شرعية لشركتك، طالما ما بتتأثر بشدّة بالحقوق والحريات الأساسية للأفراد اللي بتتم معالجة بياناتهم. إذا حقوق الشخص فوق مصالح شركتك، ما فيك تعالج البيانات الشخصية.   الموافقة على معالجة البيانات - الموافقة الحق في الوصول والحق في نقل البيانات حق التصحيح وحق الاعتراض حق المحو (حق التنسيان) صناعة القرار الآلي وتحديد الملفات الشخصية خرق البيانات <unk> توفير إشعار مناسب رد على الطلبات تقييمات التأثير حفظ سجل