بالنظر إلى نص مرجعي عن الـGDPR، أخبرني كيف يساعد الـGDPR في تأمين البيانات الشخصية.
Context:اللائحة العامة لحماية البيانات (2016/679 ، "GDPR") هي لائحة في قانون الاتحاد الأوروبي بشأن حماية البيانات والخصوصية في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية (EEA). ويعد نظام حماية البيانات العامة عنصراً هاماً في قانون الخصوصية في الاتحاد الأوروبي وقانون حقوق الإنسان، ولا سيما المادة 8 (1) من ميثاق الحقوق الأساسية للاتحاد الأوروبي. كما يتناول نقل البيانات الشخصية خارج مناطق الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية. الهدف الأساسي من الـ GDPR هو تعزيز سيطرة الأفراد وحقوقهم على بياناتهم الشخصية وتبسيط البيئة التنظيمية للأعمال التجارية الدولية. يحل هذا النظام محل توجيه حماية البيانات 95/46/EC، ويحتوي على أحكام ومتطلبات تتعلق بمعالجة البيانات الشخصية للأفراد، الذين يطلق عليهم رسمياً "مواضيع البيانات"، والذين يقعون في المنطقة الاقتصادية الأوروبية، وينطبق على أي مؤسسة - بغض النظر عن موقعها وجنسية أو إقامة مواضيع البيانات - تقوم بمعالجة معلومات شخصية للأفراد داخل المنطقة الاقتصادية الأوروبية. تم اعتماد النظام الأساسي لحماية البيانات في 14 أبريل 2016 وأصبح قابلاً للتنفيذ ابتداء من 25 مايو 2018. نظرًا لأن GDPR هو لائحة وليس توجيهًا ، فهو ملزم ومطبق بشكل مباشر ، ويوفر مرونة لبعض جوانب اللائحة التي يمكن تعديلها من قبل الدول الأعضاء الفردية.  وفقاً للمفوضية الأوروبية، "البيانات الشخصية هي المعلومات المتعلقة بشخص محدد أو يمكن تحديده. إذا لم تتمكن من تحديد هوية الفرد مباشرة من تلك المعلومات، فعليك أن تفكر فيما إذا كان الفرد لا يزال قابل للتحديد. يجب أن تأخذ في الاعتبار المعلومات التي تقوم بمعالجتها جنبا إلى جنب مع جميع الوسائل التي من المحتمل أن تستخدمها أنت أو أي شخص آخر لتحديد هوية هذا الفرد. " تعريفات دقيقة لمصطلحات مثل "البيانات الشخصية" و "معالجة" و "موضوع البيانات" و "المتحكم" و "المعالج" مدرجة في المادة 4 من اللائحة.  المبادئ لا يجوز معالجة البيانات الشخصية إلا إذا كان هناك أساس قانوني واحد على الأقل للقيام بذلك. المادة 6 تنص على أن الأغراض المشروعة هي:  (أ) إذا كان موضوع البيانات قد وافق على معالجة بياناته الشخصية؛ (ب) للوفاء بالالتزامات التعاقدية مع موضوع البيانات، أو للقيام بمهام بناءً على طلب من موضوع البيانات الذي هو في عملية إبرام عقد؛ (ج) الامتثال لالتزامات مراقب البيانات القانونية؛ (د) حماية المصالح الحيوية لموضوع البيانات أو أي فرد آخر؛ (هـ) أداء مهمة في المصلحة العامة أو في إطار سلطة رسمية؛ (و) للمصالح المشروعة لمراقب البيانات أو طرف ثالث، ما لم تتفوق على هذه المصالح مصالح موضوع البيانات أو حقوقه وفقاً للميثاق الخاص بالحقوق الأساسية (خاصة في حالة الأطفال).  أمن البيانات الشخصية يجب على مسؤولي البيانات الشخصية ومعالجيها وضع تدابير تقنية وتنظيمية مناسبة لتنفيذ مبادئ حماية البيانات. يجب تصميم عمليات الأعمال التي تتعامل مع البيانات الشخصية وبناءها مع الأخذ بعين الاعتبار المبادئ وتوفير ضمانات لحماية البيانات (على سبيل المثال، باستخدام التشفير أو التشفير الكامل عند الاقتضاء). يجب على مراقبي البيانات تصميم نظم المعلومات مع الخصوصية في الاعتبار. على سبيل المثال، باستخدام أعلى إعدادات الخصوصية الممكنة بشكل افتراضي، بحيث لا تكون مجموعات البيانات متاحة للجمهور بشكل افتراضي ولا يمكن استخدامها لتحديد هوية الشخص. لا يجوز معالجة أي بيانات شخصية إلا إذا كانت هذه المعالجة تتم بموجب أحد الأسس القانونية الستة المحددة في اللائحة (الموافقة أو العقد أو المهمة العامة أو المصلحة الحيوية أو المصلحة المشروعة أو المتطلبات القانونية). عندما تستند المعالجة إلى الموافقة، يحق لموضوع البيانات إلغاء ذلك في أي وقت.  تنص المادة 33 على أن مسؤول البيانات ملزم قانونياً بإخطار السلطة الإشرافية دون تأخير غير مبرر ما لم يكن من المرجح أن يؤدي الإخلال إلى خطر على حقوق وحريات الأفراد. لديك 72 ساعة كحد أقصى بعد أن علمت بانتهاك البيانات لتقديم التقرير. يجب إخطار الأفراد إذا تم تحديد خطر كبير للتأثير السلبي (المادة 34). وبالإضافة إلى ذلك، يتعين على معالج البيانات إبلاغ المسؤول دون تأخير غير مبرر بعد أن يكتشف انتهاك البيانات الشخصية (المادة 33). ومع ذلك، لا يُطلب إخطار الأشخاص المعنيين بالبيانات إذا كان مراقب البيانات قد نفذ تدابير حماية تقنية وتنظيمية مناسبة تجعل البيانات الشخصية غير مفهومة لأي شخص غير مخول بالوصول إليها، مثل التشفير (المادة 34).  موظف حماية البيانات  المادة 37 تتطلب تعيين موظف حماية البيانات. إذا كانت المعالجة تتم من قبل سلطة عامة (باستثناء المحاكم أو السلطات القضائية المستقلة عندما تتصرف بصفتها القضائية) ، أو إذا كانت عمليات المعالجة تنطوي على مراقبة منتظمة ومنهجية لموضوعات البيانات على نطاق واسع، أو إذا كانت المعالجة على نطاق واسع من فئات خاصة من البيانات والبيانات الشخصية المتعلقة بالإدانات الجنائية والجرائم (المواد 9 والمادة 10) ، يجب تعيين موظف حماية البيانات (DPO) - شخص لديه معرفة متخصصة بقانون وممارسات حماية البيانات - لمساعدة المسؤول أو المعالج في مراقبة امتثالهم الداخلي للنظام.  يمكن أن يكون موظف حماية البيانات المعين عضوًا حاليًا في فريق موظفي المسؤول أو المعالج، أو يمكن توزيع الدور على شخص أو وكالة خارجية من خلال عقد خدمة. على أي حال، يجب على هيئة المعالجة التأكد من عدم وجود تضارب في المصالح في الأدوار أو المصالح الأخرى التي قد يمتلكها موظف حماية البيانات. يجب أن تنشر منظمة المعالجة تفاصيل الاتصال لموظف حماية البيانات (على سبيل المثال، في إشعار خصوصية) وتسجل لدى السلطة الإشرافية.  موظف حماية البيانات يشبه موظف الامتثال ويتوقع منه أيضا أن يكون بارعا في إدارة عمليات تكنولوجيا المعلومات وأمن البيانات (بما في ذلك التعامل مع الهجمات الإلكترونية) وغيرها من قضايا استمرارية العمل الحرجة المرتبطة بحفظ ومعالجة البيانات الشخصية والحساسة. مجموعة المهارات المطلوبة تتجاوز فهم الامتثال القانوني لقوانين وقوانين حماية البيانات. يجب على موظف حماية البيانات الاحتفاظ بقائمة البيانات الحية لجميع البيانات التي يتم جمعها وتخزينها نيابة عن المنظمة. تم تقديم مزيد من التفاصيل حول وظيفة ودور موظف حماية البيانات في 13 ديسمبر 2016 (مراجعة 5 أبريل 2017) في وثيقة توجيهات.  يجب على المنظمات التي تتخذ من خارج الاتحاد الأوروبي مقراً لها أيضاً تعيين شخص مقره في الاتحاد الأوروبي كممثل ونقطة اتصال لالتزاماتها بموجب النظام الأوروبي لحماية البيانات (المادة 27). هذا هو دور متميز عن DPO، على الرغم من وجود تداخل في المسؤوليات التي تشير إلى أن هذا الدور يمكن أن يكون أيضا من قبل DPO المعين.
ينص اللائحة العامة لحماية البيانات على المبادئ التوجيهية المتعلقة بتخزين ومعالجة البيانات الشخصية. البيانات الشخصية هي أي معلومات عن شخص محدد أو يمكن تحديده، والمعروف أيضا باسم موضوع البيانات. وتشمل البيانات الشخصية معلومات مثل:  الاسم العنوان رقم بطاقة الهوية/ جواز السفر الدخل الملف الثقافي عنوان بروتوكول الإنترنت البيانات التي تحتفظ بها المستشفى أو الطبيب (التي تحدد شخصًا بشكل فريد لأغراض صحية).  فئات بيانات خاصة لا يجوز لك معالجة البيانات الشخصية عن شخص ما:  الأصل العرقي أو العرقي التوجه الجنسي الآراء السياسية المعتقدات الدينية أو الفلسفية العضوية في نقابة البيانات الوراثية أو البيومترية أو البيانات الصحية باستثناء الحالات المحددة (على سبيل المثال عندما تكون قد أعطيت موافقتك الصريحة أو عندما تكون المعالجة ضرورية لأسباب ذات مصلحة عامة كبيرة، على أساس قانون الاتحاد الأوروبي أو القانون الوطني) البيانات الشخصية المتعلقة بالإدانات الجنائية والجرائم ما لم يسمح بذلك قانون الاتحاد الأوروبي أو القانون الوطني.  من يعالج البيانات الشخصية؟ أثناء المعالجة، يمكن أن تمر البيانات الشخصية عبر العديد من الشركات أو المنظمات المختلفة. ضمن هذه الدورة هناك ملفان رئيسيان يتعاملان مع معالجة البيانات الشخصية:  مسؤول البيانات - يقرر الغرض والطريقة التي تتم بها معالجة البيانات الشخصية. معالج البيانات - يحتفظ بالبيانات ويعالجها نيابة عن مراقب البيانات. من يراقب كيفية معالجة البيانات الشخصية داخل الشركة؟ مسؤول حماية البيانات (DPO) ، الذي قد تكون قد عينته الشركة، مسؤول عن مراقبة كيفية معالجة البيانات الشخصية وإبلاغ الموظفين الذين يعالجون البيانات الشخصية وتقديم المشورة لهم بشأن التزاماتهم. كما يتعاون موظف حماية البيانات مع هيئة حماية البيانات (DPA) ، ويعمل كنقطة اتصال مع هيئة حماية البيانات والأفراد.  معالجة البيانات لشركة أخرى يمكن لمراقب البيانات استخدام معالج البيانات فقط الذي يقدم ضمانات كافية ، وينبغي تضمينها في عقد مكتوب بين الأطراف المعنية. يجب أن يتضمن العقد أيضًا عددًا من البنود الإلزامية ، على سبيل المثال ، أن معالج البيانات لن يعالج البيانات الشخصية إلا عند توجيه المسؤول عن معالجة البيانات للقيام بذلك.  نقل البيانات خارج الاتحاد الأوروبي عندما يتم نقل البيانات الشخصية خارج الاتحاد الأوروبي، يجب أن تسافر الحماية التي يوفرها النظام العام لحماية البيانات مع البيانات. هذا يعني أنه إذا كنت تصدر البيانات إلى الخارج، يجب على شركتك ضمان الالتزام بأحد التدابير التالية:  تعتبر الاتحاد الأوروبي أن الحماية التي تقدمها الدولة غير الأعضاء في الاتحاد الأوروبي كافية. تتخذ شركتك التدابير اللازمة لتوفير الضمانات المناسبة، مثل تضمين بنود محددة في العقد المتفق عليه مع المستورد غير الأوروبي للبيانات الشخصية. تعتمد شركتك على أسباب محددة للتحويل (استثناءات) مثل موافقة الفرد. متى يُسمح بمعالجة البيانات؟ قواعد حماية البيانات في الاتحاد الأوروبي تعني أنه يجب عليك معالجة البيانات بطريقة عادلة وقانونية لغرض محدد وشرعي ومعالجة البيانات اللازمة فقط لتحقيق هذا الغرض. يجب عليك التأكد من أنك تستوفي أحد الشروط التالية لمعالجة البيانات الشخصية:  تم منحها موافقة الفرد المعني تحتاج البيانات الشخصية للوفاء بالتزام تعاقدي مع الفرد تحتاج البيانات الشخصية للوفاء بالتزام قانوني تحتاج البيانات الشخصية لحماية المصالح الحيوية للفرد معالجة البيانات الشخصية لتنفيذ المهمة في المصلحة العامة تعمل في المصلحة المشروعة لشركتك، طالما أن الحقوق والحريات الأساسية للأفراد الذين تتم معالجتهم البيانات لا تتأثر بشكل خطير. إذا كانت حقوق الشخص تتفوق على مصالح شركتك، فلا يمكنك معالجة البيانات الشخصية.   الموافقة على معالجة البيانات الحق في الوصول والحق في نقل البيانات الحق في التصحيح والحق في الاعتراض الحق في الحذف (الحق في النسيان) صنع القرار الآلي وتحديد الملفات الشخصية انتهاكات البيانات <unk> توفير الإخطار المناسب الرد على الطلبات تقييمات التأثير حفظ السجلات