متطلبات جمع البيانات بموجب اللائحة العامة لحماية البيانات
وفقًا للائحة العامة لحماية البيانات (GDPR)، يجوز جمع بعض المعلومات وتخزينها طالما بقيت هوية المستخدمين مجهولة تمامًا. لا يجوز تخزين البيانات بطريقة تُمكّن من تتبع المستخدمين. يجب الاحتفاظ بالبيانات لأقصر مدة ممكنة. تشترط اللائحة العامة لحماية البيانات على المؤسسات جمع البيانات الشخصية فقط على أساس قانوني. تنص المادة 6 من اللائحة العامة لحماية البيانات على الأسس القانونية الستة التالية:
- الموافقة: عندما يكون صاحب البيانات قد أعطى موافقته على معالجة بياناته الشخصية لغرض واحد أو أكثر من الأغراض المحددة.
- تنفيذ العقد: حيث تكون المعالجة ضرورية لتنفيذ عقد يكون صاحب البيانات طرفًا فيه أو لاتخاذ خطوات بناءً على طلب صاحب البيانات قبل الدخول في عقد.
- الامتثال للالتزام القانوني: حيث تكون المعالجة ضرورية للامتثال لالتزام قانوني يخضع له المتحكم.
- المصالح الحيوية: حيث تكون المعالجة ضرورية لحماية المصالح الحيوية لصاحب البيانات أو لشخص طبيعي آخر.
- المصلحة العامة: حيث تكون المعالجة ضرورية لأداء مهمة يتم تنفيذها في المصلحة العامة أو في إطار ممارسة السلطة الرسمية المخولة للمراقب.
- المصالح المشروعة: حيث تكون المعالجة ضرورية لأغراض المصالح المشروعة التي يسعى إليها المتحكم أو طرف ثالث، باستثناء الحالات التي تتجاوز فيها هذه المصالح مصالح أو حقوق وحريات صاحب البيانات الأساسية التي تتطلب حماية البيانات الشخصية، ولا سيما عندما يكون صاحب البيانات طفلاً.
إضافةً إلى الأسس القانونية المذكورة أعلاه، يجب على المؤسسات مراعاة مبادئ أساسية لجمع البيانات ومعالجتها. تنص المادة 5 من اللائحة العامة لحماية البيانات (GDPR) على مبادئ حماية البيانات الأساسية التالية:
- الشرعية والإنصاف والشفافية: يتطلب هذا المبدأ من المنظمات جمع البيانات ومعالجتها بطريقة قانونية وعادلة وشفافة.
- تحديد الغرض: يتطلب هذا المبدأ من المؤسسات جمع البيانات ومعالجتها فقط لأغراض محددة وصريحة ومشروعة.
- تقليل البيانات: يتطلب هذا المبدأ من المؤسسات جمع البيانات الكافية والملائمة والمقتصرة على ما هو ضروري للأغراض التي تتم معالجتها من أجلها.
- الدقة: يتطلب هذا المبدأ من المؤسسات الحفاظ على دقة البيانات. في حال كانت البيانات غير دقيقة، يتعين على المؤسسات إما حذفها أو تصحيحها.
- قيود التخزين: بمجرد انتهاء الغرض من البيانات، يجب حذفها من خوادم المؤسسات لتوفير المساحة وتجنب أي مشاكل تتعلق بالامتثال. لا يجوز تخزين البيانات لفترة أطول من اللازم للأغراض التي جُمعت من أجلها.
- النزاهة والسرية: يتطلب هذا المبدأ من المؤسسات ضمان حماية البيانات الشخصية من المعالجة غير المصرح بها أو غير القانونية أو الحوادث الأمنية، وأن يكون لديها ضوابط أمنية مناسبة في جميع الأوقات.
- المساءلة: يُحمّل هذا المبدأ المؤسسات مسؤولية حماية البيانات الشخصية. ويجب أن تكون المؤسسات قادرة على إثبات امتثالها للمتطلبات القانونية المعمول بها.
ما الذي تحتاج المنظمات إلى تسجيله
بموجب المادة 30 من اللائحة العامة لحماية البيانات (GDPR)، يُطلب من المؤسسات الاحتفاظ بسجلات مكتوبة لأنشطة معالجة البيانات. يجب أن تتضمن هذه السجلات العناصر التالية:
- بيانات الاتصال بجميع المراقبين والمعالجين ومسؤولي حماية البيانات
- طرق جمع المعلومات
- فئات المعلومات التي يتم جمعها
- فئات أصحاب البيانات
- فئات متلقي هذه المعلومات
- الغرض من جمع البيانات
- استخدام البيانات
- الفئات المحددة المتأثرة بجمع البيانات هذا
- نقل المعلومات إلى دول ثالثة، بما في ذلك الدول الثالثة أو المنظمات الدولية
- تقدير المدة التي سيتم فيها الاحتفاظ بالبيانات أو فترات الاحتفاظ بالبيانات
- التدابير الأمنية المتخذة لحماية البيانات الشخصية للأفراد
نقاط الاتصال الخاصة بجمع البيانات وفقًا للائحة العامة لحماية البيانات
عند جمع بيانات الأفراد، هناك عدة أمور يجب على المؤسسة التأكد منها لضمان امتثالها للائحة العامة لحماية البيانات (GDPR ). توجد عدة طرق يمكن للمؤسسة من خلالها الحصول على بيانات الأفراد (وتُعرف هذه الطرق بنقاط الاتصال).
تتضمن بعض الأمثلة على نقاط الاتصال ما يلي:
- رسائل البريد الإلكتروني
- قنوات التواصل الاجتماعي
- تطبيقات الدردشة المباشرة
- البحث العكسي عن عنوان IP
- ملفات تعريف الارتباط على موقع الشركة الإلكتروني
لضمان توافق البيانات التي يتم جمعها عبر نقاط الاتصال المذكورة أعلاه مع متطلبات اللائحة العامة لحماية البيانات (GDPR)، يجب على المؤسسات ضمان ما يلي:
- معالجة البيانات الشخصية فقط على أسس قانونية.
- ضوابط أمنية مناسبة لمنع فقدان البيانات أو وقوع حوادث أمنية.
- الوفاء الكافي والاستجابة في الوقت المناسب لطلبات أصحاب البيانات .
- الوفاء الكافي بمتطلبات الإبلاغ عن الاختراقات .
- إجراء تقييمات منتظمة لأثر الخصوصية وتقييمات أثر حماية البيانات ( DPIA ) للتخفيف من أي مخاطر محتملة تتعلق بالخصوصية في أنشطة معالجة البيانات.
- مناسب consent management عمليات وسجلات موافقة أصحاب البيانات على معالجة البيانات القائمة على الموافقة.
- سجلات محدثة وشاملة لأنشطة معالجة البيانات (RoPA) .
خاتمة
يُعدّ جمع البيانات الخطوة الأولى التي تتخذها أي مؤسسة، وهو ما يثير مخاوف تتعلق بالخصوصية. ولضمان الامتثال لأنظمة الخصوصية، تحتاج المؤسسات إلى أداة شاملة تُساعدها على جمع البيانات بشكل قانوني، وبالتالي ضمان التزامها بأنظمة الخصوصية.
Securiti يُمكّن حلّ sensitive data intelligence من الشركة المؤسسات من الالتزام بجميع مبادئ ومتطلبات اللائحة العامة لحماية البيانات (GDPR) قبل جمع بيانات المستهلك. كما يُمكّنها من حماية هذه البيانات المجمعة واستخدامها فقط للغرض المقصود منها.
سجل اليوم لمشاهدة عرض توضيحي واكتشف كيف Securiti يمكن لـ SDI أن تساعد مؤسستك.
