الجلسةاللائحة العامة لحماية البيانات (Gdpr)يحدد المبادئ التوجيهية التي تغطي جوانب مختلفة من حماية البيانات والخصوصية للأفراد داخل الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية (Eea) ، بما في ذلك كيفية تعامل المنظمات مع البيانات الشخصية ومعالجتها وحمايتها. فيما يلي لمحة عامة عن العناصر الرئيسية التي تغطيها إرشادات الناتج المحلي الإجمالي:

1 -النطاق والقابلية للتطبيق

ينطبق الناتج المحلي الإجمالي على:

• جميع المنظمات(بما في ذلك الشركات والمنظمات غير الربحية والحكومات) التي تعالج البيانات الشخصية للأفراد في الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية ، بغض النظر عن مكان وجود المنظمة.
• وحدات تحكم البيانات(الذين يحددون الغرض ووسائل المعالجة) ومعالجات البيانات(الذين يعالجون البيانات نيابة عن وحدات التحكم).

وهو ينطبق على أي نوع من معالجة البيانات الشخصية ، بما في ذلك جمع وتسجيل وتخزين وتغيير واسترجاع واستشارة واستخدام وإفصاح ومحو وتدمير.

2 -التعاريف الرئيسية

• البيانات الشخصيةأي معلومات يمكن أن تحدد هوية الفرد بشكل مباشر أو غير مباشر (على سبيل المثال ، الاسم ، عنوان البريد الإلكتروني ، عنوان Ip ، بيانات الموقع ، إلخ).).
• البيانات الشخصية الحساسةفئات خاصة من البيانات التي تتطلب حماية إضافية ، مثل الأصل العرقي أو الإثني والآراء السياسية والمعتقدات الدينية والبيانات الصحية والبيانات البيومترية والتوجه الجنسي.
• موضوع البياناتالشخص الذي تنتمي إليه البيانات الشخصية.
• مراقب البياناتالكيان الذي يحدد أغراض ووسائل معالجة البيانات الشخصية.
• معالج البياناتالكيان الذي يعالج البيانات نيابة عن وحدة التحكم.

3 -مبادئ معالجة البيانات

يعتمد الناتج المحلي الإجمالي على ما يلي:7 مبادئ رئيسيةمعالجة البيانات:

1. الشرعية والإنصاف والشفافيةيجب معالجة البيانات بشكل قانوني وعادل وبطريقة شفافة. يجب إبلاغ الأفراد بمعالجة بياناتهم.
2. الحد من الغرضيجب جمع البيانات الشخصية لأغراض محددة وصريحة ومشروعة، وعدم استخدامها بطرق لا تتفق مع تلك الأغراض.
3. تقليل البياناتيجب أن تكون البيانات التي يتم جمعها كافية وذات صلة ومقتصرة على ما هو ضروري للغرض المقصود.
4. الدقةيجب أن تكون البيانات الشخصية دقيقة ومحدثة.
5. الحد من التخزينيجب ألا يتم تخزين البيانات لفترة أطول من اللازم للأغراض التي تم جمعها من أجلها.
6. النزاهة والسريةيجب معالجة البيانات بشكل آمن ، مما يضمن الحماية من الوصول أو الضياع أو الضرر غير المصرح به أو غير القانوني.
7. المساءلةوحدات التحكم في البيانات مسؤولة عن ضمان الامتثال للمبادئ المذكورة أعلاه ويجب أن تكون قادرة على إثبات الامتثال.

4 -الأسس القانونية للمعالجة

لا يمكن معالجة البيانات الشخصية إلا إذا كان هناك أساس قانوني صالح ، مثل:

• الموافقةأعطى الفرد موافقة صريحة لغرض معين.
• العقد: المعالجة ضرورية لتنفيذ عقد مع الفرد.
• الالتزام القانوني: المعالجة مطلوبة للامتثال للقانون.
• المصالح الحيويةالمعالجة ضرورية لحماية حياة شخص ما.
• المهام العامةالمعالجة ضرورية لأداء مهمة تخدم المصلحة العامة.
• المصالح المشروعةالمعالجة ضرورية للمصالح المشروعة لوحدة التحكم في البيانات ما لم تتجاوزها حقوق الفرد.

5 -حقوق موضوع البيانات

يمنح الناتج المحلي الإجمالي العديد من الحقوق للأفراد فيما يتعلق ببياناتهم الشخصية:

1. الحق في الحصول على علميحق للأفراد معرفة كيفية جمع بياناتهم واستخدامها ومشاركتها (عبر سياسة الخصوصية).
2. الحق في الوصوليمكن للأفراد طلب الوصول إلى بياناتهم الشخصية وكيفية معالجتها.
3. الحق في التصحيحيمكن للأفراد طلب تصحيح البيانات غير الدقيقة أو غير المكتملة.
4. الحق في المحو ("الحق في النسيان")يمكن للأفراد طلب حذف بياناتهم الشخصية في ظل ظروف معينة (على سبيل المثال ، عندما لم تعد هناك حاجة إلى البيانات).
5. الحق في تقييد المعالجةيمكن للأفراد طلب تقييد معالجة بياناتهم في ظل ظروف معينة.
6. الحق في قابلية نقل البياناتيمكن للأفراد طلب نقل بياناتهم إلى منظمة أخرى أو مباشرة إلى أنفسهم بتنسيق منظم وشائع الاستخدام وقابل للقراءة آليًا.
7. الحق في الاعتراضيمكن للأفراد الاعتراض على معالجة بياناتهم الشخصية لأغراض معينة ، بما في ذلك التسويق المباشر.
8. الحقوق المتعلقة بصنع القرار الآلي والتنميطيحق للأفراد عدم الخضوع لقرار يستند فقط إلى المعالجة الآلية ، بما في ذلك التنميط ، ما لم يتم استيفاء شروط معينة.

6 -تقييمات تأثير حماية البيانات (DPAs)

ويجب إجراء إدارة شؤون الإعلام عندما يحتمل أن تؤدي أنشطة تجهيز البيانات إلى خطر كبير على حقوق الأفراد وحرياتهم. ينطبق هذا عادة على معالجة البيانات الحساسة أو توصيفها أو معالجتها على نطاق واسع.

7 -إخطارات خرق البيانات

يجب على المنظمات إخطار سلطة حماية البيانات ذات الصلة (في المملكة المتحدة ، هذا هو مكتب مفوض المعلومات ، أو Ico) داخل72 ساعةإدراك خرق البيانات الشخصية الذي يشكل خطراً على حقوق الأفراد وحرياتهم. إذا كان من المحتمل أن يؤدي الاختراق إلى مخاطر عالية ، فيجب أيضًا إبلاغ الأفراد المتضررين.

8 -نقل البيانات خارج الاتحاد الأوروبي / المنطقة الاقتصادية الأوروبية

لا يُسمح بنقل البيانات الشخصية إلى دول خارج الاتحاد الأوروبي / المنطقة الاقتصادية الأوروبية إلا إذا:

• وتقدم الدولة المستقبلةمستوى كاف من الحمايةعلى النحو الذي تحدده المفوضية الأوروبية.
• الضمانات المناسبة، مثلالبنود التعاقدية القياسية (SCCs)أوقواعد الشركات الملزمة (BCRs)، في مكانها.
• وقد قدم موضوع البيانات موافقة صريحة.

9 -حماية البيانات حسب التصميم والافتراضي

يجب على المنظمات دمج تدابير حماية البيانات منذ بداية أي مشروع أو عملية تنطوي على معالجة البيانات الشخصية. ويعرف هذا المبدأ باسمالخصوصية حسب التصميم وبشكل افتراضيوهذا يعني أنه يجب مراعاة الخصوصية في مرحلة التصميم وطوال دورة حياة معالجة البيانات.

10موظف حماية البيانات (Dpo)

ويجب تعيين إدارة شؤون الموظفين إذا:

• المنظمة هي سلطة عامة.
• وتشمل الأنشطة الأساسية رصد منتظم ومنهجي للأفراد على نطاق واسع.
• تقوم المنظمة بمعالجة كميات كبيرة من البيانات الشخصية الحساسة.

وتشمل مسؤوليات إدارة شؤون الإعلام ما يلي:

• مراقبة الامتثال للناتج المحلي الإجمالي.
• تقديم المشورة بشأن التزامات حماية البيانات.
• العمل كنقطة اتصال مع سلطات حماية البيانات.

11الغرامات والعقوبات

يمكن أن تواجه المنظمات التي تفشل في الامتثال للناتج المحلي الإجمالي غرامات كبيرة:

• ما يصل إلى20 مليون يوروأو4% من حجم التداول السنوي العالمي للشركةأيهما أعلى، لأخطر الانتهاكات.
• انتهاكات أقل يمكن أن تؤدي إلى غرامات تصل إلى10 ملايين يوروأو2% من معدل الدوران السنوي.

12المساءلة وحفظ السجلات

يجب على المنظمات الاحتفاظ بوثائق لإثبات الامتثال للناتج المحلي الإجمالي، بما في ذلك:

• سجلات أنشطة المعالجة.
• سياسات وإجراءات حماية البيانات.
• إدارة شؤون الإعلام عند الاقتضاء.
• سجلات طلبات وردود موضوع البيانات.

13 -متطلبات الموافقة

عند الاعتماد على الموافقة كأساس قانوني لمعالجة البيانات الشخصية ، يجب اتباع الإرشادات التالية:

• يجب إعطاء الموافقة بحرية ومحددة ومستنيرة ولا لبس فيها.
• يجب إعطاء الموافقة من خلال إجراء إيجابي واضح (على سبيل المثال ، اختيار المشاركة) وليس من خلال صناديق محددة مسبقًا.
• ويجب أن تكون المنظمات قادرة على إثبات الحصول على الموافقة.
• يجب أن يكون للأفراد الحق في سحب الموافقة في أي وقت.

يضع الناتج المحلي الإجمالي معايير عالية لحماية البيانات ويهدف إلى منح الأفراد المزيد من السيطرة على بياناتهم الشخصية. ومن خلال الالتزام بهذه المبادئ التوجيهية، يمكن للمنظمات أن تكفل الامتثال وتجنب خطر العقوبات.