اللائحة العامة لحماية البيانات (GDPR) هي لائحة لعموم أوروبا تتحكم في طريقة تعامل الشركات والمؤسسات الأخرى مع البيانات الشخصية. إنها أهم مبادرة لحماية البيانات منذ 20 عامًا ولها آثار كبيرة على كل منظمة في العالم تخدم أشخاصًا من الاتحاد الأوروبي.
لمنح الأشخاص إمكانية التحكم في كيفية استخدام بياناتهم ولحماية "الحقوق والحريات الأساسية للأفراد" ، تضع التشريعات متطلبات صارمة للتعامل مع البيانات والشفافية والتوثيق وموافقة المستخدم.
يجب على كل منظمة الاحتفاظ بسجل ومراقبة معالجة البيانات الشخصية
بصفتها وحدة تحكم في البيانات ، يجب على كل مؤسسة الاحتفاظ بسجل ومراقبة أنشطة معالجة البيانات الشخصية. يتضمن ذلك البيانات الشخصية التي تديرها المنظمة ، ولكن أيضًا من قبل أطراف ثالثة - ما يسمى بمعالجات البيانات.
يمكن أن تكون معالجات البيانات أي شيء بدءًا من مزودي البرامج كخدمات إلى خدمات الطرف الثالث المضمنة والتتبع وحركة الزوار إلى موقع المؤسسة على الويب.
يجب أن يكون كل من مراقبي البيانات والمعالجات قادرين على تحمل المسؤولية عن نوع البيانات التي تتم معالجتها والغرض من المعالجة والدول والأطراف الثالثة التي يتم نقل البيانات إليها.
إذا تم إرسال البيانات الشخصية إلى المؤسسات أو السلطات القضائية خارج نطاق القانون العام لحماية البيانات أو التي لا تعتبرها "كافية" من قبل اللائحة العامة لحماية البيانات ، فيجب عليك إبلاغ المستخدم بها والمخاطر التي تنطوي عليها على وجه التحديد.
يجب تسجيل جميع الموافقات كدليل على منح الموافقة
في 4 مايو 2020 ، اعتمد مجلس حماية البيانات الأوروبي (EDPB) إرشادات بشأن الموافقة الصالحة بموجب اللائحة العامة لحماية البيانات (GDPR).
يجب أن تكون الموافقة الصالحة إشارة مجانية ومحددة وحديثة وواضحة لرغبات المستخدم ، أي إجراء واضح وإيجابي من قبل المستخدم.
توضح إرشادات EDPB ذلك التمرير أو الاستمرار في تصفح الموقع ليس موافقة صالحة وذلك لا يُسمح لشعارات ملفات تعريف الارتباط بأن تحتوي على مربعات اختيار افتراضية .
تعتبر جدران ملفات تعريف الارتباط (الموافقة الإجبارية) أيضًا غير متوافقة.
تعتبر EDPB أعلى سلطة إشرافية مسؤولة عن تنفيذ اللائحة العامة لحماية البيانات في جميع أنحاء الاتحاد الأوروبي وتتألف من ممثلين عن سلطات حماية البيانات في كل دولة عضو في الاتحاد الأوروبي. تُعد إرشاداتها وقراراتها الأساس لفرض اللائحة العامة لحماية البيانات على المستوى الوطني.
يتمتع الأفراد الآن "بالحق في نقل البيانات" و "الحق في الوصول إلى البيانات" جنبًا إلى جنب مع "الحق في النسيان" ويمكنهم إلغاء موافقتهم متى شاءوا. في هذه الحالة ، يجب على مراقب البيانات حذف البيانات الشخصية للفرد إذا لم تعد ضرورية للغرض الذي تم جمعها من أجله.
في حالة حدوث خرق للبيانات ، يجب أن تكون الشركة قادرة على إخطار سلطات حماية البيانات والأفراد المتضررين في غضون 72 ساعة.
بالإضافة إلى ذلك ، تُلزم اللائحة العامة لحماية البيانات (GDPR) السلطات العامة والمؤسسات التي يعمل بها أكثر من 250 موظفًا والشركات التي تعالج البيانات الشخصية الحساسة على نطاق واسع لتوظيف أو تدريب مسؤول حماية البيانات (DPO). يجب أن يتخذ مسؤول حماية البيانات (DPO) خطوات لضمان الامتثال للائحة العامة لحماية البيانات في جميع أنحاء المنظمة.
فيما يتعلق بخروج بريطانيا من الاتحاد الأوروبي ، تخطط حكومة المملكة المتحدة لتنفيذ تشريعات مماثلة ستتبع إلى حد كبير اللائحة العامة لحماية البيانات.
ماذا يعني القانون العام لحماية البيانات (GDPR) لموقعي؟
إذا كان موقعك يخدم أشخاصًا من الاتحاد الأوروبي وأنت - أو خدمات طرف ثالث مضمنة مثل Google و Facebook - تعالج أي نوع من البيانات الشخصية ، فيجب عليك الحصول على موافقة مسبقة من الزائر.
للحصول على موافقة صالحة ، يجب عليك وصف مدى والغرض من معالجة بياناتك بلغة واضحة للزائر قبل معالجة أي بيانات شخصية.
يجب أن تكون هذه المعلومات متاحة للزائر في جميع الأوقات ، على سبيل المثال كجزء من سياسة الخصوصية الخاصة بك. يجب عليك أيضًا توفير طريقة سهلة للزائر لتغيير موافقته أو إبطالها.
يجب تسجيل جميع الموافقات كدليل ويجب توثيق أي مراقبة للبيانات الشخصية ، وكذلك من خلال خدمات الطرف الثالث المتكاملة ، على أساس بيانات الدولة التي يتم نقلها.
راجع معلومات الاتحاد الأوروبي حول إصلاح قانون حماية البيانات.
ما هو تعريف البيانات الشخصية؟
تُعرِّف اللائحة العامة لحماية البيانات البيانات الشخصية على أنها "أي معلومات تتعلق بشخص طبيعي يمكن التعرف عليه أو يمكن التعرف عليه (" موضوع البيانات ") ؛ والشخص الطبيعي الذي يمكن التعرف عليه هو الشخص الذي يمكن تحديده ، بشكل مباشر أو غير مباشر ، في معرّف مثل الاسم ورقم التعريف أو بيانات الموقع أو معرف الإنترنت أو واحد أو أكثر من العوامل المتعلقة بالهوية الجسدية أو الفسيولوجية أو الجينية أو العقلية أو الاقتصادية أو الثقافية أو الاجتماعية لذلك الشخص الطبيعي. "
معرّفات الإنترنت ، مثل عناوين IP ، تُعتبر الآن بيانات شخصية ، ما لم تكن مجهولة الهوية.
تخضع الأسماء المستعارة أيضًا للائحة العامة لحماية البيانات (GDPR) ، إذا كان بإمكان الهندسة العكسية تحديد البيانات التي تنتمي إليها.
تاريخ تنفيذ اللائحة العامة لحماية البيانات: 25 مايو 2018
تمت الموافقة على إصلاح حماية البيانات في الاتحاد الأوروبي من قبل البرلمان الأوروبي والمجلس الأوروبي في 27 أبريل 2016. تسري لائحة حماية البيانات الأوروبية اعتبارًا من 25 مايو 2018 وتحل محل توجيه حماية البيانات.
غرامات وعقوبات اللائحة العامة لحماية البيانات
يتم تغريم الوكالات في حالة عدم الامتثال لغرامة تصل إلى 20 مليون يورو أو 4% من حجم المبيعات السنوي العالمي للوكالة ، أيهما أعلى.
قائمة مراجعة اللائحة العامة لحماية البيانات (GDPR): 6 أشياء أحتاج إلى القيام بها
1. جهز جسمك:
تعريف أصحاب المصلحة عبر مؤسستك بمتطلبات اللائحة العامة لحماية البيانات. إجراء تدريب لموظفي الأمن السيبراني والخصوصية القائمة على التصميم والمبادئ المستندة إلى الخصوصية. قم بتعيين مسؤول حماية البيانات (DPO) إذا لزم الأمر ، أي إذا كان هناك أكثر من 250 شخصًا يعملون.
2. تحقق من بياناتك:
تأكد من أنك تعرف مكان وجود جميع بياناتك ، ومن لديه إمكانية الوصول وأي أجهزة. تحديد مكان معالجة البيانات الشخصية ، بما في ذلك من معالجات الجهات الخارجية. توثيق أسباب المعالجة القانونية وتحديث سياسات الخصوصية الحالية.
3 - شركاء المراجعة:
تأكد من أن شركاء الخدمة ، أي الخدمات المضمنة التابعة لجهات خارجية على موقعك أو موفري البرامج كخدمات ، يمتثلون أيضًا للائحة العامة لحماية البيانات أو بموجب عقوبات البيانات الرسمية. تحقق وتخطيط تدفقات البيانات الدولية الخاصة بهم.
4. الحصول على موافقتك:
تطبيق طرق للحصول على الموافقة والحصول عليها وتسجيلها لضمان الامتثال احتفظ بسجل واضح لما يوافق عليه كل موضوع بيانات فردي ، وقدم خيارات موضوع البيانات لإلغاء الموافقة أو تغييرها.
5. الاستجابة لحقوق البيانات:
قم بتنفيذ الإجراءات التي تسمح لمؤسستك بالاستجابة لحقوق موضوع البيانات ، مثل الوصول إلى البيانات والتصحيح والحذف. وثق كيف سيتم ممارستها من قبل كل من العملاء والموظفين.
6. التحضير لخروقات البيانات:
تأكد من وجود إجراءات للكشف عن انتهاكات البيانات الشخصية والتحقيق فيها والإبلاغ عنها خلال مهلة 72 ساعة لإخطار اللائحة العامة لحماية البيانات.
الامتثال والمتطلبات الخاصة باللائحة العامة لحماية البيانات (GDPR)
الدورات والتدريب وشهادة اللائحة العامة لحماية البيانات:
يمكنك الحصول على مؤهلات مؤسسة EU GDPR (EU GDPR F) وممارس القانون العام لحماية البيانات في الاتحاد الأوروبي (EU GDPR P) (كلاهما معتمد من ISO 17024) في دورات مختلفة من على سبيل المثال حوكمة تقنية المعلومات. توفر الرابطة الدولية لمتخصصي الخصوصية (IAPP) أيضًا تدريبًا عبر الإنترنت.
برنامج الامتثال للقانون العام لحماية البيانات (GDPR):
هناك مجموعات أدوات رقمية وأطر عمل وحلول برمجية يمكن أن تساعدك في عملية الامتثال للائحة العامة لحماية البيانات ، مثل DPOrganizer ، الذي يساعدك على جعل معالجة البيانات الخاصة بك شخصية.
يمكن أن يساعدك Cookiebot في أتمتة موافقة المستخدم على موقعك وتوثيق ملفات تعريف الارتباط وبرامج الزحف الأخرى المستخدمة.
