الامتثال لنظام حماية البيانات الشخصية — قائمة عملية للشركات

القائمة

1. احصر بياناتك. حدّد البيانات الشخصية التي تجمعها — العملاء والموظفون والموردون وزوار الموقع — وأين تُخزّن ومن يصل إليها ومن تشاركها معه.

2. حدّد الأساس النظامي. الموافقة أحد الأسس لا كلها؛ فقد تستند المعالجة إلى عقد أو التزام نظامي أو مصلحة مشروعة في حالات محددة. واجمع ما تحتاجه لغرض معلن فقط.

3. انشر إشعار الخصوصية. وضّح ما تجمعه ولماذا وأساسه ومدة الاحتفاظ ومن يستلمه وكيف يمارس الأفراد حقوقهم.

4. عالج الطلبات. يحق للأفراد طلب الوصول إلى بياناتهم وتصحيحها وإتلافها، فضع إجراءً ومهلة.

5. تعاقد مع جهات المعالجة. يحتاج مزودو الخدمات السحابية ومكاتب الرواتب ووكالات التسويق والتقنية الذين يعالجون البيانات لصالحك إلى شروط مكتوبة للأمن والسرية والمعالجة من الباطن.

6. اضبط النقل للخارج. يتطلب النقل إلى دول لم تعترف سدايا بملاءمة مستوى الحماية فيها ضمانات كالبنود التعاقدية المعيارية أو القواعد المؤسسية الملزمة، وأحيانًا تقييمًا للمخاطر.

7. أمّن البيانات. طبّق تدابير تقنية وتنظيمية تتناسب مع المخاطر، خاصة للبيانات الحساسة كالصحية والمالية والحيوية.

8. استعد للتسرب. ضع خطة لاكتشاف الحادثة واحتوائها وتقييمها وإبلاغ سدايا خلال 72 ساعة عند الاقتضاء.

9. قرر بشأن مسؤول حماية البيانات. يلزم تعيينه في حالات معينة، وحتى عند عدم الإلزام سمِّ شخصًا مسؤولًا.

10. احتفظ بالسجلات. احتفظ بسجلات أنشطة المعالجة والقرارات التي اتخذتها لتتمكن من إثبات الامتثال عند الطلب.

أين تقصّر الشركات عادةً

أكثر الثغرات شيوعًا: نقل غير موثق للبيانات إلى شركات شقيقة أو خدمات سحابية في الخارج، وعقود مزودين بلا بنود للبيانات، وتسويق يعتمد على موافقة لم تُؤخذ بشكل صحيح.