الدليل الخاص بالامتثال للائحة العامة لحماية البيانات للشركات الناشئة

تُعد [اللائحة العامة لحماية البيانات (GDPR)](https://gdpr-info.eu/) مجموعةً من القواعد للشركات التي تتعامل مع البيانات الشخصية للأفراد في المنطقة الاقتصادية الأوروبية (EEA). وتشمل المنطقة الاقتصادية الأوروبية جميع دول الاتحاد الأوروبي، إضافةً إلى آيسلندا وليختنشتاين والنرويج. ودخلت اللائحة العامة لحماية البيانات حيز التنفيذ في 25 مايو 2018.

تُعد اللائحة العامة لحماية البيانات قانون حماية البيانات الأكثر صرامةً في العالم. فهي تمنح الأفراد مزيدًا من التحكم في بياناتهم الشخصية، وتفرض قواعد أكثر صرامةً على الشركات عند جمع تلك البيانات واستخدامها وحمايتها.

إذا لم تلتزم شركة بهذه القواعد، فقد تُفرض عليها غرامة أو تواجه عقوبات أخرى. وتبلغ الغرامة القصوى إما 20 مليون يورو أو 4% من الإيرادات السنوية العالمية للشركة في العام السابق، أيهما أعلى.

الالتزامات بموجب اللائحة العامة لحماية البيانات

هناك عدد من الالتزامات والمسؤوليات التي يجب على الشركة الالتزام بها عند جمع البيانات الشخصية لمواطني المنطقة الاقتصادية الأوروبية ومعالجتها:

1. قبل إطلاق منتج أو خدمة جديدة، خصص بعض الوقت للتفكير في كيفية جمع البيانات الشخصية لمواطني المنطقة الاقتصادية الأوروبية وتخزينها واستخدامها. وإذا لزم الأمر، أجرِ تقييمًا لأثر حماية البيانات لتحديد أي مخاطر محتملة على حماية البيانات الشخصية والحد منها.
2. نفّذ التدابير التقنية والتنظيمية المناسبة لحماية البيانات الشخصية، مثل التشفير والتخزين الآمن. واحرص على تحديث أنظمتك وخدماتك بأحدث التصحيحات والتحديثات الأمنية.
3. عند جمع البيانات الشخصية، اطلب فقط المعلومات الضرورية تمامًا للغرض المحدد الذي ستُستخدم من أجله. سيساعدك ذلك على تقليل كمية البيانات التي تجمعها والحد من خطر حدوث اختراقات للبيانات.
4. كن واضحًا مع عملائك بشأن البيانات الشخصية التي تجمعها، وسبب جمعها، وكيفية استخدامها. وقدّم معلومات واضحة عن حماية البيانات واحصل على موافقة صريحة قبل جمع البيانات الشخصية، ما لم يوجد أساس قانوني آخر لجمعها.
5. احترم حق عملائك في الاعتراض على معالجة بياناتهم الشخصية، وتأكد من علمهم بهذا الحق.
6. عيّن مسؤولًا عن حماية البيانات إذا كان 20 شخصًا أو أكثر يعالجون البيانات الشخصية بانتظام، أو إذا كانت الشركة تُجري عمليات لمعالجة البيانات تتطلب تقييمًا لأثر حماية البيانات، أو تعالج البيانات الشخصية بغرض الإرسال أو الإرسال بعد إخفاء الهوية أو أبحاث السوق والرأي.
7. إذا شاركت البيانات الشخصية مع أطراف ثالثة خارج المنطقة الاقتصادية الأوروبية، فطبّق ضمانات مناسبة، مثل البنود التعاقدية القياسية للمنطقة الاقتصادية الأوروبية أو درع الخصوصية.
8. استخدم عملية الاشتراك المزدوج عند إرسال رسائل البريد الإلكتروني للتأكد من أن المستلمين قد وافقوا على تلقيها.
9. حافظ على دقة جميع البيانات الشخصية وحداثتها، وطبّق عمليات لتحديث البيانات عند تغيرها.
10. إذا حدث فقدان للبيانات أو خرق أمني، فاتخذ إجراءً فوريًا لاحتواء الحادثة ومنع المزيد من الضرر. وضع خطة للتعامل مع هذه الحوادث وإخطار العملاء والسلطات المعنية.
11. في حال حدوث خروقات للبيانات، أبلغ السلطة الإشرافية وعملاءك في أقرب وقت ممكن.
12. احتفظ بسجلات لجميع أنشطة معالجة البيانات لتتمكن من إثبات الامتثال في حال خضوعك لتدقيق من السلطة الإشرافية.

تتضمن هذه القائمة أهم الالتزامات والمسؤوليات التي يجب على الشركة مراعاتها بموجب اللائحة العامة لحماية البيانات عند جمع البيانات الشخصية لمواطني المنطقة الاقتصادية الأوروبية ومعالجتها.

ومع ذلك، قد توجد متطلبات إضافية ينبغي مراعاتها في بعض الحالات. فعلى سبيل المثال، قد تكون هناك متطلبات محددة للشركات التي تعمل في قطاعات معينة أو تعالج أنواعًا محددة من البيانات الشخصية.

لذلك، يُنصح دائمًا بطلب المشورة من خبير في حماية البيانات أو التواصل مع السلطة الإشرافية للتأكد من الامتثال لجميع اللوائح المعمول بها.

اللائحة العامة لحماية البيانات للشركات خارج المنطقة الاقتصادية الأوروبية

من المعروف جيدًا أن الشركات التي يقع مقرها في المنطقة الاقتصادية الأوروبية مطالبة بالامتثال للائحة العامة لحماية البيانات، لكن لا يعلم الجميع أن الدول الواقعة خارج المنطقة الاقتصادية الأوروبية قد تكون مطالبة أيضًا بالامتثال للائحة في ظروف معينة. وقد أوضحنا أدناه الطرق المختلفة التي يتعين على الشركات خارج المنطقة الاقتصادية الأوروبية من خلالها الامتثال.