نظام حماية البيانات الشخصية: ما يلزم مكاتب المحاماة والشركات

المبادئ الأساسية

• جمع البيانات لغرض محدد ومشروع.
• الاقتصار على البيانات اللازمة للغرض.
• عدم استعمالها لغرض آخر دون أساس نظامي.
• حفظها مدة لا تتجاوز الحاجة.
• حمايتها بإجراءات تنظيمية وتقنية مناسبة.

حقوق صاحب البيانات

• حق العلم بكيفية جمع بياناته والغرض منه.
• حق الوصول إلى بياناته والحصول على نسخة منها.
• حق طلب تصحيحها أو استكمالها.
• حق طلب إتلافها عند انتفاء الحاجة إليها في الحالات التي يحددها النظام.

التزامات جهة التحكم

الجهة التي تحدد الغرض من معالجة البيانات وطريقتها مسؤولة عن الالتزام بالنظام: سياسة خصوصية واضحة، وموافقة صاحب البيانات حيث تلزم، وإجراءات أمن، وسجل للمعالجة، وإشعار الجهة المختصة وأصحاب البيانات عند التسرب وفق ما تحدده اللوائح.

نقل البيانات خارج المملكة

ينظم النظام ولوائحه نقل البيانات الشخصية خارج المملكة بشروط وضوابط. وهذا يهم الشركات التي تستخدم خدمات سحابية أو أنظمة خارجية، ومكاتب المحاماة التي تستخدم برامج تخزن البيانات في الخارج.

مكتب المحاماة نفسه

المكتب جهة تحكم في بيانات موكليه وموظفيه. فيحتاج سياسة لحفظ الملفات، وصلاحيات اطلاع محددة، وقناة تواصل آمنة مع الموكلين بدل المجموعات المفتوحة، ونظامًا يحفظ البيانات بأمان.

خدمة الامتثال لعميل شركة

1. حصر البيانات الشخصية التي تجمعها الشركة ومصادرها.
2. تحديد الأساس النظامي لكل معالجة.
3. مراجعة سياسة الخصوصية ونماذج الموافقة.
4. مراجعة العقود مع مزودي الخدمات التقنية.
5. إعداد إجراء للتعامل مع التسرب وطلبات أصحاب البيانات.

مثال عملي

شركة توظيف ترسل سير المتقدمين إلى عملائها دون إذنهم. أعد المحامي نموذج موافقة صريح عند التقديم، وحدد مدة حفظ السير، وأضاف بندًا في عقود العملاء يمنعهم من استعمال البيانات لغير التوظيف.

هل تحتاج كل معالجة إلى موافقة صاحب البيانات؟

لا، يجيز النظام المعالجة دون موافقة في حالات محددة، كتنفيذ عقد مع صاحب البيانات أو الوفاء بالتزام نظامي، لكن لكل حالة شروطها.

ما الجهة المختصة بالإشراف؟

تتولى الهيئة السعودية للبيانات والذكاء الاصطناعي الإشراف على تطبيق النظام ولوائحه.