الخصوصية وحماية البيانات
GDPR
GDPR (اللائحة العامة لحماية البيانات)
إن GDPR هي لائحة الاتحاد الأوروبي التي تحكم كيفية التعامل مع البيانات الشخصية. نساعدك على فهم التزاماتك، ووضع الضوابط والسجلات الصحيحة، وإثبات المساءلة.
ما هو GDPR
اللائحة العامة لحماية البيانات هي قانون للاتحاد الأوروبي يحكم معالجة البيانات الشخصية المتعلقة بالأفراد في الاتحاد الأوروبي. وهي مبنية على مبادئ مثل المشروعية والنزاهة والشفافية، وتحديد الغرض، وتقليل البيانات إلى الحد الأدنى، والمساءلة، وتمنح الأفراد حقوقاً على بياناتهم تشمل الوصول والتصحيح والمحو.
إن GDPR لائحة تُثبِت امتثالك لها، وليست معياراً تُمنَح شهادة بموجبه. وتنطبق على المؤسسات خارج الاتحاد الأوروبي عندما تقدم سلعاً أو خدمات لأشخاص في الاتحاد الأوروبي أو تراقب سلوكهم. والمساءلة محورية: يُتوقع منك أن تكون قادراً على أن تُثبِت، من خلال السجلات والقرارات الموثقة، أن معالجتك مشروعة وأن لديك تدابير أمنية مناسبة.
تشريح اللائحة
المادة 5 · المبادئ
سبعة مبادئ تحكم كل معالجة، تشمل المشروعية والنزاهة والشفافية، وتحديد الغرض، وتقليل البيانات، والدقة، وتحديد مدة التخزين، والسلامة والسرية.
المساءلة
تتطلب اللائحة ليس فقط أن تمتثل بل أن تكون قادراً على إثبات الامتثال من خلال السجلات والقرارات الموثقة والحوكمة.
المادة 6 · الأسس القانونية
يجب أن يستند كل نشاط معالجة إلى واحد من ستة أسس قانونية، من الموافقة والعقد إلى الالتزام القانوني والمصالح الحيوية والمهمة ذات المصلحة العامة والمصالح المشروعة.
المواد 15 إلى 22 · حقوق أصحاب البيانات
يملك الأفراد الحق في أن يُبلَّغوا، وفي الوصول، والتصحيح، والمحو، والتقييد، وقابلية النقل، والاعتراض، وفي حماية تتعلق بالقرارات الآلية.
المواد 24 إلى 32 · واجبات المتحكم والمعالج
التزامات تتعلق بحماية البيانات حسب التصميم وبشكل افتراضي، وسجلات المعالجة، وعقود المعالج، والتدابير الأمنية التقنية والتنظيمية المناسبة.
المادتان 33 و34 · الإخطار بالانتهاكات
يجب الإخطار بانتهاكات البيانات الشخصية إلى السلطة الرقابية، عموماً خلال اثنتين وسبعين ساعة، وإلى الأفراد المتأثرين عندما يكون الخطر مرتفعاً.
المادة 35 · تقييمات أثر حماية البيانات
تتطلب المعالجة عالية المخاطر تقييماً موثقاً للمخاطر على الأفراد وللتدابير التي تعالجها قبل بدء المعالجة.
الفصل الخامس · عمليات النقل الدولية
يجب أن تعتمد عمليات نقل البيانات الشخصية خارج الاتحاد الأوروبي على قرار كفاية أو على ضمانات مثل البنود التعاقدية النموذجية أو القواعد المؤسسية الملزِمة.
من يحتاج إليه
- أي مؤسسة تعالج بيانات شخصية لأشخاص في الاتحاد الأوروبي، أياً كان مقرها
- شركات SaaS وشركات B2B التي تعمل كمعالج للبيانات لعملاء في الاتحاد الأوروبي
- الفرق التي تتوسع في سوق الاتحاد الأوروبي أو تتعامل مع بيانات عملاء أو موظفين من الاتحاد الأوروبي
ما تحصل عليه
- عملية رسم خرائط للبيانات وسجل لأنشطة المعالجة
- الأسس القانونية وإشعارات الخصوصية وعقود المعالج وعمليات الخصوصية الأساسية
- تقييمات أثر حماية البيانات حيثما تُطلَب
- تدابير أمنية تقنية وتنظيمية مع أدلة من اختبار الاختراق
تعتمد الجداول الزمنية على حجم وحساسية البيانات التي تعالجها وعلى نضجك الحالي. نحدد النطاق بصدق مسبقاً بدلاً من الوعد بعدد ثابت من الأسابيع.
الإصدار الحالي
إن GDPR، اللائحة (EU) 2016/679، سارية منذ 25 مايو 2018 وتظل القانون الحالي؛ ولم يُنقَّح نصها جوهرياً منذ دخولها حيز التطبيق. أما ما يتغير أكثر فهو الإرشادات المحيطة بها، بما في ذلك آراء المجلس الأوروبي لحماية البيانات ومواقف السلطات الرقابية الوطنية، إلى جانب آليات النقل الدولي. ولا توجد نسخة جديدة يُنتقَل إليها، لذا فإن البقاء ممتثلاً مسألة الحفاظ على مواءمة سجلاتك وأسسك القانونية وترتيبات النقل لديك مع الإرشادات الحالية بدلاً من الانتقال إلى نسخة جديدة.
التكلفة
إن GDPR قانون تُثبِت امتثالك له، وليس معياراً تُمنَح شهادة بموجبه، لذا لا توجد شهادة تُشترى، وتر3لابس (tr3labs) ليست أبداً جهة اعتماد أو مدقِّقاً أو جهة تنظيمية. التكاليف هي أتعابنا الاستشارية والتنفيذية، تُسعَّر مسبقاً بمجرد أن نفهم حجمك ونقطة انطلاقك، إضافة إلى أي مدخلات مستقلة تختار إضافتها، مثل تدقيق خارجي أو مراجعة قانونية متخصصة أو مسؤول حماية بيانات حيث يكون ذلك مطلوباً أو مفيداً. تتقاضى تلك الأطراف الخارجية أتعابها بشكل منفصل وفق جدولها الخاص وتبقى مستقلة عنا. لن نقدم تسعيراً دون معرفة؛ نحدد النطاق معك أولاً.
كيف توصلك tr3labs إلى هناك
تقييم النطاق والفجوات
نرسم خريطة لمعالجتك للبيانات الشخصية، ونحدد دورك كمتحكم أو كمعالج، ونبني سجل أنشطة المعالجة، ونقيس وضعك الحالي مقابل متطلبات GDPR.
بناء الضوابط والسجلات
نساعدك على تحديد الأسس القانونية، وتحديث إشعارات الخصوصية والعقود، وإنشاء عمليات لحقوق أصحاب البيانات والإخطار بالانتهاكات، وإجراء تقييمات أثر حماية البيانات عند الحاجة.
تأمين البيانات
نقيّم ونعزّز التدابير الأمنية التقنية والتنظيمية التي تتوقعها GDPR، ونستخدم اختبار الاختراق لإثبات أن البيانات الشخصية محمية على النحو المناسب.
المساءلة والدعم المستمر
نجمّع الوثائق التي تُثبِت المساءلة، ونبقيك مستعداً للاستجابة للعملاء والشركاء والسلطات الرقابية.
GDPR أم ISO 27701؟
كلاهما يتعامل مع البيانات الشخصية، لذا يعاملهما المشترون أحياناً وكأنهما الشيء نفسه، لكن أحدهما قانون والآخر نظام إدارة قابل للاعتماد يساعدك على الوفاء به.
| GDPR | ISO 27701 | |
|---|---|---|
| يغطي | واجب قانوني على البيانات الشخصية لأشخاص في الاتحاد الأوروبي | نظام إدارة معلومات الخصوصية تشغّله وتحصل على اعتماد له |
| من يطلبه | السلطات الرقابية والعملاء والشركاء | المشترون المؤسسيون وإدارات المشتريات الباحثون عن التأكيد |
| الفكرة الجوهرية | إثبات معالجة مشروعة وخاضعة للمساءلة | تشغيل ضوابط خصوصية توسّع ISO 27001 |
| نموذج التدقيق | لا شهادة؛ يُثبَت الامتثال من خلال السجلات والأدلة | اعتماد على مرحلتين من جهة معتمدة، ثم مراقبة |
| كثيراً ما يُحتفَظ به مع | ISO 27001 وقواعد الخصوصية القطاعية | ISO 27001 وSOC 2 |
الأسئلة الشائعة حول GDPR
- هل يمكن الحصول على شهادة بالامتثال لـ GDPR؟
- إن GDPR لائحة تُثبِت امتثالك لها بدلاً من أن تكون معياراً تمنحك جهة معتمدة شهادة بموجبه. توجد آليات اعتماد معتمدة من حيث المبدأ، لكن عملياً تُثبِت المؤسسات امتثالها من خلال السجلات والقرارات الموثقة والأمن المناسب. نساعدك على بناء هذه الأدلة والحفاظ عليها.
- هل تنطبق علينا GDPR إذا لم نكن في الاتحاد الأوروبي؟
- قد تنطبق. تنطبق GDPR على المؤسسات خارج الاتحاد الأوروبي عندما تقدم سلعاً أو خدمات لأفراد في الاتحاد الأوروبي أو تراقب سلوكهم. نساعدك على تحديد ما إذا كانت تنطبق وكيف أثناء تحديد النطاق.
- ما الفرق بين المتحكم والمعالج؟
- يقرر المتحكم لماذا وكيف تُعالَج البيانات الشخصية، بينما يتصرف المعالج وفق تعليمات المتحكم. تختلف التزاماتك بحسب الدور، لذا فإن تحديد أي الدورين أنت، ولأي بيانات، هو من أول ما نقوم به.
الخدمات التي توصلك إلى هناك
المعايير ذات الصلة
قراءات ذات صلة
نظام OWASP LLM Top 10 موضَّحًا: دليل مبسّط للفرق التي تطلق ميزات الذكاء الاصطناعي
شرح عملي وواضح لأكبر عشر مخاطر وفق OWASP لتطبيقات نماذج اللغة الكبيرة، مع وصف مبسّط وإجراء تخفيف ملموس لكل منها، موجَّه للفرق التي تضيف ميزات الذكاء الاصطناعي لأول مرة.
قراءة 9 دقائق
كيف تقرأ تقرير اختبار الاختراق (VAPT): دليل مبسّط للفرق
شرح عملي لما يتضمّنه تقرير اختبار الاختراق، قسمًا بقسم، حتى يتمكّن المؤسّسون وفرق الهندسة من قراءته بثقة والتصرّف بناءً على ما يقوله.
8 دقائق قراءة
SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار
دليل مبسّط وواضح للفروق الحقيقية بين SOC 2 و ISO 27001: ما هو كل منهما، ومن يطلب أيًّا منهما، وكيف تجري عمليات التدقيق، وما الذي ينتهي بك الأمر إلى امتلاكه، وهل ينبغي لك الحصول على الاثنين معًا.
قراءة 8 دقائق