امتثال الشركات

يجب على مراقبي البيانات التحلي بالشفافية مع أصحاب البيانات بشأن كيفية استخدام بياناتهم الشخصية، بما في ذلك تقديم معلومات واضحة حول البيانات التي يتم جمعها، والغرض من معالجتها، والأساس القانوني المعتمد، وكيفية استخدامها، والجهات التي قد تتم مشاركتها معها.

كما يجب إبلاغ أصحاب البيانات بالحقوق المكفولة لهم بموجب اللوائح، بما في ذلك كيفية الوصول إلى بياناتهم الشخصية أو تصحيحها أو الاعتراض على معالجتها، وحقهم في تقديم شكوى إلى مكتب حماية البيانات. وينبغي تقديم هذه المعلومات بشكل واضح وسهل الوصول وفي الوقت المناسب.

تُلزم اللوائح مراقبي البيانات ومعالجي البيانات بالاحتفاظ بسجل مكتوب للبيانات الشخصية التي يجمعونها، والغرض من معالجتها، والأساس القانوني لهذه المعالجة.

وتعكس السجلات الواضحة والمكتملة أنشطة المعالجة بدقة، وتدعم الامتثال والمساءلة. كما يساعد الاحتفاظ بهذه السجلات الشركات على فهم كيفية جمع البيانات واستخدامها ومشاركتها وتخزينها، ويدعم متطلبات الشفافية بموجب اللوائح.

ولمساعدة الشركات، أعدّ مكتب حماية البيانات نموذجاً عملياً لسجلات أنشطة المعالجة (RoPA) يمكن استخدامه لاستيفاء هذا المتطلب.

يجب أن يتوافق نقل أي بيانات شخصية إلى خارج مركز قطر للمال مع الشروط المنصوص عليها في اللوائح.

وتتحمل الشركات مسؤولية ضمان توفير الحماية اللازمة لأي عملية نقل للبيانات الشخصية عبر الحدود. ولدعم الامتثال، يوفّر مكتب حماية البيانات ما يلي:

• قائمة بالولايات القضائية التي تُعدّ ذات مستوى حماية ملائم بموجب اللوائح

• مجموعة من البنود التعاقدية النموذجية (SCCs) لاستخدامها في حال عدم ثبوت مستوى الحماية الملائم

كما تتضمن اللوائح استثناءات محدودة تُجيز عمليات النقل الدولي في ظروف خاصة.

ويمكن للشركات الاستعانة بهذه الأدوات لضمان أن تتم عمليات النقل إلى الخارج بصورة قانونية وآمنة.

تنطوي بعض أنشطة المعالجة على مخاطر أعلى على حقوق الأفراد وحرياتهم، وتحدد المادة 27 الحالات التي يتعين فيها إجراء تقييم الأثر على حماية البيانات (DPIA) قبل مباشرة هذه الأنشطة.

وقد نشر مكتب حماية البيانات قائمة بأنشطة المعالجة التي تتطلب إجراء تقييم الأثر على حماية البيانات قبل معالجة البيانات الشخصية.

يجب على مراقبي البيانات إخطار مكتب حماية البيانات بأي خرق للبيانات الشخصية يُرجّح أن يُشكّل خطراً على حقوق الأفراد وحرياتهم، على أن يتم الإخطار دون تأخير غير مبرر ووفقاً للمتطلبات المنصوص عليها في اللوائح.

كما يجب على مراقبي البيانات النظر في مدى ضرورة إخطار أصحاب البيانات المتأثرين، مع مراعاة المخاطر التي قد تطال حقوقهم ومصالحهم المشروعة، وتقديم المعلومات المناسبة في حال إخطارهم.

ويمكن لمراقبي البيانات الإبلاغ عن خرق البيانات الشخصية من خلال بوابة العملاء (ضمن قسم الشؤون القانونية والامتثال)، أو مباشرةً إلى مكتب حماية البيانات باستخدام النموذج المخصص لذلك.