DPA GH

من الناحية العملية، تُعدّ محدودية الغرض وتقليل البيانات والشفافية والأمن اعتبارات محورية للامتثال. وينبغي للمؤسسات ألا تجمع إلا البيانات الشخصية الكافية وذات الصلة وغير المفرطة لغرض محدد، وأن تشرح ذلك الغرض بوضوح، وأن تحمي البيانات طوال دورة حياتها.

الأسس القانونية للمعالجة

ينص القسم 20 على عدم جواز معالجة البيانات الشخصية دون الموافقة المسبقة لصاحب البيانات ما لم ينطبق مسوّغ محدد آخر. والموافقة ليست المسوّغ الوحيد. إذ يجوز أن تستند المعالجة أيضًا إلى:

• الضرورة التعاقدية – المعالجة الضرورية لتنفيذ عقد يكون صاحب البيانات طرفًا فيه
• الإذن أو الاشتراط بموجب القانون – المعالجة المأذون بها أو المطلوبة بموجب القانون
• حماية المصلحة المشروعة لصاحب البيانات – المعالجة لحماية مصلحة مشروعة لصاحب البيانات
• أداء واجب قانوني – المعالجة الضرورية للأداء السليم لواجب قانوني
• المصالح المشروعة – المعالجة الضرورية لتحقيق المصلحة المشروعة للمتحكم في البيانات أو لطرف ثالث تُقدَّم إليه البيانات

ينبغي للمؤسسات توثيق المسوّغ الذي تعتمد عليه في كل نشاط معالجة. فالمسوّغ الموثَّق يبيّن سبب جواز المعالجة، ويحدد ما إذا كان يجب جمع الموافقة وتسجيلها، ويرسم كيفية التعامل مع الاعتراضات وطلبات ممارسة الحقوق.

إدارة الموافقة

حيثما تكون الموافقة هي المسوّغ المعمول به، ينبغي أن تكون:

• مستنيرة – قائمة على معلومات واضحة بشأن ما يوافق عليه الشخص
• طوعية – مقدَّمة بحرية
• خالية من الإكراه – غير مُنتزَعة بالضغط أو بالعقوبة
• محددة – مرتبطة بأغراض معرَّفة
• مفهومة – مشروحة بلغة واضحة
• مسجَّلة بوضوح – موثَّقة وقت تقديمها
• قابلة للإثبات – مدعومة بأدلة يمكن تقديمها لاحقًا

ينبغي أن توضح واجهة الموافقة الرقمية ما يلي:

• هوية المؤسسة
• الغرض من الجمع
• فئات البيانات الشخصية المعنية
• أي مشاركة مع أطراف ثالثة
• أغراض التسويق والتتبع
• كيفية إدارة المستخدمين لتفضيلاتهم

سحب الموافقة والاعتراضات

يمنح القانون رقم 843 أصحاب البيانات الحق في الاعتراض على معالجة بياناتهم الشخصية حيثما ينطبق ذلك، وينبغي أن تتوقف المعالجة حيثما يكون الاعتراض صحيحًا. وحيثما تكون الموافقة أساس المعالجة، ينبغي أن يتمكن الأشخاص أيضًا من سحبها.

ولا تؤدي هذه الحقوق دورها إلا إذا دعمتها مسارات العمل التشغيلية. وينبغي للمؤسسات الاحتفاظ بما يلي:

• سجلات الموافقة
• سجلات الاعتراضات
• آليات السحب حيثما تكون الموافقة هي الأساس
• تحديثات التفضيلات
• إيقاف التسويق المباشر
• نقل تغييرات التفضيلات إلى كل نظام يستخدم البيانات

البيانات الشخصية الخاصة

يمنح القانون رقم 843 حماية معزَّزة للبيانات الشخصية الخاصة، وتشمل المعلومات المتعلقة بما يلي:

• العرق
• اللون
• الأصل الإثني أو القبلي
• الآراء السياسية
• المعتقدات الدينية أو ما يماثلها
• الصحة البدنية
• المعلومات الطبية
• الصحة العقلية أو الحالة العقلية
• الحمض النووي (DNA)
• التوجه الجنسي
• ارتكاب جريمة أو الادعاء بارتكابها
• الإجراءات المتعلقة بجريمة
• معلومات الإجراءات الجنائية أو الأحكام

قبل معالجة البيانات الشخصية الخاصة، ينبغي للمؤسسات تقييم ما يلي:

• المسوّغ القانوني
• متطلبات الموافقة
• الأمن
• قيود الوصول
• الاحتفاظ
• مشاركة البيانات
• عمليات النقل الدولي
• متطلبات تقييم الأثر على حماية البيانات (DPIA)
• الأثر المحتمل على الأفراد

إشعارات الخصوصية والشفافية

الانفتاح أحد مبادئ القانون. وينبغي أن يوضح إشعار الخصوصية ما يلي:

• هوية المتحكم
• معلومات الاتصال
• الغرض من الجمع
• فئات البيانات الشخصية التي تُجمع
• كيفية استخدام المعلومات
• متلقو البيانات
• حقوق أصحاب البيانات
• التسويق المباشر
• عمليات النقل الدولي
• الاحتفاظ
• آليات تقديم الشكاوى، بما في ذلك الحق في تقديم شكوى إلى لجنة حماية البيانات (DPC)

حقوق أصحاب البيانات

يمنح القانون رقم 843 الأفراد حقوقًا على بياناتهم الشخصية. وينطبق كل حق حيثما ينطبق ذلك ورهنًا بالشروط القانونية.

طلبات وصول أصحاب البيانات

مسار عمل عملي للتعامل مع طلبات الوصول وطلبات ممارسة الحقوق الأخرى:

1. 1استلام الطلب – تلقي الطلبات عبر قنوات محددة وتسجيل كل طلب.
2. 2التحقق من الهوية – التأكد من أن مقدم الطلب هو صاحب البيانات أو ممثل مفوَّض.
3. 3تصنيف الطلب – تحديد الحق الذي تجري ممارسته.
4. 4اكتشاف البيانات – تحديد مواقع البيانات الشخصية ذات الصلة عبر الأنظمة والموردين.
5. 5مراجعة الاستثناءات ومعلومات الأطراف الثالثة – التحقق من الاستثناءات القانونية وحماية بيانات الأشخاص الآخرين.
6. 6إعداد الرد – إعداد رد واضح ودقيق.
7. 7التسليم الآمن – تسليم الرد عبر قناة آمنة.
8. 8حفظ السجلات – الاحتفاظ بسجل للطلب والقرار والرد.

يمكن لـ ConsentX دعم مسارات عمل طلبات الخصوصية من خلال تنظيم استلام الطلبات وتتبع حالتها والاحتفاظ بالسجلات. ولا يحدد البرنامج النتائج القانونية؛ إذ تظل القرارات المتعلقة بالاستثناءات والردود من اختصاص المؤسسة.

التسويق المباشر

يتيح القانون رقم 843 للأفراد أن يطلبوا من المتحكم في البيانات التوقف عن معالجة بياناتهم الشخصية لأغراض التسويق المباشر، أو عدم البدء فيها. ويؤثر ذلك في:

• التسويق عبر البريد الإلكتروني
• التسويق عبر الرسائل النصية القصيرة (SMS)
• الإعلانات
• قنوات التسويق الأخرى
• تفضيلات التسويق
• سجلات الموافقة وإلغاء الاشتراك
• إيقاف التسويق المباشر

تساعد إدارة التفضيلات في ConsentX المؤسسات على تسجيل خيارات التسويق، والاحتفاظ بسجلات الموافقات وحالات إلغاء الاشتراك، ونقل التفضيلات المحدَّثة إلى الأنظمة المتصلة حتى لا تُستهدف جهات الاتصال التي أُوقف التسويق لها.

اتخاذ القرارات الآلي

تثير المعالجة الآلية، بما في ذلك التنميط، اعتبارات خصوصية محددة:

• الشفافية
• الغرض
• جودة البيانات
• الإنصاف
• الأمن
• التدخل البشري حيثما يكون مناسبًا
• الأثر المحتمل على الأفراد
• المعالجة عالية المخاطر

قد يستدعي التنميط واتخاذ القرارات الآلي إجراء تقييم الأثر على حماية البيانات (DPIA)، بحسب طبيعة المعالجة والمتطلبات المعمول بها.

تقييمات الأثر على حماية البيانات

تقييم الأثر على حماية البيانات (DPIA) هو تقييم استباقي لمخاطر الخصوصية. وهو يحدد كيف يمكن أن يؤثر نشاط المعالجة في الأفراد، والتدابير التي تحدّ من تلك المخاطر قبل بدء المعالجة.

قد يكون تقييم الأثر على حماية البيانات (DPIA) ذا صلة بما يلي:

• أنشطة المعالجة الجديدة
• التقنيات الجديدة
• التغييرات الكبيرة على المعالجة القائمة
• البيانات الشخصية الخاصة
• التنميط
• اتخاذ القرارات الآلي
• المعالجة التي تنطوي على مخاطر كبيرة على الأفراد

مشرف حماية البيانات (Data Protection Supervisor)

ينص القسم 58 على أن يعيّن المتحكم في البيانات شخصًا معتمدًا ومؤهلًا بصفة مشرف حماية البيانات (Data Protection Supervisor) لمراقبة امتثال المتحكم للقانون.

ينبغي أن يتوفر لمشرف حماية البيانات الفعّال ما يلي:

• الاعتماد والتأهيل اللازمان للدور
• المسؤولية عن مراقبة الامتثال
• التدريب المناسب
• صلاحيات كافية داخل المؤسسة
• المعرفة والموارد اللازمة لأداء الدور

أمن البيانات

ينبغي للمتحكمين اتخاذ تدابير تقنية وتنظيمية مناسبة ومعقولة لحماية البيانات الشخصية من:

• الوصول غير المصرَّح به
• الإفصاح غير المصرَّح به
• الفقدان العرضي
• الإتلاف
• التغيير
• الاستخدام غير السليم
• المعالجة غير المشروعة

وتشمل التدابير العملية ما يلي:

• التشفير
• ضوابط الوصول
• المصادقة
• المصادقة متعددة العوامل
• أمن الشبكات
• النسخ الاحتياطية الآمنة
• التسجيل والمراقبة
• منع فقدان البيانات
• تدريب الموظفين
• ضوابط الموردين
• الاستجابة للحوادث

إدارة خروقات البيانات

عملية عملية للاستجابة للخروقات:

1. 1اكتشاف الحادث
2. 2الاحتواء
3. 3تقييم المخاطر
4. 4تحديد البيانات المتأثرة
5. 5تقييم الأفراد المتأثرين
6. 6الإخطار التنظيمي حيثما يكون مطلوبًا
7. 7إخطار الأفراد حيثما يكون مطلوبًا
8. 8المعالجة والتصحيح
9. 9التوثيق
10. 10المراجعة اللاحقة للحادث

التسجيل لدى لجنة حماية البيانات (DPC)

يتعين عمومًا على المتحكمين في البيانات التسجيل لدى لجنة حماية البيانات قبل معالجة البيانات الشخصية. وقد يتضمن طلب التسجيل ما يلي:

• اسم النشاط التجاري وعنوانه
• معلومات الممثل
• وصف البيانات الشخصية التي تُعالَج
• فئات الأفراد
• البيانات الشخصية الخاصة
• أغراض المعالجة
• المتلقون المقصودون
• الدول التي قد تُنقل إليها البيانات
• فئات الأشخاص الذين تُحفظ بياناتهم
• وصف عام لتدابير الأمن

بموجب القانون رقم 843، تُعدّ معالجة البيانات الشخصية دون التسجيل بصفة متحكم في البيانات جريمة يُعاقب عليها عند الإدانة بإجراءات موجزة بغرامة أو بالسجن أو بكلتا العقوبتين، على النحو المحدد في القانون. وينبغي للمؤسسات التحقق من العقوبة المعمول بها مع مستشاريها القانونيين.

المعالجة الخاضعة للتقييم

يتضمن القانون رقم 843 إطارًا للمعالجة الخاضعة للتقييم. فالمعالجة التي قد تسبب ضررًا جسيمًا أو ضيقًا جسيمًا لصاحب البيانات، أو تمس بدرجة كبيرة بحقوق الخصوصية لصاحب البيانات، قد تخضع لمراجعة إضافية من جانب لجنة حماية البيانات (DPC).

وينبغي للمؤسسات التي تخطط لمعالجة عالية المخاطر أن تنظر فيما إذا كان هذا الإطار ينطبق قبل بدء المعالجة.

عمليات نقل البيانات الدولية

قبل نقل البيانات الشخصية إلى خارج غانا، ينبغي للمؤسسات تقييم المتطلبات المعمول بها، بما في ذلك:

• دول المقصد
• المتلقون في الخارج
• فئات البيانات
• أغراض النقل
• الضمانات الأمنية
• الحمايات التعاقدية
• قوانين الخصوصية الأجنبية المعمول بها

تتضمن معلومات التسجيل لدى لجنة حماية البيانات (DPC) الدول التي يعتزم المتحكم في البيانات نقل البيانات الشخصية إليها، ولذلك ينبغي أن تظل ترتيبات النقل وبيانات التسجيل متسقة.

الاحتفاظ بالبيانات وحذفها

ينبغي أن يرتبط الاحتفاظ بالغرض الذي جُمعت البيانات الشخصية من أجله وبأي متطلبات قانونية معمول بها. وينبغي أن يغطي برنامج الاحتفاظ ما يلي:

• فترات الاحتفاظ
• إجراءات الحذف
• الأرشفة
• التجميد القانوني
• الحذف الآلي حيثما يكون مناسبًا
• الإتلاف الآمن
• المراجعات الدورية للاحتفاظ

معالجو البيانات والموردون

يظل المتحكمون مسؤولين عن البيانات الشخصية التي تعالجها أطراف ثالثة نيابةً عنهم. وينبغي أن تتناول اتفاقيات الموردين ما يلي:

• تعليمات المعالجة
• محدودية الغرض
• السرية
• الأمن
• المعالجون من الباطن
• الاحتفاظ
• الحذف
• إدارة الحوادث
• طلبات أصحاب البيانات
• عمليات النقل الدولي
• المساعدة في الامتثال

الخصوصية حسب التصميم

يسهل تحقيق الخصوصية عندما تُدمج في المنتجات والعمليات منذ البداية. ومن الممارسات المفيدة:

• تقليل البيانات
• محدودية الغرض
• إعدادات افتراضية مراعية للخصوصية
• ضوابط الوصول
• التشفير
• حدود الاحتفاظ
• ضوابط الموافقة
• سجلات التدقيق
• الحذف الآمن

ملفات تعريف الارتباط والتتبع الإلكتروني

ينظّم القانون رقم 843 معالجة البيانات الشخصية، ولا يضع قاعدة عامة موحّدة لملفات تعريف الارتباط تناسب جميع الحالات. وتستخدم المواقع الإلكترونية والتطبيقات عادةً ما يلي:

• ملفات تعريف الارتباط الضرورية
• ملفات تعريف الارتباط التحليلية
• ملفات تعريف الارتباط الإعلانية
• بكسلات وسائل التواصل الاجتماعي
• تقنيات إعادة الاستهداف
• التخصيص
• معرّفات الأجهزة
• النصوص البرمجية التابعة لأطراف ثالثة

ينبغي للمؤسسات تحديد ما إذا كانت كل تقنية تتبع تعالج بيانات شخصية، وحيثما كان الأمر كذلك، تحديد المسوّغ القانوني المناسب بموجب القانون.

الموافقة على ملفات تعريف الارتباط والحظر المسبق للنصوص البرمجية

حيثما تكون الموافقة هي الأساس القانوني المعمول به للتتبع، تساعد الضوابط التالية على جعل تلك الموافقة ذات معنى:

• إشعارات موافقة واضحة
• خيارات قائمة على الأغراض
• فئات اختيارية غير محددة مسبقًا
• الحظر المسبق لأدوات التتبع المعنية
• سحب الموافقة
• إدارة التفضيلات
• سجلات الموافقة
• تتبع إصدارات السياسة

يدعم ConsentX الإنفاذ التقني لهذه الخيارات. إذ يمنع الحظر المسبق للنصوص البرمجية تشغيل أدوات التتبع المعنية إلى أن يقدّم الزائر موافقته، وتتيح إدارة التفضيلات للزوار تغيير خياراتهم في أي وقت.

مراقبة الامتثال والتدقيق

ينبغي أن تكون المؤسسات قادرة على تقديم أدلة على الامتثال، بما في ذلك:

• التسجيل لدى لجنة حماية البيانات (DPC)
• إشعارات الخصوصية
• سجلات الموافقة
• خرائط البيانات
• قوائم جرد أنشطة المعالجة
• تقييمات الأثر على حماية البيانات (DPIA)
• التقييمات الأمنية
• اتفاقيات الموردين
• سجلات الخروقات
• طلبات أصحاب البيانات
• تفضيلات التسويق
• جداول الاحتفاظ
• سجلات التدريب
• سجلات مشرف حماية البيانات

الإنفاذ من جانب لجنة حماية البيانات (DPC)

تتولى لجنة حماية البيانات في غانا المسؤولية عن:

• الرقابة التنظيمية
• تسجيل المتحكمين في البيانات
• التحقيقات
• الشكاوى
• مراقبة الامتثال
• الإنفاذ
• الإرشاد
• التدريب
• التوعية

يمكن للجنة التحقيق في الشكاوى وإجراء عمليات التفتيش وإصدار إخطارات تلزم المؤسسات باتخاذ خطوات للامتثال للقانون.

العقوبات

يتضمن القانون رقم 843 جرائم محددة لكل منها عقوبتها الخاصة. ولا يوجد حد أقصى واحد ينطبق على كل جريمة. ويميّز القانون بين:

• عدم التسجيل – لمعالجة البيانات الشخصية دون التسجيل بصفة متحكم في البيانات عقوبتها الخاصة بموجب القانون
• عدم الامتثال لإخطارات معينة – لعدم الامتثال لإخطارات محددة تصدرها اللجنة عقوبته الخاصة
• الجرائم القانونية الأخرى – تخضع الجرائم الأخرى المنصوص عليها في القانون للعقوبات المحددة لها
• العقوبة العامة بموجب القسم 95 – حيثما لا ينص القانون على عقوبة محددة، يُعاقب مرتكب الجريمة عند الإدانة بإجراءات موجزة بغرامة لا تتجاوز خمسة آلاف وحدة جزائية، أو بالسجن مدة لا تتجاوز عشر سنوات، أو بكلتا العقوبتين

ينبغي للمؤسسات التحقق من العقوبة المرتبطة بكل حكم محدد بدلًا من افتراض انطباق الحد الأقصى الوارد في القسم 95.

مشروع قانون حماية البيانات لسنة 2025 في غانا

مشروع قانون حماية البيانات لسنة 2025 هو مقترح بديل في صورة مشروع للقانون رقم 843.

• مشروع القانون مقترح لم يُعتمد بعد، ولا يجوز التعامل معه على أنه قانون نافذ حاليًا.
• لا يزال القانون رقم 843 هو الإطار الحالي لحماية البيانات في غانا.
• ينبغي للمؤسسات متابعة التطورات التشريعية.
• ينبغي تحديث مراجعات الامتثال إذا دخل تشريع بديل حيز النفاذ رسميًا.