الامتثال لقانون حماية البيانات الغاني

ما هو قانون حماية البيانات الغاني؟

يُنشئ Data Protection Act, 2012 (Act 843) الإطار القانوني لحماية البيانات الشخصية في غانا. وينظّم جمع البيانات الشخصية واستخدامها والإفصاح عنها وتخزينها وتأمينها وإتلافها، ويتناول:

• المعالجة المشروعة
• تقليل البيانات
• تحديد الغرض
• الشفافية
• جودة البيانات
• الأمن
• مشاركة صاحب البيانات
• التسجيل
• الإشراف على معالجة البيانات
• المعالجة الدولية
• البيانات الشخصية الخاصة
• الإنفاذ التنظيمي

Data Protection Commission هي الجهة التنظيمية المنشأة بموجب القانون. تتولّى سجل المتحكمين في البيانات، وترصد الامتثال، وتحقق في الشكاوى، وتتخذ إجراءات الإنفاذ، وتنشر الوعي بحماية البيانات في غانا.

الموافقة مهمة، لكن قانون حماية البيانات الغاني ليس قانونًا يقوم على الموافقة وحدها. فالمادة 20 تنصّ على الموافقة وعلى بدائل محددة، لذا ينبغي أن تستند كل عملية معالجة إلى الأساس الذي يناسبها فعلًا.

المتحكمون في البيانات والمعالجون

يحدّد المتحكم في البيانات أغراض معالجة البيانات الشخصية وطريقتها. ويتحمّل المتحكمون المسؤولية الأساسية عن الامتثال، بما في ذلك التسجيل لدى DPC. أمثلة:

• شركات التجارة الإلكترونية
• البنوك والمؤسسات المالية
• شركات التأمين
• أصحاب العمل
• مقدّمو الرعاية الصحية
• الجامعات والمدارس
• شركات الاتصالات
• شركات SaaS
• شركات التسويق
• المؤسسات الحكومية
• المنصات الإلكترونية

يعالج المعالج البيانات الشخصية بالنيابة عن المتحكم ووفقًا لتعليماته. أمثلة:

• مزوّدو الخدمات السحابية
• مزوّدو خدمات الرواتب
• منصات إدارة علاقات العملاء
• مزوّدو الاستضافة
• مزوّدو خدمات التحليلات
• منصات التسويق
• مزوّدو خدمات دعم العملاء

النطاق الجغرافي

ينطبق Act 843 على المتحكمين في البيانات المؤسَّسين في غانا الذين يعالجون بيانات شخصية داخلها. وقد ينطبق كذلك على متحكمين غير مؤسَّسين في غانا إذا استخدموا معدات موجودة في غانا، أو معالجًا يمارس نشاطه في غانا، لمعالجة بيانات شخصية، فيما عدا حالات المرور العابر عبر غانا فقط.

وتتناول المادة 18 كذلك أصحاب البيانات الأجانب. فحين تُرسَل بيانات شخصية من ولاية قضائية أجنبية إلى غانا للمعالجة، يجب على المتحكم في البيانات ضمان معالجتها وفقًا لتشريعات حماية البيانات في تلك الولاية القضائية.

لذا ينبغي للمؤسسات الدولية تقييم المتطلبات الغانية جنبًا إلى جنب مع قوانين الخصوصية الأخرى المنطبقة على أصحاب بياناتها وأنظمتها ومزوّدي خدماتها.

ما هي البيانات الشخصية في Act 843؟

في Act 843، البيانات الشخصية هي بيانات عن فرد يمكن التعرّف عليه من تلك البيانات، أو منها مقترنةً بمعلومات أخرى يحوزها المتحكم أو يُرجَّح أن يحصل عليها. أمثلة:

• الأسماء
• عناوين البريد الإلكتروني
• أرقام الهاتف
• أرقام الهوية
• معلومات الحسابات
• معلومات التوظيف
• معلومات الموقع
• المعرّفات الإلكترونية
• المعلومات المالية
• المعلومات الصحية
• المعلومات الحيوية أو الجينية

أما كون معرّف تقني، مثل معرّف ملف تعريف الارتباط أو معرّف الجهاز، بيانات شخصية، فيتوقف على إمكان ربطه في سياقه بفرد يمكن التعرّف عليه.

الأسس القانونية للمعالجة

تنصّ المادة 20 على عدم معالجة البيانات الشخصية دون موافقة مسبقة من صاحب البيانات، ما لم ينطبق أساس آخر منصوص عليه. فالموافقة ليست الأساس الوحيد. ويمكن أن تستند المعالجة أيضًا إلى:

• الضرورة التعاقدية — معالجة لازمة لعقد يكون صاحب البيانات طرفًا فيه
• إذن القانون أو إلزامه — معالجة يجيزها القانون أو يقتضيها
• حماية مصلحة مشروعة لصاحب البيانات — معالجة لحماية مصلحة مشروعة لصاحب البيانات
• أداء واجب قانوني — معالجة لازمة للأداء السليم لواجب قانوني
• المصالح المشروعة — معالجة لازمة لتحقيق مصلحة مشروعة للمتحكم في البيانات أو لطرف ثالث تُقدَّم إليه البيانات

ينبغي للمؤسسات توثيق الأساس المعتمد لكل عملية معالجة. فالأساس الموثّق يبيّن سبب جواز المعالجة، ويحدّد ما إذا كان يلزم الحصول على الموافقة وتسجيلها، ويرسم طريقة التعامل مع الاعتراضات وطلبات الحقوق.

إدارة الموافقة

حين تكون الموافقة هي الأساس المنطبق، ينبغي أن تكون:

• مستنيرة — قائمة على معلومات واضحة عمّا يوافق عليه الشخص
• طوعية — ممنوحة بحرية
• خالية من الإجبار — غير مُنتزعة بالضغط أو بالجزاء
• محددة — مرتبطة بأغراض معيّنة
• مفهومة — موضَّحة بلغة بسيطة
• مسجَّلة بوضوح — مُدوَّنة عند منحها
• قابلة للإثبات — مدعومة بأدلة يمكن تقديمها لاحقًا

ينبغي لواجهة الموافقة الرقمية أن تبيّن:

• هوية المؤسسة
• غرض الجمع
• فئات البيانات الشخصية المعنية
• أي مشاركة مع أطراف ثالثة
• أغراض التسويق والتتبّع
• كيف يمكن للمستخدمين إدارة تفضيلاتهم

سحب الموافقة والاعتراض

يمنح Act 843 أصحاب البيانات، حيثما ينطبق، الحق في الاعتراض على معالجة بياناتهم الشخصية، وينبغي وقف المعالجة عند وجاهة الاعتراض. وحين تكون الموافقة أساس المعالجة، ينبغي أن يتمكن الأفراد كذلك من سحبها.

ولا تعمل هذه الحقوق إلا إذا دعمتها الإجراءات التشغيلية. وينبغي للمؤسسات الحفاظ على:

• سجلات الموافقة
• سجلات الاعتراضات
• آليات السحب حين تكون الموافقة هي الأساس
• تحديث التفضيلات
• قوائم استبعاد التسويق المباشر
• نقل تغييرات التفضيلات إلى كل نظام يستخدم البيانات

البيانات الشخصية الخاصة

يمنح Act 843 حماية معزّزة للبيانات الشخصية الخاصة، وتشمل المعلومات المتعلقة بما يلي:

• العِرق
• اللون
• الأصل العِرقي أو القبَلي
• الآراء السياسية
• المعتقدات الدينية أو ما يشابهها
• الصحة الجسدية
• المعلومات الطبية
• الصحة النفسية أو الحالة العقلية
• الحمض النووي
• الميل الجنسي
• ارتكاب جريمة أو الاتهام بارتكابها
• الإجراءات المتعلقة بجريمة
• الإجراءات الجزائية أو معلومات الحكم

قبل معالجة البيانات الشخصية الخاصة، ينبغي للمؤسسات تقييم:

• الأساس القانوني
• شروط الموافقة
• الأمن
• قيود الوصول
• الاحتفاظ
• مشاركة البيانات
• النقل الدولي
• متطلبات تقييم أثر حماية البيانات
• الأثر المحتمل على الأفراد

إشعارات الخصوصية والشفافية

الشفافية أحد مبادئ القانون. وينبغي لإشعار الخصوصية أن يوضّح:

• هوية المتحكم
• معلومات الاتصال
• غرض الجمع
• فئات البيانات الشخصية المجموعة
• كيفية استخدام المعلومات
• مستلمي البيانات
• حقوق أصحاب البيانات
• التسويق المباشر
• النقل الدولي
• الاحتفاظ
• سبل الشكوى، بما في ذلك الحق في التقدّم بشكوى إلى DPC

حقوق أصحاب البيانات

يمنح Act 843 الأفراد حقوقًا على بياناتهم الشخصية. وينطبق كل حق حيثما كان ذلك واردًا ووفقًا للشروط القانونية.

• الحق في الإعلام — ينبغي إعلام الأفراد بجمع بياناتهم الشخصية وغرض الجمع وسائر الأمور التي تجعل المعالجة شفافة.
• حق الوصول — يمكن للأفراد مطالبة المتحكم بتأكيد ما إذا كان يحتفظ ببياناتهم الشخصية وبتقديم وصف لها، رهنًا بالتحقق من الهوية وبالشروط الواردة في القانون.
• الحق في التصحيح — يمكن للأفراد طلب تصحيح البيانات الشخصية غير الدقيقة أو غير ذات الصلة أو المفرطة أو غير المحدَّثة أو الناقصة أو المضلِّلة.
• الحق في الحجب أو المحو أو الإتلاف — حيثما ينطبق، يمكن للأفراد طلب حجب البيانات الشخصية أو محوها أو إتلافها، بما يشمل بيانات لم يعد المتحكم مصرَّحًا له بالاحتفاظ بها أو بيانات غير دقيقة.
• الحق في الاعتراض — يمكن للأفراد الاعتراض على معالجة بياناتهم الشخصية، وعلى معالجة يُرجَّح أن تسبب لهم ضررًا أو ضيقًا غير مبرَّر، وفقًا للشروط القانونية.
• الحق المتصل بالتسويق المباشر — يمكن للأفراد مطالبة المتحكم بوقف معالجة بياناتهم الشخصية لأغراض التسويق المباشر أو بعدم البدء فيها.
• الحق في التعويض — قد يحق للفرد الذي يتعرّض لضرر أو ضيق بسبب مخالفة القانون الحصول على تعويض، وفقًا للشروط القانونية.

طلبات الوصول من أصحاب البيانات

مسار عملي للتعامل مع طلبات الوصول وسائر طلبات ممارسة الحقوق:

• استلام الطلب — تلقّي الطلبات عبر قنوات محددة وتسجيل كل طلب.
• التحقق من الهوية — التأكد من أن مقدّم الطلب هو صاحب البيانات أو ممثّله المفوَّض.
• تصنيف الطلب — تحديد الحق الذي تُمارَس ممارسته.
• اكتشاف البيانات — تحديد موقع البيانات الشخصية المعنية في الأنظمة ولدى المزوّدين.
• مراجعة الاستثناءات ومعلومات الغير — التحقق من الاستثناءات القانونية وحماية بيانات الآخرين.
• إعداد الرد — تحضير رد واضح ودقيق.
• التسليم الآمن — إرسال الرد عبر قناة آمنة.
• حفظ السجلات — الاحتفاظ بسجل للطلب والقرار والرد.

يمكن لـ ConsentX دعم مسارات طلبات الخصوصية بتنظيم الاستلام وتتبّع الحالة وحفظ السجلات. ولا تحدّد البرمجية النتائج القانونية؛ فالقرارات المتعلقة بالاستثناءات والردود تبقى لدى المؤسسة.

التسويق المباشر

يتيح Act 843 للأفراد مطالبة المتحكم بوقف معالجة بياناتهم الشخصية لأغراض التسويق المباشر أو بعدم البدء فيها. ويشمل ذلك:

• التسويق بالبريد الإلكتروني
• التسويق بالرسائل النصية
• الإعلانات
• قنوات التسويق الأخرى
• تفضيلات التسويق
• سجلات الموافقة والانسحاب
• قوائم استبعاد التسويق المباشر

تساعد إدارة التفضيلات في ConsentX المؤسسات على تسجيل الخيارات التسويقية، والاحتفاظ بسجلات الموافقة والانسحاب، ونقل التفضيلات المحدَّثة إلى الأنظمة المرتبطة حتى لا تُستهدف جهات الاتصال المستبعدة.

القرارات الآلية

تطرح المعالجة الآلية، بما فيها التصنيف السلوكي، اعتبارات خصوصية خاصة:

• الشفافية
• الغرض
• جودة البيانات
• الإنصاف
• الأمن
• تدخّل بشري حيث يكون ملائمًا
• الأثر المحتمل على الأفراد
• المعالجة عالية المخاطر

قد يستدعي التصنيف السلوكي والقرارات الآلية إجراء تقييم أثر حماية البيانات، بحسب المعالجة والمتطلبات المنطبقة.

تقييمات أثر حماية البيانات

تقييم أثر حماية البيانات (DPIA) تقييم استباقي لمخاطر الخصوصية. يحدّد كيف يمكن أن تؤثر عملية معالجة على الأفراد، وأي التدابير تخفّض تلك المخاطر قبل بدء المعالجة.

وقد يكون التقييم ذا صلة في الحالات التالية:

• عمليات معالجة جديدة
• تقنيات جديدة
• تغييرات جوهرية على معالجة قائمة
• بيانات شخصية خاصة
• التصنيف السلوكي
• القرارات الآلية
• معالجة تنشأ عنها مخاطر كبيرة على الأفراد

Data Protection Supervisor

تنصّ المادة 58 على أن يعيّن المتحكم في البيانات شخصًا معتمدًا ومؤهّلًا بوصفه Data Protection Supervisor لمراقبة امتثال المتحكم للقانون.

وينبغي أن يتوافر لـ Data Protection Supervisor الفعّال ما يلي:

• الاعتماد والتأهيل اللازمان للدور
• المسؤولية عن مراقبة الامتثال
• تدريب ملائم
• سلطة كافية داخل المؤسسة
• المعرفة والموارد اللازمة لأداء الدور

أمن البيانات

ينبغي للمتحكمين اتخاذ تدابير تقنية وتنظيمية ملائمة ومعقولة لحماية البيانات الشخصية من:

• الوصول غير المصرّح به
• الإفصاح غير المصرّح به
• الفقدان العَرَضي
• الإتلاف
• التعديل
• الاستخدام غير السليم
• المعالجة غير المشروعة

ومن التدابير العملية:

• التشفير
• ضوابط الوصول
• المصادقة
• المصادقة المتعددة العوامل
• أمن الشبكات
• النسخ الاحتياطي الآمن
• التسجيل والمراقبة
• منع تسريب البيانات
• تدريب العاملين
• ضوابط المزوّدين
• الاستجابة للحوادث

إدارة انتهاكات البيانات

مسار عملي للاستجابة للانتهاكات:

• كشف الحادث
• احتواء الحادث
• تقييم المخاطر
• تحديد البيانات المتأثرة
• تقييم الأفراد المتأثرين
• إبلاغ الجهة التنظيمية حيث يكون مطلوبًا
• إبلاغ الأفراد حيث يكون مطلوبًا
• المعالجة التصحيحية
• التوثيق
• المراجعة بعد الحادث

لا يضع Act 843 مهلة موحّدة مدتها 72 ساعة للإبلاغ عن الانتهاكات. وينبغي للمؤسسات تقييم ما إذا كان الإبلاغ إلى DPC وإخطار الأفراد المتأثرين مطلوبًا بموجب القانون النافذ.

أما مُهَل الإبلاغ الواردة في مسوّدة Data Protection Bill, 2025 فهي مقترحات فقط. ولا ينبغي التعامل معها كالتزامات نافذة إلا إذا دخل تشريع بديل حيّز النفاذ رسميًا.

التسجيل لدى DPC

على المتحكمين في البيانات عادةً التسجيل لدى Data Protection Commission قبل معالجة البيانات الشخصية. وقد يتضمّن طلب التسجيل:

• اسم الجهة وعنوانها
• معلومات الممثّل
• وصفًا للبيانات الشخصية التي تُعالَج
• فئات الأفراد
• البيانات الشخصية الخاصة
• أغراض المعالجة
• المستلمين المتوقّعين
• الدول التي قد تُنقل إليها البيانات
• فئات الأشخاص الذين تُحتفظ ببياناتهم
• وصفًا عامًا لتدابير الأمن

بموجب Act 843، تُعدّ معالجة البيانات الشخصية دون التسجيل كمتحكم في البيانات جريمة يُعاقب عليها عند الإدانة بإجراءات موجزة بالغرامة أو الحبس أو كليهما، على النحو المحدد في القانون. وينبغي للمؤسسات التأكد من الجزاء المنطبق مع مستشاريها القانونيين.

المعالجة الخاضعة للتقييم

يتضمّن Act 843 إطارًا للمعالجة الخاضعة للتقييم. فالمعالجة التي قد تُسبّب ضررًا جوهريًا أو ضيقًا جوهريًا لصاحب البيانات، أو تمسّ مسًّا كبيرًا بحقوق خصوصيته، قد تخضع لمراجعة إضافية من DPC.

وينبغي للمؤسسات التي تخطّط لمعالجة عالية المخاطر النظر في مدى انطباق هذا الإطار قبل بدء المعالجة.

النقل الدولي للبيانات

قبل نقل بيانات شخصية إلى خارج غانا، ينبغي للمؤسسات تقييم المتطلبات المنطبقة، ومنها:

• دول المقصد
• المستلمون في الخارج
• فئات البيانات
• أغراض النقل
• الضمانات الأمنية
• الحماية التعاقدية
• قوانين الخصوصية الأجنبية المنطبقة

تشمل معلومات التسجيل لدى DPC الدول التي يعتزم المتحكم نقل البيانات الشخصية إليها، لذا ينبغي أن تبقى ترتيبات النقل وبيانات التسجيل متوافقة.

الاحتفاظ بالبيانات وحذفها

ينبغي ربط الاحتفاظ بالغرض الذي جُمعت من أجله البيانات الشخصية وبالمتطلبات القانونية المنطبقة. وينبغي أن يغطّي برنامج الاحتفاظ:

• مدد الاحتفاظ
• إجراءات الحذف
• الأرشفة
• الحفظ لأسباب قانونية
• الحذف الآلي حيث يكون ملائمًا
• الإتلاف الآمن
• المراجعات الدورية لمدد الاحتفاظ

المعالجون والمزوّدون

يبقى المتحكمون مسؤولين عن البيانات الشخصية التي يعالجها الغير بالنيابة عنهم. وينبغي أن تتناول اتفاقيات المزوّدين:

• تعليمات المعالجة
• تحديد الغرض
• السرية
• الأمن
• المعالجين من الباطن
• الاحتفاظ
• الحذف
• إدارة الحوادث
• طلبات أصحاب البيانات
• النقل الدولي
• المساعدة في الامتثال

الخصوصية منذ التصميم

يسهل تحقيق الخصوصية عندما تُدرج في المنتجات والعمليات من البداية. ومن الممارسات المفيدة:

• تقليل البيانات
• تحديد الغرض
• إعدادات افتراضية صديقة للخصوصية
• ضوابط الوصول
• التشفير
• حدود للاحتفاظ
• ضوابط الموافقة
• سجلات التدقيق
• الحذف الآمن

ملفات تعريف الارتباط والتتبّع عبر الإنترنت

ينظّم Act 843 معالجة البيانات الشخصية، ولا يضع قاعدة واحدة موحّدة لملفات تعريف الارتباط. وتستخدم المواقع والتطبيقات عادةً:

• ملفات تعريف ارتباط ضرورية
• ملفات تعريف ارتباط تحليلية
• ملفات تعريف ارتباط إعلانية
• بكسلات وسائل التواصل الاجتماعي
• تقنيات إعادة الاستهداف
• التخصيص
• معرّفات الأجهزة
• نصوص برمجية من أطراف ثالثة

ينبغي للمؤسسات تحديد ما إذا كانت كل تقنية تتبّع تعالج بيانات شخصية، وعند ذلك تحديد الأساس المشروع الملائم بموجب القانون.

الموافقة على ملفات تعريف الارتباط والحجب المسبق للنصوص البرمجية

حين تكون الموافقة هي الأساس القانوني المنطبق على التتبّع، تساعد الضوابط التالية في جعل تلك الموافقة ذات معنى:

• إشعارات موافقة واضحة
• خيارات مبنية على الأغراض
• فئات اختيارية غير محددة مسبقًا
• الحجب المسبق لأدوات التتبّع المعنية
• سحب الموافقة
• إدارة التفضيلات
• سجلات الموافقة
• تتبّع إصدارات السياسة

يدعم ConsentX التنفيذ التقني لهذه الخيارات. فالحجب المسبق للنصوص البرمجية يمنع تشغيل أدوات التتبّع المعنية قبل أن يمنح الزائر موافقته، وتتيح إدارة التفضيلات للزوار تغيير خياراتهم في أي وقت.

مراقبة الامتثال والتدقيق

ينبغي أن تكون المؤسسات قادرة على تقديم أدلة الامتثال، ومنها:

• التسجيل لدى DPC
• إشعارات الخصوصية
• سجلات الموافقة
• خرائط البيانات
• سجلات عمليات المعالجة
• تقييمات أثر حماية البيانات
• تقييمات الأمن
• اتفاقيات المزوّدين
• سجلات الانتهاكات
• طلبات أصحاب البيانات
• تفضيلات التسويق
• جداول الاحتفاظ
• سجلات التدريب
• سجلات Data Protection Supervisor

إنفاذ DPC

تتولّى Data Protection Commission في غانا المسؤولية عن:

• الإشراف التنظيمي
• تسجيل المتحكمين
• التحقيقات
• الشكاوى
• مراقبة الامتثال
• الإنفاذ
• الإرشادات
• التدريب
• التوعية

يمكن لـ Commission التحقيق في الشكاوى وإجراء التفتيش وإصدار إشعارات تُلزم المؤسسات باتخاذ خطوات للامتثال للقانون.

المخالفات والجزاءات في Act 843

يتضمّن Act 843 مخالفات محددة لكل منها جزاؤها الخاص، ولا يوجد حدّ أقصى واحد يسري على كل مخالفة. ويميّز القانون بين:

• عدم التسجيل — لمعالجة البيانات الشخصية دون التسجيل كمتحكم في البيانات جزاؤها الخاص في القانون
• عدم الالتزام بإشعارات معينة — لعدم الالتزام بإشعارات محددة تصدرها Commission جزاؤه الخاص
• المخالفات القانونية الأخرى — تخضع سائر المخالفات الواردة في القانون للجزاءات المنصوص عليها لها
• الجزاء العام في المادة 95 — حيث لا يوجد جزاء محدد، يكون مرتكب المخالفة عند الإدانة بإجراءات موجزة عرضة لغرامة لا تتجاوز خمسة آلاف وحدة جزائية أو الحبس مدة لا تتجاوز عشر سنوات أو كلتيهما

ينبغي للمؤسسات التحقق من الجزاء المرتبط بكل نصّ على حِدة بدلًا من افتراض انطباق الحدّ الأقصى الوارد في المادة 95.

مشروع قانون حماية البيانات الغاني 2025

مشروع Data Protection Bill, 2025 هو مسوّدة مقترحة لاستبدال Act 843.

• المشروع مسوّدة مقترحة ولا يجوز التعامل معه كقانون نافذ.
• يبقى Act 843 الإطار النافذ لحماية البيانات في غانا.
• ينبغي للمؤسسات متابعة التطورات التشريعية.
• ينبغي تحديث مراجعات الامتثال إذا دخل تشريع بديل حيّز النفاذ رسميًا.

لماذا تهمّ إدارة الموافقة في غانا

إدارة الموافقة أحد مكوّنات إطار الخصوصية الأوسع في غانا، إلى جانب التسجيل والأمن وحقوق أصحاب البيانات والحكامة. وحين يُعتمد على الموافقة، ينبغي أن تكون المؤسسات قادرة على إثبات:

• ما أُبلغ به المستخدم
• الغرض الذي وافق عليه المستخدم
• وقت منح الموافقة
• الفئات التي تم اختيارها
• إشعار الخصوصية الذي عُرض
• ما إذا كانت الموافقة قد سُحبت لاحقًا
• كيف نُفِّذت التفضيلات

يربط ConsentX هذه الأسئلة بضوابط تقنية: فالحجب المسبق للنصوص البرمجية يُنفّذ الخيارات، وسجلات الموافقة وإيصالاتها تحفظ الأدلة، وتتبّع إصدارات السياسة يربط كل قرار بالإشعار الذي رآه المستخدم.

قائمة تحقّق للامتثال لقانون حماية البيانات الغاني

استخدم قائمة التحقّق هذه كنقطة انطلاق لبرنامج الامتثال في مؤسستك:

• تحديد ما إذا كان Act 843 منطبقًا
• تحديد أدوار المتحكم والمعالج
• رسم خريطة لمعالجة البيانات الشخصية
• تحديد الأسس المشروعة
• مراجعة آليات الموافقة
• توفير إشعارات الخصوصية
• تحديد البيانات الشخصية الخاصة
• تقييم معالجة بيانات الأطفال
• التسجيل كمتحكم في البيانات حيث يكون مطلوبًا
• مراجعة متطلبات Data Protection Supervisor
• تنفيذ ضمانات الأمن
• إنشاء آلية للاستجابة للحوادث
• مراجعة متطلبات تقييم أثر حماية البيانات
• تقييم عمليات النقل الدولي
• وضع قواعد للاحتفاظ والحذف
• تنفيذ إجراءات طلبات أصحاب البيانات
• الحفاظ على تفضيلات التسويق المباشر
• مراجعة القرارات الآلية
• الحفاظ على اتفاقيات المزوّدين
• الحفاظ على أدلة الامتثال
• متابعة مسوّدة مشروع القانون 2025