الامتثال لقانون KVKK التركي

ما هو KVKK؟

قانون حماية البيانات الشخصية رقم 6698 هو القانون التركي الشامل لحماية البيانات الشخصية. والغرض منه حماية الحقوق والحريات الأساسية، وبخاصة الحق في الخصوصية، مع إرساء المبادئ والالتزامات المنطبقة على الأشخاص والمؤسسات التي تعالج بيانات شخصية.

ينطبق القانون على المعالجة التي تُجرى كليًا أو جزئيًا بوسائل مؤتمتة، وعلى بعض المعالجة غير المؤتمتة التي تُعدّ جزءًا من نظام حفظ بيانات. ويحدّد الأدوار التالية:

• المتحكم في البيانات (Veri Sorumlusu) — يحدّد أغراض المعالجة ووسائلها.
• معالج البيانات (Veri İşleyen) — يعالج البيانات الشخصية بالنيابة عن المتحكم.
• صاحب البيانات — الشخص الذي تُعالَج بياناته الشخصية.
• مجلس حماية البيانات الشخصية — الجهة المقرِّرة التنظيمية.
• هيئة حماية البيانات الشخصية — الجهة المؤسسية الداعمة للإطار التنظيمي.

صدر KVKK في 24 مارس 2016 ونُشر في الجريدة الرسمية في 7 أبريل 2016. وقد عُدِّل الإطار منذ ذلك الحين، بما يشمل تعديلات مهمة دخلت حيّز النفاذ في 2024، وتتعلق بخاصة بالفئات الخاصة من البيانات الشخصية وبنقل البيانات الدولي.

المؤسسات التي يشملها KVKK

ينطبق KVKK على المؤسسات والأفراد الذين يدخلون في نطاقه ويعالجون بيانات شخصية يشملها القانون. ومن ذلك:

• الشركات التركية
• أصحاب العمل
• شركات التجارة الإلكترونية
• البنوك والمؤسسات المالية
• مؤسسات الرعاية الصحية
• المؤسسات التعليمية
• شركات التكنولوجيا
• مزوّدو SaaS
• شركات الإعلان والتسويق
• شركات الاتصالات
• المنصات التجارية الإلكترونية
• التطبيقات المحمولة
• المواقع والمنصات الرقمية
• المؤسسات العامة
• المؤسسات التي تعالج بيانات العاملين
• المؤسسات التي تستخدم قواعد بيانات العملاء أو العملاء المحتملين

قد تترتب التزامات بموجب KVKK على مؤسسات مؤسَّسة خارج تركيا كذلك، بحسب أنشطة معالجتها وعلاقتها بأصحاب البيانات في تركيا.

وبالنسبة إلى الشركات التي تدير في تركيا مواقع وتطبيقات محمولة ومنصات SaaS وخدمات تجارة إلكترونية أو منتجات رقمية أخرى، قد يشمل الامتثال لـ KVKK إدارة الموافقة وإشعارات الخصوصية وتقييم شروط المعالجة وضوابط الأمن والتعامل مع طلبات أصحاب البيانات والتزامات VERBİS وضمانات النقل الدولي.

ما البيانات التي يحميها KVKK؟

يشمل KVKK البيانات الشخصية المتعلقة بشخص محدَّد أو قابل للتحديد. ومن الأمثلة:

• الاسم
• عنوان البريد الإلكتروني
• رقم الهاتف
• العنوان البريدي
• معلومات الهوية
• معلومات حساب العميل
• معلومات العاملين
• عناوين IP حين تشكّل بيانات شخصية
• المعرّفات الإلكترونية
• معلومات الموقع
• معلومات المعاملات
• المعلومات المتصلة بالأجهزة
• معلومات المصادقة
• سجلات العملاء
• ملفات التسويق
• بعض معلومات ملفات تعريف الارتباط والتتبّع

أما كون معرّف تقني معيّن بيانات شخصية، فيتوقف على ما إذا كان يتصل بشخص طبيعي محدَّد أو قابل للتحديد.

كما يضع KVKK متطلبات إضافية للفئات الخاصة من البيانات الشخصية.

مبادئ المعالجة في KVKK

ترسي المادة 4 المبادئ الأساسية لمعالجة البيانات الشخصية. ويجب أن تُعالَج البيانات الشخصية وفقًا للقانون وللمبادئ القانونية ذات الصلة، ومنها:

• المشروعية والإنصاف — يجب أن تتوافق المعالجة مع المتطلبات القانونية المنطبقة وأن تُجرى بإنصاف.
• الدقة — ينبغي أن تكون البيانات الشخصية دقيقة ومحدَّثة عند الحاجة.
• تحديد الغرض — ينبغي معالجة البيانات لأغراض محددة وصريحة ومشروعة.
• تقليل البيانات — ينبغي أن تكون البيانات الشخصية ذات صلة ومحدودة ومتناسبة مع أغراض معالجتها.
• تحديد مدة التخزين — ينبغي الاحتفاظ بالبيانات للمدة التي تقتضيها التشريعات المنطبقة أو للمدة اللازمة لأغراض المعالجة.

وينبغي مراعاة هذه المبادئ على امتداد دورة حياة البيانات، من الجمع والموافقة إلى التخزين والاستخدام والمشاركة والحذف.

ما هي الموافقة الصريحة في KVKK؟

يعرّف KVKK الموافقة الصريحة بأنها موافقة ممنوحة بحرية ومحددة ومستنيرة. ولذلك ينبغي أن تمثّل تعبيرًا إيجابيًا وذا معنى عن إرادة صاحب البيانات.

وينبغي أن تتجنّب إدارة الموافقة ما يلي:

• خيارات موافقة محددة مسبقًا
• موافقة غامضة أو شاملة
• أغراضًا غير واضحة
• آليات موافقة مخفية
• موافقة مجموعة بلا داعٍ مع معالجة غير ذات صلة
• واجهات تجعل الرفض صعبًا بلا مبرر

وقد أكّدت جهة KVKK العناصر الجوهرية الثلاثة للموافقة الصريحة: موضوع محدد، والإعلام، وحرية الاختيار.

سحب الموافقة

حين تستند المعالجة إلى موافقة صريحة، ينبغي للمؤسسات توفير آلية عملية لإدارة علاقة الموافقة. وينبغي أن يتيح نظام إدارة الموافقة للمؤسسات:

• تسجيل وقت منح الموافقة
• تسجيل ما شملته الموافقة
• تسجيل الغرض ذي الصلة
• تسجيل خيار المستخدم
• الاحتفاظ بأدلة الموافقة
• دعم تغيير تفضيلات الموافقة
• الاحتفاظ بسجلات السحب
• منع المعالجة اللاحقة حين تكون الموافقة هي الأساس القانوني المنطبق وقد سُحبت

ويمكن لـ ConsentX مساعدة المؤسسات على تفعيل هذه الضوابط التقنية عمليًا.

الفئات الخاصة من البيانات الشخصية في KVKK

يوفّر KVKK حماية إضافية للفئات الخاصة من البيانات الشخصية، وتشمل البيانات المتعلقة بما يلي:

• العِرق
• الأصل الإثني
• الرأي السياسي
• المعتقد الفلسفي
• الدين
• المذهب الديني أو معتقد آخر
• المظهر
• العضوية في جمعية أو مؤسسة أو نقابة
• الصحة
• الحياة الجنسية
• الأحكام الجزائية والتدابير الأمنية
• البيانات الحيوية
• البيانات الجينية

دخلت تعديلات مهمة على المادة 6 حيّز النفاذ في 2024. فقد استُبدل الهيكل السابق بمجموعة أوسع من الشروط القانونية التي يمكن بموجبها معالجة الفئات الخاصة دون الاعتماد حصرًا على الموافقة الصريحة، ومنها متطلبات قانونية معيّنة وأغراض الصحة العامة والتزامات التوظيف والضمان الاجتماعي وحماية الحقوق وظروف أخرى منصوص عليها.

ولذلك تجعل تعديلات 2024 من المهم بوجه خاص إعادة تقييم مسارات الموافقة القائمة الخاصة ببيانات الفئات الخاصة، بدلًا من افتراض أن كل معالجة لبيانات حسّاسة يجب أن تستخدم آلية الموافقة ذاتها.

معالجة الفئات الخاصة من البيانات الشخصية

حين تُعالَج بيانات من الفئات الخاصة، ينبغي للمؤسسات تحديد:

• ما فئة البيانات المعنية؟
• ما الغرض من المعالجة؟
• أي شرط من المادة 6 ينطبق؟
• هل الموافقة الصريحة مطلوبة؟
• ما التدابير الأمنية الإضافية المنطبقة؟
• من يمكنه الوصول إلى المعلومات؟
• إلى متى ينبغي الاحتفاظ بها؟
• هل تُنقل المعلومات إلى طرف آخر؟
• هل تُنقل إلى خارج تركيا؟
• ما الأدلة التي ينبغي الاحتفاظ بها؟

كما يقتضي KVKK اتخاذ التدابير الكافية التي يحدّدها المجلس عند معالجة الفئات الخاصة من البيانات الشخصية.

إشعارات الخصوصية والشفافية

تقتضي المادة 10 من KVKK أن يُعلم المتحكمون في البيانات أصحاب البيانات عند الحصول على بياناتهم الشخصية. وتشمل المعلومات:

• هوية المتحكم في البيانات
• هوية ممثّله، حيث ينطبق ذلك
• غرض المعالجة
• الجهات المستلمة وأغراض النقل
• طريقة الجمع وأساسه القانوني
• حقوق أصحاب البيانات ذات الصلة

وبالنسبة إلى المواقع والتطبيقات، ينبغي أن تكون إشعارات الخصوصية واضحة وسهلة الوصول ومرتبطة على نحو ملائم بنقطة جمع البيانات.

ولا ينبغي التعامل مع لافتات الموافقة كبديل عن إشعار خصوصية كامل.

ملفات تعريف الارتباط وتقنيات التتبّع في KVKK

لا يعني KVKK أن كل ملف تعريف ارتباط يستلزم تلقائيًا موافقة صريحة. فالمعالجة القانونية الملائمة تتوقف على:

• ما المعلومات التي يجمعها ملف تعريف الارتباط أو أداة التتبّع
• ما إذا كانت هذه المعلومات تشكّل بيانات شخصية
• سبب استخدامه
• ما إذا كان ينطبق شرط آخر من المادة 5
• ما إذا كانت البيانات تُنقل إلى أطراف ثالثة
• ما إذا كان النشاط يتضمّن نقلًا دوليًا
• ما إذا كانت معلومات من الفئات الخاصة معنية

وبالنسبة إلى التحليلات والإعلانات وغيرها من التتبّع غير الضروري، ينبغي للمؤسسات تقييم شرط المعالجة المنطبق في KVKK وتنفيذ آلية موافقة أو إشعار ملائمة حيث تكون مطلوبة.

ويمكن لـ ConsentX مساعدة المؤسسات على تحديد ملفات تعريف الارتباط وأدوات التتبّع وتطبيق ضوابط خاصة بكل منطقة.

حقوق أصحاب البيانات في KVKK

تمنح المادة 11 أصحاب البيانات عدة حقوق. ويمكن للأفراد أن يطلبوا:

• تأكيد ما إذا كانت بياناتهم الشخصية تُعالَج
• معلومات عن المعالجة
• معلومات عن أغراض المعالجة
• معلومات عن الأطراف الثالثة التي تتلقى بياناتهم
• تصحيح البيانات غير الدقيقة أو الناقصة
• المحو أو الإتلاف حيث تتحقق الشروط القانونية
• إبلاغ الأطراف الثالثة المعنية بالتصحيحات أو عمليات الحذف
• الاعتراض على بعض النتائج السلبية الناتجة حصرًا عن معالجة مؤتمتة
• التعويض عن الضرر الناشئ عن معالجة غير مشروعة

طلبات أصحاب البيانات في KVKK

يمكن لأصحاب البيانات تقديم طلباتهم إلى المتحكم في البيانات وفق الإجراءات المقررة في KVKK. وعلى المتحكم عمومًا إنهاء الطلب في أسرع وقت ممكن وخلال 30 يومًا كحد أقصى. والطلبات مجانية في الأصل، وإن كان يجوز فرض رسم في الحالات التي تحددها القواعد المنطبقة.

ويمكن لـ ConsentX دعم المسارات التشغيلية الخاصة بما يلي:

• استلام الطلبات
• مسارات التحقق من الهوية
• تتبّع الطلبات
• جمع الأدلة
• التوزيع الداخلي للمهام
• مراقبة المواعيد النهائية
• توثيق الردود
• مسارات التدقيق

أمن البيانات في KVKK

تقتضي المادة 12 أن يتخذ المتحكمون في البيانات التدابير التقنية والتنظيمية اللازمة لتوفير مستوى ملائم من الأمن. وتهدف هذه التدابير إلى منع:

• المعالجة غير المشروعة
• الوصول غير المشروع
• فقدان البيانات الشخصية أو المساس بها

كما يجب على المتحكمين في البيانات إجراء عمليات تدقيق ملائمة أو الترتيب لإجرائها بشأن الالتزام بمتطلبات أمن البيانات.

وحين تُجرى المعالجة عبر معالج بيانات، تبقى مسؤولية اتخاذ التدابير الأمنية الملائمة على المتحكم في البيانات.

الإبلاغ عن انتهاكات البيانات في KVKK

حين يحصل آخرون بصورة غير مشروعة على بيانات شخصية يعالجها متحكم، يجب على المتحكم إبلاغ صاحب البيانات والمجلس في أقصر وقت. ويفسّر المجلس التعبير القانوني «أقصر وقت» بأنه 72 ساعة كحد أقصى من العلم بالانتهاك. وإذا لم يكن ممكنًا إتمام الإبلاغ خلال 72 ساعة، فينبغي بيان أسباب التأخير.

وينبغي للمؤسسات الحفاظ على:

• إجراءات كشف الانتهاكات
• عمليات الاستجابة للحوادث
• توثيق الانتهاكات
• إجراءات التصعيد الداخلي
• مسارات الإبلاغ إلى الجهة التنظيمية
• إجراءات التواصل مع أصحاب البيانات

المتحكمون في البيانات ومعالجو البيانات

يميّز KVKK بين المتحكم في البيانات، وهو المؤسسة التي تحدّد أغراض معالجة البيانات الشخصية ووسائلها، ومعالج البيانات، وهو الشخص أو المؤسسة التي تعالج البيانات الشخصية بالنيابة عن المتحكم.

ومن أمثلة المعالجين:

• مزوّدو الخدمات السحابية
• شركات الاستضافة
• مزوّدو إدارة علاقات العملاء
• منصات البريد الإلكتروني
• مزوّدو التحليلات
• مزوّدو تقنيات التسويق
• منصات دعم العملاء

وينبغي للمتحكم في البيانات ممارسة إشراف ملائم على المعالجين وضمان الوفاء بالتزامات الأمن والخصوصية على امتداد علاقة المعالجة.

النقل الدولي للبيانات في KVKK

يمثّل النقل الدولي للبيانات مجالًا رئيسيًا للامتثال لـ KVKK. وقد عُدِّلت المادة 9 تعديلًا جوهريًا في 2024، فأُدخل إطار جديد لنقل البيانات الشخصية إلى الخارج. وفي هذا الإطار، يمكن أن تستند عمليات النقل إلى آليات منها:

• قرار كفاية
• قواعد مؤسسية مُلزِمة معتمدة
• عقود نموذجية ينشرها المجلس
• تعهدات خطية معتمدة معيّنة
• حالات نقل استثنائية محددة

والعقود النموذجية إحدى الضمانات المتاحة للنقل الدولي. ويقتضي القانون إخطار الجهة بالعقد النموذجي خلال خمسة أيام عمل من التوقيع، وقد نشرت جهة KVKK نماذج عقود تغطي علاقات مختلفة بين المتحكمين والمعالجين.

ويكتسب ذلك أهمية خاصة للمؤسسات التي تستخدم دوليًا:

• بنية سحابية
• أدوات SaaS
• منصات إدارة علاقات العملاء
• خدمات تحليلات
• تقنيات إعلانية
• مزوّدي بريد إلكتروني
• أنظمة دعم العملاء

النقل الدولي والموافقة

يمكن أن تكون الموافقة الصريحة إحدى الآليات الاستثنائية لنقل البيانات الشخصية إلى الخارج، لكن إطار المادة 9 المعدّلة لا يجعل الموافقة الحل الافتراضي لعمليات النقل الدولي الاعتيادية.

وعند الاستناد إلى شروط النقل الاستثنائية، يجب تقييم المتطلبات والقيود القانونية بعناية. وبالنسبة إلى عمليات النقل الدولي المستمرة، ينبغي عمومًا تقييم ما إذا كان قرار كفاية أو ضمانة ملائمة متاحًا.

VERBİS — سجل المتحكمين في البيانات

يُنشئ KVKK سجل المتحكمين في البيانات، المعروف بـ VERBİS. وعلى المتحكمين المشمولين بالتزام التسجيل أن يسجّلوا ويقدّموا معلومات عن أنشطة معالجتهم. وقد يقتضي إطار التسجيل معلومات مثل:

• هوية المتحكم
• أغراض المعالجة
• فئات أصحاب البيانات
• فئات البيانات
• الجهات المستلمة
• عمليات النقل الدولي
• تدابير الأمن
• أقصى مدد التخزين

غير أن القانون يتيح للمجلس إرساء إعفاءات على أساس معايير موضوعية. وقد أرسى المجلس إعفاءات استنادًا إلى معايير منها طبيعة البيانات وكميتها وأنشطة المعالجة وخصائص المؤسسة.

كما وسّع قرار مهم للمجلس في 2025 إطار الإعفاء لبعض المتحكمين الصغار الذين يتضمّن نشاطهم الرئيسي معالجة بيانات شخصية من الفئات الخاصة، باستخدام معياري عدد العاملين والميزانية.

ولذلك ينبغي للشركات التحقق من وضع تسجيلها الحالي في VERBİS ومن معايير الإعفاء المنطبقة، بدلًا من الاعتماد على حدود قديمة لعدد العاملين أو الإيرادات وردت في مواد امتثال متجاوَزة.

الاحتفاظ بالبيانات وحذفها

يقتضي KVKK تخزين البيانات الشخصية للمدة التي ترسيها التشريعات ذات الصلة أو للمدة اللازمة لغرض المعالجة. وحين تنتهي الأسباب التي تقتضي المعالجة، ينبغي محو البيانات الشخصية أو إتلافها أو إخفاء هويتها، بحسب المنطبق.

ولدى تركيا كذلك لائحة مخصّصة لمحو البيانات الشخصية أو إتلافها أو إخفاء هويتها، تضع إجراءات هذه العمليات. ولذلك ينبغي للمؤسسات الحفاظ على جداول احتفاظ وإجراءات حذف موثّقة تغطي:

• مدد الاحتفاظ التي ترسيها التشريعات
• مدد الاحتفاظ المرتبطة بغرض المعالجة
• إجراءات المحو
• إجراءات الإتلاف
• إجراءات إخفاء الهوية
• المراجعة الدورية للبيانات المخزّنة
• أدلة على تنفيذ الحذف

القرارات الآلية

يعترف KVKK بحق صاحب البيانات في الاعتراض على نتيجة في غير مصلحته تنشأ عن تحليل بيانات شخصية معالَجة حصرًا عبر أنظمة مؤتمتة. ويتصل ذلك بالشركات التي تستخدم:

• أنظمة الذكاء الاصطناعي
• التصنيف السلوكي الآلي
• تقييم العملاء آليًا
• كشف الاحتيال
• تقنيات التوظيف
• أنظمة التخصيص
• قرارات الأهلية الآلية

وينبغي للمؤسسات التي تستخدم الذكاء الاصطناعي أو أنظمة القرار الآلي تقييم شروط المعالجة ذات الصلة في KVKK والتزامات الشفافية وحقوق أصحاب البيانات ومتطلبات الأمن.

التسويق المباشر في KVKK

قد تتضمّن الأنشطة التسويقية فئات متعددة من معالجة البيانات الشخصية، منها:

• عناوين البريد الإلكتروني
• أرقام الهاتف
• ملفات العملاء
• سجل الشراء
• المعلومات السلوكية
• معرّفات الإعلانات
• النشاط على الموقع

وينبغي للمؤسسات تحديد الأساس القانوني الملائم وضمان توافق المعالجة المتصلة بالتسويق مع متطلبات الشفافية والمعالجة في KVKK.

وحيث تكون الموافقة الصريحة مطلوبة، ينبغي أن تكون محددة ومستنيرة وممنوحة بحرية، وأن يُحتفظ بسجلات الموافقة كدليل.

الخصوصية منذ التصميم في KVKK

مع أن KVKK لا يكرّر مصطلحات النظام الأوروبي حرفيًا، ينبغي للمؤسسات إدماج اعتبارات الخصوصية والأمن في الأنظمة والعمليات من البداية. ويمكن أن يشمل التنفيذ المراعي للخصوصية:

• تقليل البيانات
• الجمع القائم على الغرض
• ضوابط الوصول
• إدارة الموافقة
• إشعارات الخصوصية
• ضوابط الاحتفاظ
• مسارات طلبات أصحاب البيانات
• تقييم المزوّدين
• تقييم عمليات النقل الدولي
• ضوابط الأمن
• تسجيل التدقيق

سجلات المعالجة والحكامة

ينبغي للمؤسسات أن تحتفظ برؤية واضحة لما يلي:

• ما البيانات الشخصية التي تعالجها
• لماذا تعالجها
• أين تُخزَّن
• من يمكنه الوصول إليها
• أي المزوّدين يتلقّونها
• هل تخرج من تركيا
• مدة الاحتفاظ بها
• أي شرط قانوني يسند المعالجة
• هل الموافقة الصريحة مطلوبة
• كيف تُسحب الموافقة
• كيف تُعالَج طلبات أصحاب البيانات

وبالنسبة إلى المؤسسات المشمولة بالتسجيل في VERBİS، يكتسب الحفاظ على دقة معلومات المعالجة أهمية خاصة، لأن معلومات السجل مرتبطة بأنشطة معالجة المؤسسة.

من يُنفِّذ KVKK؟

تشرف على KVKK وتُنفِّذه هيئة حماية البيانات الشخصية (Kişisel Verileri Koruma Kurumu).

ويؤدي مجلس حماية البيانات الشخصية وظائف تنظيمية وإشرافية وتنفيذية مهمة، تشمل معالجة الشكاوى وفحص المخالفات وتوقيع الجزاءات الإدارية.

لماذا تهمّ إدارة الموافقة في KVKK

بالنسبة إلى الأعمال الرقمية، لا يقتصر الامتثال في مجال الخصوصية على نشر سياسة خصوصية. فقد يشتمل موقع واحد على عشرات التقنيات التي تجمع معلومات أو ترسلها، ومنها:

• أدوات التحليلات
• بكسلات الإعلانات
• نصوص وسائل التواصل الاجتماعي
• أدوات تسجيل الجلسات
• تقنيات التخصيص
• وسوم التسويق
• المحتوى المضمَّن
• تكاملات إدارة علاقات العملاء

ويساعد نظام قوي لإدارة الموافقة المؤسسات على فهم هذه التقنيات، والتحكم في المعالجة ذات الصلة، والاحتفاظ بأدلة على خيارات المستخدمين.

ويجمع ConsentX بين اكتشاف ملفات تعريف الارتباط وإدارة الموافقة والحجب المسبق للنصوص البرمجية وسجلات الموافقة والقواعد الإقليمية ومسارات طلبات أصحاب البيانات، لمساعدة الشركات على تفعيل ضوابط الخصوصية عبر أصولها الرقمية.

قائمة تحقّق للامتثال لـ KVKK

استخدم قائمة التحقّق هذه كنقطة انطلاق لبرنامج الامتثال في مؤسستك:

• حصر أنشطة معالجة البيانات الشخصية
• تحديد المتحكمين والمعالجين
• رسم خريطة أغراض المعالجة
• تحديد شرط المعالجة المنطبق في المادة 5
• تحديد الفئات الخاصة من البيانات الشخصية
• تقييم شروط المادة 6 حيث تنطبق
• إعداد إشعارات خصوصية ملائمة
• مراجعة ملفات تعريف الارتباط وتقنيات التتبّع
• تحديد المواضع التي تلزم فيها الموافقة الصريحة
• ضمان أن تكون الموافقة ممنوحة بحرية ومحددة ومستنيرة
• تسجيل قرارات الموافقة
• توفير آليات لسحب الموافقة
• تنفيذ إجراءات طلبات أصحاب البيانات
• مراقبة مدة الرد البالغة 30 يومًا
• تنفيذ تدابير أمن ملائمة
• الحفاظ على مسار للاستجابة لانتهاكات البيانات
• تقييم عمليات النقل الدولي
• مراجعة متطلبات العقد النموذجي حيث تنطبق
• متابعة شرط الإخطار خلال خمسة أيام عمل للعقود النموذجية المعنية
• تقييم متطلبات التسجيل في VERBİS
• الحفاظ على سجلات المعالجة
• تحديد مدد الاحتفاظ
• تنفيذ إجراءات الحذف وإخفاء الهوية
• مراجعة العلاقات مع المزوّدين والمعالجين
• الحفاظ على أدلة تدقيق ملائمة
• متابعة إرشادات المجلس والتحديثات التنظيمية