الامتثال لقانون خصوصية البيانات الفلبيني

الإطار التنظيمي

يستند إطار الخصوصية الفلبيني بالأساس إلى:

• Republic Act No. 10173 — Data Privacy Act of 2012
• Implementing Rules and Regulations الخاصة بـ Data Privacy Act
• تعاميم NPC ولوائحها
• استشارات NPC وإرشاداتها
• متطلبات الخصوصية القطاعية حيث تنطبق

الموافقة أحد الأسس القانونية للمعالجة، لكنها ليست الأساس الوحيد في الإطار الفلبيني. فقد تكون المعالجة مشروعة أيضًا حين تكون لازمة لعقد، أو لالتزام قانوني، أو لحماية مصالح حيوية، أو لحالة طوارئ وطنية أو للنظام العام، أو في ظروف أخرى يعترف بها القانون ولوائحه التنفيذية.

تتولى NPC إدارة DPA وإنفاذه وتقديم الإرشاد للمؤسسات ولأصحاب البيانات.

المؤسسات التي يشملها القانون

ينطبق DPA على المؤسسات والأفراد المشاركين في معالجة المعلومات الشخصية، ومنهم:

• Personal Information Controllers
• Personal Information Processors
• مؤسسات القطاع الخاص
• الجهات الحكومية الواقعة في نطاق القانون
• الشركات التي تدير مواقع وتطبيقات
• منصات التجارة الإلكترونية
• المؤسسات المالية
• مؤسسات الرعاية الصحية
• المؤسسات التعليمية
• شركات التكنولوجيا
• شركات التسويق والإعلان
• مزوّدو الخدمات المتعاقد معهم خارجيًا
• الجهات الأخرى التي تعالج معلومات شخصية

بالنسبة إلى الشركات التي تدير في الفلبين مواقع وتطبيقات ومنصات تجارة إلكترونية ومنتجات SaaS وأنظمة تسويق أو خدمات رقمية أخرى، لا يتوقف الامتثال عند الحصول على موافقة عبر لافتة ملفات تعريف الارتباط. فعلى المؤسسات فهم الأساس القانوني المنطبق، وتقديم إشعارات خصوصية ملائمة، وتنفيذ تدابير أمنية، وإدارة حقوق أصحاب البيانات، وتقييم المعالجة عبر أطراف ثالثة، والاحتفاظ بأدلة امتثال مناسبة.

هل ينطبق DPA الفلبيني على شركات خارج الفلبين؟

نعم، في حالات محددة. تنص المادة 6 من DPA على التطبيق خارج الإقليم حين يتعلق فعل أو معالجة خارج الفلبين بمعلومات شخصية لمواطن فلبيني أو مقيم فيها، وتكون للجهة صلة مؤهِّلة بالفلبين.

ويمكن أن تشمل هذه الصلات:

• عقدًا أُبرم في الفلبين
• فرعًا أو وكالة أو مكتبًا أو شركة تابعة في الفلبين
• إدارة مركزية وسيطرة في الفلبين في حالات محددة
• ممارسة نشاط تجاري في الفلبين
• معلومات شخصية تجمعها أو تحتفظ بها جهة في الفلبين

لذا ينبغي للشركات الدولية تقييم صلاتها بالفلبين وأنشطة معالجتها، بدلًا من افتراض أن التواجد خارج الفلبين يُسقط التزامات DPA.

ما هي المعلومات الشخصية؟

يحمي DPA على نطاق واسع المعلومات التي يمكن من خلالها التعرّف على الفرد بصورة مباشرة أو غير مباشرة. ومن الأمثلة:

• الاسم
• بيانات الاتصال
• عنوان البريد الإلكتروني
• معلومات الهوية
• معلومات الحسابات
• معلومات الموقع
• المعرّفات الإلكترونية
• معلومات التوظيف
• المعلومات المالية
• المعلومات الصحية
• أي معلومات أخرى مرتبطة بفرد يمكن التعرّف عليه

ومفهوم المعالجة واسع ويشمل أنشطة مثل الجمع والتسجيل والتنظيم والتخزين والتحديث والاستخراج والاطلاع والاستخدام والإفصاح والحجب والمحو والإتلاف.

Sensitive Personal Information

يوفّر DPA الفلبيني حماية معزّزة لـ Sensitive Personal Information (SPI). ويشمل القانون المعلومات المتعلقة بمسائل مثل:

• العِرق
• الأصل الإثني
• الحالة الزوجية
• العمر
• اللون
• الانتماءات الدينية أو الفلسفية أو السياسية
• الصحة
• التعليم
• البيانات الجينية أو الحياة الجنسية
• الإجراءات المتعلقة بالمخالفات وما انتهت إليه
• المعلومات الصادرة عن الحكومة والخاصة بفرد بعينه، مثل بعض بيانات الضمان الاجتماعي أو الصحة أو التراخيص أو الضرائب
• المعلومات المصنَّفة صراحةً كسرّية بموجب القانون أو بقرار من السلطة التنفيذية

التمييز بين المعلومات الشخصية و Sensitive Personal Information مهم، لأن قيودًا وضمانات إضافية قد تنطبق على SPI.

متطلبات الموافقة

حين يُعتمد على الموافقة، تقتضي قواعد الخصوصية الفلبينية أن تكون:

• ممنوحة بحرية
• محددة
• مستنيرة
• قابلة للإثبات

وتنص اللوائح التنفيذية على أن الموافقة يمكن إثباتها بوسائل مكتوبة أو إلكترونية أو مسجّلة.

لذلك ينبغي أن تتيح آلية الموافقة العملية تحديد:

• من الذي منح الموافقة
• بماذا وافق الشخص
• الغرض الذي مُنحت الموافقة من أجله
• وقت منح الموافقة
• المعلومات التي عُرضت
• ما إذا كان الشخص قد سحب موافقته لاحقًا
• المعالجة التي جرت بناءً على تلك الموافقة

لا ينبغي جمع الموافقات في حزمة واحدة دون داعٍ

حين تكون الموافقة مطلوبة، ينبغي للمؤسسات ألا تجعل أغراضًا غير مرتبطة معتمدة على إذن واحد غامض.

فقد يكون لدى مؤسسة، على سبيل المثال، أنشطة معالجة منفصلة تتعلق بـ:

• إنشاء الحساب
• تقديم الخدمة
• التحليلات
• الإعلان
• التخصيص
• التسويق المباشر
• مشاركة البيانات مع أطراف ثالثة

وينبغي تقييم هذه الأنشطة كل على حدة لتحديد الأساس القانوني المنطبق ومتطلبات الشفافية.

إشعارات الخصوصية والشفافية

تُلزم متطلبات الشفافية في DPA المؤسسات بتقديم معلومات ملائمة لأصحاب البيانات عن معالجة معلوماتهم الشخصية.

وينبغي أن يتناول إشعار الخصوصية مسائل ذات صلة مثل:

• ما المعلومات الشخصية التي تُجمع
• أغراض المعالجة
• طريقة المعالجة ونطاقها
• هوية المتحكم أو ممثّله وبيانات الاتصال به
• مدة الاحتفاظ
• المستلمون أو حالات الإفصاح ذات الصلة
• حقوق أصحاب البيانات
• كيف يمكن لصاحب البيانات ممارسة هذه الحقوق أو تقديم شكوى

وتعترف اللوائح التنفيذية صراحةً بحق صاحب البيانات في أن يُعلم بالمعالجة وبالحقوق ذات الصلة.

حقوق أصحاب البيانات

تحدّد National Privacy Commission عدة حقوق يمنحها DPA لأصحاب البيانات، منها:

• الحق في الإعلام
• حق الوصول
• حق الاعتراض
• حق التصحيح
• حق المحو أو الحجب
• حق قابلية نقل البيانات
• حق تقديم الشكوى
• حق التعويض

لذا ينبغي للمؤسسات الحفاظ على مسار رسمي لطلبات الخصوصية قادر على:

• استلام الطلب
• التحقق من هوية مقدّم الطلب
• تحديد البيانات ذات الصلة
• تحديد الاستثناءات المنطبقة
• التنسيق مع المعالجين
• الرد خلال المدة المنطبقة
• الاحتفاظ بدليل على الرد

حق الوصول

يتيح حق الوصول لأصحاب البيانات الحصول على معلومات بشأن معالجة بياناتهم الشخصية. وبحسب الحالة، يمكن أن يشمل ذلك معلومات عن:

• المعلومات الشخصية التي تُعالَج
• أغراض المعالجة
• طرق المعالجة ونطاقها
• المستلمون أو فئاتهم
• مصدر البيانات حيث ينطبق ذلك
• المعلومات الأخرى التي يعترف بها DPA

وينبغي أن يكون لدى الشركات مسار لتحديد موقع المعلومات الشخصية في قواعد البيانات والتطبيقات وأنظمة الأطراف الثالثة.

حق التصحيح

يمكن لأصحاب البيانات ممارسة حقهم في تصحيح المعلومات الشخصية غير الدقيقة أو الناقصة. وينبغي للمؤسسات الحفاظ على مسارات تتيح:

• تحديد السجلات ذات الصلة
• التحقق من التصحيح المطلوب
• تحديث الأنظمة الداخلية
• نقل التصحيحات إلى المعالجين أو المستلمين المعنيين حيث يكون ذلك مطلوبًا
• توثيق الطلب ونتيجته

حق المحو أو الحجب

يعترف DPA بحق المحو أو الحجب في حالات محددة. ولا ينبغي تفسير ذلك كحق غير مشروط في حذف كل سجل على الفور.

وينبغي للمؤسسات تحديد ما إذا:

• لم تعد البيانات لازمة
• كانت المعالجة غير مشروعة
• كان لدى صاحب البيانات اعتراض وجيه
• كان قانون آخر يقتضي الاحتفاظ
• كانت المعلومات لازمة لمطالبة قانونية
• كان ينطبق استثناء قانوني آخر

حق الاعتراض

لأصحاب البيانات الحق في الاعتراض على بعض أنواع المعالجة. وتشير اللوائح التنفيذية صراحةً إلى الاعتراضات المتعلقة بـ:

• التسويق المباشر
• المعالجة الآلية
• التصنيف السلوكي

وحين يكون الاعتراض وجيهًا، يجب على المتحكم وقف المعالجة المعنية ما لم يسمح استثناء منطبق باستمرارها.

حق قابلية نقل البيانات

تعترف الفلبين بحق قابلية نقل البيانات. وتوضّح NPC أن صاحب البيانات يمكنه الحصول على نسخة من بياناته الشخصية و/أو طلب نقلها من PIC إلى آخر بصيغة إلكترونية أو منظمة شائعة الاستخدام.

ويمكن أن ينطبق هذا الحق حين:

• تكون المعالجة مبنية على الموافقة أو على عقد
• تُعالَج البيانات الشخصية إلكترونيًا بصيغة منظمة وشائعة الاستخدام

أمثلة على المعلومات القابلة للنقل احتمالًا:

• الأسماء
• العناوين
• أسماء المستخدمين
• سجل المعاملات
• سجلات الدخول
• بيانات الموقع

Data Protection Officer

ينبغي للمؤسسات المشمولة بالإطار الفلبيني إرساء حكامة خصوصية ملائمة، بما يشمل تعيين Data Protection Officer (DPO) حيث يكون ذلك مطلوبًا. ويتولى الـ DPO دعم امتثال المؤسسة لـ DPA ولمتطلبات NPC.

وقد يشارك الـ DPO في:

• الامتثال في مجال الخصوصية
• سياسات حماية البيانات
• تقييمات أثر الخصوصية
• طلبات أصحاب البيانات
• إدارة الانتهاكات
• التعامل مع NPC
• توعية العاملين
• إدارة المزوّدين
• مبادرات الخصوصية منذ التصميم

توفّر NPC نظام تسجيل يمكن من خلاله لجهات PIC و PIP تسجيل مسؤول حماية البيانات وأنظمة معالجة البيانات حيث ينطبق ذلك.

تسجيل أنظمة معالجة البيانات

تتوقف التزامات التسجيل على المؤسسة وعلى طبيعة معالجتها. وبموجب متطلبات NPC، قد ينطبق التسجيل الإلزامي، في جملة حالات، حين:

• يعمل لدى PIC أو PIP ما لا يقل عن 250 شخصًا
• تشمل المعالجة Sensitive Personal Information لما لا يقل عن 1,000 فرد
• يُرجَّح أن تُشكّل المعالجة خطرًا على أصحاب البيانات
• لا تكون المعالجة عارضة
• تتضمن المعالجة قرارات آلية أو تصنيفًا سلوكيًا في الحالات التي تغطيها متطلبات NPC

كما ذكرت NPC أن أنظمة معالجة البيانات التي تتضمن قرارات آلية أو تصنيفًا سلوكيًا تخضع لمتطلبات التسجيل بموجب القواعد المنطبقة.

وينبغي للشركات تقييم متطلبات التسجيل بدلًا من افتراض أن التسجيل إلزامي لكل مؤسسة.

متطلبات الأمن

يقتضي DPA من جهات PIC و PIP تنفيذ تدابير تنظيمية ومادية وتقنية معقولة وملائمة لحماية المعلومات الشخصية. وينبغي أن تراعي ضوابط الأمن عوامل مثل:

• طبيعة المعلومات الشخصية
• المخاطر المرتبطة بالمعالجة
• البيئة المؤسسية
• المعايير القطاعية المنطبقة
• كلفة التنفيذ
• الأثر المحتمل على أصحاب البيانات

ويمكن أن يشمل برنامج عملي للخصوصية والأمن:

• ضوابط الوصول
• المصادقة
• التشفير
• أمن الشبكات
• أمن التطبيقات
• التسجيل والمراقبة
• إدارة الثغرات
• النسخ الاحتياطي
• التعافي من الكوارث
• تدريب العاملين
• الاستجابة للحوادث
• ضوابط أمن المزوّدين

وتدعو إرشادات NPC بشأن الانتهاكات صراحةً إلى تدابير تنظيمية ومادية وتقنية تهدف إلى منع الانتهاكات أو تقليلها ودعم الكشف والاستجابة في الوقت المناسب.

الإبلاغ عن انتهاكات البيانات الشخصية

لا يقتضي كل حادث أمني إبلاغ NPC والأفراد المتأثرين. فالإبلاغ الإلزامي ينطبق عند تحقق الشروط التي يضعها DPA وقواعد NPC.

وتحدّد NPC ثلاثة عناصر رئيسية:

• أن يتعلق الانتهاك بـ Sensitive Personal Information أو بمعلومات أخرى قد تُمكّن من انتحال الهوية.
• أن يوجد سبب للاعتقاد بأن المعلومات حُصل عليها من شخص غير مصرّح له.
• أن يرى الـ PIC أن الانتهاك يُرجَّح أن ينشئ خطرًا حقيقيًا بضرر جسيم على صاحب البيانات المتأثر.

أمثلة على معلومات قد تُمكّن من انتحال الهوية:

• المعلومات المالية أو الاقتصادية
• أسماء المستخدمين وكلمات المرور
• البيانات الحيوية
• وثائق الهوية الصادرة عن الحكومة
• المعرّفات الحكومية الفريدة
• معلومات مماثلة قادرة على التأثير في القرارات المتعلقة بفرد

الإبلاغ خلال 72 ساعة

حين ينطبق الإبلاغ الإلزامي، تقتضي NPC تقديم Personal Data Breach Notification Form خلال 72 ساعة من العلم بوقوع انتهاك للبيانات الشخصية أو من الاعتقاد المعقول بوقوعه. ويجب كذلك إخطار أصحاب البيانات المتأثرين خلال مدة الـ 72 ساعة المنطبقة حيث يوجد التزام بالإخطار.

وتدير NPC نظام Data Breach Notification Management System (DBNMS) لتلقّي الإبلاغات. لذا ينبغي للمؤسسات الحفاظ على مسار للاستجابة للحوادث قادر على:

• كشف الحوادث
• تقييم ما إذا تأثرت بيانات شخصية
• تحديد حدود الإبلاغ
• تصعيد الحوادث
• إعداد معلومات الإبلاغ
• التواصل مع الأفراد المتأثرين
• توثيق تدابير المعالجة
• منع التكرار

الإبلاغ عن الانتهاكات والمعالجون

إسناد المعالجة إلى الغير لا يُنهي مسؤولية المتحكم عن الإبلاغ المنطبق. وتذكر NPC أن التزام الإبلاغ يبقى على الـ Personal Information Controller حتى عندما تكون المعالجة قد أُسندت أو أُحيلت من الباطن إلى Personal Information Processor.

لذا ينبغي أن ترسي العقود مع المعالجين:

• متطلبات الأمن
• مُهَل إخطار الحوادث
• التعاون في التحقيقات
• حفظ الأدلة
• دعم شؤون أصحاب البيانات
• التعاون مع الجهة التنظيمية
• مسؤوليات المعالجة التصحيحية

مشاركة البيانات والمعالجون من الغير

تعتمد المؤسسات كثيرًا على أطراف ثالثة لمعالجة المعلومات الشخصية. ومن الأمثلة:

• مزوّدو الخدمات السحابية
• منصات إدارة علاقات العملاء
• مزوّدو التحليلات
• المنصات الإعلانية
• مشغّلو المدفوعات
• مزوّدو دعم العملاء
• منصات أتمتة التسويق
• أنظمة الموارد البشرية
• مزوّدو SaaS

وينبغي أن يكون الـ PIC على دراية بـ:

• ما المعلومات التي تُشارَك
• لماذا تُشارَك
• من الذي يستلمها
• أين تُعالَج
• ما ضوابط الأمن المنطبقة
• مدة الاحتفاظ بها
• ما إذا كان هناك معالجون آخرون
• ما يحدث بعد انتهاء التعامل

وقد أصدرت NPC إرشادات وتعاميم بشأن ترتيبات مشاركة البيانات والمسؤولية في مجال الخصوصية.

المعالجة العابرة للحدود والدولية

يمكن أن ينطبق DPA على معالجة تُجرى خارج الفلبين عند تحقق شروط التطبيق خارج الإقليم المنصوص عليها قانونًا. وينبغي للشركات الدولية تقييم صلاتها بالفلبين، بما يشمل:

• عملاء أو مقيمين فلبينيين
• عقودًا فلبينية
• فروعًا أو شركات تابعة فلبينية
• عمليات في الفلبين
• بيانات تُجمع أو تُحفظ في الفلبين
• وصول شركة أم أو شركة زميلة أجنبية

ويتناول حكم التطبيق خارج الإقليم في DPA صراحةً المعالجة خارج الفلبين حيث توجد الصلات القانونية ذات الصلة.

القرارات الآلية والتصنيف السلوكي

يعتبر الإطار الفلبيني المعالجة الآلية والتصنيف السلوكي من مسائل الخصوصية المهمة. ولدى NPC قواعد محددة بشأن التسجيل والإبلاغ المتعلقين بالقرارات الآلية، ويمنح DPA أصحاب البيانات حقوقًا تتصل بالمعالجة الآلية والتصنيف السلوكي.

وينبغي للشركات التي تستخدم ما يلي أن تقيّم معالجتها:

• أنظمة الذكاء الاصطناعي
• قرارات الأهلية الآلية
• التقييم الائتماني
• التصنيف السلوكي
• الإعلانات المخصّصة
• كشف الاحتيال
• أنظمة التوصية
• أنظمة القرار الآلي الأخرى

وينبغي أن يغطي التقييم:

• ما البيانات الشخصية المستخدمة
• الغرض من المعالجة الآلية
• ما إذا كان النظام يؤثر تأثيرًا كبيرًا في الأفراد
• متطلبات الشفافية
• حقوق الاعتراض
• التزامات التسجيل
• الأمن
• المعالجة عبر أطراف ثالثة
• المراجعة البشرية حيث تكون ملائمة

كما أصدرت NPC إرشادات خاصة بالذكاء الاصطناعي بشأن تطبيق DPA ولوائحه التنفيذية على أنظمة الذكاء الاصطناعي التي تعالج بيانات شخصية.

الخصوصية منذ التصميم وهندسة الخصوصية

أصدرت NPC حديثًا إرشادات بشأن هندسة الخصوصية في عمليات دورة حياة الأنظمة. وينبغي للشركات إدماج اعتبارات الخصوصية عند:

• تصميم المنتجات
• تطوير المواقع
• تطوير التطبيقات
• اختيار المزوّدين
• هندسة البيانات
• تطوير الذكاء الاصطناعي
• تنفيذ التحليلات
• تصميم الأمن
• تغييرات الأنظمة

لذا ينبغي معالجة الخصوصية قبل بدء معالجة البيانات الشخصية، وليس بعد إطلاق المنتج فقط.

ملفات تعريف الارتباط والتتبّع عبر الإنترنت

لا يصنّف DPA الفلبيني كل ملف تعريف ارتباط تلقائيًا كأمر يستلزم الموافقة. والمقاربة السليمة هي تحديد:

• ما إذا كان ملف تعريف الارتباط أو أداة التتبّع يعالج معلومات شخصية
• ما المعلومات التي يجمعها
• لأي غرض
• من الذي يستلم المعلومات
• ما الأساس القانوني المنطبق
• ما إذا كانت التقنية تتعلق بمعلومات حسّاسة
• ما إذا كانت هناك معالجة عبر طرف ثالث
• ما متطلبات الشفافية والاختيار المنطبقة

وينبغي لمشغّلي المواقع الاهتمام بصفة خاصة بـ:

• ملفات تعريف الارتباط الإعلانية
• بكسلات إعادة الاستهداف
• التحليلات
• بكسلات وسائل التواصل الاجتماعي
• تتبّع التحويلات
• معرّفات الأجهزة
• التحليلات السلوكية
• تقنيات الجلسات
• حِزم تطوير الأطراف الثالثة (SDK)

وحين تكون الموافقة هي الأساس القانوني المنطبق، يمكن لـ ConsentX مساعدة المؤسسات على التحكم في وقت تشغيل التقنيات المحددة والاحتفاظ بسجلات خيارات المستخدمين.

التسويق المباشر

يمنح DPA أصحاب البيانات حقوقًا تتعلق بالتسويق المباشر. وينبغي للشركات التي تنفّذ حملات بالبريد الإلكتروني أو الرسائل النصية أو الإعلانات أو غير ذلك من التسويق المخصّص أن تراجع:

• مصدر بيانات التسويق
• الغرض الذي جُمعت من أجله
• الموافقة المنطبقة
• آليات الانسحاب
• إدارة التفضيلات
• الإفصاحات للأطراف الثالثة
• التصنيف السلوكي
• المنصات الإعلانية
• الاحتفاظ بالبيانات

ويشمل حق الاعتراض صراحةً المعالجة لأغراض التسويق المباشر.

الاحتفاظ بالبيانات

ينبغي للمؤسسات إرساء ممارسات احتفاظ تتناسب مع غرض المعالجة وطبيعتها. وينبغي أن يغطي برنامج الاحتفاظ:

• حسابات العملاء
• قواعد بيانات التسويق
• سجلات الموافقة
• تحليلات الموقع
• ملفات تعريف الارتباط ومعلومات التتبّع
• سجلات الدعم
• معلومات العاملين
• طلبات أصحاب البيانات
• سجلات الأمن
• البيانات الشخصية المحفوظة عند المزوّدين

ولا ينبغي الاحتفاظ بالبيانات إلى ما لا نهاية لمجرد توافر مساحة التخزين تقنيًا.

كما ينبغي تنسيق الاحتفاظ مع المتطلبات القانونية والتنظيمية والتعاقدية ومتطلبات التقاضي.

الأطفال وأصحاب البيانات في أوضاع هشّة

ينبغي للشركات التي تعالج معلومات عن الأطفال أو غيرهم من الأفراد في أوضاع هشّة تطبيق ضمانات خصوصية معزّزة. ويحدّد إطار التسجيل لدى NPC أصحاب البيانات في أوضاع هشّة — ومنهم القاصرون والمرضى وكبار السن وغيرهم في حالات قد يوجد فيها خلل في التوازن بين صاحب البيانات والمؤسسة — كعوامل خطر ذات صلة.

لذا ينبغي للمنتجات الموجَّهة إلى الأطفال تقييم:

• التحقق من العمر
• الإشعارات الملائمة
• متطلبات الموافقة
• مشاركة الوالدين حيث ينطبق ذلك
• تقليل البيانات
• الأمن
• الاحتفاظ
• التصنيف السلوكي
• الإفصاحات للأطراف الثالثة

قائمة تحقّق للامتثال لـ DPA الفلبيني

استخدم قائمة التحقّق هذه كنقطة انطلاق لبرنامج الامتثال في مؤسستك:

• حصر جميع المعلومات الشخصية المجموعة
• تحديد Sensitive Personal Information
• رسم خريطة أغراض المعالجة
• تحديد معيار المعالجة المشروعة المنطبق
• مراجعة آليات الموافقة
• الاحتفاظ بأدلة الموافقة
• نشر إشعارات خصوصية ملائمة
• تحديد أدوار PIC و PIP
• مراجعة عقود المعالجين
• تقييم ترتيبات مشاركة البيانات
• مراجعة المعالجة العابرة للحدود
• إرساء إجراءات لطلبات أصحاب البيانات
• الاستجابة لطلبات الوصول
• الاستجابة لطلبات التصحيح
• الاستجابة لطلبات المحو أو الحجب
• الاستجابة للاعتراضات
• دعم قابلية نقل البيانات
• مراجعة ممارسات التسويق المباشر
• تقييم القرارات الآلية
• مراجعة أنشطة التصنيف السلوكي
• تقييم متطلبات التسجيل لدى NPC
• الحفاظ على حكامة مسؤول حماية البيانات
• تنفيذ تدابير أمن معقولة
• إرساء إجراءات الاستجابة للانتهاكات
• تقييم شرط الإبلاغ خلال 72 ساعة
• مراجعة معالجة بيانات الأطفال والأشخاص في أوضاع هشّة
• فحص ملفات تعريف الارتباط وأدوات التتبّع
• حجب التقنيات المحددة قبل الموافقة المنطبقة
• المراجعة الدورية لتغييرات الموقع والمزوّدين