الامتثال لنظام PDPL السعودي مع ConsentX

ما هو نظام حماية البيانات الشخصية السعودي؟

يضع نظام حماية البيانات الشخصية السعودي، المعروف اختصاراً بـ PDPL، قواعد لحماية البيانات الشخصية وتنظيم معالجتها.

ويعرّف النظام البيانات الشخصية تعريفاً واسعاً يشمل المعلومات التي يمكن أن تؤدي إلى معرفة الفرد بشكل مباشر أو غير مباشر، ومنها الأسماء وأرقام الهوية والعناوين وأرقام التواصل وأرقام الرخص والأصول الشخصية وأرقام الحسابات البنكية والبطاقات الائتمانية والصور ومقاطع الفيديو وغيرها من المعلومات ذات الطابع الشخصي.

كما تُعرَّف المعالجة تعريفاً واسعاً يشمل أنشطة مثل:

• الجمع
• التسجيل
• التخزين
• التنظيم
• الهيكلة
• التعديل
• الاسترجاع
• الاستخدام
• الإفصاح
• النقل
• المشاركة
• الإتلاف

وهذا يعني أن على المنشآت مراعاة متطلبات النظام طوال دورة حياة البيانات الشخصية.

متى بدأ سريان النظام السعودي؟

بدأ سريان النظام السعودي في 14 سبتمبر 2023.

ثم استُكمل الإطار باللائحة التنفيذية والأدوات التنظيمية ذات الصلة. وتتعامل مواد الامتثال الحالية لدى سدايا مع النظام واللائحة التنفيذية باعتبارهما الإطار الأساسي الحاكم لحماية البيانات الشخصية في المملكة.

وعليه ينبغي للمنشآت تقييم امتثالها في ضوء النظام النافذ ومتطلبات اللائحة، لا التعامل معه باعتباره تنظيماً مستقبلياً.

هل يسري النظام السعودي على الشركات خارج المملكة؟

نعم، في حالات معينة.

تطبّق المادة الثانية النظام على معالجة البيانات الشخصية المتعلقة بأفراد مقيمين في المملكة متى تمت تلك المعالجة من جهة خارج المملكة.

وقد يكون ذلك مهماً بصفة خاصة للشركات الدولية التي تستخدم:

• منصات إدارة علاقات العملاء العالمية
• بنية سحابية دولية
• خدمات التحليلات
• منصات الإعلان
• أنظمة دعم العملاء العالمية
• منصات الموارد البشرية الدولية
• تطبيقات SaaS
• أنظمة أتمتة التسويق

لذا ينبغي للمنشآت خارج المملكة تقييم ما إذا كانت أنشطة معالجتها تقع ضمن النطاق المكاني للنظام.

ما البيانات الشخصية وفق النظام السعودي؟

تشمل البيانات الشخصية المعلومات التي تدل على الفرد تحديداً أو تجعل التعرف عليه ممكناً بصورة مباشرة أو غير مباشرة.

ومن أمثلتها:

• الاسم
• رقم الهوية الوطنية
• العنوان
• رقم الهاتف
• البريد الإلكتروني
• أرقام الرخص
• معلومات التسجيل
• معلومات الأصول الشخصية
• معلومات الحساب البنكي
• معلومات البطاقة الائتمانية
• الصور
• مقاطع الفيديو
• معلومات تعريفية أخرى

والنظام محايد تقنياً، فلا ينبغي افتراض أن قواعد البيانات التقليدية أو السجلات الورقية وحدها هي المشمولة.

ما البيانات الشخصية الحساسة؟

تحظى البيانات الشخصية الحساسة بحماية إضافية في إطار النظام السعودي.

وقد تشمل المعلومات الحساسة بيانات تتعلق بأمور مثل:

• الأصل العرقي أو الإثني
• المعتقدات الدينية أو الفكرية أو السياسية
• السوابق أو الإجراءات الجنائية
• البيانات الحيوية المستخدمة لتحديد الهوية
• البيانات الوراثية
• البيانات الصحية
• المعلومات المتعلقة بالنسب

ويفرض الإطار التنظيمي قيوداً إضافية على معالجة البيانات الشخصية الحساسة. فعلى سبيل المثال لا يجوز الاستناد إلى أساس المصلحة المشروعة في معالجتها.

الأسس النظامية للمعالجة في النظام السعودي

لا يشترط النظام السعودي الحصول على موافقة لكل نشاط معالجة.

فالمادة الخامسة ترسّخ الموافقة كقاعدة عامة، بينما تحدد المادة السادسة الحالات التي لا تخضع فيها المعالجة لذلك الشرط، ومنها:

• أن تحقق المعالجة مصلحة فعلية لصاحب البيانات مع تعذر التواصل معه أو صعوبته
• أن تكون المعالجة مطلوبة بموجب نظام آخر
• أن تكون المعالجة لازمة لتنفيذ اتفاق سابق يكون صاحب البيانات طرفاً فيه
• أن تعالج جهة عامة البيانات لأغراض أمنية أو قضائية
• أن تكون المعالجة لازمة لتحقيق مصالح مشروعة لجهة التحكم دون الإخلال بحقوق صاحب البيانات ومصالحه ودون معالجة بيانات حساسة

وتتضمن اللائحة التنفيذية ضوابط وشروطاً إضافية.

لذا ينبغي للمنشآت توثيق الأساس النظامي لكل نشاط معالجة بدلاً من افتراض أن كل معالجة يجب أن تستند إلى الموافقة.

الموافقة في النظام السعودي

متى كانت الموافقة هي الأساس النظامي المنطبق، وجب على المنشآت الحصول عليها وفق النظام واللائحة التنفيذية.

وتنص المادة الخامسة على أنه لا يجوز كأصل عام معالجة البيانات الشخصية أو تغيير الغرض منها دون موافقة صاحب البيانات إلا في الحالات التي يحددها النظام، كما ترسّخ إمكانية سحب الموافقة.

وينبغي تصميم إجراء الموافقة بحيث يمكن إثبات:

• من قدّم الموافقة
• متى قُدّمت الموافقة
• أغراض المعالجة التي عُرضت
• فئات البيانات المعنية
• الخيارات التي تم اختيارها
• إصدار الإشعار أو واجهة الموافقة الذي عُرض
• ما إذا كانت الموافقة قد سُحبت لاحقاً

وينبغي أن تكون الموافقة محددة بالمعالجة المعنية، وألا تُستخدم كتفويض عام لأغراض غير ذات صلة.

هل يجوز اشتراط الموافقة للحصول على الخدمة؟

ليس دائماً.

تنص المادة السابعة على أنه لا يجوز جعل الموافقة شرطاً لتقديم خدمة أو منفعة ما لم تكن تلك الخدمة أو المنفعة مرتبطة ارتباطاً مباشراً بالمعالجة التي تُطلب الموافقة عليها.

لذا ينبغي للمنشآت مراجعة ما إذا كانت طلبات الموافقة اختيارية فعلاً أم أنها مرتبطة على نحو غير سليم بخدمات لا علاقة لها بها.

سحب الموافقة

يجوز لأصحاب البيانات سحب موافقتهم في أي وقت متى كانت المعالجة قائمة على الموافقة، وفق الضوابط التنظيمية المنطبقة.

لذا ينبغي للمنشآت توفير آلية عملية تمكّن المستخدمين من:

• مراجعة خيارات موافقتهم
• سحب الموافقة
• تغيير الأغراض المختارة
• إيقاف الرسائل التسويقية المعنية
• تحديث التفضيلات

وينبغي أن ينعكس سحب الموافقة أيضاً على الأنظمة اللاحقة التي تعتمد عليها في استمرار المعالجة.

إشعارات الخصوصية في النظام السعودي

يجب على جهة التحكم إعداد سياسة خصوصية وإتاحتها لأصحاب البيانات قبل جمع بياناتهم الشخصية.

ويجب أن تتناول سياسة الخصوصية أموراً منها:

• الغرض من الجمع
• البيانات الشخصية التي تُجمع
• وسائل الجمع المستخدمة
• المعالجة
• التخزين
• الإتلاف
• حقوق أصحاب البيانات
• كيفية ممارسة تلك الحقوق

كما تُلزم المادة الثالثة عشرة المنشآت التي تجمع البيانات مباشرة من أصحابها بتقديم معلومات إضافية تشمل الأساس النظامي والغرض والبيانات الإلزامية والاختيارية والجهات المتلقية ذات الصلة وعمليات النقل الدولي والنتائج المحتملة لعدم تقديم البيانات والحقوق المنطبقة.

لذا ينبغي أن يكون إشعار الخصوصية معبراً عن عمليات المعالجة الفعلية للمنشأة لا مجرد بيان خصوصية عام.

تقليل البيانات وتحديد الغرض

يشترط النظام أن يكون جمع البيانات الشخصية مرتبطاً بأغراض جهة التحكم.

ويتطلب النظام أن يكون حجم البيانات الشخصية المجموعة مناسباً ومقتصراً على الحد الأدنى اللازم لتحقيق غرض الجمع. ومتى لم تعد البيانات لازمة لغرضها الأصلي وجب التوقف عن جمعها وإتلاف ما سبق جمعه وفق المتطلبات المنطبقة.

وينبغي للمنشآت أن تراجع بانتظام:

• ما الحقول التي تُجمع
• لماذا يُجمع كل حقل
• ما إذا كانت المعلومات الاختيارية لازمة فعلاً
• ما إذا كانت البيانات تُستخدم لغرض آخر
• ما إذا كانت مدد الاحتفاظ لا تزال مبررة
• ما إذا كان بالإمكان إخفاء هوية المعلومات أو ترميزها

دقة البيانات

يجب على جهات التحكم اتخاذ خطوات كافية للتحقق من أن البيانات الشخصية:

• دقيقة
• كاملة
• محدّثة
• ذات صلة بالغرض الذي جُمعت من أجله

كما يُلزم النظام جهات التحكم بإبلاغ الجهات الأخرى التي نُقلت إليها البيانات الشخصية بأي تصحيح أو استكمال أو تحديث، وفق المتطلبات المنطبقة.

حقوق أصحاب البيانات في النظام السعودي

يمنح النظام السعودي الأفراد عدداً من الحقوق المتعلقة ببياناتهم الشخصية.

الحق في العلم. للأفراد الحق في معرفة الأساس النظامي والغرض من جمع بياناتهم الشخصية.

الحق في الوصول. يجوز لصاحب البيانات طلب الاطلاع على بياناته الشخصية لدى جهة التحكم، وفق القيود المنطبقة.

الحق في الحصول على البيانات. يجوز للفرد طلب بياناته الشخصية بصيغة واضحة وقابلة للقراءة، وفق الضوابط المنطبقة.

الحق في التصحيح. يجوز للفرد طلب تصحيح بياناته الشخصية أو استكمالها أو تحديثها.

الحق في الإتلاف. يجوز للفرد طلب إتلاف بياناته الشخصية متى لم تعد لازمة، وفق الاستثناءات ومتطلبات الاحتفاظ المقررة نظاماً.

الحق في سحب الموافقة. متى كانت المعالجة قائمة على الموافقة جاز لصاحب البيانات سحبها.

الحق في التظلم. يجوز لصاحب البيانات تقديم شكوى إلى الجهة المختصة بشأن تطبيق النظام ولوائحه.

الحق في التعويض. يجوز لمن لحقه ضرر نتيجة مخالفات مستوفية للشروط المطالبة بتعويض متناسب عن الضرر المادي أو المعنوي أمام المحكمة المختصة.

الإفصاح عن البيانات في النظام السعودي

لا يجوز لجهة التحكم كأصل عام الإفصاح عن البيانات الشخصية إلا في الحالات التي يجيزها النظام.

ومن هذه الحالات:

• موافقة صاحب البيانات
• بيانات جُمعت من مصدر متاح للعموم
• متطلبات معينة لجهات عامة
• حالات تتعلق بالصحة العامة أو السلامة العامة
• حماية الحياة أو الصحة
• معالجة تحول دون التعرف على الأفراد
• حالات مصلحة مشروعة معينة لا تُعالج فيها بيانات حساسة

وتنطبق قيود إضافية حين يكون من شأن الإفصاح التأثير على الأمن الوطني أو العلاقات الدولية أو التحقيقات الجنائية أو سلامة الأفراد أو خصوصية شخص آخر أو الالتزامات المهنية أو غيرها من المصالح المحمية.

التسويق المباشر في النظام السعودي

يتضمن النظام السعودي متطلبات خاصة بالمواد الإعلانية والتوعوية المرسلة عبر وسائل الاتصال الشخصية.

وباستثناء بعض المواد التوعوية الصادرة عن جهات عامة، لا يجوز لجهات التحكم كأصل عام استخدام وسائل الاتصال الشخصية كالبريد الإلكتروني أو البريد العادي لإرسال مواد إعلانية أو توعوية دون موافقة مسبقة.

كما يجب على المرسل توفير آلية واضحة يطلب من خلالها المتلقي إيقاف تلك الرسائل.

وينص النظام بصورة مستقلة على جواز معالجة البيانات الشخصية لأغراض التسويق متى جُمعت مباشرة من صاحب البيانات وبعد الحصول على موافقته، وفق النظام واللوائح. وتُستثنى البيانات الحساسة من هذا الحكم التسويقي.

ملفات تعريف الارتباط وتقنيات التتبع

ينبغي مراعاة النظام السعودي عند استخدام المواقع والتطبيقات لملفات تعريف الارتباط والبكسلات وحزم التطوير وتقنيات الإعلان وأدوات التحليلات وغيرها من تقنيات التتبع التي تعالج بيانات شخصية.

وينبغي للمنشآت تقييم:

• ما إذا كان الملف أو أداة التتبع تعالج بيانات شخصية
• ما المعلومات التي تُجمع
• الغرض من المعالجة
• الأساس النظامي المنطبق
• ما إذا كانت الموافقة مطلوبة
• ما إذا كانت أطراف ثالثة تتلقى المعلومات
• ما إذا كانت المعلومات تغادر المملكة
• ما إذا كانت التقنية تُستخدم للتسويق أو التصنيف
• مدة الاحتفاظ بالمعلومات

ولا تكفي لافتة ملفات تعريف الارتباط وحدها لتحقيق امتثال كامل للنظام. وينبغي للمنشآت الجمع بين إدارة الموافقة وإشعارات الخصوصية وحوكمة البيانات وإدارة الموردين وضوابط الأمن وإجراءات حقوق أصحاب البيانات.

مسؤول حماية البيانات في النظام السعودي

ينص النظام السعودي ولائحته التنفيذية على تعيين مسؤول لحماية البيانات الشخصية في حالات محددة.

وقد أصدرت سدايا قواعد مخصصة لتعيين مسؤولي حماية البيانات الشخصية. وينبغي تقييم متطلبات التعيين بناءً على أنشطة المنشأة والحالات التي تحددها اللائحة التنفيذية.

وحيث يكون التعيين لازماً، يمكن للمسؤول أن يدعم أنشطة مثل:

• مراقبة الامتثال
• تقديم المشورة بشأن متطلبات الخصوصية
• دعم سياسات حماية البيانات
• متابعة حقوق أصحاب البيانات
• دعم تقييمات الأثر
• التنسيق مع سدايا
• دعم إجراءات الاستجابة للانتهاكات
• متابعة سجلات المعالجة

ولا ينبغي افتراض أن جميع جهات التحكم تخضع للمتطلب ذاته.

تقييمات أثر حماية البيانات

يُلزم النظام السعودي جهات التحكم بإجراء تقييم لأثر معالجة البيانات الشخصية المرتبطة بالمنتجات أو الخدمات، بحسب طبيعة نشاط الجهة والمتطلبات التنظيمية المنطبقة.

وينبغي أن يراعي التقييم عوامل مثل:

• الغرض من المعالجة
• نوع البيانات الشخصية وحجمها
• فئات أصحاب البيانات
• وسائل المعالجة
• المخاطر المحتملة
• تدابير الأمن
• الاحتفاظ بالبيانات
• الإفصاح للأطراف الثالثة
• النقل الدولي
• تدابير الحد من المخاطر المحددة

وينبغي للمنشآت دمج تقييمات أثر الخصوصية في تطوير المنتجات والخدمات بدلاً من اعتبارها إجراءً لاحقاً فقط.

أمن البيانات الشخصية

يجب على جهات التحكم تطبيق تدابير تنظيمية وإدارية وتقنية لحماية البيانات الشخصية، بما في ذلك أثناء النقل.

وتشير أدلة سدايا الحالية إلى مبادئ منها السلامة والسرية، بما يستلزم ضوابط أمنية مناسبة لحماية البيانات الشخصية من الفقد أو الإتلاف أو التلف.

وقد تشمل تدابير الأمن:

• ضبط الوصول
• التحقق من الهوية
• التشفير
• المراقبة
• التخزين الآمن
• إدارة الثغرات
• الاستجابة للحوادث
• ضوابط سرية الموظفين
• تقييم أمن الموردين
• إجراءات النسخ الاحتياطي والاستعادة
• تقليل البيانات
• الحذف الآمن

وينبغي أن تعكس الضوابط المناسبة طبيعة المعالجة ومخاطرها.

الإبلاغ عن انتهاكات البيانات الشخصية

يجب على جهات التحكم إبلاغ الجهة المختصة عند علمها بأي انتهاك أو ضرر أو وصول غير نظامي للبيانات الشخصية، وفق المتطلبات التنظيمية المنطبقة.

كما يجب إبلاغ أصحاب البيانات المتأثرين متى كان من شأن الحادثة الإضرار ببياناتهم أو المساس بحقوقهم ومصالحهم.

وينبغي للمنشآت الاحتفاظ بإجراء موثق للاستجابة يغطي:

• الاكتشاف
• الاحتواء
• التقييم الأولي
• تحليل المخاطر
• التوثيق
• الإبلاغ التنظيمي
• إبلاغ أصحاب البيانات عند اللزوم
• المعالجة والتصحيح
• المراجعة بعد الحادثة

وينبغي التحقق من المدد والحدود المنطبقة للإبلاغ في ضوء اللائحة التنفيذية النافذة وإجراءات سدايا.

سجلات أنشطة المعالجة

يجب على جهات التحكم الاحتفاظ بسجلات لأنشطة معالجة البيانات الشخصية وفق النظام واللائحة التنفيذية.

وتشير أدلة سدايا الحالية إلى وجوب الاحتفاظ بسجلات أنشطة المعالجة لمدة خمس سنوات بعد انتهاء كل نشاط معالجة.

وينبغي أن تتضمن السجلات معلومات مثل:

• بيانات التواصل مع جهة التحكم
• أغراض المعالجة
• فئات أصحاب البيانات
• الجهات التي أُفصح لها عن البيانات أو سيتم الإفصاح لها
• عمليات النقل الدولي
• مدة الاحتفاظ المتوقعة

وينبغي أن تكون هذه السجلات متاحة للجهة المختصة عند طلبها.

السجل الوطني لجهات التحكم

تدير سدايا السجل الوطني لجهات التحكم عبر المنصة الوطنية لحوكمة البيانات.

وتحدد قواعد التسجيل الحالية فئات جهات التحكم الملزمة بالتسجيل، ومنها:

• الجهات العامة
• جهات التحكم التي يقوم نشاطها الرئيس على معالجة البيانات الشخصية
• جهات التحكم التي تعالج بيانات حساسة
• الأفراد الذين يعالجون بيانات شخصية لأغراض تتجاوز الاستخدام الشخصي أو العائلي

وتوضح سدايا أن الغرض من السجل الوطني هو دعم الإشراف على جهات التحكم ومتابعة التزامها بالنظام واللائحة التنفيذية. كما توفر سدايا إجراءات تسجيل للمنشآت خارج المملكة.

جهات التحكم وجهات المعالجة

يفرّق النظام السعودي بين مسؤوليات الجهات التي تحدد كيفية معالجة البيانات الشخصية والغرض منها، والجهات التي تعالجها نيابة عنها.

ويجب على جهات التحكم اختيار جهات معالجة تقدم الضمانات اللازمة لتطبيق النظام واللائحة التنفيذية، ومتابعة التزامها.

لذا ينبغي للمنشآت إجراء العناية الواجبة المناسبة والتأكد من أن العقود تعالج:

• تعليمات المعالجة
• السرية
• الأمن
• التعاقد من الباطن
• الاحتفاظ بالبيانات
• حذف البيانات
• طلبات أصحاب البيانات
• إدارة الانتهاكات
• النقل الدولي
• التزامات التدقيق والامتثال

النقل الدولي للبيانات

يتضمن النظام السعودي أحكاماً خاصة تنظم نقل البيانات الشخصية والإفصاح عنها خارج المملكة.

وتجيز المادة التاسعة والعشرون النقل أو الإفصاح خارج المملكة في حالات محددة وتفرض شروطاً تتعلق بـ:

• الأمن الوطني
• المصالح الحيوية للمملكة
• الحماية الكافية
• تقليل البيانات

كما ينص النظام على استثناء لحالات الضرورة القصوى المتعلقة بحياة صاحب البيانات أو مصالحه الحيوية أو بالوقاية من مرض أو فحصه أو علاجه.

وتحدد لائحة نقل البيانات الشخصية خارج المملكة، بوصفها أداة مستقلة، متطلبات وآليات إضافية للنقل الدولي. وتعد سدايا هذه اللائحة جزءاً من إطار حماية البيانات السعودي الحالي. لذا ينبغي للمنشآت التي تستخدم مزودي خدمات سحابية دوليين أو منصات تحليلات أو أنظمة إدارة علاقات العملاء أو خدمات إعلانية أو بنية SaaS عالمية أن تحصر تدفقات بياناتها الدولية.

الاحتفاظ بالبيانات وإتلافها

لا ينبغي للمنشآت الاحتفاظ بالبيانات الشخصية إلى أجل غير مسمى.

ويُلزم النظام جهات التحكم بالتوقف عن جمع البيانات الشخصية وإتلاف ما سبق جمعه متى لم تعد لازمة للغرض الذي جُمعت من أجله، وفق المتطلبات والاستثناءات المنطبقة.

وينبغي للمنشآت وضع جداول احتفاظ تشمل:

• معلومات العملاء
• بيانات الموظفين
• البيانات التسويقية
• سجلات الموافقة
• معلومات التحليلات
• سجلات الدعم
• السجلات المالية
• السجلات القانونية
• طلبات أصحاب البيانات
• سجلات المعالجة

كما تنشر سدايا أدلة تتعلق بإتلاف البيانات الشخصية وإخفاء هويتها وترميزها.

البيانات الصحية والبيانات الائتمانية

تخضع بعض فئات البيانات الشخصية لمعالجة تنظيمية إضافية.

وينص النظام على ضوابط إضافية للبيانات الصحية، منها قصر وصول الموظفين والعاملين إليها ومعالجتهم لها على الحد الأدنى اللازم لتقديم الخدمات الصحية أو برامج التأمين الصحي.

كما يتضمن النظام متطلبات إضافية للبيانات الائتمانية، منها متطلبات تتعلق بالموافقة الصريحة والإشعار في حالات محددة.

لذا ينبغي للمنشآت العاملة في الرعاية الصحية والخدمات المالية والتأمين والائتمان والقطاعات ذات الصلة النظر إلى النظام جنباً إلى جنب مع المتطلبات القطاعية السعودية.

من يتولى تطبيق النظام السعودي؟

تتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) الإشراف على تطبيق النظام وتعديلاته، وتدير المنصة الوطنية لحوكمة البيانات.

وتوفر سدايا للمنشآت:

• نص النظام
• اللائحة التنفيذية
• لوائح النقل الدولي
• أدلة الامتثال
• تسجيل جهات التحكم
• أدلة مسؤول حماية البيانات
• أدلة سجلات المعالجة
• خدمات متعلقة بالانتهاكات
• موارد حماية البيانات

ويعرّف مركز المعرفة الحالي لدى سدايا النظام واللائحة التنفيذية ولائحة النقل الدولي بوصفها العناصر الأساسية لإطار حماية البيانات في المملكة.

قائمة التحقق من الامتثال للنظام السعودي

ينبغي للمنشآت العاملة في المملكة مراعاة ما يلي.

• تحديد ما إذا كان النظام ينطبق
• حصر عمليات معالجة البيانات الشخصية
• تحديد جهات التحكم وجهات المعالجة
• توثيق أغراض المعالجة
• تحديد الأساس النظامي المنطبق
• مراجعة آليات الموافقة
• الحصول على موافقة صريحة عند اللزوم
• توفير سياسة خصوصية مناسبة
• تقديم معلومات الجمع المطلوبة
• تحديد البيانات الشخصية الحساسة
• مراجعة ممارسات التسويق المباشر
• وضع إجراءات لحقوق أصحاب البيانات
• توفير آليات سحب الموافقة
• مراجعة مدد الاحتفاظ بالبيانات
• تطبيق إجراءات الإتلاف الآمن
• الاحتفاظ بسجلات أنشطة المعالجة
• تقييم متطلبات مسؤول حماية البيانات
• تقييم متطلبات السجل الوطني
• إجراء تقييمات الأثر المطلوبة
• تطبيق ضوابط الأمن
• وضع إجراءات الاستجابة للانتهاكات
• مراجعة عمليات النقل الدولي للبيانات
• تطبيق ضمانات النقل المنطبقة
• مراجعة عقود جهات المعالجة
• فحص المواقع بحثاً عن ملفات تعريف الارتباط وأدوات التتبع
• تحديد تقنيات التسويق والتحليلات
• منع عمل التقنيات المعنية قبل الحصول على الموافقة المطلوبة
• الاحتفاظ بسجلات موافقة قابلة للتدقيق