ما هو الـ Data Principal بموجب DPDPA الهندي؟
تعرّف على من يُعدّ Data Principal بموجب قانون DPDPA الهندي، والحقوق التي يتمتع بها، وكيف يعمل سحب الموافقة، وكيف يختلف عن Data Subject في GDPR.
ببساطة، إذا جمعت مؤسسة بيانات شخصية عنك أو عالجتها، فأنت الـ Data Principal.
الـ DPDPA هو قانون حماية البيانات العام في الهند. وهو ينظّم كيفية تعامل المؤسسات مع البيانات الشخصية الرقمية، والـ Data Principal هو الشخص الذي وُجدت هذه الالتزامات لحمايته.
فمثلاً، عندما تنشئ حساباً في متجر إلكتروني وتُدخل اسمك وبريدك الإلكتروني وعنوان التسليم، تكون أنت الـ Data Principal، ويكون المتجر هو الـ Data Fiduciary الذي يقرّر لماذا وكيف تُستخدم تلك المعلومات.
وفي حالة الطفل، يشمل المصطلح أيضاً أحد والديه أو الوصي القانوني عليه. وفي حالة الشخص ذي الإعاقة، يشمل الوصي القانوني الذي يتصرف نيابةً عنه.
ويتمتع الـ Data Principals بحقوق بموجب DPDPA، ويمكنهم التحكم في بياناتهم الشخصية وفقاً للقانون، بما في ذلك الحقوق المتعلقة بالاطلاع على المعلومات والتصحيح والمحو ومعالجة الشكاوى والتسمية.
ماذا يعني مصطلح Data Principal؟
الـ Data Principal هو الشخص الذي تُعالَج بياناته الشخصية.
على سبيل المثال:
- عميل يجمع متجر إلكتروني اسمه وبريده الإلكتروني
- مستخدم ينشئ حساباً على منصة SaaS
- مريض تعالج خدمة رعاية صحية إلكترونية معلوماته الرقمية
- موظف تُعالَج معلوماته الشخصية رقمياً
- زائر موقع تُجمع بياناته الشخصية عبر نموذج إلكتروني
وفي كل حالة، قد يكون الفرد الذي تتعلق به البيانات هو الـ Data Principal.
من هو الـ Data Principal بموجب DPDPA؟
الـ Data Principal هو عموماً الفرد الذي تُجمع بياناته الشخصية أو تُخزَّن أو تُستخدم أو تُشارَك أو تُعالَج بأي طريقة أخرى.
لنأخذ مثالاً موقعاً للتجارة الإلكترونية:
العميل
Data Principalاسم العميل وعنوانه ورقم هاتفه وبياناته الشخصية الأخرى تتعلق بهذا الفرد.
الشركة
Data Fiduciaryتحدد الشركة لماذا وكيف تُعالَج البيانات الشخصية.
مزوّد الخدمة
Data Processorقد يعالج المزوّد البيانات الشخصية نيابةً عن الـ Data Fiduciary.
وفهم هذه الأدوار مهم لأن لكل منها وضعاً مختلفاً بموجب DPDPA.
الـ Data Principal مقابل الـ Data Fiduciary
الـ Data Principal هو الفرد الذي تدور حوله البيانات الشخصية.
أما الـ Data Fiduciary فهو الشخص أو المؤسسة التي تحدد غرض معالجة تلك البيانات الشخصية ووسائلها.
تُوجَّه طلبات الحقوق إلى الـ Data Fiduciary، الذي يظل مسؤولاً عن المعالجة التي يجريها الـ Data Processor التابع له.
على سبيل المثال:
| الدور | مثال |
|---|---|
| Data Principal | عميل يستخدم موقعاً للتسوق الإلكتروني |
| Data Fiduciary | الشركة التي تُشغّل الموقع |
| Data Processor | مزوّد سحابي يعالج البيانات لصالح الشركة |
الـ Data Principal هو الشخص الذي تُحمى مصالحه وحقوقه في الخصوصية، بينما يتحمل الـ Data Fiduciary عموماً مسؤولية الوفاء بالالتزامات المنطبقة على المعالجة.
لماذا تهم خصوصية الـ Data Principal بموجب DPDPA
خلف كل سجل تحتفظ به المؤسسة إنسان. والـ Data Principal هو ذلك الإنسان، وطريقة جمع بياناته واستخدامها ومشاركتها هي في الواقع جوهر خصوصيته.
ومعرفة من هو الـ Data Principal وما الذي يحق له تغيّر طريقة تعامل الشركة اليومي مع البيانات الشخصية. وهذا يدعم:
- تحكّم الأفراد في بياناتهم الشخصية
- الشفافية بشأن ما يُجمع ولماذا
- معالجة مسؤولة ومحدودة بالغرض
- خيارات حقيقية لا مجرد إجراءات شكلية
- مسارات واضحة لممارسة الحقوق
- أساس عملي للامتثال لـ DPDPA
وبهذه الطريقة تصبح الخصوصية أسهل في الشرح للـ Data Principals وأسهل في الإثبات، لأن العمليات التي تحترم خيارات الناس هي نفسها التي تسجّلها.
الأساس القانوني: ماذا يقول DPDP Act
يعرّف Section 2(j) من Digital Personal Data Protection Act, 2023 الـ Data Principal بأنه الفرد الذي تتعلق به البيانات الشخصية. وإذا كان هذا الفرد طفلاً، يشمل المصطلح والديه أو وليّه الشرعي؛ وإذا كان شخصاً ذا إعاقة، يشمل وليّه الشرعي الذي يتصرف نيابةً عنه.
ويمنح القانون الـ Data Principal حقوقه في Sections 11 إلى 14 (الوصول إلى المعلومات، والتصحيح والمحو، ومعالجة الشكاوى، وتعيين من ينوب عنه)، ويتيح Section 6 سحب الموافقة بالسهولة نفسها التي مُنحت بها.
ويحدد DPDPA أيضاً في Section 15 واجبات على الـ Data Principal؛ فمثلاً لا يجوز له انتحال شخصية شخص آخر، أو إخفاء معلومات جوهرية عند تقديم بيانات شخصية لوثيقة رسمية، أو تقديم شكوى كاذبة أو كيدية، وعليه ألا يقدّم إلا معلومات يمكن التحقق من صحتها عند طلب التصحيح أو المحو.
وتقع الالتزامات التي تجعل هذه الحقوق فعلية على عاتق الـ Data Fiduciary، ويمكن لـ Data Protection Board of India التحقيق في مخالفات القانون.
حقوق الـ Data Principal
يمنح DPDPA الـ Data Principals حقوقاً تتعلق ببياناتهم الشخصية.
وبحسب الأحكام المنطبقة، تشمل هذه الحقوق:
الحق في الاطلاع على المعلومات
يمكن للـ Data Principal طلب معلومات معيّنة عن البيانات الشخصية التي تُعالَج وعن أنشطة المعالجة المرتبطة بها، على النحو المنصوص عليه في DPDPA.
ويساعد ذلك الأفراد على فهم كيفية التعامل مع بياناتهم الشخصية.
الحق في التصحيح والمحو
يجوز للـ Data Principal طلب تصحيح البيانات الشخصية أو إكمالها أو تحديثها أو محوها، مع مراعاة المتطلبات والاستثناءات المنطبقة.
وينبغي أن تكون لدى المؤسسات عمليات لاستقبال هذه الطلبات والرد عليها.
الحق في معالجة الشكاوى
للـ Data Principal الحق في الوصول إلى آلية لمعالجة الشكاوى يوفّرها الـ Data Fiduciary أو الـ Consent Manager.
ويتيح ذلك مساراً لإثارة المخاوف بشأن معالجة البيانات الشخصية أو التعامل مع طلبات الحقوق.
الحق في التسمية
يمكن للـ Data Principal تسمية فرد آخر لممارسة الحقوق المنطبقة في ظروف معيّنة يحددها DPDPA.
الحق في سحب الموافقة
حين تُعالَج البيانات الشخصية استناداً إلى الموافقة، يمكن للـ Data Principal سحب تلك الموافقة.
ويجب أن يكون السحب بسهولة منح الموافقة نفسها.
الموافقة وكيفية سحبها
الموافقة من الطرق الأساسية التي يمكن بموجبها معالجة البيانات الشخصية في ظل DPDPA.
وحين يُستند إليها، ينبغي أن تستوفي المتطلبات المنطبقة في القانون، ومنها أن تكون:
- حرة
- محددة
- مبنية على معرفة كافية
- غير مشروطة
- لا لبس فيها
- ممنوحة بإجراء إيجابي واضح
ينبغي أن يفهم الـ Data Principal الغرض الذي تُطلب من أجله الموافقة.
وينبغي أن تتيح عملية الموافقة القوية ما يلي:
- الإبلاغ
- السؤال
- الالتقاط
- التسجيل
- التنفيذ
- السحب
ويساعد ذلك على ربط قرار المستخدم بالمعالجة الفعلية للبيانات الشخصية.
كيف يمكن للـ Data Principal سحب موافقته؟
حين تستند المعالجة إلى الموافقة، ينبغي أن تتاح للـ Data Principal آلية فعّالة لسحب تلك الموافقة.
ولا ينبغي للشركة أن تجعل السحب صعباً بلا داعٍ أو أكثر تعقيداً بصورة جوهرية من منح الموافقة.
وبعد سحب الموافقة، ينبغي للـ Data Fiduciary اتخاذ الخطوات اللازمة لوقف معالجة البيانات الشخصية حيثما انطبق ذلك، وإدارة نتائج السحب وفقاً لـ DPDPA وسائر المتطلبات المنطبقة.
وبالنسبة إلى المواقع والتطبيقات، قد يشمل سحب الموافقة تحديث تفضيلات الموافقة والتأكد من أن الأنظمة المرتبطة تحترم الاختيار المعدَّل.
الأطفال والأشخاص ذوو الإعاقة
الـ Data Principal وبيانات الأطفال
يوفّر DPDPA حماية إضافية للبيانات الشخصية للأطفال.
والطفل يعني الفرد الذي لم يُكمل الثامنة عشرة من عمره.
كما يضع DPDPA متطلبات محددة بشأن معالجة البيانات الشخصية للأطفال، بما في ذلك متطلبات موافقة الوالدين أو الوصي القانوني في الحالات المنطبقة وقيود تتعلق بأشكال معيّنة من المعالجة.
وينبغي للشركات التي تعالج بيانات شخصية لأطفال مراجعة المتطلبات المحددة المنطبقة على خدماتها.
الـ Data Principal والأشخاص ذوو الإعاقة
يتناول التعريف القانوني للـ Data Principal أيضاً الحالات التي تشمل شخصاً ذا إعاقة.
ويضمن ذلك أن يعترف إطار DPDPA بالحالات التي قد يلزم فيها ممارسة الحقوق المتعلقة بالبيانات الشخصية والإجراءات المرتبطة بالموافقة عبر ممثل قانوني مفوَّض.
كيف يمارس الـ Data Principal حقوقه
ينبغي للشركات توفير عمليات ميسّرة تتيح للـ Data Principals ممارسة الحقوق المنطبقة.
وقد يشمل سير العمل المعتاد ما يلي:
التقديم
تقديم طلب عبر آلية الخصوصية أو الشكاوى المتاحة.
التحقق
التحقق من الطلب حيثما كان التحقق ضرورياً ومناسباً.
التحديد
تحديد البيانات الشخصية ونشاط المعالجة ذي الصلة.
التقييم
تقييم الطلب في ضوء المتطلبات القانونية المنطبقة.
التنفيذ
اتخاذ الإجراء المطلوب، مثل تقديم المعلومات أو تصحيح البيانات أو محوها حيثما انطبق ذلك.
التسجيل
تسجيل النتيجة والرد عبر العملية المناسبة.
ويتوقف الإجراء الدقيق على نوع الطلب وعلى التزامات المؤسسة بموجب DPDPA.
الـ Data Principal مقابل Data Subject، والـ Consent Manager
يُستخدم مصطلح Data Principal في قانون DPDPA الهندي.
أما مصطلح Data Subject (صاحب البيانات) فيُستخدم عادةً في أطر الخصوصية مثل GDPR.
ويشير المصطلحان عموماً إلى الفرد الذي تتعلق به البيانات الشخصية، لكنهما ينتميان إلى إطارين قانونيين مختلفين.
| DPDPA | GDPR |
|---|---|
| Data Principal | Data Subject |
| Data Fiduciary | Data Controller |
| Data Processor | Data Processor |
| Consent Manager | لا يوجد مقابل مباشر |
وينبغي للشركات العاملة دولياً استخدام المصطلحات والمتطلبات المنطبقة على كل إطار من أطر الخصوصية.
الـ Data Principal والـ Consent Manager
يعرّف DPDPA الـ Consent Manager بأنه شخص مسجَّل يعمل كنقطة اتصال واحدة تتيح للـ Data Principal منح موافقته وإدارتها ومراجعتها وسحبها عبر منصة ميسّرة وشفافة وقابلة للتشغيل البيني.
وقد صُمّم هذا النموذج لمنح الـ Data Principals تحكماً أكبر في قراراتهم المتعلقة بالموافقة.
وينبغي للشركات التمييز بين المفهوم القانوني للـ Consent Manager وبين برامج إدارة الموافقة العامة أو شريط الموافقة على ملفات تعريف الارتباط.
قائمة التحقق من الامتثال للشركات
قد تعالج المواقع والتطبيقات بيانات شخصية من خلال:
- تسجيل الحسابات
- نماذج التواصل
- الاشتراك في النشرات البريدية
- عمليات الشراء والدفع
- أنظمة دعم العملاء
- استخدام تطبيقات الهاتف
- ملفات تعريف الارتباط والمعرّفات الإلكترونية
- أدوات التحليلات
- تقنيات الإعلان
- خدمات أخرى تابعة لأطراف ثالثة
وينبغي للشركات معرفة أين تُعالَج هذه البيانات حتى تتمكن من الرد بفاعلية عندما يمارس الـ Data Principal حقاً منطبقاً.
فلا يمكن التعامل مع طلب خصوصية بفاعلية إذا كانت المؤسسة لا تعرف أين تُخزَّن البيانات الشخصية المعنية أو أي الأنظمة ومزوّدي الخدمات يعالجونها.
ينبغي للشركات التي تعالج بيانات شخصية أن تنظر فيما إذا كان بوسعها:
- تحديد الـ Data Principals المعنيين
- تقديم إشعارات واضحة للخصوصية والموافقة
- توضيح أغراض المعالجة المنطبقة
- الحصول على موافقة صحيحة عند الاقتضاء
- تسجيل قرارات الموافقة
- دعم سحب الموافقة
- تحديد موقع البيانات الشخصية المعنية
- تصحيح البيانات أو تحديثها عند الحاجة
- محو البيانات حيثما انطبق ذلك
- توفير آليات لمعالجة الشكاوى
- التعامل مع البيانات الشخصية للأطفال على النحو المناسب
- إدارة الطلبات المقدَّمة عبر الممثلين المنطبقين
- الاحتفاظ بسجلات الطلبات والردود
- ضمان احترام الأنظمة المرتبطة لاختيارات الخصوصية المحدَّثة
كيف يساعدك ConsentX على احترام حقوق الـ Data Principal
يمنح ConsentX كل Data Principal طريقة واضحة لمنح الموافقة ومراجعتها وسحبها، ويمنح فريقك سجلاً يمكن تقديمه في أي تدقيق.
موافقة لكل غرض
اطلب موافقة مستقلة لكل غرض.
إشعارات واضحة
اعرض إشعارات بلغة بسيطة قبل جمع البيانات.
إيصالات الموافقة
احفظ سجلاً مقاوماً للتلاعب لكل قرار.
السحب
دع المستخدمين يغيّرون اختيارهم بالسهولة نفسها التي منحوه بها.
اكتشاف ملفات تعريف الارتباط والحظر المسبق
اعثر على أدوات التتبع وأبقِ غير الضرورية منها متوقفة حتى يوافق المستخدم.
مسارات عمل طلبات الحقوق
استقبل طلبات الوصول والتصحيح والمحو وتحقق منها وأجب عنها.
التحقق من العمر وموافقة الوالدين
ادعم القواعد الخاصة ببيانات الأطفال.
أدلة جاهزة للتدقيق
احتفظ بإثبات الموافقات والطلبات في مكان واحد.
يُحفظ كل قرار في سجلات الموافقة لديك، مدعوماً بإيصالات موافقة مقاومة للتلاعب يمكنك تصديرها لأي تدقيق. وعلى موقعك، يُظهر اكتشاف ملفات تعريف الارتباط وأدوات التتبع العلامات التي تعمل، ويُبقي الحظر المسبق العلامات غير الضرورية متوقفة حتى يوافق المستخدم. وتتيح لك قواعد المناطق عرض تجربة خاصة بالـ DPDPA على الزوار من الهند، وتشرح صفحتنا حول الموافقة للزوار من الهند كيف يعمل الإشعار والموافقة والسحب.
وهذا يساعد المؤسسات على الانتقال من سياسة خصوصية جامدة إلى أنظمة تقنية قادرة على التقاط اختيارات الخصوصية وإدارتها وإثباتها.
ابدأ مجاناً أو احجز عرضاً توضيحياً لتراه عملياً.
طبّق حقوق الـ Data Principal عملياً
يساعد ConsentX الشركات على جمع موافقة حقيقية، وإدارة تفضيلات الخصوصية، ودعم السحب، والاحتفاظ بأدلة على اختيارات الـ Data Principals. ابدأ مجاناً مع ConsentX.
مصطلحات ذات صلة
الـ Data Fiduciary هو الشخص أو المؤسسة التي تحدد غرض معالجة البيانات الشخصية ووسائلها.
الـ Data Processor يعالج البيانات الشخصية نيابةً عن Data Fiduciary.
إطار حماية البيانات في الهند الذي ينظّم المعالجة المشمولة للبيانات الشخصية الرقمية.
منصة مسجَّلة يستطيع من خلالها الـ Data Principal منح موافقته وإدارتها ومراجعتها وسحبها.
برنامج يساعد المؤسسات على جمع اختيارات الخصوصية والموافقة وإدارتها وفرض تنفيذها وتوثيقها.
إيصال الموافقة سجل لقرار المستخدم بشأن الموافقة وما يتصل به من معلومات.
حقوق متاحة للأفراد بموجب DPDPA، تشمل الحقوق المنطبقة المتعلقة بالمعلومات والتصحيح والمحو ومعالجة الشكاوى والتسمية.
تساعد المواقع على جمع إذن المستخدم بشأن ملفات تعريف الارتباط وتقنيات التتبّع المعنية وإدارته.
الحجب المسبق هو العملية التقنية التي تُبقي أدوات التتبّع غير الضرورية المعنية معطّلة إلى أن يتم الحصول على الموافقة المطلوبة.