قوانين خصوصية البيانات في البر الرئيسي لدبي: دليل شامل

من أين تبدأ إذا كنت تحتفظ ببيانات شخصية في دبي

تكتشف معظم شركات البر الرئيسي في دبي التزاماتها في حماية البيانات في لحظة حرجة: يسأل عميل عما تحتفظ به عنه، أو يرسل عميل مؤسسي ملحق معالجة بيانات للتوقيع، أو تضيع حاسوب محمول. وعندئذ تكون الأسئلة عملية. ما القانون الذي يسري علينا؟ ما الذي كان يجب أن نكون قد دوّناه سلفاً؟ ومن يتعين علينا إخطاره؟

بالنسبة لشركة مرخصة من دائرة الاقتصاد والسياحة وتعمل في البر الرئيسي لدبي، نقطة البداية هي قانون حماية البيانات الشخصية الاتحادي، المرسوم بقانون اتحادي رقم (45) لسنة 2021. وهو يسري على البيانات الشخصية — أي المعلومات المتعلقة بشخص محدد أو قابل للتحديد — ويحكم كلاً من المؤسسات التي تقرر سبب استخدام البيانات وكيفيته وتلك التي تعالجها فقط بناءً على تعليمات الغير. ويحمل الدوران التزامات مختلفة، ومن ثم فإن تحديد أيها تقع فيه لكل نشاط هو أول عمل مطلوب، لا إجراء شكلي.

البر الرئيسي ومركز دبي المالي العالمي وسوق أبوظبي العالمي ليست النظام نفسه

القانون الاتحادي هو المرجع لعمليات البر الرئيسي. ولكل من مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) نظامه الخاص لحماية البيانات، بمتطلباته الخاصة للتسجيل والإخطار وإشرافه الخاص داخل المركز. فشركة البر الرئيسي في دبي التي لها شركة تابعة في مركز دبي المالي العالمي تدير إطارين اثنين، ونقل سجلات الموظفين أو العملاء بينهما نقلٌ يحتاج إلى أساس وسجل، وإن كان الكيانان يقعان في الإمارة نفسها ويتشاركان المساهم ذاته.

وتعلو فوق ذلك القواعد القطاعية. فتفرض الجهات التنظيمية للصحة والقطاع المالي وقواعد الاتصالات متطلباتها الخاصة للسرية وحفظ السجلات، وحيث تكون القاعدة القطاعية أشد، فهي التي ستُقرأ عليك في التفتيش.

اعرف ما تحتفظ به قبل أن تكتب سياسة

سياسة الخصوصية المكتوبة قبل أن ينظر أحد في الأنظمة مستندٌ يصف شركة وهمية. والترتيب الناجع هو: الجرد أولاً، ثم القرارات، ثم الوثائق.

وينبغي أن يشمل الجرد، لكل فئة من البيانات: ما يُجمع، ومن من، ولماذا، وفي أي نظام يقبع، ومن داخل المنشأة يمكنه الاطلاع عليه، وأي الموردين الخارجيين يتعامل معه، وهل يغادر دولة الإمارات، وكم يُحتفظ به. وفي معظم المنشآت الصغيرة والمتوسطة يكشف هذا التمرين عن جدول بيانات للرواتب، ونظام لإدارة علاقات العملاء (CRM)، ومنصة تسويق، ونظام كاميرات مراقبة، وصندوق بريد للتوظيف لم يكن أحد قد فكر فيها بوصفها حيازات بيانات أصلاً.

استند إلى سبب لكل استخدام

يحتاج كل استخدام للبيانات الشخصية إلى أساس مشروع، والموافقة ليست سوى واحد منها. وحيث يُعتمد على الموافقة، يجب أن تكون خياراً حقيقياً — حرة ومحددة وقابلة للسحب — مما يستبعد الخانات المعلمة مسبقاً والأذونات المجمعة التي تجعل الخدمة مشروطة بالتسويق. وحيث تكون المعالجة ضرورية لتنفيذ عقد أو للامتثال لالتزام قانوني أو لأي أساس آخر يعترف به القانون، فاذكر ذلك داخلياً وسجله، حتى لا يؤدي سحب الموافقة إلى تعطيل معالجة لم تكن معتمدة على الموافقة أصلاً.

والفئات الحساسة — البيانات الصحية والبيانات الحيوية وما شابه — تستوجب معاملة أشد. فإذا كنت تشغّل نظام حضور بالبصمة أو تخزن شهادات طبية، فعامل ذلك بوصفه قراراً مستقلاً له مبرره الخاص بدلاً من طيّه ضمن معالجة الموارد البشرية العامة.

الحقوق التي يمكن للأفراد ممارستها في مواجهتك

يمكن للأفراد أن يسألوا عما تحتفظ به عنهم، ويطلبوا التصحيح، ويعترضوا على استخدامات معينة، وفي ظروف محددة يطلبوا الحذف. والنقطة العملية أن هذه الطلبات تصل عبر أي قناة يستخدمها الشخص — تذكرة دعم، أو رسالة واتساب إلى مندوب مبيعات، أو خطاب إلى المدير — ويبدأ العد من لحظة وصولها، لا من لحظة وصولها إلى المكتب الصحيح.

فابنِ مساراً: عنواناً واحداً مراقباً، وشخصاً يملك الرد، وتحققاً من الهوية يتناسب مع حساسية البيانات، ومذكرة داخلية قصيرة تسجل ما طُلب وما بُحث عنه وما أُرسل. ورد ضمن المدة التي يحددها القانون ولوائحه، وحيث ترفض جزءاً من الطلب، فاذكر أي جزء ولماذا. فالصمت هو ما يحول الطلب إلى شكوى.

الأمن والحوادث ومن يُخطر

يشترط القانون تدابير أمنية ملائمة للمخاطر. وعملياً يعني ذلك حصر الوصول في من يحتاجه، وبيانات اعتماد غير مشتركة، وتشفيراً حيثما يتناسب، ونسخاً احتياطية اختُبرت فعلاً، وإزالة فورية لصلاحيات الوصول عند مغادرة أحد الموظفين. ومعظم الحوادث التي نراها ليست هجمات متطورة؛ بل هي حساب موظف غادر وما زال يعمل، أو قرص مشترك مفتوح للشركة كلها.

وحين يقع خطأ ما، يكون التسلسل: الاحتواء، ثم التقييم، ثم التسجيل، ثم الإخطار. قيّم البيانات المتأثرة وما قد تكون عواقبه على الأفراد. سجّل الحادث واستدلالك في حينه — فجدول زمني يُعاد تركيبه بعد أسابيع لا يساوي شيئاً يُذكر. أخطِر الجهة التنظيمية، وحيثما يلزم الأفراد المتأثرين، ضمن المدة التي يحددها القانون. واتخاذ كل هذه القرارات أثناء الحادث هو كيف تُفوَّت المواعيد النهائية؛ فاكتب الإجراء الآن وسمِّ الأشخاص فيه.

الموردون وشركات المجموعة والنقل إلى الخارج

إسناد المعالجة إلى الغير لا يسند المسؤولية. فإذا كان مكتب رواتب أو مزود خدمات سحابية أو وكالة تسويق أو فريق دعم خارجي يتعامل مع بياناتك، فأنت بحاجة إلى ترتيب كتابي يغطي ما يجوز لهم فعله بها، والأمن الواجب عليهم الحفاظ عليه، وما إذا كان يجوز لهم التعاقد من الباطن، وما يحدث عند وقوع خرق، وما يجب أن يفعلوه بالبيانات عند انتهاء العقد. وكثير من الموردين المؤسسيين لن يقدموا سوى شروطهم القياسية؛ اقرأها، لأن هذه الشروط هي التي ستُقاس عليها.

وتحتاج عمليات النقل خارج دولة الإمارات إلى أساس خاص بها. ويدور نهج القانون حول ما إذا كانت الوجهة توفر مستوى ملائماً من الحماية أو ما إذا كانت هناك ضمانات مناسبة قائمة من خلال العقد أو غيره من الآليات المعترف بها. فإذا كان نظام إدارة علاقات العملاء أو نظام التذاكر أو النسخ الاحتياطي يقبع على بنية تحتية في الخارج، فذلك نقل، وينبغي أن يظهر في سجلاتك مع تحديد الآلية التي تعتمد عليها.

كيف يبدو الأداء الجيد في الملف

المؤسسة القادرة على الرد بمصداقية على جهة تنظيمية أو عميل كبير تملك عادةً المجموعة القصيرة ذاتها من الوثائق: جرد بيانات يطابق الواقع، وأساساً مشروعاً مسجلاً لكل نشاط معالجة، وإشعار خصوصية علنياً يتسق مع الجرد، وسياسة تعامل داخلية، وشروط معالجة موقعة مع كل مورد، وسجلاً لعمليات النقل، وإجراء حوادث بأسماء المسؤولين، وجدولاً لمدد الاحتفاظ، وأدلة على تدريب الموظفين. ولا شيء منها مفرط في التعقيد. فغيابها، لا أي قصور تقني بعينه، هو ما يجعل الدفاع عن شكوى أمراً صعباً.

وحين تتصاعد شكوى إلى مطالبة من عميل أو نزاع مع مورد حول من تسبب في خرق، فإن التوزيع التعاقدي للمسؤولية المكتوب في بداية العلاقة هو الذي يحسم معظم الجدل، ولهذا يطلب فريقنا المعني بـتسوية المنازعات التقنية شروط معالجة البيانات قبل أي شيء آخر.

خطوات عملية تالية

أجرِ الجرد. عيّن الأدوار. صحّح أوراق الموردين، بدءاً بمن يحتفظون بأكثر البيانات حساسية. اكتب إجراء الحوادث وسمِّ الأشخاص الذين ينفذونه. امنح طلبات أصحاب البيانات عنواناً مراقباً ومالكاً. ثم أبقِ الجرد محدثاً، لأن النسخة التي مضى عليها ثمانية عشر شهراً هي التي ستُقدَّم في الأدلة.

للحصول على إرشاد بشأن وضعك في حماية البيانات، تواصل مع فريق نور اتورنيز.

احجز استشارتك

إخلاء مسؤولية: المعلومات الواردة في هذا المقال مقدمة لأغراض التعريف العام فقط ولا تشكل استشارة قانونية. وينبغي للقراء طلب استشارة قانونية متخصصة مصممة وفق ظروفهم الخاصة قبل اتخاذ أي قرار أو إجراء استناداً إلى محتوى هذا المقال.

فريق نور اتورنيز

موارد ذات صلة

اطلع على المزيد من رؤانا حول الموضوعات ذات الصلة:

• متطلبات الامتثال للوائح الذكاء الاصطناعي في دولة الإمارات
• استراتيجيات الدفاع القانوني في مجال البلوك تشين للشركات في دبي
• إرشادات الامتثال في مجال العملات المشفرة للمشغلين في دولة الإمارات
• قوانين خصوصية البيانات للكيانات متعددة الجنسيات