ماذا تعني اللائحة العامة لحماية البيانات (GDPR) لشركتك

تعد الخصوصية مسألة في غاية الأهمية في وقتنا الحالي، لا سيما منذ حدوث التحول الرقمي الهائل على مستوى العالم. وإن الطريقة التي يتم بها التعامل مع بياناتنا تحتاج إلى إشراف وتنظيم من أجل منع بعض الأفراد من إساءة استخدامها أو حتى سرقتها. هل تعلم أن الخصوصية هي حق من حقوق الإنسان؟ تعد البيانات الشخصية حساسة للغاية وعرضة لأساءة الاستخدام؛ ولهذا السبب اعتمدت معظم الدول تشريعات تنظم بصرامة استخدام البيانات (الشخصية) ومعالجتها. وإلى جانب القوانين الوطنية، هناك أيضاً لوائح تنظيمية شاملة تؤثر على التشريعات الوطنية. على سبيل المثال، أقر الاتحاد الأوروبي (EU) اللائحة العامة لحماية البيانات (GDPR). دخلت هذه اللائحة حيز التنفيذ في مايو 2018، وتنطبق على أي مؤسسة تقدم سلعاً أو خدمات في سوق الاتحاد الأوروبي. تنطبق اللائحة العامة لحماية البيانات (GDPR) حتى لو لم تكن شركتك مقرة في الاتحاد الأوروبي، ولكن لديها في الوقت نفسه عملاء من الاتحاد الأوروبي. وقبل أن نتطرق إلى تفاصيل لائحة GDPR ومتطلباتها، دعنا نوضح أولاً ما تهدف اللائحة إلى تحقيقه ولماذا هي مهمة بالنسبة لك كرائد أعمال. في هذا المقال، سنشرح بالتالي ما هي اللائحة العامة لحماية البيانات (GDPR)، ولماذا يجب عليك اتخاذ الإجراءات المناسبة للامتثال، وكيفية القيام بذلك بأكثر الطرق كفاءة ممكنة.

ما هي اللائحة العامة لحماية البيانات (GDPR) بالتحديد؟

إن اللائحة العامة لحماية البيانات (GDPR) هي لائحة تنظيمية صادرة عن الاتحاد الأوروبي تغطي حماية البيانات الشخصية للمواطنين الطبيعيين. ولذلك فهي تهدف حصراً إلى حماية البيانات الشخصية وليس البيانات المهنية أو بيانات الشركات. وعلى الموقع الرسمي للاتحاد الأوروبي، تم وصفها على النحو التالي:

"اللائحة (EU) 2016/679 بشأن حماية الأشخاص الطبيعيين فيما يتعلق بمعالجة البيانات الشخصية وحرية حركة هذه البيانات. تم نشر النص المصحح لهذه اللائحة في الجريدة الرسمية للاتحاد الأوروبي في 23 مايو 2018. تعزز اللائحة العامة لحماية البيانات (GDPR) الحقوق الأساسية للمواطنين في العصر الرقمي وتعزز التجارة من خلال توضيح القواعد الخاصة بالشركات في السوق الرقمية الموحدة. وقد ألغت هذه المجموعة المشتركة من القواعد التجزئة الناجمة عن الأنظمة الوطنية المتفاوتة وتجنبت الروتين الإداري. دخلت اللائحة حيز التنفيذ في 24 مايو 2016 وأصبحت سارية المفعول منذ 25 مايو 2018. مزيد من المعلومات للشركات والأفراد. [1]"

هي في الأساس وسيلة لضمان التعامل مع البيانات الشخصية بأمان من قبل الشركات التي تحتاج إلى التعامل مع البيانات بسبب طبيعة السلع أو الخدمات التي تقدمها. على سبيل المثال، إذا قمت بطلب منتج من موقع إلكتروني بصفتك مواطناً في الاتحاد الأوروبي، فإن بياناتك تكون محمية بموجب هذه اللائحة لأنك مقيم في الاتحاد الأوروبي. وكما أوضحنا باختصار من قبل، لا يلزم أن تكون الشركة نفسها مسجلة في إحدى دول الاتحاد الأوروبي للوقوع تحت نطاق هذه اللائحة. كل شركة تتعامل مع عملاء من الاتحاد الأوروبي تحتاج إلى الالتزام باللائحة العامة لحماية البيانات (GDPR)، مما يضمن حماية البيانات الشخصية لجميع مواطني الاتحاد الأوروبي وأمانها. وبهذه الطريقة، يمكنك الاطمئنان إلى أنه لن تقوم أي شركة باستخدام بياناتك لأغراض أخرى غير تلك المحددة والموضحة بوضوح.

ما هو الهدف المحدد للائحة العامة لحماية البيانات (GDPR)؟

الهدف الرئيسي للائحة العامة لحماية البيانات (GDPR) هو حماية البيانات الشخصية. تريد لائحة GDPR من جميع المؤسسات، الكبيرة والصغيرة، بما في ذلك مؤسستك، التفكير في البيانات الشخصية التي تستخدمها وأن تكون على قدر كبير من الحرص والتروي بشأن سبب وكيفية استخدامها. في جوهر الأمر، تريد لائحة GDPR من رواد الأعمال أن يكونوا أكثر وعياً عندما يتعلق الأمر بالبيانات الشخصية لعملائهم وموظفيهم ومورديهم والأطراف الأخرى التي يتعاملون معها تجارياً. بعبارة أخرى، تريد لائحة GDPR وضع حد للمؤسسات التي تجمع البيانات عن الأفراد فقط لأنها قادرة على ذلك دون سبب كافٍ، أو لأنها تعتقد أنها تستطيع الاستفادة منها بطريقة ما الآن أو في المستقبل، دون اهتمام كبير ودون إبلاغك. وكما ستلاحظ في المعلومات أدناه، فإن لائحة GDPR في الواقع لا تحظر الكثير. لا يزال بإمكانك المشاركة في التسويق عبر البريد الإلكتروني، ولا يزال بإمكانك الإعلان، ولا يزال بإمكانك بيع واستخدام البيانات الشخصية للعملاء، طالما أنك توفر الشفافية حول كيفية احترامك لخصوصية الأفراد. يتعلق التنظيم بشكل أكبر بتوفير معلومات كافية حول الطريقة التي تستخدم بها البيانات، حتى يكون عملاؤك والأطراف الخارجية الأخرى على علم بأهدافك وإجراءاتك المحددة. وبهذه الطريقة، يمكن لكل فرد أن يزودك ببياناته بناءً على موافقة مستنيرة على أقل تقدير. وغني عن القول، إنك تحتاج إلى الالتزام بما تقوله وعدم استخدام البيانات لأغراض أخرى غير تلك التي ذكرتها، لأن ذلك قد يؤدي إلى غرامات باهظة للغاية وعواقب أخرى.

رواد الأعمال الذين تنطبق عليهم اللائحة العامة لحماية البيانات (GDPR)

قد تسأل نفسك: "هل تنطبق اللائحة العامة لحماية البيانات (GDPR) أيضاً على شركتي؟" الإجابة عن هذا السؤال بسيطة للغاية: إذا كانت لديك قاعدة عملاء أو إدارة شؤون أفراد تضم أفراداً من الاتحاد الأوروبي، فإنك تقوم بمعالجة بيانات شخصية. وإذا كنت تقوم بمعالجة بيانات شخصية، فيجب عليك الالتزام باللائحة العامة لحماية البيانات (GDPR). يحدد القانون ما يمكنك فعله بالبيانات الشخصية وكيف يجب عليك حمايتها. لذلك، من المهم دائماً لمؤسستك الامتثال للائحة GDPR، حيث يُعد ذلك إ لزامياً لجميع الشركات التي تتعامل مع أفراد من الاتحاد الأوروبي. أصبحت جميع تفاعلاتنا المهنية والشخصية رقمية بشكل متزايد، لذا فإن مراعاة خصوصية الأفراد هي التصرّف الصحيح ببساطة. يتوقع العملاء من متاجرهم المفضلة أن تتعامل بحرص مع البيانات الشخصية التي يقدمونها، لذا فإن ترتيب لوائحك التنظيمية الخاصة المتعلقة بلائحة GDPR هو أمر يمكنك أن تفخر به. وكإضافة متميزة، سيقدر عملاؤك ذلك كثيراً.

عندما تتعامل مع البيانات الشخصية، ووفقاً للائحة GDPR، فإنك تقوم بمعالجة هذه البيانات في جميع الحالات تقريباً. فكر في جمع البيانات أو تخزينها أو تعديلها أو إكمالها أو إرسالها. حتى لو قمت بإنشاء بيانات أو حذفها دون ذكر الاسم، فإنك تقوم بمعالجتها أيضاً. تكون البيانات بمثابة بيانات شخصية إذا كانت تتعلق بأشخاص يمكنك تمييزهم عن بقية الأشخاص الآخرين. هذا هو تعريف الشخص المحدد الهوية، والذي سنناقشه بالتفصيل لاحقاً في هذا المقال. على سبيل المثال، تكون قد حددت شخصاً ما إذا كنت تعرف اسمه الأول واسم عائلته، وكانت هذه البيانات تتطابق أيضاً مع البيانات الواردة في وثيقة إثبات الشخصية الرسمية الخاصة به. بصفتك فرداً مشاركاً في هذه العملية، فإنك تمتلك السيطرة على البيانات الشخصية التي تقدمها للمؤسسات. أولاً وقبل كل شيء، تمنحك لائحة GDPR الحق في الاطلاع على البيانات الشخصية المحددة التي تستخدمها المؤسسات وسبب استخدامها. وفي الوقت نفسه، لديك الحق في معرفة كيفية ضمان هذه المؤسسات لخصوصيتك. بالإضافة إلى ذلك، يمكنك الاعتراض على استخدام بياناتك، أو طلب حذف بياناتك من المؤسسة، أو حتى طلب نقل بياناتك إلى خدمة منافسة. [2] لذا، في الأساس، يختار الفرد الذي تعود إليه البيانات ما تفعله بهذه البيانات. هذا هو السبب في أنك تحتاج كمنظمة إلى أن تكون دقيقاً للغاية بشأن المعلومات التي تقدمها في الجانب المتعلق بالاستخدام الدقيق للبيانات الشخصية التي تحصل عليها، حيث يحتاج الفرد صاحب البيانات إلى معرفة أسباب معالجة بياناته في المقام الأول. عندها فقط يكون الفرد قادرًا على تحديد ما إذا كنت تستخدم البيانات بشكل صحيح أم لا.

ما هي البيانات المشمولة بالتحديد؟

تلعب البيانات الشخصية الدور الأكثر أهمية ضمن اللائحة العامة لحماية البيانات (GDPR). حماية خصوصية الأفراد هي نقطة البداية. إذا قرأنا إرشادات GDPR بعناية، يمكننا تقسيم البيانات إلى ثلاث فئات. الفئة الأولى تتعلق بالبيانات الشخصية تحديداً. ويمكن تصنيفها على أنها جميع المعلومات المتعلقة بشخص طبيعي محدد الهوية أو قابل للتحديد. على سبيل المثال، تفاصيل اسمه وعنوانه، وعنوان البريد الإلكتروني، وعنوان IP، وتاريخ الميلاد، والموقع الحالي، وأيضاً معرفات الأجهزة. هذه البيانات الشخصية هي كل المعلومات التي يمكن من خلالها تحديد شخص طبيعي. لاحظ أن هذا المفهوم يُفسر بشكل واسع جداً. وهو بالتأكيد لا يقتصر على اسم العائلة، أو الاسم الأول، أو تاريخ الميلاد، أو العنوان. هناك بيانات معينة قد لا تبدو للوهلة الأولى متعلقة بالبيانات الشخصية، ولكنها قد تظل خاضعة للائحة GDPR من خلال إضافة معلومات معينة. لذلك، فمن المقبول عموماً أن حتى عناوين IP (الديناميكية)، وهي مجموعات الأرقام الفريدة التي تتواصل من خلالها أجهزة الكمبيوتر مع بعضها البعض عبر الإنترنت، يمكن اعتبارها بيانات شخصية. يجب بالطبع النظر في هذا الأمر بوضوح لكل حالة على حدة، ولكن احرص على تقييم البيانات التي تقوم بمعالجتها.

الفئة الثانية تتعلق بما يسمى بالبيانات المستعارة (أو شبه المجهولة): وهي البيانات الشخصية المعالجة بطريقة لا يمكن معها تتبع البيانات دون استخدام معلومات إضافية، ولكنها تظل تجعل الشخص فريداً. على سبيل المثال، عنوان بريد إلكتروني مشفر، أو معرف المستخدم، أو رقم العملاء الذي ينطوي على ربط ببيانات أخرى فقط عبر قاعدة بيانات داخلية مؤمنة جيداً. يقع هذا أيضاً ضمن نطاق لائحة GDPR. وتتكون الفئة الثالثة من بيانات مجهولة الهوية تماماً: وهي البيانات التي تم فيها حذف جميع البيانات الشخصية التي تسمح بالتتبع. في الممارسة العملية، غالباً ما يصعب إثبات ذلك، ما لم تكن البيانات الشخصية قابلة للتتبع في المقام الأول. وبالتالي، فإن هذا يقع خارج نطاق اللائحة العامة لحماية البيانات (GDPR).

من يُعد شخصاً يمكن التعرف على هويته؟

قد يكون من الصعب أحياناً تحديد من يقع تحت نطاق "شخص يمكن التعرف على هويته". خاصة وأن هناك العديد من الحسابات المزيفة على الإنترنت، مثل الأشخاص الذين لديهم حسابات وهمية على وسائل التواصل الاجتماعي. بشكل عام، يمكنك افتراض أن الشخص قابل للتحديد عندما يمكنك تتبع بياناته الشخصية دون بذل الكثير من الجهد. فكر، على سبيل المثال، في أرقام العملاء التي يمكنك ربطها ببيانات الحساب. أو رقم هاتف يمكنك تتبعه بسهولة، وبالتالي معرفة من يمتلكه. هذه كلها بيانات شخصية. إذا بدت لك مشكلات في تحديد هوية شخص ما، فمن الضروري إجراء المزيد من البحث. يمكنك طلب وثيقة إثبات شخصية سارية من الشخص، فقط للتأكد من هوية من تتعامل معه. يمكنك أيضاً البحث في قواعد البيانات المعتمدة للحصول على معلومات تتعلق بهوية شخص ما، مثل دليل الهواتف الرقمي (الذي لا يزال موجوداً في الواقع). إذا لم تكن متأكداً مما إذا كان العملاء أو الأطراف الخارجية الأخرى قابلة للتحديد، فحاول الاتصال بهذا العميل وطلب بيانات شخصية. إذا لم يجب الشخص على استفسارك، فمن الأفضل عموماً حذف جميع البيانات التي لديك والتخلص من المعلومات التي تزويدك بها. فمن المحتمل أن يكون هناك شخص يستخدم هوية مزيفة. تهدف لائحة GDPR إلى حماية الأفراد، ولكنك كشركة تحتاج أيضاً إلى اتخاذ الخطوات المناسبة لحماية نفسك من الاحتيال. للأسف، يستطيع الأشخاص استخدام هويات مزيفة، لذا من المهم أن تكون متيقظاً بشأن المعلومات التي يقدمها الأشخاص. عندما يستخدم شخص ما هوية شخص آخر، قد تكون لهذا تداعيات خطيرة عليك كشركة. ويُنصح بالعناية الواجبة في جميع الأوقات.

الأسباب المشروعة لاستخدام بيانات الأطراف الخارجية

تتمثل إحدى القواعد الأساسية للائحة العامة لحماية البيانات (GDPR) في أنه يجب عليك استخدام بيانات الأطراف الخارجية للأغراض المحددة والمشروعة فقط. وبناءً على متطلب الحد الأدنى من البيانات، تنص لائحة GDPR على أنه لا يجوز لك استخدام البيانات الشخصية إلا لغرض تجاري معلن وموثق، مدعوم بأحد الأسس القانونية الستة المتاحة في لائحة GDPR. بعبارة أخرى، يقتصر استخدامك للبيانات الشخصية على غرض وأساس قانوني معلنين. يجب توثيق أي معالجة تجريها للبيانات الشخصية في سجل GDPR، إلى جانب غرضها وأساسها القانوني. يجبرك هذا التوثيق على التفكير في كل نشاط معالجة والنظر بعناية في الغرض والأساس القانوني له. تتيح لائحة GDPR ستة أسس قانونية، والتي سنوضحها أدناه.

1. الالتزامات التعاقدية: عند إبرام عقد، يجب معالجة البيانات الشخصية. كما يجوز استخدام البيانات الشخصية عند تنفيذ العقد.
2. الموافقة: يعطي المستخدم إذنًا صريحًا لاستخدام بياناته الشخصية أو وضع ملفات تعريف الارتباط (كوكيز).
3. المصلحة المشروعة: تكون معالجة البيانات الشخصية ضرورية لأغراض المصالح المشروعة لجهة التحكم أو الطرف الخارجي. التوازن مهم في هذه الحالة، ويجب ألا تنتهك الحريات الشخصية لصاحب البيانات.
4. المصالح الحيوية: يجوز معالجة البيانات عند حدوث حالات تتعلق بالحياة أو الموت.
5. الالتزامات القانونية: يجب معالجة البيانات الشخصية وفقاً للقانون.
6. المصالح العامة: يتعلق هذا بشكل أساسي بالحكومات والسلطات المحلية، مثل المخاطر المتعلقة بالنظام العام والسلامة وحماية الجمهور بشكل عام.

هذه هي الأسس القانونية التي تسمح لك بتخزين البيانات الشخصية ومعالجتها. في كثير من الأحيان، قد تتداخل بعض هذه الأسباب. لا يمثل ذلك مشكلة عموماً، طالما يمكنك شرح وإثبات وجود أساس قانوني بالفعل. عندما تفتقر إلى أساس قانوني لتخزين ومعالجة البيانات الشخصية، قد تقع في مشكلة. ضع في اعتبارك أن لائحة GDPR تهدف إلى حماية خصوصية الأفراد، ولهذا السبب توجد أسس قانونية محدودة فقط. تعرف على هذه الأسس وطبقها، وستكون في أمان كمنظمة أو شركة.

البيانات التي تنطبق عليها اللائحة العامة لحماية البيانات (GDPR)

تنطبق اللائحة العامة لحماية البيانات (GDPR)، في جوهرها، على معالجة البيانات التي تتم بشكل آلي كلياً أو جزئياً على الأقل. ويتضمن ذلك معالجة البيانات عبر قاعدة بيانات أو كمبيوتر، على سبيل المثال. ولكنها تنطبق أيضاً على البيانات الشخصية المضمنة في ملف مادي، مثل الملفات المخزنة في الأرشيف. ولكن يجب أن تكون هذه الملفات جوهرية بمعنى أن البيانات المضمنة مرتبطة بأمر ما أو ملف أو معاملة تجارية. إذا كنت تمتلك ملاحظة مكتوبة بخط اليد تحتوي على اسم فقط، فلا تُعد بيانات بموجب لائحة GDPR. قد تكون هذه الملاحظة اليدوية من شخص مهتم بك أو ذات طبيعة شخصية على أي حال. تتضمن بعض الطرق الشائعة لمعالجة البيانات من قبل الشركات إدارة الطلبات، وقاعدة بيانات العملاء، وقاعدة بيانات الموردين، وإدارة الموظفين، وبالطبع التسويق المباشر، مثل النشرات الإخبارية والرسائل البريدية المباشرة. يُطلق على الشخص الذي تعالج بياناته الشخصية اسم "صاحب البيانات". يمكن أن يكون هذا العميل، أو مشتركاً في النشرة الإخبارية، أو موظفاً، أو شخص اتصال. لا تُعتبر البيانات المتعلقة بالشركات بيانات شخصية، بينما تُعتبر البيانات المتعلقة بالمؤسسات الفردية (eenmanszaak) أو الأشخاص الممارسين لأعمال حرة بيانات شخصية. [3]

القواعد المتعلقة بالتسويق عبر الإنترنت

تتمتع اللائحة العامة لحماية البيانات (GDPR) بتأثير كبير عندما يتعلق الأمر بالتسويق عبر الإنترنت. هناك بعض القواعد الأساسية التي ستحتاج إلى الالتزام بها، مثل تقديم خيار إلغاء الاشتراك دائماً في حالة التسويق عبر البريد الإلكتروني. بالإضافة إلى ذلك، يجب أن يكون صاحب العطاء قادراً أيضاً على تحديد تفضيلاته وتعديلها. هذا يعني أنه يتعين عليك تعديل رسائل البريد الإلكتروني، إذا كنت لا تقدم هذه الخيارات حالياً. تستخدم العديد من المؤسسات أيضاً آليات إعادة الاستهداف (Retargeting). يمكن تحقيق ذلك، على سبيل المثال، عبر Facebook أو Google Ads، ولكن ضع في اعتبارك أنك ستحتاج إلى طلب إذن صريح للقيام بذلك. من المحتمل أن يكون لديك بالفعل سياسة خصوصية وملفات تعريف الارتباط على موقعك الإلكتروني. لذا مع هذه القواعد، يجب أيضاً مراجعة هذه الأجزاء القانونية. تنص متطلبات GDPR على أن هذه المستندات يجب أن تكون أكثر شمولاً وشفافية. يمكنك غالباً استخدام نصوص نموذجية لهذه التعديلات، وهي متوفرة مجاناً على الإنترنت. بالإضافة إلى التعديلات القانونية لسياسات الخصوصية وملفات تعريف الارتباط، يجب تعيين مسؤول معالجة البيانات. هذا الشخص مسؤول عن معالجة البيانات ويضمن أن المنظمة ممتثلة وتظل ممتثلة للائحة GDPR.

نصائح وسبل الامتثال للائحة العامة لحماية البيانات (GDPR)

الشيء الأكثر أهمية بالطبع هو أن تمتثل، كرائد أعمال، لللوائح والقواعد القانونية، مثل لائحة GDPR. لحسن الحظ، هناك طرق للامتثال للائحة GDPR بأقل جهد ممكن. وكما ناقشنا بالفعل، فإن لائحة GDPR في حد ذاتها لا تحظر أي شيء في الواقع، ولكنها تضع إرشادات صارمة للطريقة التي يمكن بها معالجة البيانات الشخصية. إذا لم تلتزم بالإرشادات المحددة واستخدمت البيانات لأسباب لم تذكر في لائحة GDPR أو تقع خارج نطاقها، فإنك تخاطر بغرامات وعواقب أشد سوءاً. إلى جانب ذلك، ضع في اعتبارك أن جميع الأطراف التي تعمل معها ستحترمك كصاحب عمل عندما تحترم بياناتهم وخصوصيتهم أيضاً. سيوفر لك هذا صورة إيجابية وموثوقة، وهو أمر جيد حقاً للأعمال التجارية. سنناقش الآن بعض النصائح التي ستجعل الامتثال للائحة GDPR عملية سهلة وكفؤة.

1. تحديد البيانات الشخصية التي تقوم بمعالجتها في المقام الأول

أول شيء يجب القيام به هو البحث في البيانات المحددة التي تحتاجها ولأي غرض. ما هي المعلومات التي ستجمعها؟ ما حجم البيانات التي تحتاجها لتحقيق أهدافك؟ هل تحتاج فقط إلى الاسم وعنوان البريد الإلكتروني، أم تحتاج أيضاً إلى بيانات إضافية مثل العنوان المادي ورقم الهاتف؟ تحتاج أيضاً إلى إنشاء سجل معالجة تسرد فيه البيانات التي تحتفظ بها، ومن أين تأتي، والأطراف التي تشارك هذه المعلومات معها. ضع في اعتبارك أيضاً فترات الاحتفاظ بالبيانات، لأن لائحة GDPR تنص على أنه يجب عليك التحلّي بالشفافية بشأن هذا الأمر.

2. جعل الخصوصية أولوية لشركتك بشكل عام

الخصوصية موضوع مهم جداً، وسيبقى كذلك في المستقبل المنظور والبعيد، نظرًا لأن التكنولوجيا والتحول الرقمي يتطوران ويزدادان باستمرار. وبالتالي، فمن المهم جداً أن تقوم، كرائد أعمال، بإبلاغ نفسك بجميع لوائح الخصوصية الضرورية وتحديد أولوية ذلك أثناء ممارسة الأعمال التجارية. لن يضمن هذا امتثالك لجميع القوانين المعمول بها فحسب، بل سيبني أيضاً صورة من الثقة لشركتك. لذا، كرائد أعمال، انغمس في قواعد GDPR أو استعن بالاستشارة من الخبراء القانونيين، حتى تتأكد من أنك تمارس عملك بشكل قانوني عندما يتعلق الأمر بالخصوصية. تحتاج إلى معرفة القواعد المحددة التي يجب على شركتك الالتزام بها. يمكن للسلطات الهولندية أيضاً مساعدتك في طريقك من خلال تقديم كم هائل من المعلومات والنصائح والأدوات للاستخدام اليومي.

3. تحديد الأساس القانوني الصحيح لمعالجة البيانات الشخصية

كما ناقشنا بالفعل، هناك ستة أسس قانونية رسمية فقط تسمح لك بمعالجة البيانات الشخصية وتخزينها، وفقاً للائحة GDPR. إذا كنت ستستخدم البيانات، فمن الضروري للغاية أن تعرف الأساس القانوني الذي يستند إليه استخدامك. من الناحية المثالية، يجب عليك توثيق الأنواع المختلفة لمعالجة البيانات التي تقوم بها في شركتك، على سبيل المثال، في سياسة الخصوصية الخاصة بك، حتى يتمكن العملاء والأطراف الخارجية من قراءة هذه المعلومات والإقرار بها. بعد ذلك، حدد الأساس القانوني الصحيح لكل إجراء على حدة. إذا كنت بحاجة إلى معالجة البيانات الشخصية لدوافع أو أسباب جديدة، فتأكد من إضافة هذا النشاط أيضاً قبل البدء.

4. محاولة تقليل استخدام البيانات إلى الحد الأدنى الممكن

يجب عليك، كمؤسسة، التأكد من جمع الحد الأدنى فقط من عناصر البيانات لتحقيق هدف معين. على سبيل المثال، إذا كنت تبيع سلعاً أو خدمات عبر الإنترنت، يحتاج المستخدمون عادةً فقط إلى تزويدك ببريد إلكتروني وكلمة مرور لتسير عملية التسجيل بسلاسة. لا داعي لمطالبة العملاء بجنسهم أو مكان ميلادهم أو حتى عنوانهم كجزء من عملية التسجيل. فقط عندما يتابع المستخدمون شراء منتج ويريدون شحنه إلى عنوان معين، يصبح من الضروري طلب المزيد من المعلومات. يحق لك حينئذٍ طلب عنوان المستخدم في تلك المرحلة، حيث إن هذه معلومات أساسية لأي عملية شحن. يقلل تقليل كمية البيانات المجمعة من تأثير الحوادث المحتملة المتعلقة بالخصوصية أو الأمن. يُعد الحد الأدنى من البيانات متطلباً أساسياً للائحة GDPR وفعالاً للغاية في حماية خصوصية المستخدمين نظرًا لأنك تعالج المعلومات التي تحتاجها فقط ولا شيء غير ذلك.

5. معرفة حقوق الأشخاص الذين تقوم بمعالجة بياناتهم

جزء مهم من اكتساب المعرفة حول لائحة GDPR هو تثقيف نفسك بشأن حقوق عملائك والأطراف الخارجية الأخرى، الذين تقوم بتخزين بياناتهم ومعالجتها. فقط من خلال معرفة حقوقهم يمكنك حماية نفسك وتجنب الغرامات. صحيح أن لائحة GDPR قد أدخلت عدداً من الحقوق المهمة للأفراد. مثل الحق في الاطلاع على بياناتهم الشخصية، والحق في تصحيح البيانات أو حذفها، والحق في الاعتراض على معالجة بياناتهم. سنناقش هذه الحقوق باختصار أدناه.

• حق الوصول

حق الوصول الأول يعني أن للأفراد الحق في عرض واستشارة البيانات الشخصية المعالجة عنهم. إذا طلب العميل ذلك، فإنك ملزم بتقديمها له.

• حق التصحيح

التصحيح هو التعديل نفسه. وبالتالي يمنح حق التصحيح الأفراد الحق في إجراء تغييرات وإضافات على البيانات الشخصية التي تعالجها إحدى المؤسسات عنهم لضمان معالجة هذه البيانات بشكل صحيح.

• حق المحو (الحق في أن يُنسى)

حق المحو يعني بالضبط ما يقوله: الحق في أن "يُنسى" عندما يطلب العميل ذلك تحديداً. تكون المؤسسة حينئذٍ ملزمة بحذف بياناته الشخصية. لاحظ أنه إذا كانت هناك التزامات قانونية تنطوي عليها العملية، فلا يمكن للفرد الاحتجاج بهذا الحق.

• حق تقييد المعالجة

يمنح هذا الحق الفرد بصفته صاحباً للبيانات الفرصة لتقييد معالجة بياناته الشخصية، مما يعني أنه يمكنه طلب معالجة عدد أقل من البيانات. على سبيل المثال، إذا طلبت شركة بيانات أكثر مما هو ضروري للغاية للعملية المعنية.

• حق نقل البيانات

يعني هذا الحق أن للفرد الحق في نقل بياناته الشخصية إلى مؤسسة أخرى. على سبيل المثال، إذا ذهب شخص ما إلى منافس أو ذهب موظف للعمل لدى شركة أخرى، وقمت بنقل البيانات إلى هذه الشركة.

• حق الاعتراض

يعني حق الاعتراض أن للفرد الحق في الاعتراض على معالجة بياناته الشخصية، على سبيل المثال، عند استخدام البيانات لأغراض التسويق. ويمكنهم ممارسة هذا الحق لأسباب شخصية محددة.

• الحق في عدم الخضوع لاتخاذ القرارات الآلية

يحق للأفراد عدم الخضوع لاتخاذ القرارات الآلية بالكامل والتي قد تكون لها عواقب وخيمة عليهم أو تتسبب في عواقب قانونية دون تدخل بشري. ومثال على المعالجة الآلية نظام التصنيف الائتماني الذي سيحدد بشكل آلي تماماً ما إذا كنت مؤهلاً للحصول على قروض.

• حق الحصول على المعلومات

هذا يعني أنه يجب على المؤسسة تزويد الأفراد بملومات واضحة حول جمع بياناتهم الشخصية ومعالجتها عندما يطلب الفرد ذلك. يجب أن تكون المؤسسة قادرة على توضيح البيانات التي تعالجها ولماذا، وفقاً لمبادئ GDPR.

من خلال التعرف على هذه الحقوق، يمكنك التنبؤ بشكل أفضل بمتى قد يستفسر العملاء والأطراف الخارجية عن البيانات التي تقوم بمعالجتها. ستجد حينئذٍ أنه من الأسهل بكثير الالتزام وإرسال المعلومات التي يطلبونها، لأنك كنت مستعداً. يمكن أن يوفر لك الكثير من الوقت أن تكون مستعداً دائماً للاستفسارات وأن تكون البيانات في متناول يدك وجاهزة، على سبيل المثال، من خلال الاستثمار في نظام جيد لإدارة العملاء يتيح لك سحب البيانات المطلوبة بسرعة وكفاءة.

ماذا يحدث عند عدم الامتثال؟

لقد تطرقنا بالفعل إلى هذا الموضوع باختصار من قبل: هناك عواقب عندما لا تمتثل للائحة GDPR. مرة أخرى، كن على علم بأنه لا يلزم أن تكون لديك شركة مقرها في الاتحاد الأوروبي لتكون مطالباً بالامتثال. إذا كان لديك عميل واحد فقط مقيم في الاتحاد الأوروبي تقوم بمعالجة بياناته، فإنك تقع تحت نطاق لائحة GDPR. هناك مستويان من الغرامات التي يمكن فرضها. يمكن لسلطة حماية البيانات المختصة في كل دولة إصدار غرامات فعالة على مستويين. ويتم تحديد هذا المستوى بناءً على المخالفة المحددة. تتضمن غرامات المستوى الأول مخالفات مثل معالجة البيانات الشخصية القاصرين دون موافقة الوالدين، وعدم الإبلاغ عن خرق البيانات، والتعاون مع معالج لا يقدم ضمانات كافية من حيث أمن البيانات المطلوب. يمكن أن تصل هذه الغرامات إلى 10 ملايين يورو، أو في حالة الشركة، تصل إلى 2% من إجمالي رقم الأعمال السنوي العالمي الخاص بك من السنة المالية السابقة.

ينطبق المستوى الثاني إذا ارتكبت مخالفات أساسية. على سبيل المثال، عدم الالتزام بمبادئ معالجة البيانات أو إذا كانت المؤسسة لا تستطيع إثبات أن صاحب البيانات قد أعطى موافقته بالفعل على معالجة البيانات. إذا وقعت تحت نطاق غرامات المستوى الثاني، فإنك تخاطر بغرامة حدها الأقصى 20 مليون يورو، أو ما يصل إلى 4% من إجمالي رقم الأعمال العالمي لشركتك. لاحظ أنه تم وضع حد أقصى لهذه المبالغ وهي تعتمد على وضعك الشخصي والإيرادات السنوية لشركتك، من بين عوامل أخرى. بالإضافة إلى الغرامات، يجوز لسلطة حماية البيانات الوطنية أيضاً فرض عقوبات أخرى. يمكن أن تتراوح هذه من التحذيرات والتوبيخ إلى الوقف المؤقت (والدائم أحياناً) لمعالجة البيانات. في هذه الحالة، قد لا تعود قادراً على معالجة البيانات الشخصية مؤقتاً أو دائماً من خلال مؤسستك. على سبيل المثال، لأنك ارتكبت مخالفات مكررة. سيعطل هذا قدرتك على ممارسة الأعمال التجارية بشكل أساسي. ومن العقوبات المحتملة الأخرى للائحة GDPR دفع تعويضات للمستخدمين الذين يقدمون شكوى مبررة. باختصار، كن متيقظاً بشأن خصوصية الأفراد وبياناتهم الشخصية لتجنب مثل هذه العواقب الباهظة.

هل تريد معرفة ما إذا كنت ممتثلاً للائحة العامة لحماية البيانات (GDPR)؟

إذا كنت تخطط لبدء نشاط تجاري في هولندا، فسيتعين عليك الالتزام باللائحة العامة لحماية البيانات (GDPR). إذا كنت تمارس أطرافاً تجارية مع عملاء هولنديين، أو عملاء مقرهم في أي دولة أخرى من دول الاتحاد الأوروبي، فسيتعين عليك أيضاً الالتزام بهذه اللائحة الأوروبية. إذا لم تكن متأكداً مما إذا كنت تقع تحت نطاق GDPR، يمكنك دائماً الاتصال بـ Intercompany Solutions للحصول على المشورة بشأن هذا الموضوع. يمكننا مساعدتك في معرفة ما إذا كانت لديك لوائح تنظيمية وعمليات الداخلية معتمدة وفيما إذا كانت المعلومات التي تقدمها للأطراف الخارجية كافية. قد يكون من السهل جداً أحياناً التغاضي عن معلومات مهمة، والتي قد تتسبب مع ذلك في مشكلات مع القانون. تذكر: الخصوصية موضوع مهم للغاية، لذا من الضروري أن تكون دائماً على اطلاع بأحدث اللوائح والأخبار. إذا كانت لديك أي أسئلة حول هذا الموضوع أو ترغب في الحصول على مزيد من المعلومات حول تأسيس الشركات في هولندا، فلا تتردد في الاتصال بـ Intercompany Solutions في أي وقت. سنكون سعداء بتقديم المساعدة في أي استفسار قد يكون لديك، أو تقديم عرض أسعار واضح لك.

المصادر:

https://gdpr-info.eu/

https://www.afm.nl/en/over-de-afm/organisatie/privacy

https://finance.ec.europa.eu/

---

[1] [https://commission.europa.eu/law/law-topic/data-protection\_en#:~:text=The%20general%20regulation%20dataprotection%20(GDPR)&text=The%20AVG%20(also%20known%20under,digital%20unified%20market%20te%20](https://commission.europa.eu/law/law-topic/data-protection_en#:~:text=The%20general%20regulation%20dataprotection%20(GDPR)&text=The%20AVG%20(also%20known%20under,digital%20unified%20market%20te%20).

[2] https://www.rijksoverheid.nl/onderwerpen/privacy-en-persoonsgegevens/documenten/brochures/2018/05/01/de-algemene-verordening-gegevensbescherming

[3] https://www.rijksoverheid.nl/onderwerpen/privacy-en-persoonsgegevens/documenten/brochures/2018/05/01/de-algemene-verordening-gegevensbescherming

منشورات مشابهة:

• الشركات الأجنبية متعددة الجنسيات والميزانية السنوية لهولندا
• تحديات رواد الأعمال المبتدئين
• كيفية إنشاء شركة كرائد أعمال شاب
• هل ترغب في الابتكار في قطاع الطاقة الخضراء أو التكنولوجيا النظيفة؟ ابدأ عملك في هولندا
• هل تستطيع السلطات الضريبية تحديد مالكي العملات المشفرة؟

المصادر

• CBS - هيئة الإحصاء الهولندية
• Eurostat - إحصاءات الأعمال وتكاليف العمالة في الاتحاد الأوروبي
• CPB المكتب الهولندي لتحليل السياسات الاقتصادية
• المفوضية الأوروبية - الضرائب والاتحاد الجمركي
• Wet op de vennootschapsbelasting 1969 (wetten.overheid.nl)
• PwC Netherlands - الرؤى والمطبوعات الضريبية
• Hoge Raad 2024, scope of discharge and art. 2:9 DCC director liability (ECLI:NL:HR:2024:681)
• Hoge Raad 2025, interest deduction limits (art. 10a Vpb) (ECLI:NL:HR:2025:1250)
• PwC Worldwide Tax Summaries - Netherlands
• محكمة العدل في الاتحاد الأوروبي، القضايا الدنماركية الخاصة بـ الملكية الفعالة بشأن الإساءة (C-116/16)
• Belastingdienst - معدلات ضريبة الشركات (19% حتى 200,000 يورو و 25.8% لما يزيد عن ذلك)