كيف تجهّز موقعك لنظام حماية البيانات الشخصية في خمس خطوات

النظام نافذ، وتشرف عليه سدايا. إذا كان موقعك يجمع بيانات زوار فأنت جهة تحكم. هذا الترتيب الذي ننصح به، وليس استشارة قانونية.

اعرف ما يجمعه موقعك

البيانات الشخصية كل ما يعرّف بالفرد مباشرة أو بغير مباشرة (المادة 1)، ويشمل ذلك ملفات تعريف الارتباط وأدوات التحليل، لا النماذج وحدها.

اجمع ما يحتاجه الغرض فقط (المادة 11). اكتب قائمة قبل أي نص:

• ما يكتبه الزائر في التسجيل والطلب والتواصل
• بيانات الدفع، ومن يعالجها معك
• ملفات تعريف الارتباط وأدوات التحليل والإعلان
• كل جهة تستلم البيانات، داخل المملكة أو خارجها

السلة وتسجيل الدخول يخدمان الزائر. التحليل والإعلان يخدمانك، ويحتاجان موافقة.

اطلب الموافقة قبل التتبّع

الموافقة لازمة إلا في استثناءات المادة 6، مثل تنفيذ اتفاق مع صاحب البيانات. الموافقة الصحيحة حرة وواضحة الغرض وموثقة، ومستقلة لكل غرض (المادة 11 من اللائحة). خانة واحدة للتحليل والإعلان والبريد لا تكفي.

الرجوع عن الموافقة يكون بسهولة إعطائها أو أسهل

المادة 12 من اللائحة التنفيذية

في الموقع يعني ذلك أربعة أمور. لا تُحمَّل أداة تتبّع قبل الاختيار. زر الرفض بجانب زر القبول. لكل غرض مفتاحه. ويغيّر الزائر رأيه من المكان نفسه.

لا تجعل الموافقة شرطاً لاستخدام الموقع (المادة 7)، ولا ترسل رسائل تسويقية دونها (المادة 25).

انشر سياسة خصوصية واضحة

انشر السياسة قبل الجمع (المادة 12). تذكر فيها الغرض والبيانات وطريقة جمعها وحفظها ومعالجتها وإتلافها، وحقوق صاحبها وكيف يمارسها.

ضع رابطها في التذييل وفي صفحة الدفع قبل إتمام الطلب. ما يجب أن تذكره سياسة المتجر يمر عليها بنداً بنداً.

جهّز طريقة للرد على الطلبات

لصاحب البيانات أن يطلع على بياناته ويحصل على نسخة مجاناً ويصححها ويطلب إتلافها (المادة 4). ترد خلال 30 يوماً، ويجوز التمديد مرة بثلاثين أخرى إذا أخبرته بالسبب قبل انتهاء المهلة (المادة 3 من اللائحة).

تحقق من هوية مقدم الطلب، ووثّق كل طلب، وانشر وسيلة تواصل يقرأها أحد. طلب الحذف خلال 30 يوماً يشرح حالة كاملة.

احتفظ بسجل يثبت العمل

المادة 31 توجب سجلاً لأنشطة المعالجة: الأغراض، وفئات البيانات، ومن يستلمها، والنقل إلى الخارج، ومدد الاحتفاظ، وإجراءات الحماية. حدّثه واحتفظ به خمس سنوات بعد انتهاء المعالجة.

أضف إليه سجل الموافقات وسجل الطلبات. وأتلف البيانات حين ينتهي غرضها، إلا ما يوجب نظام آخر حفظه كالفاتورة (المادة 18).

إذا وقع تسرّب قد يضر بأصحاب البيانات فأبلغ الهيئة خلال 72 ساعة (المادة 24 من اللائحة)، وأبلغ المتضررين دون تأخير إذا كان الضرر جسيماً.

المراجع

1. اللائحة التنفيذية لنظام حماية البيانات الشخصيةdgp.sdaia.gov.sa
2. منصة حماية البيانات الشخصية، سداياdgp.sdaia.gov.sa
3. طلب حذف وصلك من زائرالمدونة
4. ما الذي يجب أن تذكره سياسة الخصوصية لمتجر إلكترونيالمدونة