حدد قانون حماية البيانات الشخصية مجموعة من الإجراءات والضوابط الواجب اتباعها عند إتاحة البيانات الشخصية، بهدف تحقيق التوازن بين الاستفادة من البيانات وحماية حقوق أصحابها.
إجراءات طلب إتاحة البيانات
طبقًا للمادة (10)، يلتزم كل من المتحكم والمعالج والحائز عند طلب إتاحة البيانات الشخصية بالإجراءات التالية:
- أن يكون الطلب مكتوبًا ومقدمًا من ذي صفة أو وفقًا لسند قانوني.
- التحقق من توافر المستندات اللازمة لتنفيذ الإتاحة والاحتفاظ بها.
- البت في الطلب ومستنداته خلال ستة أيام عمل من تاريخ تقديمه. وفي حال الرفض، يجب أن يكون مسببًا، ويعتبر انقضاء المدة دون رد بمثابة رفض.
دور مسئول حماية البيانات الشخصية
وفقًا للمادة (9)، يكون مسئول حماية البيانات الشخصية مسؤولًا عن تنفيذ أحكام القانون ولائحته التنفيذية وقرارات المركز، ومراقبة الإجراءات المعمول بها داخل كيانه والإشراف عليها، وتلقي الطلبات المتعلقة بالبيانات الشخصية. ويلتزم بالأخص بما يلي:
- إجراء التقييم والفحص الدوري لنظم حماية البيانات ومنع اختراقها، وتوثيق النتائج وإصدار التوصيات.
- العمل كنقطة اتصال مباشرة مع المركز وتنفيذ قراراته.
- تمكين الشخص المعني بالبيانات من ممارسة حقوقه.
- إخطار المركز في حال وجود أي خرق أو انتهاك للبيانات الشخصية.
- الرد على الطلبات المقدمة من الشخص المعني أو ذي الصفة، والرد على التظلمات.
- متابعة القيد والتحديث لسجل البيانات الشخصية لدى المتحكم أو سجل عمليات المعالجة لدى المعالج.
- إزالة أي مخالفات متعلقة بالبيانات الشخصية واتخاذ الإجراءات التصحيحية.
- تنظيم البرامج التدريبية اللازمة لموظفي كيانه لتأهيلهم وفق متطلبات القانون.
وتحدد اللائحة التنفيذية الالتزامات والإجراءات والمهام الأخرى لمسئول حماية البيانات.
الإبلاغ عن خرق البيانات
وفقًا للمادة (7)، يلتزم المتحكم والمعالج عند علمه بوجود خرق أو انتهاك للبيانات الشخصية بإبلاغ المركز خلال 72 ساعة. وإذا تعلق الخرق بالأمن القومي، يكون الإبلاغ فوريًا، وعلى المركز إخطار جهات الأمن القومي فورًا. كما يلتزم بموافاة المركز خلال 72 ساعة بما يلي:
- وصف طبيعة الخرق وأسبابه والعدد التقريبي للبيانات وسجلاتها.
- بيانات مسئول حماية البيانات الشخصية.
- الآثار المحتملة للحادث.
- وصف الإجراءات المتخذة والمقترحة لمواجهة الخرق.
- توثيق أي خرق والإجراءات التصحيحية.
- أي وثائق أو معلومات يطلبها المركز.
وفي جميع الأحوال، يجب على المتحكم والمعالج إخطار الشخص المعني بالبيانات خلال ثلاثة أيام عمل من تاريخ الإبلاغ. وتحدد اللائحة التنفيذية إجراءات الإبلاغ والإخطار.
