ما قائمة التحقّق لتطبيق نظام حماية البيانات الشخصيّة في الموقع الإلكترونيّ؟

ستّ خطوات: اعرف البيانات التي تجمعها والعلامات التي تشغّلها، وانشر سياسة خصوصيّة بالعربيّة، واطلب الموافقة قبل تشغيل علامات التحليلات والإعلانات واحفظها في سجلّ، وأجب طلبات أصحاب البيانات خلال 30 يومًا، وأخطِر سدايا خلال 72 ساعة من أيّ حادثة قد تُلحق ضررًا، وراجع كلّ نقل للبيانات إلى خارج المملكة.

ووراء هذه الخطوات ثلاثة أنواع من السجلّات: سجلّ لأنشطة المعالجة يكون جاهزًا متى طلبته سدايا، فيه الأغراض، ومن تخصّهم البيانات، والجهات التي تتلقّاها، والنقل إلى خارج المملكة، ومدد الاحتفاظ (المادة 31). وتقييم للأثر حين تعالج بيانات حسّاسة، أو تربط مجموعات بيانات من مصادر مختلفة، أو تراقب الأفراد باستمرار (اللائحة التنفيذيّة، المادة 25). واتفاقيّة معالجة بيانات مكتوبة مع كلّ مزوّد يعالج البيانات لحسابك، من المنصّة إلى مزوّدي الدفع والشحن وأدوات البريد والتحليلات.

أمّا مسؤول حماية البيانات فلا يلزم إلّا في ثلاث حالات (اللائحة التنفيذيّة، المادة 32)، وأغلب المنشآت الصغيرة والمتوسّطة خارجها جميعًا. وجهّز السجلّات قبل أن يطلبها أحد: فإذا أبلغت سدايا جهةً رسميًّا بمخالفة منسوبة إليها، فأمامها خمسة أيّام للردّ.