1 الغرض وتحديد النطاق
تحمي السياسة بيانات الأعضاء والمستفيدين والمتبرعين والعاملين والمتطوعين والشركاء في جميع الوسائط. يحدد سجل المعالجة الصفة كجهة متحكمة أو معالجة والأساس القانوني والنظام العام أو الخاص المنطبق، خاصة البيانات الصحية والمالية الخاضعة لتشريع قطاعي.(1)
2 جمع البيانات والأساس
يقتصر الجمع على غرض محدد ومشروع وبيانات لازمة ومتناسبة، مع إشعار مفهوم يبين الاستخدام والمشاركة والاحتفاظ والحقوق وقناة الطلب. يوثق الأساس القانوني، ولا تستخدم الموافقة العامة لتغطية كل استخدام أو تعويض غياب شرط نظامي.
إذا كان الأساس موافقة، تكون واضحة وقابلة للإثبات والسحب وفق القانون، وتفصل عن التصوير والتسويق والبحث. يفحص تمثيل القاصر والأهلية. لا ينقل سحب الموافقة تلقائيًا إلى حذف سجل ملزم قانونًا؛ يوضح سبب استمرار الجزء الواجب حفظه.
3 الأمن والمشاركة
تصنف البيانات وتمنح الصلاحيات حسب الدور والحاجة مع التشفير والمصادقة والنسخ الاحتياطي والسجلات. تمنع بيانات الهوية والصحة والمال في الأدوات العامة والأمثلة. يشارك الحد الأدنى عبر قناة مأمونة مع مستلم متحقق وبسند وغرض محددين.
تحدد عقود المعالجين التعليمات والسرية والأمن والمقاولين الفرعيين والإخطار بالحوادث والمساعدة في الحقوق والحذف أو الإرجاع. يفحص موقع الاستضافة والنقل عبر الحدود وشروطه والاستثناءات القطاعية قبل النقل، ولا يكفي اشتراك سحابي أو موافقة تجارية لتبريره.(2)
4 حقوق الأفراد
يسجل طلب الوصول أو التصحيح أو المحو أو التقييد أو الاعتراض أو النقل أو مراجعة القرار الآلي بحسب الحق المنطبق. تتحقق الهوية بأقل بيانات، ويفحص الاستثناء النظامي، ويرد في المدة القانونية مع السبب وطريق التصعيد. لا يفرض رسم أو رفض تلقائي بلا سند.
5 تقييم الأثر والحوادث
يجرى تقييم أثر قبل معالجة عالية المخاطر أو منصة جديدة أو مشاركة واسعة أو تقنية آلية تؤثر في الأفراد. تحدد المخاطر والضوابط والمسؤول ويستكمل التشاور أو الموافقة التنظيمية إن لزمت. يحدد وجوب تعيين مسؤول حماية بيانات رسمي وفق الحالات القانونية.
يبلغ أي تسرب أو فقد أو وصول غير مأذون فورًا داخليًا. تحفظ الأدلة ويحتوى الحادث وتقيم آثاره وتنفذ الإخطارات النظامية للأفراد والجهات بحسب النطاق والمدة الواجبة. لا يفترض موعد موحد غير متحقق لجميع أنظمة البيانات.
6 الاحتفاظ والمراجعة
يحدد جدول الاحتفاظ المدة وبدايتها وسندها والتجميد والإتلاف المأذون. تراجع المعالجات والصلاحيات سنويًا وعند التغير. تفاصيل المدد الإجرائية أو اللائحة التنفيذية غير المتحقق منها تسجل: يتطلب مراجعة قانونية، دون تعطيل تدابير الحماية الأساسية.
المراجع الواردة في الوثيقة المعتمدة
-
المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية، المواد (2) و(4) إلى (10) و(18) و(20) إلى (23)، بحسب نطاق التطبيق. تحدد هذه الوثيقة ضوابط التنفيذ الداخلية دون تعديل اختصاص أو اشتراط قانوني أعلى.
-
القانون الاتحادي رقم (2) لسنة 2019 ولائحته التنفيذية عند انطباق التشريع الصحي الخاص؛ لا يطبق الإطار العام على ما استثني منه تلقائيًا. تحدد هذه الوثيقة ضوابط التنفيذ الداخلية دون تعديل اختصاص أو اشتراط قانوني أعلى.