ينبغي لكل جهة تعالج بيانات شخصية في مصر أن تخطط لتعيين مسؤول لحماية البيانات الشخصية مقيَّد لدى مركز حماية البيانات الشخصية. ويجب أن يحمل المسؤول مؤهلات وخبرة ذات صلة، وأن يجتاز اختبارات المركز، وأن تُمنح له استقلالية حقيقية مكتوبة. ولأن هويته مطلوبة ضمن مستندات الترخيص، فتعيينه هو أطول بنود برنامج الامتثال زمنًا.
تعرض هذه الإحاطة ما تشترطه اللائحة التنفيذية في هذا الدور، وما يعنيه ذلك للجهات التي تخطط للاعتماد على مسؤول حماية بيانات على مستوى المجموعة في الخارج. وهي ليست استشارة قانونية.
1من يحتاج إلى مسؤول
تقرأ تحليلات مكاتب المحاماة المنظومة على أنها تشترط مسؤولًا لكل كيان قانوني، دون حد قائم على المخاطر. وهذا يختلف عن اللائحة الأوروبية، حيث يتوقف الالتزام على نوع المعالجة وحجمها. وتعزز إجراءات الترخيص ذلك عمليًا: فمستندات الترخيص تتضمن تحديد هوية المسؤول المعيَّن، ووفق المادة 21(5) وثيقة العلاقة التعاقدية معه.
2من يمكن تعيينه
تضع اللائحة التنفيذية شروطًا للمؤهلات والاختبار. وفق الصياغة الإنجليزية للمادة 7، يجب على طالب القيد:
- أن يحمل مؤهلات أكاديمية أو شهادات مهنية، مع خبرة عملية في المجالات ذات الصلة
- أن يجتاز الاختبارات التي يعتمدها المركز
وتضيف تقارير مكاتب المحاماة شرط خلوّ السجل الجنائي والقيد لدى المركز، مع رمز تعريف مرتبط بحجم البيانات وفئاتها التي اعتُمد المسؤول لها.
3الاستقلالية يجب أن تكون موثّقة
تطلب المادة 21(5) ما يثبت التزام الجهة بمنح المسؤول الاستقلالية اللازمة لأداء عمله. والمسمى الذي يُضاف إلى وظيفة قائمة دون صلاحية للاعتراض على القرارات لا يُرجَّح أن يفي بذلك. يجب أن يكون التعيين مكتوبًا، وأن يحدد خطوط التبعية، وأن يتجنب تعارض الدور مع مهام المسؤول الأخرى.
4ماذا يفعل المسؤول
تحدد المادة 12 المهام. وتشمل مراقبة سياسات أمن البيانات لدى الجهة، وتلقي شكاوى أصحاب البيانات، والتحقق من طلبات المحو أو التصحيح أو الإضافة والتصرف فيها، وتجنب تعارض المصالح، وإنشاء أنظمة للإشراف على كل كيان على حدة في المجموعات.
وعمليًا يتولى المسؤول أيضًا مهلة الأيام الستة للرد على طلبات أصحاب البيانات، ومهلة الاثنتين وسبعين ساعة للإبلاغ عن الاختراقات، وكلتاهما مشروحتان في إحاطتنا الرئيسية.
5مسؤول المجموعة في لندن
مسؤول المجموعة في الخارج الذي لم يجتز اختبارات المركز ولم يُقيَّد لديه لا يفي بالاشتراط المصري. وتذكر تقارير مكاتب المحاماة أن المركز أبدى بالفعل صعوبة في التعامل مع المسؤولين المعيَّنين في الخارج. ويمكن للشركات متعددة الجنسيات أن تنسّق عبر وظيفة المجموعة، لكن الكيان المصري يحتاج إلى مسؤول يستوفي الشروط المصرية.
6التخطيط للتعيين
- قرّر: داخلي أم خارجي. يمكن للمسؤول الخارجي أن يؤدي الدور حين لا يوجد مرشح داخلي يملك المؤهلات أو الاستقلالية.
- راجع المرشح مقابل المادة 7 قبل الالتزام، بما في ذلك استعداده لاختبارات المركز.
- اكتب قرار التعيين، مع ذكر الاستقلالية وخط التبعية والموارد.
- قيّد المسؤول لدى المركز في أبكر وقت ممكن، لأن طلبات الترخيص تتوقف عليه.
- أعطِ المسؤول الخريطة الخاصة بالأنظمة وتدفقات البيانات، إذ لا يمكن أداء أيٍّ من مهام المادة 12 بدونها.
7أين قد نكون مخطئين
- مدة القيد. تصف مصادر مكاتب المحاماة مدد قيد قابلة للتجديد كل سنتين، بينما لا تذكر الصياغة التفصيلية التي راجعناها مدة صريحة.
- كل كيان. قراءة «كل كيان قانوني دون حد» مصدرها تحليلات مكاتب المحاماة. تحقق مع مستشارك القانوني من انطباق أي إعفاء على هيكلك.
- الاختبارات. لم نتمكن من التأكد من مصادر علنية من عدد مرات انعقاد اختبارات المركز أو المدة التي يستغرقها القيد فعليًا.
- ترقيم المواد. تختلف الصياغات الإنجليزية في مواضع. راجع أرقام المواد على النص العربي.
أول مهام المسؤول أن يعرف أين توجد البيانات. وجلسة مراجعة البيانات في تسعين دقيقة تنتج هذه الخريطة.
المصادر
اللائحة التنفيذية على مستوى المواد: الصياغة الإنجليزية لمكتب Consortio، عرض ID Law Firm
تنبيهات مكاتب المحاماة: Baker McKenzie، Clyde & Co، Kennedys، Amereller
لاحظت خطأ؟
هذه الإحاطة قراءتنا لإطار تنظيمي ما زال يتغير. إن كان جزء منها غير دقيق، أبلغنا وسنصوّبه هنا، بتاريخه وعلنًا.
أرسل تصويبًا →