وش تفحصون حسب نظام حماية البيانات الشخصية قبل ما يستخدم نظام ذكاء اصطناعي بيانات شخصية؟

فيما عدا الأحوال المنصوص عليها في النظام، ما تجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا بعد موافقة صاحبها (المادة الخامسة، الفقرة 1)، والمادة السادسة تذكر الأحوال اللي ما تحتاج موافقة، ومنها المصالح المشروعة لجهة التحكم، ما لم يخل ذلك بحقوق صاحب البيانات أو يتعارض مع مصالحه ولم تكن البيانات حساسة. وإذا كان الأساس هو الموافقة، فاللائحة التنفيذية تشترط موافقة مستقلة لكل غرض من أغراض المعالجة (المادة الحادية عشرة، الفقرة 1).[1][2]

لازم يكون محتوى البيانات الشخصية ملائم ومقصور على الحد الأدنى اللازم لتحقيق الغرض من جمعها (المادة الحادية عشرة، الفقرة 3). افحصوا وش تحمل طلباتكم ونتائج الاسترجاع والسجلات فعلياً، مو وش يقول التصميم.[1]

تشترط اللائحة التنفيذية أن تكون الموافقة صريحة في حال كان سيتم اتخاذ قرارات مبنية بشكل كامل على المعالجة الآلية للبيانات الشخصية (المادة الحادية عشرة، الفقرة 2)، وجهة التحكم اللي تتضمن أنشطتها -على نطاق واسع أو بصورة متكررة- اتخاذ قرارات مبنية على المعالجة الآلية لازم توضّح لأصحاب البيانات هل بتنتخذ قرارات مبنية بشكل كامل عليها (المادة الرابعة، الفقرة 5).[2]

على جهة التحكم إجراء تقويم للآثار المترتبة على معالجة البيانات الشخصية لأي منتج أو خدمة تقدم للعموم بحسب طبيعة النشاط (المادة الثانية والعشرون). واللائحة التنفيذية تحدد الأحوال اللي يلزم فيها التقويم، ومنها أن يتضمن نشاط جهة التحكم -على نطاق واسع أو بصورة متكررة- معالجة بيانات شخصية باستخدام تقنيات ناشئة، أو اتخاذ قرارات مبنية على المعالجة الآلية (المادة الخامسة والعشرون، الفقرة 1).[1][2]

المادة التاسعة والعشرون تحدد شروط نقل البيانات الشخصية إلى خارج المملكة، ومنها توفر مستوى مناسب لحمايتها، والاقتصار على الحد الأدنى من البيانات اللي تدعو الحاجة له، ولائحة نقل البيانات الشخصية إلى خارج المملكة تحدد حالات الإعفاء من هالشرطين والضمانات المطلوبة فيها، مثل البنود التعاقدية القياسية (المادة الرابعة).[1][3]

احتفظوا بسجل مكتوب لأنشطة معالجة البيانات الشخصية أثناء فترة استمرار المعالجة، إضافة إلى خمس سنوات تبدأ من تاريخ انتهاء نشاط المعالجة (اللائحة التنفيذية، المادة الثالثة والثلاثون، الفقرة 1)، ومنه وصف لعمليات النقل إلى خارج المملكة ومسوغاتها النظامية والجهات اللي تنتقل لها البيانات (الفقرة 5).[2]

على جهة التحكم اتخاذ ما يلزم من إجراءات ووسائل تنظيمية وإدارية وتقنية تضمن المحافظة على البيانات الشخصية، بما في ذلك عند نقلها (النظام، المادة التاسعة عشرة). وإذا كان من شأن حادثة التسرب الإضرار بالبيانات الشخصية أو بصاحبها أو كانت تتعارض مع حقوقه أو مصالحه، تشعر جهة التحكم سدايا خلال مدة لا تتجاوز 72 ساعة من وقت علمها بالحادثة (اللائحة التنفيذية، المادة الرابعة والعشرون، الفقرة 1)، وتشعر صاحب البيانات دون تأخير غير مبرر إذا كان من شأنها أن ترتب ضرراً على بياناته أو تتعارض مع حقوقه أو مصالحه (الفقرة 5).[1][2]

يلزم تعيينه في ثلاث أحوال، منها أن تقوم الأنشطة الأساسية لجهة التحكم على عمليات معالجة تتطلب بطبيعتها مراقبة منتظمة وممنهجة لأصحاب البيانات، أو على معالجة بيانات شخصية حساسة (اللائحة التنفيذية، المادة الثانية والثلاثون، الفقرة 1). وقواعد تعيين مسؤول حماية البيانات الشخصية من سدايا (الإصدار 1.0، أغسطس 2024) تحدد معايير المعالجة على نطاق واسع.[2][4]

لصاحب البيانات الحق في الوصول لبياناته الشخصية، وطلب تصحيحها أو إتمامها أو تحديثها، وطلب إتلاف ما انتهت الحاجة إليه منها (النظام، المادة الرابعة). وجهة التحكم تنفّذ الطلب خلال مدة لا تتجاوز ثلاثين يوماً، ولها تمديدها بما لا يزيد على ثلاثين يوماً إضافية إذا تطلب التنفيذ جهداً إضافياً غير متوقع أو غير معتاد أو تلقت طلبات متعددة من صاحب البيانات، بشرط إشعاره مسبقاً بالتمديد ومبرراته (اللائحة التنفيذية، المادة الثالثة، الفقرة 1).[1][2]