لوائح حماية البيانات في سوق أبوظبي العالمي 2021 — المواد 1–64

تحمي اللوائح الأشخاص الطبيعيين عند معالجة البيانات الشخصية وتكفل حرية انتقالها داخل سوق أبوظبي العالمي مع اشتراط مستوى مرتفع ومتسق من الحماية.

تسري اللوائح على المعالجة الآلية وعلى المعالجة غير الآلية التي تشكل جزءاً من نظام ملفات، مع مراعاة الاستثناءات المقررة مثل النشاط الشخصي أو المنزلي البحت.

تشمل القواعد الإقليمية المعالجة في سياق منشأة في سوق أبوظبي العالمي والمعالجة المحددة المرتبطة بعرض السلع أو الخدمات على الأفراد في السوق أو مراقبتهم.

يجب معالجة البيانات الشخصية بصورة مشروعة وعادلة وشفافة، ولأغراض محددة، وبقدر مناسب ودقيق، وألا تُحفظ أطول من اللازم، وأن تُؤمّن. وعلى المتحكم إثبات الامتثال.

تتطلب المعالجة أساساً مشروعاً، مثل الموافقة أو العقد أو الالتزام القانوني أو المصالح الحيوية أو المهام العامة أو المصالح المشروعة، وفق الشروط والموازنة التي تقررها اللوائح.

يجب على المتحكم إثبات الموافقة. ويجب أن يكون طلبها مميزاً وواضحاً ومتاحاً، وأن تكون حرة، وأن يمكن سحبها بالسهولة نفسها التي مُنحت بها.

تُحظر معالجة الفئات الحساسة ما لم ينطبق شرط صريح، مثل الموافقة الصريحة أو قانون العمل والحماية الاجتماعية أو المصالح الحيوية أو الدعاوى القانونية أو المصلحة العامة الجوهرية أو الصحة أو ضمانات البحث المعتمدة.

لا يلزم المتحكم بالاحتفاظ بمعلومات تعريف إضافية أو الحصول عليها لمجرد الامتثال إذا لم يتطلب غرض المعالجة تحديد الهوية، مع وجوب إبلاغ صاحب البيانات إذا تعذر تحديده.

يجب أن تستخدم معالجة الأرشفة والبحث العلمي أو التاريخي والأغراض الإحصائية ضمانات مناسبة، بما فيها تقليل البيانات واستخدام تدابير مثل إخفاء الهوية الجزئي حيثما أمكن.

يجب أن تكون المعلومات والمراسلات موجزة وشفافة ومفهومة ويسهل الوصول إليها. وعلى المتحكمين تيسير طلبات الحقوق والرد ضمن المدد المقررة، وعادةً دون رسوم.

عند الجمع، يجب على المتحكم تقديم المعلومات المقررة، ومنها الهوية والأغراض والأسس القانونية والمستلمون والنقل والاحتفاظ والحقوق والشكاوى وأي قرارات آلية.

إذا جاءت البيانات من مصدر آخر، فعلى المتحكم تقديم إشعار مماثل يضاف إليه فئات البيانات ومصدرها خلال المدة المطبقة، ما لم ينطبق استثناء مقرر.

يجوز لصاحب البيانات الحصول على تأكيد المعالجة والوصول إلى بياناته والمعلومات السياقية المقررة، مع نسخة تخضع لضمانات حقوق الآخرين.

يجوز لصاحب البيانات طلب تصحيح البيانات غير الدقيقة دون تأخير غير مبرر واستكمال البيانات الناقصة، بما في ذلك ببيان تكميلي.

يجب محو البيانات الشخصية عند تحقق أحد الأسباب المحددة، مع استثناءات لحرية التعبير والقانون والمصلحة العامة والصحة والأرشفة والبحث والدعاوى القانونية.

يجوز لصاحب البيانات طلب تقييد المعالجة في حالات محددة تتعلق بدقة متنازع عليها أو معالجة غير مشروعة أو دعاوى قانونية أو اعتراض معلق. ولا تُستخدم البيانات المقيدة إلا لأسباب محدودة.

يجب على المتحكم إخطار المستلمين بالتصحيح أو المحو أو التقييد ما لم يكن ذلك مستحيلاً أو غير متناسب، وبيان المستلمين لصاحب البيانات عند الطلب.

في المعالجة الآلية المؤهلة القائمة على الموافقة أو العقد، يجوز لصاحب البيانات تلقي بياناته بتنسيق منظم وشائع وقابل للقراءة آلياً ونقلها إلى متحكم آخر.

يجوز لصاحب البيانات الاعتراض على المعالجة القائمة على مهمة عامة أو مصلحة مشروعة، بما فيها التنميط. ويجب وقف التسويق المباشر عند الاعتراض، مع استثناء المصلحة العامة للبحث.

يتمتع الأفراد بالحماية من القرارات الآلية بالكامل ذات الأثر القانوني أو المماثل، مع استثناءات محدودة وضمانات تشمل التدخل البشري وإمكانية الطعن في القرار.

يجوز تقييد بعض الالتزامات والحقوق بتدابير تشريعية متناسبة لحماية مصالح عامة محددة أو التحقيقات أو المحاكم أو الواجبات المهنية أو حقوق الآخرين، مع الضمانات اللازمة.

يجب على المتحكمين تنفيذ ومراجعة تدابير وسياسات تقنية وتنظيمية متناسبة تكفل الامتثال وتثبته، مع مراعاة المخاطر والسياق والنطاق والغرض.

يجب على المتحكمين إدماج مبادئ وضمانات حماية البيانات في الأنظمة والمعالجة، وضمان أن تقتصر الإعدادات الافتراضية على البيانات والنطاق والاحتفاظ والإتاحة اللازمة لكل غرض.

يجب على المتحكمين التسجيل ودفع رسوم حماية البيانات ورسوم التجديد المقررة والمحافظة على البيانات المطلوبة لدى المفوض، وفق القواعد والاستثناءات المطبقة.

يجب على المتحكمين المشتركين توزيع مسؤولياتهم بشفافية في ترتيب، وإتاحة جوهره لأصحاب البيانات وتحديد نقطة اتصال، دون تقييد حقوق الفرد تجاه كل متحكم.

لا يجوز للمتحكمين استخدام إلا المعالجين الذين يقدمون ضمانات كافية. ويجب أن تحكم المعالجةَ اتفاقيةٌ بالمحتوى المقرر، وأن يتطلب المعالج الفرعي تصريحاً والتزامات مماثلة.

لا يجوز للمعالج أو للشخص الذي يعمل تحت سلطته معالجة البيانات الشخصية إلا بناءً على تعليمات المتحكم، ما لم يوجب القانون المطبق خلاف ذلك.

يجب على المتحكمين والمعالجين والممثلين الاحتفاظ بسجلات مكتوبة مقررة لأنشطة المعالجة وإتاحتها للمفوض عند الطلب.

يجب على المتحكمين والمعالجين وممثليهم التعاون مع المفوض في أداء مهامه الرسمية.

قد تشمل تدابير الأمن المناسبة القائمة على المخاطر إخفاء الهوية الجزئي والتشفير والمرونة والاستعادة والاختبار المنتظم. ويجب أن يشمل تقييم المخاطر الفقد أو التغيير أو الإفصاح أو الوصول العرضي أو غير المشروع.

عند انتهاء المنشأة أو المعالجة ذات الصلة، يجب على المتحكم حذف البيانات بأمان أو إخفاء هويتها أو نقلها حسب المطلوب، مع حفظ أدلة الامتثال والاحتفاظ المشروع.

يجب على المتحكم إخطار المفوض بخرق مؤهل للبيانات دون تأخير غير مبرر، وحيثما أمكن خلال 72 ساعة. وعلى المعالج إخطار المتحكم دون تأخير، ويجب توثيق الخروقات.

إذا كان الخرق يُحتمل أن يسبب مخاطر عالية، فيجب إبلاغ أصحاب البيانات المتأثرين دون تأخير وبوضوح، ما لم تبرر الحماية الفعالة أو زوال الخطر لاحقاً أو الجهد غير المتناسب بديلاً مناسباً.

قبل المعالجة المحتمل أن تنطوي على مخاطر عالية، يجب على المتحكم إجراء تقييم أثر يشمل العمليات والضرورة والتناسب والمخاطر والضمانات، والتشاور مع المفوض إذا بقيت مخاطر عالية.

يلزم تعيين مسؤول حماية بيانات لمعالجة الجهات العامة وللمراقبة المنتظمة واسعة النطاق أو معالجة البيانات الحساسة المحددة. ويجوز للمجموعات مشاركة مسؤول يسهل الوصول إليه مع نشر بيانات الاتصال وإخطارها.

يجب إشراك مسؤول حماية البيانات في الوقت المناسب ودعمه بالموارد وأن يعمل باستقلال ومن دون مهام متعارضة، وأن يرفع تقاريره إلى أعلى مستوى إداري ويلتزم بالسرية.

يقدم مسؤول حماية البيانات المشورة بشأن الالتزامات ويراقب الامتثال والتدريب ويقدم المشورة في تقييمات الأثر ويتعاون مع المفوض ويعمل كنقطة اتصال رقابية وفق نهج قائم على المخاطر.

يجوز للجمعيات والهيئات الممثلة إعداد مدونات أو تعديلها لتحديد التطبيق العملي للوائح. وتتطلب المدونات الاعتماد ويمكن أن تستخدم جهات مراقبة معتمدة.

يجوز استخدام آليات وشعارات وعلامات الشهادات الطوعية لإثبات الامتثال وفق معايير معتمدة، دون أن تقلل الشهادة مسؤولية المتحكم أو المعالج أو صلاحيات المفوض.

لا يجوز نقل البيانات خارج سوق أبوظبي العالمي أو إلى منظمة دولية إلا وفق الجزء الخامس، وألا يقوض مستوى الحماية الذي تكفله اللوائح، بما في ذلك النقل اللاحق.

يجوز النقل دون تصريح خاص إذا اعترف المفوض بمستوى حماية ملائم بعد تقييم ومراجعة دورية للاختصاص أو القطاع أو المنظمة المعنية.

عند غياب الملاءمة، يتطلب النقل ضمانات مناسبة وحقوقاً قابلة للإنفاذ، مثل البنود التعاقدية المعتمدة أو الأدوات الملزمة أو المدونات أو الشهادات، مع التصريح حيثما يلزم.

يجوز للمفوض اعتماد قواعد مجموعة ملزمة قانوناً وقابلة للإنفاذ تمنح حقوقاً لأصحاب البيانات وتتضمن الهيكل والضمانات والشكاوى والتدقيق والتعاون المقرر.

عند غياب الملاءمة والضمانات، قد يعتمد النقل المحدود على موافقة صريحة ومستنيرة أو عقد أو مصلحة عامة مهمة أو دعاوى قانونية أو مصالح حيوية أو سجلات عامة أو مصلحة مشروعة قهرية مضبوطة بدقة.

يجب أن يستند الإفصاح لسلطة عامة خارج السوق إلى سند قانوني مطبق أو تعاون دولي معترف به، وأن يظل ضرورياً ومتناسباً وخاضعاً لضمانات حماية البيانات.

يجوز للمفوض تطوير التعاون الدولي والمساعدة المتبادلة وتبادل المعلومات وترتيبات الإنفاذ المشتركة لحماية البيانات الشخصية، مع الضمانات المناسبة.

تنشئ اللوائح مفوض ومكتب حماية البيانات بوصفهما السلطة الإشرافية المستقلة المسؤولة عن مراقبة الإطار وإنفاذه.

يجب أن يعمل المفوض باستقلال تام وأن يكون بمنأى عن التأثير والتعليمات الخارجية وأن يتجنب الأنشطة المتعارضة وأن يتلقى الموارد اللازمة لأداء مهامه بفعالية.

يدعم موظفو المكتب مهام المفوض ويظلون خاضعين للسرية المهنية والنزاهة وتعارض المصالح وغيرها من الالتزامات النظامية أثناء الخدمة وبعدها.

للمفوض صلاحيات المراقبة والتحقيق والتصحيح والتصريح والمشورة، بما يشمل طلب المعلومات وإجراء التدقيق وإصدار الإنذارات والتوجيهات وفرض الغرامات الإدارية.

يجب أن تكون للمكتب ميزانية مستقلة وكافية تُعد وتُعتمد وتُدار وفق الترتيبات النظامية التي تحافظ على الاستقلال الرقابي والمساءلة.

يجب على المكتب الاحتفاظ بحسابات وسجلات سليمة وإعداد البيانات المالية وترتيب تدقيق مستقل وفق المتطلبات المقررة.

يجب على المفوض نشر تقرير سنوي عن الأنشطة الإشرافية، وقد يشمل المخالفات المبلغة والتدابير المتخذة وغيرها من المعلومات اللازمة للشفافية والمساءلة.

يجوز للمفوض إصدار توجيهات قابلة للإنفاذ تفرض إجراءً أو تقييداً أو تعليقاً أو وقفاً محدداً لضمان الامتثال، مع الإخطار والأسباب وحقوق المراجعة المطبقة.

يجب أن تكون الغرامات الإدارية فعالة ومتناسبة ورادعة. ويراعي المفوض طبيعة المخالفة ومدتها وخطورتها والقصد والتخفيف والتعاون وفئات البيانات والسجل السابق والعوامل المقررة الأخرى، ضمن الحدود القصوى النظامية.

قد يترتب على عدم دفع رسوم حماية البيانات أو التجديد غرامة ثابتة وفق الإجراء المقرر، دون المساس بتحصيل الرسم الأصلي أو أي إنفاذ آخر.

يجوز لصاحب البيانات تقديم شكوى إلى المفوض بشأن معالجة يُدعى أنها تخالف اللوائح. وعلى المفوض معالجتها وإبلاغ الشاكي بالتقدم والنتيجة، مع حقوق المراجعة.

يجوز للأشخاص المتأثرين بقرارات محددة للمفوض أو امتناعه اللجوء إلى محكمة سوق أبوظبي العالمي لطلب سبل الانتصاف والمراجعة المتاحة وفق اللوائح وإجراءات المحكمة.

يجوز لمن لحقه ضرر مادي أو معنوي بسبب مخالفة طلب التعويض من المتحكم أو المعالج المسؤول، وفق توزيع المسؤولية وحقوق الرجوع.

يجوز للمجلس إصدار القواعد اللازمة أو المناسبة لتنفيذ اللوائح، بما في ذلك الإجراءات التفصيلية والضمانات والرسوم والاستثناءات والمسائل ذات الصلة ضمن السلطة المخولة.

يجب مواءمة الاتفاقيات والترتيبات القائمة التي تشمل بيانات شخصية مع اللوائح والمحافظة على امتثالها وفق الأحكام الانتقالية المطبقة.

تعرّف هذه المادة المصطلحات الرئيسية للإطار، ومنها المتحكم والمعالج وصاحب البيانات والبيانات الشخصية والمعالجة والتنميط والموافقة والخرق والفئات الخاصة والمنظمة الدولية.

تُلغى لوائح حماية البيانات 2015 مع مراعاة أحكام النفاذ والانتقال التي تحفظ الآثار القانونية اللازمة وتضمن الانتقال المنظم إلى إطار 2021.

تسمى الأداة لوائح حماية البيانات 2021 وتسري في سوق أبوظبي العالمي. وقد قررت فترات انتقالية من تاريخ النشر، منها ستة أشهر للمنشآت الجديدة واثنا عشر شهراً للمنشآت القائمة.