صدر قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020 ليضع لأوّل مرّة إطارًا تشريعيًّا شاملًا لجمع البيانات الشخصية ومعالجتها وحفظها ونقلها في مصر. ويهمّ هذا القانون كل شركة تجمع أسماء عملائها أو أرقام هواتفهم أو عناوين بريدهم أو بيانات موظّفيها، أي أنه يهمّ كل شركة تقريبًا مهما صغر حجمها. ولم يعد السؤال اليوم هو هل تنطبق عليك هذه القواعد، بل كيف تثبت أنك تطبّقها حين يُطلب منك ذلك. وكثير من الشركات تتعامل مع الموضوع بوصفه ملفًّا قانونيًّا مؤجّلًا، ثم تكتشف أن الالتزام يمسّ عملها اليومي: نماذج التسجيل، وقوائم العملاء، وملفّات الموظّفين، والعقود.
في هذا الدليل نقدّم شرحًا منظّمًا لأهمّ ما جاء في القانون: نطاقه، ومفاهيمه الأساسية، وحقوق صاحب البيانات، والتزامات المتحكّم والمعالج، ودور مركز حماية البيانات الشخصية. ونقف عند كل نقطة لنبيّن لماذا تهمّ، وكيف تطبّقها تطبيقًا صحيحًا، وما الخطأ الذي تقع فيه الشركات عادةً، مع مثال عملي. ونختم بقائمة تحقّق وأسئلة شائعة. ونتعمّد هنا ألّا نذكر أرقام موادّ بعينها، لأن الغرض فهم المنطق العامّ للقانون، والتفاصيل الدقيقة تُراجع في النصّ الرسمي ولائحته التنفيذية مع محامٍ متخصّص.
لماذا صدر القانون، ولماذا يهمّ شركتك الآن؟
تضاعف حجم البيانات التي تجمعها الشركات خلال سنوات قليلة: تطبيقات، ومتاجر إلكترونية، وحملات تسويق بالرسائل، وأنظمة موارد بشرية، ومنصّات توقيع. وكانت هذه البيانات قبل القانون تُجمع وتُتداول بلا قواعد واضحة، فيُباع رقم الهاتف ضمن قوائم تسويقية، وتُحفظ صور البطاقات في مجلّدات مشتركة، ولا يعرف صاحب البيانات من يملك معلوماته ولا لماذا. وجاء القانون ليقرّر أن البيانات الشخصية ليست ملكًا مطلقًا لمن جمعها، وأن لصاحبها حقوقًا يجب احترامها.
ويهمّ القانون شركتك لثلاثة أسباب عملية. الأول قانوني، لأنه يرتّب جزاءات على المخالفات تشمل غرامات وعقوبات قد تطال المسؤولين. والثاني تجاري، لأن الشركات الكبرى والجهات الأجنبية صارت تسأل مورّديها عن سياسات حماية البيانات قبل التعاقد. والثالث يتعلّق بالسمعة، لأن تسرّبًا واحدًا لبيانات العملاء قد يهدم ثقة بُنيت في سنوات. والخطأ الشائع هنا أن تظنّ الشركة الصغيرة أنها خارج النطاق لأنها لا تملك قاعدة بيانات ضخمة، والحقيقة أن جدول إكسل بأسماء العملاء وأرقامهم بيانات شخصية تخضع للقانون.
نطاق القانون: على من ينطبق؟
ينطبق القانون على البيانات الشخصية المعالَجة إلكترونيًّا كليًّا أو جزئيًّا، أي على معظم ما تفعله الشركات اليوم. ويشمل ذلك الجهات التي تعالج بيانات أشخاص طبيعيين داخل مصر، وقد يمتدّ إلى جهات خارجها حين تتعلّق المعالجة بمصريين أو مقيمين فيها وفق الضوابط التي يحدّدها القانون. والمهمّ أن تفهم أن القانون يحمي الشخص الطبيعي، أي الإنسان، لا الشركات بوصفها أشخاصًا اعتبارية. فبيانات الشركة العميلة نفسها، كسجلّها التجاري، ليست موضوعه، لكن اسم مديرها ورقم هاتفه الشخصي بيانات شخصية.
وتوجد استثناءات يحدّدها القانون لحالات معيّنة، مثل بعض الاستعمالات الشخصية البحتة وبعض ما يتعلّق بالجهات القضائية والأمنية وفق ضوابطها. ولا ينبغي للشركة التجارية أن تبني خطّتها على افتراض أنها مستثناة، فالأصل أنها داخل النطاق. والتطبيق الصحيح أن تبدأ بحصر الأنشطة التي تعالج فيها بيانات أشخاص، ثم تسأل لكل نشاط: ما البيانات، ولماذا نجمعها، وأين تُحفظ، ومن يطّلع عليها.
مثال: شركة توزيع صغيرة تظنّ أن القانون لا يعنيها لأنها تتعامل مع شركات لا أفراد. لكن عند الحصر تكتشف أنها تحتفظ بأرقام هواتف مندوبي المشتريات لدى عملائها، وصور بطاقات موظّفيها، وسجلّ كاميرات المراقبة في المخزن. كل ذلك بيانات شخصية، وكل نشاط منها يحتاج أساسًا وضوابط.
المفاهيم الأساسية التي يجب أن تعرفها
يقوم القانون على عدد من المفاهيم التي يتكرّر ذكرها، وفهمها شرط لفهم الالتزامات. والجدول التالي يلخّص أهمّها بلغة عملية:
| المفهوم | معناه العملي | مثال |
|---|---|---|
| البيانات الشخصية | أي معلومة تحدّد شخصًا طبيعيًّا أو تجعل تحديده ممكنًا | الاسم، والرقم القومي، والهاتف، والبريد، والعنوان، وعنوان الجهاز على الشبكة |
| البيانات الحسّاسة | فئة أشدّ حماية لأن كشفها يضرّ صاحبها ضررًا بالغًا | البيانات الصحّية، والبيانات البيومترية كبصمة الوجه، والبيانات المالية، وبيانات الأطفال |
| المعالجة | أي عملية تُجرى على البيانات | الجمع، والتسجيل، والحفظ، والتعديل، والإرسال، والحذف |
| المتحكّم | الجهة التي تحدّد الغرض من المعالجة ووسيلتها | الشركة التي تجمع بيانات عملائها لإبرام العقود |
| المعالج | الجهة التي تعالج البيانات لحساب المتحكّم وبتعليماته | مزوّد الاستضافة أو منصّة البريد أو منصّة التوقيع |
| مسؤول حماية البيانات | شخص داخل الجهة يتابع الالتزام ويتواصل مع المركز | موظّف مختصّ أو مستشار خارجي حسب حجم الجهة |
والخطأ الشائع هو الخلط بين المتحكّم والمعالج. فالشركة التي تستعمل منصّة سحابية لحفظ بيانات عملائها تبقى هي المتحكّم، وتبقى مسؤولة أمام العميل وأمام المركز، ولا تنتقل مسؤوليتها إلى المنصّة لمجرّد أن البيانات محفوظة عندها. لذلك يجب أن يكون بينهما عقد يحدّد التزامات المعالج بوضوح.
المبادئ العامّة لمعالجة البيانات
يضع القانون مبادئ عامّة تحكم كل معالجة، وهي المرجع الذي تُقاس عليه أي ممارسة. وتتلخّص في أن تُجمع البيانات لغرض مشروع ومحدّد ومعلَن، وأن تكون كافية لهذا الغرض بلا زيادة، وأن تكون صحيحة ومحدّثة، وألّا تُحفظ أطول من المدّة اللازمة، وأن تُؤمَّن بإجراءات مناسبة. وهذه المبادئ تبدو بديهية، لكن تطبيقها يتطلّب قرارات واضحة في كل نشاط.
مبدأ الغرض المحدّد
يعني أن تعرف لماذا تجمع البيانات قبل أن تجمعها، وأن تخبر صاحبها بذلك، وألّا تستعملها لاحقًا في غرض آخر لا يتوافق مع الغرض الأول. فإن جمعت رقم هاتف العميل لإرسال رمز التحقّق في عقد، فلا يصحّ أن تضيفه بعد ذلك إلى حملة تسويقية دون أساس مستقلّ. والخطأ الشائع أن تُكتب في نموذج التسجيل عبارة عامّة مثل «لأغراض العمل»، وهي لا تحدّد شيئًا.
مبدأ تقليل البيانات
اجمع ما تحتاجه فعلًا فقط. فإذا كان عقد الخدمة يكفيه الاسم والبريد ورقم الهاتف، فلا داعي لطلب تاريخ الميلاد والحالة الاجتماعية. وكل حقل إضافي عبء: يحتاج حماية، ويزيد أثر أي تسرّب، وقد يُسأل عنه عند التفتيش. والتطبيق العملي أن تراجع نماذجك كلها وتحذف كل حقل لا تستطيع أن تشرح سبب وجوده في جملة واحدة.
مبدأ مدّة الحفظ
لا تُحفظ البيانات إلى الأبد. حدّد لكل نوع مدّة مرتبطة بسببها: العقود تُحفظ مدّة تكفي لإثبات الحقوق وفق مدد التقادم، وسجلّات المتقدّمين للوظائف المرفوضين تُحذف بعد مدّة معقولة، وهكذا. والخطأ الشائع أن تُحفظ كل البيانات بلا نهاية «لاحتمال الحاجة»، وهذا يخالف المبدأ ويضاعف المخاطر.
أسس المعالجة المشروعة والموافقة
لا تكون المعالجة مشروعة إلا إذا استندت إلى أساس يقرّه القانون. وأشهر هذه الأسس موافقة صاحب البيانات، لكنها ليست الأساس الوحيد. فهناك المعالجة اللازمة لتنفيذ عقد يكون صاحب البيانات طرفًا فيه، والمعالجة اللازمة للوفاء بالتزام قانوني، وغيرها مما يحدّده القانون. وفهم هذا التنوّع مهمّ، لأن الاعتماد على الموافقة وحدها في كل شيء يوقع الشركة في مشكلة حين يسحب الشخص موافقته.
والموافقة حين تكون هي الأساس يجب أن تكون صريحة وحرّة ومحدّدة ومستنيرة. أي أن يعرف الشخص بماذا يوافق، وأن يوافق بفعل إيجابي واضح، لا بمربّع مختار مسبقًا أو بسكوت. ويجب أن تستطيع الشركة إثبات هذه الموافقة لاحقًا: متى أُعطيت، وعلى أي نصّ، ومن أي قناة.
صيغة مقترحة لموافقة تسويقية منفصلة: «أوافق على أن تستعمل الشركة رقم هاتفي وبريدي الإلكتروني لإرسال عروض ومعلومات عن خدماتها، وأعلم أنني أستطيع سحب هذه الموافقة في أي وقت من رابط إلغاء الاشتراك أو بمراسلة الشركة.»
والخطأ الشائع أن تُدمج الموافقة التسويقية في شروط الخدمة، فيضطرّ العميل إلى قبولها كي يحصل على الخدمة نفسها. والصواب أن تكون منفصلة واختيارية. مثال: منصّة تعليمية تضع في نموذج التسجيل مربّعين؛ الأول إلزامي لقبول الشروط وسياسة الخصوصية، والثاني اختياري لتلقّي العروض. وتحفظ مع كل حساب سجلًّا بنصّ ما وافق عليه وتاريخه.
حقوق صاحب البيانات
يمنح القانون صاحب البيانات حقوقًا يجب أن تستطيع الشركة الاستجابة لها في مدد معقولة. وأهمّها الحقّ في العلم بالبيانات المحفوظة عنه والاطّلاع عليها، والحقّ في تصحيحها إن كانت خاطئة، والحقّ في طلب محوها أو تقييد معالجتها في الحالات التي يحدّدها القانون، والحقّ في العدول عن موافقته، والحقّ في الاعتراض على المعالجة في حالات معيّنة، والحقّ في العلم بأي خرق يمسّ بياناته.
| الحقّ | ما يطلبه الشخص | كيف تستجيب الشركة |
|---|---|---|
| الاطّلاع | «ما البيانات التي تحتفظون بها عنّي؟» | تجمع بياناته من كل الأنظمة وتسلّمه نسخة واضحة بعد التحقّق من هويته |
| التصحيح | «عنواني تغيّر» | تحدّث البيانات في كل الأنظمة لا في نظام واحد |
| المحو | «احذفوا بياناتي» | تحذف ما لا يلزم حفظه، وتشرح ما يجب حفظه بحكم القانون أو العقد |
| العدول عن الموافقة | «لا أريد رسائل تسويقية» | توقف المعالجة القائمة على الموافقة فورًا |
والنقطة الدقيقة هنا هي العلاقة بين حقّ المحو والعقود الموقّعة. فالعميل الذي وقّع عقدًا ثم طلب حذف بياناته لا يُحذف عقده بالضرورة، لأن الشركة قد تحتاج إليه لإثبات حقوقها أو للوفاء بالتزامات قانونية. والتطبيق الصحيح أن تشرح له ذلك كتابةً، وأن تحذف ما سوى ذلك، كالبيانات التسويقية. والخطأ الشائع إمّا تجاهل الطلب كليًّا، وإمّا حذف كل شيء بما فيه أدلّة العقود.
مثال: موظّف سابق يطلب نسخة من كل بياناته. الشركة المنظَّمة تعرف أين تبحث: نظام الرواتب، وملفّ الموظّف، والبريد، ومنصّة التوقيع التي وُقّع عليها عقده. أمّا الشركة غير المنظَّمة فتستغرق أسابيع في البحث، وقد تنسى مصدرًا كاملًا.
التزامات المتحكّم والمعالج
يقع على المتحكّم العبء الأكبر، لأنه صاحب القرار. ومن التزاماته الأساسية أن يحصل على البيانات بأساس مشروع، وأن يحدّد الغرض ويعلنه، وأن يتّخذ إجراءات تأمين مناسبة، وأن يحتفظ بسجلّ لعمليات المعالجة، وأن يتعاقد مع المعالجين بعقود تُلزمهم بالحماية، وأن يعيّن مسؤولًا لحماية البيانات حين يلزمه القانون بذلك، وأن يحصل على الترخيص أو التصريح من المركز في الحالات التي يتطلّبها القانون.
أمّا المعالج فيلتزم بالعمل في حدود تعليمات المتحكّم، وبتأمين البيانات، وبعدم استعمالها لأغراضه الخاصّة، وبإبلاغ المتحكّم بأي خرق. والعقد بينهما هو الذي يترجم هذه الالتزامات إلى بنود قابلة للتطبيق.
بند مقترح في عقد مع مزوّد خدمة: «يلتزم مقدّم الخدمة بمعالجة البيانات الشخصية التي يتلقّاها من العميل لغرض تقديم الخدمة وحده ووفق تعليماته المكتوبة، وباتّخاذ الإجراءات التقنية والتنظيمية المناسبة لحمايتها، وبإخطار العميل دون تأخير بأي خرق يمسّها، وبإعادتها أو حذفها عند انتهاء العقد.»
والخطأ الشائع أن تتعاقد الشركة مع عشرات المزوّدين، من الاستضافة إلى خدمات الرسائل، دون أن يتضمّن أي عقد منها بندًا واحدًا عن البيانات الشخصية. والتطبيق الصحيح أن تُعدّ قائمة بكل المزوّدين الذين تصلهم بيانات شخصية، وأن تراجع عقودهم واحدًا واحدًا.
البيانات الحسّاسة: حماية أشدّ
يخصّ القانون البيانات الحسّاسة بقواعد أشدّ، لأن كشفها قد يعرّض صاحبها للتمييز أو الضرر المالي أو النفسي. وتشمل هذه الفئة عادةً البيانات الصحّية والجينية والبيومترية والمالية وبيانات الأطفال وبعض البيانات المتعلّقة بالمعتقدات والآراء. ومعالجتها تتطلّب في الغالب موافقة صريحة مكتوبة وضوابط إضافية وترخيصًا من المركز.
وهنا تبرز نقطة مهمّة لكل من يستعمل التحقّق من الهوية في العقود: صورة الوجه المأخوذة للمطابقة مع البطاقة بيانات بيومترية. فإذا كنت تطلب من الموقّعين التحقّق من هويتهم، فعليك أن تعرف من يعالج هذه البيانات، وأين تُحفظ، ومدّة حفظها، وأن تُعلم الموقّع بذلك قبل البدء. وفي منصّة وثائق يجري التحقّق من الهوية عبر مزوّد خارجي متخصّص، ويُعرض على الموقّع ما سيحدث قبل أن يبدأ، فيعرف أن صورة وجهه ووثيقته ستُستعمل للتحقّق.
والخطأ الشائع أن تُجمع صور البطاقات عبر واتساب وتُحفظ في هواتف الموظّفين، فتصير بيانات حسّاسة منتشرة بلا أي ضبط. مثال: مكتب عقارات يطلب من كل مستأجر صورة بطاقته على واتساب. بعد سنة يكون في هاتف كل موظّف مئات الصور، ويغادر موظّف ويأخذ هاتفه معه. والبديل أن تُجمع الوثائق عبر نظام واحد مؤمَّن بصلاحيات محدّدة.
نقل البيانات عبر الحدود
يقيّد القانون نقل البيانات الشخصية إلى خارج مصر، فلا يجوز إلا إلى دول توفّر مستوى حماية لا يقلّ عمّا يوفّره القانون، أو وفق ضوابط وتراخيص يحدّدها المركز. وهذه النقطة تمسّ كل شركة تستعمل خدمات سحابية عالمية، لأن الخوادم كثيرًا ما تكون خارج البلاد. والتطبيق الصحيح أن تعرف أين تُحفظ بيانات عملائك فعلًا، وأن تراجع موقف مزوّديك، وأن تستشير مختصًّا في متطلّبات الترخيص.
والخطأ الشائع أن تفترض الشركة أن استعمال خدمة مشهورة يعني الالتزام تلقائيًّا. فشهرة المزوّد لا تُغني عن معرفة موقع الخوادم والأساس القانوني للنقل. مثال: شركة تستعمل نظام إدارة علاقات عملاء خوادمه في دولة أخرى، فتحتاج إلى تقييم هذا النقل وتوثيقه قبل أن يُسأل عنه.
خرق البيانات: ماذا تفعل حين يقع؟
يلزم القانون بإبلاغ المركز بأي خرق يمسّ البيانات الشخصية خلال مدّة قصيرة يحدّدها، وبإبلاغ أصحاب البيانات في حالات معيّنة. ولذلك يجب أن تملك الشركة خطّة جاهزة قبل وقوع الحادثة، لا أن ترتجلها بعدها. وتتضمّن الخطّة: من يُبلَّغ داخليًّا أوّلًا، وكيف يُحدَّد نطاق الخرق، ومن يتواصل مع المركز، وما الرسالة التي تُرسل للمتأثّرين.
- احتواء الخرق: إيقاف الوصول غير المشروع وتغيير كلمات المرور والمفاتيح.
- تقييم النطاق: ما البيانات التي تأثّرت، وكم شخصًا، وما مدى خطورتها.
- التوثيق: تسجيل ما حدث ومتى اكتُشف وما الإجراءات المتّخذة.
- الإبلاغ: إخطار المركز في المدّة المحدّدة، وإخطار المتأثّرين حين يلزم.
- المعالجة: إصلاح السبب الجذري ومراجعة الضوابط حتى لا يتكرّر.
والخطأ الشائع هو الإخفاء على أمل ألّا يعرف أحد، وهذا يضاعف المسؤولية حين يُكتشف الأمر لاحقًا. مثال: موظّف يرسل ملفًّا فيه بيانات مئتي عميل إلى بريد خاطئ. الشركة المنظَّمة تطلب من المستلم حذفه وتوثّق ذلك، وتقيّم هل يستلزم الأمر إبلاغًا، ثم تراجع إجراءات إرسال الملفّات.
دور مركز حماية البيانات الشخصية
أنشأ القانون مركزًا لحماية البيانات الشخصية يتولّى الإشراف على تطبيقه. ومن مهامّه إصدار التراخيص والتصاريح، ووضع المعايير والضوابط، وتلقّي الشكاوى والتحقيق فيها، ومتابعة الالتزام. ويعني ذلك أن صاحب البيانات الذي يشعر بانتهاك حقّه يملك جهة يشكو إليها، وأن الشركة قد تُسأل عن ممارساتها في أي وقت.
والتطبيق العملي أن تتابع الشركة ما يصدر عن المركز من قرارات وضوابط، لأن اللائحة التنفيذية والقرارات التنظيمية هي التي تحدّد كثيرًا من التفاصيل الإجرائية كأنواع التراخيص ومددها. والخطأ الشائع أن تُبنى الخطّة على قراءة قديمة أو على مقال عامّ دون الرجوع إلى أحدث ما صدر.
كيف ينعكس القانون على العقود الإلكترونية؟
العقود من أكثر المستندات احتواءً على البيانات الشخصية: الاسم الكامل، والرقم القومي، والعنوان، والهاتف، والبريد، وأحيانًا بيانات مالية. وحين تنتقل العقود إلى الشكل الإلكتروني، تحتاج الشركة إلى منصّة تمكّنها من ضبط من يرى ماذا، ومن حفظ سجلّ واضح لما جرى على كل عقد، ومن عدم تشتيت البيانات بين البريد والهواتف.
ومنصّة وثائق تساعد في هذا الجانب: يُرسَل العقد إلى الموقّع برابط خاصّ، ويُرسل رمز التحقّق إلى بريده أو واتساب، ويُحفظ سجلّ تدقيق يبيّن متى فُتح العقد ومتى وُقّع، وتُضبط صلاحيات أعضاء الفريق فلا يطّلع كل موظّف على كل العقود. وهذا لا يعني أن المنصّة تُغني الشركة عن سياستها الخاصّة، فالشركة تبقى المتحكّم المسؤول، لكنها تجعل تطبيق السياسة أسهل وأوضح.
خطّة عملية للبدء في شركتك
- الحصر: أعدّ قائمة بكل نشاط تُعالج فيه بيانات شخصية، ومصدرها، ومكان حفظها، ومن يطّلع عليها.
- الأساس القانوني: حدّد لكل نشاط أساسه: عقد، أو التزام قانوني، أو موافقة.
- التقليل: احذف من النماذج كل حقل لا تحتاجه.
- سياسة الخصوصية: اكتب سياسة واضحة بلغة مفهومة وانشرها.
- عقود المزوّدين: أضف بنود حماية البيانات إلى كل عقد مع معالج.
- الصلاحيات: اقصر الاطّلاع على من يحتاج إليه.
- مدد الحفظ: حدّد مدّة لكل نوع بيانات وطبّق الحذف.
- خطّة الخرق: اكتبها ودرّب الفريق عليها.
- المسؤول: عيّن شخصًا يتابع الملفّ ويتواصل مع المركز.
قائمة تحقّق سريعة
- هل نعرف كل الأماكن التي تُحفظ فيها بيانات العملاء والموظّفين؟
- هل لكل نوع بيانات غرض مكتوب وأساس قانوني؟
- هل الموافقة التسويقية منفصلة واختيارية ومسجّلة؟
- هل نستطيع الاستجابة لطلب اطّلاع خلال مدّة معقولة؟
- هل عقود المزوّدين تتضمّن بنود حماية البيانات؟
- هل البيانات الحسّاسة محصورة في نظام مؤمَّن بصلاحيات؟
- هل نعرف أين تُحفظ بياناتنا جغرافيًّا؟
- هل لدينا خطّة مكتوبة للتعامل مع الخرق؟
أسئلة شائعة
هل ينطبق القانون على الشركات الصغيرة؟
نعم، فالمعيار هو معالجة بيانات أشخاص طبيعيين لا حجم الشركة. وقد تختلف بعض المتطلّبات الإجرائية بحسب حجم المعالجة وطبيعتها، لكن المبادئ العامّة تنطبق على الجميع.
هل يجب الحصول على موافقة لكل معالجة؟
لا. الموافقة أحد الأسس المشروعة، وتوجد أسس أخرى كتنفيذ العقد والوفاء بالتزام قانوني. والمهمّ أن تحدّد الأساس الصحيح لكل نشاط.
هل يحقّ للعميل طلب حذف عقده الموقّع؟
يحقّ له طلب المحو، لكن الشركة قد تحتفظ بالعقد إن كان لازمًا لإثبات حقوقها أو للوفاء بالتزام قانوني، مع شرح ذلك له وحذف ما سواه من بيانات غير لازمة.
هل صورة الوجه في التحقّق من الهوية بيانات حسّاسة؟
صورة الوجه المستعملة للمطابقة تُعدّ بيانات بيومترية، وهي من الفئات التي يخصّها القانون بحماية أشدّ، فتحتاج إلى إعلام واضح وضوابط مناسبة.
هل استعمال منصّة سحابية ينقل المسؤولية إليها؟
لا. تبقى الشركة متحكّمًا مسؤولًا، والمنصّة معالجًا يعمل لحسابها، ويجب أن يحدّد العقد بينهما التزامات الحماية.
الخلاصة
قانون حماية البيانات الشخصية ليس ملفًّا يُنجز مرّة ثم يُنسى، بل طريقة عمل تمسّ كل نموذج وكل عقد وكل مزوّد. والشركة التي تبدأ بالحصر والتقليل والتوثيق تقطع معظم الطريق. وإن كانت عقودك جزءًا كبيرًا من بياناتك، فابدأ بتنظيمها في مكان واحد مضبوط الصلاحيات وله سجلّ واضح. جرّب منصّة وثائق لإرسال عقودك وتوقيعها وحفظها بسجلّ تدقيق كامل.
هذا المقال للتوعية العامّة، ولا يُعدّ استشارة قانونية.