أرسل عميلك استبيانًا بشأن قانون PDPL. هذه هي المستندات التي يتوقعها

بالنسبة لكثير من الشركات الصغيرة في الإمارات، لا يكون أول احتكاك بقانون PDPL مع جهة رقابية، بل مع استبيان مشتريات من عميل أكبر. تتنوع الأسئلة، لكنها تتمحور حول مجموعة صغيرة من المستندات. وتجهيزها مسبقًا يحوّل أسبوعًا من المراسلات إلى ما بعد ظهر يوم واحد.

الأسئلة، والمستند الذي يجيب عن كل منها

• «هل تحتفظون بسجل لأنشطة المعالجة؟» سجل أنشطة المعالجة (ROPA) الذي تشترطه المادتان 7 و8: ما البيانات، ولأي غرض، وعلى أي أساس قانوني، ومع من تتم مشاركتها، وكم مدة الاحتفاظ بها.
• «يُرجى تقديم إشعار الخصوصية الخاص بكم.» إشعار مكتوب وفق قانون PDPL، يذكر مكتب الإمارات للبيانات والأسس القانونية الصحيحة.
• «من المسؤول عن حماية البيانات؟» مسؤول حماية بيانات (DPO) مُسمّى حيث تشترط المادة 10 تعيينه، وإلا فمسؤول خصوصية مُسمّى.
• «هل تستعينون بمعالجين من الباطن؟ أين تُخزَّن البيانات؟» قائمة مزوّديك ومناطق استضافتهم، والعقود التي تُلزمهم (المادة 8).
• «كيف ستتعاملون مع خرق للبيانات الشخصية؟» إجراء مكتوب للتعامل مع الخروقات يغطي الإبلاغ المنصوص عليه في المادة 9، ويُفضَّل أن يكون مصحوبًا بما يثبت التدرب عليه.
• «ما التدابير الأمنية التي تطبقونها؟» المصادقة متعددة العوامل (MFA)، والتشفير، والتحكم في الوصول، والنسخ الاحتياطي، وتسجيل الأحداث: التدابير التقنية والتنظيمية المنصوص عليها في المادة 20.
• «كيف تتعاملون مع طلبات أصحاب البيانات؟» إجراء للوصول والتصحيح والمحو والاعتراض (المواد من 13 إلى 18).

ما يبحث عنه المراجعون فعلًا

الاتساق. يجب أن يروي إشعار الخصوصية وسجل أنشطة المعالجة وقائمة الموردين القصة نفسها. فإشعار لا يذكر أي نقل للبيانات إلى الخارج، إلى جانب قائمة موردين مليئة بأدوات SaaS أمريكية، هو نوع التناقض الذي يستدعي أسئلة متابعة.

التفاصيل المحددة بدل العبارات العامة. عبارة «نأخذ الأمن على محمل الجد» لا تفيد شيئًا. أما «المصادقة متعددة العوامل مفروضة على البريد الإلكتروني وحسابات المسؤولين، والحواسيب المحمولة تستخدم تشفير القرص بالكامل» فتجيب عن السؤال.

تجميع المستندات

تُعدّ عُدّة PDPL لدينا كل هذه المستندات من استبيان واحد، متسقة فيما بينها لأنها مُعدّة من الإجابات نفسها: تقرير الفجوات، وإشعار الخصوصية، وسجل أنشطة المعالجة، وإجراءات الطلبات والخروقات، واتفاقية معالجة بيانات (DPA) للموردين، وتقييم أثر (DPIA)، وجدول الاحتفاظ بالبيانات.