إذا كنت تدير نشاطاً تجارياً في قطر وتجمع أسماء أو أرقام هواتف أو تفاصيل البطاقة الشخصية القطرية أو معلومات الرواتب أو سجلات العملاء أو أي بيانات أخرى مرتبطة بأفراد يمكن التعرف عليهم، فأنت تتعامل مع بيانات شخصية — وتفرض عليك قوانين الخصوصية في قطر حماية هذه البيانات.
الإطار الرئيسي المعتمد في الدولة هو القانون رقم 13 لسنة 2016 بشأن حماية خصوصية البيانات الشخصية، المعروف باسم قانون حماية خصوصية البيانات الشخصية (PDPPL). تم نشر القانون ودخل حيز التنفيذ في 29 ديسمبر 2016، وأُعطيت المؤسسات فترة ستة أشهر لتعديل ممارساتها بما يتوافق مع أحكامه.
لا يوجد في القانون شرط عام يلزم كل جهة تتحكم في البيانات بالتسجيل لمجرد أنها تعالج بيانات شخصية. لكن هناك نظام تصاريح مهم يتعلق بالبيانات الشخصية ذات الطبيعة الخاصة.
أي خرق للبيانات الشخصية يصل إلى مستوى الضرر الجسيم يجب الإبلاغ عنه وفق نظام الإبلاغ عن الخروقات في قطر. توجيهات وكالة الأمن السيبراني الوطنية الحالية تشترط الإبلاغ عن الخروقات المؤهلة دون تأخير وخلال 72 ساعة.
العقوبات كبيرة: حسب المادة المخالفة، ينص القانون على غرامات تصل إلى مليون ريال قطري أو حتى خمسة ملايين ريال قطري. هذه هي العقوبات القصوى، وليست نطاقاً من مليون إلى خمسة ملايين ريال قطري.
يقدم هذا الدليل شرحاً لما يعنيه الامتثال لقوانين حماية البيانات والخصوصية للأعمال التجارية في قطر — سواء كنت شركة ناشئة في لوسيل، أو عيادة في السد، أو شركة تجارية راسخة في المنطقة الصناعية.
ما الذي يطلبه القانون فعلياً
ينطبق قانون حماية خصوصية البيانات الشخصية (PDPPL) على البيانات الشخصية عندما تكون:
- معالجة إلكترونياً؛
- تم الحصول عليها أو جمعها أو استخراجها استعداداً للمعالجة الإلكترونية؛ أو
- معالجة باستخدام مزيج من الوسائل الإلكترونية والتقليدية.
المعالجة الشخصية أو العائلية البحتة، والبيانات الشخصية التي تتم معالجتها لأغراض إحصائية رسمية وفق القانون ذي الصلة، لا تدخل ضمن نطاق القانون العام.
عملياً، معظم الشركات الحديثة التي تستخدم أنظمة إدارة علاقات العملاء، قواعد بيانات الموارد البشرية، البريد الإلكتروني، التخزين السحابي، المواقع الإلكترونية، التطبيقات، برامج الرواتب أو سجلات العملاء الإلكترونية، ستتعامل مع معالجة بيانات تقع ضمن إطار القانون.
إذا كانت مؤسستك هي صاحبة القرار الرئيسي في تحديد سبب وكيفية معالجة البيانات الشخصية، فأنت تعتبر جهة تحكم. أما الطرف الثالث الذي يعالج البيانات بناءً على تعليماتك، فهو عادةً جهة معالجة.
المبادئ الأساسية للامتثال تشمل:
- المعالجة المشروعة والعادلة — معالجة البيانات الشخصية بصدق ولأغراض مشروعة. وفق المادة 4، غالباً ما تتطلب المعالجة موافقة الفرد إلا إذا كانت ضرورية لغرض مشروع للجهة المتحكمة أو الطرف الثالث المستلم للبيانات.
- الشفافية — قبل بدء المعالجة، يجب إبلاغ الأفراد بهوية الجهة، سبب معالجة بياناتهم، نوع المعالجة التي ستتم ومستوى الإفصاح المرتبط بها.
- تقليل البيانات — جمع البيانات ذات الصلة والكافية للغرض المشروع بدلاً من جمع معلومات لمجرد القدرة على ذلك.
- الدقة والاحتفاظ — الحفاظ على المعلومات دقيقة وكاملة ومحدثة، وعدم الاحتفاظ بها لفترة أطول من اللازم للغرض المشروع.
- الأمان — تطبيق إجراءات إدارية وفنية وبدنية مناسبة لطبيعة وأهمية البيانات الشخصية.
- المساءلة — مراجعة ضوابط الخصوصية قبل إدخال أي معالجة جديدة، تدريب الموظفين، الحفاظ على إجراءات الشكاوى وإدارة البيانات، مراقبة الجهات المعالجة وتدقيق الامتثال.
- حقوق الأفراد — يمكن للأفراد سحب الموافقة في الحالات المناسبة، الاعتراض على بعض أنواع المعالجة، طلب حذف أو تصحيح البيانات والحصول على حق الوصول إلى بياناتهم الشخصية.
أي قانون ينطبق على نشاطك التجاري
هناك نظامان رئيسيان للخصوصية في قطر للأعمال التجارية، وتحديد النظام الصحيح هو الخطوة الأولى.
قطر الرئيسية — القانون رقم 13 لسنة 2016
بالنسبة للجهات العاملة ضمن الإطار القانوني الرئيسي في قطر، القانون الأساسي للخصوصية هو القانون رقم 13 لسنة 2016 بشأن حماية خصوصية البيانات الشخصية.
بعد التغييرات المؤسسية، تتولى إدارة الحوكمة والضمان السيبراني الوطني (NCGAA) ضمن وكالة الأمن السيبراني الوطنية (NCSA) مسؤولية تطبيق وإنفاذ القانون. تصدر التوجيهات وإجراءات التصاريح الحالية عبر مكتب خصوصية البيانات الوطني (NDPO).
يمكن للأفراد تقديم شكوى إذا اعتقدوا أن جهة ما لم تلتزم بالقانون. توجيهات وكالة الأمن السيبراني الوطنية توصي برفع القضية للجهة المتحكمة، كما تعترف بحق الفرد القانوني في تقديم شكوى للجهة المختصة بالخصوصية.
كيانات مركز قطر المالي — نظام 2021
الجهات العاملة ضمن مركز قطر المالي تخضع لنظام خصوصية منفصل: لوائح حماية البيانات في مركز قطر المالي 2021 وقواعد حماية البيانات 2021.
دخلت هذه القواعد حيز التنفيذ في 19 يونيو 2022 وتديرها مكتب حماية البيانات المستقل في مركز قطر المالي.
يضم نظام مركز قطر المالي قواعده الخاصة للجهات المتحكمة والمعالجة وحقوق الأفراد والتحويلات الدولية والأمان والإبلاغ عن الخروقات.
في حال حدوث خرق للبيانات الشخصية، يجب على الجهة المتحكمة في مركز قطر المالي إبلاغ مكتب حماية البيانات دون تأخير، ويفضل خلال 72 ساعة من العلم بالخرق، إلا إذا قررت أن الخرق غير مرجح أن يشكل خطراً على حقوق ومصالح أصحاب البيانات.
على عكس التوجيهات الرئيسية، لا تلزم لوائح مركز قطر المالي الجهة المتحكمة بإبلاغ الأفراد المتأثرين خلال نفس فترة الـ72 ساعة تلقائياً. يجب على الشركة تقييم ما إذا كان التواصل مع الأفراد مناسباً، ويمكن لمكتب حماية البيانات في مركز قطر المالي أن يأمر بالإبلاغ عند الحاجة.
بالنسبة للمخالفات، يسمح نظام مركز قطر المالي بغرامة مالية قصوى قدرها 1.5 مليون دولار أمريكي لكل مادة مخالفة. إذا تم انتهاك عدة مواد، يمكن أن تحمل كل مادة غرامتها القصوى الخاصة.
هل تحتاج إلى التسجيل أو دفع رسوم؟
بالنسبة لمعالجة البيانات الشخصية العادية ضمن القانون الرئيسي، لا يوجد نظام تسجيل عام للجهات المتحكمة كما هو الحال في بعض الدول.
بمعنى آخر، لا تسجل الشركة العادية لدى الجهة التنظيمية لمجرد أنها تحتفظ بقاعدة بيانات العملاء أو سجلات الموارد البشرية.
لكن هناك استثناء مهم يجب الانتباه إليه.
وفق المادة 16، يجب على المؤسسات الحصول على تصريح قبل معالجة البيانات الشخصية ذات الطبيعة الخاصة.
تشمل هذه الفئة حالياً البيانات المتعلقة بـ:
- الأصل العرقي أو الإثني؛
- الأطفال؛
- الصحة؛
- الحالة البدنية؛
- الحالة النفسية؛
- المعتقدات الدينية؛
- العلاقات الزوجية؛
- الجرائم الجنائية.
تتطلب توجيهات مكتب خصوصية البيانات الوطني الحالية من الجهات المتحكمة التي تسعى للحصول على تصريح لمعالجة البيانات ذات الطبيعة الخاصة تحديد الأنشطة ذات الصلة، إجراء تقييمات تأثير الخصوصية (DPIA)، توثيقها في سجلات أنشطة المعالجة وتقديم طلب التصريح المناسب.
لذا، قاعدة بيانات العملاء العادية تختلف تماماً عن عيادة تعالج سجلات صحة المرضى أو مؤسسة تعالج بيانات الأطفال بشكل منهجي.
لا توجد رسوم تسجيل ثابتة للجهات المتحكمة تدفع لمجرد الاحتفاظ بمعلومات العملاء أو الموظفين. بل تأتي تكاليف الامتثال من العمل التشغيلي المطلوب: السياسات، الأمان، العقود، تدريب الموظفين، تقييمات تأثير الخصوصية، والدعم القانوني أو المتخصص عند الحاجة.
قائمة التحقق الأساسية للامتثال
إليك ترتيب عملي للخطوات:
- حدد بياناتك — اعرف ما البيانات الشخصية التي تجمعها، ولماذا تجمعها، وأين تخزنها، ومن يمكنه الوصول إليها، وأي جهات معالجة تستلمها، ومدة الاحتفاظ بها.
- انشر إشعار الخصوصية — وضح هوية الجهة المتحكمة، الأغراض، أنشطة المعالجة، الإفصاحات والمعلومات المطلوبة قبل بدء المعالجة. توصي توجيهات وكالة الأمن السيبراني الوطنية بأن تكون الإشعارات متاحة باللغات التي تقدم بها خدماتك أو منتجاتك. إذا كان عملاؤك يتعاملون معك بالعربية والإنجليزية، قدم النسختين.
- حدد السبب المسموح للمعالجة — لا تعتمد تلقائياً على الموافقة. توجيهات وكالة الأمن السيبراني الوطنية الحالية تعترف بالموافقة إلى جانب الأغراض المشروعة مثل المصالح المشروعة، الالتزامات القانونية والالتزامات التعاقدية.
- افحص الحاجة لتقييم تأثير الخصوصية (DPIA) — توجيهات وكالة الأمن السيبراني الوطنية الحالية تقول إن على الجهات المتحكمة تحديد ما إذا كانت المعالجة قد تسبب ضرراً جسيماً وبالتالي تتطلب تقييم تأثير الخصوصية. مؤشرات المخاطر الأعلى تشمل البيانات ذات الطبيعة الخاصة، التكنولوجيا الجديدة، اتخاذ القرار الآلي، التتبع، التحويلات عبر الحدود، بيانات الموظفين والتسويق المباشر.
- تحقق من الحاجة لتصريح خاص — إذا كنت تعالج بيانات صحية أو معلومات أطفال أو أي فئة من المادة 16، احصل على تصريح مكتب خصوصية البيانات الوطني قبل بدء المعالجة.
- عزز الأمان — استخدم ضوابط مناسبة لمستوى المخاطر، مثل تقييد الوصول، المصادقة القوية، التشفير عند الحاجة، النسخ الاحتياطية الآمنة، وضوابط مشددة حول مسح البطاقة الشخصية، ملفات الموارد البشرية وقواعد البيانات الحساسة.
- راجع مزودي الخدمة — مزودو السحابة، الرواتب، إدارة علاقات العملاء ووكالات التسويق التي تعمل كجهات معالجة يجب أن تخضع للتدقيق المناسب واشتراطات حماية البيانات المكتوبة. توجيهات وكالة الأمن السيبراني الوطنية تتوقع من الجهات المتحكمة التحقق من امتثال الجهات المعالجة عبر عقد مكتوب.
- جهز خطة التعامل مع الخروقات — ضع آلية لرصد الحوادث وتصعيدها وتقييمها والإبلاغ عنها قبل حدوث خرق فعلي.
يستحق تقييم تأثير الخصوصية (DPIA) توضيحاً خاصاً.
لا توجد مادة منفصلة في القانون تنص على أن "عدم إجراء تقييم تأثير الخصوصية يؤدي تلقائياً إلى غرامة مليون ريال قطري". بل يساعد إطار تقييم تأثير الخصوصية الخاص بوكالة الأمن السيبراني الوطنية الجهات المتحكمة على الوفاء بواجبات المساءلة وتقييم المخاطر المنصوص عليها في القانون. مخالفات المادة 11 قد تؤدي إلى غرامة تصل إلى مليون ريال قطري، بينما مخالفات المادة 13 المتعلقة بالأمان قد تصل إلى خمسة ملايين ريال قطري.
الإبلاغ عن الخروقات — قاعدة الـ72 ساعة
قاعدة الإبلاغ عن الخروقات في قطر أكثر تفصيلاً من مجرد "كل خرق يجب الإبلاغ عنه خلال 72 ساعة".
تنص المادة 14 من القانون على ضرورة إبلاغ الفرد والجهة المختصة إذا كان خرق الحماية المطلوبة قد يسبب ضرراً جسيماً للبيانات الشخصية أو خصوصية الفرد.
تضع توجيهات وكالة الأمن السيبراني الوطنية الحالية إطاراً زمنياً لهذا الالتزام. حيث تنص على أنه إذا كان الخرق قد يسبب ضرراً جسيماً:
- يجب على الجهة المتحكمة إبلاغ إدارة الحوكمة والضمان السيبراني الوطني دون تأخير وخلال 72 ساعة من العلم بالحادث؛
- ويجب أيضاً إبلاغ الأفراد المتأثرين دون تأخير وخلال 72 ساعة.
لذا، لا يعني ذلك أن كل بريد إلكتروني ضائع أو حادث بسيط يستدعي الإبلاغ الخارجي تلقائياً. أول خطوة هي احتواء الحادث وتقييم سريع لما إذا كان يمكن أن يسبب ضرراً يستدعي الإبلاغ.
يجب أن يكون هذا التقييم سريعاً بما يكفي للوفاء بمهلة الـ72 ساعة إذا كان الإبلاغ مطلوباً.
التزامات الجهات المعالجة تختلف: المادة 13 تلزم الجهة المعالجة بإبلاغ الجهة المتحكمة فور علمها بخرق الحماية أو أي خطر يهدد البيانات الشخصية.
بالنسبة لكيانات مركز قطر المالي، تختلف القاعدة. يجب إبلاغ مكتب حماية البيانات في مركز قطر المالي خلال 72 ساعة عادةً، إلا إذا قررت الجهة المتحكمة أن الخرق غير مرجح أن يشكل خطراً على أصحاب البيانات. الإبلاغ للأفراد المتأثرين ليس إلزامياً تلقائياً ضمن نفس قاعدة الـ72 ساعة، لكن مكتب حماية البيانات يمكن أن يطلب ذلك.
التحويلات عبر الحدود
يعتبر قانون حماية خصوصية البيانات الشخصية في قطر أكثر انفتاحاً تجاه تدفق البيانات الشخصية عبر الحدود.
تنص المادة 15 على منع الجهة المتحكمة من اتخاذ إجراءات تحد من تدفق البيانات عبر الحدود إلا إذا كانت المعالجة الخارجية ستخالف القانون أو قد تسبب ضرراً جسيماً للبيانات الشخصية أو خصوصية الفرد.
هذا يعني أنه لا يوجد شرط عام للحصول على موافقة مسبقة في كل مرة يتم فيها تخزين أو معالجة بيانات شخصية عادية خارج قطر.
ومع ذلك، لا يجب تجاهل المعالجة عبر الحدود من منظور الامتثال.
تحدد توجيهات تقييم تأثير الخصوصية (DPIA) الحالية من وكالة الأمن السيبراني الوطنية التحويلات عبر الحدود كعامل يجب أن يدفع إلى إجراء تقييم تأثير الخصوصية، كما تتوقع توجيهات حقوق الأفراد من الجهات المتحكمة القدرة على شرح إجراءات الأمان المستخدمة عند نقل البيانات الشخصية خارج قطر.
يحتاج المقال الأصلي أيضاً إلى تصحيح مهم بشأن البيانات الشخصية ذات الطبيعة الخاصة.
المادة 16 لا تنص على أن البيانات ذات الطبيعة الخاصة تتطلب تصريحاً فقط عند إرسالها للخارج. بل تنص على أنه لا يجوز معالجة هذه البيانات إلا بعد الحصول على تصريح من الجهة المختصة. هذا الشرط ينطبق على المعالجة نفسها.
لذا، إذا كانت عيادة تعالج سجلات صحة المرضى، فإن سؤال التصريح الخاص ينطبق حتى لو كانت جميع الخوادم داخل قطر.
إذا تم نقل البيانات أيضاً للخارج، يجب على المؤسسة تقييم وحماية هذا النقل الإضافي.
قد تنطبق أيضاً متطلبات خاصة بالقطاعات إلى جانب القانون، خاصة في القطاعات المنظمة مثل المالية والصحة، لذا يجب على المؤسسات في هذه القطاعات مراجعة متطلبات الجهات التنظيمية الخاصة بها قبل اعتماد نموذج السحابة الخارجية.
العقوبات عند المخالفات
لا يفرض القانون الرئيسي غرامة موحدة على الخصوصية.
بل تحدد المادتان 23 و24 عقوبات قصوى مختلفة حسب المادة المخالفة:
- حتى مليون ريال قطري لمخالفات مواد محددة مثل المواد 4، 8، 9، 10، 11، 12، 14، 15 و22.
- حتى خمسة ملايين ريال قطري لمخالفات المادة 13، ومتطلبات معالجة البيانات ذات الطبيعة الخاصة في المادة 16، ومتطلبات بيانات الأطفال في المادة 17.
هذا يعني أن "مليون إلى خمسة ملايين ريال قطري" لا يجب فهمها على أنها حد أدنى للغرامة. بل هي حدود قصوى قانونية لفئات مختلفة من المخالفات.
بعض الأمثلة ذات صلة خاصة:
- عدم الإبلاغ عن خرق مؤهل للبيانات الشخصية للجهة المختصة أو الأفراد المتأثرين قد يؤدي إلى غرامة تصل إلى مليون ريال قطري لكل مخالفة، وفق توجيهات وكالة الأمن السيبراني الوطنية.
- عدم تطبيق إجراءات أمان مناسبة للبيانات قد يؤدي إلى غرامة تصل إلى خمسة ملايين ريال قطري لكل مخالفة.
- عدم إبلاغ الجهة المتحكمة من قبل الجهة المعالجة عن خرق أو خطر كما هو مطلوب قد يعرضها لغرامة تصل إلى خمسة ملايين ريال قطري لكل مخالفة.
- معالجة بيانات شخصية ذات طبيعة خاصة دون التصريح المطلوب وفق المادة 16 تدخل ضمن الفئة التي تحمل حد أقصى قانوني قدره خمسة ملايين ريال قطري.
بالنسبة لكيانات مركز قطر المالي، المخالفات للوائح حماية البيانات أو عدم الامتثال لأوامر مكتب حماية البيانات قد تؤدي إلى غرامة قصوى قدرها 1.5 مليون دولار أمريكي لكل مادة مخالفة. لذا، من غير الدقيق تحويل الحد الأقصى في مركز قطر المالي إلى "حوالي سبعة ملايين ريال قطري" في هذا المقال.
إلى جانب العقوبات التنظيمية، قد يؤدي حادث بيانات أيضاً إلى تعطيل العمليات، شكاوى العملاء، مشاكل تعاقدية وضرر كبير للسمعة.
كيف تحقق تقدماً فعلياً خلال شهر
يمكن للشركات الصغيرة أو المتوسطة التي لديها معالجة بيانات بسيطة تحقيق تقدم كبير خلال أربعة أسابيع مركزة:
- الأسبوع الأول: حدد البيانات الشخصية التي تعالجها، حدد الجهات المتحكمة والمعالجة، وثق الأغراض وميز أي بيانات ذات طبيعة خاصة.
- الأسبوع الثاني: صغ أو حدث إشعارات الخصوصية واجعلها متاحة باللغات التي تخدم بها العملاء أو الموظفين. إذا كنت تعمل بالعربية والإنجليزية، قدم النسختين.
- الأسبوع الثالث: عزز ضوابط الوصول والأمان، وثق فترات الاحتفاظ بالبيانات وراجع العقود مع مزودي السحابة والرواتب وإدارة علاقات العملاء والجهات المعالجة الأخرى.
- الأسبوع الرابع: افحص أنشطة المعالجة لتحديد الحاجة لتقييم تأثير الخصوصية، جهز عملية الاستجابة للخرق خلال 72 ساعة ودرب الأشخاص الذين سيطبقونها فعلياً.
إذا اكتشفت أثناء هذه العملية أنك تعالج بيانات ذات طبيعة خاصة، تصبح هذه الخطوة أولوية أعلى. توجيهات مكتب خصوصية البيانات الوطني الحالية تلزم الجهات المتحكمة بالحصول على تصريح لهذه الأنشطة ودعم الطلب بوثائق تقييم مخاطر الخصوصية، بما في ذلك تقييم تأثير الخصوصية.
أربعة أسابيع تعتبر فترة مناسبة للمؤسسات الصغيرة ذات تدفق بيانات بسيط. مزودو الرعاية الصحية، الشركات المالية، الجهات التي تتعامل مع بيانات الأطفال، أصحاب أنظمة الموارد البشرية المعقدة، الشركات التي تقوم بالتتبع السلوكي أو المؤسسات التي لديها قواعد بيانات دولية كبيرة يجب أن تتبع نهجاً أكثر رسمية وتستعين بخبرات قانونية أو خصوصية في قطر.
ستجد خدمات احترافية مدرجة على قطر ليفنج إذا كنت بحاجة إلى دعم متخصص في التنفيذ.
الأسئلة الشائعة
هل هناك رسوم تسجيل لحماية البيانات في قطر؟
بالنسبة للمعالجة العادية ضمن القانون الرئيسي، لا يوجد نظام تسجيل عام للجهات المتحكمة يلزم كل شركة بالتسجيل لمجرد أنها تعالج بيانات شخصية.
الاستثناء الرئيسي هو معالجة البيانات ذات الطبيعة الخاصة. يجب على الجهات المتحكمة التي تعالج فئات مثل البيانات الصحية، معلومات الأطفال، الأصل العرقي أو الإثني، المعتقدات الدينية، العلاقات الزوجية أو بيانات الجرائم الجنائية الحصول على تصريح من الجهة المختصة بالخصوصية وفق المادة 16.
لذا، لا تخلط بين "عدم وجود تسجيل عام للجهات المتحكمة" و"عدم وجود تصاريح تنظيمية مطلقاً".
ما مدى سرعة الإبلاغ عن خرق البيانات؟
بالنسبة للجهات الرئيسية، توجيهات وكالة الأمن السيبراني الوطنية الحالية تشترط الإبلاغ عن الخرق دون تأخير وخلال 72 ساعة من العلم به إذا كان قد يسبب ضرراً جسيماً لبيانات الأفراد أو خصوصيتهم.
في هذه الحالات، يجب إبلاغ إدارة الحوكمة والضمان السيبراني الوطني والأفراد المتأثرين.
بالنسبة لكيانات مركز قطر المالي، يجب إبلاغ مكتب حماية البيانات عادةً خلال 72 ساعة إلا إذا كان الخرق غير مرجح أن يشكل خطراً على أصحاب البيانات. الإبلاغ للأفراد المتأثرين ليس إلزامياً تلقائياً ضمن نفس قاعدة الـ72 ساعة.
هل يمكنني تخزين بيانات عملاء قطر على خوادم سحابة خارجية؟
بشكل عام، لا يفرض القانون الرئيسي شرطاً عاماً لتوطين البيانات أو الحصول على موافقة مسبقة لمجرد أن البيانات الشخصية العادية تعبر الحدود.
المادة 15 تفضل تدفق البيانات عبر الحدود إلا إذا كانت المعالجة تخالف القانون أو قد تسبب ضرراً جسيماً.
ومع ذلك، يجب على الجهات المتحكمة تطبيق إجراءات حماية مناسبة، وتحدد توجيهات وكالة الأمن السيبراني الوطنية التحويلات الدولية كعامل قد يتطلب تقييم تأثير الخصوصية.
إذا كنت تعالج بيانات ذات طبيعة خاصة، يجب الحصول على تصريح لهذه المعالجة وفق المادة 16 بغض النظر عما إذا كانت المعلومات تبقى في قطر أو تنتقل للخارج. قد تفرض القواعد الخاصة بالقطاعات متطلبات إضافية.
ما هي الغرامات إذا أخطأت شركتي؟
وفق القانون الرئيسي، تحمل المخالفات المختلفة حدوداً قانونية قصوى مختلفة.
بعض المخالفات قد تؤدي إلى غرامات تصل إلى مليون ريال قطري، بينما المخالفات المتعلقة بإجراءات الأمان، البيانات ذات الطبيعة الخاصة ومتطلبات بيانات الأطفال قد تصل إلى خمسة ملايين ريال قطري.
بالنسبة لكيانات مركز قطر المالي، الحد الأقصى للغرامة المالية هو 1.5 مليون دولار أمريكي لكل مادة مخالفة وفق لوائح حماية البيانات في مركز قطر المالي.
هل لدى مركز قطر المالي قواعد مختلفة؟
نعم.
تتبع كيانات مركز قطر المالي لوائح حماية البيانات 2021 وقواعد حماية البيانات 2021، التي دخلت حيز التنفيذ في 19 يونيو 2022 وتديرها مكتب حماية البيانات في مركز قطر المالي.
يضم نظام مركز قطر المالي متطلبات خاصة للمعالجة، حقوق أصحاب البيانات، التحويلات الدولية، الجهات المعالجة، تقييمات تأثير الخصوصية، السجلات، مسؤولي حماية البيانات والإبلاغ عن الخروقات.
كما تختلف قاعدة الـ72 ساعة للإبلاغ عن الخروقات عن النظام الرئيسي، لذا يجب ألا تعتمد المؤسسات قاعدة استجابة واحدة للحوادث لكلا النظامين.
هل أحتاج إلى تقييم تأثير الخصوصية (DPIA)؟
يجب عليك تقييم ما إذا كانت المعالجة قد تسبب ضرراً جسيماً للأفراد.
تحدد توجيهات تقييم تأثير الخصوصية (DPIA) الحالية من وكالة الأمن السيبراني الوطنية عدداً من الحالات التي قد تشير إلى الحاجة لتقييم تأثير الخصوصية، منها:
- البيانات الشخصية ذات الطبيعة الخاصة؛
- التقنيات الجديدة أو المبتكرة؛
- اتخاذ القرار الآلي؛
- تتبع أو مراقبة الأفراد؛
- جمع المعلومات بشكل غير مباشر؛
- التحويلات عبر الحدود؛
- معالجة بيانات الموظفين؛
- التسويق المباشر المستهدف؛
- بعض المعالجة المتعلقة بالأطفال.
بالنسبة لمعالجة البيانات ذات الطبيعة الخاصة، توجيهات مكتب خصوصية البيانات الوطني الحالية تلزم بإجراء تقييم تأثير الخصوصية كجزء من عملية التصريح.
لا توجد مادة قانونية منفصلة تنص على أن مجرد عدم إكمال وثيقة تقييم تأثير الخصوصية يؤدي تلقائياً إلى غرامة مليون ريال قطري. لكن عدم الوفاء بواجبات المساءلة ومراجعة الخصوصية المنصوص عليها في المادة 11 قد يؤدي إلى غرامة تصل إلى مليون ريال قطري، بينما المخالفات المتعلقة بواجبات الأمان في المادة 13 قد تصل إلى خمسة ملايين ريال قطري.
الامتثال الصحيح لقوانين حماية البيانات والخصوصية يحمي عملاءك ونشاطك التجاري. هل ترغب في الاستعانة بخبراء؟ تصفح قائمة الخبراء القانونيين وخبراء الامتثال في قطر عبر خدمات قطر ليفنج الاحترافية.
---
عن قطر ليفنج :
منذ عام 2005، تعتبر قطر ليفنج الوجهة الموثوقة لكل ما يتعلق بقطر. كأكبر مجتمع ومنصة إلكترونية في الدولة، تربط قطر ليفنج الناس بالفرص عبر الوظائف، العقارات، المركبات، الخدمات، الإعلانات المبوبة، الفعاليات، المعلومات المحلية والأخبار العاجلة. يثق بها المقيمون والجدد والزوار والشركات على حد سواء، وتجمع قطر ليفنج قطر في مكان واحد.
تابع قطر ليفنج للحصول على تحديثات يومية:
إنستغرام - @qatarliving
X - @qatarliving
فيسبوك - Qatar Living
يوتيوب - qatarlivingofficial
