سياسة حماية البيانات الشخصية

التعريفات:

البيانات الشخصية: كل بيان -مهما كان مصدره أو شكله- من شأنه أن يؤدي إلى معرفة الفرد على وجه التحديد، أو يجعله قابلاً للتعرف عليه بصفة مباشرة أو غير مباشرة عند دمجه مع بيانات أخرى.

البيانات الحساسة: كل بيان شخصي يتضمن الإشارة إلى أصل الفرد العرقي، أو أصله القبلي، أو معتقده الديني أو الفكري أو السياسي، أو يدل على عضويته في جمعيات أو مؤسسات أهلية. وكذلك البيانات الجنائية والأمنية، أو بيانات السمات الحيوية التي تحدد الهوية، أو البيانات الوراثية، أو البيانات الائتمانية، أو البيانات الصحية، وبيانات تحديد الموقع، والبيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما.

صاحب البيانات الشخصية: الشخص الطبيعي المستفيد من المركز والذي تتعلق به البيانات الشخصية أو من يمثله أو من له الولاية الشرعية عليه.

معالجة البيانات الشخصية: جميع العمليات التي تجرى على البيانات الشخصية بأي وسيلة كانت يدوية أو آلية، وتشمل هذه العمليات – على سبيل المثال لا الحصر- جمع البيانات ونقلها وحفظها وتخزينها ومشاركتها وإتلافها وتحليلها واستخراج أنماطها والاستنتاج منها وربطها مع بيانات أخرى.

الموافقة الضمنية: هي موافقة لا يتم منحها صراحةً من قبل صاحب البيانات لكنها تمنح ضمنياً عن طريق أفعال الشخص ووقائع وظروف الموقف، كتوقيع العقود أو الموافقة على الشروط والأحكام.

تسريب البيانات الشخصية: الإفصاح عن البيانات الشخصية، أو الحصول عليها، أو تمكين الوصول إليها دون تصريح أو سند نظامي، سواء بقصد أو بغير قصد.

المركز: المركز الوطني لتنمية القطاع غير الربحي.

المسؤول الأول بالمركز: الرئيس التنفيذي أو من يفوضه.

جهة التحكم: أي جهة تابعة للمركز تعمل على البيانات الشخصية.

الهدف:

الغرض من سياسة حماية البيانات الشخصية هو الحفاظ على سرية المعلومات الشخصية لضمان حفظ حقوق المستفيدين وتنظيم عملية جمع البيانات الشخصية ومعالجتها ومشاركتها والحفاظ على السيادة الوطنية الرقمية عليها. وتمتثل لسياسات حوكمة البيانات الوطنية والتشريعات الأساسية لحماية حقوق وخصوصية الأفراد فيما يتعلق ببياناتهم الشخصية والتي تخضع لنظام حماية البيانات الشخصية واللوائح ذات العلاقة.
تهدف هذه السياسة إلى الالتزام بمتطلبات إدارة البيانات وحوكمتها والمتطلبات التشريعية والتنظيمية ذات العلاقة.

النطاق:

تطبق السياسة على أي عملية مُعالجة لبيانات شخصية تتعلق بالمستفيدين تتم في المملكة بأي وسيلة كانت.
يستثنى من نطاق تطبيق هذه السياسة:

إذا كانت الجهة التي تطلب الإفصاح جهة عامة، وكان ذلك لأغراض المصلحة العامة، أو لأغراض أمنية، أو لتنفيذ نظام آخر أو لاستيفاء مُتطلبات قضائية.
إذا كان الإفصاح ضرورياً لحماية الصحة العامة، أو السلامة العامة، أو حماية حياة فرد أو أفراد معينين أو حماية صحتهم.
إذا كان الإفصاح سيقتصر على معالجتها لاحقاً بطريقة لا تؤدي إلى معرفة هوية صاحب البيانات الشخصية أو أي فرد آخر على وجه التحديد.
إذا كان الإفصاح ضرورياً لتحقيق مصالح مشروعة لجهة التحكم، ما لم يخل ذلك بحقوق صاحب البيانات الشخصية أو يتعارض مع مصالحه ولم تكن تلك البيانات بيانات حساسة.

الغرض من جمع البيانات الشخصية:

قياس مدى رضا المستفيدين من خدمات المنظمات غير الربحية دوريا لمعرفة احتياجات المستفيدين وتحليل علاقتهم بالمنظمات غير الربحية وقياس سهولة وصول المستفيدين لخدمات المنظمات غير الربحية.

البيانات الشخصية التي يتم جمعها:

يتم جمع أنواع مختلفة من البيانات الشخصية ومنها: الاسم الثلاثي والجنسية والمنطقة والمدينة والجنس ورقم الهوية ورقم الجوال واسم المنظمة والخدمة المقدمة وتفاصيل الخدمة وفترة تقديم الخدمة من المنظمة.

آلية جمع البيانات الشخصية:

يتم جمع البيانات الشخصية للمستفيدين والحصول عليها بشكل مباشر وذلك من خلال استخدام طرق متنوعة تشمل:

الطرق المباشرة: الاتصال من خلال منسوبي المركز عبر الهاتف أو أي وسيلة تواصل أخرى.
الطرق غير المباشرة: عن طريق إرسال بريد إلكتروني -أو أي وسيلة تواصل أخرى- للمنظمات بتزويدنا ببيانات المستفيدين.

المبادئ الرئيسة لحماية البيانات الشخصية:

المبدأ الاول: المسؤولية

أن يتم تحديد وتوثيق سياسات وإجراءات الخصوصية الخاصة بجهة التحكم واعتمادها من قبل المسؤول الأول بالجهة، ونشرها الى جميع الأطراف المعنية بتطبيقها.

المبدأ الثاني: الشفافية

أن يتم إعداد إشعار عن سياسات وإجراءات الخصوصية الخاصة بالمركز يحدد فيها الأغراض التي من أجلها تمت معالجة البيانات الشخصية وذلك بصورة محددة وواضحة وصريحة.

المبدأ الثالث: الاختيار والموافقة

أن يتم تحديد جميع الخيارات الممكنة لصاحب البيانات الشخصية والحصول على موافقته (الضمنية أو الصريحة) فيما يتعلق بجمع بياناته واستخدامها أو الإفصاح عنها.

المبدأ الرابع: الحد من جمع البيانات

أن يقتصر جمع البيانات الشخصية على الحد الأدنـى مـن البيانات الـذي يمكّن من تحقيق الأغراض المحددة في إشعار الخصوصية.

المبدأ الخامس: الحد من استخدام البيانات والاحتفاظ بها والتخلص منها

أن يتم تقييد معالجة البيانات الشخصية بالأغراض المحددة في إشعار الخصوصية والتي من أجلها قدم صاحب البيانات موافقته الضمنية أو الصريحة، والاحتفاظ بها طالما كان ذلك ضروريا لتحقيق الأغراض المحددة أو لما تقتضيه الأنظمة واللوائح والسياسات المعمول بها في المملكة وإتلافها بطريقة آمنة تمنع التسرب، أو الفقدان، أو إساءة الاستخدام، أو الوصول غير المصرح به نظامًا.

المبدأ السادس: الوصول إلى البيانات

أن يتم تحديد وتوفير الوسائل التي عن طريقها يمكن لصاحب البيانات الوصول إلى بياناته الشخصية لمراجعتها، وتحديثها، وتصحيحها.

المبدأ السابع: الحد من الإفصاح عن البيانات

أن يتــم تقييــد الإفصــاح عــن البيانــات الشــخصية للأطــراف الخارجيــة بالأغــراض المحــددة فــي إشــعار الخصوصيــة والتــي مــن أجلهــا قــدّم صاحــب البيانــات موافقتــه الضمنيــة أو الصريحــة.

المبدأ الثامن: أمن البيانات

أن تتم حماية البيانات الشخصية من التسرب، أو التلف، أو الفقدان، أو الاختلاس، أو إساءة الاستخدام، أو التعديــل، أو الوصــول غيــر المصــرّح بــه – وفقــاً لمــا يصــدر مــن الهيئــة الوطنيــة للأمــن الســيبراني والجهات ذات الاختصاص.

المبدأ التاسع: جودة البيانات

أن يتم الاحتفاظ بالبيانات الشخصية بصورة دقيقة، وكاملة، وذات علاقة مباشرة بالأغراض المحددة في إشعار الخصوصية.

المبدأ العاشر: المراقبة والامتثال

أن تتم مراقبة الامتثال لسياسات وإجراءات الخصوصية، ومعالجة الاستفسارات والشكاوى والنزاعات المتعلقة بالخصوصية.