1. الغرض والمرجع

يطبّق هذا الدليل سياسة حماية البيانات الشخصية SIF-POL-01. السياسة تقول ما نلتزم به، وهذا الدليل يقول من يفعل ماذا ومتى. الجزء المنشور هنا هو ما يهم أصحاب البيانات، أما تفاصيل الضوابط الأمنية فتُحفظ داخلياً.

2. الإجراء الأول: الجمع والإشعار

المدخلات: نموذج التقديم أو العقد أو رسالة التواصل.

الخطوات:

1. قبل طلب أي بيان، يُعرض على صاحبه إشعار قصير: ما نطلبه، ولماذا، وكم نحتفظ به، ورابط السياسة.
2. لا يُطلب بيان ليس له غرض مكتوب في السياسة. إذا استجدّ غرض تُحدَّث السياسة أولاً.
3. ما كان أساسه الموافقة تؤخذ موافقته صريحة ومكتوبة، ولا تُعدّ الموافقة شرطاً لخدمة لا علاقة لها بها.

المخرجات: بيانات مجموعة بقدر الحاجة، وموافقة محفوظة.

السجل: سجل الموافقات.

3. الإجراء الثاني: سجل أنشطة المعالجة

المدخلات: كل نشاط جديد تُستعمل فيه بيانات شخصية.

الخطوات:

1. يُضاف النشاط إلى السجل قبل بدئه، ويُذكر فيه: الغرض، وفئات البيانات، وأصحابها، ومن يطّلع عليها، ومكان الحفظ، ومدة الاحتفاظ.
2. يُراجَع السجل كل ستة أشهر، ويُحذف منه ما توقف.

المخرجات: صورة محدَّثة لما لدى المؤسسة من بيانات وأين هي.

السجل: سجل أنشطة المعالجة.

4. الإجراء الثالث: طلبات أصحاب البيانات

المدخلات: طلب يصل إلى بريد المؤسسة بالاطلاع أو التصحيح أو الإتلاف أو سحب الموافقة.

الخطوات:

1. اليوم الأول: يُقيَّد الطلب في السجل برقم وتاريخ، ويُرسل لصاحبه إقرار بالاستلام خلال يومي عمل.
2. التحقق من الهوية: بوسيلة لا تتطلب بيانات جديدة أكثر مما لدينا، مثل الرد من البريد أو الرقم المسجل.
3. الدراسة: هل لدينا بيانات عنه؟ هل يمنع تنفيذَ الطلب التزامٌ نظامي بالحفظ؟
4. التنفيذ والرد: خلال ثلاثين يوماً من الاستلام. إذا رُفض الطلب كلياً أو جزئياً يُذكر السبب وحق صاحبه في الشكوى.
5. الإغلاق: يُدوَّن ما نُفّذ وتاريخه.

المخرجات: رد مكتوب لصاحب الطلب.

السجل: سجل طلبات أصحاب البيانات.

5. الإجراء الرابع: الاستجابة لحادثة تسرّب

المدخلات: اشتباه بوصول غير مشروع، أو فقد جهاز، أو إرسال بيانات إلى غير صاحبها.

الخطوات:

1. الاحتواء فوراً: تغيير كلمات المرور، وسحب الصلاحيات، وإيقاف المشاركة.
2. التقييم خلال أربع وعشرين ساعة: ما البيانات المتأثرة، وكم شخصاً، وما الضرر المحتمل.
3. الإبلاغ خلال اثنتين وسبعين ساعة من العلم بالحادثة: تُبلَّغ الجهة المختصة متى كان من شأن الحادثة الإضرار بالبيانات أو بأصحابها.
4. إبلاغ المتضررين دون تأخير: بلغة واضحة، ما حدث، وما فعلناه، وما ننصحهم به.
5. المعالجة الجذرية: يُحدَّد السبب ويُغلق، ويُضاف درس إلى سجل الدروس المستفادة.

المخرجات: تقرير حادثة مغلق.

السجل: سجل الحوادث.

6. الإجراء الخامس: الاحتفاظ والإتلاف

المدخلات: جدول مدد الاحتفاظ في السياسة.

الخطوات:

1. في أول كل ربع سنة تُستخرج قائمة بما انتهت مدته.
2. يُتلف من كل أماكن الحفظ، ومنها النسخ الاحتياطية والمرفقات في البريد والمحادثات.
3. ما لزم بقاؤه للإحصاء يُجرَّد مما يحدد هوية صاحبه.

المخرجات: بيانات لا تبقى بعد انتهاء غرضها.

السجل: سجل الإتلاف، ويُذكر فيه ما أُتلف وتاريخه ومن نفّذ، دون البيانات نفسها.

7. الإجراء السادس: الصلاحيات ومزوّدو الخدمات

الخطوات:

1. لا يُمنح أحد صلاحية اطلاع إلا بتكليف مكتوب وتعهّد سرية موقّع.
2. تُراجَع قائمة الصلاحيات كل ثلاثة أشهر، وتُسحب صلاحية من انتهت مهمته في يومها.
3. قبل استعمال أي خدمة جديدة تُحفظ فيها بيانات شخصية، يُتحقق من: مكان خوادمها، وشروط استعمالها للبيانات، وإمكان الحذف منها. وتُضاف إلى سجل أنشطة المعالجة.

السجل: سجل الصلاحيات، وقائمة مزوّدي الخدمات.

8. الإجراء السابع: مساعدة الممارس في استخراج تراخيصه

الخطوات:

1. يدخل الممارس إلى حساباته الحكومية والمصرفية بنفسه وعلى جهازه أو أمامه.
2. لا يطلب المرشد كلمة مرور ولا رمز تحقق، ولا يدوّنهما، ولا يستلمهما في رسالة.
3. نسخة الترخيص الصادر تُحفظ في ملف الممارس بموافقته، ولغرض إثبات اكتمال المسار فقط.

السجل: ملف الممارس.

9. قياس الالتزام

يُعرض في كل مراجعة إدارية ربع سنوية: عدد الطلبات الواردة ونسبة ما رُدّ عليه في المدة، وعدد الحوادث، ونتيجة مراجعة الصلاحيات، وما أُتلف في الربع.

مصفوفة المسؤوليات (RACI)

م = مسؤول عن التنفيذ، ح = محاسَب عن النتيجة، ش = يُستشار، ع = يُعلَم.

سجل التعديلات