المركز المعرفي

المقدمة

لتحقيق أهداف نظام حماية البيانات الشخصية ولوائحه التنفيذية، ولأهمية تطبيق مفهوم الحد الأدنى من البيانات الشخصية، تم إعداد هذا الدليل لمساعدة الجهات المشمولة بنطاق تطبيق أحكام نظام حماية البيانات الشخصية ("النظام") ولوائحه التنفيذية على تحقيق الغرض من معالجة البيانات الشخصية لتجنب جمع أي بيانات شخصية غير ضرورية، كما يقدم هذا الدليل أمثلة تطبيقية لجهات التحكم لمساعدتها في تقييم التزامها بهذه الضوابط أثناء المعالجة.

الأهداف

يهدف هذا الدليل إلى الآتي:

1. دعم الجهات في تطبيق أحكام النظام.
2. تشجيع الجهات على تبني أفضل ممارسات معالجة البيانات الشخصية.
3. تقديم أمثلة تطبيقية لجهات التحكم لمساعدتها في تقييم التزامها بأحكام معالجة البيانات الشخصية الواردة في النظام ولوائحه التنفيذية.
4. المحافظة على خصوصية أصحاب البيانات الشخصية.

أولاً: الحد الأدنى اللازم من البيانات الشخصية

يقصد بالحد الأدنى من جمع البيانات الشخصية جمع البيانات الشخصية الضرورية والمرتبطة ارتباطاً وثيقاً ومباشراً بالغرض من جمعها دون الحاجة إلى جمع بيانات غير ضرورية وفق الآتي:

1. الاحتياج الفعلي: أن يتم تقييم كل عنصر من عناصر البيانات الشخصية لتحديد ما إذا كانت هذه البيانات ضرورية بشكل مباشر لتحقيق الغرض من جمعها ومعالجتها.
2. الغرض: أن يرتبط الغرض ارتباطاً مباشراً بالبيانات الشخصية التي تم جمعها وأن يكون ذا علاقة مباشرة بأغراض جهة التحكم، وألّا يتعارض مع أحكام أنظمة أخرى نافذة في المملكة، وأن تلتزم جهة التحكم ببذل العناية اللازمة في تحقيق الغرض من المعالجة دون جمع بيانات شخصية غير ضرورية.
3. طرق الجمع: أن تكون طرق ووسائل جمع البيانات الشخصية ملائمة لظروف صاحب البيانات الشخصية ومباشرة وواضحة وآمنة وخالية من أي وسيلة من الممكن أن تؤدي إلى الخداع أو التضليل أو الابتزاز، كما يجب ألّا تكون مخالفة أو متعارضة مع أحكام الأنظمة النافذة في المملكة.
4. المحتوى: أن يكون ملائماً ومقتصراً على الحد الأدنى اللازم لتحقيق الغرض من جمع البيانات الشخصية سواء تم جمعها من صاحبها أو من غير صاحبها مباشرة، وفي حال تحقق الغرض من جمعها على جهة التحكم تجنب أن يشتمل المحتوى على ما يؤدي إلى معرفة صاحبها بصورة محددة.
5. الإتلاف: إتلاف البيانات الشخصية التي لم تعد ضرورية لتحقيق الغرض من جمعها، مع اتباع إجراءات آمنة لضمان إزالة البيانات بشكل دائم.
6. الاحتفاظ: على جهة التحكم الاحتفاظ بالحد الأدنى من البيانات الشخصية اللازمة لتحقيق الغرض من المعالجة، بالإضافة إلى تقييد صلاحيات الوصول المنطقي والمادي إلى البيانات الشخصية وفق الحد الأدنى من الامتيازات والاحتياج الفعلي.

كما يجب على جهات التحكم إجراء تقييم دوري لمراجعة البيانات الشخصية التي تحتفظ بها، ومن ثم إتلاف البيانات التي لا تعد ضرورية لتحقيق الأغراض التي دعت جهة التحكم إلى جمعها أو ليس لها صلة بالغرض الأساسي من جمع البيانات مع الأخذ بالاعتبارات التالية:

1. التحقق من أن البيانات الشخصية التي جمعت ذوات صلة مباشرة أو ضرورية لغرض محدد ومبرر.
2. أن البيانات الشخصية التي يتم جمعها مقتصرة على ما هو ضروري لتحقيق الغرض المبرر الذي جمعت من أجله.
3. أن يتم جمع البيانات الشخصية لفترة زمنية محددة ولازمة لتحقيق الغرض.
4. أن تقوم جهة التحكم بحذف البيانات الشخصية عند انتفاء الغرض الذي جمعت من أجله.

ثانياً: ما الذي يشكل "الحد الأدنى" من البيانات الشخصية

1. لم يحدد نظام حماية البيانات الشخصية آلية تحديد "الحد الأدنى" اللازم لتحقيق الغرض عند معالجة البيانات، ومع ذلك نصت المادة (الحادية عشرة) من النظام على أنه:
   "يجب أن يكون الغرض من جمع البيانات الشخصية ذا علاقة مُباشرة بأغراض جهة التحكم، وألاَّ يتعارض مع أي حكم مقرر نظاماً، كما يجب أن يكون مُحتوى البيانات الشخصية ملائماً ومقصوراً على الحد الأدنى اللازم لتحقيق الغرض من جمعها، مع تجنب شموله على ما يؤدي إلى معرفة صاحبها بصورة محددة متى تحقق الغرض من جمعها، وتحدد اللوائح الضوابط اللازمة لذلك".
2. يلزم بشكل واضح وصريح الربط ما بين جمع البيانات الشخصية والغرض المحدد مسبقاً من ذلك، حيث يتم جمع البيانات الشخصية في الحدود التي تؤدي إلى استيفاء الغرض وفقاً لمبدأ الحد الأدنى من البيانات الشخصية دون جمع أي بيانات إضافية ليست ضرورية أو ليس لها علاقَة مُباشرة.
3. على جهات التحكم التأكد من أن أنشطة معالجة البيانات الخاصة بها مصممة لمنع جمع أي بيانات شخصية غير ضرورية فيما يتعلق بالأغراض المحددة التي جمعت البيانات الشخصية من أجلها، وعند تصميم أنشطة معالجة البيانات، يلزم جهات التحكم اعتماد أدوات برمجية مناسبة لإدارة البيانات بما في ذلك الأدوات التي تجري مراجعات دورية تلقائياً لضمان الحفاظ على دقة البيانات وتحديثها، وإتلاف أي بيانات غير ضرورية.

أمثلة:

تعد الأمثلة أدناه استرشادية لجهات التحكم في تقييمها للالتزام بمبدأ الحد الأدنى من البيانات الشخصية:

مثال (1)

شركة توظيف أرسلت تفاصيل لمجموعة وظائف شاغرة تتطلب من المتقدمين تعبئة بعض البيانات من ضمنها البيانات الصحية مع العلم بأنه لا حاجة لهذه الشركة من جمع هذا النوع من البيانات إلا لعدد محدود من الوظائف.
في هذا المثال، يعد جمع البيانات الصحية غير ضروري، حيث أن شركة التوظيف ليست بحاجة إلى هذا النوع من البيانات لكافّة أنواع الوظائف المعلن عنها، علاوة على ذلك يلزم عدم جمع البيانات الشخصية بشكل عام على أساس الاحتياط أو الاحتياج المستقبلي غير المبرر أو المؤكد.

مثال (2)

من ضمن إجراءات السلامة المتبعة في إحدى الجهات، أن يجمع صاحب العمل فصائل الدم الخاصة بموظفيه العاملين في الوظائف الميدانية التي تتضمن مواجهة بعض المخاطر، وذلك للتعامل مع الحوادث في أسرع وقت ممكن، مع العلم بوجود احتمالية كبيرة ألّا يتم استخدام أي من هذه البيانات خلال فترة عمل الموظفين داخل الجهة، ولكن جمعها وحفظها مهم لتقليص الأضرار الناتجة عن الحوادث.

في هذا المثال، يعد جمع فصائل الدم الخاصة بموظفي الجهة أعلاه والعاملين في المهن الخطرة ضرورياً ومرتبطاً بشكل مباشر بالغرض الذي جمعت من أجله، وبذلك لا يُعد مخالفاً لمبدأ الحد الأدنى من البيانات الشخصية، أما في حال كان جمعها لفصائل الدم الخاصة بكافة أنواع الموظفين العاملين داخل نطاق الجهة بلا استثناء سواء كانت أعمالهم ميدانية أو مكتبية أو لا تتضمن مخاطر محتملة، فلا يعد جمع البيانات في هذه الحالة سليماً لعدم وجود ضرورة تستدعي جمع هذه البيانات.

ثالثاً: التزامات جهة التحكم

1. على جهات التحكم تدقيق ومراجعة عمليات معالجة البيانات الشخصية لديها بشكل دوري للتأكد من الالتزام بمبدأ الحد الأدنى لجمع البيانات الشخصية، واتخاذ التدابير التصحيحية المناسبة من خلال موظفيها أو من خلال مسؤول حماية البيانات الشخصية.
2. على جهة التحكم عند معالجتها للبيانات الشخصية لغرض آخر غير الذي جمعت من أجله وذلك في الأحوال المنصوص عليها في المادة (العاشرة) من النظام، التأكد من توثيق كافة الإجراءات التي تحدد محتوى البيانات بما يشمل العمليات المتصلة بتطبيق مبدأ الحد الأدنى من البيانات الشخصية ويجب عليها توخي الحذر بالتأكد من أن أغراض جمع البيانات الشخصية نظامية ومحددة، وفقاً لذلك يجب على جهات التحكم عدم جمع البيانات الشخصية لمجرد أنه من المستحسن الاحتفاظ بها، إذ لا يُشكل هذا غرضاً "ضرورياً".
3. على جهات التحكم التأكد من أن موظفيها المسؤولين عن جمع البيانات الشخصية يتلقون التدريب المناسب لغرض فهم الالتزامات النظامية فيما يتعلق بقصر البيانات على الحد الأدنى اللازم لتحقيق الغرض، وعلى وجه الخصوص المسؤولين عن تصميم الأنظمة والأدوات المرتبطة بشكل مباشر بجمع البيانات الشخصية ومعالجتها، وذلك بتلقي التدريب المناسب لضمان تفعيل مبدأ قصر البيانات على الحد الأدنى من خلال نهج "الخصوصية في التصميم".