البحرين، السعودية
خدمات الامتثال لقانون حماية البيانات الشخصية في البحرين
امتثال عملي للقانون رقم (30) لسنة 2018 وقراراته الصادرة في 2022: بدءاً من حصر بياناتك الشخصية ورسم مساراتها، وصولاً إلى الإخطارات والتدابير الأمنية والجاهزية لحالات الخرق، يقدّمه مراقب حماية بيانات خارجي مرخّص.
القانون في لمحة
- القانون رقم 30
- لسنة 2018: قانون حماية البيانات الشخصية في البحرين، النافذ منذ 1 أغسطس 2019
- 10
- قرارات تنفيذية صدرت في مارس 2022، تشمل نقل البيانات والأمن والإخطارات والحقوق
- 72 ساعة
- لإخطار الهيئة بخرق البيانات الشخصية بعد اكتشافه
- 20,000 د.ب
- الحد الأقصى للغرامة الجنائية على الجرائم الجسيمة، مع الحبس مدة لا تزيد على سنة
على من يسري القانون
الأفراد في البحرين
الأشخاص الذين يقيمون عادةً في البحرين، أو لديهم مقر عمل فيها، ويعالجون بيانات شخصية.
المؤسسات في البحرين
الشركات وغيرها من الأشخاص الاعتبارية التي لديها مقر عمل في البحرين.
المؤسسات في الخارج
كل من يعالج بيانات شخصية باستخدام وسائل موجودة في البحرين. ويجب عليه تعيين ممثل له في البحرين وإخطار الهيئة.
ما يتطلبه القانون
الالتزامات الأساسية لمديري البيانات بموجب القانون رقم (30) لسنة 2018 والقرارات الوزارية الصادرة في 2022.
أساس مشروع
لا تجوز معالجة البيانات الشخصية إلا بموافقة صاحبها، أو إذا كانت ضرورية لتنفيذ عقد، أو للوفاء بالتزام قانوني، أو لحماية مصالح حيوية، أو لتحقيق مصالح مشروعة (المادة 4).
قواعد البيانات الحساسة
تتطلب البيانات المتعلقة بالصحة أو الدين أو الأصل العرقي أو الآراء السياسية أو العضوية النقابية أو السوابق الجنائية أو الحياة الجنسية الحصول على الموافقة أو توافر استثناء محدد (المادة 5، والقرار 45/2022).
الإخطار قبل المعالجة
يجب إخطار الهيئة قبل البدء في المعالجة الآلية، والإبلاغ عن أي تغييرات خلال 30 يوماً، ما لم ينطبق استثناء (المادة 14، والقرار 44/2022).
التصريح المسبق
يجب الحصول مسبقاً على تصريح كتابي لمعالجة البيانات الحيوية للتحقق من الهوية، والبيانات الجينية، والربط بين ملفات لدى مديري بيانات مختلفين، والمراقبة بكاميرات المراقبة (المادة 15).
الأمن والإخطار بالخرق
يجب تطبيق تدابير فنية وتنظيمية موثّقة، وإخطار الهيئة بأي خرق خلال 72 ساعة (القرار رقم 43 لسنة 2022).
نقل البيانات عبر الحدود
لا يجوز نقل البيانات إلى الخارج إلا إلى الدول الـ 83 المدرجة في قائمة الهيئة، أو بتصريح من الهيئة، أو وفق أحد الاستثناءات المحددة (المادتان 12 و13، والقرار 42/2022).
حقوق يجب أن تكون مستعداً للوفاء بها
يحق للأفراد ممارسة هذه الحقوق تجاه مؤسستك، ويحدد القانون المدة التي يجب أن تستجيب خلالها.
| الموضوع | ما يحق للفرد | مهلة الاستجابة |
|---|---|---|
| العلم بالمعالجة | ما يحق للفرد: معرفة من يعالج بياناته ولأي غرض (المادة 17) | مهلة الاستجابة: إذا لم تُجمع البيانات منه مباشرة، فخلال 5 أيام من تسجيلها |
| الاطلاع | ما يحق للفرد: معرفة ما إذا كانت بياناته تُعالج وكيفية معالجتها، دون مقابل (المادة 18) | مهلة الاستجابة: خلال 15 يوم عمل |
| وقف التسويق المباشر | ما يحق للفرد: الاعتراض على استخدام بياناته لأغراض التسويق المباشر (المادة 20) | مهلة الاستجابة: خلال 10 أيام عمل |
| الاعتراض على الضرر | ما يحق للفرد: الاعتراض على المعالجة التي تُلحق به ضرراً مادياً أو معنوياً جسيماً (المادة 21) | مهلة الاستجابة: خلال 10 أيام عمل |
| القرارات الآلية | ما يحق للفرد: الاعتراض على القرارات المتخذة بناءً على المعالجة الآلية وحدها (المادة 22) | مهلة الاستجابة: وفق ما يحدده القرار 48/2022 |
| التصحيح أو المحو | ما يحق للفرد: تصحيح البيانات غير الدقيقة أو غير المشروعة أو حجبها أو محوها (المادة 23) | مهلة الاستجابة: خلال 10 أيام عمل، مع إبلاغ الجهات المتلقية خلال 15 يوماً |
ويحق للأفراد كذلك سحب موافقتهم في أي وقت، وتقديم شكوى إلى الهيئة، والمطالبة بالتعويض (المواد 24 و25 و57).
تكلفة عدم الامتثال
يجمع القانون بين العقوبات الجنائية والتدابير الإدارية التي يجوز للهيئة فرضها.
20,000 د.ب
الحد الأقصى للغرامة الجنائية على جرائم مثل النقل غير المشروع للبيانات أو المعالجة دون إخطار، مع الحبس مدة لا تزيد على سنة.
المصدر: المادة 58
2×
إذا كان مرتكب الجريمة شخصاً اعتبارياً، يُضاعف الحدان الأدنى والأقصى للغرامة، فقد تصل الغرامة إلى ضعف المبلغ المقرر للشخص الطبيعي. وتتوقف المسؤولية على الشروط المنصوص عليها في القانون.
المصدر: المادة 59
1,000 د.ب
الحد الأقصى للغرامة اليومية على المخالفة الأولى التي تستمر بعد صدور أمر بوقفها. وتصل الغرامة على تكرار المخالفة خلال ثلاث سنوات إلى 2,000 دينار بحريني يومياً.
المصدر: المادة 55
20,000 د.ب
الحد الأقصى للغرامة الإدارية، إلى جانب سحب التصاريح ونشر المخالفة.
المصدر: المادة 55
كيف نوصلك إلى الامتثال
- 01
تحديد النطاق وحصر البيانات
نحصر البيانات الشخصية التي تحتفظ بها، ومسارات تدفقها، والجهات التي تتلقاها.
- 02
تقييم الفجوات
نقيس ممارساتك مقارنةً بالقانون رقم 30 وقرارات 2022.
- 03
الإخطارات والموافقات
نُعدّ الإخطارات المقدمة إلى الهيئة وطلبات التصريح المسبق.
- 04
المعالجة
السياسات، وإشعارات الخصوصية، والعقود، وضمانات نقل البيانات، والتدابير الأمنية.
- 05
الامتثال المستمر
الجاهزية لحالات الخرق، والتعامل مع طلبات الحقوق، والمراقبة، مع مراقب حماية بيانات خارجي (DPG) إن احتجت إليه.
الأسئلة الشائعة
قانون حماية البيانات الشخصية في البحرين: الأسئلة الشائعة
لم تجد ما تبحث عنه؟ تواصل مع فريقنا.
أنشأ القانون هيئة حماية البيانات الشخصية. وبموجب المرسوم رقم (78) لسنة 2019، تتولى وزارة العدل والشؤون الإسلامية والأوقاف ممارسة صلاحيات الهيئة، وقد أصدر الوزير القرارات التنفيذية العشرة في مارس 2022.
نعم، إذا كانت تعالج بيانات شخصية باستخدام وسائل موجودة في البحرين، ما لم يكن ذلك لغرض العبور فقط. ويجب على هذه المؤسسات تعيين ممثل لها في البحرين وإخطار الهيئة.
نعم، في أغلب الحالات. يجب على مديري البيانات إخطار الهيئة قبل إجراء أي معالجة آلية كلياً أو جزئياً. ومن الاستثناءات معالجة صاحب العمل لبيانات موظفيه، والحالات التي يُعيَّن فيها مراقب لحماية البيانات.
البيانات الحيوية المستخدمة للتحقق من الهوية، والبيانات الجينية خارج نطاق الرعاية الطبية المرخّصة، والربط الآلي بين ملفات بيانات شخصية يحتفظ بها مديرو بيانات مختلفون، والتسجيل المرئي لأغراض المراقبة مثل كاميرات المراقبة، والبيانات الحساسة حين يتعذر على الفرد قانوناً إعطاء موافقته. وتبتّ الهيئة في الطلب خلال 30 يوماً، ويُعد عدم الرد رفضاً للطلب.
نعم، إلى الدول والأقاليم الـ 83 المدرجة في قائمة الهيئة بموجب القرار رقم (42) لسنة 2022، ومنها المملكة العربية السعودية والإمارات العربية المتحدة والمملكة المتحدة والولايات المتحدة الأمريكية. أما عمليات النقل الأخرى فتتطلب تصريحاً من الهيئة أو يجب أن تندرج ضمن أحد الاستثناءات الواردة في المادة 13، مثل الموافقة أو تنفيذ عقد.
يشترط القرار رقم (43) لسنة 2022 وضع إجراءات لإخطار الهيئة خلال 72 ساعة من اكتشاف الخرق، ما لم يكن من غير المرجح أن يعرّض حقوق الأفراد للخطر. ويجوز للهيئة كذلك أن تُلزمك بإبلاغ الأشخاص المتأثرين.
ليس لأغلب مديري البيانات. إذ يتيح القانون والقرار رقم (46) لسنة 2022 لمدير البيانات تعيين مراقب حماية بيانات (DPG) داخلي أو خارجي طوعاً، ويجوز لمجلس إدارة الهيئة أن يجعل التعيين إلزامياً لفئات محددة من مديري البيانات.
ابدأ برنامج امتثالك لقانون حماية البيانات الشخصية
أخبرنا كيف تستخدم مؤسستك البيانات الشخصية، وسنوضح لك موقفك من متطلبات القانون رقم (30) لسنة 2018.