سياسة حماية البيانات وإدارتها المسؤولة

الجهة المُصدِرة: الإدارة العامة لـ AFEX-TD — جهة الاتصال لحماية البيانات: مديرة العمليات، aabilla@afex-td.com — الإصدار: 1.0 — تاريخ السريان: 3 أبريل 2023

هذا النص العربي ترجمة للسياسة الأصلية المحرّرة بالفرنسية، والتي يُعتدّ بها في حال وجود أي اختلاف.

1. الديباجة والغرض

أفريقيا للخبرة – التحوّل والتنمية (AFEX-TD) مكتب استشاري خاضع للقانون التشادي، متخصص في تقييم المشاريع والبحوث والدراسات. وفي إطار تنفيذ مهامها، تجمع AFEX-TD بيانات تخصّ أشخاصًا طبيعيين وتحلّلها وتعالجها وتنقلها: العملاء والجهات المانحة والشركاء والمستجوَبين والمستفيدين من المشاريع وأعضاء فريقها. ويُرتّب هذا النشاط على المكتب مسؤولية قانونية وأخلاقية.

تضع هذه السياسة المبادئ والقواعد الواجبة التطبيق لإدارة البيانات داخل AFEX-TD بشفافية وأمان وأخلاقية ومسؤولية، طوال دورة حياتها من الجمع إلى الحذف. وهي جزء من إطار مرشّح للتطوّر مع التغيّرات التقنية والتنظيمية والتعاقدية، وستُراجَع دوريًا لهذا الغرض.

1.1 الالتزامات الرئيسية للسياسة

لكي تكون هذه السياسة فعّالة بالكامل، فإنها:

• اعتمدتها الإدارة العامة لـ AFEX-TD رسميًا (انظر الفصل 18)؛

• تُبلَّغ إلى جميع الموظفين والمتدخلين المعنيين وتُتاح لهم (انظر الفصل 15)؛

• توضّح كيفية حماية بيانات AFEX-TD وأنظمتها المعلوماتية (انظر الفصلين 6 و11 والملحقين ج وهـ)؛

• تحدّد أدوار ومسؤوليات المكلّفين بتنفيذها (انظر الفصل 14)؛

• تنصّ على قواعد تتعلق بالوصول وكلمات المرور والنسخ الاحتياطي وتبادل البيانات (انظر الفصل 6.3 والملحقين ج وهـ)؛

• توضّح كيفية الإبلاغ عن حادث أو انتهاك للبيانات ومعالجته (انظر الفصل 13)؛

• تنصّ على حفظ المعلومات وحذفها الآمن (انظر الفصل 6.5)؛

• تحترم القوانين الوطنية والمعايير الدولية المعمول بها (انظر الفصل 3)؛

• تحدّد التزامات الموظفين والاستشاريين المنتشرين في مشاريع يكلّف بها العملاء أو الجهات المانحة (انظر الفصل 9).

2. نطاق التطبيق

تنطبق هذه السياسة:

• على AFEX-TD ككل، وعلى أي كيان تابع لها؛

• على الشركاء والمديرين والموظفين والمتدرّبين وجامعي البيانات والاستشاريين المستقلين العاملين لحساب AFEX-TD، أيًّا كان المشروع الذي يعملون فيه (ويُشار إليهم فيما يلي بـ«أعضاء الفريق»)؛

• على العملاء والجهات المانحة المكلِّفة بالمشاريع وشركاء البحث والمتعاقدين من الباطن وأي منظمة أخرى تتصرّف باسم AFEX-TD أو لحسابها (ويُشار إليهم فيما يلي بـ«العملاء» أو «الشركاء»)؛

• على أي شخص مستجوَب أو مجيب أو مستفيد أو مُخبِر يُلتقى به في إطار مهام التقييم أو البحث أو الدراسة التي تنفّذها AFEX-TD (ويُشار إليهم فيما يلي بـ«الأشخاص المعنيين»)؛

• على أي بيانات تعالجها AFEX-TD، رقمية كانت أو ورقية، أيًّا كانت وسيطتها أو مكان حفظها.

3. الإطار القانوني المرجعي

3.1 القانون الوطني

تمارس AFEX-TD أنشطتها وفقًا للقانون رقم ⁦007/PR/2015⁩ المؤرخ 10 فبراير 2015 المتعلق بحماية البيانات ذات الطابع الشخصي ومرسومه التطبيقي، المرسوم رقم ⁦075/PR/2019⁩ المؤرخ 21 يناير 2019 المتضمن تطبيق القانون رقم ⁦007/PR/2015⁩. ويتولّى الإشراف على المنظومة الوطنية لحماية البيانات الوكالةُ الوطنية لأمن المعلوماتية والمصادقة الإلكترونية (ANSICE).

3.2 المرجع الدولي

كمرجع تكميلي للممارسات الجيدة، ولا سيما في المهام الممولة من جهات مانحة دولية، تستلهم AFEX-TD اللائحة (الاتحاد الأوروبي) ⁦2016/679⁩ الصادرة عن البرلمان الأوروبي والمجلس في 27 أبريل 2016 بشأن حماية الأشخاص الطبيعيين فيما يتعلق بمعالجة البيانات الشخصية وحرية تداولها (اللائحة العامة لحماية البيانات — GDPR).

وفي حال التعارض، يُطبَّق التشريع التشادي بحكم القانون على التراب الوطني. وتُطبَّق اللائحة العامة لحماية البيانات كممارسة جيدة معزّزة عندما تفرضها المتطلبات التعاقدية لجهة مانحة أو شريك، أو عند معالجة بيانات أشخاص يدخلون في نطاق تطبيقها.

4. التعريفات

البيانات: أي معلومات مكوّنة من حروف أو أرقام أو رموز أو صور أو أي مزيج منها، في شكل رقمي أو مادي.

البيانات الشخصية: أي معلومات تتيح التعرّف، بشكل مباشر أو غير مباشر، على شخص طبيعي («الشخص المعني») أو على مجموعة ديموغرافية متميّزة. أمثلة شائعة: الاسم والعنوان ورقم الهاتف وتاريخ الميلاد ورقم الهوية الوطنية.

البيانات الحساسة: فئة فرعية من البيانات الشخصية يمكن استخدامها لاستهداف شخص أو مجموعة أو التمييز ضدهما، ولا سيما الأصل العرقي والآراء السياسية أو الدينية والتوجه الجنسي والصحة والبيانات البيومترية أو الجينية (انظر الملحق أ).

المعلومات المحدِّدة للهوية الشخصية: معلومات تتعلق بشخص طبيعي محدّد أو قابل للتحديد، بشكل مباشر أو غير مباشر، ولا سيما بالرجوع إلى معرّف أو إلى عنصر أو أكثر من العناصر الخاصة بهويته الجسدية أو الفسيولوجية أو الاقتصادية أو الثقافية أو الاجتماعية.

المعلومات المحدِّدة للهوية الديموغرافية: معلومات تتيح التعرّف على مجتمع أو مجموعة متميّزة، جغرافية أو عرقية أو دينية أو اقتصادية أو سياسية.

الشخص المعني: أي شخص طبيعي يمكن التعرّف عليه، بشكل مباشر أو غير مباشر، بالرجوع إلى بيانات شخصية تخصّه.

المسؤول عن المعالجة: الشخص الطبيعي أو الاعتباري الذي يحدّد أغراض ووسائل جمع البيانات الشخصية أو تخزينها أو معالجتها أو نشرها. وفي مهام AFEX-TD، تكون AFEX-TD نفسها هي المسؤولة مبدئيًا، ما لم ينصّ عقد المهمة على خلاف ذلك.

المعالِج (المتعاقد من الباطن): الشخص الطبيعي أو الاعتباري الذي يعالج بيانات شخصية لحساب المسؤول عن المعالجة وبناءً على تعليماته.

الموافقة المستنيرة: أي تعبير حرّ ومحدّد ومستنير يقبل به الشخص المعني جمع بياناته ومعالجتها، يُحصَل عليه كتابيًا أو شفهيًا أو بفعل إيجابي واضح، عند الجمع أو في أقرب وقت ممكن بعده.

تقليل البيانات: مبدأ يقضي بعدم جمع إلا البيانات الملائمة وذات الصلة والمقتصرة على ما هو ضروري تمامًا للغرض المنشود.

المصلحة المشروعة: أساس قانوني للمعالجة يفترض غرضًا مشروعًا وضروريًا، ويمكن أن يُتجاوَز إذا مارس الشخص المعني حقه في سرية بياناته.

إزالة الهوية: أي طريقة معالجة تهدف إلى منع التعرّف على الشخص المعني، وتشمل على الخصوص إخفاء الهوية والترميز (انظر الملحق د).

إخفاء الهوية: عملية لا رجعة فيها تُجعَل بها البيانات الشخصية مجهولة المصدر بحيث لا يعود من الممكن التعرّف على الشخص المعني.

الترميز (الأسماء المستعارة): معالجة تجعل البيانات الشخصية غير قابلة للنسب إلى شخص معني دون اللجوء إلى معلومات إضافية («رمز مفتاح») تُحفَظ بشكل منفصل ومحمي.

اتفاق تقاسم البيانات: اتفاق بين AFEX-TD وطرف ثالث يحدّد شروط استخدام البيانات الشخصية المتقاسَمة: البيانات المعنية وطريقة النقل والاستخدامات المسموح بها وتدابير الأمن وغيرها.

تقييم الأثر على الخصوصية: عملية لتحديد مخاطر الخصوصية وإدارتها فيما يتعلق بمشروع أو أداة أو شراكة جديدة تنطوي على بيانات شخصية أو حساسة (انظر الملحق ب).

انتهاك البيانات: أي حادث أمني يؤدي، بشكل عرضي أو غير مشروع، إلى إتلاف البيانات الشخصية أو فقدانها أو تغييرها أو الإفصاح عنها أو الوصول إليها دون إذن.

5. مبادئ معالجة البيانات

عندما تجمع AFEX-TD بيانات شخصية، فإنها تلتزم ببذل جهد معقول لكي تكون هذه البيانات:

• معالَجة بطريقة قانونية ونزيهة وشفافة؛

• مجموعة لأغراض محدّدة وصريحة ومشروعة؛

• ملائمة وذات صلة ومقتصرة على ما هو ضروري (تقليل البيانات)؛

• دقيقة ومحدَّثة عند الحاجة؛

• محفوظة فقط للمدة اللازمة، ثم محذوفة وفقًا لقواعد الحفظ المطبّقة على العقد أو المهمة، وعند الاقتضاء بعد 90 يومًا؛

• معالَجة ومحفوظة بطريقة تضمن السرية والأمن والمساءلة الملائمة.

6. دورة حياة البيانات

يغطي نشاط AFEX-TD دورة حياة البيانات بأكملها، ولا سيما الجمع والتحليل والمعالجة والنقل. وتتطلب كل مرحلة تدابير محدّدة مفصّلة في ملاحق هذه السياسة.

6.1 الجمع

• الحصول على الموافقة المستنيرة للمستجوَبين وإعلامهم بغرض الجمع؛

• تطبيق مبدأ تقليل البيانات منذ تصميم أدوات الجمع (الاستبيانات وأدلة المقابلات وغيرها)؛

• إيلاء اهتمام خاص لجمع البيانات الحساسة (انظر الملحق أ).

6.2 التحليل والمعالجة

• قصر الوصول إلى البيانات الخام على أعضاء الفريق الذين يحتاجون إليها فقط؛

• تفضيل التحليل على بيانات مُزالة الهوية كلما أمكن ذلك (انظر الملحق د)؛

• تأمين أجهزة العمل والوسائط المستخدمة في المعالجة.

6.3 التخزين والأمن

• تشفير الملفات التي تحتوي على بيانات شخصية أو حساسة (انظر الملحق هـ)؛

• استخدام منصات تخزين معتمدة من AFEX-TD، مع التحكم في الوصول، لجميع بيانات المهام؛

• حماية كل حساب وجهاز (حاسوب وبريد إلكتروني وأداة جمع) بكلمة مرور قوية وشخصية لا تُتقاسَم أبدًا ولا يُعاد استخدامها من حساب لآخر؛

• إجراء نسخ احتياطية منتظمة لبيانات المهام على وسيط أو مساحة منفصلة عن جهاز الجمع، تكون هي نفسها محمية ومقيّدة الوصول؛

• مراجعة حقوق الوصول إلى الملفات وقواعد البيانات دوريًا، وسحبها دون تأخير عند تغيّر دور أحد الموظفين أو مغادرته.

6.4 التقاسم والنقل

• تأطير أي تقاسم خارجي للبيانات باتفاق لتقاسم البيانات يحدّد الغرض والمحتوى وتدابير الأمن والمدة؛

• عدم تقاسم إلا ما هو ضروري تمامًا، مع إخفاء الهوية كلما أمكن ذلك (انظر الملحق ج)؛

• توخّي يقظة خاصة في عمليات النقل إلى عملاء أو جهات مانحة أو شركاء خارج تشاد.

6.5 الحفظ والحذف

• تحديد مدة حفظ لكل مهمة تتناسب مع غرضها، تُذكر في العقد أو بروتوكول الدراسة؛

• حذف البيانات بشكل آمن عند انقضاء هذه المدة، ما لم يفرض القانون أو العقد مدة حفظ أطول.

7. حقوق الأشخاص المعنيين

يحق لأي شخص معني أن يطلب الاطلاع على البيانات الشخصية الخاصة به أو بأي شخص يكون مسؤولًا عنه قانونًا، أو تصحيحها أو حذفها. ويُوجَّه الطلب إلى جهة الاتصال لحماية البيانات في AFEX-TD على العنوان التالي: aabilla@afex-td.com. ويمكن تقييد أي طلب لأسباب قانونية أو أخلاقية أو تعاقدية أو تشغيلية مشروعة تمنع AFEX-TD من الاستجابة له بالكامل.

8. الإفصاح عن البيانات للغير

تبذل AFEX-TD العناية المعقولة لتجنّب أي تقاسم غير مقصود للبيانات الشخصية مع أطراف ثالثة غير معنية بالتقاسم. ويراعي أي إفصاح لطرف ثالث (عميل أو سلطة أو شريك) لأسباب قانونية أو تعاقدية أو تتعلق بالمساءلة العناصر التالية:

• سبب طلب الطرف الثالث للمعلومات وضرورة الإفصاح عنها له؛

• وجود موافقة مستنيرة من الشخص المعني؛

• التوقعات المعقولة للشخص المعني بشأن الإفصاح عن بياناته؛

• خطر الضرر المباشر أو غير المباشر على الشخص المعني.

وبقدر الإمكان، تُخفى هوية المعلومات المتقاسَمة مع الغير. ويخضع أي استثناء لموافقة الإدارة العامة.

9. المشاريع التي يكلّف بها العملاء والجهات المانحة

تُجمع جميع البيانات التي تجمعها AFEX-TD تقريبًا في إطار مهام يكلّف بها عميل قد يكون منظمة دولية أو جهة مانحة أو جهة حكومية أخرى. ويحدّد هذا الفصل الالتزامات الخاصة بالموظفين والاستشاريين وجامعي البيانات المنتشرين في هذه المشاريع، إضافةً إلى القواعد العامة لهذه السياسة.

9.1 التزام الموظفين المنتشرين في مشروع

يطّلع كل عضو في الفريق (موظف أو استشاري أو جامع بيانات) منتشر في مشروع، قبل انتشاره، على أي سياسة سرية أو مدونة سلوك أو وثيقة أخرى تتعلق بحماية البيانات يطلبها العميل المكلِّف بالمشروع، ويوقّع عليها. ويُضاف هذا الالتزام إلى الانضمام إلى هذه السياسة، التي تظل الحد الأدنى المطبّق على جميع أنشطة AFEX-TD.

9.2 الامتثال لمتطلبات العميل

• في كل مشروع، يمتثل الموظفون والاستشاريون وجامعو البيانات المنتشرون امتثالًا تامًا لسياسة العميل المعني ومعاييره في مجال حماية البيانات، كما يحدّدها العقد أو بروتوكول الدراسة أو اتفاق تقاسم البيانات المطبّق على المشروع؛

• عندما تكون متطلبات العميل أكثر صرامة من متطلبات هذه السياسة، تكون لها الأولوية طوال مدة المشروع وفي نطاقه، وتُطبَّق هذه السياسة بصفة تكميلية على كل ما لا يغطيه عقد العميل؛

• يحدّد قائد المهمة، منذ انطلاق المشروع، متطلبات العميل الخاصة بحماية البيانات ويدمجها في تقييم الأثر على الخصوصية الخاص بالمشروع (الفصل 10، الملحق ب).

9.3 نقل البيانات بين AFEX-TD والعميل

لا تُنقل البيانات المجموعة لحساب عميل إليه، أو إلى أي طرف ثالث يعيّنه، إلا وفق الشروط والحدود التي تنصّ عليها سياسة العميل لحماية البيانات واتفاق تقاسم البيانات الذي يحكم المشروع. ولا يُجرى أي نقل للبيانات خارج هذا النطاق، إلى عميل آخر أو مشروع آخر أو بلد ثالث، دون إذن صريح من العميل، ودون موافقة الشخص المعني عند الاقتضاء.

9.4 حفظ البيانات وإتلافها في نهاية المشروع

يحدّد العقد أو سياسة العميل لحماية البيانات طرائق حفظ البيانات المجموعة لحسابه وإتلافها. وما لم يُنصّ على خلاف ذلك، تُطبَّق قواعد الحفظ العامة لـ AFEX-TD (الفصل 6.5) بصفة تكميلية. وفي نهاية المشروع، تحفظ AFEX-TD البيانات أو تعيدها أو تتلفها وفقًا لتعليمات العميل، وتحتفظ بسجل موثّق لهذه العملية.

10. تقييم الأثر على الخصوصية

يُشترط إجراء تقييم للأثر على الخصوصية قبل إطلاق أي مشروع أو مهمة تقييم أو دراسة جديدة تنطوي على جمع بيانات شخصية أو حساسة، وقبل اعتماد أي أداة أو تقنية جمع جديدة، وقبل التعاقد مع أي شريك أو متعاقد من الباطن جديد يعالج بيانات لحساب AFEX-TD. ويفصّل الملحق ب الخطوات الواجب اتباعها.

11. أمن المعلومات والأنظمة

يقوم أمن بيانات AFEX-TD وأنظمتها المعلوماتية (الحواسيب وحسابات البريد الإلكتروني وأدوات الجمع ومساحات التخزين) على مزيج من التدابير التقنية والتنظيمية:

• تدابير تقنية: تشفير البيانات الحساسة (الملحق هـ)، وكلمات مرور قوية وشخصية، والتحكم في الوصول إلى الحسابات والملفات، ونسخ احتياطية منتظمة؛

• تدابير تنظيمية: ممارسات جيدة لتقاسم الملفات (الملحق ج)، وتوعية الفريق وتدريبه (الفصل 15)، وإجراء الإبلاغ عن الحوادث (الفصل 13).

ويجب حماية أي جهاز يُستخدم لجمع بيانات المهام أو تحليلها أو تخزينها (حاسوب محمول أو جهاز لوحي أو هاتف) بكلمة مرور أو رمز دخول، وتأمينه ماديًا عند عدم استخدامه، ولا سيما في الميدان.

12. آلية المساءلة وإدارة التغذية الراجعة

تضع AFEX-TD، في مهامها التي تشمل مجتمعات أو مستفيدين، آلية لتلقي التغذية الراجعة والمخاوف والشكاوى ومعالجتها، مع احترام سرية المُخبِرين. ويفصّل الملحق و قواعد إدارة البيانات الخاصة بهذه الآلية.

13. انتهاك البيانات

يُبلغ كل عضو في الفريق يعلم بانتهاك للبيانات أو يشتبه فيه (فقدان أو سرقة أو وصول غير مأذون أو إفصاح عرضي) جهةَ الاتصال لحماية البيانات دون تأخير على العنوان التالي: aabilla@afex-td.com. وتقيّم AFEX-TD خطورة الحادث، وتتخذ التدابير التصحيحية اللازمة، وتُخطر الوكالة الوطنية لأمن المعلوماتية والمصادقة الإلكترونية (ANSICE) والأشخاص المعنيين عندما يقتضي القانون التشادي ذلك.

14. الحوكمة والمسؤوليات

• تعتمد الإدارة العامة لـ AFEX-TD هذه السياسة، وتراقب تطبيقها، وتراجعها دوريًا.

• مديرة العمليات هي نقطة الارتكاز لحماية البيانات في AFEX-TD: تشرف على الامتثال لهذه السياسة، وتردّ على طلبات الأشخاص المعنيين، ويمكن التواصل معها على العنوان aabilla@afex-td.com.

• يتحمّل قادة المهام أو المشاريع في الميدان مسؤولية احترام هذه السياسة وإجراء تقييمات الأثر على الخصوصية المطلوبة.

• يلتزم كل عضو في الفريق باحترام هذه السياسة والإبلاغ عن أي حادث أو خطر يتعلق بالبيانات.

15. التواصل وإتاحة السياسة والتدريب

تُبلَّغ هذه السياسة وملاحقها إلى جميع أعضاء الفريق وتظل متاحة لهم بشكل دائم. وتُسلَّم إلى كل موظف أو متدرّب أو استشاري جديد عند التحاقه، ويُذكَّر بها الشركاء المعنيون بمهمة ما. وتُنشر نسخة موجّهة للجمهور على الموقع الإلكتروني لـ AFEX-TD.

ويتلقى كل عضو في الفريق، عند التحاقه، معلومات عن مضمون هذه السياسة وملاحقها. وتُنظَّم تذكيرات دورية، ولا سيما قبل إطلاق مهام تنطوي على جمع بيانات حساسة.

16. الجزاءات والامتثال

قد يؤدي أي إخلال بهذه السياسة إلى تدابير تأديبية بحق أعضاء الفريق، أو إلى فسخ الاتفاقات المبرمة مع الشركاء، دون الإخلال بالعقوبات المنصوص عليها في القانون رقم ⁦007/PR/2015⁩ ومرسومه التطبيقي.

17. الملاحق

تُستكمَل هذه السياسة بالأدلة العملية التالية التي توضّح تطبيقها العملي:

• الملحق أ — دليل البيانات الحساسة

• الملحق ب — دليل تقييم الأثر على الخصوصية

• الملحق ج — دليل تقاسم الملفات والبيانات

• الملحق د — دليل إزالة الهوية عن البيانات (إخفاء الهوية والترميز)

• الملحق هـ — دليل تشفير الملفات وتأمينها

• الملحق و — دليل المساءلة وإدارة التغذية الراجعة

18. الاعتماد والمراجعة

اعتمدت الإدارة العامة لـ AFEX-TD هذه السياسة رسميًا، وهي تتحمّل مسؤوليتها وتراقب تطبيقها. وتخضع للمراجعة مرة كل 5 سنوات على الأقل، أو في وقت أبكر عند حدوث تطوّر جوهري في الإطار القانوني التشادي أو المعايير الدولية أو أنظمة المعلومات أو نشاط المكتب. ويُعتمَد أي تعديل من الإدارة العامة ويُبلَّغ وفق الطرائق المنصوص عليها في الفصل 15.