قانون حماية البيانات الشخصية في سلطنة عُمان

تقع معظم الأعباء اليومية على أربع عمليات، ولكلٍّ منها نقطة إخفاق متوقعة حين تُدار بالمستندات.

معرفة ما تعالجه من بيانات. سجل أنشطة المعالجة لا يكون مفيدًا إلا إذا أشار إلى أنظمة وعمليات وموردين فعليين. وحين يُحفظ في جدول بيانات، فإنه يصف بيئة تقنية لم تعد موجودة منذ آخر مرة أُوقف فيها نظام ما.

تقييم العمليات عالية المخاطر. إن تقييم الأثر الذي يثير خطراً لا يصل أبداً إلى سجل المخاطر لم يغير شيئاً.

الرد على طلبات أصحاب البيانات. تصل الطلبات دون توقع وتنقضي مهلتها في موعد ثابت. ويُجدي التعامل معها عبر صندوق بريد مشترك حتى يصل أول طلب معقد فعلًا.

الإبلاغ عن حالات الخرق. وهذا من أكثر الالتزامات إغفالًا، لأن المهلة تبدأ في أسوأ لحظة ممكنة ولا أحد يراقبها.

تدير وحدة الخصوصية العمليات الأربع كلها على السجلات نفسها التي تستخدمها بقية المنصة. فسجلات أنشطة المعالجة ترتبط بالأصول والعمليات وفئات البيانات والموردين المسجلين أصلًا في وحدتي الأصول ومخاطر الأطراف الثالثة، فيؤدي إيقاف نظام ما إلى تحديث صورة الخصوصية بدلًا من إبطالها دون علم أحد.

وتتضمن تقييمات الأثر نظرة متكاملة إلى المخاطر، والمخاطر التي تكشفها تُسجَّل في السجل نفسه مع سائر المخاطر، وتخضع لآليات المعالجة وتقبّل المخاطر والقبول الرسمي نفسها.

وتُعالَج طلبات أصحاب البيانات بوصفها ملفات متابعة مرتبطة بمهلتها القانونية، لا سلاسل رسائل بريد إلكتروني.

والإبلاغ عن حالات الخرق هو حيث تثبت المنصة قيمتها. فخرق البيانات الشخصية والحادث الأمني هما في الغالب حدث واحد، ولذلك يرتبط سجل حالات الخرق بسجل الحوادث. وتُعرض مواعيد الإبلاغ القانونية في الواجهة بعدٍّ تنازلي مع تنبيهات تتصاعد كلما اقترب الموعد، وتُختم كل خطوة من خطة الاستجابة زمنيًا عند إكمالها. فالمهلة لا تعتمد على ذاكرة شخص في أسوأ يوم من أيام ربعه المالي.

نموذج البيانات مصمم لمتطلبات قانون حماية البيانات الشخصية العُماني (PDPL)، لا كنموذج أوروبي تم تغيير مسمياته، كما أن تصنيف البيانات قابل للتخصيص، وهو أمر مهم عندما تطلب الجهة المختصة توضيح الأساس القانوني بالمصطلحات المحلية.

تتداخل التزامات الخصوصية بشكل كبير مع ضوابط أمن المعلومات، لأن معظم ما يطلبه نظام الخصوصية عمليًا هو التحكم في الوصول، والاحتفاظ بالبيانات، والتشفير، وإدارة الموردين، والاستجابة للحوادث، مطبَّقةً كلها على فئة معينة من البيانات.

وهذا يعني أن المؤسسة التي تطبّق أصلًا ISO 27001 أو مجموعة ضوابط تنظيمية قد أنجزت جزءًا كبيرًا من العمل، ويُظهر محرك الربط هذا التداخل حتى يُحتسب مرة واحدة بدلًا من إعادة بنائه. ويوسّع ISO 27701 نطاق 27001 ليشمل إدارة الخصوصية تحديدًا، ويتداخل GDPR حيثما عالجت بيانات تخص أفرادًا في المنطقة الاقتصادية الأوروبية.