شروط حماية بيانات الاتحاد الأوروبي الخاصة بـ GES

تتكون شروط حماية بيانات الاتحاد الأوروبي الخاصة بـ GES من البنود التعاقدية التالية ("البنود") من أجل تقديم ضمانات كافية فيما يتعلق بحماية خصوصية وحقوق وحريات الأفراد الأساسية لنقل البيانات الشخصية المحددة في الملحق الأمني لبيانات الاتحاد الأوروبي المعمول به الخاص بـ GES (يشار إليه بـ "الملحق") المبرم بين GES والطرف المقابل للملحق (يشار إليهما معًا بـ "الأطراف"):

البند 1

التعريفات

لأغراض البنود:

1. يجب أن يكون للمصطلحات ‘البيانات الشخصية’ و ‘فئات البيانات الخاصة’ و ‘معالجة/تجهيز’ و ‘المراقب’ و ‘المعالج’ و ‘صاحب البيانات’ و ‘السلطة الإشرافية’ المعنى نفسه الوارد في التوجيه 95/46/EC الصادر عن البرلمان الأوروبي ومجلس 24 أكتوبر 1995 بشأن حماية الأفراد فيما يتعلق بمعالجة البيانات الشخصية وبشأن حرية حركة هذه البيانات (‘المشار إليه فيما يلي بالتوجيه’)؛
2. يقصد بـ ‘مصدر البيانات’ المراقب الذي ينقل البيانات الشخصية؛
3. يقصد بـ ‘مستورد البيانات’ المراقب الذي يوافق على تلقي البيانات الشخصية من مصدر البيانات لمزيد من المعالجة وفقًا لشروط هذه البنود والذي لا يخضع لنظام دولة ثالثة يضمن الحماية الكافية.

البند 2

تفاصيل النقل

يتم تحديد تفاصيل النقل، وعلى وجه الخصوص فئات البيانات الشخصية والأغراض التي يتم نقلها من أجلها، في الملحق، الذي يشكل جزءًا لا يتجزأ من البنود ويتم دمجه بالإشارة إليه هنا.

البند 3

بند الطرف الثالث المستفيد

يجوز للأفراد المعنيين بالبيانات إنفاذ هذا البند، والبند 4 (ب) و (ج) و (د). البند 5 (أ) و (ب) و (ج) و (هـ)، البند 6 (1) و (2)، والبنود 7 و 9 و 11 كمستفيدين من الغير. لا يعترض الطرفان على تمثيل الأفراد المعنيين بالبيانات من قبل جمعية أو هيئات أخرى إذا رغبوا في ذلك وإذا كان ذلك مسموحًا به بموجب القانون الوطني.

البند 4

التزامات مُصدِّر البيانات

يوافق مُصدِّر البيانات ويضمن ما يلي:

1. أن معالجة البيانات الشخصية من قبله، بما في ذلك عملية النقل نفسها، قد تمت وستستمر حتى لحظة النقل وفقًا للأحكام ذات الصلة في الدولة العضو التي تأسس فيها مُصدِّر البيانات (وحيثما ينطبق ذلك، تم إخطار السلطات المختصة في تلك الدولة) ولا تنتهك الأحكام ذات الصلة في تلك الدولة؛
2. في حال كان النقل يتضمن فئات خاصة من البيانات، يجب إبلاغ صاحب البيانات أو سيتم إبلاغه قبل النقل بأنه يمكن نقل هذه البيانات إلى دولة ثالثة لا توفر حماية كافية؛
3. إتاحة نسخة من البنود لأصحاب البيانات بناءً على طلبهم؛ و
4. الرد في وقت معقول وبالقدر الممكن على استفسارات السلطة الإشرافية بشأن معالجة البيانات الشخصية ذات الصلة من قبل مستورد البيانات وعلى أي استفسارات من صاحب البيانات بشأن معالجة مستورد البيانات لهذه البيانات الشخصية.

البند 5

التزامات مستورد البيانات

يوافق مستورد البيانات ويضمن ما يلي:

1. أنه ليس لديه سبب للاعتقاد بأن التشريع المعمول به يمنعه من الوفاء بالتزاماته بموجب العقد، وأنه في حالة حدوث تغيير في هذا التشريع من المرجح أن يكون له تأثير سلبي كبير على الضمانات التي تقدمها البنود، فإنه سيخطر بالتغيير مُصدِّر البيانات والسلطة الإشرافية حيث تم تأسيس مُصدِّر البيانات، وفي هذه الحالة يحق لمُصدِّر البيانات تعليق نقل البيانات و/أو إنهاء العقد؛
2. لمعالجة البيانات الشخصية وفقًا لمبادئ حماية البيانات الإلزامية المنصوص عليها في الملحق 2؛

أو، إذا اتفق الطرفان صراحةً عن طريق التأشير أدناه ورهنًا بالامتثال لمبادئ حماية البيانات الإلزامية المنصوص عليها في الملحق 3، لمعالجة البيانات في جميع الجوانب الأخرى وفقًا لما يلي:

• الأحكام ذات الصلة من القانون الوطني (المرفقة بهذه البنود) التي تحمي الحقوق والحريات الأساسية للأشخاص الطبيعيين، وعلى وجه الخصوص حقهم في الخصوصية فيما يتعلق بمعالجة البيانات الشخصية المطبقة على مراقب البيانات في البلد الذي تم فيه تأسيس مُصدِّر البيانات، أو
• الأحكام ذات الصلة في أي قرار صادر عن المفوضية بموجب المادة 25 (6) من التوجيه 95/46/EC والذي يقرر أن دولة ثالثة توفر حماية كافية في قطاعات معينة من النشاط فقط، إذا كان مستورد البيانات موجودًا في تلك الدولة الثالثة ولا تغطيها تلك الأحكام، بقدر ما تكون تلك الأحكام ذات طبيعة تجعلها قابلة للتطبيق في قطاع النقل؛

3. للتعامل على الفور وبشكل صحيح مع جميع الاستفسارات المعقولة من مُصدِّر البيانات أو صاحب البيانات فيما يتعلق بمعالجته للبيانات الشخصية الخاضعة للنقل والتعاون مع سلطة الرقابة المختصة في سياق جميع استفساراتها والالتزام بنصيحة سلطة الرقابة فيما يتعلق بمعالجة البيانات المنقولة؛
4. بناءً على طلب مُصدِّر البيانات، تقديم مرافق معالجة البيانات الخاصة به للتدقيق الذي يجب أن يجريه مُصدِّر البيانات أو هيئة تفتيش تتكون من أعضاء مستقلين ويحملون المؤهلات المهنية المطلوبة، والتي يختارها مُصدِّر البيانات، عند الاقتضاء، بالاتفاق مع سلطة الرقابة؛
5. إتاحة نسخة من البنود للطرف المعني عند الطلب وتحديد المكتب الذي يعالج الشكاوى.

البند 6

المسؤولية

1. يتفق الطرفان على أن الطرف المعني بالبيانات الذي لحقت به أضرار نتيجة لأي انتهاك للأحكام المشار إليها في البند 3 يحق له الحصول على تعويض من الطرفين عن الأضرار التي لحقت به. يتفق الطرفان على أنه يجوز إعفاؤهما من هذه المسؤولية فقط إذا أثبتا أن أيا منهما غير مسؤول عن انتهاك هذه الأحكام.
2. يوافق مُصدِّر البيانات ومستورد البيانات على أنهما سيكونان مسؤولين بالتضامن والتكافل عن الأضرار التي تلحق بالطرف المعني بالبيانات الناتجة عن أي انتهاك مشار إليه في الفقرة 1. في حالة حدوث مثل هذا الانتهاك، يكون مُصدِّر البيانات أو مستورد البيانات أو كلاهما.

البند 7

الوساطة والاختصاص القضائي

1. يتفق الطرفان على أنه إذا كان هناك نزاع بين الطرف المعني بالبيانات وأي من الطرفين لم يتم حله وديًا واستند الطرف المعني بالبيانات إلى شرط المستفيد من الطرف الثالث في البند 3، فإنهما يقبلان قرار الطرف المعني بالبيانات:

1. 1. إحالة النزاع إلى الوساطة من قبل شخص مستقل أو، عند الاقتضاء، من قبل السلطة الإشرافية؛
   2. إحالة النزاع إلى المحاكم في الدولة العضو التي تأسس فيها مُصدِّر البيانات.

2. يتفق الطرفان على أنه بموجب اتفاق بين صاحب البيانات والطرف المعني، يمكن إحالة النزاع إلى هيئة تحكيم، إذا كان ذلك الطرف مؤسسًا في بلد صدق على اتفاقية نيويورك بشأن إنفاذ قرارات التحكيم.
3. يتفق الطرفان على أن الفقرتين 1 و 2 تسريان دون المساس بالحقوق الموضوعية أو الإجرائية لصاحب البيانات في التماس التعويضات وفقًا لأحكام أخرى في القانون الوطني أو الدولي.

البند 8

التعاون مع السلطات الرقابية

يوافق الطرفان على إيداع نسخة من هذا العقد لدى السلطة الرقابية إذا طلبت ذلك أو إذا كان هذا الإيداع مطلوبًا بموجب القانون الوطني.

البند 9

إنهاء البنود

يتفق الطرفان على أن إنهاء البنود في أي وقت، وتحت أي ظرف، ولأي سبب من الأسباب، لا يعفيهم من الالتزامات و/أو الشروط المنصوص عليها في البنود فيما يتعلق بمعالجة البيانات المنقولة.

البند 10

متروكة عمدًا

البند 11

تغيير العقد

يتعهد الطرفان بعدم تغيير أو تعديل شروط البنود.

الملحق 1

متروكة عمدًا.

الملحق 2

إلى البنود التعاقدية القياسية

مبادئ حماية البيانات الإلزامية المشار إليها في الفقرة الأولى من البند 5 (ب)

ينبغي قراءة مبادئ حماية البيانات هذه وتفسيرها في ضوء أحكام (مبادئ واستثناءات ذات صلة) التوجيه 95/46/EC.

تطبق هذه المتطلبات مع مراعاة المتطلبات الإلزامية للتشريعات الوطنية المطبقة على مستورد البيانات والتي لا تتجاوز ما هو ضروري في مجتمع ديمقراطي على أساس أحد المصالح المدرجة في المادة 13(1) من التوجيه 95/46/EC، أي إذا كانت تشكل إجراءً ضروريًا لحماية الأمن القومي أو الدفاع أو الأمن العام أو منع الجرائم الجنائية أو المخالفات الأخلاقية للمهن الخاضعة للتنظيم والتحقيق فيها والكشف عنها والملاحقة القضائية عليها، أو مصلحة اقتصادية أو مالية هامة للدولة أو حماية حقوق وحريات أصحاب البيانات الآخرين.

1. تقييد الغرض:​ يجب معالجة البيانات واستخدامها لاحقًا أو إرسالها فقط للأغراض المحددة في الملحق الأول للبنود. يجب عدم الاحتفاظ بالبيانات لفترة أطول من اللازم للأغراض التي تم نقلها من أجلها.
2. جودة البيانات والتناسب:​ يجب أن تكون البيانات دقيقة، وعند الضرورة، يتم تحديثها باستمرار. يجب أن تكون البيانات كافية وذات صلة وغير مفرطة فيما يتعلق بالأغراض التي يتم نقلها ومعالجتها من أجلها.
3. الشفافية:​ يجب تزويد أصحاب البيانات بمعلومات حول أغراض المعالجة وهوية مراقب البيانات في الدولة الثالثة، ومعلومات أخرى بالقدر اللازم لضمان المعالجة العادلة، ما لم يتم تقديم هذه المعلومات بالفعل من قبل مُصدِّر البيانات.
4. الأمن والسرية:​ يجب على مراقب البيانات اتخاذ تدابير أمنية فنية وتنظيمية مناسبة للمخاطر، مثل الوصول غير المصرح به، التي تمثلها المعالجة. يجب ألا يقوم أي شخص يعمل تحت سلطة مراقب البيانات، بما في ذلك المعالج، بمعالجة البيانات إلا بناءً على تعليمات من المراقب.
5. حقوق الوصول إلى البيانات وتصحيحها ومحوها وحظرها:​ على النحو المنصوص عليه في المادة 12 من التوجيه 95/46/EC، يجب أن يكون لصاحب البيانات الحق في الوصول إلى جميع البيانات المتعلقة به والتي تتم معالجتها، وحسب الاقتضاء، الحق في تصحيح أو محو أو حظر البيانات التي لا تتوافق معالجتها مع المبادئ المنصوص عليها في هذا الملحق، على وجه الخصوص لأن البيانات غير كاملة أو غير دقيقة. يجب أن يكون قادرًا أيضًا على الاعتراض على معالجة البيانات المتعلقة به لأسباب مشروعة قاهرة تتعلق بوضعه الخاص.
6. قيود على عمليات النقل اللاحقة:​ عمليات النقل الإضافية للبيانات الشخصية من مستورد البيانات إلى مراقب آخر مقره في دولة ثالثة لا توفر حماية كافية أو لا يغطيها قرار اتخذته المفوضية بموجب المادة 25(6) من التوجيه 95/46/EC (النقل اللاحق) لا يجوز أن تتم إلا إذا:

1. في حالة الفئات الخاصة من البيانات، أعطى أصحاب البيانات موافقتهم الصريحة على النقل اللاحق، أو في حالات أخرى، أتيحت لهم الفرصة للاعتراض.

يجب أن تتضمن الحد الأدنى من المعلومات التي يتم تقديمها لأصحاب البيانات بلغة مفهومة لهم:

• أغراض النقل اللاحق،
• تحديد هوية مُصدِّر البيانات المُؤسَّس في الاتحاد الأوروبي،
• فئات المستلمين الآخرين للبيانات والبلدان المقصودة، و
• توضيح بأنه بعد النقل اللاحق، قد تتم معالجة البيانات من قبل وحدة تحكم مُؤسَّسة في بلد لا يوفر مستوى كافيًا من حماية خصوصية الأفراد؛ أو

(ب) يوافق مُصدِّر البيانات ومستورد البيانات على الالتزام ببنود وحدة تحكم أخرى تصبح بذلك طرفًا في البنود وتتحمل نفس التزامات مستورد البيانات.

7. فئات خاصة من البيانات:​ عند معالجة البيانات التي تكشف عن الأصل العرقي أو الإثني، أو الآراء السياسية، أو المعتقدات الدينية أو الفلسفية، أو عضوية النقابات العمالية، والبيانات المتعلقة بالحياة الصحية أو الجنسية، والبيانات المتعلقة بالجرائم أو الإدانات الجنائية أو التدابير الأمنية، يجب أن تكون هناك ضمانات إضافية مطبقة بالمعنى المقصود في التوجيه 95/46/EC، وعلى وجه الخصوص، تدابير أمنية مناسبة مثل التشفير القوي للإرسال أو الاحتفاظ بسجل للوصول إلى البيانات الحساسة.
8. التسويق المباشر:​ عند معالجة البيانات لأغراض التسويق المباشر، يجب أن توجد إجراءات فعالة تسمح لصاحب البيانات في أي وقت “بالإلغاء” من استخدام بياناته لهذه الأغراض.
9. القرارات الفردية الآلية:​ يحق لأصحاب البيانات عدم الخضوع لقرار يستند فقط إلى المعالجة الآلية للبيانات، ما لم يتم اتخاذ تدابير أخرى لحماية المصالح المشروعة للفرد على النحو المنصوص عليه في المادة 15(2) من التوجيه 95/46/EC. عندما يكون الغرض من النقل هو اتخاذ قرار آلي على النحو المشار إليه في المادة 15 من التوجيه 95/46/EC، والذي ينتج عنه آثار قانونية تتعلق بالفرد أو تؤثر عليه بشكل كبير والذي يعتمد فقط على المعالجة الآلية للبيانات التي تهدف إلى تقييم جوانب شخصية معينة تتعلق به، مثل أدائه في العمل، أو جدارته الائتمانية، أو موثوقيته، أو سلوكه، وما إلى ذلك، يجب أن يكون للفرد الحق في معرفة الأساس المنطقي لهذا القرار.

الملحق 3

إلى البنود التعاقدية القياسية

مبادئ حماية البيانات الإلزامية المشار إليها في الفقرة الثانية من البند 5(ب)

1. تقييد الغرض:​ يجب معالجة البيانات واستخدامها لاحقًا أو إبلاغها فقط للأغراض المحددة في الملحق الأول للبنود. يجب عدم الاحتفاظ بالبيانات لفترة أطول من اللازم للأغراض التي تم نقلها من أجلها.
2. حقوق الوصول إلى البيانات وتصحيحها ومحوها وحظرها:​ على النحو المنصوص عليه في المادة 12 من التوجيه 95/46/EC، يجب أن يكون لصاحب البيانات الحق في الوصول إلى جميع البيانات المتعلقة به والتي تتم معالجتها، وحسب الاقتضاء، الحق في تصحيح أو محو أو حظر البيانات التي لا تتوافق معالجتها مع المبادئ المنصوص عليها في هذا الملحق، على وجه الخصوص لأن البيانات غير كاملة أو غير دقيقة. يجب أن يكون قادرًا أيضًا على الاعتراض على معالجة البيانات المتعلقة به لأسباب مشروعة قهرية تتعلق بوضعه الخاص.
3. قيود على عمليات النقل اللاحقة:​ لا يجوز إجراء عمليات نقل أخرى للبيانات الشخصية من مستورد البيانات إلى وحدة تحكم أخرى مُؤسَّسة في بلد ثالث لا يوفر حماية كافية أو لا يغطيها قرار اعتمدته المفوضية عملاً بالمادة 25(6) من التوجيه 95/46/EC (النقل اللاحق) إلا إذا:

(أ) يكون أصحاب البيانات، في حالة الفئات الخاصة من البيانات، قد أعطوا موافقتهم الصريحة على النقل اللاحق، أو، في حالات أخرى، أتيحت لهم الفرصة للاعتراض.

يجب أن تتضمن الحد الأدنى من المعلومات التي يتم تقديمها لأصحاب البيانات بلغة مفهومة لهم:

• أغراض النقل اللاحق،
• تحديد هوية مُصدِّر البيانات المُؤسَّس في الاتحاد الأوروبي،
• فئات المستلمين الآخرين للبيانات والبلدان المقصودة، و
• توضيح بأنه بعد النقل اللاحق، قد تتم معالجة البيانات من قبل وحدة تحكم مُؤسَّسة في بلد لا يوفر مستوى كافيًا من حماية خصوصية الأفراد؛ أو

(ب) يوافق مُصدِّر البيانات ومستورد البيانات على الالتزام ببنود وحدة تحكم أخرى تصبح بذلك طرفًا في البنود وتتحمل نفس التزامات مستورد البيانات.