قانون حماية البيانات في رواندا: ما يجب على الشركات فعله للامتثال للقانون رقم Nº 058/2021

ال قانون حماية البيانات في رواندا لم يعد مشروع امتثال مؤجلًا إلى المستقبل: فقد انتهت الفترة الانتقالية البالغة سنتين للشركات القائمة، وأصبحت الجهة التنظيمية تسجّل المؤسسات، وتأذن بعمليات النقل الدولية، وتتلقى تقارير الانتهاكات. ويعرض هذا الدليل ما يتطلبه القانون، ومن يسري عليهم، وكلفة عدم الامتثال، والخطوات الواجب اتخاذها الآن. وللحصول على دعم عملي، يقدّم فريقنا المتخصص في حماية البيانات والأمن السيبراني المشورة للمؤسسات في جميع القطاعات.

ما هو قانون حماية البيانات في رواندا؟

التشريع الحاكم هو القانون رقم Nº 058/2021 المؤرخ 13/10/2021 المتعلق بحماية البيانات الشخصية والخصوصية، المنشور في العدد الخاص من الجريدة الرسمية الصادر في 15 أكتوبر 2021. وقد دخل حيز التنفيذ في تاريخ نشره. ومُنحت الشركات التي كانت تمارس نشاطها بالفعل مهلة لا تتجاوز سنتين من تاريخ النشر لتوفيق أوضاعها، وبالتالي فقد انتهت فترة السماح هذه.

يحدد القانون "السلطة الرقابية" بأنها السلطة العامة المختصة بالأمن السيبراني. وعمليًا، هذه السلطة هي الهيئة الوطنية للأمن السيبراني (NCSA)، التي تشرف على تطبيق القانون من خلال مكتب حماية البيانات والخصوصية (DPO) التابع لها.

على من يسري القانون؟

يسري القانون على أي معالجة للبيانات الشخصية، آلية كانت أم غير آلية، يقوم بها متحكم في البيانات أو معالج لها أو طرف ثالث:

• يكون مقيمًا أو مؤسسًا في رواندا ويعالج البيانات الشخصية أثناء وجوده في رواندا؛ أو
• لا يكون مؤسسًا ولا مقيمًا في رواندا، لكنه يعالج البيانات الشخصية لأصحاب بيانات موجودين في رواندا.

وعليه، فإن الشركة التي ليس لها مكتب في رواندا قد تخضع مع ذلك للقانون إذا كانت تخدم عملاء في رواندا، ويجب عليها تعيين ممثل لها في رواندا كتابةً.

البيانات الشخصية والبيانات الشخصية الحساسة

يُقصد بالبيانات الشخصية أي معلومات تتعلق بشخص طبيعي محدد الهوية أو قابل للتحديد، مثل الاسم أو رقم الهوية أو بيانات الموقع أو المعرّف الإلكتروني. البيانات الشخصية الحساسة، التي تشمل المعلومات التي تكشف عن الحالة الصحية أو السوابق الجنائية أو المعتقدات الدينية أو الآراء السياسية أو البيانات الجينية، تخضع لشروط أكثر صرامة ولأشد العقوبات الجنائية.

الالتزامات الأساسية للمتحكمين في البيانات ومعالجيها

التسجيل لدى NCSA

يجب على كل من يعتزم العمل بصفة متحكم في البيانات أو معالج لها التسجيل لدى السلطة الرقابية. ويجب أن يبيّن الطلب، من بين أمور أخرى، البيانات الشخصية المراد معالجتها، وفئات أصحاب البيانات، وأغراض المعالجة، والجهات المتلقية، وأي بلد ستُنقل إليه البيانات، والمخاطر المترتبة والتدابير المتخذة لمعالجتها. وتصدر السلطة شهادة لمقدم الطلب المستوفي للشروط في غضون 30 يوم عمل من تاريخ استلام الطلب. ويُنشر دليل التسجيل الصادر عن DPO ونماذج الطلبات على الإنترنت.

التسجيل ليس إجراءً يُنجز مرة واحدة: إذ يجب الإخطار بالتغييرات في غضون 15 يوم عمل، ويجوز طلب التجديد خلال 45 يوم عمل قبل انتهاء الصلاحية.

الأساس القانوني والشفافية والسجلات

لا تكون المعالجة مشروعة إلا إذا استندت إلى أحد الأسس المنصوص عليها في القانون، ومنها الموافقة، وتنفيذ عقد، والالتزام القانوني، والمصالح الحيوية، والمهام المتعلقة بالمصلحة العامة، والمصالح المشروعة، والبحث المأذون به. وعند جمع البيانات، يجب على المتحكم أن يبلغ الأفراد، من بين أمور أخرى، بسبب جمعها، والجهات التي تتلقاها، ومدة الاحتفاظ بها، والحقوق التي يتمتعون بها.

ويجب على المتحكمين والمعالجين أيضًا الاحتفاظ بسجل لجميع أنشطة المعالجة، وتطبيق تدابير أمنية فنية وتنظيمية مناسبة، وإجراء تقييم للأثر على حماية البيانات (DPIA) حيثما يُحتمل أن تؤدي المعالجة إلى مخاطر عالية. ومن الحالات التي تستوجب ذلك المعالجة واسعة النطاق للبيانات الحساسة، والتنميط الآلي، والتقنيات الجديدة، وهو أمر وثيق الصلة بالشركات التي تعتمد على التحليلات أو على البنية التحتية للذكاء الاصطناعي ومراكز البيانات.

مسؤول حماية البيانات

يجب تعيين مسؤول لحماية البيانات في عدة حالات، منها الحالة التي تتم فيها المعالجة من قِبل هيئة اعتبارية أو كيان قانوني عام أو خاص (باستثناء المحاكم). ووفقًا للقراءة الحرفية للنص، يشمل ذلك معظم الشركات. ويجوز أن يكون المسؤول موظفًا أو مزوّد خدمة خارجيًا، ويجب نشر بيانات الاتصال الخاصة به وإرسالها إلى السلطة. وينشر DPO دليلًا للتعيين لدعم هذه الخطوة.

حقوق أصحاب البيانات التي يجب على الشركات احترامها

يمنح القانون الأفراد مجموعة محددة من الحقوق، يمكن ممارستها كتابيًا أو إلكترونيًا:

• الوصول: الحصول على معلومات عن أغراض المعالجة، ونسخة من بياناتهم، ومصدرها، وما إذا كانت قد نُقلت إلى الخارج.
• الاعتراض: بما في ذلك حق غير مشروط في وقف المعالجة لأغراض التسويق المباشر.
• قابلية نقل البيانات: تلقي بياناتهم بصيغة منظمة وقابلة للقراءة، أو إرسالها إلى متحكم آخر.
• التقييد والتصحيح والمحو، مع مراعاة الاستثناءات المنصوص عليها.
• عدم الخضوع لقرارات تستند حصرًا إلى المعالجة الآلية، بما في ذلك التنميط، مع استثناءات محدودة.
• تعيين وريث لبياناتهم الشخصية، و التمثيل، على سبيل المثال بالنسبة للأطفال دون سن 16 عامًا.

بالنسبة لمعظم الحقوق، يجب على المتحكم الرد في غضون 30 يومًا من تاريخ الطلب. ويجوز للفرد غير الراضي التظلم أمام السلطة الرقابية في غضون 30 يومًا، وترد السلطة في غضون 60 يومًا. لذلك تحتاج فرق الموارد البشرية وخدمة العملاء والتسويق إلى إجراءات موثقة. وينبغي لأصحاب العمل مواءمة ذلك مع عقود العمل وسياسات الموظفين، إذ إن سجلات الموظفين تُعدّ بيانات شخصية أيضًا.

النقل عبر الحدود والتخزين والإخطار بالانتهاكات

النقل والتخزين خارج رواندا

القاعدة الأصلية هي أن تُخزَّن البيانات الشخصية في رواندا. ولا يُسمح بالتخزين خارج رواندا إلا إذا كان لدى المتحكم أو المعالج شهادة تسجيل سارية تأذن بذلك. ويُسمح بالنقل إلى طرف ثالث في الخارج لأسباب محددة، منها الحصول على إذن من السلطة الرقابية بعد إثبات وجود ضمانات مناسبة، أو موافقة الفرد، أو الضرورة لتنفيذ عقد أو لمطالبة قانونية. ويجب أن يحدد عقد مكتوب مسؤوليات كل طرف، ويجوز للسلطة تعليق عمليات النقل أو حظرها.

ينبغي للشركات التي تستخدم الاستضافة السحابية الأجنبية أو أنظمة الموارد البشرية الخاصة بالمجموعة أن تراجع لدى DPO خدمة إذن النقل وأن تُدرج هذه الشروط في العقود التجارية. وللاطلاع على السياق الأوسع للسياسات، راجعوا تحليلنا حول تدفقات البيانات عبر الحدود في إفريقيا.

انتهاكات البيانات الشخصية

الجدول الزمني للإخطار بالانتهاكات ضيق وكثيرًا ما يُساء عرضه:

• ال المتحكم في البيانات ملزم بإبلاغ السلطة الرقابية بأي انتهاك للبيانات الشخصية في غضون 48 ساعة من علمه به.
• A معالج البيانات ملزم بإخطار المتحكم في غضون 48 ساعة من علمه به.
• ثم يجب على المتحكم تقديم تقرير عن الانتهاك إلى السلطة في موعد أقصاه 72 ساعة، يتضمن طبيعة الانتهاك، والأشخاص والسجلات المتأثرة، والتدابير المتخذة، ومقترحًا لإبلاغ الأفراد المتأثرين.
• إذا كان من المرجح أن يؤدي الانتهاك إلى مخاطر عالية على الأفراد، فيجب على المتحكم أيضًا إبلاغهم، ما لم ينطبق استثناء قانوني.

يدير DPO قناة مخصصة لـ الإبلاغ عن انتهاك البيانات. ولا غنى عن خطة تحدد صانعي القرار مسبقًا للوفاء بهذه المهل.

العقوبات بموجب قانون حماية البيانات في رواندا

المخالفات الإدارية. تستوجب المخالفات، مثل عدم الاحتفاظ بسجلات المعالجة، أو مزاولة النشاط دون شهادة تسجيل، أو استخدام شهادة منتهية الصلاحية، أو عدم تعيين مسؤول لحماية البيانات، أو عدم الإخطار بالانتهاك أو الإبلاغ عنه، غرامة إدارية لا تقل عن 2,000,000 فرنك رواندي (RWF) ولا تزيد على 5,000,000 فرنك رواندي، أو بنسبة 1% من رقم الأعمال العالمي للسنة المالية السابقة. وبالنسبة للهيئة الاعتبارية أو الكيان القانوني، ينص القانون على نسبة 1% من رقم الأعمال العالمي للسنة المالية السابقة.

الجرائم الجنائية. يُعاقب على الوصول إلى البيانات الشخصية أو جمعها أو استخدامها أو مشاركتها أو الإفصاح عنها بصورة غير مشروعة بالسجن من سنة إلى ثلاث سنوات وبغرامة تتراوح بين 7,000,000 و10,000,000 فرنك رواندي (RWF)، أو بإحدى هاتين العقوبتين. ويترتب على البيع غير المشروع للبيانات والمعالجة غير المشروعة للبيانات الحساسة عقوبات أشد. وتواجه الهيئة الاعتبارية المدانة غرامة بنسبة 5% من رقم أعمالها السنوي للسنة المالية السابقة، ويجوز للأفراد الذين يتكبدون ضررًا جسيمًا المطالبة بالتعويض أمام المحكمة.

قائمة عملية للتحقق من الامتثال

• احصروا بياناتكم: ما تحتفظون به من بيانات، وأين تُحفظ، وإلى أين تُنقل.
• حدّدوا دوركم وسجّلوا بصفتكم متحكمًا أو معالجًا أو كليهما، ودوّنوا موعد التجديد.
• عيّنوا مسؤولًا لحماية البيانات وأخطروا السلطة ببياناته.
• حدّثوا الإشعارات والموافقات على المواقع الإلكترونية والتطبيقات والنماذج ووثائق الموظفين.
• أنشئوا سجلًا للمعالجة وإجراءً لتقييم الأثر (DPIA) للمشاريع عالية المخاطر.
• احصلوا على أذونات النقل والتخزين ووقّعوا عقود نقل مكتوبة مع المورّدين.
• اختبروا خطة الاستجابة للانتهاكات في ضوء مهلتي 48 ساعة و72 ساعة.
• احموا الأصول ذات الصلة: كثيرًا ما تحتاج قواعد بيانات العملاء والبرمجيات أيضًا إلى الحماية بموجب قانون الملكية الفكرية في رواندا.
• أرسوا الحوكمة: أبلغوا مجلس الإدارة بمخاطر البيانات في إطار حوكمة الشركاتالسليمة، وأدرجوا حماية البيانات ضمن العناية الواجبة في عمليات الاستحواذ و الاستثمار الدولي.

الأسئلة المتداولة

ما اسم قانون حماية البيانات في رواندا؟

هو القانون رقم Nº 058/2021 المؤرخ 13/10/2021 المتعلق بحماية البيانات الشخصية والخصوصية. وقد دخل حيز التنفيذ بنشره في الجريدة الرسمية في 15 أكتوبر 2021، وانتهت الفترة الانتقالية البالغة سنتين للشركات القائمة.

من ينظّم حماية البيانات في رواندا؟

تشرف الهيئة الوطنية للأمن السيبراني (NCSA) على تطبيق القانون من خلال مكتب حماية البيانات والخصوصية التابع لها. وهي تسجّل المتحكمين والمعالجين، وتأذن بعمليات النقل إلى الخارج، وتتولى معالجة الشكاوى، وتفرض الجزاءات الإدارية.

هل تحتاج الشركات الأجنبية إلى التسجيل لدى NCSA؟

يسري القانون على المتحكمين والمعالجين خارج رواندا الذين يعالجون البيانات الشخصية لأشخاص موجودين في رواندا. ويجب على هذه الشركات أيضًا تعيين ممثل لها في رواندا كتابةً. لذلك ينبغي للشركات الأجنبية التي تخدم عملاء روانديين تقييم ما إذا كانت بحاجة إلى التسجيل.

ما المدة التي يجب خلالها الإبلاغ عن انتهاك البيانات في رواندا؟

يجب على المتحكم في البيانات إخطار السلطة الرقابية في غضون 48 ساعة من علمه بالانتهاك، ويجب على المعالج إخطار المتحكم خلال المدة نفسها. ويجب أن يُقدَّم تقرير كامل عن الانتهاك في موعد لا يتجاوز 72 ساعة. كما يجب إبلاغ الأفراد المتأثرين بالانتهاكات عالية المخاطر.

هل يمكن تخزين البيانات الشخصية خارج رواندا؟

نعم، ولكن فقط إذا كان لدى المتحكم أو المعالج شهادة تسجيل سارية تأذن بالتخزين خارج رواندا. كما يجب أن يستوفي النقل إلى أطراف ثالثة في الخارج أحد الأسس المنصوص عليها في القانون، وأن يكون مشمولًا بعقد مكتوب.

خاتمة

أصبح الامتثال لقانون حماية البيانات في رواندا متطلبًا تشغيليًا، مع تعرّض إداري وجنائي حقيقي للشركات التي تتأخر. والمؤسسات الأفضل استعدادًا هي التي تسجّل، وتعيّن مسؤولًا لحماية البيانات، وتوثّق عمليات المعالجة لديها، وتتدرب على الاستجابة للانتهاكات قبل وقوع أي حادث.

يمكن لـ WAYAN، من خلال محامي حماية البيانات والأمن السيبراني لديها في رواندا ، تقييم وضعكم، وإدارة تسجيلكم وأذوناتكم لدى NCSA، وبناء برنامج امتثال يلائم أعمالكم. احجزوا استشارة مع WAYAN للبدء.