GDPR

حلّت GDPR محل توجيه حماية البيانات لعام 1995، وهي تنطبق على أي مؤسسة تعالج البيانات الشخصية للأشخاص في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية، بصرف النظر عن مكان وجود المؤسسة نفسها. ويعني هذا النطاق خارج الحدود الإقليمية أن أي شركة في أي مكان في العالم يمكن أن تخضع للائحة إذا كانت تستهدف المقيمين في الاتحاد الأوروبي أو تراقب سلوكهم.

في جوهرها، تشترط اللائحة أن يستند كل فعل من أفعال معالجة البيانات الشخصية إلى واحد من ستة أسس قانونية: الموافقة، أو العقد، أو الالتزام القانوني، أو المصالح الحيوية، أو المهمة ذات المصلحة العامة، أو المصالح المشروعة. كما تكرّس مبادئ مثل تحديد الغرض، وتقليل البيانات إلى الحد الأدنى، وتحديد مدة التخزين، والدقة، والمساءلة، وتمنح الأفراد حقوقًا تشمل الوصول والتصحيح والمحو وقابلية النقل والاعتراض.

يتولى الإنفاذَ السلطاتُ الإشرافية الوطنية (سلطات حماية البيانات)، بتنسيق من خلال المجلس الأوروبي لحماية البيانات. ويمكن أن تصل العقوبات على الانتهاكات الجسيمة إلى 20 مليون يورو أو 4 بالمئة من إجمالي حجم الأعمال السنوي العالمي للشركة، أيهما أعلى، ولهذا السبب أصبح الامتثال مصدر قلق على مستوى مجلس الإدارة للشركات العالمية.

بالنسبة إلى تقنيات مثل البصمة الرقمية للأجهزة والتحليلات، تتفاعل GDPR مع توجيه الخصوصية الإلكترونية (ما يسمى "قانون ملفات تعريف الارتباط"). فقراءة المعلومات على جهاز المستخدم أو كتابتها تتطلب عمومًا الموافقة ما لم تكن ضرورية للغاية لخدمة طلبها المستخدم، في حين أن المعالجة اللاحقة لأي بيانات شخصية ناتجة عن ذلك يجب أن تستوفي مع ذلك متطلبات الأساس القانوني والشفافية في GDPR.