نظرة عامة على قوانين خصوصية البيانات في دولة الإمارات العربية المتحدة واستخدام تقنية التعرف على الوجه
تعد تقنية التعرف على الوجه واحدة من التقنيات سريعة التوسع في الإمارات العربية المتحدة، خاصة في مجال الأمن وتجارة التجزئة وخدمة العملاء. من ناحية أخرى، تثير هذه التقنيات أسئلة رئيسية حول الخصوصية والشرعية. ستغطي هذه المدونة بعض الأسئلة الشائعة التي قد تكون لدى الشركة عند استخدام التكنولوجيا، مع ملخص حالي لتشريعات خصوصية البيانات في دولة الإمارات العربية المتحدة.
Q1. ما هي القوانين واللوائح الرئيسية لدولة الإمارات العربية المتحدة فيما يتعلق بخصوصية البيانات واستخدام FRT فيما يتعلق بالموافقة وتخزين البيانات؟المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية، أو PDPL، يضع التشريع الرئيسي بشكل أساسي ودخل حيز التنفيذ في 2 يناير 2022. ومع ذلك، فإن اللوائح التنفيذية يبدو أنها لم تصدر بعد، بما في ذلك بعض البيانات اللازمة للامتثال، وبالتالي من المرجح أن تعيق عملية التنفيذ الشاملة. تحدد PDPL المبادئ العامة لكيفية معالجة البيانات الشخصية، ولهذا الغرض، يجب مراعاة ما يلي:• الموافقة: يجب أن يقدم موضوع البيانات دائمًا، في حالة عدم وجود أي استثناءات يتم توفيرها على وجه التحديد، موافقة صريحة لمعالجة بياناته الشخصية، بما في ذلك معلومات التعرف على الوجوه. يتم توفير هذا الإعفاء بموجب المادة 4.• التخزين: يجب تأمين تخزين البيانات. بمجرد إصدار اللوائح التنفيذية، سيتم تقديم تفاصيل محددة عن التخزين.Q2: ما هو موقف القانون فيما يتعلق بحماية البيانات البيومترية، وهل هناك أي تفويض بشأن حلول التخزين محليًا أو على السحابة؟ يصف PDPL معايير عامة حول كيفية تخزين البيانات البيومترية بأمان، بما في ذلك التعرف على الوجه. بعض المفاهيم الأساسية هي:• التدابير الفنية والتنظيمية: يجب على المراقب اعتماد التدابير اللازمة لضمان توافر البيانات الشخصية وسريتها وسلامتها وفقًا للمادة 20.• إجراءات التخزين المحلي أو السحابي: لم تصدر اللوائح التنفيذية التفاصيل المتعلقة بالتخزين السحابي؛ وعلى أي حال، أيًا كان شكل التخزين المستخدم - سواء كان محليًا أو من خلال السحابة - يجب أن يلبي في النهاية المتطلبات القانونية للأمان.Q3: ما هو القانون واللوائح التي تحكم تصدير البيانات البيومترية خارج دولة الإمارات العربية المتحدة، وماذا تفعل من أجل جعل أي صادرات متوافقة؟المادة 22 من PDPL يحظر أي نقل للبيانات الشخصية، بما في ذلك البيانات البيومترية، خارج دولة الإمارات العربية المتحدة ما لم تقدم الدولة المتلقية حماية كافية من أجل حقوق موضوعات البيانات. المادة 23 يقدم استثناء لهذه القاعدة العامة في ما يلي:• الحماية التعاقدية: اتفاقية لتطبيق أحكام PDPL بين الجهات المتلقية والمرسلة فيما يتعلق بالمعلومات.• الموافقة الصريحة: وافق موضوع البيانات صراحة على النقل.• الضرورة التعاقدية: النقل ضروري لأداء العقد بين وحدة التحكم وموضوع البيانات. ستوفر اللوائح التنفيذية، المتوقعة قريبًا، مزيدًا من الوضوح فيما يتعلق بنقل البيانات الشخصية عبر الحدود.س 4: ما الذي يعتبر موافقة من المستهلك، وما هي مسؤوليتنا لضمان وضوح ذلك وتوعيته بكيفية استخدام بياناته؟ يضع PDPL معيارًا عاليًا لأي معالجة للبيانات الشخصية، نظرًا لأنه يتطلب موافقة مستنيرة لا لبس فيها وإيجابية.• الموافقة الواضحة والصريحة: يجب أن تكون عملية الموافقة واضحة، ويجب تحديد الغرض من جمع المعلومات بوضوح. هنا، المصدر عبارة عن طلب واضح بأهداف محددة بوضوح فيما يتعلق بالمجموعة.• الحق في سحب الموافقة: يجب أن تكون الموافقة قابلة للسحب في أي مرحلة من العملية بسهولة.• الإعفاءات من الموافقة: الموافقة ليست مطلوبة لأغراض الأرشيف أو للبحث العلمي أو التاريخي أو الإحصائي، بشرط الالتزام بالقوانين المعمول بها. يتمتع مزودو المعلومات بالعديد من الحقوق، بما في ذلك حق الاعتراض لمعالجة البيانات و الحق في المحو من المعلومات الشخصية عند سحب الموافقة.س 5: كيف يمكننا التخفيف من معظم المشكلات القانونية المحيطة بالتعرف على الوجوه؟ ما هي بعض المخاطر المحتملة؟ تقدم تقنية التعرف على الوجه بعض المخاطر القانونية؛ يتعلق الأمر بشكل أساسي بانتهاك خصوصية البيانات والمعالجة الحساسة للبيانات البيومترية. بالنسبة للشركات، يحتاج المرء إلى معالجة هذا من حيث تخفيف المخاطر من خلال:• تقييمات التأثير: يجب إجراء تقييمات الأثر على حماية البيانات عندما تشكل المعالجة الآلية للبيانات أو معالجة البيانات الشخصية الحساسة، مثل التعرف على الوجه، بواسطة وحدة تحكم أو معالج جزءًا من نموذج الأعمال على نطاق واسع. وهي تنطوي على النظر فيما إذا كانت معالجة البيانات ذات الصلة ضرورية وعادلة، وإدراج أي مخاطر قد تنشأ بسبب المعالجة، واقتراح طرق للتخلص من تلك المخاطر (المادة 21).• مسؤول حماية البيانات: في ضوء الحجم والحساسية على سبيل المثال لا الحصر، تتطلب المادة 10 من المنظمة تعيين مسؤول حماية البيانات (DPO) لضمان الشرعية.• الامتثال لقانون حقوق النشر: من المناسب أيضًا الإشارة إلى المرسوم بقانون اتحادي رقم 38 لسنة 2021 بشأن حق المؤلف والحقوق المجاورة، التي تحظر التقاط صور أو تسجيل شخص دون إذن من الشخص المعني. وبالتالي، فإن الموافقة مطلوبة بموجب المادة 45 قبل جمع البيانات البيومترية. تقدم هذه المدونة نظرة عامة واضحة ومفصلة للاعتبارات القانونية الرئيسية المحيطة بتقنية التعرف على الوجه في الإمارات العربية المتحدة. تحتاج الشركات إلى الاستعداد للتغييرات التي ستأتي والتأكد من أن أنظمتها قابلة للتكيف مع الاحتياجات التي قد تنشأ في المستقبل، مثل اللوائح التنفيذية لم يتم إصدارها بعد. إذا كنت بحاجة إلى مزيد من التوجيه أو لديك أي استفسارات قانونية محددة، فلا تتردد في التواصل معنا للحصول على استشارة.
