تقييم خصوصية البيانات وأخلاقياتها
tasleemat asset PMO-02.06 template --lang ar
ملخص التسليمة وحدود الحوكمة
المرحلة في دورة حياة المشروع
المرحلة 02: منهجية المشروع وتخصيصه
متطلبات مستوى الحجم
المستوى 1
عقد التحقق الآلي
ترتبط هذه التسليمة بمخطط JSON Schema متوافق مع معيار Draft 2020-12 لتمكين التحقق البنيوي والدلالي الآلي.
tasleemat validate PMO-02.06 ./completed_data.jsonقالب التسليمة بتنسيق Markdown
<!--
تعليمات النموذج الذكي: املأ العناصر النائبة [ أضف التفاصيل... ] بناءً على سياق المشروع.
توجيهات استيفاء الأقسام:
**١. النطاق وجرد البيانات والملكية**
* **نطاق التقييم:**
* **معالجة غير مشمولة:**
* **ملّاك البيانات وأمناؤها:**
* **جرد البيانات:**
* **تدفّق البيانات والمستلمون:**
**٢. السند القانوني وحدود الغرض**
* **أغراض المعالجة وضرورتها:**
* **السند القانوني حسب الغرض:**
* **توافق الغرض والاستخدام الثانوي:**
* **اتخاذ القرار الآلي:**
**٣. الموافقة والشفافية**
* **آلية الموافقة:**
* **تحديد الموافقة ودرجتها:**
* **تسجيل الموافقة وإثباتها:**
* **السحب:**
* **إشعارات الخصوصية والإفصاح في اللحظة:**
**٤. حقوق الأفراد**
* **مسار معالجة الطلبات:**
* **التحقق من الهوية:**
* **مهل الاستجابة والتصعيد:**
* **الطلب على البيانات المشتقّة والمشاركة والمصوّدة:**
**٥. الاحتفاظ والأمن والمشاركة**
* **جدول الاحتفاظ:**
* **آلية الحذف وشمولها:**
* **النسخ الاحتياطية والبيانات المشتقّة:**
* **ضوابط الوصول وأدنى امتياز:**
* **التشفير وإدارة المفاتيح:**
* **المشاركة مع الأطراف:**
* **النقول عبر الحدود:**
* **إشعار الاختراق:**
**٦. الأخلاقيات فوق حدود الامتثال**
* **الضرر خارج المساءلة القانونية:**
* **الأشخاص والفئات الهشّة:**
* **الشفافية تجاه المتأثرين:**
* **التلاعب والأنماط الخفية وإرهاق الموافقة:**
* **عدالة القرارات الآلية:**
**٧. النتائج والمعالجة والمراجعة**
* **سجل النتائج:**
* **المخاطر المتبقّية وقبولها:**
* **خطة المعالجة:**
* **محفّزات المراجعة:**
* **محفّزات إعادة التقييم:**
-->
<h3 align="left">{{اسم_الشركة}}</h3>
<h2 align="left">{{اسم_النظام_أو_المبادرة}} - {{معرف_التقييم}}</h2>
<h1 align="center">تقييم خصوصية البيانات وأخلاقياتها</h1>
| **تاريخ الإعداد:** {{التاريخ_الحالي}} | **مسؤول خصوصية البيانات:** {{اسم_مسؤول_الخصوصية}} | **إعداد:** {{معد_الوثيقة}} |
| ---: | ---: | ---: |
---
## ١. النطاق وجرد البيانات والملكية
<!-- ما الذي يشمله هذا التقييم، ومن يملك كل أصل بياني ومن يديره، وما الغرض الذي يُحفظ لأجله، وهل يحوي بيانات شخصية أو فئة خاصة، وأين تتدفّق البيانات. -->
**نطاق التقييم:** [ أضف التفاصيل... ]
**معالجة غير مشمولة:** [ أضف التفاصيل... ]
**ملّاك البيانات وأمناؤها:** [ أضف التفاصيل... ]
**جرد البيانات:**
| الأصل البياني | المالك | الغرض المصرّح به | بيانات شخصية | فئة خاصة | الحجم ومعدّل التحديث |
| ---: | ---: | ---: | ---: | ---: | ---: |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
**تدفّق البيانات والمستلمون:** [ أضف التفاصيل... ]
---
## ٢. السند القانوني وحدود الغرض
<!-- ما الغرض من كل معالجة ولماذا تحتاج هذه البيانات بقدرها، والسند القانوني لكل غرض على حدة، وأي استعمال خارج الغرض الأصلي، وأي قرار يتخذ عن شخص آليًا. -->
**أغراض المعالجة وضرورتها:** [ أضف التفاصيل... ]
**السند القانوني حسب الغرض:**
| الغرض | البيانات المعالَجة | السند القانوني | سند الفئة الخاصة | المبرّر |
| ---: | ---: | ---: | ---: | ---: |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
**توافق الغرض والاستخدام الثانوي:** [ أضف التفاصيل... ]
**اتخاذ القرار الآلي:** [ أضف التفاصيل... ]
---
## ٣. الموافقة والشفافية
<!-- كيف تُطلب الموافقة وماذا قيل للشخص، وكيف تُسجَّل الموافقة، وكيف تُسحب، وما يُبلَّغ عنه في لحظة الاستعمال. -->
**آلية الموافقة:** [ أضف التفاصيل... ]
**تحديد الموافقة ودرجتها:** [ أضف التفاصيل... ]
**تسجيل الموافقة وإثباتها:** [ أضف التفاصيل... ]
**السحب:** [ أضف التفاصيل... ]
**إشعارات الخصوصية والإفصاح في اللحظة:** [ أضف التفاصيل... ]
---
## ٤. حقوق الأفراد
<!-- كيف يُستقبل طلب الفرد ويُبتّ فيه ويُجاب عنه في مهله، وماذا يحدث إذا كانت البيانات مشتقّة أو مشاركة أو قد دُرِّب عليها نموذج. -->
**مسار معالجة الطلبات:** [ أضف التفاصيل... ]
**التحقق من الهوية:** [ أضف التفاصيل... ]
**مهل الاستجابة والتصعيد:** [ أضف التفاصيل... ]
**الطلب على البيانات المشتقّة والمشاركة والمصوّدة:** [ أضف التفاصيل... ]
---
## ٥. الاحتفاظ والأمن والمشاركة
<!-- مدة احتفاظ كل أصل ومبررها، وكيف يصل الحذف إلى النسخ والسجلات والمشتقات، ومن يصل إلى البيانات ومن يملك المفاتيح، ومن المستلم وأي ضمان تعاقدي، وأين تُعالَج، وما الذي يُعدّ اختراقًا وما يُشترط عنده. -->
**جدول الاحتفاظ:**
| الأصل البياني | مدة الاحتفاظ | مبرر المدة | محفّز الحذف | التحقق من الحذف |
| ---: | ---: | ---: | ---: | ---: |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
**آلية الحذف وشمولها:** [ أضف التفاصيل... ]
**النسخ الاحتياطية والبيانات المشتقّة:** [ أضف التفاصيل... ]
**ضوابط الوصول وأدنى امتياز:** [ أضف التفاصيل... ]
**التشفير وإدارة المفاتيح:** [ أضف التفاصيل... ]
**المشاركة مع الأطراف:**
| المستلم | الغرض | البيانات المشتركة | الضمان التعاقدي | المنطقة |
| ---: | ---: | ---: | ---: | ---: |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
**النقول عبر الحدود:** [ أضف التفاصيل... ]
**إشعار الاختراق:** [ أضف التفاصيل... ]
---
## ٦. الأخلاقيات فوق حدود الامتثال
<!-- أين يضر هذا العمل ولا يمنعه قانون، ومن يتأثر في حالة ضعف القدرة على الرفض، وما يُقال للأشخاص فعلًا، وهل يسمح التصميم باختيار حقيقي، وكيف تقع نتائج القرارات الآلية على الفئات. -->
**الضرر خارج المساءلة القانونية:** [ أضف التفاصيل... ]
**الأشخاص والفئات الهشّة:** [ أضف التفاصيل... ]
**الشفافية تجاه المتأثرين:** [ أضف التفاصيل... ]
**التلاعب والأنماط الخفية وإرهاق الموافقة:** [ أضف التفاصيل... ]
**عدالة القرارات الآلية:** [ أضف التفاصيل... ]
---
## ٧. النتائج والمعالجة والمراجعة
<!-- ما الذي وجدناه، والخطر المتبقي بعد الإجراءات المخططة ومن يقبله ومتى، وماذا يحدث في الفترة الفاصلة، وما الذي يعيد فتح هذا التقييم. -->
**سجل النتائج:**
| النتيجة | الخطر على الأفراد | الخطورة | المالك | الإجراء |
| ---: | ---: | ---: | ---: | ---: |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
| [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] | [ أضف التفاصيل... ] |
**المخاطر المتبقّية وقبولها:** [ أضف التفاصيل... ]
**خطة المعالجة:** [ أضف التفاصيل... ]
**محفّزات المراجعة:** [ أضف التفاصيل... ]
**محفّزات إعادة التقييم:** [ أضف التفاصيل... ]
---
### الاعتماد والموافقات
| الدور | الاسم | التوقيع | التاريخ |
| ---: | ---: | ---: | ---: |
| **مسؤول حماية البيانات** | {{اسم_مسؤول_حماية_البيانات}} | _______________________ | [.... -.... -.... ] |
| **المستشار القانوني / الامتثال** | {{اسم_المستشار_القانوني}} | _______________________ | [.... -.... -.... ] |
| **مدير المشروع** | {{اسم_مدير_المشروع}} | _______________________ | [.... -.... -.... ] |
---
<div align="left" style="margin-top: 20px; font-size: 12px; color: #7f8c8d;">
<span>سجل التدقيق الإلكتروني: Hash SHA256: {{رمز_تجزئة_التدقيق_SHA256}}</span> <br>
<strong>النموذج:</strong> تقييم خصوصية البيانات وأخلاقياتها | <strong>المرجع:</strong> PMO-02.06 <br>
<i>تاريخ الإنشاء: {{وقت_الإنشاء}}، بواسطة <a href="https://github.com/fakhruldeen/Tasleemat/" style="color: #7f8c8d;">تسليمات</a></i>
</div>دليل المستخدم وإرشادات الممارس
دليل نماذج تسليمات
المخرج: تقييم خصوصية البيانات وأخلاقياتها
مرجع الوثيقة: PMO-02.06
يوفّر هذا المستند مرجعًا مهنيًا شاملًا لفهم الغرض من تقييم خصوصية البيانات وأخلاقياتها واستخدامه بفعالية بما يتوافق مع إطار تسليمات.
1. مفهوم الوثيقة وطبيعتها
وثيقة عن البيانات الشخصية التي يعالجها العمل: ما المشمول وما المستثنى صراحةً، ومَن يملك كل أصل بياني ومن يديره، وما الغرض الذي يُحفظ لأجله، وهل هو من الفئة الخاصة، وأين تتدفّق البيانات، والسند القانوني لكل غرض لا لكل مجموعة بيانات، وأي استعمال خارج الغرض الأصلي، وأي قرار يُتخذ عن شخص دون تدخل بشري ذي معنى، وكيف تُطلب الموافقة وتُسجَّل وتُسحب، وكيف يُجاب عن طلب الفرد في مهله، وماذا يحدث لبيانات مشتقّة أو مشاركة أو دُرِّب عليها نموذج، ومدة احتفاظ كل أصل ومبررها، وكيف يصل الحذف إلى النسخ والسجلات والتصدير، ومن يصل إلى البيانات ومن يملك المفاتيح، ومن المستلم وضمانه التعاقدي وأين تُعالَج، وما الذي يُعدّ اختراقًا، وأين يضر العمل ولا يمنعه قانون، ومن يتأثر وهو عاجز عن الرفض، وما يُقال للأشخاص فعلًا، وهل يسمح التصميم باختيار حقيقي، وكيف تقع نتائج القرارات الآلية على الفئات، وما الذي وُجد، والخطر المتبقي، وما الذي يعيد فتح التقييم.
2. القيمة والأهمية الاستراتيجية
لأن الضرر الذي يمكن أن يلحق بهذا العمل لا يُرى من داخله. الفريق يرى المخطط والإنتاج والكلفة لكل طلب، ولا شيء من ذلك يبيّن ما يحدث لمن سجله في الجدول. فتُجاب الأسئلة من الافتراض، ويختلف الافتراض بين المهندس والمراجع، وأول من يكتشف ذلك هو الشخص الذي يطلب بياناته فيُقال له إن الطلب قيد البحث.
والخانات الفارغة هي الدليل. تقييم بلا استثناءات، ولا استعمال ثانوي، ولا بيان شمول للحذف، ولا طريق للسحب، ولا نتائج أخلاقية، يصف معالجة لم تبدأ، لأن كل من هذه الخانات يملؤها ما حدث لا ما قرّر. وسجل الموافقة بلا نسخة النص لا يمكن الدفاع عنه، لأن الشروط التي وافق عليها الشخص تصير غير قابلة للاسترجاع. ومدة احتفاظ مكتوبة دون مبرر هي مدة افتراضية أُخذت وكُتبت بوصفها قرارًا. وحذف صف من المخزن الأساسي بينما تبقى البيانات في أربعة مواضع أخرى أشيع نتيجة في أي مراجعة، ولا يُرى دون بيان شمول.
وقسم الضرر خارج المساءلة موجود لأن الامتثال حد أدنى لا سقف. المعالجة قد تكون مشروعة ومرخّصة ومحتفَظًا بها على الوجه الصحيح ومشتركة على الوجه الصحيح، وتكون مع ذلك خاطئة، ومن يقرأ النموذج المكتمل سيظن أن العمل انتهى.
3. التوقيت ودواعي الإعداد والتحديث
يُعدّ هذا المخرج ويستخدم أساسًا في مجموعة منهجية المشروع وتخصيصه من دورة حياة المشروع. يُعدّ عند اقتراح غرض معالجة، ويُمَرَّر قبل جمع أي بيانات شخصية، ويُعدَّل عند كل تغيّر في الغرض أو المستلم أو النموذج أو الولاية القضائية، وعند أي تغيّر تنظيمي، ويُقرأ عند مراجعة التصميم وعند التوريد وعند اقتراح مجموعة بيانات جديدة وعند ممارسة أحدهم حقًا وعند مراجعة حادثة.
4. الأدوار والمسؤوليات (RACI)
المسؤوليات: يُعدّه مسؤول حماية البيانات، المسؤول عن السند القانوني وجدول الاحتفاظ ومسار معالجة الطلبات، وهو من يجب أن يستطيع الإجابة عن طلب فرد دون استشارة أحد. ويراجعه مسؤول مراجعة الأخلاقيات، المسؤول عن قسم الضرر خارج المساءلة وعن عدالة القرارات الآلية، ومالك البيانات لكل أصل، المسؤول عن أن يكون الغرض المصرّح به هو الغرض الحقيقي. ويعتمده راعي المشروع، المسؤول عن قبول المخاطر المتبقّية. وحيث لم تُنظر معالجة، فيُسجَّل أنها لم تُنظر، لا أن تُترك المسؤوليات: يُعدّه مسؤول حماية البيانات، المسؤول عن السند القانوني وجدول الاحتفاظ ومسار معالجة الطلبات، وهو من يجب أن يستطيع الإجابة عن طلب فرد دون استشارة أحد. ويراجعه مسؤول مراجعة الأخلاقيات، المسؤول عن قسم الضرر خارج المساءلة وعن عدالة القرارات الآلية، ومالك البيانات لكل أصل، المسؤول عن أن يكون الغرض المصرّح به هو الغرض الحقيقي. ويعتمده راعي المشروع، المسؤول عن قبول المخاطر المتبقّية. وحيث لم تُنظر معالجة، فيُسجَّل أنها لم تُنظر، لا أن تُترك الخانة فارغة، فالاستثناء نتيجة وغياب النظر نتيجة أخرى، والتفاوت بينهما هو ما يجب أن يُقرأ.
إرشادات التخصيص والمواءمة
- سجّل السند لكل غرض لا لكل مجموعة بيانات؛ فمجموعة واحدة تخدم أغراضًا لا تشترك في سند واحد، والنموذج الذي يسجّل السند مرة واحدة يحمله عبر أغراض لا يشترك فيها.
- اذكر مبرر مدة الاحتفاظ. المدة الموروثة من معيار مؤسسي مقبولة بشرط تسجيل أنها موروثة، وهذا مختلف عن ادّعاء اختيارها.
- اذكر ما يحفّز بدء المدة: تاريخ الجمع، أو انتهاء الغرض، أو انتهاء العقد. المدة التي لا يُحسم متى تبدأ لا تنتهي أبدًا.
- في خانة الحذف، سمِّ النسخ الأخرى صراحةً: النسخ المكرّرة والسجلات والتصدير وأوزان النماذج. خانة الحذف بلا شمول هي وعد.
- عرّف كل مستلم بنوعه: معالج موكّل بعقد، أم متحكم يشارك لغرضه. الضمان التعاقدي يختلف بينهما، والصف الواحد لكل منهما يمنع افتراض الضمان الأقوى.
- لا تخلط بين التخزين والمعالجة. منطقة تخزين في بلد ومُخزّن في آخر لا يجيب عن المعالجة في ثالث.
- صُغ دعوى الضرر بحيث يمكن أن تكون خاطئة، واذكر الضرر الذي يلحق بالشخص لا الضرر المؤسسي. الأول يُقاس، والثاني يُحتمل.
- في قسم الأخلاقيات، سجّل ما فُكِّر فيه حتى إن لم ينتج عنه ضرر؛ فالقسم الفارغ يُقرأ على أنه إهمال لا نتيجة.
- سجّل النتائج التي قُبلت ولم تُعالَج، باسم من قبلها وتاريخ انتهاء القبول؛ فالقبول بلا مالك ولا تاريخ مخاطرة بلا مالك.
- استبدل التقييم ولا ترقّمه في مكانه، فيبقى ما رُئي على قرار الاعتماد هو ما رُئي عليه.
المحاذاة والترابط المؤسسي
ينبغي أن يتسق تقييم خصوصية البيانات وأخلاقياتها مع المستندات التالية: * خطة حوكمة الذكاء الاصطناعي * بطاقة نموذج الذكاء الاصطناعي * خطة إدارة المخاطر * خطة إدارة البيانات * سجل أصحاب المصلحة
5. إرشادات تعبئة الحقول والبيانات
لإتمام تقييم خصوصية البيانات وأخلاقياتها بدقّة واحتراف، على المسؤول تعبئة الأقسام التالية
استنادًا إلى سياق المشروع (مع التأكد من الرجوع إلى parameters.md
للمتغيرات العامة للمشروع):
- نطاق التقييم: ما الذي تشمله هذه المعالجة والأنظمة والفترات التي يغطيها هذا التقييم. والتقييم الذي لا يذكر ما يستثنيه سيُقرأ على أنه شامل، وفي تلك الفجوة تقع المعالجة التي لم تُختبر.
- معالجة غير مشمولة: ما الذي لا يشمله هذا التقييم صراحةً، ولماذا: لأنه مشمول في تقييم آخر، أو لأنه لم يُنظر فيه. العبارتان مختلفتان، والثانية نتيجة وليست تبريرًا.
- ملّاك البيانات وأمناؤها: من يملك كل أصل بياني ومن يديره يومًا بيوم. الملكية والإدارة شيئان مختلفان: المسؤولية تتبع الأمين والميزانية تتبع المالك، وتسجيل الاثنين معًا يحدّد المسؤول.
- جرد البيانات: الأصول البيانية التي يقوم عليها العمل، وصف واحد لكل أصل: ما هو ومن يملكه، والغرض الذي يُحفظ لأجله، وهل يحوي بيانات شخصية أو فئة خاصة، وحجمه ومعدّل تحديثه. الجرد الذي يُوصف بعدد لا بقائمة لا يجيب عن أي سؤال يأتي بعده.
- تدفّق البيانات والمستلمون: أين تتحرك البيانات ومن يستلمها. التدفّق هو ما يحدّد أي نقل يحتاج إلى ضمانة، والتدفّق الذي يُظهر المخزن الرئيسي وحده يخفي النسخ.
- أغراض المعالجة وضرورتها: ما الغرض من كل معالجة، ولماذا لا يمكن تحقيقه ببيانات أقل أو بنطاق أضيق. والضرورة تُقاس لكل غرض لا لكل مجموعة بيانات، لأن مجموعة واحدة تخدم أغراضًا مختلفة، ولكل منها ضرورة مختلفة.
- السند القانوني حسب الغرض: السند الذي يُستند إليه لكل غرض، بصف واحد لكل غرض: الغرض، والبيانات المعالَجة، والسند، وسند الفئة الخاصة حيث وُجدت، والمبرّر. النموذج الذي يسجّل السند مرة واحدة لكل مجموعة بيانات يحمل سندًا واحدًا عبر أغراض لا تشترك فيه.
- توافق الغرض والاستخدام الثانوي: هل تُستعمل البيانات لأي غرض غير الغرض جُمعت لأجله، وبأي سند. الاستعمال الثانوي أشيع إخفاق في عمل التحليلات وأقله احتمالًا للملاحظة، لأن كل حقل على حدة يبقى له أصل مشروع.
- اتخاذ القرار الآلي: أي قرار يتخذ عن شخص دون تدخل بشري ذي معنى، والمنطق الذي قوادته، وما يترتب عليه. يُسجَّل لأن تقييم السند القانوني لا يثبت وحده أن القرار قرار يستطيع الشخص الطعن فيه.
- آلية الموافقة: كيف تُطلب الموافقة وأين تظهر في التدفّق. الموافقة التي تُجمع بعد استعمال البيانات أصلًا سجل لا طلب، والفرق يحدّد ما يساويه هذا السجل.
- تحديد الموافقة ودرجتها: ما قيل للشخص إنه يوافق عليه، وهل الخيارات منفصلة. الموافقة الواحدة التي تغطي عدة أغراض هي موافقة على لا شيء منها بعينه، ومربعات الاختيار المحدَّدة سلفًا ليست اختيارًا.
- تسجيل الموافقة وإثباتها: أين يُحفظ سجل الموافقة، وكم تاريخها، ونص أي نسخة من النص ظهرت للشخص، والواجهة التي ظهرت فيها. سجل الموافقة بلا نسخة من النص لا يمكن الدفاع عنه، لأن الشروط التي وافق عليها الشخص تصير غير قابلة للاسترجاع.
- السحب: كيف يسحب الشخص موافقته، ومدى سهولة ذلك مقارنة بمنحه، وماذا يحدث للبيانات التي عولجت على أساسها. التباين بين المنح والسحب هو الاختبار المعياري، والسحب الذي يُنفَّذ بأثر لاحق فقط يترك المعالجة قائمة خلفه.
- إشعارات الخصوصية والإفصاح في اللحظة: ما يُقال عند الجمع، وما يُقال لحظة استعمال البيانات، وأين يمكن لأي منهما أن يُطالَب به. الإشعار المنشور مرة واحدة لا يعود إليه أحد يطالِق المعالجة أول مرة في الشهر الثالث.
- مسار معالجة الطلبات: كيف يُستقبل طلب الفرد وكيف يُوجَّه ويُبتّ فيه ويُجاب عنه، ومن يملك ذلك. الحق المذكور في سياسة بلا طريق لممارسته حقّ مصرَّح به، ولا يُختبر إلا عندما يستخدمه أحد.
- التحقق من الهوية: كيف يُؤكَّد أن صاحب الطلب هو من يدّعي، وما يُرفض عند تعذّر ذلك. التحقق الذي يقبل أيًا كان يكشف البيانات، والذي يرفض الجميع ينفي الحق، والميزان بينهما قرار يُسجَّل لا قاعدة افتراضية.
- مهل الاستجابة والتصعيد: المهلة المقررة لكل نوع من الطلبات، وماذا يحدث عند تجاوزها، ومن يُبلَّغ. الساعة هي الحق كله في الواقع، لأن الإجابة الصحيحة المتأخرة تبقى إخلالًا.
- الطلب على البيانات المشتقّة والمشاركة والمصوّدة: ماذا يحدث لطلب بياناتهم التي جُمعت، أو مُشاركة مع طرف ثالث، أو دُرِّب عليها نموذج. الحذف لا يصل إلى نموذج مدرَّب بحذف صف، والنموذج الذي لا يقول ذلك سيُقرأ على أنه حذفها.
- جدول الاحتفاظ: صف واحد لكل أصل بياني: مدة الاحتفاظ، ومبرر هذه المدة لا العرف المتبع، وما يحفّز الحذف، وكيف يُتحقق من الحذف فعلًا.
- آلية الحذف وشمولها: كيف يُنفَّذ الحذف، وما نسخه المشمولة: المخازن الأساسية والنسخ المكرّرة والسجلات والتصدير. حذف صف من جدول واحد بينما تبقى البيانات في أربعة مواضع أخرى أشيع نتيجة في أي تقييم من هذا النوع، وهي غير مرئية دون بيان الشمول.
- النسخ الاحتياطية والبيانات المشتقّة: كيف ينتشر الحذف إلى النسخ الاحتياطية وإلى النماذج المدرَّبة على البيانات، وخلال أي مدة. النسخ الاحتياطية هي السبب المعتاد لعدم اكتمال الحذف، والنموذج المدرَّب نسخة لا يصلها طلب حذف.
- ضوابط الوصول وأدنى امتياز: من يصل إلى البيانات، وبأي طريق، وبأي موافقة، وكيف تُراجع الصلاحيات. الوصول هو الضابط الذي يفشل بهدوء، لأن استعمال صلاحية مشروعة لا يُميَّز عن الاستعمال المشروع دون مراجعة.
- التشفير وإدارة المفاتيح: ما المُشفَّر أثناء النقل وفي التخزين، ومن يملك المفاتيح. التشفير الذي مفاتيحه إلى جانب البيانات ضابط على الورق، وترتيب حيازة المفاتيح هو الجزء الذي لا يُكتب.
- المشاركة مع الأطراف: المستلمون الخارجيون، بصف لكل مستلم: من هو، ولماذا، وما البيانات المشاركة، وما الضمان التعاقدي المُستند إليه، وأين تُعالَج.
- النقول عبر الحدود: أين تغادر البيانات أو المعالجة أو إلى قاضٍ آخر، وبأي آلية نقل، وما الإجراءات التكميلية المطبقة. منطقة الاستضافة ليست تحليل نقل، والوصول عن بُعد من موظف في الخارج نقل لا يسجّله أي إعداد للمنطقة.
- إشعار الاختراق: ما الذي يُعدّ اختراقًا هنا، ومن يُبلَّغ، وفي أي مهلة، ومن يقرر. يُسجَّل لأن خطة الاستجابة المكتوبة بعد وقوع حادثة تُكتب لتلك الحادثة، وقرار التعريف هو الجزء الذي يُترك عادةً.
- الضرر خارج المساءلة القانونية: أين يضر هذا العمل ولا يمنعه قانون. هذا القسم موجود لأن الامتثال حدّ أدنى: المعالجة قد تكون مشروعة ومرخّصة ومحتفَظًا بها على الوجه الصحيح ومشتركة على الوجه الصحيح، وتكون مع ذلك خاطئة، والنموذج الذي يتوقف عند المشروعية أجاب عن السؤال السهل.
- الأشخاص والفئات الهشّة: من يتأثر وهو في حالة ضعف القدرة على الرفض أو الفهم أو تحمّل العاقبة. الهشاشة هنا صفة للوضع لا صفة للشخص، وهي غير مرئية لسجلّ من الفئات والأعداد.
- الشفافية تجاه المتأثرين: ما يُقال فعلًا لمن هم في البيانات، ببلغتهم، على خلاف ما يقوله الإشعار. الإشعار الدقيق والكامل وغير المقروء هو الفشل المعتاد، وقراءته بوصفه متلقيًا لا بوصفه كاتبًا هو الطريق الوحيد لرؤيته.
- التلاعب والأنماط الخفية وإرهاق الموافقة: هل يدفع التصميم ويحدّد سلفًا ويدفن الرفض أو يكرّر الطلب، وهل حجم الطلبات يجعل الرفض عمليًا. الموافقة التي تنتجها بنية تصميم ليست موافقة حرة مهما كان السجل يقول.
- عدالة القرارات الآلية: هل ينتج عن المعالجة نتائج لأشخاص، وكيف يتوزع توزيع تلك النتائج على الفئات. سند قانوني لقرار ليس دفاعًا عن عدالته، والتقييمان يختبران سؤالين مختلفين.
- سجل النتائج: صف واحد لكل نتيجة: ما الذي وجدناه، والخطر الذي يشكّله على الأفراد، والخطورة، والمالك، والإجراء المتخذ. الخطورة هي ما يحدّد ترتيب العمل، والسجل بلا خانة خطورة قائمة ملاحظات.
- المخاطر المتبقّية وقبولها: الخطر الباقي بعد الإجراءات المخطط لها، ومن يقبله، ومتى ينتهي قبوله. القبول قرار له مالك وتاريخ انتهاء، والقبول بلا أيٍّ منهما مخاطرة بلا مالك تُكتشف من جديد في التقييم التالي.
- خطة المعالجة: الإجراءات ومالكيها وتواريخها، وما يجري في الفترة الفاصلة. الفترة الفاصلة هي ما تعمل فيه النتيجة المعروفة فعلًا، فهي الجزء الأجدر بالكتابة.
- محفّزات المراجعة: ما الذي يعيد فتح هذا التقييم قبل موعده المقرر: غرض جديد، أو مستلم جديد، أو نموذج جديد، أو تغيّر تنظيمي. المحفّزات التي تُكتب بعد وقوع التغيير سجلّ للتغيير لا ضابط له.
- محفّزات إعادة التقييم: متى ينتهي صلاحية هذا التقييم وعلى أي دورة. التقييم بلا انتهاء يُعامَل عند كل من لم يكتبه على أنه دائم، بمن فيهم من ورثه.
المحاذاة والترابط المؤسسي
- 📄 القالب القابل للطباعة (Markdown)
- 🤖 موجّه التوليد الذكي
- 📊 بنية البيانات (JSON)
- 📈 البيانات الجدولية (CSV)
6. نموذج تطبيقي معبأ (مثال استرشادي)
يتوفر نموذج تطبيقي مكتمل وعالي الجودة يوضح كيفية تعبئة واستخدام هذا المستند عملياً:
📖 النموذج التطبيقي المكتمل: 02_06_تقييم_خصوصية_البيانات_وأخلاقياتها_مثال.md
مطالبة التوليد للذكاء الاصطناعي وتعليمات الوكيل
تقييم خصوصية البيانات وأخلاقياتها - دليل التوليد الذكي
تعليمات النظام: يحتوي هذا المستند على التوجيهات التفصيلية للذكاء الاصطناعي لتوليد وثيقة «الوثيقة المعتمدة». عند طلب صياغة أو استيفاء هذا النموذج، اتبع الإرشادات المحددة لكل قسم بدقة واحترافية، مع مراعاة سياق المشروع والمتغيرات المرجعية في
parameters.md.السياق والتعريف المهني: التقييم هو الوثيقة الوحيدة التي تُجبر الفرق اللامتماثلة على أن تظهر: من يعمل سيصير شيئًا لشخص لن يلتقيه، وكل ما عدا ذلك في العمل مقروء للفريق الذي يطبّقه، من مخطط البيانات إلى الإنتاج إلى الكلفة لكل طلب، ولا شيء من ذلك يبيّن ما يحدث لصاحب السجل الموجود في الجدول. الفريق الذي يملأ النموذج ليس الفريق الذي يجيب عنه، ولذلك هذا سجل لا شعور.
والأقسام السبعة تتبع ترتيب ما يصل من الأسئلة. النطاق والجرد يذكران ما هو مشمول، والأهم ما هو غير مشمول، لأن التقييم الذي لا يذكر استثناءاته سيُقرأ على أنه شامل، وتقع المعالجة التي لم تُختبر في تلك الفجوة. والجرد قائمة لا عدد، ويفصل المالك عن الأمين، فالمسؤولية تتبع الأمين والميزانية تتبع المالك. ثم السند القانوني يُسجَّل لكل غرض لا لكل مجموعة بيانات، لأن مجموعة واحدة تخدم أغراضًا تختلف في الضرورة اختلافًا كبيرًا، والسؤال الذي يُطرح فعلًا هو سؤال الضرورة. والاستعمال الثانوي يُذكر وحده، فهو أشيع إخفاق في عمل التحليلات وأقله احتمالًا للملاحظة، لأن كل حقل على حدة يبقى له أصل مشروع. ثم الموافقة، وفيها تُسجَّل نسخة النص التي ظهرت للشخص، لأن سجل الموافقة بلا نسخة نص لا يمكن الدفاع عنه، والشروط التي وافق عليها الشخص تصير غير قابلة للاسترجاع. والسحب يذكر مدى سهولة ذلك مقارنة بالمنح، فالتباين بينهما هو الاختبار المعياري. وحقوق الأفراد تسأل عماذا يحدث لبيانات جُمعت أو مُشاركة أو دُرِّب عليها نموذج، والجواب ليس أنها حُذفت، فحذف صف لا يُعلّم النموذج منه تعلّمه.
وقسم الاحتفاظ يذكر مبرر المدة لا المدة، ويذكر الحذف مع بيان شموله: حذف صف من المخزن الأساسي بينما تبقى البيانات في النسخ المكرّرة والسجلات والتصدير وأوزان النماذج أشيع نتيجة في أي تقييم من هذا النوع، وهي غير مرئية دون بيان شمول. والأمن يذكر من يملك المفاتيح لا ما هو مشفَّر فقط. والمشاركة تعطي كل مستلم صفه وسنده، لأن المعالج الملتزم بعقد يختلف عن المتحكم الذي يشارك لغرضه هو، والنقل عبر الحدود ليس منطقة تخزين، فالوصول عن بُعد من موظف في الخارج نقل لا يسجّله أي إعداد للمنطقة.
والقسم السادس هو ما يميز هذا النموذج عن غيره في هذه المجموعة. فهو يسأل أين يضر هذا العمل ولا يمنعه قانون، وهو موجود لأن الامتثال حد أدنى لا سقف: المعالجة قد تكون مشروعة ومرخّصة ومحتفَظًا بها على الوجه الصحيح ومشتركة على الوجه الصحيح، وتكون مع ذلك خاطئة، والنموذج الذي يتوقف عند المشروعية أجاب عن السؤال السهل، ومن يقرأه سيظن أن العمل انتهى. والفئات الهشّة صفة للوضع لا صفة للشخص ولا يراها سجل من الفئات والأعداد. والشفافية تُقاس بما يُقرأ متلقيًا لا كاتبًا، فالإشعار الدقيق والكامل وغير المقروء هو الفشل المعتاد. والأنماط الخفية وإرهاق الموافقة يجعلان الموافقة المسجَّلة غير حرة مهما دقّق السجل. وعدالة القرارات الآلية تُقاس بسؤال مختلف عن مشروعيتها، فسند قانوني لقرار ليس دفاعًا عن عدالته. وقسم النتائج يسجّل ما وُجد، والخطر الباقي ومن قبله ومتى ينتهي قبوله، والفترة الفاصلة التي تعمل فيها النتيجة المعروفة فعلًا، وما يعيد فتح التقييم، فالمحفّزات المكتوبة بعد وقوع التغيير سجل للتغيير لا ضابط له.
وقيمة النموذج في الخانات المزعجة. تقييم بلا استثناءات، ولا استعمال ثانوي، ولا بيان شمول للحذف، ولا طريق للسحب، ولا نتائج أخلاقية، يصف معالجة لم تبدأ، لأن كل من هذه الخانات يملؤها ما حدث لا ما قرّر. فالخانات التي يجب التشدد فيها هي التي لا إجابة لها مريحة: أين لا يصل الحذف، وما يحدث لطلب بيانات شخص في نموذج، ومن يستطيع الرفض ومن لا يستطيع، وأي ضرر يبقى بعد اكتمال الامتثال. وحيث لا تُعرف القيمة فعلًا، فلتُسجَّل أنها لا تُعرف ومن ملزم بحلّها، وهو أنفع من إجابة مقترحة، لأن الإجابة المقترحة سيُعتمد عليها والثغرة المصرَّح بها ستُغلق.
المحاذاة وسلسلة الاعتماديات: * المدخلات (المتطلبات السابقة): * إلزامي: نموذج حالة استخدام الذكاء الاصطناعي (PMO-02.04) أو بيان نطاق المشروع (PMO-04.02.05)، مخطط تدفق البيانات ومعمارية النظام * اختياري: اللوائح والأنظمة المنظمة لحماية البيانات والخصوصية * المخرجات (النماذج التابعة): * إلزامي: خطة حوكمة الذكاء الاصطناعي (PMO-02.02)، سجل المخاطر (PMO-04.08.02)، وثائق المتطلبات (PMO-04.02.03) * اختياري: بيان العمل (SOW) (PMO-04.09.04)، تدقيق الجودة (PMO-05.05)
١. النطاق وجرد البيانات والملكية
نطاق التقييم
التعليمات: ما الذي تشمله هذه المعالجة والأنظمة والفترات التي يغطيها هذا التقييم. والتقييم الذي لا يذكر ما يستثنيه سيُقرأ على أنه شامل، وفي تلك الفجوة تقع المعالجة التي لم تُختبر.
القيمة المولَّدة: [ أضف التفاصيل... ]
معالجة غير مشمولة
التعليمات: ما الذي لا يشمله هذا التقييم صراحةً، ولماذا: لأنه مشمول في تقييم آخر، أو لأنه لم يُنظر فيه. العبارتان مختلفتان، والثانية نتيجة وليست تبريرًا.
القيمة المولَّدة: [ أضف التفاصيل... ]
ملّاك البيانات وأمناؤها
التعليمات: من يملك كل أصل بياني ومن يديره يومًا بيوم. الملكية والإدارة شيئان مختلفان: المسؤولية تتبع الأمين والميزانية تتبع المالك، وتسجيل الاثنين معًا يحدّد المسؤول.
القيمة المولَّدة: [ أضف التفاصيل... ]
جرد البيانات
التعليمات: الأصول البيانية التي يقوم عليها العمل، وصف واحد لكل أصل: ما هو ومن يملكه، والغرض الذي يُحفظ لأجله، وهل يحوي بيانات شخصية أو فئة خاصة، وحجمه ومعدّل تحديثه. الجرد الذي يُوصف بعدد لا بقائمة لا يجيب عن أي سؤال يأتي بعده.
القيمة المولَّدة: [ أضف التفاصيل... ]
تدفّق البيانات والمستلمون
التعليمات: أين تتحرك البيانات ومن يستلمها. التدفّق هو ما يحدّد أي نقل يحتاج إلى ضمانة، والتدفّق الذي يُظهر المخزن الرئيسي وحده يخفي النسخ.
القيمة المولَّدة: [ أضف التفاصيل... ]
٢. السند القانوني وحدود الغرض
أغراض المعالجة وضرورتها
التعليمات: ما الغرض من كل معالجة، ولماذا لا يمكن تحقيقه ببيانات أقل أو بنطاق أضيق. والضرورة تُقاس لكل غرض لا لكل مجموعة بيانات، لأن مجموعة واحدة تخدم أغراضًا مختلفة، ولكل منها ضرورة مختلفة.
القيمة المولَّدة: [ أضف التفاصيل... ]
السند القانوني حسب الغرض
التعليمات: السند الذي يُستند إليه لكل غرض، بصف واحد لكل غرض: الغرض، والبيانات المعالَجة، والسند، وسند الفئة الخاصة حيث وُجدت، والمبرّر. النموذج الذي يسجّل السند مرة واحدة لكل مجموعة بيانات يحمل سندًا واحدًا عبر أغراض لا تشترك فيه.
القيمة المولَّدة: [ أضف التفاصيل... ]
توافق الغرض والاستخدام الثانوي
التعليمات: هل تُستعمل البيانات لأي غرض غير الغرض جُمعت لأجله، وبأي سند. الاستعمال الثانوي أشيع إخفاق في عمل التحليلات وأقله احتمالًا للملاحظة، لأن كل حقل على حدة يبقى له أصل مشروع.
القيمة المولَّدة: [ أضف التفاصيل... ]
اتخاذ القرار الآلي
التعليمات: أي قرار يتخذ عن شخص دون تدخل بشري ذي معنى، والمنطق الذي قوادته، وما يترتب عليه. يُسجَّل لأن تقييم السند القانوني لا يثبت وحده أن القرار قرار يستطيع الشخص الطعن فيه.
القيمة المولَّدة: [ أضف التفاصيل... ]
٣. الموافقة والشفافية
آلية الموافقة
التعليمات: كيف تُطلب الموافقة وأين تظهر في التدفّق. الموافقة التي تُجمع بعد استعمال البيانات أصلًا سجل لا طلب، والفرق يحدّد ما يساويه هذا السجل.
القيمة المولَّدة: [ أضف التفاصيل... ]
تحديد الموافقة ودرجتها
التعليمات: ما قيل للشخص إنه يوافق عليه، وهل الخيارات منفصلة. الموافقة الواحدة التي تغطي عدة أغراض هي موافقة على لا شيء منها بعينه، ومربعات الاختيار المحدَّدة سلفًا ليست اختيارًا.
القيمة المولَّدة: [ أضف التفاصيل... ]
تسجيل الموافقة وإثباتها
التعليمات: أين يُحفظ سجل الموافقة، وكم تاريخها، ونص أي نسخة من النص ظهرت للشخص، والواجهة التي ظهرت فيها. سجل الموافقة بلا نسخة من النص لا يمكن الدفاع عنه، لأن الشروط التي وافق عليها الشخص تصير غير قابلة للاسترجاع.
القيمة المولَّدة: [ أضف التفاصيل... ]
السحب
التعليمات: كيف يسحب الشخص موافقته، ومدى سهولة ذلك مقارنة بمنحه، وماذا يحدث للبيانات التي عولجت على أساسها. التباين بين المنح والسحب هو الاختبار المعياري، والسحب الذي يُنفَّذ بأثر لاحق فقط يترك المعالجة قائمة خلفه.
القيمة المولَّدة: [ أضف التفاصيل... ]
إشعارات الخصوصية والإفصاح في اللحظة
التعليمات: ما يُقال عند الجمع، وما يُقال لحظة استعمال البيانات، وأين يمكن لأي منهما أن يُطالَب به. الإشعار المنشور مرة واحدة لا يعود إليه أحد يطالِق المعالجة أول مرة في الشهر الثالث.
القيمة المولَّدة: [ أضف التفاصيل... ]
٤. حقوق الأفراد
مسار معالجة الطلبات
التعليمات: كيف يُستقبل طلب الفرد وكيف يُوجَّه ويُبتّ فيه ويُجاب عنه، ومن يملك ذلك. الحق المذكور في سياسة بلا طريق لممارسته حقّ مصرَّح به، ولا يُختبر إلا عندما يستخدمه أحد.
القيمة المولَّدة: [ أضف التفاصيل... ]
التحقق من الهوية
التعليمات: كيف يُؤكَّد أن صاحب الطلب هو من يدّعي، وما يُرفض عند تعذّر ذلك. التحقق الذي يقبل أيًا كان يكشف البيانات، والذي يرفض الجميع ينفي الحق، والميزان بينهما قرار يُسجَّل لا قاعدة افتراضية.
القيمة المولَّدة: [ أضف التفاصيل... ]
مهل الاستجابة والتصعيد
التعليمات: المهلة المقررة لكل نوع من الطلبات، وماذا يحدث عند تجاوزها، ومن يُبلَّغ. الساعة هي الحق كله في الواقع، لأن الإجابة الصحيحة المتأخرة تبقى إخلالًا.
القيمة المولَّدة: [ أضف التفاصيل... ]
الطلب على البيانات المشتقّة والمشاركة والمصوّدة
التعليمات: ماذا يحدث لطلب بياناتهم التي جُمعت، أو مُشاركة مع طرف ثالث، أو دُرِّب عليها نموذج. الحذف لا يصل إلى نموذج مدرَّب بحذف صف، والنموذج الذي لا يقول ذلك سيُقرأ على أنه حذفها.
القيمة المولَّدة: [ أضف التفاصيل... ]
٥. الاحتفاظ والأمن والمشاركة
جدول الاحتفاظ
التعليمات: صف واحد لكل أصل بياني: مدة الاحتفاظ، ومبرر هذه المدة لا العرف المتبع، وما يحفّز الحذف، وكيف يُتحقق من الحذف فعلًا.
القيمة المولَّدة: [ أضف التفاصيل... ]
آلية الحذف وشمولها
التعليمات: كيف يُنفَّذ الحذف، وما نسخه المشمولة: المخازن الأساسية والنسخ المكرّرة والسجلات والتصدير. حذف صف من جدول واحد بينما تبقى البيانات في أربعة مواضع أخرى أشيع نتيجة في أي تقييم من هذا النوع، وهي غير مرئية دون بيان الشمول.
القيمة المولَّدة: [ أضف التفاصيل... ]
النسخ الاحتياطية والبيانات المشتقّة
التعليمات: كيف ينتشر الحذف إلى النسخ الاحتياطية وإلى النماذج المدرَّبة على البيانات، وخلال أي مدة. النسخ الاحتياطية هي السبب المعتاد لعدم اكتمال الحذف، والنموذج المدرَّب نسخة لا يصلها طلب حذف.
القيمة المولَّدة: [ أضف التفاصيل... ]
ضوابط الوصول وأدنى امتياز
التعليمات: من يصل إلى البيانات، وبأي طريق، وبأي موافقة، وكيف تُراجع الصلاحيات. الوصول هو الضابط الذي يفشل بهدوء، لأن استعمال صلاحية مشروعة لا يُميَّز عن الاستعمال المشروع دون مراجعة.
القيمة المولَّدة: [ أضف التفاصيل... ]
التشفير وإدارة المفاتيح
التعليمات: ما المُشفَّر أثناء النقل وفي التخزين، ومن يملك المفاتيح. التشفير الذي مفاتيحه إلى جانب البيانات ضابط على الورق، وترتيب حيازة المفاتيح هو الجزء الذي لا يُكتب.
القيمة المولَّدة: [ أضف التفاصيل... ]
المشاركة مع الأطراف
التعليمات: المستلمون الخارجيون، بصف لكل مستلم: من هو، ولماذا، وما البيانات المشاركة، وما الضمان التعاقدي المُستند إليه، وأين تُعالَج.
القيمة المولَّدة: [ أضف التفاصيل... ]
النقول عبر الحدود
التعليمات: أين تغادر البيانات أو المعالجة أو إلى قاضٍ آخر، وبأي آلية نقل، وما الإجراءات التكميلية المطبقة. منطقة الاستضافة ليست تحليل نقل، والوصول عن بُعد من موظف في الخارج نقل لا يسجّله أي إعداد للمنطقة.
القيمة المولَّدة: [ أضف التفاصيل... ]
إشعار الاختراق
التعليمات: ما الذي يُعدّ اختراقًا هنا، ومن يُبلَّغ، وفي أي مهلة، ومن يقرر. يُسجَّل لأن خطة الاستجابة المكتوبة بعد وقوع حادثة تُكتب لتلك الحادثة، وقرار التعريف هو الجزء الذي يُترك عادةً.
القيمة المولَّدة: [ أضف التفاصيل... ]
٦. الأخلاقيات فوق حدود الامتثال
الضرر خارج المساءلة القانونية
التعليمات: أين يضر هذا العمل ولا يمنعه قانون. هذا القسم موجود لأن الامتثال حدّ أدنى: المعالجة قد تكون مشروعة ومرخّصة ومحتفَظًا بها على الوجه الصحيح ومشتركة على الوجه الصحيح، وتكون مع ذلك خاطئة، والنموذج الذي يتوقف عند المشروعية أجاب عن السؤال السهل.
القيمة المولَّدة: [ أضف التفاصيل... ]
الأشخاص والفئات الهشّة
التعليمات: من يتأثر وهو في حالة ضعف القدرة على الرفض أو الفهم أو تحمّل العاقبة. الهشاشة هنا صفة للوضع لا صفة للشخص، وهي غير مرئية لسجلّ من الفئات والأعداد.
القيمة المولَّدة: [ أضف التفاصيل... ]
الشفافية تجاه المتأثرين
التعليمات: ما يُقال فعلًا لمن هم في البيانات، ببلغتهم، على خلاف ما يقوله الإشعار. الإشعار الدقيق والكامل وغير المقروء هو الفشل المعتاد، وقراءته بوصفه متلقيًا لا بوصفه كاتبًا هو الطريق الوحيد لرؤيته.
القيمة المولَّدة: [ أضف التفاصيل... ]
التلاعب والأنماط الخفية وإرهاق الموافقة
التعليمات: هل يدفع التصميم ويحدّد سلفًا ويدفن الرفض أو يكرّر الطلب، وهل حجم الطلبات يجعل الرفض عمليًا. الموافقة التي تنتجها بنية تصميم ليست موافقة حرة مهما كان السجل يقول.
القيمة المولَّدة: [ أضف التفاصيل... ]
عدالة القرارات الآلية
التعليمات: هل ينتج عن المعالجة نتائج لأشخاص، وكيف يتوزع توزيع تلك النتائج على الفئات. سند قانوني لقرار ليس دفاعًا عن عدالته، والتقييمان يختبران سؤالين مختلفين.
القيمة المولَّدة: [ أضف التفاصيل... ]
٧. النتائج والمعالجة والمراجعة
سجل النتائج
التعليمات: صف واحد لكل نتيجة: ما الذي وجدناه، والخطر الذي يشكّله على الأفراد، والخطورة، والمالك، والإجراء المتخذ. الخطورة هي ما يحدّد ترتيب العمل، والسجل بلا خانة خطورة قائمة ملاحظات.
القيمة المولَّدة: [ أضف التفاصيل... ]
المخاطر المتبقّية وقبولها
التعليمات: الخطر الباقي بعد الإجراءات المخطط لها، ومن يقبله، ومتى ينتهي قبوله. القبول قرار له مالك وتاريخ انتهاء، والقبول بلا أيٍّ منهما مخاطرة بلا مالك تُكتشف من جديد في التقييم التالي.
القيمة المولَّدة: [ أضف التفاصيل... ]
خطة المعالجة
التعليمات: الإجراءات ومالكيها وتواريخها، وما يجري في الفترة الفاصلة. الفترة الفاصلة هي ما تعمل فيه النتيجة المعروفة فعلًا، فهي الجزء الأجدر بالكتابة.
القيمة المولَّدة: [ أضف التفاصيل... ]
محفّزات المراجعة
التعليمات: ما الذي يعيد فتح هذا التقييم قبل موعده المقرر: غرض جديد، أو مستلم جديد، أو نموذج جديد، أو تغيّر تنظيمي. المحفّزات التي تُكتب بعد وقوع التغيير سجلّ للتغيير لا ضابط له.
القيمة المولَّدة: [ أضف التفاصيل... ]
محفّزات إعادة التقييم
التعليمات: متى ينتهي صلاحية هذا التقييم وعلى أي دورة. التقييم بلا انتهاء يُعامَل عند كل من لم يكتبه على أنه دائم، بمن فيهم من ورثه.
القيمة المولَّدة: [ أضف التفاصيل... ]
تقييم خصوصية البيانات وأخلاقياتها (نموذج تطبيقي معبأ)
🏆 نموذج استرشادي مكتمل (Gold Standard): يوضح هذا المستند التطبيق العملي المتكامل لهذا النموذج وفق معايير تسليمات (
PMO-02.06). كافة الأسماء والبيانات الواردة هي لأغراض العرض التوضيحي والمحاكاة المؤسسية الفرضية.
شركة القمة للحلول المؤسسية المتقدمة
المنظومة السحابية الموحدة لتخطيط الموارد - ASSESS-2026-01
تقييم خصوصية البيانات وأخلاقياتها
١. النطاق وجرد البيانات والملكية
نطاق التقييم: تحقيق التميز التشغيلي وأتمتة العمليات والربط السحابي الموحد وفق أعلى المعايير القياسية.
معالجة غير مشمولة: القرارات التأديبية، التقييم الائتماني المباشر للعملاء، وتخزين البيانات غير المصنفة
ملّاك البيانات وأمناؤها: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
جرد البيانات: | الأصل البياني | المالك | الغرض المصرّح به | بيانات شخصية | فئة خاصة | الحجم ومعدّل التحديث | | ---: | ---: | ---: | ---: | ---: | ---: | | نشر وتجهيز البنية السحابية وقواعد البيانات الموحدة | أ. إلينا فانس، PfMP | معتمد ومطابق للمعايير القياسية لشركة القمة | نشر وتجهيز البنية السحابية وقواعد البيانات الموحدة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | | أتمتة دورة المشتريات والمستودعات والربط المباشر | م. فيصل الحربي، PMP | معتمد ومطابق للمعايير القياسية لشركة القمة | أتمتة دورة المشتريات والمستودعات والربط المباشر | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | | بناء لوحات المؤشرات التفاعلية والتحليلات المتقدمة | د. طارق المنصور، PfMP | معتمد ومطابق للمعايير القياسية لشركة القمة | بناء لوحات المؤشرات التفاعلية والتحليلات المتقدمة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة |
تدفّق البيانات والمستلمون: تدفق مشفر (TLS 1.3) داخل الشبكة الافتراضية الخاصة للشركة دون مشاركة مع أطراف ثالثة.
٢. السند القانوني وحدود الغرض
أغراض المعالجة وضرورتها: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
السند القانوني حسب الغرض: | الغرض | البيانات المعالَجة | السند القانوني | سند الفئة الخاصة | المبرّر | | ---: | ---: | ---: | ---: | ---: | | معتمد ومطابق للمعايير القياسية لشركة القمة | نشر وتجهيز البنية السحابية وقواعد البيانات الموحدة | معتمد ومطابق للمعايير القياسية لشركة القمة | تقني وتكاملي | معتمد ومطابق للمعايير القياسية لشركة القمة | | معتمد ومطابق للمعايير القياسية لشركة القمة | أتمتة دورة المشتريات والمستودعات والربط المباشر | معتمد ومطابق للمعايير القياسية لشركة القمة | تنظيمي وتشغيلي | معتمد ومطابق للمعايير القياسية لشركة القمة | | معتمد ومطابق للمعايير القياسية لشركة القمة | بناء لوحات المؤشرات التفاعلية والتحليلات المتقدمة | معتمد ومطابق للمعايير القياسية لشركة القمة | حوكمة وامتثال | معتمد ومطابق للمعايير القياسية لشركة القمة |
توافق الغرض والاستخدام الثانوي: توليد ملخصات الأداء التشغيلي ومسودات تقارير التدقيق لإدارة العمليات
اتخاذ القرار الآلي: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
٣. الموافقة والشفافية
آلية الموافقة: الامتثال التام للوائح حماية البيانات الشخصية والأطر الأخلاقية المؤسسية لمنع التحيز وضمان الشفافية.
تحديد الموافقة ودرجتها: الامتثال التام للوائح حماية البيانات الشخصية والأطر الأخلاقية المؤسسية لمنع التحيز وضمان الشفافية.
تسجيل الموافقة وإثباتها: سجل إلكتروني مشفر وموثق بالطابع الزمني لكل موافقة أو تعديل على البيانات الشخصية.
السحب: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
إشعارات الخصوصية والإفصاح في اللحظة: الامتثال التام للوائح حماية البيانات الشخصية والأطر الأخلاقية المؤسسية لمنع التحيز وضمان الشفافية.
٤. حقوق الأفراد
مسار معالجة الطلبات: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
التحقق من الهوية: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
مهل الاستجابة والتصعيد: مراقبة مستمرة للمؤشرات التشغيلية ورفع تقارير دورية مع تفعيل خطط الاستجابة الفورية عند تجاوز العتبات.
الطلب على البيانات المشتقّة والمشاركة والمصوّدة: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
٥. الاحتفاظ والأمن والمشاركة
جدول الاحتفاظ: | الأصل البياني | مدة الاحتفاظ | مبرر المدة | محفّز الحذف | التحقق من الحذف | | ---: | ---: | ---: | ---: | ---: | | نشر وتجهيز البنية السحابية وقواعد البيانات الموحدة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | | أتمتة دورة المشتريات والمستودعات والربط المباشر | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | | بناء لوحات المؤشرات التفاعلية والتحليلات المتقدمة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة |
آلية الحذف وشمولها: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
النسخ الاحتياطية والبيانات المشتقّة: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
ضوابط الوصول وأدنى امتياز: صلاحيات قائمة على الأدوار (RBAC) مع تحقق ثنائي (MFA) وتسجيل كامل للعمليات.
التشفير وإدارة المفاتيح: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
المشاركة مع الأطراف: | المستلم | الغرض | البيانات المشتركة | الضمان التعاقدي | المنطقة | | ---: | ---: | ---: | ---: | ---: | | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | نشر وتجهيز البنية السحابية وقواعد البيانات الموحدة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | أتمتة دورة المشتريات والمستودعات والربط المباشر | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | بناء لوحات المؤشرات التفاعلية والتحليلات المتقدمة | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة |
النقول عبر الحدود: تخزين ومعالجة البيانات بالكامل داخل مراكز البيانات السحابية المحلية المعتمدة داخل المملكة.
إشعار الاختراق: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
٦. الأخلاقيات فوق حدود الامتثال
الضرر خارج المساءلة القانونية: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
الأشخاص والفئات الهشّة: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
الشفافية تجاه المتأثرين: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
التلاعب والأنماط الخفية وإرهاق الموافقة: الامتثال التام للوائح حماية البيانات الشخصية والأطر الأخلاقية المؤسسية لمنع التحيز وضمان الشفافية.
عدالة القرارات الآلية: الامتثال التام للوائح حماية البيانات الشخصية والأطر الأخلاقية المؤسسية لمنع التحيز وضمان الشفافية.
٧. النتائج والمعالجة والمراجعة
سجل النتائج: | النتيجة | الخطر على الأفراد | الخطورة | المالك | الإجراء | | ---: | ---: | ---: | ---: | ---: | | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | متوسطة (تتطلب مراجعة دورية) | أ. إلينا فانس، PfMP | تم التحقق من الجاهزية والامتثال لضوابط الأمن السيبراني | | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | منخفضة (ضمن الحدود المقبولة) | م. فيصل الحربي، PMP | جلسات المتابعة والتنسيق مستمرة وفق الجدول المعتمد | | معتمد ومطابق للمعايير القياسية لشركة القمة | معتمد ومطابق للمعايير القياسية لشركة القمة | عالية (تتطلب إشرافاً بشرياً إلزامياً) | د. طارق المنصور، PfMP | تم رصد مخصص الطوارئ المعتمد لهذه المرحلة |
المخاطر المتبقّية وقبولها: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
خطة المعالجة: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
محفّزات المراجعة: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
محفّزات إعادة التقييم: تم تحديده وتوثيقه بالتفصيل ليتوافق مع أهداف المشروع والمتطلبات التشغيلية لشركة القمة.
الاعتماد والموافقات
| الدور | الاسم | التوقيع | التاريخ |
|---|---|---|---|
| مسؤول حماية البيانات | أ. عبد العزيز الزهراني (مسؤول حماية البيانات) | [معتمد إلكترونياً] | 2026-03-18 |
| المستشار القانوني / الامتثال | المستشار ماجد الفاروق (المستشار القانوني العام) | [معتمد إلكترونياً] | 2026-03-18 |
| مدير المشروع | م. فيصل الحربي، PMP | [معتمد إلكترونياً] | 2026-03-18 |
| --- |
تاريخ الإنشاء: 2026-03-15 10:00 بتوقيت مكة المكرمة، بواسطة تسليمات
مخطط JSON Schema (معيار Draft 2020-12)
{
"$schema": "https://json-schema.org/draft/2020-12/schema",
"$id": "https://tasleemat.pmo/schemas/completed/PMO-02.06.schema.json",
"title": "Completed DATA PRIVACY AND ETHICS ASSESSMENT Data Contract",
"description": "Additive structural schema validating completed DATA PRIVACY AND ETHICS ASSESSMENT artifact data payloads (PMO-02.06).",
"type": "object",
"properties": {
"artifact_id": {
"type": "string",
"const": "PMO-02.06"
},
"metadata": {
"type": "object",
"properties": {
"project_name": {
"type": "string",
"minLength": 1
},
"project_code": {
"type": "string"
},
"date_prepared": {
"type": "string",
"format": "date"
},
"project_manager": {
"type": "string",
"minLength": 1
},
"prepared_by": {
"type": "string",
"minLength": 1
},
"version": {
"type": "string"
},
"status": {
"type": "string",
"enum": [
"draft",
"baselined",
"in_review",
"approved"
]
}
},
"required": [
"project_name",
"date_prepared",
"project_manager",
"prepared_by"
]
},
"scope_data_inventory_and_ownership": {
"type": "object",
"properties": {
"assessment_scope": {
"type": "string",
"minLength": 1,
"description": "The processing, systems, and periods this assessment covers, stated so that its edges are visible. An assessment that does not say what it excludes will be read as covering everything, and the gap between the two is where the untested processing lives."
},
"processing_out_of_scope": {
"type": "string",
"minLength": 1,
"description": "What is explicitly not covered, and why. Excluded because another assessment covers it, or excluded because it was not looked at, are very different statements and only the second one is a finding."
},
"data_owners_and_custodians": {
"type": "string",
"minLength": 1,
"description": "Who owns each data asset and who administers it day to day. Ownership and custody differ, and the accountability clause follows the custodian while the budget follows the owner."
},
"data_inventory": {
"type": "string",
"minLength": 1,
"description": "One row per data asset: what it is, who owns it, the purpose it is held for, whether it holds personal data, whether that data is special category, and its volume and refresh rate. An inventory described as a count rather than as a list cannot answer any of the questions that follow."
},
"data_flow_and_recipients": {
"type": "string",
"minLength": 1,
"description": "Where the data moves, and who receives it. The flow is what determines which transfers need a mechanism, and a flow that shows only the primary store hides the copies."
}
},
"required": [
"assessment_scope",
"processing_out_of_scope",
"data_owners_and_custodians",
"data_inventory",
"data_flow_and_recipients"
]
},
"lawful_basis_and_purpose_limitation": {
"type": "object",
"properties": {
"processing_purposes_and_necessity": {
"type": "string",
"minLength": 1,
"description": "What each processing activity is for, and why it cannot be achieved with less data or a shorter reach. Necessity is assessed per purpose rather than per dataset, because one dataset frequently serves several purposes with very different necessity."
},
"lawful_basis_by_purpose": {
"type": "string",
"minLength": 1,
"description": "One row per purpose: the data processed, the basis relied on, the basis for special category data where any is present, and the justification. A form that records a basis once for a dataset will carry one basis across purposes that do not share it."
},
"purpose_compatibility_and_secondary_use": {
"type": "string",
"minLength": 1,
"description": "Whether the data is used for any purpose other than the one collected for, and on what basis. Secondary use is the most common privacy failure in analytics work and the one least likely to be noticed, because every individual field still has a lawful origin."
},
"automated_decision_making": {
"type": "string",
"minLength": 1,
"description": "Any decision made about a person with no meaningful human involvement, the logic involved, and the consequences for them. Recorded because the assessment of a legal basis does not by itself establish that a decision is one a person could contest."
}
},
"required": [
"processing_purposes_and_necessity",
"lawful_basis_by_purpose",
"purpose_compatibility_and_secondary_use",
"automated_decision_making"
]
},
"consent_and_transparency": {
"type": "object",
"properties": {
"consent_mechanism": {
"type": "string",
"minLength": 1,
"description": "How consent is requested, and where in the flow it appears. Consent collected after the data is already in use is a record, not a request, and the difference determines what the record is worth."
},
"consent_specificity_and_granularity": {
"type": "string",
"minLength": 1,
"description": "What the person was told they were consenting to, and whether the choices are separate. A single consent covering several purposes is consent to none of them in particular, and a bundle of pre-ticked boxes is not a choice."
},
"consent_recording_and_evidence": {
"type": "string",
"minLength": 1,
"description": "Where each consent is stored, with the timestamp, the version of the text shown, and the interface shown. A consent record without the version of the text cannot be defended later, because the terms the person agreed to are then unrecoverable."
},
"withdrawal": {
"type": "string",
"minLength": 1,
"description": "How a person withdraws, how much easier it is than granting, and what happens to data already processed on that basis. Asymmetry between granting and withdrawing is the standard test, and a withdrawal that is honoured prospectively only leaves the processing intact behind it."
},
"privacy_notices_and_just_in_time_disclosure": {
"type": "string",
"minLength": 1,
"description": "What is told at collection, what is told at the point the data is used, and where either may be found. A notice published once and never revisited informs nobody who meets the processing for the first time in month three."
}
},
"required": [
"consent_mechanism",
"consent_specificity_and_granularity",
"consent_recording_and_evidence",
"withdrawal",
"privacy_notices_and_just_in_time_disclosure"
]
},
"individual_rights": {
"type": "object",
"properties": {
"rights_handling_process": {
"type": "string",
"minLength": 1,
"description": "How a request is received, routed, decided and answered, and by whom. A right stated in a policy with no route to exercise it is a stated right, and it is tested only when someone uses it."
},
"identity_verification": {
"type": "string",
"minLength": 1,
"description": "How the requester is confirmed to be who they claim, and what is refused when that cannot be done. Verification that accepts anyone discloses data; verification that refuses everyone denies the right, and the balance is a decision to record rather than a default."
},
"response_timeframes_and_escalation": {
"type": "string",
"minLength": 1,
"description": "The deadline for each type of request, what happens when it is missed, and who is told. The clock is the whole of the right in practice, because a correct answer delivered late is still a breach."
},
"rights_over_derived_shared_and_retired_data": {
"type": "string",
"minLength": 1,
"description": "What happens to a request where the data has been aggregated, shared with a third party, or placed in a model. Deletion cannot reach a trained model by deleting a row, and the form that does not say so will be read as having deleted it."
}
},
"required": [
"rights_handling_process",
"identity_verification",
"response_timeframes_and_escalation",
"rights_over_derived_shared_and_retired_data"
]
},
"retention_security_and_sharing": {
"type": "object",
"properties": {
"retention_schedule": {
"type": "string",
"minLength": 1,
"description": "One row per data asset: the retention period, the basis for that period rather than the convention, what triggers deletion, and how deletion is verified. A period adopted as a default and recorded as a decision is the most common entry, and it is the reason data outlives every justification that justified it."
},
"deletion_mechanism_and_coverage": {
"type": "string",
"minLength": 1,
"description": "How deletion is carried out, across primary stores, replicas, logs, exports and derived copies. Deleting a row from one table while the data persists in five other places is the most frequent finding in any such assessment, and it is invisible without a coverage statement."
},
"backups_and_derived_data": {
"type": "string",
"minLength": 1,
"description": "How deletion propagates to backups and to models trained on the data, and over what period. Backups are the usual reason a deletion is incomplete, and a trained model is a copy no deletion request reaches."
},
"access_controls_and_least_privilege": {
"type": "string",
"minLength": 1,
"description": "Who can reach the data, by what route, under what approval, and how access is reviewed. Access is the control that fails quietly, since misuse of legitimate credentials is indistinguishable from legitimate use without a review."
},
"encryption_and_key_management": {
"type": "string",
"minLength": 1,
"description": "What is encrypted in transit and at rest, and who holds the keys. Encryption whose keys sit beside the data is a control on paper, and the key custody arrangement is the part that is not written down."
},
"third_party_sharing": {
"type": "string",
"minLength": 1,
"description": "One row per recipient: the recipient, the purpose, the data shared, the contractual safeguard relied on, and the region processed in. Each row needs its own basis, because a processor bound by contract to a controller is not the same arrangement as a controller sharing on its own purpose."
},
"cross_border_transfers": {
"type": "string",
"minLength": 1,
"description": "Where data or processing leaves the jurisdiction, under which transfer mechanism, and what supplementary measures apply. A hosting region is not a transfer analysis, and remote access by a foreign staff member is a transfer that no region setting records."
},
"breach_notification": {
"type": "string",
"minLength": 1,
"description": "What constitutes a breach here, who is notified, within what time, and who decides. Recorded because a response plan written after an incident is always written for that incident, and the decision threshold is the part that is usually left out."
}
},
"required": [
"retention_schedule",
"deletion_mechanism_and_coverage",
"backups_and_derived_data",
"access_controls_and_least_privilege",
"encryption_and_key_management",
"third_party_sharing",
"cross_border_transfers",
"breach_notification"
]
},
"ethics_beyond_compliance": {
"type": "object",
"properties": {
"harm_beyond_legal_exposure": {
"type": "string",
"minLength": 1,
"description": "Where this processing causes harm that no law prohibits. This section exists because compliance is a floor: processing can be lawful, consented, retained properly and shared properly, and still be wrong, and a form that stops at lawful has answered the question it was easy to answer."
},
"vulnerable_individuals_and_groups": {
"type": "string",
"minLength": 1,
"description": "Who is affected in a state of reduced ability to refuse, to understand, or to bear the consequence. Vulnerability here is a property of the situation rather than of the person, and it is invisible to a record of categories and volumes."
},
"transparency_to_affected_people": {
"type": "string",
"minLength": 1,
"description": "What the people in the data are actually told, in language they use, as distinct from what the notice says. A notice that is accurate, complete and unread is the standard failure, and reading it as a recipient rather than as a drafter is the only way to see it."
},
"manipulation_dark_patterns_and_consent_fatigue": {
"type": "string",
"minLength": 1,
"description": "Whether the interface nudges, pre-ticks, buries refusal, or asks repeatedly, and whether the volume of requests is such that a refusal is impractical. Consent obtained by a design choice is not freely given, whatever the record says."
},
"fairness_of_automated_decisions": {
"type": "string",
"minLength": 1,
"description": "Whether the processing produces outcomes for people, and what the distribution of those outcomes is across groups. A lawful basis for a decision is not a defence of its fairness, and the two are assessed against different questions."
}
},
"required": [
"harm_beyond_legal_exposure",
"vulnerable_individuals_and_groups",
"transparency_to_affected_people",
"manipulation_dark_patterns_and_consent_fatigue",
"fairness_of_automated_decisions"
]
},
"findings_remediation_and_review": {
"type": "object",
"properties": {
"findings_register": {
"type": "string",
"minLength": 1,
"description": "One row per finding: the finding, the risk it poses to individuals, the severity, the owner, and the action being taken. Severity is what determines the order of work, and a register with no severity column is a list of observations."
},
"residual_risk_and_acceptance": {
"type": "string",
"minLength": 1,
"description": "The risk remaining after the planned actions, who accepts it, and until when. Acceptance is a decision with an owner and an expiry date; an acceptance with neither is an unowned risk that will be rediscovered at the next assessment."
},
"remediation_plan": {
"type": "string",
"minLength": 1,
"description": "The actions, their owners and their dates, and what is being done in the interim. The interim period is where a known finding actually operates, so it is the part of the plan most worth writing down."
},
"review_triggers": {
"type": "string",
"minLength": 1,
"description": "What would cause this assessment to be revisited before its scheduled date, such as a new purpose, a new recipient, a new model, or a regulatory change. Triggers stated after the change have occurred are a record of the change."
},
"reassessment_triggers": {
"type": "string",
"minLength": 1,
"description": "When this assessment expires and on what cycle. An assessment with no expiry is treated as permanent by everyone who did not write it, including the people who inherited it."
}
},
"required": [
"findings_register",
"residual_risk_and_acceptance",
"remediation_plan",
"review_triggers",
"reassessment_triggers"
]
}
},
"required": [
"artifact_id",
"metadata",
"scope_data_inventory_and_ownership",
"lawful_basis_and_purpose_limitation",
"consent_and_transparency",
"individual_rights",
"retention_security_and_sharing",
"ethics_beyond_compliance",
"findings_remediation_and_review"
]
}📋 قاموس تعريفات حقول النموذج (المواصفة التفصيلية)
{
"_llm_instructions": "Fill out the 'project_title' and 'date_prepared' properties, and the 'value' property of each field below, based on the available project context. Refer to parameters.md for the shared project variables. Record a basis per purpose rather than per dataset, state the retention period and what it is based on rather than adopting a default, and say where deletion does not reach: backups, logs, exports and trained models. An assessment that says 'consented', 'encrypted' and 'retained' has described an intention, and the difference only becomes visible when a person asks for their data and no one can say what happens next.",
"form_name": "DATA PRIVACY AND ETHICS ASSESSMENT",
"document_reference": "PMO-02.06",
"project_title": "",
"date_prepared": "",
"fields": {
"f01_Assessment_Scope": {
"section": "Scope, Data Inventory and Ownership",
"label": "Assessment Scope",
"guidance": "The processing, systems, and periods this assessment covers, stated so that its edges are visible. An assessment that does not say what it excludes will be read as covering everything, and the gap between the two is where the untested processing lives.",
"value": ""
},
"f02_Processing_Out_of_Scope": {
"section": "Scope, Data Inventory and Ownership",
"label": "Processing Out of Scope",
"guidance": "What is explicitly not covered, and why. Excluded because another assessment covers it, or excluded because it was not looked at, are very different statements and only the second one is a finding.",
"value": ""
},
"f03_Data_Owners_and_Custodians": {
"section": "Scope, Data Inventory and Ownership",
"label": "Data Owners and Custodians",
"guidance": "Who owns each data asset and who administers it day to day. Ownership and custody differ, and the accountability clause follows the custodian while the budget follows the owner.",
"value": ""
},
"f04_Data_Inventory": {
"section": "Scope, Data Inventory and Ownership",
"label": "Data Inventory",
"guidance": "One row per data asset: what it is, who owns it, the purpose it is held for, whether it holds personal data, whether that data is special category, and its volume and refresh rate. An inventory described as a count rather than as a list cannot answer any of the questions that follow.",
"value": ""
},
"f05_Data_Flow_and_Recipients": {
"section": "Scope, Data Inventory and Ownership",
"label": "Data Flow and Recipients",
"guidance": "Where the data moves, and who receives it. The flow is what determines which transfers need a mechanism, and a flow that shows only the primary store hides the copies.",
"value": ""
},
"f06_Processing_Purposes_and_Necessity": {
"section": "Lawful Basis and Purpose Limitation",
"label": "Processing Purposes and Necessity",
"guidance": "What each processing activity is for, and why it cannot be achieved with less data or a shorter reach. Necessity is assessed per purpose rather than per dataset, because one dataset frequently serves several purposes with very different necessity.",
"value": ""
},
"f07_Lawful_Basis_by_Purpose": {
"section": "Lawful Basis and Purpose Limitation",
"label": "Lawful Basis by Purpose",
"guidance": "One row per purpose: the data processed, the basis relied on, the basis for special category data where any is present, and the justification. A form that records a basis once for a dataset will carry one basis across purposes that do not share it.",
"value": ""
},
"f08_Purpose_Compatibility_and_Secondary_Use": {
"section": "Lawful Basis and Purpose Limitation",
"label": "Purpose Compatibility and Secondary Use",
"guidance": "Whether the data is used for any purpose other than the one collected for, and on what basis. Secondary use is the most common privacy failure in analytics work and the one least likely to be noticed, because every individual field still has a lawful origin.",
"value": ""
},
"f09_Automated_Decision_Making": {
"section": "Lawful Basis and Purpose Limitation",
"label": "Automated Decision-Making",
"guidance": "Any decision made about a person with no meaningful human involvement, the logic involved, and the consequences for them. Recorded because the assessment of a legal basis does not by itself establish that a decision is one a person could contest.",
"value": ""
},
"f10_Consent_Mechanism": {
"section": "Consent and Transparency",
"label": "Consent Mechanism",
"guidance": "How consent is requested, and where in the flow it appears. Consent collected after the data is already in use is a record, not a request, and the difference determines what the record is worth.",
"value": ""
},
"f11_Consent_Specificity_and_Granularity": {
"section": "Consent and Transparency",
"label": "Consent Specificity and Granularity",
"guidance": "What the person was told they were consenting to, and whether the choices are separate. A single consent covering several purposes is consent to none of them in particular, and a bundle of pre-ticked boxes is not a choice.",
"value": ""
},
"f12_Consent_Recording_and_Evidence": {
"section": "Consent and Transparency",
"label": "Consent Recording and Evidence",
"guidance": "Where each consent is stored, with the timestamp, the version of the text shown, and the interface shown. A consent record without the version of the text cannot be defended later, because the terms the person agreed to are then unrecoverable.",
"value": ""
},
"f13_Withdrawal": {
"section": "Consent and Transparency",
"label": "Withdrawal",
"guidance": "How a person withdraws, how much easier it is than granting, and what happens to data already processed on that basis. Asymmetry between granting and withdrawing is the standard test, and a withdrawal that is honoured prospectively only leaves the processing intact behind it.",
"value": ""
},
"f14_Privacy_Notices_and_Just_in_Time_Disclosure": {
"section": "Consent and Transparency",
"label": "Privacy Notices and Just-in-Time Disclosure",
"guidance": "What is told at collection, what is told at the point the data is used, and where either may be found. A notice published once and never revisited informs nobody who meets the processing for the first time in month three.",
"value": ""
},
"f15_Rights_Handling_Process": {
"section": "Individual Rights",
"label": "Rights Handling Process",
"guidance": "How a request is received, routed, decided and answered, and by whom. A right stated in a policy with no route to exercise it is a stated right, and it is tested only when someone uses it.",
"value": ""
},
"f16_Identity_Verification": {
"section": "Individual Rights",
"label": "Identity Verification",
"guidance": "How the requester is confirmed to be who they claim, and what is refused when that cannot be done. Verification that accepts anyone discloses data; verification that refuses everyone denies the right, and the balance is a decision to record rather than a default.",
"value": ""
},
"f17_Response_Timeframes_and_Escalation": {
"section": "Individual Rights",
"label": "Response Timeframes and Escalation",
"guidance": "The deadline for each type of request, what happens when it is missed, and who is told. The clock is the whole of the right in practice, because a correct answer delivered late is still a breach.",
"value": ""
},
"f18_Rights_Over_Derived_Shared_and_Retired_Data": {
"section": "Individual Rights",
"label": "Rights Over Derived, Shared and Retired Data",
"guidance": "What happens to a request where the data has been aggregated, shared with a third party, or placed in a model. Deletion cannot reach a trained model by deleting a row, and the form that does not say so will be read as having deleted it.",
"value": ""
},
"f19_Retention_Schedule": {
"section": "Retention, Security and Sharing",
"label": "Retention Schedule",
"guidance": "One row per data asset: the retention period, the basis for that period rather than the convention, what triggers deletion, and how deletion is verified. A period adopted as a default and recorded as a decision is the most common entry, and it is the reason data outlives every justification that justified it.",
"value": ""
},
"f20_Deletion_Mechanism_and_Coverage": {
"section": "Retention, Security and Sharing",
"label": "Deletion Mechanism and Coverage",
"guidance": "How deletion is carried out, across primary stores, replicas, logs, exports and derived copies. Deleting a row from one table while the data persists in five other places is the most frequent finding in any such assessment, and it is invisible without a coverage statement.",
"value": ""
},
"f21_Backups_and_Derived_Data": {
"section": "Retention, Security and Sharing",
"label": "Backups and Derived Data",
"guidance": "How deletion propagates to backups and to models trained on the data, and over what period. Backups are the usual reason a deletion is incomplete, and a trained model is a copy no deletion request reaches.",
"value": ""
},
"f22_Access_Controls_and_Least_Privilege": {
"section": "Retention, Security and Sharing",
"label": "Access Controls and Least Privilege",
"guidance": "Who can reach the data, by what route, under what approval, and how access is reviewed. Access is the control that fails quietly, since misuse of legitimate credentials is indistinguishable from legitimate use without a review.",
"value": ""
},
"f23_Encryption_and_Key_Management": {
"section": "Retention, Security and Sharing",
"label": "Encryption and Key Management",
"guidance": "What is encrypted in transit and at rest, and who holds the keys. Encryption whose keys sit beside the data is a control on paper, and the key custody arrangement is the part that is not written down.",
"value": ""
},
"f24_Third_Party_Sharing": {
"section": "Retention, Security and Sharing",
"label": "Third-Party Sharing",
"guidance": "One row per recipient: the recipient, the purpose, the data shared, the contractual safeguard relied on, and the region processed in. Each row needs its own basis, because a processor bound by contract to a controller is not the same arrangement as a controller sharing on its own purpose.",
"value": ""
},
"f25_Cross_Border_Transfers": {
"section": "Retention, Security and Sharing",
"label": "Cross-Border Transfers",
"guidance": "Where data or processing leaves the jurisdiction, under which transfer mechanism, and what supplementary measures apply. A hosting region is not a transfer analysis, and remote access by a foreign staff member is a transfer that no region setting records.",
"value": ""
},
"f26_Breach_Notification": {
"section": "Retention, Security and Sharing",
"label": "Breach Notification",
"guidance": "What constitutes a breach here, who is notified, within what time, and who decides. Recorded because a response plan written after an incident is always written for that incident, and the decision threshold is the part that is usually left out.",
"value": ""
},
"f27_Harm_Beyond_Legal_Exposure": {
"section": "Ethics Beyond Compliance",
"label": "Harm Beyond Legal Exposure",
"guidance": "Where this processing causes harm that no law prohibits. This section exists because compliance is a floor: processing can be lawful, consented, retained properly and shared properly, and still be wrong, and a form that stops at lawful has answered the question it was easy to answer.",
"value": ""
},
"f28_Vulnerable_Individuals_and_Groups": {
"section": "Ethics Beyond Compliance",
"label": "Vulnerable Individuals and Groups",
"guidance": "Who is affected in a state of reduced ability to refuse, to understand, or to bear the consequence. Vulnerability here is a property of the situation rather than of the person, and it is invisible to a record of categories and volumes.",
"value": ""
},
"f29_Transparency_to_Affected_People": {
"section": "Ethics Beyond Compliance",
"label": "Transparency to Affected People",
"guidance": "What the people in the data are actually told, in language they use, as distinct from what the notice says. A notice that is accurate, complete and unread is the standard failure, and reading it as a recipient rather than as a drafter is the only way to see it.",
"value": ""
},
"f30_Manipulation_Dark_Patterns_and_Consent_Fatigue": {
"section": "Ethics Beyond Compliance",
"label": "Manipulation, Dark Patterns and Consent Fatigue",
"guidance": "Whether the interface nudges, pre-ticks, buries refusal, or asks repeatedly, and whether the volume of requests is such that a refusal is impractical. Consent obtained by a design choice is not freely given, whatever the record says.",
"value": ""
},
"f31_Fairness_of_Automated_Decisions": {
"section": "Ethics Beyond Compliance",
"label": "Fairness of Automated Decisions",
"guidance": "Whether the processing produces outcomes for people, and what the distribution of those outcomes is across groups. A lawful basis for a decision is not a defence of its fairness, and the two are assessed against different questions.",
"value": ""
},
"f32_Findings_Register": {
"section": "Findings, Remediation and Review",
"label": "Findings Register",
"guidance": "One row per finding: the finding, the risk it poses to individuals, the severity, the owner, and the action being taken. Severity is what determines the order of work, and a register with no severity column is a list of observations.",
"value": ""
},
"f33_Residual_Risk_and_Acceptance": {
"section": "Findings, Remediation and Review",
"label": "Residual Risk and Acceptance",
"guidance": "The risk remaining after the planned actions, who accepts it, and until when. Acceptance is a decision with an owner and an expiry date; an acceptance with neither is an unowned risk that will be rediscovered at the next assessment.",
"value": ""
},
"f34_Remediation_Plan": {
"section": "Findings, Remediation and Review",
"label": "Remediation Plan",
"guidance": "The actions, their owners and their dates, and what is being done in the interim. The interim period is where a known finding actually operates, so it is the part of the plan most worth writing down.",
"value": ""
},
"f35_Review_Triggers": {
"section": "Findings, Remediation and Review",
"label": "Review Triggers",
"guidance": "What would cause this assessment to be revisited before its scheduled date, such as a new purpose, a new recipient, a new model, or a regulatory change. Triggers stated after the change have occurred are a record of the change.",
"value": ""
},
"f36_Reassessment_Triggers": {
"section": "Findings, Remediation and Review",
"label": "Reassessment Triggers",
"guidance": "When this assessment expires and on what cycle. An assessment with no expiry is treated as permanent by everyone who did not write it, including the people who inherited it.",
"value": ""
}
}
}