يجب على جميع أطراف عملية مشاركة البيانات تحديد الضوابط اللازمة لإدارة البيانات -التي تمت مشاركتها- وحمايتها بشكل مناسب، على النحو الآتي:
1. الأساس النظامي:
(المبادئ ذات العلاقة: المبدأ الأول: تعزيز ثقافة المشاركة، المبدأ الثاني: مبدأ المرة الواحدة، المبدأ الثالث: مشروعية الغرض، المبدأ السادس: المسؤولية المشتركة، المبدأ الثامن: الاستخدام الأخلاقي).
أ- أن يتم إيضاح الأساس النظامي أو الاحتياج العملي المبرر لمشاركة البيانات، ومنها على سبيل المثال تنظيم الجهة أو الأوامر والقرارات ذوات الصلة التي تسمح للجهة بالحصول على البيانات.
ب- أن تتم المحافظة على سرية البيانات وفقاً لمستوى تصنيفها وخصوصية أصحاب البيانات الشخصية وحماية حقوق الملكية الفكرية.
2. التفويض:
(المبادئ ذات العلاقة: المبدأ الرابع: الاطلاع المصرح به، المبدأ السابع: أمن البيانات).
أ- تحديد المخولين بطلب البيانات وتلقيها وفقاً لضوابط الاستخدام والوصول إلى البيانات الموضحة في سياسة تصنيف البيانات، وفي حال كان المفوضون أشخاصاً، يتم تعيين أو تفويض الشخص المناسب – حسب المؤهلات والتدريب المطلوب – لضمان التعامل مع البيانات بشكل مسؤول.
ب- يتم منح الصلاحيات بناءً على مبدأ الحاجة إلى المعرفة ومبدأ الحد الأدنى من الامتيازات بحسب ما هو منصوص عليه في سياسة تصنيف البيانات عند التعامل مع البيانات التي تمت مُشاركتها.
3. نوع البيانات:
(المبادئ ذات العلاقة: المبدأ الأول: تعزيز ثقافة المشاركة، المبدأ الثاني: مبدأ المرة الواحدة، المبدأ الثالث: مشروعية الغرض، المبدأ الخامس: الشفافية)
أ- أن يتم تحديد الحد الأدنى من البيانات المطلوبة لتحقيق الأغراض المحددة.
ب- أن يتم تحديد البيانات المطلوبة وصيغتها والمتطلبات المتعلقة بتعديلها أو تغييرها (مثل صيغة البيانات، دقة البيانات، مستوى التفاصيل، هيكلة البيانات، نوع البيانات).
ج- أن يتم تحديد آلية يتفق عليها أطراف عملية المشاركة لتحديث البيانات التي تمت مُشاركتها مسبقاً في حال الحاجة إلى ذلك.
4. المعالجة المسبقة للبيانات:
(المبادئ ذات العلاقة: المبدأ الثاني: مبدأ المرة الواحدة، المبدأ السابع: أمن البيانات)
أ- أن يتم تحديد ما إذا كان هناك حاجة إلى معالجة البيانات قبل مشاركتها، وفي حال الحاجة إلى ذلك يتم الاتفاق على أساليب المعالجة المطلوبة - على سبيل المثال، الحجب وإخفاء الهوية والتجميع (على ألا تتم معالجة البيانات بشكل يغير المحتوى).
ب- أن يتم تقييم جودة البيانات المطلوبة وصحتها وسلامتها وتحديد ما إذا كانت تتطلب إجراء تحسين قبل مشاركتها.
5. وسائل مشاركة البيانات:
(المبادئ ذات العلاقة: المبدأ السابع: أمن البيانات).
أ- أن يتم التحقق من أمن وموثوقية قنوات مشاركة البيانات في حال عدم إمكانية استخدام الوسائل المنصوص عليها في الفقرة (1) من البند ثالثاً للتقليل من المخاطر المحتملة، وفقاً للمتطلبات التنظيمية الصادرة عن الجهات ذوات الاختصاص.
ب- أن يتم الاتفاق على آلية إتلاف البيانات محل طلب مشاركة البيانات وذلك لإتلافها مباشرةً بمجرد تحقيق الغرض من الحصول عليها مع مراعاة المتطلبات التنظيمية ذوات العلاقة.
6. استخدام البيانات والمحافظة عليها:
المبادئ ذات العلاقة: المبدأ الثالث: مشروعية الغرض، المبدأ الخامس: الشفافية، المبدأ السابع: أمن البيانات، المبدأ الثامن: الاستخدام الأخلاقي)
أ- أن يتم تحديد متطلبات حماية البيانات التي ستتم مشاركتها، وتطبيق الضوابط المحددة لحمايتها بعد مشاركتها.
ب- أن يتم فرض قيود مناسبة على الاستخدام أو المعالجة المسموح بها للبيانات (إن وُجدت)، مثل قيود خاصة بالمعالجة، أو قيود مكانية أو زمانية، أو حقوق حصرية أو تجارية.
ج- أن يتم تحديد حقوق جميع الأطراف المشاركة في عملية مشاركة البيانات بإجراء عمليات التدقيق والمراجعة.
د- أن يتم الاتفاق على إجراءات تسوية النزاعات.
ه- أن يتم تحديد ما إذا كان هناك طرف ثالث للاستفادة من البيانات بعد مشاركتها والاتفاق على الآلية المنظمة لذلك.
7. مدة مشاركة البيانات وعدد مرات المشاركة وإلغاء المشاركة:
(المبادئ ذات العلاقة: المبدأ الثالث: مشروعية الغرض، المبدأ السابع: أمن البيانات).
أ- أن يتم تحديد مدة مشاركة البيانات والموعد النهائي للوصول إلى البيانات أو تخزينها.
ب- أن يتم تحديد عدد مرات مشاركة البيانات، والمتطلبات اللازمة للمراجعة، وإجراء التعديلات، والإجراءات التي سيتم اتخاذها عند انتهاء الاتفاقية (مثل إخفاء هوية أصحاب البيانات أو إلغاء الوصول إلى البيانات أو إتلافها).
ج- أن يتم تحديد الأطراف الذين يحق لهم إنهاء مشاركة البيانات قبل التاريخ المتفق عليه، المستند النظامي، وفترة الإشعار المسموح بها.
8. أحكام المسؤولية:
(المبادئ ذات العلاقة: المبدأ السادس: المسؤولية المشتركة)
أ- أن يتم الاتفاق على تحديد المسؤوليات في حال عدم الالتزام ببنود الاتفاقية، وغيرها من الالتزامات بين أطراف عملية مشاركة البيانات.
ب- أن يتم تحديد القواعد المتعلقة بأحكام المسؤولية عند مشاركة بيانات خاطئة، وجود مشاكل فنية أثناء عملية نقل البيانات، أو فقدان البيانات بشكل غير مقصود أو غير نظامي مما قد يتسبب في أضرار أخرى.