اللائحة الأوروبية GDPREU and UK GDPR

«اللائحة العامة لحماية البيانات» GDPR نظام أوروبي يحكم معالجة بيانات الأشخاص. ويعني عملياً أنك تحتاج سبباً قانونياً لكل معالجة، وأن الموافقة سبب واحد من ستة لا السبب الوحيد.

يبدأ الخطأ الشائع من شاشة تسجيل تضع الموافقة أمام كل معالجة.

ليش ما أطلب الموافقة على كل شيء وأرتاح؟

وهذا ما يفعله معظم المطوّرين: يضع شاشة موافقة عند التسجيل، فيوقّع العميل، فيظنّ نفسه في أمان.

والمفاجأة أن الموافقة هي أضعف الأسس القانونية لا أقواها.

فالموافقة يجب أن تكون حرة، وصريحة، ومحددة، وقابلة للسحب في أي لحظة بنفس سهولة منحها. فإن كان العميل لا يستطيع استخدام الخدمة أصلاً دون الموافقة، فهي ليست حرة، وقد تسقط كاملة عند المراجعة.

والأخطر أنها قابلة للسحب. فتخيّل أنك بنيت تسجيل عملياتك المالية على موافقة العميل، ثم سحبها. فماذا تفعل بسجلّات أنت ملزَم نظاماً بحفظها خمس سنوات؟ فأنت الآن بين التزامين متناقضين، وقد صنعت المشكلة بنفسك.

والصحيح أن معظم ما تفعله لا يحتاج موافقة أصلاً. فتنفيذ العقد أساس قانوني، والالتزام النظامي أساس قانوني، والمصلحة المشروعة أساس قانوني. فحين تحفظ سجلّ عملية لأن النظام يفرض ذلك، لا تسأل العميل، لأن رفضه لا يغيّر شيئاً وسؤاله يوهمه بخيار لا يملكه.

فاحفظ الموافقة لما هو اختياري فعلاً: الرسائل التسويقية، والتتبّع الإعلاني، ومشاركة البيانات مع طرف ثالث لا يحتاجه العقد.

النطاق يتبع الشخص والسوق

ويسري «النظام العام لحماية البيانات» في الاتحاد الأوروبي على جهة منشأة داخله حين تعالج بيانات في سياق نشاطها. ويمتد أيضاً إلى شركة خارجه إذا عرضت سلعة أو خدمة على أشخاص موجودين فيه، أو راقبت سلوكهم داخله. فشركة فنتك في الرياض تسعّر حساباً باليورو وتسوّقه لعملاء في فرنسا تدخل النطاق ولو لم تفتح مكتباً أوروبياً.

ولا تكفي زيارة عابرة من شخص أوروبي إلى موقع محلي لإثبات استهداف السوق. ولكن اللغة والعملات والشحن والحملات الموجهة وقاعدة العملاء تكشف معاً لمن صُمم العرض. فمكان الشركة ليس المعيار الوحيد، كما أن جنسية الشخص ليست المعيار. والمهم وجود الشخص في النطاق وقت العرض أو المراقبة وطريقة توجيه النشاط إليه.

ستة أبواب للمعالجة

ويمنح GDPR ستة أسس نظامية للبيانات الشخصية العادية. وهي تنفيذ عقد مع الشخص، والامتثال لالتزام قانوني، وحماية مصالح حيوية، وأداء مهمة للمصلحة العامة أو بسلطة رسمية، وتحقيق مصلحة مشروعة، والحصول على موافقة صحيحة.

ولا تختار الأساس الذي يبدو أسهل في نص الإشعار. فتختار الأساس الذي يصف ضرورة المعالجة الحقيقية قبل أن تبدأ. وقد يستخدم المنتج أكثر من أساس لأغراض مختلفة، لكن الغرض الواحد لا يحمل قائمة احتياطية من الستة تُستدعى بعد الاعتراض.

ويغطي العقد ما يلزم فعلاً لتقديم ما طلبه العميل. فالبنك يحتاج الاسم وبيانات الاتصال لفتح الحساب وتنفيذه. ولكنه لا يستطيع وصف الإعلانات السلوكية بأنها لازمة للعقد لمجرد وضعها في الشروط. فالاختبار هو إمكان تقديم جوهر الخدمة من دون المعالجة الإضافية.

ويغطي الالتزام القانوني ما يفرضه قانون أوروبي أو قانون دولة عضو على الشركة. فحفظ بعض سجلات المعاملات أو إجراء تحقق مقرر قد يقع هنا. ولا يكفي أمر تجاري داخلي أو عقد مع مورد، لأن الالتزام المقصود يأتي من قاعدة قانونية تنطبق على المتحكم.

المصلحة المشروعة تحتاج موازنة

وتسمح «المصلحة المشروعة» بمعالجة تخدم مصلحة حقيقية للشركة أو لطرف آخر إذا كانت ضرورية ولم تتغلب عليها حقوق الشخص. وقد يصلح كشف الاحتيال أو أمن الشبكة أو بعض التسويق المباشر لهذا الأساس. ولكنه ليس عبارة سحرية تسمح بما تعذر تبريره.

ويتكون الاختبار العملي من ثلاث مراحل موثقة. فتحدد المصلحة بدقة، ثم تسأل هل توجد وسيلة أقل تدخلاً تحققها، ثم توازن أثر المعالجة وتوقعات الشخص وضماناتها. وإذا كانت الميزة مفاجئة، أو تستخدم بيانات حساسة، أو تؤثر في طفل، أو تمنع خدمة مالية، فتميل الموازنة لمصلحة الشخص.

ويستطيع العميل الاعتراض على معالجة قائمة على المصلحة المشروعة. فعندها يجب أن تتوقف ما لم تثبت أسباباً قاهرة تتغلب على حقوقه، مع قاعدة أشد للتسويق المباشر تجعلك تتوقف عند الاعتراض. ولذلك يحتاج المنتج زر اعتراض ومسار تنفيذ، لا عنوان بريد لا يقرأه أحد.

الموافقة تأتي أخيراً

وتكون «الموافقة» صحيحة إذا كانت حرة ومحددة ومستنيرة وواضحة ويمكن إثباتها وسحبها بسهولة مماثلة لمنحها. فلا يكفي مربع محدد مسبقاً أو استمرار استخدام الموقع أو فقرة تغطي التحليلات والتسويق والمشاركة دفعة واحدة. ولا تكون حرة إذا خسر الشخص خدمة يحتاجها لأنه رفض معالجة غير لازمة لها.

وتضعف الموافقة حين تكون هناك فجوة قوة، مثل علاقة صاحب العمل بالموظف أو جهة عامة بالمراجع. وتضعف أيضاً حين تحتاج الشركة المعالجة مهما كان اختيار الشخص. فإذا كان القانون يلزم شركة الدفع بحفظ العملية، فالالتزام القانوني أصدق من طلب موافقة لا تستطيع الشركة احترام رفضها.

ولا يعني وضع الموافقة أخيراً أنها بلا قيمة. فهي مناسبة لرسائل تسويقية اختيارية أو ميزة اختيارية تستخدم بيانات لا يحتاجها المنتج الأساسي. ولكنك تحتاج سجل ما وافق عليه الشخص ووقت الموافقة والنص المعروض وطريق السحب، ثم تحتاج أن تصل إشارة السحب إلى كل نظام ومورد.

قيّم الخطر قبل البناء

ويُسمّى الفحص المكتوب للمعالجة المرجح أن تسبب خطراً عالياً «تقييم أثر حماية البيانات» DPIA. ويُجرى قبل بدء المعالجة، حين تستطيع تغيير التصميم، لا بعد إطلاق الميزة وشراء المورد. ويصف الحاجة والتناسب والمخاطر على الأشخاص والضوابط التي تخفضها.

وتشمل العلامات القوية للخطر العالي تقييماً منهجياً واسعاً ينتج قرارات مؤثرة، أو معالجة واسعة للفئات الخاصة، أو مراقبة منهجية لمساحة عامة. وقد يجمع منتج فنتك أكثر من علامة حين يحلل معاملات آلاف الأشخاص لاكتشاف سلوكهم ثم يقبلهم أو يرفضهم آلياً.

ويشارك فريق المنتج والهندسة والأمن ومسؤول حماية البيانات في التقييم. فالمستند ليس شهادة يصدرها مسؤول الخصوصية وحده. وإذا بقي خطر عال لا تستطيع الضوابط خفضه، فتستشير الجهة الرقابية قبل المعالجة بدلاً من قبول الخطر داخل الشركة.

الحدود لا توقف القواعد

ويحدث «نقل دولي» حين تصبح البيانات الشخصية متاحة لجهة في بلد خارج المنطقة الاقتصادية الأوروبية، حتى لو بقي الخادم لدى مزود سحابي معروف. ولا يجعل التشفير النقل محلياً، لكنه قد يكون ضمانة مهمة في تقييم الخطر.

ويسمح الاتحاد بالنقل إلى بلد صدر له قرار كفاية. وإذا لم توجد كفاية، فقد تعتمد الشركة البنود التعاقدية القياسية أو قواعد الشركات الملزمة داخل المجموعة. وتحتاج البنود إلى تقييم لقانون بلد الاستقبال وممارساته وإلى ضمانات إضافية عند الحاجة، لأن توقيع القالب وحده لا يغير قدرة سلطة أجنبية على الوصول.

وتوجد استثناءات محدودة، مثل نقل ضروري لتنفيذ عقد معين أو موافقة صريحة بعد شرح المخاطر. ولكنها ليست بنية دائمة لعمليات يومية واسعة. فالشركة التي ترسل كل سجل إلى مورد أمريكي كل ليلة تحتاج آلية مستقرة وضمانات، لا استثناءً صُمم لحالة عارضة.

المملكة المتحدة نسخة قريبة منفصلة

واحتفظت المملكة المتحدة بعد خروجها من الاتحاد بنسخة محلية تسمى UK GDPR تعمل مع قانون حماية البيانات لعام ٢٠١٨. وهي قريبة جداً من نسخة الاتحاد في المبادئ والأسس والحقوق، لكنها قانون منفصل تشرف عليه جهة منفصلة هي مكتب مفوض المعلومات.

وقد تخضع الشركة للنسختين معاً إذا خدمت أشخاصاً في الاتحاد والمملكة المتحدة. وعندها تفحص التمثيل والإشعارات والعقود والنقل والجهة الرقابية لكل نطاق. ولا يكفي امتثال واحد بالاسم، حتى لو أمكن مشاركة معظم الضوابط التشغيلية.

وتملك المملكة المتحدة قرارات كفاية وآليات نقل خاصة بها. فقد تستخدم الشركة اتفاقية نقل البيانات الدولية البريطانية أو الملحق البريطاني للبنود الأوروبية بحسب الحالة. ولذلك يجب أن يحدد سجل الموردين هل مصدر البيانات أوروبي أم بريطاني وأي آلية تغطي كل تدفق.

ويوفر مكتب مفوض المعلومات دليلاً عملياً مفصلاً عن UK GDPR موجهاً للشركات، مع قوائم لفحص الأسس والحقوق والتقييمات. وهو نقطة بداية أفضل من منشور مختصر، لكنه لا يقرر عنك غرض المنتج أو ضرورة حقوله.

الغرامة تتبع حجم الشركة

ويقسم النظام الأوروبي المخالفات إلى مستويين رئيسيين. فقد تصل غرامات بعض الالتزامات إلى ١٠ ملايين يورو أو ٢٪ من رقم الأعمال السنوي العالمي، أيهما أعلى. وقد تصل مخالفات المبادئ والأسس والحقوق والنقل إلى ٢٠ مليون يورو أو ٤٪، أيهما أعلى.

ويستخدم رقم الأعمال العالمي حتى لا تصبح الغرامة الثابتة مجرد تكلفة صغيرة على مجموعة كبيرة. ولكن الجهة الرقابية تنظر أيضاً إلى الجسامة والمدة وعدد الأشخاص والإهمال والتعاون والإجراءات السابقة. فالسقف ليس الغرامة التلقائية لكل خطأ، ولا صغر الشركة إعفاء من الالتزام.

ويبلغ السقف الأعلى في المملكة المتحدة ١٧.٥ مليون جنيه إسترليني أو ٤٪ من رقم الأعمال السنوي العالمي، أيهما أعلى. وقد تتغير الأرقام بالقانون، لكن الدرس التشغيلي ثابت: الخطأ المحلي في جدول بيانات قد يُقاس بحجم المجموعة كلها.