المشهد العالمي للخصوصيةGlobal privacy landscape

تختلف أنظمة الخصوصية بين الدول في التفاصيل وتتفق في الهيكل. فمعظمها يسأل الأسئلة نفسها: ما الأساس القانوني، وما حقوق صاحب البيانات، وماذا يحدث حين تخرج البيانات من البلد.

تبدو خريطة الخصوصية معقدة حين تُقرأ دولة بعد دولة، وبسيطة حين تُقرأ كتدفقات بيانات.

هل يعني هذا أني أحفظ قوانين كل دولة؟

ولو كان الجواب نعم، لكان بناء أي منتج عالمي مستحيلاً. فهناك أكثر من مئة وأربعين دولة لها قوانين خصوصية، وكلها تتغيّر.

والجواب لا. فأنت لا تحتاج أن تعرف ماذا تقول القوانين، بل أن تعرف متى صار قانون منها يخصّك.

وهذا فرق كبير في العمل اليومي. فالسؤال المفيد ليس «ماذا تقول قوانين البرازيل؟»، بل «هل فعلنا شيئاً جعل قانون البرازيل ينطبق علينا فجأة؟». والأول بحث قانوني تشتريه عند الحاجة، والثاني يقظة يجب أن تكون داخل فريقك.

وثمة سبب يجعل هذا ممكناً: معظم هذه القوانين متشابهة في جوهرها. فقد نُسخت الفكرة الأوروبية بتعديلات، فتجد في أغلبها الحقوق نفسها والمبادئ نفسها. والاختلافات تقع في التفاصيل: مهلة الرد على طلب العميل، وشروط نقل البيانات خارج الدولة، ومتى يجب تعيين مسؤول حماية بيانات.

فإن بنيت منتجك على المبادئ الستة بجدّية، فأنت متوافق مع معظم العالم تقريباً، ويبقى عليك ضبط التفاصيل حين تدخل سوقاً بعينها.

ثلاث إشارات تغيّر نطاقك

وأول إشارة هي مكان عيش العملاء أو وجودهم وقت استخدام الخدمة. فقد تمد الدولة قانونها إلى شركة أجنبية تعرض خدمة لأشخاص داخلها، حتى لو كانت الشركة والخوادم والعقد في بلد آخر. ولذلك يسبق سؤال أين المستخدم سؤال أين تأسست الشركة.

وثاني إشارة هي مكان تخزين البيانات ومن يستطيع الوصول إليها. فقد يحوّل نقل سجل عميل إلى مركز بيانات خارجي معالجة محلية إلى نقل دولي. وقد تفرض قواعد مالية أو سحابية نسخة داخل البلد، أو موافقة على النقل، أو عقداً محدداً، أو تقييماً لقانون بلد الاستقبال.

وثالث إشارة هي مكان الإعلان والاستهداف. فصفحة إنجليزية متاحة للعالم لا تعني دائماً عرضاً لكل بلد. ولكن شراء إعلانات موجهة للهند، وتسعير الخدمة بالروبية، وتوفير دعم محلي علامات على أن الشركة دخلت السوق عمداً. وقد يطلق الاستهداف قانوناً لا يطلقه زائر عابر.

ولا تثبت الإشارة وحدها النتيجة في كل دولة. فهي جرس يفتح فحصاً قصيراً للنطاق والقطاع والنقل. فإن عاش العميل في بلد جديد، أو انتقلت البيانات إلى بلد جديد، أو بدأت حملة لسوق جديد، فقد حان وقت التصعيد قبل الإطلاق.

البرازيل تبني على مبادئ مألوفة

ويطبق قانون البرازيل العام لحماية البيانات LGPD منذ ٢٠٢٠. ويشمل معالجة تتم في البرازيل، أو تهدف إلى عرض سلع أو خدمات لأشخاص فيها، أو تتعلق ببيانات جُمعت فيها. فشركة أجنبية تستطيع دخول نطاقه من جهة العميل أو النشاط، لا من جهة المكتب فقط.

ويستخدم القانون مفاهيم مألوفة، مثل الغرض والضرورة والشفافية والأمن والمساءلة. ويمنح الشخص حقوق الوصول والتصحيح والحذف في حالات، ويطلب أساساً قانونياً للمعالجة. ولكنه لا ينسخ أوروبا حرفياً، لأن قائمته تضم عشرة أسس وتفاصيل محلية في التنفيذ.

وتشرف «الهيئة الوطنية لحماية البيانات» البرازيلية على الإرشاد والإنفاذ. وقد تصل الغرامة إلى ٢٪ من إيراد الكيان في البرازيل عن المخالفة، بحد أقصى قدره ٥٠ مليون ريال برازيلي. ويُقاس الحد لكل مخالفة، بينما توجد تدابير أخرى مثل إعلان المخالفة أو حجب البيانات.

ولا يحتاج المبتدئ حفظ الأسس العشرة. فيحتاج أن يرى الإشارة: حملة تستهدف ساو باولو أو عميل يقيم هناك أو بيانات جُمعت هناك. ثم يسأل المختص عن الأساس والإشعار والحقوق والنقل، ويحوّل الإجابة إلى متطلبات منتج.

الهند تربط النطاق بعرض الخدمة

وينظم قانون حماية البيانات الشخصية الرقمية الهندي لعام ٢٠٢٣ معالجة البيانات الشخصية الرقمية. ويغطي المعالجة داخل الهند، ويمتد إلى معالجة خارجها حين ترتبط بعرض سلع أو خدمات لأشخاص داخل الهند. ولذلك تستطيع شركة فنتك خليجية دخوله بحملة وحسابات موجهة للسوق الهندية.

ويمنح الحكومة سلطة تصنيف مؤتمن بيانات مهماً بحسب حجم المعالجة وخطرها. فيتحمل المصنف التزامات إضافية، مثل مسؤول حماية بيانات وتقييم أثر وتدقيق. ويضع القانون قواعد مشددة لبيانات الأطفال، ويعامل من لم يبلغ الثامنة عشرة طفلاً في الأصل مع إمكان وضع استثناءات محددة.

ولا تبني قراراً نهائياً على ملخص صدر يوم إقرار القانون. فالقواعد التنفيذية والإشعارات الحكومية تحدد مواعيد النفاذ والتفاصيل والاستثناءات. ولذلك تُفحص النسخة السارية عند لحظة دخول السوق، ثم تُسجل المتطلبات التي تغيّر التسجيل أو الموافقة أو الموردين.

الصين تجعل النقل قراراً مستقلاً

ويعمل قانون حماية المعلومات الشخصية الصيني PIPL منذ ٢٠٢١. ويصل إلى معالجة خارج الصين إذا كان الغرض تقديم منتجات أو خدمات لأشخاص داخلها، أو تحليل سلوكهم، أو حالة أخرى ينص عليها القانون. وقد تحتاج الجهة الأجنبية الواقعة في النطاق ممثلاً أو مؤسسة محلية مخصصة.

ويخضع النقل خارج الصين لمسار قانوني وضمانات. فقد يحتاج المتحكم إلى تقييم أمني رسمي، أو اعتماد حماية معلومات شخصية، أو عقد قياسي مع المستلم، بحسب صفته وحجم البيانات. ويجري أيضاً تقييماً لأثر حماية المعلومات ويبلغ الشخص ببيانات المستلم والغرض والطريقة.

وتفرض الصين توطيناً على مشغلي البنية المعلوماتية الحيوية وعلى جهات تتجاوز عتبات محددة من البيانات. فيخزنون البيانات المشمولة داخل الصين، ويخضع خروجها لمتطلبات إضافية. ولا تعني هذه القاعدة أن كل سجل صيني ممنوع من المغادرة، كما لا تعني أن عقداً عادياً يكفي لكل نقل.

التوطين ليس قاعدة واحدة

ويعني «توطين البيانات» إبقاء بيانات محددة داخل حدود بلد ما، لكنه يأتي بأشكال مختلفة. فقد يمنع قانون إخراج فئة بعينها. وقد يسمح بالنقل مع إبقاء نسخة محلية. وقد يفرض التوطين على البنوك وأنظمة الدفع فقط، بينما يسمح لتطبيق تجارة عادي باستخدام سحابة خارجية.

وقد يأتي القيد من منظم القطاع لا من قانون الخصوصية العام. فالبنك المركزي قد يطلب أن تعيش سجلات الدفع أو النسخ الأساسية في البلد، وقد تفرض جهة صحية قاعدة أخرى للسجلات الطبية. ولذلك لا يكفي أن يقول مزود السحابة إن منطقته متوافقة عالمياً.

ولا يحل اختيار مركز بيانات محلي كل شيء. فقد يستطيع فريق دعم في بلد آخر فتح السجل، فيصبح الوصول نقلاً أو إفصاحاً عابراً للحدود. وقد ينسخ نظام المراقبة السجلات إلى منصة عالمية، أو يرسل فريق التحليلات معرّفات إلى مستودع مركزي. فالتدفق يتبع إمكان الوصول والنسخ، لا عنوان الخادم وحده.

ويجب أن يرسم المهندس المسار من الهاتف إلى الواجهة وقاعدة البيانات والسجلات والنسخ الاحتياطية والموردين والدعم. ثم يكتب البلد عند كل محطة والأشخاص الذين يستطيعون الوصول. وهذه الخريطة تكشف النقل المخفي أسرع من قراءة عقد سحابة من مئة صفحة.

دول أخرى بأنماط متكررة

وتطبق سنغافورة قانون حماية البيانات الشخصية مع قواعد للموافقة والغرض والإشعار والنقل والحوادث. وتطبق جنوب أفريقيا قانون حماية المعلومات الشخصية POPIA مع شروط للمعالجة وحقوق للأشخاص وقيود على النقل. وتملك كندا وأستراليا واليابان وكوريا الجنوبية وغيرها أطرها الخاصة.

غريزة المبتدئ الصحيحة

ولا تحفظ قانون كل بلد قبل أن تحتاجه. فذلك يستهلك وقتاً ويعطي ثقة زائفة، لأن النصوص واللوائح ومواعيد النفاذ تتغير. وابنِ بدلاً منه خط أساس قوي من مبادئ الخصوصية، وسجلاً للعملاء والبلدان والموردين، وبوابة تمنع إطلاق سوق أو نقل جديد من دون مراجعة.

واجعل فريق النمو يجيب قبل الحملة عن البلدان المستهدفة والعملات واللغات. واجعل الهندسة تسجل مناطق الاستضافة والوصول والدعم. واجعل المشتريات تبلغ عن كل مورد فرعي ومكان معالجته. ثم تصل الإشارات الثلاث إلى صاحب قرار واحد يستطيع طلب فحص قانوني.

ويكون التصعيد محدداً لا مفتوحاً. فتقول إن المنتج سيعلن في البرازيل، وسيجمع هوية وعنواناً ومعاملات، وسيخزنها في الولايات المتحدة، وسيستخدم مورداً في إيرلندا. ثم تسأل عن النطاق والأساس والإشعار والنقل والتوطين والممثل المحلي وموعد التنفيذ.

ولا تنتظر حتى أول عميل إذا كانت الحملة هي التي أدخلتك النطاق. ولا توقف توسعاً كاملاً بسبب اسم قانون سمعته، لأن الاستثناءات والعتبات قد تخرج النشاط. فالغريزة الصحيحة هي اكتشاف المشغل مبكراً ثم الحصول على إجابة مرتبطة بتدفق حقيقي.

قائمة تشغيل عند تغير الخريطة

وعند إضافة بلد، حدد أين يعيش العميل وأين سيكون حين تعرض الخدمة. ثم حدد أين تُجمع البيانات وتُخزن وتُنسخ ومن يفتحها. وافحص هل المنتج مالي منظم أو يعالج هوية أو صحة أو قياسات حيوية أو بيانات أطفال.

وبعد ذلك عيّن القانون والجهة الرقابية وآلية النقل وأي توطين أو تسجيل أو ممثل. وحوّل النتيجة إلى مالك وموعد واختبار داخل المنتج. واحتفظ بقرار النطاق كي لا يعيد الفريق البحث نفسه عند كل تحديث.