مبادئ الخصوصية الأساسيةCore privacy principles

مبادئ الخصوصية قواعد تحكم ما يجوز لشركة أن تجمعه عنك، ولماذا، وكم تحتفظ به، ومن تعطيه إياه. وهي متشابهة في معظم دول العالم رغم اختلاف أسماء الأنظمة.

بدأت مبادئ الخصوصية الحديثة قبل الهاتف الذكي والحوسبة السحابية بعقود.

ليش أحتاج قواعد خصوصية أصلاً؟ أنا ما أبيع بيانات أحد

وهذا هو الاعتراض الأول، وهو صادق في الغالب. فالشركة لا تنوي إيذاء أحد، وتجمع البيانات لتحسين الخدمة فقط. فأين الضرر؟

والضرر لا يأتي من نيّتك، بل من تراكم ما جمعته.

تخيّل تطبيق تقسيط. فهو يعرف اسمك ورقم هويتك ورقم جوالك. ويعرف كل ما اشتريته وأين ومتى. ومن مواعيد سدادك يعرف متى ينزل راتبك. ومن موقع كل عملية يعرف أين تسكن وأين تعمل ومتى تسافر. ومن تحليل مشترياتك قد يستنتج حالتك الصحية أو وضعك الأسري.

ولم تجمع الشركة أياً من هذا عمداً. فكل حقل جُمع لسبب وجيه في حينه. لكن مجموعها ملف يعرف عنك أكثر مما يعرف أقرب الناس إليك.

والآن اسأل: ماذا يحدث لهذا الملف إن سُرّب؟ أو إن باعت الشركة أصولها؟ أو إن استخدمه موظف للتجسس على طليقته؟ أو إن قررت الإدارة بعد ثلاث سنوات بيعه لشركة تأمين؟

فقواعد الخصوصية ليست حماية من الشركات الشريرة، بل من التراكم الذي يحدث في الشركات حسنة النية. ومن هنا جاءت المبادئ الستة التي ستقرأها: كلها تدور حول شيء واحد، وهو أن تجمع أقل، وتحتفظ أقصر، وتستطيع أن تشرح لماذا.

قواعد أقدم من التطبيقات

وفي ١٩٨٠ نشرت منظمة التعاون الاقتصادي والتنمية إرشادات لحماية الخصوصية وتدفق البيانات عبر الحدود. ولم تذكر تلك الإرشادات ملفات تعريف الارتباط أو التعرّف على الوجه. ولكنها وصفت مشكلات ما زالت تظهر حين يجمع بنك راتبك، أو يحلل تطبيق إنفاقك، أو يرسل متجر رقمك إلى شركة إعلانات.

وتغيّرت أسماء القوانين وتفاصيلها منذ ذلك الوقت، بينما بقي الهيكل ثابتاً. فالقانون يطلب سبباً للجمع، وحداً لما تجمعه، ومدة للاحتفاظ به، وحماية أثناء وجوده، ودليلاً على تنفيذ ذلك. ولذلك تستطيع قراءة قانون جديد عبر هذه العدسات قبل أن تحفظ أرقام مواده.

البيانات تبدأ بالشخص

وتعني «البيانات الشخصية» Personal data أي معلومة ترتبط بشخص معروف أو يمكن التعرف عليه. فالاسم ورقم الهوية مثالان مباشران. ومعرّف الجهاز ومسار الموقع وسجل المشتريات أمثلة غير مباشرة، لأنها قد تميّز شخصاً عند جمعها مع معلومات أخرى.

ولا تصبح المعلومة مجهولة لمجرد حذف الاسم منها. فقد يستبدل تطبيق الإقراض الاسم برقم داخلي، ثم يحتفظ في جدول آخر بمفتاح يربط الرقم بصاحبه. وهذه عملية ترميز مستعار تقلل التعرض، لكنها تظل معالجة لبيانات شخصية لأن إعادة الربط ممكنة.

الغرض يرسم الحدود

ويعني «تحديد الغرض» أن تكتب لماذا تحتاج البيانات قبل جمعها. فإذا طلبت شركة تحويل عنوان العميل للتحقق النظامي، فلا تستخدمه لاحقاً لبناء حملة تسويق عقاري بلا سبب جديد. وإذا سجل فريق الدعم مكالمة لحل نزاع، فلا تصبح تلقائياً مادة لتدريب نموذج صوتي.

ويمنع هذا المبدأ عبارة مثل تحسين خدماتنا من حمل كل شيء. فالغرض الجيد محدد بما يكفي ليعرف المهندس أي استخدام يدخل تحته وأي استخدام يحتاج قراراً آخر. والغرض المحدد يساعد أيضاً موظف الامتثال على اختيار الأساس النظامي ومدة الاحتفاظ والأشخاص الذين يجوز لهم الوصول.

اجمع أقل كمية تؤدي العمل

ويعني «تقليل البيانات» ألا تجمع حقلاً لأن جمعه سهل أو لأنه قد يفيد يوماً ما. فتطبيق تقسيم الفاتورة يحتاج قيمة الدفع وهوية الطرفين، لكنه لا يحتاج قائمة جهات الاتصال كاملة كي يسمح لك بكتابة رقم صديق. وشركة تمويل تحتاج معلومات تقيس القدرة على السداد، لكنها لا تملك عذراً لجمع صور الهاتف الشخصية.

ويظهر الفرق في تصميم المنتج لا في سياسة الخصوصية وحدها. فاجعل الحقل اختيارياً إذا كانت الخدمة تعمل بدونه. واقرأ من واجهة البنك الحسابات اللازمة فقط بدلاً من طلب كل ما تسمح به الواجهة. ومرر إلى مزود التحقق نتيجة نجاح الفحص حين لا يحتاج فريقك نسخة الوثيقة نفسها.

ويقلل هذا المبدأ ثلاثة أثمان معاً. فهو يقلل الضرر عند التسرب، والعمل عند استجابة طلب صاحب البيانات، والتعقيد عند تغيير المورد. وما لم تجمعه لا يحتاج تشفيراً ولا حذفاً ولا تفسيراً أمام جهة رقابية.

البيانات تفسد وتنتهي

ويطلب مبدأ «الدقة» أن تكون البيانات صحيحة ومحدّثة بقدر ما يتطلبه استخدامها. فعنوان قديم في رسالة تسويقية يسبب إزعاجاً. والعنوان نفسه في فحص عقوبات أو قرار ائتماني قد يسبب رفضاً خاطئاً له أثر مالي مباشر.

ولا تعني الدقة أن تراجع كل حقل كل يوم. فدرجة العناية تتبع أثر الخطأ وسرعة تغير المعلومة. ولذلك يحتاج رقم الهاتف إلى طريق لتحديثه، ويحتاج قرار آلي إلى مصدر معروف وتاريخ، ويحتاج اعتراض العميل إلى مسار يصحح الأصل والنسخ المشتقة منه.

ويعني «تحديد مدة التخزين» ألا تحتفظ بالبيانات إلى الأبد احتياطاً. فلكل فئة تاريخ أو حدث ينهي الحاجة إليها، مثل إغلاق الحساب مع انقضاء مدة حفظ نظامية. وقد تختلف المدد بين سجل محاسبي وتسجيل مكالمة ونسخة هوية ومسودة طلب لم يكتمل.

ولا يكفي وضع مدة في جدول إن بقيت النسخ في مستودع التحليلات والسجلات والنسخ الاحتياطية. فيجب أن تصل قاعدة الحذف إلى الأنظمة التابعة والموردين. وقد تبقى نسخة احتياطية حتى دورة الاستبدال التالية، لكن الوصول إليها يكون مقيداً وتعود قاعدة الحذف عند استعادتها.

الأمن يتبع الخطر

ويطلب مبدأ «السلامة والسرية» حماية البيانات من الوصول غير المصرح والتغيير والفقد. فلا توجد أداة واحدة تحقق ذلك. فالتشفير يحمي قناة أو ملفاً، وإدارة الصلاحيات تحدد من يفتح الملف، والسجلات تكشف ما فعله، والنسخ الاحتياطية تعيد البيانات بعد تلفها.

ويعتمد القدر المناسب على طبيعة البيانات والضرر الممكن. فرقم بطاقة كامل وبيانات حيوية ونتيجة طبية تحتاج ضوابط أشد من بريد منشور للشركة. ومع ذلك لا تعني حساسية الحقل وحدها كل الخطر، لأن قاعدة بيانات واسعة لمعاملات يومية تكشف حياة أشخاص حتى لو بدا كل سجل منفرداً عادياً.

ويبدأ الأمن بتقليل الوصول. فموظف خدمة العملاء يرى ما يحتاجه لحل الحالة، ومحلل المنتج يعمل على بيانات محدودة أو مجمعة، والمورد يحصل على أقل نطاق لازم للعقد. ثم تراجع الصلاحيات عند انتقال الموظف أو انتهاء عمل المورد، لا بعد حادثة.

المساءلة تجعل المبدأ قابلاً للإثبات

وتعني «المساءلة» أنك لا تكتفي بالقول إنك تحترم الخصوصية. فتستطيع إظهار سجل للبيانات والأغراض والأسس والمدد والموردين والضوابط والقرارات. وإذا سأل المنظم لماذا يجمع منتجك الموقع الدقيق، فلا يكون الجواب أن المطور أضافه قبل عامين.

وتحوّل المساءلة كل مبدأ إلى صاحب وعمل متكرر. فيراجع مدير المنتج الحقول قبل الإطلاق، ويضبط المهندس الحذف والصلاحيات، ويتحقق الأمن من الحماية، ويختبر مسؤول الخصوصية أن السبب والمدة موثقان. ولا يُعفي وجود فريق خصوصية بقية الشركة من مسؤولية القرارات التي تتخذها.

الأساس النظامي ليس زر موافقة

ويجيب «الأساس النظامي» Lawful basis عن سؤال مختلف عن الغرض. فالغرض يشرح ما تريد فعله، والأساس يشرح لماذا يسمح لك القانون بفعله. وقد تكون المعالجة لازمة لعقد مع العميل، أو لواجب قانوني، أو لحماية مصلحة حيوية. وقد تعتمد على مهمة عامة، أو مصلحة مشروعة موزونة بحقوق الشخص، أو موافقته.

ولا تتطابق قائمة الأسس في كل دولة، لكن الحاجة إلى سبب صالح تتكرر. فالبنك لا يحتاج موافقتك المتجددة كل صباح ليعرض رصيد الحساب الذي طلبت فتحه. وشركة التحويل قد تحفظ سجلاً لأن قانون مكافحة غسل الأموال يلزمها، حتى لو طلب العميل حذفه في اليوم التالي.

وتكون الموافقة غالباً أضعف أساس لا أقواه. فهي تفشل إذا كانت مخفية أو مجمعة مع أغراض أخرى أو مفروضة على خدمة لا تحتاجها. ويمكن للشخص سحبها، وعندها يجب أن توقف المعالجة المبنية عليها ما لم يوجد أساس آخر اختير بصدق منذ البداية.

ولا يجوز تبديل الأساس بعد الاعتراض لإنقاذ قرار سيئ. فإذا قلت إن التسويق قائم على الموافقة، ثم سحبها العميل، فلا تسمه فجأة مصلحة مشروعة. فالأساس يُختار عند تصميم المعالجة ويُوثق ويُشرح للشخص، لا عند وصول الشكوى.

اختبار واحد لأي ميزة

وقبل إطلاق ميزة مالية، اكتب البيانات التي ستدخلها والغرض من كل حقل والأساس الذي يسمح به. ثم احذف ما لا تحتاجه، وحدد مصدر التصحيح وموعد الحذف ومن يصل إليه وكيف تحميه. وأخيراً احتفظ بالدليل على هذه القرارات وعلى تنفيذها في النظام.