قانون تقنية المعلومات التركي صعب لأنه ليس في تشريع واحد

لا يوجد جواب واحد لسؤال "ماذا يقول قانون تقنية المعلومات التركي عن هذا"، لأنه لا يوجد تشريع واحد يُسمى قانون تقنية المعلومات التركي. هذا أول ما يتعلمه أي عامل في هذا المجال، وهو الأصعب شرحًا لعميل.

في تركيا، يُنظَّم نشاط تقنية المعلومات عند تقاطع ستة تشريعات منفصلة على الأقل. لا واحد منها يستوعب الآخر. كل منها يعمل بمنطقه الخاص، ونظام عقوباته الخاص، وجهته الرقابية الخاصة. النتيجة: لا يمكنكم وضع قائمة التزامات بالنظر إلى نص واحد، والحدث نفسه يمكن أن يُنتج عواقب بموجب أكثر من نظام في الوقت نفسه.

اختراق بيانات واحد يمكن أن يظهر في ثلاثة أماكن منفصلة

مثال ملموس يوضح ذلك بأفضل شكل. لنفترض أن قاعدة بيانات عملاء شركة تجارة إلكترونية تعرّضت للوصول غير المصرّح به وسُرِّبت البيانات.

المسار الأول إداري. المادة 12 من القانون رقم 6698 تضع التزامات أمن البيانات، وفقرتها الخامسة تشترط إبلاغ المجلس بالاختراق. يقيّم المجلس ما إذا كانت التدابير التقنية والتنظيمية المتخذة كافية، وإذا وجدها قاصرة، يمكنه فرض غرامة إدارية.

المسار الثاني جزائي. فعل الشخص الذي حصل على الوصول قد يشكّل جريمة الدخول غير القانوني إلى نظام معلومات بموجب المادة 243 من القانون رقم 5237، وتسريب البيانات قد يشكّل بشكل منفصل جريمة توفير بيانات أو الحصول عليها بشكل غير قانوني بموجب المادة 136. هذا التحقيق يسير بشكل مستقل عن المسؤولية الإدارية للشركة.

المسار الثالث قانون خاص. الشخص الذي كُشفت بياناته يمكنه المطالبة بالتعويض عن الضرر الذي لحق به، والفقرة الأخيرة من المادة 11 من القانون رقم 6698 تحفظ ذلك الحق صراحة.

هذه المسارات الثلاثة ليست بدائل عن بعضها؛ إنها تسير بالتوازي. دفع غرامة المجلس لا ينهي التحقيق الجزائي، ونتيجة القضية الجزائية لا تحسم بذاتها مطالبة التعويض.

أي سؤال يجيب عنه كل تشريع فعليًا

الطريقة الأكثر عملية لفهم مدى تشتت هذا المجال هي: تحديد أي سؤال يجيب عنه كل تشريع فعليًا.

القانون رقم 6698 يجيب عن "هل يمكنكم معالجة هذه البيانات؟" شروط المعالجة، والتزام الإخطار، والتدابير الأمنية، وحقوق صاحب البيانات، كلها هنا.

القانون رقم 5651 يجيب عن "من المسؤول عن هذا المحتوى؟" التمييز بين مزوّد المحتوى، ومزوّد الاستضافة، ومزوّد الوصول، ومزوّد الاستخدام الجماعي، وإجراءات إزالة المحتوى وحجب الوصول، محددة هنا. نظام المسؤولية يتغيّر كليًا بحسب أي من هذه الأدوار الأربعة يقع الطرف تحته.

القانون رقم 5237 يجيب عن "هل هذا الفعل جريمة؟"

القانون رقم 6563 يجيب عن "هل يمكنكم إرسال هذه الرسالة التجارية، وما الذي يجب عليكم، كمزوّد خدمة، الإفصاح عنه؟"

القانون رقم 5070 يجيب عن "هل هذا التوقيع الإلكتروني يقوم مقام التوقيع بالحبر؟"

في مشروع حقيقي، تظهر كل هذه الأسئلة عادةً في آن واحد. قرار يُتخذ بالنظر إلى واحد منها فقط يخلق نقاط عمياء تجاه الأربعة الأخرى.

السلطة المشتتة تعني رقابة مشتتة

ما يزيد الأمر تعقيدًا هو أن تشريعات مختلفة موكولة إلى جهات مختلفة.

هيئة حماية البيانات الشخصية تشرف على نشاط معالجة البيانات. هيئة تقنية المعلومات والاتصالات لها اختصاص على الاتصالات الإلكترونية وتشارك في تنفيذ قرارات حجب الوصول. وزارة التجارة مسؤولة عن تنفيذ تشريع التجارة الإلكترونية.

النتيجة العملية: منتج واحد يمكن أن يكون مسؤولًا أمام أكثر من جهة تنظيمية في آن واحد، ولا واحدة منها مُلزَمة بقرار الأخرى. رأي إيجابي من جهة لا يمنع جهة أخرى من التوصل إلى استنتاج مختلف.

أين تحدث الأخطاء عمليًا

معظم الأخطاء التي أراها في هذا المجال تشترك في شيء واحد: التقييم القانوني يحدث بعد أن اتُّخذت القرارات التقنية بالفعل.

يُبنى نموذج البيانات، وتُنشأ الجداول، وتُكتب التكاملات. قُبيل الإطلاق، يطلب أحدهم من محامٍ "إلقاء نظرة." عند تلك النقطة، الخيارات محدودة، لأن أي ملاحظة تُثار الآن تعني تصحيحًا رجعيًا، والتصحيح الرجعي يخلق مشكلة منفصلة للبيانات المجمّعة أصلًا حتى تلك النقطة.

ومع ذلك، كل واحد من الأسئلة التالية كان يمكن الإجابة عنه أثناء بناء نموذج البيانات. أي فئات من البيانات الشخصية ستُعالَج؟ ما الأساس القانوني الذي تستند إليه كل فئة؟ ما مدة الاحتفاظ، وأي مكوّن يفرضها؟ أي جداول تُلمَس عند وصول طلب حذف؟ هل سيكون هناك نقل إلى الخارج؟

خمسة أسئلة. كلها قابلة للإجابة في اجتماع واحد. تكلفة عدم الإجابة عنها تنتهي بأن تكون أضعاف تكلفة ذلك الاجتماع بمرات عديدة.

الصعوبة الحقيقية للمجال

صعوبة قانون تقنية المعلومات التركي ليست في تعقيد القواعد. مقروءة كلٌّ على حدة، هي مفهومة.

الصعوبة هي معرفة اللحظة التي يُفعَّل فيها كل واحد منها. قرار مهندس، "لنسجّل هذا الحقل أيضًا، قد يكون مفيدًا"، يمكن أن يُطلق عواقب بموجب ثلاثة تشريعات منفصلة في آن واحد، والشخص الذي يتخذ ذلك القرار عادةً لا يعلم شيئًا عن ذلك. طريقة سدّ تلك الفجوة ليست ملفًا أثخن للامتثال. إنها وجود محامٍ على الطاولة عند اتخاذ القرار.