لماذا يسبق جرد البيانات كل وثيقة أخرى لامتثال قانون حماية البيانات

زوروا مؤسسة للمساعدة في أعمال امتثال قانون حماية البيانات، وهذا عادةً ما تجدونه في الملف بالفعل: إشعار خصوصية، استمارة موافقة، سياسة احتفاظ وإتلاف. الثلاثة مُصاغة وموقّعة ومؤرشفة.

بعدها يُطرح سؤال واحد. من أين جاءت فئات البيانات المدرجة في هذه الوثائق؟

الجواب عادةً: نموذج وُجد على الإنترنت، مُلئ فيه اسم الشركة، أُضيفت بضع فقرات. بعبارة أخرى، البيان لم يُشتق من التحقق من الوقائع، بل اشتُق من نموذج. هذا هو الخطأ الأكثر شيوعًا، والأكثر كلفة، في ترتيب أعمال الامتثال الذي أراه.

لماذا يهم الترتيب إلى هذا الحد

إشعار الخصوصية بيان. المادة 10 من القانون رقم 6698 تشترط على المتحكم الإفصاح عن فئات البيانات المُعالَجة، والأغراض، والجهات التي تُنقل إليها البيانات، والأساس القانوني. إذا كنتم تُصدرون بيانًا، يجب أن يكون دقيقًا.

إشعار مكتوب من دون جرد لا يمكن أن يكون دقيقًا. في أفضل الأحوال، يكون ناقصًا. عندما يكشف تدقيق نشاط معالجة لا يغطيه الإشعار، ليست تلك ثغرة تقنية فحسب، إنها إخلال بالوفاء بالتزام الإخطار على الوجه الصحيح.

العكس صحيح أيضًا. المؤسسة التي لديها جرد بالفعل تكتب إشعار الخصوصية في يوم واحد، لأن كل ما يحتاج للكتابة محدد أصلًا.

ما الذي يحتاج الجرد فعليًا إلى التقاطه

جداول الجرد عادةً تُبنى بثلاثة أعمدة: فئة البيانات، الغرض، مدة الاحتفاظ. هذه الثلاثة غير كافية.

العمود المفقود هو: أين تقيم هذه البيانات ماديًا؟ أي قاعدة بيانات، أي جدول، أي حقل؟ هل هي في النسخ الاحتياطية أيضًا؟ هل توجد نسخة منها في نظام مزوّد خارجي؟

من دون طرح هذا السؤال، يعكس الجرد اعتقاد المؤسسة عن نفسها، لا الواقع الفعلي. أول سؤال يُطرح بعد اختراق بيانات سيكون "ما البيانات الشخصية التي كانت على ذلك الخادم"، وجرد لا يُسجَّل فيه موقع مادي عديم الفائدة في تلك اللحظة.

اختيار الأساس القانوني قرار بنيوي

المادة 5 من القانون رقم 6698 تسرد الأسس التي تُسمح بموجبها المعالجة. عمليًا، غالبًا ما تُعامَل هذه المادة كإجراء شكلي، لكن الأساس القانوني المختار يشكّل مباشرة كيفية بناء النظام.

حيث تعتمد المعالجة على الموافقة الصريحة، يمكن سحب تلك الموافقة في أي وقت، ويجب أن تتوقف المعالجة فور سحبها. هذا يجعل ثلاثة أمور ضرورية في النظام: سجل بأي إصدار من الإشعار أُعطيت الموافقة مقابله، وواجهة تتيح للمستخدم سحبها، وضابط يوقف فعليًا المعالجة ذات الصلة بمجرد سحب الموافقة. من دون الثلاثة معًا، يترك الاعتماد على الموافقة المؤسسة في موقف يصعب الدفاع عنه.

المعالجة الضرورية لتنفيذ عقد لا تحتاج إلى أي من تلك الآلية. البيانة نفسها، مُعالَجة على أساس قانوني مختلف، تحمل عبئًا تقنيًا مختلفًا تمامًا. لهذا لا ينبغي أبدًا أن يُتخذ اختيار الأساس القانوني من قِبل محامٍ وحده، بمعزل عن البنية.

مدد الاحتفاظ والمكوّن الذي يفرضها

تحديد مدة احتفاظ هو الجزء السهل من برنامج الامتثال. ضمان تطبيقها فعليًا هو الجزء الصعب.

التصميم العامل يبدو هكذا: كل سجل يحمل تاريخ انتهاء احتفاظه الخاص، حقل retention_expires مثلًا. تعمل مهمة وفق جدول لإيجاد السجلات التي تجاوزت ذلك التاريخ. تحذف المهمة السجل أو تتلفه أو تخفي هويته، وتكتب فعلها الخاص في جدول سجل منفصل. ما يُعرض عند التدقيق ليس وثيقة السياسة، إنه ذلك السجل.

المؤسسات التي تفتقر إلى هذا الهيكل تفعل عادةً العكس: تكتب المدة في السياسة، وتؤجل التنفيذ إلى تاريخ مستقبلي، وذلك التاريخ لا يأتي أبدًا. بعد عامين، توجد بيانات لم تُمحَ إلى جانب وثيقة تقول إنها كان يجب أن تُمحى. وجود كلا الأمرين معًا أسوأ من عدم وجود سياسة إطلاقًا.

سجل VERBİS ونطاقه

الالتزام بالتسجيل في سجل المتحكمين بالبيانات (VERBİS) يعتمد على معايير يضعها المجلس: عدد الموظفين السنوي، حجم الميزانية العمومية، وطبيعة البيانات المُعالَجة.

تحذير يستحق الذكر هنا. نطاق الإعفاء تغيّر مع الوقت من خلال قرارات المجلس ويمكن أن يتغيّر مجددًا. مؤسسة معفاة اليوم يمكن أن تصبح خاضعة للالتزام بمجرد نمو عدد موظفيها. هذه ليست مسألة تُحسم مرة واحدة وتُنسى، إنها تحتاج إلى التحقق سنويًا، مقابل العتبات الحالية المنشورة من الهيئة.

خطة الاختراق تُكتب مسبقًا

الفقرة الخامسة من المادة 12 من القانون رقم 6698 تشترط إبلاغ المجلس بالاختراق في أقرب وقت ممكن؛ وقد حددت قرارات المجلس تلك المدة بسبعين ساعتين.

تلك الساعات الاثنتان والسبعون هي إجمالي الوقت المتاح، بمجرد ملاحظة حادثة، لتحديد نطاقها، وتحديد الأشخاص المتأثرين، وإعداد الإشعار. حتى الخطوة الأولى من تلك الخطوات تستغرق أيامًا في معظم المؤسسات، لأنه لا يوجد سجل مكتوب بأي بيانات موجودة أين.

لذا يبدأ الاستعداد للاختراق قبل وقوعه بوقت طويل، ويعود إلى المكان نفسه: الجرد.

ماذا يحدث بمجرد أن يكون الامتثال "منجزًا"

إنه لا ينتهي. ميزة جديدة تخلق حقل بيانات جديدًا. مورّد جديد يخلق نقلًا جديدًا. قرارات المجلس تضيّق الإطار.

لهذا يعمل الامتثال بشكل أفضل حين يُدمج في عملية تطوير المنتج، بدلًا من تشغيله كمشروع لمرة واحدة. إذا أصبح تحديث الجرد عند إضافة حقل جديد جزءًا من مراجعة الكود، تستمر العملية بذاتها. وإلا، يبدأ العمل من جديد كل عام، ويتكرر خطأ الترتيب نفسه في كل مرة.