Table of Contents

توسيع إطار الامتثال للمراقبين الآيرلنديين للبيانات

إن حماية البيانات ليست صندوقاً ثابتاً للمراقبة التنظيمية، فهي التزام تشغيلي مستمر، إذ أن اللائحة العامة لحماية البيانات، التي تقترن بقانون حماية البيانات لعام 2018، تفرض التزامات محددة بشأن حقوق موضوع البيانات، وقد أوضحت اللجنة الآيرلندية لحماية البيانات أن إدارة هذه الحقوق على الوجه الصحيح مؤشر أساسي على الامتثال العام لوظيفة المراقب، مع وجود تعقيدات إضافية في حدود المملكة المتحدة فيما يتعلق بالالتزامات المتعلقة بموضوع البيانات.

فهم حقوق موضوع البيانات في إطار الناتج المحلي الإجمالي

ويورد الناتج المحلي الإجمالي ثمانية حقوق متميزة للأفراد على بياناتهم الشخصية، ولا يجب على المتحكمين الأيرلنديين أن يعرفوا ما يستتبعه كل حق فحسب، بل أيضا كيفية تطبيق الاستثناءات القانونية ومتطلبات التوقيت، كما أن الدراسة المتعمقة لكل حق، مصممة حسب المشهد التنظيمي الأيرلندي.

الحق في الوصول (المادة 15)

ويمكن لمواضيع البيانات أن تطلب تأكيد ما إذا كان المتحكم يقوم بتصنيف بياناته الشخصية، وإذا كان الأمر كذلك، الوصول إلى تلك البيانات إلى جانب المعلومات التكميلية مثل أغراض التجهيز، وفئات البيانات، والمتلقين، وفترات الاحتفاظ بها، وفي أيرلندا، تتوقع إدارة الشؤون السياسية من المتحكمين أن يقدموا نسخة من البيانات مجاناً ما لم يكن الطلب واضحاً أو مفرطاً، ويجب أن تقدم الردود دون تأخير لا مبرر له وفي غضون شهر واحد على الأقل من تلقي الطلبات المعقدة.

(ب) النصيحة العملية: وضع إجراء تشغيلي موحد يسجل تاريخ الاستلام ويتحقق من هوية مقدم الطلب، ويبحث في جميع النظم (آلية التنسيق، الموارد البشرية، محفوظات البريد الإلكتروني، إلخ)، ويعيد إصدار أي بيانات من الأطراف الثالثة إذا كان الكشف سيؤثر سلباً على ذلك الطرف الثالث.() وتوضح التوجيهات الشاملة التي تقدمها إدارة الشؤون السياسية بشأن طلبات الوصول ما هو أمر لا بد أن تؤكد عليه عملية البحث المعقول.

الحق في التصحيح (المادة 16)

ويمكن للأفراد أن يطلبوا من المتحكم تصحيح البيانات الشخصية غير الدقيقة دون تأخير لا مبرر له، ويشمل ذلك أيضاً الحق في استكمال البيانات الشخصية عن طريق تقديم بيان تكميلي، وينبغي أن يدمج المتحكمون الأيرلنديون سير العمل في نظم إدارة البيانات الخاصة بهم بحيث تُنقل التغييرات إلى جميع المجهزين والأطراف الثالثة التي تم تقاسم البيانات معها، وتتوقع إدارة الرعاية الاجتماعية من المنظمات أن توثق البيانات التنظيمية غير الدقيقة الأصلية أو السجلات الطبية، ولا سيما التصويب.

الحق في الإرغام (المادة 17)

وفي كثير من الأحيان، يُسمى الحق في النسيان، " الحق في النسيان " ، فإن الحق في الضبط ليس مطلقا، ومن أسباب الحق في التكتم البيانات التي لم تعد ضرورية للغرض الأصلي، أو لسحب الموافقة أو تجهيز البيانات بطريقة غير مشروعة، ولكن يمكن للتحكم في الحالات التي يكون فيها التجهيز ضروريا لممارسة حق حرية التعبير، أو الامتثال لالتزام قانوني، أو الصحة العامة، أو حفظ المصالح العامة، أو المطالبات القانونية.

ولا تُخطر الأطراف الأخرى التي تلقت البيانات بشيء من الشدة، إذ تشترط المادة 17 (2) على المتحكمين الذين جعلوا البيانات علنية اتخاذ خطوات معقولة لإعلام الجهات الرقابية الأخرى بتجهيز البيانات التي طلبها الفرد ضمان أي وصلات أو نسخ أو تكرارات، وهذا أمر له أهمية خاصة بالنسبة للمنابر الإلكترونية وشركات وسائط الإعلام الاجتماعية العاملة من أيرلندا.

الحق في تقييد التجهيز (المادة 18)

ويمكن للأفراد أن يطلبوا أن يقتصر التجهيز على التخزين فقط - دون استخدام آخر - وفقاً لشروط معينة: فالطعن في دقة البيانات، والتجهيز غير قانوني، ولكن ليس من المستصوب أن يُطلب من المراقب أن لا يحتاج إلى البيانات بعد الآن، بل يحتاج الفرد إلى المطالبة القانونية، أو أن يعترض الفرد على تجهيزها ريثما يتم التحقق من ذلك، ويجب على المتحكمين الأيرلنديين أن يسجلوا البيانات المقيدة في نظمهم وأن يكفلوا احترام القيود.

الحق في نقل البيانات (المادة 20)

ويسمح هذا الحق للأفراد بتلقي بياناتهم الشخصية في شكل منظم شائع الاستخدام، ويمكن قراءة الآلات، ونقل هذه البيانات إلى متحكم آخر دون عوائق، ولا تنطبق إلا عندما يكون التجهيز مستندا إلى الموافقة أو العقد ويتم بواسطة وسائل آلية، وينبغي أن يكفل المتحكمون الأيرلنديون إمكانية تصدير بياناتهم في نماذج التسجيل والتواصل والتدخلات غير المباشرة، وتوصي إدارة الشؤون السياسية بأن يسهل على القائمين على تجهيز بياناتهم من خلال تجهيزها.

الحق في الاعتراض (المادة 21)

ويمكن أن يعترض موضوع البيانات في أي وقت على تجهيزها على أساس المصالح المشروعة أو أداء مهمة يضطلع بها لصالح الجمهور، ويجب على المراقب أن يتوقف عن التجهيز ما لم يثبت وجود أسباب مشروعة ملزمة تلغي مصالح الفرد وحقوقه وحرياته، أو أن التجهيز يتعلق بمطالبات قانونية، أما بالنسبة للتسويق المباشر، فيجب أن يتوقف الحق في الاعتراض على التجهيز المطلق فور إثارة اعتراض، ويجب أن يكون لدى متحكمي الآيرلنديين آليات لتسويق الغرامات التي لا تزال تصدر،

الحقوق المتصلة بالقرار الآلي - الممارس والتفاهم (المادة 22)

ويحق للأفراد عدم التعرض لقرار يستند فقط إلى التجهيز الآلي، بما في ذلك التنميط، الذي ينتج آثارا قانونية أو يؤثر تأثيراً كبيراً على هؤلاء الأشخاص، ويطبق الاستثناءات إذا كان القرار ضرورياً للتعاقد، ويأذن به القانون الآيرلندي أو الاتحاد الأوروبي، أو يستند إلى موافقة صريحة، ويجب على المراقب المالي في قطاعات مثل التأمين أو التكرير الائتماني أو التجنيد أن يكفل الشفافية في نظمه الآلية، وأن يُفسر ذلك، وأن يخضع لتقييمات البشرية.

بناء إطار إدارة حقوق الأشخاص

ومن مخاطر الامتثال اتباع نهج قائم على أساس مخصص إزاء طلبات الحقوق، وينبغي أن يعتمد المتحكمون الأيرلنديون إطاراً منظماً يدمج في إدارة البيانات العامة، والمكونات التالية أساسية.

الحوكمة والمساءلة

(ب) تعيين صاحب كبير - في كثير من الأحيان موظف حماية البيانات إذا كان مطلوباً - يكون مسؤولاً عموماً عن إدارة الحقوق، وينبغي أن يكون لدى مدير الشرطة إمكانية الوصول المباشر إلى أعلى مستوى إداري وسلطة كافية لإنفاذ الإجراءات، وفي أيرلندا، فإن المادة 50 من قانون حماية البيانات لعام 2018 تتطلب من بعض المتحكمين تعيين موظف مختص بالمكافحة؛ ورؤية توجيهات إدارة الشؤون السياسية بشأن الامتثال الواضح] للمعايير.

وضع السياسات والإجراءات

`4` وضع سياسة مكرسة لحقوق موضوع البيانات تحدد عمليات كل حق، بما في ذلك الجداول الزمنية، ونقاط التصعيد، وخطوات التحقق، ومتطلبات التوثيق، وينبغي استعراض هذه السياسة سنوياً وبعد أي تغيير هام في أنشطة التجهيز أو تحديثات اللوائح التنظيمية، ووضع نماذج للاستجابة، والأشكال الداخلية للطلبات لضمان الاتساق، أما بالنسبة للضوابط الآيرلندية، فينظر في إدراج فرع عن معالجة الطلبات المقدمة من الأفراد في المملكة المتحدة في إطار الناتج المحلي الإجمالي للمملكة المتحدة، بينما يتم مواءمة النظامين الأدنى والأدنى، حيث وجود اختلافات الدنيا.

تدريب الموظفين وتوعيتهم

وكل موظف يتولى دعم شخصي من جانب المتاجرين، وهو الموارد البشرية، وتكنولوجيا المعلومات، وتسويق المعلومات، يتم تدريبه على الاعتراف بطلب حقوق موضوع البيانات عند وصوله، بغض النظر عن القنوات، ولا يزال الطلب الشفوي الذي يقدم أثناء مكالمة هاتفية طلباً صحيحاً، ويتعين على الموظفين أن يقدموا الطلب فوراً إلى الفريق المعين، وألا يحاولوا التعامل معه بأنفسهم، وتتوقع إدارة تنسيق السياسات أن تسجل سجلات التدريب؛ والنظر في استخدام نماذج إلكترونية للتعلم وإعادة التدريب السنوية.

التكنولوجيا والأدوات

ويصبح تجهيز طلبات الحقوق يدوياً غير قابل للاستدامة على نطاق واسع، إذ أن الاستثمار في منبر إدارة الخصوصية يسجل الطلبات ويتتبع المواعيد النهائية ويرسل رسائل إلكترونية للتعرف على المعلومات آلياً ويدمج مع قائمة بياناتكم، وبالنسبة للمراقبين الأيرلنديين، فإن الأدوات التي تدعم متطلبات الإخطار بالتنفس التي وضعتها إدارة تنسيق السياسات هي مكافأة، وإذا كانت الميزانيات محدودة، فإن حتى صحيفة بيانات مشتركة تتضمن نماذج مشروطة يمكن أن تعمل بشكل منتظم على الوصول إلى نظم المعلومات الشخصية الخاضعة للمراقبة والإمكانية.

الاتصال والشفافية

ويجب أن يشرح إشعارك الخاص كل حق بلغة بسيطة وأن يقدم تعليمات واضحة بشأن كيفية ممارسة هذا الحق، وقد نشرت إدارة شؤون الإعلام مبادئ توجيهية بشأن إشعارات الخصوصية ] التي تشدد على الإيجاز والشفافية والوصول السهل، والنظر في شكل شبكي مخصص أو عنوان بريد إلكتروني لطلبات الحقوق، والاعتراف بالاستلام في غضون 48 ساعة.

الرصد ومراجعة الحسابات والتحسين المستمر

مراجعة عمليات إدارة حقوقكم بانتظام - مقاييس تتبع مثل عدد الطلبات شهريا، ومتوسط وقت الاستجابة، ونسبة الطلبات المجيبة في غضون الموعد النهائي القانوني، والأسباب المشتركة للرفض، واستخدام هذه القياسات لتحديد الاختناقات - مثلا، إذا استغرقت طلبات الوصول 30 يوما بسبب صعوبة استرجاع البيانات القديمة، والاستثمار في تحسينات رسم الخرائط، وقد تطلب إدارة الشؤون السياسية هذه السجلات خلال التحقيق.

الامتثال للالتزامات القانونية الآيرلندية والتوقعات التي حددتها إدارة الشؤون السياسية

وإلى جانب الناتج المحلي الإجمالي نفسه، يجب على المتحكمين الأيرلنديين أن يراعوا قانون حماية البيانات لعام 2018 ومدونات الممارسة القانونية لإدارة تنسيق السياسات، وهناك عدة نقاط ذات أهمية خاصة.

التحقق من الهوية

وبموجب المادة 12 (6)، يجوز لمراقب أن يطلب معلومات إضافية ضرورية لتأكيد هوية الشخص الذي يقدم الطلب، ومن الناحية العملية، تتوقع إدارة الشؤون السياسية أن تكون عمليات التحقق من الهوية متناسبة مع حساسية البيانات، ومن أجل طلب الحصول المعتاد، يكون طلب الحصول على نسخة من جواز السفر أو رخصة القيادة مقبولا عموما، ولكن بالنسبة للبيانات الأقل خطورة، قد يكون من الممكن أن تُحدَّد فيما بعد طريقة أبسط مثل طرح الأسئلة الأمنية أو تأكيد عنوان بريد إلكتروني.

رسوم وطلبات غير مبررة أو زائدة

ويجب توفير المعلومات بموجب المواد ١٥-٢٢ مجانا، ولا يجوز للمراقبين فرض رسوم معقولة أو رفض التصرف إلا إذا كان الطلب غير مبرر بشكل واضح أو مفرط، ولا سيما إذا كان تكرارا، وعبء الإثبات يقع على عاتق المراقب، وقد حذرت إدارة الشؤون السياسية من رفض الطلبات بصورة شاملة؛ ويجب تقييم كل حالة على حدة، وإذا ما تم فرض رسم، يجب أن يستند إلى التكلفة الإدارية لتقديم المعلومات أو الاتصال.

المواعيد النهائية للتظلم وتمديدها

ويبدأ ساعة الشهر الواحد عندما يتلقى المراقب الطلب وجميع المعلومات اللازمة عن الهوية، وإذا طلب المراقب توضيحا، يمكن تأجيل الساعة إلى حين رد الشخص، وتفسر إدارة الشؤون السياسية " دون تأخير لا مبرر له " تفسيرا دقيقا؛ وحتى في غضون أيام قليلة قد يكون التأخير دون مبرر غير ممتثل، ويجوز استخدام فترة الشهرين الممتدة، ولكن على المراقب أن يخطر الفرد في غضون الشهر الأول.

آثار عدم الامتثال

وقد فرضت إدارة الشؤون السياسية غرامات كبيرة على الإخفاقات المتصلة بحقوق موضوع البيانات، وفي عام 2023، فرضت إدارة الشؤون السياسية غرامة قدرها 91 مليون يورو على شركة تكنولوجية كبيرة بسبب الانتهاكات، بما في ذلك عدم الاستجابة الكافية لطلبات الوصول، كما أن المتحكمين الأيرلنديين من جميع الأحجام يخضعون لنفس المبادئ، وبالإضافة إلى ذلك، يحق للأفراد المطالبة بالتعويض عن الأضرار المادية أو غير المادية الناجمة عن عدم امتثال أحد المراقبين لإجراءات صارمة.

أمثلة عملية من السياق الأيرلندي

مثال: معالجة طلب الوصول في شركة التجزئة

ويتلقى المتاجر الأيرلندي على شبكة الإنترنت طلباً للحصول على المعلومات من أحد العملاء، إذ توجد بيانات العميل في برنامج التجارة الإلكترونية، وآلية إدارة المخاطر المؤسسية، وبرامج التسويق الإلكتروني، ونظام الإدارة المتروكة: (1) التحقق من الهوية عن طريق البريد الإلكتروني ورقم الطلب (2)، وضع مهلة 30 يوماً، و(3) بيانات عن تاريخ كل نظام من نظم الفرز الإلكتروني (4).

مثال: الموازنة بين تدابير الرضا مع الاحتجاز القانوني

ويطالب موظف سابق في شركة إيرلندية للبدء في التكنولوجيا بتأمين جميع البيانات الشخصية، وتدرك إدارة الموارد البشرية أنه يجب الاحتفاظ بسجلات التوظيف لمدة سبع سنوات بموجب قانون الحدود الآيرلندي لعام 1957، ولا يمكن للمراقب أن يمسح جميع البيانات، وبالتالي فإنه يقيد التجهيز: إذ تُحتفظ بيانات الموظف السابق بالامتثال القانوني، ولكن يُعرف بأنها " لا تستخدم لأي غرض آخر " .

خاتمة

إن إدارة حقوق الأشخاص الخاضعين للبيانات على نحو فعال ليست مجرد مسألة وضع علامة على وجود صندوق امتثال، بل هي عملية مستمرة تتطلب إدارة واضحة، وإجراءات موثقة جيدا، وموظفين مدربين، وتكنولوجيا صحيحة، وترصد لجنة حماية البيانات بفعالية كيفية معالجة المتحكمين لطلبات الحقوق، وهي مستعدة لإنفاذ القانون - بما في ذلك الغرامات الكبيرة - عندما تكون الممارسات ذات الخطورة، وتستحق المنظمات المعنية بالبيانات حقوقاً في أطرها الخاصة لإدارة الأسهم، وتعالج كل طلب