كيف يمكن للمنصات الرقمية الأيرلندية ضمان الامتثال لقوانين البيانات

استراتيجيات الامتثال الأساسية للمنابر الرقمية الآيرلندية

ويتطلب وضع إطار للامتثال يفي بالمعايير التي حددها الناتج المحلي الإجمالي وقانون حماية البيانات لعام 2018 اتباع نهج منهجي، وتمثل الاستراتيجيات التالية الدعائم الأساسية لبرنامج فعال للامتثال للبيانات للمنابر الرقمية الآيرلندية.

1 - وضع سياسات بيانات شفافة وميسرة

والشفافية مبدأ أساسي من مبادئ الناتج المحلي الإجمالي، إذ تنص المادة 12 على أن تقدم جميع المعلومات عن تجهيز البيانات الشخصية في شكل موجز وشفاف وغير قابل للاستعمال ويسهل الوصول إليه باستخدام لغة واضحة وسليمة، ويعني ذلك بالنسبة للمنابر الرقمية أن الإشعارات الخاصة وسياسات الكعك وشروط الخدمة لا يمكن دفنها خلف جراغون قانوني معقد أو في صفحات غير مرئية من المنبر.

وينبغي أن تشمل سياسة الخصوصية المتوافقة على الأقل العناصر التالية:

• تفاصيل هوية وملامسة متحكم البيانات
• الأغراض والأساس القانوني لكل نشاط من أنشطة التجهيز
• فئات البيانات الشخصية التي يجري تجهيزها
• المتلقين أو فئات المستفيدين من البيانات
• تفاصيل أي نقل للبيانات إلى بلدان ثالثة
• فترة الاستبقاء أو المعايير المستخدمة لتحديد الاحتفاظ
• الحقوق المتاحة لمواضيع البيانات
• الحق في سحب الموافقة في أي وقت
• الحق في تقديم شكوى إلى إدارة الشؤون السياسية

وينبغي للمنبر أن تستعرض سياساتها الخاصة سنوياً على الأقل، وعندما تتغير أنشطة التجهيز، فإن السياسة الثابتة التي لا تعكس الممارسات الحالية هي في حد ذاتها مخاطر الامتثال، وبالإضافة إلى ذلك، ينبغي للمنابر أن تنظر في إشعارات مفصَّلة توفر موجزاً رفيع المستوى للقراءة السريعة، مع توفير معلومات مفصلة للمستعملين الذين يرغبون في حفر أعمق.

2 - الموافقة على المستعمل المفروض

فالموافقة هي أحد القواعد القانونية الست للتجهيز بموجب المادة 6 من الناتج المحلي الإجمالي، وهي ذات أهمية خاصة بالنسبة للمنابر الرقمية التي تعتمد على مشاركة المستخدمين، والشخصية، والإعلان، غير أن الناتج المحلي الإجمالي يفسح المجال للموافقة الصحيحة، ويجب أن يعطى الموافقة بحرية، وتحديدها، وعلمها، وغير غامضة، ويجب أن تمنحها صناديق واضحة للعمل الإيجابي، أو الصمت، أو عدم الفعالية، لا تشكل موافقة صحيحة.

كما يجب أن تمتثل البرامج الرقمية الأيرلندية لتوجيهات السلامة الإلكترونية، التي تنفذ في أيرلندا عن طريق الجماعات الأوروبية (شبكات وخدمات الاتصالات الإلكترونية) (النظام الخاص بالعلم والاتصالات الإلكترونية) لعام 2011، بصيغته المعدلة، وينظم هذا التشريع استخدام البسكويت وتكنولوجيا التتبع والتسويق الإلكتروني، وبموجب هذه القواعد، يجب أن تحصل المنابر على موافقة مسبقة قبل تخزين أو الحصول على البسكويت غير الأساسي على فئات من المستخدمين(ب)(8217).

وتتطلب إدارة الموافقة بفعالية منابر إدارة الموافقة القوية التي تسجل أفضليات فرادى المستعملين، وتوفر آليات للانسحاب، وتحافظ على مسارات مراجعة الحسابات، وينبغي أن يدمج نظام إدارة الموافقة بلاسة مع المنبر رقم 8217؛ والهياكل الأساسية التقنية وتحديث السجلات كلما تغير المستعمل من أفضلياته.

3 - تنفيذ تدابير شاملة لأمن البيانات

وتقتضي المادة 32 من الناتج المحلي الإجمالي من مجهزي البيانات أن ينفذوا التدابير التقنية والتنظيمية المناسبة لضمان مستوى من الأمن يتناسب مع المخاطر، ويترجم ذلك بالنسبة للمنابر الرقمية الأيرلندية إلى استراتيجية أمنية متعددة المستويات تشمل التشفير، ومراقبة الدخول، وكشف الاقتحام، والتخطيط لمواجهة الحوادث.

فالتشفير هو أحد أكثر الأدوات فعالية لحماية البيانات الشخصية، وينبغي للمنبر أن يشفّر البيانات في كل من الراحة والعبور، باستخدام بروتوكولات معيارية للصناعة مثل AES-256 للبيانات المخزنة و TLS 1.3 للبيانات العابرة، وينبغي أن تتبع ضوابط الوصول مبدأ أقل الامتيازات، وأن تكفل فقط للأفراد المأذون لهم الحصول على البيانات الشخصية، ولا يمكن أن تكون لأغراض تجارية مشروعة، وينبغي أن تكون عمليات التوثيق المميز المتعددة إلزامية لأي نظام.

وبالإضافة إلى التدابير التقنية، فإن التدابير التنظيمية لها نفس القدر من الأهمية، وينبغي للمنبرات أن تضع سياسات واضحة للوصول إلى البيانات، والاحتفاظ بالبيانات، والتخلص من البيانات، كما أن عمليات تقييم الضعف واختبار الاختراق المنتظم تساعد على تحديد نقاط الضعف قبل استغلالها، كما ينبغي للمنبر أن تضع وتختبر خطة للاستجابة للحوادث تحدد إجراءات الكشف عن انتهاكات البيانات واحتوائها والإبلاغ عنها، وبموجب المادة 33، يجب على البرامج أن تخطر إدارة تنسيق السياسات بأي خرق قد يؤدي إلى خطر على الأفراد بأن يصبحوا في غضون ساعات من الخطر.

4 - إجراء تقييمات لأثر حماية البيانات

(أ) تقييم أثر حماية البيانات عملية منهجية لتحديد المخاطر المتعلقة بحماية البيانات والتخفيف منها، إذ تتطلب المادة 35 من الناتج المحلي الإجمالي إدارة الشؤون الاقتصادية والاجتماعية كلما كان من المرجح أن تؤدي عملية التجهيز إلى مخاطر كبيرة على حقوق الأفراد وحرياتهم، ويشمل ذلك، بالنسبة للمنابر الرقمية الآيرلندية، أنشطة مثل التنميط الواسع النطاق، وصنع القرارات آليا، وتجهيز البيانات الخاصة من الفئة على نطاق واسع، والرصد المنهجي للمناطق التي يمكن الوصول إليها للجمهور.

وتوفر إدارة الشؤون السياسية فوائد متعددة، وتساعد على تحديد المخاطر في وقت مبكر، وتصميم التخفيف المناسب، وتثبت المساءلة أمام إدارة الشؤون السياسية، كما أنها تقلل من احتمال اتخاذ إجراءات الإنفاذ عن طريق إظهار أن المنبر قد اتخذ نهجا استباقيا قائما على المخاطر إزاء الامتثال، وينبغي توثيق اتفاق السلام في دارفور في تقرير منظم يتضمن وصفا للتجهيز، وتقييما للضرورة والتناسب، وتحليلا للمخاطر، والتدابير المقترحة للتصدي لتلك المخاطر.

وينبغي ألا تعامل البرامج إدارة الشؤون السياسية باعتبارها عملية غير مباشرة، وينبغي استعراضها وتحديثها كلما حدثت تغييرات هامة في نشاط التجهيز أو في الإطار القانوني، وبالنسبة للمنابر التي تعمل على نطاق واسع، فإن الإبقاء على برنامج متجدد لاتفاقات الاستثمار في مختلف أنشطة التجهيز هو علامة على وجود وظيفة امتثال ناضجة.

5- وضع إجراءات بشأن حقوق موضوع البيانات

ويمنح الناتج المحلي الإجمالي الأفراد مجموعة من الحقوق على بياناتهم الشخصية، تشمل الحق في الوصول (المادة 15)، والحق في التصحيح (المادة 16)، والحق في الحق في التمدد (المادة 17)، والحق في تقييد التجهيز (المادة 18)، والحق في نقل البيانات (المادة 20)، والحق في الاعتراض (المادة 21)، ويجب أن تكون للمنابر الرقمية الآيرلندية إجراءات فعالة للاستجابة لهذه الطلبات في غضون فترة التمديد الممكنة لمدة شهر واحد.

وتتطلب الاستجابة لطلبات البيانات المتعلقة بموضوعات التنسيق بين أفرقة متعددة، بما في ذلك الدعم القانوني والمنتج والهندسي والعملاء، وينبغي للمنبر أن تنشئ نظاما مركزيا لتلقي الطلبات وتتبعها وتجهيزها، ويمكن أن تساعد الأدوات الآلية على التحقق من هوية مقدم الطلب، وطلبات توجيه الطلبات إلى الفريق المناسب، ورصد أوقات الاستجابة، كما ينبغي للمنبر أن تحتفظ بسجلات لجميع الطلبات الواردة وكيفية معالجتها، حيث أن هذه السجلات قد تطلبها إدارة تنسيق الشؤون السياسية أثناء التحقيق.

والحق في الحق في التمديد، الذي كثيرا ما يسمى بالحق في النسيان، هو أحد الحقوق التي تمارس في أغلب الأحيان، ويتطلب منابر لحذف البيانات الشخصية دون تأخير لا مبرر له عندما تنطبق شروط معينة، مثل عندما لا تعد البيانات ضرورية لغرض جمعها، أو عندما يسحب الفرد الموافقة وليس هناك أساس قانوني آخر للتجهيز، غير أن الحق ليس مطلقا، ويجب على المنهاج أن تقيِّم كل طلب من الاستثناءات المنصوص عليها في المادة 17، التي تشمل التجهيز اللازم.

6 - إدارة عمليات نقل البيانات الدولية

ويجب أن تمتثل البرامج الرقمية الآيرلندية التي تنقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية للقواعد المتعلقة بنقل البيانات الدولية الواردة في الفصل الخامس من الناتج المحلي الإجمالي. ويتمثل الشرط الرئيسي في أن عمليات النقل لا يمكن أن تتم إلا إذا كان البلد المستقبل يكفل مستوى ملائما من حماية البيانات، أو إذا توافرت ضمانات مناسبة.

وتصدر المفوضية الأوروبية قرارات بشأن الكفاية وتؤكد أن بلداً غير تابع للوكالة الأوروبية للطاقة الذرية يوفر مستوى من حماية البيانات يعادل أساساً مستوى الاتحاد الأوروبي، واعتباراً من عام 2025، اعتمدت قرارات بشأن مدى كفاية البلدان، بما فيها اليابان وكوريا الجنوبية والمملكة المتحدة، وبموجب إطار الاتحاد الأوروبي - الولايات المتحدة لخصوصية البيانات، منظمات معتمدة في الولايات المتحدة، وفيما يتعلق بالتحويلات إلى بلدان لا يوجد فيها قرار كاف، يجب أن تعتمد البرامج على ضمانات مناسبة مثل قواعد السلوك الاعتيادي الموحد.

وقد أبرزت محكمة العدل للاتحاد الأوروبي رقم 8217؛ وأصدرت حكماً في قضية [(FLT:0] Schrems II ] (20) أهمية إجراء تقييم لأثر النقل، وعند الاقتضاء، تنفيذ تدابير تكميلية لضمان مستوى معادٍ أساساً للحماية.() ويجب على البرامج الرقمية الآيرلندية التي تستخدم هذه البلدان تقييم البيئة القانونية للبلد المستقبل، وتتضمن نتائجها التعاقدية تدابير الحماية التكميلية.

وبالنسبة للعديد من البرامج الآيرلندية، فإن استخدام الخدمات السحابية خارج منطقة شرق أوروبا هو سيناريو شائع، وفي هذه الحالات، يجب أن يكفل المزود السحابي توفير ضمانات تعاقدية كافية وأن تظل البيانات محمية طوال دورة حياتها، وينبغي أن تسعى الأجهزة المعنية بنقل البيانات إلى آليات قانونية متخصصة.

الامتثال التشغيلي: مراجعة الحسابات والتدريب وحفظ السجلات

وبالإضافة إلى الأطر الاستراتيجية المذكورة أعلاه، فإن الامتثال التشغيلي اليومي أمر أساسي للحفاظ على وضع متوافق مع الزمن، وثلاثة دعائم تشغيلية - نظام تدريبي، ومسك سجلات - تشكل العمود الفقري لبرنامج فعال للامتثال.

مراجعة البيانات واستعراضات الامتثال المنتظمة

وتمثل مراجعة البيانات دراسة منهجية لما هو موجود في نظام البيانات الشخصية، وكيفية جمعه، وكيفية استخدامه، ومن يتقاسمه، وتساعد عمليات المراجعة المنتظمة على تحديد الثغرات في الامتثال، وتقييم ممارسات تقليل البيانات، والتحقق من أن أنشطة التجهيز تتماشى مع البرنامج(ب) 817؛ والسياسات الموثقة، وتتوقع إدارة عمليات حفظ السلام منبراً لإجراء عمليات مراجعة الحسابات على فترات منتظمة، وإعداد تقارير خطية تتضمن النتائج والتوصيات وخطط الإصلاح.

وينبغي أن تتجاوز عمليات استعراض الامتثال عملية وضع البيانات، وينبغي أن تقيّم فعالية آليات الموافقة، ومدى كفاية الضوابط الأمنية، ودقة الإشعارات المتعلقة بالخصوصية، وينبغي للمنبر أيضاً أن تستعرض عقودها مع مجهزي البيانات من طرف ثالث لضمان إدراج الشروط الإلزامية التي تقتضيها المادة 28 من الناتج المحلي الإجمالي. ويجب أن يحدد عقد المعالج موضوع التجهيز ومدته، وطبيعة التجهيز والغرض منه، ونوع البيانات الشخصية، والتزامات وحقوق المتحكم.

وينبغي زيادة نتائج مراجعة الحسابات إلى الإدارة العليا، وعند الاقتضاء إلى مجلس الإدارة، فإن ثقافة التحسين المستمر - حيث تؤدي عمليات مراجعة الحسابات إلى اتخاذ إجراءات ملموسة - هي علامة بارزة في منظمة ممتثلة.

برامج تدريب الموظفين وتوعيتهم

ولا تقع مسؤولية حماية البيانات على عاتق فريق قانوني أو مدير شرطة، فكل موظف يتولى البيانات الشخصية له دور يؤديه في الامتثال، إذ أن مبدأ المساءلة يتطلب منابر لضمان فهم الموظفين لالتزاماتهم ومجهزين للوفاء بها، والتدريب المنتظم الذي يُعنى به دور محدد هو أكثر السبل فعالية لتحقيق ذلك.

وينبغي أن تشمل برامج التدريب المبادئ الأساسية لحماية البيانات وحقوق مواضيع البيانات، والمنبر رقم 8217، والسياسات الداخلية، وإجراءات الإبلاغ عن خرق البيانات، وينبغي أن يتلقى الموظفون الذين يصممون المنتجات أو يكتبون الرموز تدريبا إضافيا بشأن حماية البيانات عن طريق التصميم والتخلف عن السداد، وتحتاج أفرقة البيع والتسويق إلى توجيه واضح بشأن شروط الموافقة وقواعد التسويق المباشرة.

وينبغي إعادة تأهيل التدريب سنويا على الأقل، وتسجيل الحضور وتوثيقه، وتعتبر إدارة شؤون الإعلام تدريب الموظفين عاملاً ذا صلة عند تقييم ما إذا كانت منظمة ما قد اتخذت خطوات معقولة للامتثال للقانون، وينبغي للمنبر أيضاً أن تنظم حملات توعية دورية - مثل المحاكاة أو النشرات الإخبارية لحماية البيانات - لإبقاء الامتثال في ذهنه طوال العام.

:: الاحتفاظ بسجلات أنشطة تجهيز الوثائق

وتقتضي المادة 30 من الناتج المحلي الإجمالي من كل متحكم ومجهز أن يحتفظ بسجل لأنشطة التجهيز، وهذا السجل ليس شكلا بيروقراطيا؛ وهو أداة عملية تساعد على وضع خرائط لتدفقات بياناتها وتقييم المخاطر والاستجابة لطلبات مواضيع البيانات، ويجب أن يتضمن السجل اسم المتحكم وتفاصيل الاتصال الخاصة به، وأغراض التجهيز، ووصف فئات المواد والبيانات الشخصية، وفئات المتلقين، وتفاصيل الفترات المحتملة.

وبالنسبة للمنابر الرقمية الآيرلندية، فإن الاحتفاظ بسجل مستكمل لأنشطة التجهيز هو دليل واضح على المساءلة، وقد تطلب إدارة الشؤون السياسية هذا السجل أثناء التحقيق، وعدم الإبقاء عليه يمكن أن يؤدي إلى إجراءات إنفاذ منفصلة، وينبغي للمنبرات أن تستخدم شكلا منظما، مثل صحيفة بيانات أو أداة مكرسة لإدارة حماية البيانات، وأن تسند الملكية للحفاظ على السجل وتحديثه.

آثار عدم الامتثال

وترتفع قيمة المخاطر المتعلقة بعدم الامتثال، إذ يمكن أن تخول سلطة الإشراف فرض غرامات إدارية على مستويين، ويغطي المستوى الأدنى انتهاكات الالتزامات المتعلقة بالضوابط والمجهزين، ومتطلبات هيئات التصديق، والتزامات هيئات الرصد، ويمكن أن تصل الغرامات على هذا المستوى إلى ما يزيد عن 10 ملايين يورو أو 2 في المائة من إجمالي الدور السنوي للسنة المالية السابقة، ويطبق المستوى الأعلى على إجراءات الموافقة الأكثر خطورة، بما في ذلك شروط التحويل الأساسية(ب)

وبالإضافة إلى العقوبات المالية، ينطوي عدم الامتثال على مخاطر كبيرة تتعلق بالسمعة، إذ إن انتهاكات البيانات وإجراءات الإنفاذ تجتذب اهتمام وسائط الإعلام وتضعف ثقة المستعملين، وفي سوق رقمية أكثر تنافسا، يمكن أن تؤدي السمعة السيئة لحماية البيانات إلى تقلص عدد العملاء، وصعوبة اجتذاب المواهب، والتحديات في مجال زيادة الاستثمار، وبالنسبة للمنابر التي تعتمد على المحتوى الذي يولده المستخدم، أو على إيرادات الإعلان، أو نماذج الاشتراك، فإن الثقة هي رصيد تجاري حاسم.

وبالإضافة إلى ذلك، يمكن أن يؤدي عدم الامتثال إلى أوامر تنظيمية تقيد أنشطة التجهيز أو تحظرها، وتملك إدارة الشؤون السياسية صلاحية فرض حظر مؤقت أو دائم على التجهيز، مما يتطلب منابر لتعليق العمليات التي يثبت عدم امتثالها، ويمكن أن تترتب على هذه الأوامر عواقب تنفيذية فورية وشديدة، ولا سيما بالنسبة للمنابر التي تعتمد على تجهيز البيانات بصورة مستمرة بالنسبة لنموذجها الأساسي للأعمال التجارية.

بناء ثقافة الامتثال

إن تحقيق الامتثال للقانون الآيرلندي لحماية البيانات ليس مشروعاً له تاريخ نهائي ثابت؛ فهو التزام مستمر يجب أن يُدمج في ثقافة المنبر وعملياته، وأكثر النهج نجاحاً هو النهج الذي لا يعتبر الامتثال عبئاً بل ميزة تنافسية، فالمنابر التي تعالج البيانات الشخصية تكسب ثقة مستخدميها على نحو مسؤول، وتميز نفسها في السوق، وتخفف من تعرضها للمخاطر التنظيمية.

ويتطلب بناء ثقافة الامتثال التزام القيادة من أعلى المنظمة، ويجب على الإدارة العليا تخصيص موارد كافية لوظيفة الامتثال، ودعم مكتب المدعي العام، والممارسات النموذجية الجيدة لحماية البيانات، ويجب أن يكون لوظيفة الامتثال إمكانية مباشرة للوصول إلى صانعي القرار، ويجب تمكينها من الطعن في الممارسات التي تشكل مخاطر على حماية البيانات.