استشارات GDPR للشركات والمكاتب المهنية

أصبحت الخصوصية مسؤولية مؤسسية

لقد غيّرت لائحة الاتحاد الأوروبي 2016/679 (GDPR)، السارية مباشرة منذ 25 مايو 2018، الطريقة التي يجب على كل شركة أن تتعامل بها مع البيانات الشخصية للموظفين والمورّدين والعملاء والشركاء. تتولى Xion IT Group من أجلكم إدارة جميع الوثائق والمتطلبات، جامعـةً بين الخبرة القانونية-التنظيمية والخبرة التقنية المعلوماتية، لأن حماية البيانات اليوم تتحقق قبل كل شيء على مستوى الأنظمة.

المحوران الأساسيان للائحة

1. مسؤولية المتحكم (accountability): يجب أن تكون الشركة قادرة على إثبات أنها تعالج البيانات بما يتوافق مع المتطلبات، من خلال تدابير تقنية وتنظيمية مناسبة.
2. تعزيز حقوق صاحب البيانات: الوصول، والتصحيح، والمحو، وقابلية نقل البيانات — أصبح للأفراد تحكم أكبر في بياناتهم، وعلى الشركة أن تكون قادرة على الاستجابة.

المبادئ الستة لحماية البيانات

يجب أن تحترم كل عملية معالجة ستة مبادئ، ولكل منها التزامات تنظيمية وأمنية محددة:

• المشروعية والإنصاف والشفافية
• تحديد الغرض
• تقليل البيانات إلى الحد الأدنى
• الدقة
• تحديد مدة الاحتفاظ
• السلامة والسرية

منهجيتنا: الامتثال في 5 مراحل

1. التوعية - نشر معرفة GDPR داخل الشركة، بدءًا بمن يعالجون البيانات يوميًا.
2. حصر البيانات - تكوين صورة دقيقة للوضع الحالي: ما البيانات، وأين توجد، ومن يصل إليها، وما المخاطر.
3. خطة التدخل - تحديد الإجراءات التصحيحية مع إشراك المسؤولين عن التنفيذ.
4. التنفيذ - تطبيق الخطة ضمن أطر زمنية محددة، من السياسات إلى التدابير التقنية.
5. الإدارة والتحسين - رقابة مستمرة ومراجعة دورية للنظام، لأن الامتثال يجب الحفاظ عليه مع الوقت.

لماذا مع Xion

يخبركم المستشار القانوني بما يجب فعله؛ أما نحن فننفّذ أيضًا كيف يتم ذلك: التشفير، والنسخ الاحتياطي، والتحكم في الوصول، وأمن الشبكة ومحطات العمل. ومع جهة واحدة للتواصل، يصبح امتثال GDPR جزءًا طبيعيًا من إدارة تقنية المعلومات في شركتكم.

ما الذي تحصلون عليه عمليًا

يُثبت الامتثال بالوقائع — وبالوثائق أيضًا. في نهاية مسار الامتثال، تمتلك الشركة ما يلي:

• سجل المعالجات كامل وقابل للصيانة؛
• إشعارات وموافقات صحيحة للعملاء والموظفين والمورّدين والموقع الإلكتروني؛
• تعيينات وخطابات تكليف لمن يعالجون البيانات، داخليًا وخارجيًا؛
• تقييمات للمورّدين (المعالجون وفق المادة 28) وبنود تعاقدية؛
• إجراءات تشغيلية — إدارة حقوق أصحاب البيانات، وخرق البيانات، والاحتفاظ؛
• DPIA حيث تتطلبها أنشطة المعالجة؛
• تدابير تقنية متحقق منها — الوصول، والتشفير، والنسخ الاحتياطي، والسجلات: ليست مجرد تصريحات، بل مطبقة فعليًا؛
• تدريب موثق للموظفين.

والأهم من ذلك: نظام قابل للاستمرار، لأن الامتثال الذي يعيش فقط داخل ملف ورقي ينهار عند أول تدقيق.

من الملزم بماذا

أكثر الالتباسات شيوعًا هو الاعتقاد بأن اللائحة تخص الشركات الكبيرة فقط. هذا غير صحيح: فهي تنطبق على كل من يعالج بيانات شخصية، وجميع الشركات تعالج بيانات شخصية لأنها تضم موظفين. وما يتغير بحسب الحجم ونوع البيانات ليس الالتزام نفسه، بل التدابير المتناسبة.

هناك ثلاثة أدوار يجب التمييز بينها، لأن يوم وقوع المشكلة يحدد من كان يجب عليه أن يفعل ماذا.

المتحكم في المعالجة هو الشركة: فهي التي تقرر لماذا وكيف تُستخدم البيانات، وتظل مسؤولة أمام السلطة المختصة. هذه المسؤولية لا يمكن تفويضها — يمكن إسناد التنفيذ، لا تحميل الغير مسؤولية الرد.

المعالج هو الجهة التي تعالج البيانات نيابة عن المتحكم: مزوّد نظام الإدارة، أو الجهة التي تستضيف الخوادم، أو من يقدم الدعم التقني. ويجب تنظيم العلاقة بعقد مكتوب يحدد ما يمكنه فعله وما لا يمكنه فعله. وهو مستند تكتشف شركات كثيرة أنها لا تملكه إلا عندما يُطلب منها.

مسؤول النظام هو من يملك صلاحيات وصول تقنية مميّزة. ويجب تعيينه كتابيًا وتسجيل عملياته: وهذا متطلب إيطالي محدد، سابق على اللائحة وما زال ساريًا.

اثنتان وسبعون ساعة

إذا وقع انتهاك يترتب عليه خطر على الأفراد، فيجب إبلاغ السلطة المختصة خلال اثنتين وسبعين ساعة من وقت العلم به. وهذا هو الأجل الذي يثير أكبر قدر من القلق، وغالبًا للسبب الخطأ.

ليست المشكلة في الأجل نفسه، بل في أن الساعات الاثنتين والسبعين الأولى، من دون استعداد مسبق، تُستهلك في فهم ما حدث، فيُقدَّم الإخطار بمعلومات ناقصة أو لا يُقدَّم أصلًا. وهناك ثلاثة أمور تجعل هذا الموعد قابلًا للإدارة، ويجري إعدادها مسبقًا وبتكلفة محدودة:

• معرفة أماكن البيانات وماهيتها، وهذا بالضبط ما يلزم لتحديد ما إذا كان الانتهاك يتعلق ببيانات شخصية وأي بيانات هي؛
• وجود سجلات مفعّلة، لأنه من دون آثار لا يمكن إعادة بناء ما حدث؛
• معرفة صاحب القرار، أي من يقيّم المخاطر ويوقّع الإخطار، من دون الاضطرار إلى تحديد ذلك بينما تكون الشركة متوقفة.

ويجب القول أيضًا إن ليس كل انتهاك يستوجب الإخطار: فإذا كان الخطر على الأفراد غير مرجح — مثلًا في حالة فقدان حاسوب محمول مع قرص مشفّر — فقد تنتهي عملية التقييم إلى نتيجة مختلفة. لكن يجب إجراء هذا التقييم وتوثيقه، ويظل تشفير القرص هو العامل الذي يغيّر النتيجة.

المتطلبات والتقنية هما الشيء نفسه

جزء كبير مما تطلبه اللائحة لا يُحلّ بوثيقة: بل يُحلّ بإعدادات فعلية. التدابير الأمنية المناسبة، بحسب تعبير اللائحة، هي أمور ملموسة — من يَصل إلى ماذا، والعامل الثاني، والنسخ الاحتياطية التي يمكن استعادتها فعليًا، وفصل الشبكة، والأجهزة المشفرة.

ولهذا فإن التعامل مع الامتثال باعتباره مجرد ملف ينجزه المستشار، ومع الأمن باعتباره شأنًا تقنيًا منفصلًا، يؤدي في الغالب إلى مسارين لا يتحدث أحدهما مع الآخر: سجل معالجات مكتوب بإتقان فوق بنية تحتية لم يفحصها أحد. لدينا يجتمع الأمران معًا، لأن من يكتب السجل يمكنه أن يسأل من يدير الأنظمة عن الواقع الفعلي — وهذه أيضًا هي الفكرة التي انطلقت منها GAPOFF، منصة الامتثال التي طورناها.

الأخطاء التي نجدها غالبًا في الشركات الصغيرة والمتوسطة

1. وثائق منسوخة مُحمّلة من الإنترنت، تصف شركة غير موجودة أصلًا؛
2. إشعارات خصوصية من دون معالجات فعلية خلفها — أو معالجات فعلية من دون إشعار؛
3. مورّدون لم يُقيَّموا مطلقًا — نظام الإدارة السحابي، ومكتب الرواتب، ومستشار تقنية المعلومات: جميعهم يعالجون بياناتكم، فمن عيّنهم رسميًا؟
4. نسخ احتياطية مُعلن عنها ولم تُختبر أبدًا — إلى أن يحين وقت الاستعادة؛
5. عدم وجود أي إجراء لخرق البيانات — وتمضي 72 ساعة الإخطار سريعًا؛
6. تدريب لم يُنفّذ مطلقًا — مع أنه أول ما تتحقق منه السلطة الرقابية بعد حادث سببه خطأ بشري.

GDPR + التقنية: ميزة Xion

تنشأ معظم الانتهاكات من إعدادات تقنية ضعيفة، لا من وثائق خاطئة. لذلك تجمع خدمتنا بين المسار الوثائقي والمسار التقني: فالفريق نفسه الذي يكتب إجراء النسخ الاحتياطي هو الذي ينفذه ويختبره. ولإبقاء كل شيء موثقًا بمرور الوقت — السجلات، والمواعيد النهائية، والمتطلبات — هناك GAPOFF، منصة compliance operations التي طورتها Xion.

عندما يحدث شيء ما

صفحة مخصصة حول ما الذي يجب فعله في حال وقوع خرق للبيانات: متى تبدأ مهلة الاثنتين والسبعين ساعة، ومتى يجب الإخطار ومتى لا يجب، والسجل الواجب الاحتفاظ به حتى للحوادث التي لا تستوجب الإخطار.