ما يستطيع مسؤول حماية البيانات فحصه في موقع العميل دون فريق تقنية المعلومات

إن كنت تعمل مسؤولًا لحماية البيانات (DPO) أو مستشارًا في اللائحة العامة لحماية البيانات (GDPR)، فأنت تعرف هذه اللحظة. سجلات أنشطة المعالجة مرتبة، وإشعارات الخصوصية مكتوبة، واتفاقيات المعالجين موقّعة. ثم تصل إلى الموقع الإلكتروني، فتجد في ملاحظات المراجعة عبارة «يتحقق منه فريق تقنية المعلومات». لكن العميل ليس لديه أحد في تقنية المعلومات، والوكالة التي بنت الموقع لا ترد.

ومع ذلك فالموقع كثيرًا ما يكون النظام الوحيد لدى عميلك الذي يستقبل بيانات شخصية من أي أحد على الإنترنت: نموذج تواصل، أو اشتراك في نشرة بريدية، أو حجز موعد. وتستطيع أن تقيّم جزءًا كبيرًا منه بنفسك، دون صلاحيات في لوحة التحكم ودون خلفية تقنية. هذه هي الطريقة، ومعها كيفية التوثيق.

ماذا تطلب المادة 32 من الموقع

تلزم المادة 32 من اللائحة العامة لحماية البيانات المتحكم والمعالج بـ«تنفيذ تدابير تقنية وتنظيمية مناسبة لضمان مستوى من الأمان يتناسب مع المخاطر». ومن الأمثلة التي تذكرها: التشفير، وضمان سرية الأنظمة وسلامتها وتوافرها وصمودها على الدوام، واستعادة البيانات في الوقت المناسب بعد الحادثة، و«عملية لاختبار وتقييم فعالية التدابير التقنية والتنظيمية لضمان أمان المعالجة بانتظام».

وفي الموقع العام يتحول ذلك إلى بضعة أسئلة محددة. هل تُشفَّر بيانات النماذج في طريقها إلى الخادم؟ هل تُحدَّث البرمجيات؟ هل يستطيع غريب تنزيل ملفات فيها بيانات شخصية؟ هل ينقل الموقع بيانات الزوار إلى أطراف ثالثة دون أساس قانوني؟ وهل يفحص أحد كل ذلك بانتظام ويحتفظ بسجل له؟

والسؤال الأخير مرتبط بمبدأ المساءلة. فبموجب المادة 5(2) يكون المتحكم مسؤولًا عن المبادئ الواردة في المادة 5(1)، ومنها السلامة والسرية، وعليه أن «يكون قادرًا على إثبات الامتثال» لها. وتذكر المادة 39(1)(ب) بين مهام مسؤول حماية البيانات مراقبة الامتثال للائحة، بما في ذلك عمليات التدقيق المرتبطة بها. ومراجعة الموقع المؤرخة تدخل هنا بسهولة. وعن واجبات المتحكم، ومنها الإبلاغ عن الانتهاك خلال 72 ساعة، اقرأ مقال اللائحة العامة لحماية البيانات وموقعك.

ما تستطيع فحصه بنفسك في 20 دقيقة

كل ما يلي يستطيع أي زائر فعله، فلا تحتاج إلى أي صلاحيات. وإن أردت تشغيل أدوات فحص آلية على الموقع، فاستأذن العميل أولًا. والتقط صورة للشاشة في كل خطوة، يظهر فيها عنوان الموقع والتاريخ.

1. القفل والشهادة. اضغط على الرمز بجانب عنوان الموقع وافتح تفاصيل الشهادة. دوّن الجهة التي أصدرتها وتاريخ انتهائها. ثم اكتب العنوان بيدك مع http:// بدل https://. يجب أن ينتقل الموقع وحده إلى نسخة https. وإن بقي على http، فقد تنتقل بيانات النماذج دون تشفير. وتفحص أداة فحص شهادة SSL المجانية (بالإنجليزية) الباقي، ومنه إصدارات البروتوكول القديمة.

2. سياسة الخصوصية. هل يوجد رابط لها في تذييل كل صفحة وبجانب كل نموذج؟ هل يعمل، أم يؤدي إلى خطأ 404؟ هل تذكر السياسة المتحكم الذي يدير الموقع فعلًا، وهل تذكر الأدوات التي تراها فيه؟ السياسة المكتوبة قبل سنوات تبتعد بسهولة عن موقع أُضيفت إليه منذ ذلك الحين نافذة دردشة أو بكسل إعلاني.

3. النماذج. افتح كل صفحة فيها نموذج وتحقق من وجود القفل. النموذج المضمَّن من خدمة أخرى، مثل نظام حجز أو أداة نشرات بريدية، جهة أخرى تتلقى البيانات وتحتاج إلى اتفاقية معالجة مع العميل. تحقق من وجود إشعار خصوصية قصير بجانبه، ومن أن النموذج لا يطلب أكثر مما يحتاجه غرضه. خانة لرقم الهوية الوطنية في نموذج تواصل موضوع يستحق النقاش. وعن المشكلات الأخرى في النماذج اقرأ مقال نموذج التواصل باب إلى موقعك.

4. ملفات تعريف الارتباط قبل الموافقة. افتح الموقع في نافذة خاصة ولا تلمس شريط ملفات تعريف الارتباط. اضغط F12، وانتقل إلى تبويب Application في Chrome أو Edge، أو Storage في Firefox، وافتح قائمة ملفات تعريف الارتباط. إن وجدت فيها ملفات للتحليلات أو الإعلانات قبل أن تضغط على أي شيء، مثل _ga من Google Analytics أو _fbp من بكسل Meta، فالتتبع يبدأ دون موافقة. ثم اضغط «رفض»، وأعد تحميل الصفحة، وانظر هل تختفي. وقاعدة الموافقة المسبقة مصدرها المادة 5(3) من توجيه الخصوصية الإلكترونية (2002/58/EC) كما نُقل إلى قانون كل دولة، لا اللائحة العامة لحماية البيانات نفسها. أما البيانات الشخصية التي تجمعها تلك الأدوات فمسألة تخضع للائحة. ولفحص أولي سريع دون F12، تعرض أداة فحص ملفات تعريف الارتباط قبل الموافقة (بالإنجليزية) الملفات التي يضعها الخادم وأدوات التتبع في شيفرة الصفحة. أما الملفات التي تكتبها البرامج النصية لاحقًا فلا تظهر إلا في المتصفح.

5. البريد على النطاق. أدخل نطاق العميل في فحص SPF وDKIM وDMARC (بالإنجليزية). من دون DMARC يستطيع أي شخص إرسال بريد يبدو أنه من عميلك، ومنه إلى عملاء عميلك أنفسهم، يطلب بيانات شخصية أو دفعة مالية. وهذا خطر انتهاك يبدأ خارج الموقع لكنه يستخدم النطاق نفسه.

6. إصدارات البرمجيات الظاهرة. اضغط Ctrl+U لعرض شيفرة الصفحة، وابحث (Ctrl+F) عن generator. ستجد في الغالب شيئًا مثل WordPress 6.x. قارن الرقم بالإصدار الحالي على wordpress.org. رقم الإصدار الظاهر ليس ثغرة بحد ذاته، لكن الإصدار القديم يوحي بأن أحدًا لا يحدّث الإضافات أيضًا. وغياب هذا الوسم لا يثبت شيئًا، لأنه يمكن إخفاؤه.

ما لا تستطيع رؤيته من الخارج

لمراجعة المتصفح حدود، ويجب أن تسجلها ملاحظاتك كما تسجل النتائج:

• النسخ الاحتياطية: هل هي موجودة، وأين تُحفظ، وهل استعاد أحد الموقع من إحداها،
• حسابات الإدارة: من لديه صلاحيات المدير، وهل يستخدم تسجيل الدخول بخطوتين،
• إصدارات الإضافات التي لا تظهر في شيفرة الصفحة، ومن يحدّثها،
• ما يحدث للرسالة بعد إرسالها: هل تبقى في قاعدة البيانات، وكم مدة، وفي أي صندوق بريد تصل،
• إعدادات الخادم، والسجلات، وطريقة حماية قاعدة البيانات،
• مكان الاستضافة، وهل تخرج البيانات من المنطقة الاقتصادية الأوروبية.

حوّل هذه النقاط إلى أسئلة للعميل أو لمطوّر موقعه، ودوّن من أجاب ومتى. وغياب الجواب نتيجة أيضًا، ويُسجَّل في الملاحظات.

كيف توثّق المراجعة

يجب أن تصمد ملاحظة المراجعة حين يسألك أحد بعد سنة: كيف عرفت؟ التزم بصيغة واحدة:

1. التاريخ والوقت، وعنوان الموقع، ومن أجرى الفحص، وبأي متصفح.
2. قائمة البنود التي فُحصت، وأمام كل منها: سليم، أو يحتاج إلى إصلاح، أو لم يمكن فحصه.
3. صور الشاشة لكل بند يحتاج إلى إصلاح.
4. من تسلّم النتائج، ومتى، وبأي شكل.
5. موعد الإصلاح المتفق عليه مع المتحكم، وتاريخ فحص المتابعة.

سجل كهذا يفيد الطرفين. لدى العميل دليل على الاختبار المنتظم الذي تطلبه المادة 32(1)(د). ولديك دليل على أنك راقبت ونقلت توصياتك. أما الإصلاح نفسه فمسؤولية المتحكم ومن يبني موقعه.

أعد المراجعة مرة في السنة على الأقل، وبعد أي تغيير كبير، مثل وكالة مواقع جديدة أو متجر إلكتروني جديد. وتقريران مؤرخان يبيّنان هل نُفّذت توصياتك.

حين يكون لديك عملاء كثيرون

مع عشرة عملاء أو أكثر، تبدأ المراجعة اليدوية لكل موقع في استهلاك أيام كاملة. ويمكن أتمتة الجزء الخارجي بـShieldWave. فهو يفحص كل موقع كما يراه أي شخص على الإنترنت، بما في ذلك الملفات المكشوفة وترويسات الأمان والثغرات المعروفة في إصدارات البرمجيات، ويعطيك تقريرًا مؤرخًا بصيغة PDF مع ربط النتائج بمواد اللائحة العامة لحماية البيانات. والجزء التقني يذهب إلى مطوّر العميل كما هو، دون حاجة إلى شرح. تكلّف خطة Pro مبلغ 12 دولارًا شهريًا لما يصل إلى 25 موقعًا. وهي لا تشهد بالامتثال للائحة ولا تنظر داخل لوحة التحكم، فتبقى أسئلة القسم السابق عليك أنت.