اللائحة العامة لحماية البيانات وموقعك: ما أنت مسؤول عنه بصفتك المالك

نموذج تواصل، واشتراك في نشرة بريدية، وحجز موعد، وحساب عميل في متجرك. كل واحد منها يجمع اسمًا وعنوان بريد، وأحيانًا رقم هاتف. وبموجب اللائحة العامة لحماية البيانات (GDPR) هذه بيانات شخصية، وشركتك هي المتحكم فيها.

يفترض كثير من الملاك أن الأمان مشكلة الوكالة التي بنت الموقع وشركة الاستضافة التي تدير الخادم. الأمر لا يسير هكذا. للمطوّر وللاستضافة واجباتهما، لكنك أنت، بصفتك المتحكم، من يُسأل أمام الجهة الرقابية وأمام عملائك.

فيما يلي ما تتوقعه القواعد منك بصفتك المالك، بلغة بسيطة. وهذه ليست استشارة قانونية، فاسأل محاميًا أو مسؤول حماية البيانات لديك في أي حالة غير معتادة.

من هو من في موقعك

تقسم اللائحة المشاركين إلى دورين. المتحكم يقرر لماذا تُجمع البيانات وكيف. وهذه شركتك. والمعالج يتعامل مع البيانات نيابة عنك: شركة الاستضافة التي يحمل خادمها قاعدة البيانات، والمطوّر أو الوكالة ممن لديهم صلاحية الدخول إلى لوحة التحكم، وأداة النشرات البريدية، ونظام الحجز.

ولهذا نتائج عملية. إن أهملت الوكالة التحديثات وسرق أحدهم رسائل النموذج، فأنت من يبلّغ عن الانتهاك، ويخبر عملاءه، ويجيب عن أسئلة الجهة الرقابية. وتسوّي الأمر مع الوكالة بعد ذلك بموجب العقد، إن كان بينكما عقد.

المادة 32: أمان يتناسب مع المخاطر

لا تحدد المادة 32 الإضافة التي تستخدمها ولا طول كلمة المرور. إنها تطلب «تدابير تقنية وتنظيمية مناسبة»، أي تدابير تتناسب مع المخاطر. وتذكر أمثلة قليلة: التشفير، والحفاظ على سرية البيانات وتوافرها، والقدرة على استعادتها سريعًا بعد الحادثة، واختبار فعالية الأمان لديك بانتظام.

وفي موقع شركة صغيرة يعني ذلك أمورًا عملية جدًا:

• الموقع كله يعمل عبر HTTPS، ولا يرسل أي نموذج بيانات عبر http العادي،
• نظام إدارة المحتوى والقالب والإضافات تُحدَّث وفق جدول، لا حين يتذكرها أحد،
• لا يدخل إلى لوحة التحكم إلا من يحتاجها فعلًا، ويستخدم تسجيل الدخول بخطوتين،
• النسخ الاحتياطية تُحفظ بعيدًا عن خادم الموقع، وتحقق أحدٌ من أن الاستعادة منها تعمل،
• رسائل النماذج القديمة لا تبقى في قاعدة البيانات سنوات دون سبب،
• يفحص أحدٌ الموقع من الخارج بين حين وآخر، بأداة فحص أمني مثلًا، ويدوّن النتيجة.

النقطة الأخيرة أسهل ما يُتجاوز، مع أنها تستجيب مباشرة لشرط «الاختبار المنتظم». وإن سألتك الجهة الرقابية يومًا كيف تعتني بالأمان، فملاحظة تقول «فُحص في 3 مارس، مشكلتان، أُصلحتا في 10 مارس» أفضل من أي تأكيد بأن الموقع على الأرجح بخير.

72 ساعة لإبلاغ الجهة الرقابية

انتهاك البيانات الشخصية لا يلزم أن يكون اختراقًا دراميًا. قد يكون ملف تصدير لرسائل النموذج يستطيع أي شخص تنزيله من عنوان عام. أو حساب مدير استولى عليه أحد. أو رسالة إلى كل عملائك أُرسلت وعناوينهم في خانة CC بدل BCC.

تنص المادة 33 على أن يبلّغ المتحكم السلطة الرقابية دون تأخير غير مبرر، وخلال 72 ساعة من علمه بالانتهاك حيثما أمكن. وهذه السلطة في بولندا هي UODO، وفي المملكة المتحدة مكتب مفوض المعلومات ICO (أبقت النسخة البريطانية من اللائحة القاعدة نفسها)، وفي أيرلندا لجنة حماية البيانات. والساعات هنا ساعات فعلية، فعطلة نهاية الأسبوع لا توقفها. ولا تُعفى من الإبلاغ إلا إذا كان من غير المرجح أن يعرّض الانتهاك أصحاب البيانات للخطر.

وأمران يخففان من صعوبة ذلك. لست بحاجة إلى الصورة الكاملة فورًا: القواعد تسمح بتقديم المعلومات على مراحل، فالأفضل أن تبلّغ بما تعرفه في الموعد وتضيف الباقي لاحقًا، بدل انتظار تقرير كامل من مطوّرك. وأغلب السلطات تستقبل البلاغات عبر نموذج إلكتروني في موقعها.

والبلاغ المتأخر يجب أن يشرح سبب التأخير. لذلك اتفق مع من يدير موقعك على أن تعرف بأي اشتباه بتسرب في اليوم نفسه. المعالج ملزم بإخبارك دون تأخير غير مبرر، لكن قرار الإبلاغ قرارك، والموعد النهائي موعدك.

متى يجب أن تخبر عملاءك

تذهب المادة 34 خطوة أبعد. إن كان من المرجح أن يعرّض الانتهاك المتأثرين لخطر مرتفع، فعليك أن تخبرهم هم أيضًا، دون تأخير غير مبرر كذلك. وبلغة بسيطة: ماذا حدث، وما العواقب المحتملة، وماذا فعلت، وما الذي ينبغي أن يحذروه، مثل رسائل تتظاهر بأنها من شركتك.

والخطر المرتفع يعني أمورًا مثل تسرب كلمات مرور حسابات العملاء، أو أرقام الهوية الوطنية، أو معلومات صحية من نموذج تسجيل في عيادة، أو قائمة عملاء مكتب محاماة مع ملاحظات عن قضاياهم. أما عنوان بريد من اشتراك في نشرة فوزنه أقل عادة، لكن التقييم يعتمد دائمًا على الحالة.

وهناك استثناءات. لست ملزمًا بإخطار الأشخاص إن كانت البيانات مشفرة بحيث لا يستطيع أي طرف خارجي قراءتها، أو إن تصرفت فورًا بطريقة تجعل تحقق الخطر المرتفع غير مرجح. وحين يتطلب التواصل مع كل شخص على حدة جهدًا غير متناسب، يمكن الاستعاضة عنه بإعلان عام.

اتفاقية معالجة مع الاستضافة والمطوّر

كل من يتعامل مع البيانات الشخصية نيابة عنك ينبغي أن تكون بينك وبينه اتفاقية معالجة بيانات (المادة 28). ولا يلزم أن تكون وثيقة ضخمة. شركات الاستضافة الكبرى وأدوات النشرات البريدية لديها عادة اتفاقية جاهزة (DPA) في لوحة التحكم أو في شروط الخدمة. توافق عليها وتحتفظ بنسخة.

ومع المستقلين والوكالات الصغيرة، كثيرًا ما لم يفكر أحد في الأمر. تنص الاتفاقية، ضمن أمور أخرى، على أنهم لا يعالجون البيانات إلا بتعليماتك، ويحافظون على أمانها، ويساعدونك إن وقع انتهاك، ويحذفون البيانات أو يعيدونها حين ينتهي تعاونكما. وأضف التفاصيل العملية: من الشخص المسؤول عن التواصل، وعبر أي قناة يبلّغ عن الحادثة، وفي أي مدة.

ما تحتفظ به مكتوبًا

تقوم اللائحة على المساءلة. الامتثال لا يكفي، بل يجب أن تستطيع إثباته. وفي موقع الشركة يعني ذلك ملفًا واحدًا، ورقيًا أو على مساحة مشتركة:

1. اتفاقيات المعالجة مع الاستضافة، والمطوّر أو الوكالة، وكل أداة تتلقى بيانات من نماذجك.
2. وصف قصير للأمان لديك: ما الذي يُحدَّث ومن يحدّثه، وأين النسخ الاحتياطية، ومن لديه صلاحيات المدير.
3. نتائج الفحوص الدورية للموقع، وملاحظة بما فُعل بشأنها.
4. سجل الانتهاكات. تلزمك المادة 33 بتوثيق كل انتهاك، بما في ذلك ما تقرر عدم الإبلاغ عنه: ماذا حدث، وما آثاره، وماذا فعلت. وللانتهاكات التي لم تبلّغ عنها، دوّن سبب قرارك.
5. سجل أنشطة المعالجة، إن كان ينطبق عليك. والإعفاء الممنوح للمنظمات التي يعمل فيها أقل من 250 موظفًا أضيق مما يبدو: لا يشمل المعالجة التي تتجاوز كونها عرضية، والنموذج الذي يجلب استفسارات كل أسبوع يصعب وصفه بالعرضي.

لا يحتاج شيء من ذلك إلى ميزانية كبيرة. يحتاج إلى اتفاق واضح على من يفعل ماذا قبل أن يحدث أي شيء. ففي أثناء الحادثة تمر 72 ساعة بسرعة كبيرة، خصوصًا إن قضيت اليوم الأول في معرفة من لديه صلاحية الدخول إلى الخادم.