ما هي اللائحة العامة لحماية البيانات (GDPR)؟
تُعرف أيضاً بـ: GDPR، EU GDPR، اللائحة العامة لحماية البيانات (الاتحاد الأوروبي)
لا تنطبق GDPR على المؤسسات المنشأة في الاتحاد الأوروبي فحسب، بل تنطبق أيضاً على مؤسسات خارج الاتحاد الأوروبي في ظروف معينة، بما في ذلك عندما تقدّم سلعاً أو خدمات لأفراد في الاتحاد الأوروبي أو ترصد سلوكهم.
تضع GDPR متطلبات تتعلق بالمعالجة المشروعة والشفافية والموافقة وتقليل البيانات والأمن وحقوق أصحاب البيانات ونقل البيانات دولياً والمساءلة.
وبالنسبة إلى المواقع، فإن من أبرز متطلبات GDPR وضوحاً الموافقةَ على ملفات تعريف الارتباط وأدوات التتبّع. وحيثما تكون الموافقة هي الأساس القانوني المناسب، يجب أن تكون حرة ومحددة ومستنيرة ولا لبس فيها، ويجب أن تكون المؤسسات قادرة على إثبات الحصول عليها.
ماذا تعني GDPR؟
GDPR اختصار للائحة العامة لحماية البيانات.
واسمها الرسمي هو Regulation (EU) 2016/679. وقد اعتمدها الاتحاد الأوروبي في عام 2016 وأصبحت واجبة التطبيق في 25 مايو 2018.
وقد حلّت اللائحة محل توجيه الاتحاد الأوروبي لحماية البيانات Directive 95/46/EC وأنشأت إطاراً أكثر اتساقاً لحماية البيانات في المنطقة الاقتصادية الأوروبية.
وقد صُمِّمت GDPR لحماية الحقوق الأساسية للأفراد فيما يتعلق ببياناتهم الشخصية، مع وضع التزامات متسقة على المؤسسات التي تعالج تلك البيانات.
على مَن تنطبق GDPR؟
يمكن أن تنطبق GDPR على مؤسسات داخل الاتحاد الأوروبي وخارجه.
وهي تنطبق عموماً عندما:
- تكون المؤسسة منشأة في الاتحاد الأوروبي وتعالج بيانات شخصية في إطار أنشطتها.
- تقدّم مؤسسة خارج الاتحاد الأوروبي سلعاً أو خدمات لأفراد في الاتحاد الأوروبي.
- ترصد مؤسسة خارج الاتحاد الأوروبي سلوك أفراد في الاتحاد الأوروبي.
وهذا يعني أن الشركة لا تحتاج بالضرورة إلى مكتب في أوروبا لكي تصبح GDPR ذات صلة بها. فقد تقع شركة مقرها في مكان آخر ضمن نطاقها بحسب ما تقدّمه وكيفية تفاعلها مع أفراد في الاتحاد الأوروبي.
ما هي البيانات الشخصية بموجب GDPR؟
تُعرّف GDPR البيانات الشخصية تعريفاً واسعاً.
فالبيانات الشخصية هي المعلومات المتعلقة بشخص طبيعي محدَّد الهوية أو يمكن تحديد هويته.
وبحسب الظروف، يمكن أن يشمل ذلك:
- الاسم
- عنوان البريد الإلكتروني
- رقم الهاتف
- العنوان البريدي
- عنوان IP
- المعرّفات الإلكترونية
- معرّفات ملفات تعريف الارتباط
- معرّفات الأجهزة
- معلومات الموقع الجغرافي
- معلومات الحساب
- المعرّفات الإعلانية
- البيانات المتعلقة بسلوك الفرد أو تفضيلاته
تحظى بعض فئات البيانات الشخصية بحماية إضافية بموجب GDPR، ومنها معلومات معينة تتعلق بالصحة أو القياسات الحيوية أو الجينات أو الأصل العِرقي أو الإثني أو الدين وغيرها من المعلومات الحساسة.
ما هي المعالجة بموجب GDPR؟
تُعرَّف المعالجة أيضاً تعريفاً واسعاً بموجب GDPR.
ويمكن أن تشمل عمليات مثل:
- جمع البيانات الشخصية
- تسجيل المعلومات
- تنظيم البيانات
- تخزين البيانات
- الوصول إلى البيانات
- استخدام البيانات
- مشاركة البيانات
- تحليل البيانات
- دمج البيانات
- حذف البيانات
ونتيجة لذلك، لا يقتصر الامتثال لـ GDPR على جمع البيانات، بل يمكن أن ينطبق طوال دورة حياة البيانات الشخصية.
ما هي المبادئ الأساسية لـ GDPR؟
تضع GDPR عدة مبادئ جوهرية لمعالجة البيانات الشخصية.
ومن هذه المبادئ:
المشروعية والإنصاف والشفافية
يجب على المؤسسات معالجة البيانات الشخصية بطريقة مشروعة ومنصفة وشفافة.
تحديد الغرض
ينبغي جمع البيانات الشخصية لأغراض محددة وصريحة ومشروعة، وعدم معالجتها لاحقاً بطريقة تتعارض مع تلك الأغراض.
تقليل البيانات
ينبغي للمؤسسات ألّا تعالج سوى البيانات الشخصية الكافية وذات الصلة والمقتصرة على ما هو ضروري لتحقيق الغرض.
الدقة
ينبغي أن تكون البيانات الشخصية دقيقة وأن تُحدَّث عند الحاجة.
تحديد مدة التخزين
ينبغي عدم الاحتفاظ بالبيانات الشخصية لمدة أطول مما يلزم لتحقيق غرضها.
السلامة والسرية
يجب على المؤسسات استخدام تدابير أمنية مناسبة لحماية البيانات الشخصية.
المساءلة
يجب على المؤسسات أن تكون مسؤولة عن الامتثال لـ GDPR وقادرة على إثبات ذلك الامتثال.
تؤثر هذه المبادئ في كل شيء، من إشعارات الخصوصية والاحتفاظ بالبيانات إلى إدارة الموافقة والضوابط الأمنية.
ما هي الأسس القانونية بموجب GDPR؟
لا تشترط GDPR الموافقة لكل نوع من أنواع معالجة البيانات الشخصية.
وتحدد المادة 6 عدة أسس قانونية لمعالجة البيانات الشخصية، منها:
وبذلك تكون الموافقة أساساً قانونياً واحداً من بين عدة أسس.
وينبغي للمؤسسة تحديد الأساس القانوني المناسب لكل نشاط معالجة، بدلاً من معاملة كل عملية معالجة تلقائياً على أنها قائمة على الموافقة.
ما هي الموافقة وفق GDPR؟
حيثما تُستخدم الموافقة أساساً قانونياً للمعالجة، يجب أن تستوفي الموافقة وفق GDPR متطلبات محددة.
فيجب أن تكون الموافقة:
كما يجب أن تنطوي على إجراء إيجابي واضح.
ولا يشكّل الصمت أو عدم التفاعل أو الخانات المحددة مسبقاً موافقة صحيحة وفق GDPR.
وينبغي أيضاً أن يكون طلب الموافقة متميزاً بوضوح عن المعلومات الأخرى، وأن يستخدم لغة مفهومة، وأن يوضّح ما يوافق عليه الشخص.
ماذا تشترط GDPR بشأن سجلات الموافقة؟
يجب على المؤسسات التي تعتمد على الموافقة أن تكون قادرة على إثبات أن الفرد قد وافق.
وهذا يجعل سجلات الموافقة جزءاً مهماً من الامتثال لـ GDPR.
ويمكن لسجل الموافقة المفيد أن يوثّق معلومات مثل:
- حالة الموافقة
- التاريخ والوقت
- الغرض أو الأغراض
- آلية الموافقة
- الإشعار المنطبق أو إصدار سياسة الخصوصية
- فئات المعالجة
- حالة السحب
- المعرّف المنطبق أو إيصال الموافقة
وتتوقف المعلومات الدقيقة التي ينبغي للمؤسسة الاحتفاظ بها على أنشطة المعالجة لديها ومتطلبات الامتثال المنطبقة.
والمبدأ المهم هو ألّا تضطر المؤسسة إلى الاعتماد فقط على ذاكرة المستخدم أو على مؤشر غير قابل للتحقق في قاعدة بيانات لإثبات الموافقة. وتشترط المادة 7 تحديداً أن يكون المتحكم قادراً على إثبات الموافقة حين تستند المعالجة إليها.
هل يمكن سحب الموافقة وفق GDPR؟
نعم.
يحق للأفراد سحب موافقتهم في أي وقت عندما تستند المعالجة إلى الموافقة.
كما تشترط GDPR أن يكون سحب الموافقة بالسهولة نفسها التي مُنحت بها. ولا يجعل السحب المعالجةَ السابقة القائمة على الموافقة غير مشروعة بأثر رجعي، لكن يجب على المؤسسة أن تتوقف عن الاعتماد على الموافقة في المعالجة المستقبلية حيثما لا ينطبق أساس قانوني آخر.
وبالنسبة إلى المواقع، لهذا السبب ينبغي لنظام الموافقة أن يوفّر طريقة ميسّرة لمراجعة تفضيلات الخصوصية وتغييرها.
ما هي الموافقة على ملفات تعريف الارتباط وفق GDPR؟
تشير الموافقة على ملفات تعريف الارتباط وفق GDPR إلى الحصول على موافقة صحيحة حيثما تنطوي ملفات تعريف الارتباط أو التقنيات المشابهة على معالجة تستلزم الموافقة.
ومن الأمثلة الشائعة:
- أدوات تتبّع الإعلانات
- تحليلات السلوك
- التتبّع عبر وسائل التواصل الاجتماعي
- بكسلات التسويق
- بعض التقنيات المضمَّنة من أطراف ثالثة
- تقنيات تتبّع أخرى غير ضرورية
لا يجعل شريط ملفات تعريف الارتباط وحده الموقع متوافقاً مع GDPR تلقائياً.
وينبغي لأي تطبيق متوافق للموافقة أن يضمن ألّا تنفّذ التقنيات المعنية المعالجة ذات الصلة قبل الحصول على الموافقة اللازمة.
وهنا تكتسب الموافقة المسبقة والحجب المسبق أهميتهما.
ما هو الحجب المسبق بموجب GDPR؟
يعني الحجب المسبق منع ملفات تعريف الارتباط والنصوص البرمجية وأدوات التتبّع غير الضرورية من العمل إلى أن يتخذ الزائر قرار الموافقة المطلوب.
وهذا يختلف عن مجرد عرض شريط للموافقة.
فعلى سبيل المثال، إذا حُمِّل نص برمجي للتحليلات أو الإعلانات قبل أن يتخذ المستخدم قراره، فإن عرض شريط بعد ذلك لا يلغي ما حدث بالفعل.
لذلك ينبغي لأي نظام موافقة مطبَّق تقنياً أن يربط قرار المستخدم بالتقنيات التي تنفّذ المعالجة.
ويصف ConsentX هذا النهج بالحجب المسبق للنصوص البرمجية، حيث تظل أدوات التتبّع غير الضرورية محجوبة إلى أن يُتخذ الاختيار المناسب.
ما الحقوق التي يتمتع بها الأفراد بموجب GDPR؟
تمنح GDPR الأفراد مجموعة من الحقوق المتعلقة ببياناتهم الشخصية.
وبحسب الظروف، تشمل هذه الحقوق:
- الحق في الإبلاغ
- الحق في الاطلاع
- الحق في التصحيح
- الحق في المحو
- الحق في تقييد المعالجة
- الحق في نقل البيانات
- الحق في الاعتراض
- الحقوق المتعلقة باتخاذ القرارات الآلية والتنميط
تشكّل هذه الحقوق جزءاً مهماً من الامتثال لـ GDPR، وتقتضي أن تتوفر لدى المؤسسات عمليات لاستقبال طلبات أصحاب البيانات والتحقق منها وتقييمها والرد عليها.
ما هو المتحكم بالبيانات بموجب GDPR؟
المتحكم بالبيانات هو المؤسسة أو الشخص الذي يحدد أغراض معالجة البيانات الشخصية ووسائلها.
والمتحكم مسؤول عن ضمان امتثال المعالجة لمتطلبات GDPR المنطبقة.
فعلى سبيل المثال، قد تحدد شركة تدير موقعاً للتجارة الإلكترونية:
- ما معلومات العملاء التي تُجمع
- سبب جمعها
- كيفية استخدامها
- مدة الاحتفاظ بها
- مزوّدو الخدمات الذين يتلقونها
وبذلك قد تتصرف تلك الشركة بصفتها متحكماً في أنشطة المعالجة تلك.
ما هو معالج البيانات بموجب GDPR؟
يعالج معالج البيانات البيانات الشخصية نيابةً عن المتحكم.
ويمكن أن تشمل الأمثلة بعض:
- مزوّدي الخدمات السحابية
- منصات البريد الإلكتروني
- أنظمة إدارة علاقات العملاء
- مزوّدي خدمات التحليلات
- مزوّدي الاستضافة
- مزوّدي خدمات الدفع أو تنفيذ الطلبات
ويظل المتحكم مسؤولاً عن اختيار معالجين مناسبين والوفاء بالتزاماته بموجب GDPR، في حين تقع على المعالجين أيضاً التزامات بموجب اللائحة.
وينبغي توثيق العلاقة بين المتحكم والمعالج بوضوح وتنظيمها عبر الترتيبات التعاقدية المناسبة.
ما هو الامتثال لـ GDPR؟
يعني الامتثال لـ GDPR تطبيق التدابير التنظيمية والقانونية والتقنية اللازمة لاستيفاء متطلبات GDPR المنطبقة.
وقد يشمل برنامج الامتثال لـ GDPR ما يلي:
- رسم خريطة لمعالجة البيانات الشخصية
- تحديد الأسس القانونية
- الحفاظ على إشعارات الخصوصية
- إدارة الموافقة على ملفات تعريف الارتباط
- تسجيل الموافقة
- تطبيق عمليات طلبات أصحاب البيانات
- وضع سياسات الاحتفاظ بالبيانات
- إدارة المعالجين
- تطبيق التدابير الأمنية
- تقييم المعالجة عالية المخاطر
- إدارة عمليات النقل الدولي
- الاحتفاظ بوثائق الامتثال
- إثبات المساءلة
وبذلك يكون الامتثال أوسع من مجرد تثبيت شريط لملفات تعريف الارتباط.
GDPR وامتثال المواقع
بالنسبة إلى المواقع، غالباً ما ينطوي الامتثال لـ GDPR على عدة أنظمة مترابطة.
وقد يحتاج الموقع إلى:
- تحديد ملفات تعريف الارتباط والنصوص البرمجية وتقنيات الأطراف الثالثة.
- تحديد أنشطة المعالجة التي تتطلب موافقة.
- عرض معلومات واضحة قبل جمع الموافقة.
- تقديم خيارات حقيقية.
- منع المعالجة غير الضرورية المعنية قبل الموافقة.
- تسجيل قرار المستخدم.
- احترام التغييرات وعمليات السحب.
- الاحتفاظ بأدلة على قرار الموافقة.
- مراجعة التغييرات التي تطرأ على النصوص البرمجية وخدمات الأطراف الثالثة بمرور الوقت.
لهذا يمكن أن يكون الفحص الآلي والمراقبة المستمرة مفيدين إلى جانب منصة إدارة الموافقة.
ويوفّر ConsentX ماسحاً مصمَّماً لتحديد ملفات تعريف الارتباط وأدوات التتبّع والنصوص البرمجية وتقنيات الأطراف الثالثة التي تُحمَّل على الموقع قبل أن يمنح الزوّار موافقتهم.
GDPR والخصوصية بحكم التصميم
تشجّع GDPR أيضاً على اتباع نهج استباقي تجاه الخصوصية.
وينبغي للمؤسسات مراعاة متطلبات حماية البيانات عند تصميم المنتجات والمواقع والتطبيقات وأنظمة المعالجة، بدلاً من التعامل مع الامتثال كأمر يُضاف بعد الإطلاق.
وبالنسبة إلى إدارة الموافقة، يعني هذا أن تفضيلات الخصوصية ينبغي أن تنعكس في السلوك التقني للموقع.
فالشريط الذي يقول «Do Not Track» بينما تستمر أدوات التتبّع في العمل لا يوفّر المستوى نفسه من التحكم الذي يوفّره نظام يفرض فعلياً اختيار المستخدم.
غرامات GDPR
تنص GDPR على غرامات إدارية كبيرة على بعض المخالفات.
وبحسب نوع المخالفة، يمكن أن تصل الغرامات إلى:
ما يصل إلى 10 ملايين يورو أو 2% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى، لبعض المخالفات.
ما يصل إلى 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية العالمية، أيهما أعلى، للمخالفات الأشد خطورة.
ويتوقف الحد الأقصى المنطبق على نص GDPR المعني تحديداً.
والعقوبات ليست سوى جزء واحد من إطار الإنفاذ. لذلك ينبغي للمؤسسات التركيز على بناء ضوابط امتثال مستدامة بدلاً من اعتبار الحد الأقصى للغرامة تعريفاً للامتثال لـ GDPR.
كيف يساعد ConsentX في إدارة الموافقة وفق GDPR
ConsentX منصة إدارة الموافقة (CMP) مصمَّمة لمساعدة المؤسسات على تفعيل متطلبات الخصوصية والموافقة عملياً عبر المواقع.
وتشمل قدراته في إدارة الموافقة:
فحص الموقع
أشرطة الموافقة
الحجب المسبق للنصوص البرمجية
خيارات موافقة دقيقة
سحب الموافقة
إيصالات موافقة تكشف أي عبث
قواعد خصوصية تراعي الموقع الجغرافي
تصدير بيانات التدقيق
مسارات عمل طلبات أصحاب البيانات
ويصف ConsentX منصته بأنها تساعد الشركات على حجب أدوات التتبّع غير الضرورية قبل الموافقة والاحتفاظ بسجلات موافقة تكشف أي عبث.
ولا تحل التقنية محل التقييم القانوني للمؤسسة أو برنامجها الأوسع للامتثال لـ GDPR. بل يمكنها توفير الطبقة التقنية اللازمة لجعل خيارات الموافقة قابلة للتنفيذ والتدقيق.
قائمة التحقق من الامتثال لـ GDPR
تشمل قائمة التحقق العملية لامتثال المواقع لـ GDPR ما يلي:
- حدِّد البيانات الشخصية التي يعالجها موقعك.
- ارسم خريطة لملفات تعريف الارتباط وأدوات التتبّع وتقنيات الأطراف الثالثة.
- حدِّد الأساس القانوني لكل نشاط معالجة معني.
- قدّم معلومات خصوصية واضحة.
- احصل على موافقة صحيحة حيثما تكون الموافقة هي الأساس القانوني المنطبق.
- لا تستخدم خانات موافقة محددة مسبقاً.
- احجب أدوات التتبّع غير الضرورية المعنية قبل الموافقة.
- اجعل الرفض والسحب في متناول المستخدم.
- سجّل أدلة الموافقة واحتفظ بها.
- وفّر آليات لممارسة حقوق أصحاب البيانات.
- راجع معالجي البيانات من الأطراف الثالثة والعقود المبرمة معهم.
- حافظ على ضوابط أمنية مناسبة.
- افحص الموقع بانتظام بحثاً عن أي تغييرات.
GDPR: أبرز النقاط
اللائحة العامة لحماية البيانات (GDPR) واحدة من أكثر قوانين حماية البيانات تأثيراً في العالم.
وأهم النقاط هي:
- تنظّم GDPR معالجة البيانات الشخصية.
- ويمكن أن تنطبق على مؤسسات خارج الاتحاد الأوروبي.
- الموافقة ليست سوى واحد من عدة أسس قانونية للمعالجة.
- يجب أن تكون الموافقة وفق GDPR حرة ومحددة ومستنيرة ولا لبس فيها.
- لا تشكّل الخانات المحددة مسبقاً ولا عدم التفاعل موافقة صحيحة.
- يجب على المؤسسات التي تعتمد على الموافقة أن تكون قادرة على إثباتها.
- يمكن للأفراد سحب موافقتهم في أي وقت.
- ينبغي أن يكون السحب بسهولة منح الموافقة.
- توفّر GDPR حقوقاً واسعة لأصحاب البيانات.
- يتطلب امتثال المواقع أكثر من مجرد عرض شريط لملفات تعريف الارتباط.
- يمثّل التنفيذ التقني وسجلات الموافقة جزأين مهمين من أي نظام موافقة قابل للتدقيق.
اجعل الموافقة وفق GDPR قابلة للتنفيذ والإثبات
الامتثال لـ GDPR ليس مجرد عرض إشعار خصوصية أو شريط لملفات تعريف الارتباط على المستخدمين. فالتطبيق التقني يحتاج إلى احترام اختيار المستخدم، ومنع المعالجة المعنية قبل الموافقة، ودعم السحب، والاحتفاظ بأدلة موثوقة على ما حدث. يساعد ConsentX المؤسسات على جمع الموافقة وتنفيذها وإثباتها عبر مواقعها. ابدأ ببناء إدارة موافقة جاهزة للتدقيق مع ConsentX.
مصطلحات ذات صلة
إذن باستخدام ملفات تعريف الارتباط وأدوات التتبّع غير الضرورية في الحالات التي تستلزم الموافقة.
الممارسة التقنية التي تمنع أدوات التتبّع غير الضرورية المعنية من العمل قبل أن يمنح المستخدم موافقته.
برنامج يجمع موافقة المستخدم ويديرها ويفرض تنفيذها ويسجّلها.
سجل منظّم يبيّن ما وافق عليه المستخدم، بما في ذلك الأغراض ومعلومات الموافقة ذات الصلة.
المؤسسة التي تحدد أغراض معالجة البيانات الشخصية ووسائلها بموجب GDPR.
مؤسسة تعالج البيانات الشخصية نيابةً عن المتحكم.
الفرد الذي تتعلق به البيانات الشخصية.
إطار GDPR في المملكة المتحدة بعد خروجها من الاتحاد الأوروبي.
قانون حماية البيانات الشخصية الرقمية في الهند.