3.1فهم اللائحة العامة لحماية البيانات (RGPD) والبيانات الشخصية
الأساسي في 30 ثانية
- البيانات الشخصية مفهوم واسع جدا : كل معلومة عن شخص محدد أو قابل للتحديد (الاسم، البريد، العنوان الشبكي IP، الصورة…) ؛ والبيانات الحساسة تتمتع بحماية معززة.
- كل معالجة تتطلب أساسا قانونيا وغاية محددة ؛ المبادئ : التقليل، والحفظ المحدود، والأمان، والشفافية.
- المساءلة (Accountability) : الامتثال وإثباته ؛ والتمييز بين مسؤول المعالجة (يقرر) والمناول (Sous-traitant) (ينفذ).
حالة متسلسلة — ياسين يكتشف أن « كل شيء بيانات »
ياسين، مسير شركة خدمات صغيرة في مدينة الجزائر، يخزن أسماء زبائنه وهواتفهم وبريدهم في جدول مشترك بلا قاعدة. وأثناء تحضير امتثاله، يجرد ملفاته (زبائن، مرشحون، أجراء) فيكتشف أن كل شيء تقريبا بيانات شخصية. فيحدد لكل استعمال غاية دقيقة وأساسا قانونيا — ويتوقف عن الجمع « تحسبا ».
هذه الحالة نفسها تعود في الدرس والمخطط والنص وتحدي 48 ساعة — وتتواصل في 3.2 و3.3 و3.4 و3.5.
1. البيانات الشخصية
اللائحة العامة لحماية البيانات (RGPD) هي النص المرجعي لـلاتحاد الأوروبي (UE)، ذات تأثير عالمي : تطبق متى عالجت بيانات أشخاص موجودين في الاتحاد الأوروبي. وكثير من البلدان لها قانونها الخاص، قريب في روحه.
البيانات الشخصية : كل معلومة تتعلق بشخص طبيعي محدد أو قابل للتحديد (الاسم، البريد، العنوان الشبكي، الصورة…). وبعضها حساس (الصحة، الآراء…) ويتمتع بحماية معززة.
2. المبادئ الكبرى
المهم الفهم لا الحفظ : المشروعية (أساس قانوني : الموافقة، العقد، الالتزام، المصلحة المشروعة)، الغاية (هدف دقيق)، التقليل (الضروري فقط)، الدقة، الحفظ المحدود، الأمان، الشفافية.
مع المساءلة (Accountability) (إثبات الامتثال). والتمييز بين مسؤول المعالجة (يقرر) والمناول (ينفذ).
3. رد الفعل الأول
انطلق من أن معظم ملفاتك تتضمن بيانات شخصية : اجرد، ثم حدد لكل معالجة غاية وأساسا قانونيا.
تحقق من قانون بلدك (ومن اللائحة RGPD إذا كانت بياناتك من الاتحاد الأوروبي) قبل الفعل : هذا أساس الأقسام 3.2 إلى 3.5.
🔎 مثال ملموس — 🔎 مثال ملموس — مفهوم واسع جدا
« كل شيء تقريبا. »
زبائن، مرشحون، أجراء، مستعملون، جهات اتصال الموردين…
الاسم، البريد، العنوان الشبكي، الصورة، معرف الزبون، تسجيل الفيديو.
← متى سمحت معلومة بتحديد شخص ما، فهي بيانات شخصية.النتيجة : فهم نطاق المجال والمبادئ.
رد الفعل : التحقق من قانون بلدك (ومن اللائحة إذا كانت بيانات الاتحاد الأوروبي).
مفردات القسم
- البيانات الشخصية (Données personnelles)
- كل معلومة تتعلق بشخص طبيعي محدد أو قابل للتحديد (الاسم، البريد، العنوان الشبكي، الصورة، المعرف…).
مثال بسيط: أسماء زبائن ياسين وهواتفهم وبريدهم في جدوله.
ما ليس كذلك: الأرقام الإجمالية والمجهولة الهوية لنشاط ما.
رد فعل: اسأل « هل تسمح بتحديد شخص ما ؟ ».
- البيانات الحساسة (Données sensibles)
- صنف خاص (الصحة، الآراء، الأصل، البيومترية…) يتمتع بحماية معززة.
مثال بسيط: بطاقة صحية لأجير يحتفظ بها ياسين.
ما ليس كذلك: بريد اتصال مهني بسيط.
رد فعل: رصد البيانات الحساسة ومعالجتها على حدة.
- الأساس القانوني (Base légale)
- ما يجيز المعالجة (الموافقة، العقد، الالتزام القانوني، المصلحة المشروعة…) ؛ وبدونه لا معالجة مشروعة.
مثال بسيط: ياسين يعتمد العقد لزبائنه، والموافقة للنشرة.
ما ليس كذلك: معالجة البيانات « لأننا نريد ».
رد فعل: لكل معالجة : غاية + أساس.
- المسؤول مقابل المناول (Responsable vs Sous-traitant)
- المسؤول يحدد الغايات والوسائل (الشركة) ؛ والمناول يعالج لحسابه (المزود، البرمجية).
مثال بسيط: ياسين يقرر ؛ ومستضيفه وبرمجية أجوره ينفذان.
ما ليس كذلك: الظن بأن المزود يقرر مكان الشركة.
رد فعل: من يقرر ؟ من ينفذ ؟ لكل التزاماته.
- المساءلة (Accountability)
- الالتزام لا باحترام القواعد فقط بل بإثبات ذلك (التوثيق، السجل).
مثال بسيط: ياسين يحتفظ بأثر غاياته وأسسه ومدده.
ما ليس كذلك: قول « نحن ممتثلون » بلا أي وثيقة.
رد فعل: ما لم يوثق لا يمكن إثباته.
في التطبيق — في التطبيق — ضع أسس الامتثال في « البيانات »
- اجرد البيانات الشخصية التي تعالجها (زبائن، مرشحون، أجراء، مستعملون) ورصد البيانات الحساسة.
- لكل معالجة حدد غايتها الدقيقة وأساسها القانوني (الموافقة، العقد، الالتزام، المصلحة المشروعة).
- طبق التقليل (لا تجمع إلا الضروري) وحدد مدد الحفظ ؛ وأمن البيانات.
- أعلم الأشخاص بوضوح وتحقق من التشريع المطبق في بلدك (ومن اللائحة إذا عالجت بيانات الاتحاد الأوروبي).
نص جاهز للقول — تأطير الجمع مع الفريق (1 دقيقة)
« من اليوم، لا نجمع بيانا إلا إذا عرفنا لماذا وعلى أي أساس : الغاية، الأساس القانوني، المدة. نتوقف عن « تحسبا ». نعد القائمة معا هذا الأسبوع. »
قله للفريق : ضع قاعدة الغاية + الأساس قبل كل جمع جديد.
نموذج نسخ ولصق — بطاقة معالجة أولى
المعالجة : _______________ (مثال ملف الزبائن)
البيانات : _______________ | الأشخاص : _______________
الغاية الدقيقة : _______________
الأساس القانوني : _______________ (موافقة / عقد / التزام / مصلحة مشروعة)
المدة : _______________ | الأمان : _______________شركة صغيرة جدا / ميزانية صغيرة
يكفي جدول : سطر لكل معالجة (البيانات، الغاية، الأساس، المدة) يراجع كل فصل — لا حاجة لأداة مكلفة للبدء.
شركة صغيرة ومتوسطة مدينة الجزائر
ياسين يجرد ملفاته في مدينة الجزائر : زبائن، مرشحون، أجور — ويتحقق مع مرجعه المحلي من القانون 18-07 المطبق على كل معالجة.
موقع تعريفي + مرشحون
استمارة اتصال : لا تطلب إلا الضروري (الاسم، البريد، الرسالة) وأعلن الغاية تحت الاستمارة.
مزودون متعددون
اجرد من يعالج لحسابك (المستضيف، البرمجية، المحاسب) : فالمسؤول تبقى أنت، حتى حين ينفذ المناول.
✓ ممارسات جيدة
- انطلق من أن معظم ملفاتك تتضمن بيانات شخصية.
- لكل معالجة : غاية دقيقة وأساس قانوني.
- قلل، وأمن، وأعلم، وتحقق من قانون بلدك.
✗ أخطاء شائعة
- معالجة البيانات « لأننا نريد » (بلا أساس قانوني).
- الجمع « تحسبا » (ضد التقليل).
- الظن بأن البعد عن أوروبا يعفي من كل التزام.
النقاط الأساسية
- البيانات الشخصية = كل معلومة عن شخص قابل للتحديد (واسعة جدا : الاسم، البريد، العنوان الشبكي، الصورة…) ؛ والبيانات الحساسة معززة.
- كل معالجة تتطلب أساسا قانونيا وغاية دقيقة ؛ المبادئ : التقليل، الدقة، الحفظ المحدود، الأمان، الشفافية.
- المساءلة : الامتثال وإثباته (التوثيق). والتمييز بين مسؤول المعالجة (يقرر) والمناول (ينفذ).
- للائحة مجال عالمي (بيانات الاتحاد الأوروبي) ؛ وكثير من البلدان لها قانونها الخاص القريب — تحقق من نظام بلدك وسلطته.
تحدي 48 ساعة — طبق غدا
اجرد 3 معالجات حقيقية (زبائن، مرشحون، أجراء) مع الغاية + الأساس القانوني لكل منها، واحذف بيانا واحدا جمع « تحسبا ».
- أستطيع تعريف البيانات الشخصية دون تردد.
- أعرف ذكر الأساس القانوني + الغاية ل3 معالجات.
- حذفت جمعا غير ضروري هذا الأسبوع.
أسئلة شائعة
هل تعنيني اللائحة RGPD إذا لم تكن شركتي في أوروبا ؟
ربما : فللائحة مجالا خارج الإقليم — المهم معالجة بيانات أشخاص موجودين في الاتحاد الأوروبي (سلع وخدمات، تتبع)، لا مقرك. وفضلا عن اللائحة، فمعظم البلدان لها تشريعها الخاص، المستوحى غالبا من المبادئ نفسها : فأنت غالبا خاضع لقانون بلدك. فكر على مستويين : (1) قانون بلدي أولا ؛ (2) اللائحة إذا عالجت بيانات الاتحاد الأوروبي. وعند النشاط الدولي، اطلب التوجيه من مختص.
عمليا، ما بيانات شركتي المعنية ؟
انطباعك صحيح : فالمفهوم واسع عمدا — زبائن، مرشحون، أجراء ومترشحون، جهات اتصال الموردين، مستعملون (حسابات، عناوين شبكية، ملفات ارتباط). والبيانات المجهولة حقا خارج المجال (لكن الإخفاء الحقيقي صعب) وبيانات الأشخاص المعنوية ليست شخصية (لكن جهات اتصالها كذلك). والخطوة الأولى الجرد : ما البيانات، لماذا، أين، من يصل، كم المدة، لمن — وهذا يجهز سجل القسم 3.2.
قبل إنشاء أي ملف زبائن جديد، ما الذي يجب تحديده أولا ؟