قوانين حماية البيانات وجودتها: ماذا تصلح أولًا

عادةً ما تُناقش قوانين حماية البيانات بوصفها موضوعًا قانونيًا: السياسات وصياغة الموافقة والعقود. لكن كثيرًا من متطلباتها لا يمكن تلبيته إلا إذا عرفت الشركة ما لديها من بيانات شخصية، وأين تُخزَّن، وهل هي صحيحة. وهذه مسألة تتعلق بجودة البيانات.

تبيّن هذه المقالة مواضع التقاء قوانين الخصوصية بمشكلات البيانات اليومية، وما ينبغي ترتيبه أولًا. ونعتمد مثالًا رئيسيًا اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، لأن كثيرًا من القوانين حول العالم تقوم على أفكار مشابهة. وتختلف القواعد والمهل الدقيقة من بلد إلى آخر. هذه نظرة عامة وليست استشارة قانونية: استشر محاميًا بشأن حالتك.

اللائحة GDPR باختصار

• النطاق. تنطبق على المؤسسات في الاتحاد الأوروبي، وقد تشمل الشركات في أماكن أخرى إذا قدمت سلعًا أو خدمات لأشخاص في الاتحاد. لذا قد ينطبق عليك قانون ما حتى لو لم يكن لك مكتب في ذلك البلد.
• الموعد. تُطبَّق منذ 25 مايو 2018.
• العقوبات. تصل أعلى الغرامات إلى 20 مليون يورو أو 4% من حجم الأعمال السنوي العالمي، أيهما أعلى.

أين يلتقي القانون بجودة البيانات

يجب تصحيح البيانات غير الدقيقة

يجب أن تكون البيانات الشخصية دقيقة ومحدّثة، ويحق للأشخاص طلب تصحيح الأخطاء. وبالنسبة إلى شركة يوجد فيها العميل نفسه في نظام CRM ونظام الولاء ونظام الفوترة، فهذا ليس تعديلًا بسيطًا. فبدون سجل موحد للعميل يصل التصحيح إلى نظام واحد وتبقى القيمة القديمة في الأنظمة الأخرى.

لطلبات الأفراد مهلة محددة

يمكن للأشخاص طلب الاطلاع على بياناتهم أو تصحيحها أو حذفها. وبموجب GDPR تكون أمام الشركة عمومًا مهلة شهر واحد للرد، مع إمكانية التمديد. وللرد يجب العثور على جميع السجلات المتعلقة بالشخص. والتكرارات واختلاف كتابة الاسم وأرقام الهواتف بصيغ مختلفة تجعل هذا البحث غير موثوق.

الاختراق لا يترك وقتًا طويلًا

بموجب GDPR، يجب إبلاغ الجهة الرقابية خلال 72 ساعة من العلم بأي اختراق ينطوي على خطر على الأشخاص. وخلال هذه الساعات يجب أن تعرف البيانات المتأثرة وأصحابها. والشركة التي لا تملك قائمة ببياناتها ستنفق هذا الوقت في محاولة الإجابة عن السؤال فقط.

يجب أن تعرف كيف تُعالَج البيانات

على الشركات عمومًا الاحتفاظ بسجل لأنشطة المعالجة وتقييم مخاطر المعالجة عالية الخطورة. ويصعب فعل ذلك بأمانة بدون تتبع مسار البيانات: صورة واضحة لمصدر البيانات ووجهتها. وأكثر النقاط العمياء شيوعًا هي التقارير وعمليات التصدير التي لم يوثقها أحد.

يجب أن تكون الموافقة قابلة للتتبع

إذا كانت المعالجة تستند إلى الموافقة، فيجب أن تتمكن الشركة من إثبات الحصول عليها. والتسويق مثال نموذجي: فإذا كانت حالة الموافقة في نظام وقائمة المراسلات تُصدَّر من نظام آخر، فقد تراسل دون علمك أشخاصًا رفضوا ذلك.

ماذا تصلح أولًا

1. أنشئ قائمة بالبيانات الشخصية

حدد أين تُخزَّن البيانات الشخصية: الأنظمة الأساسية وجداول البيانات وملفات التصدير والنسخ الاحتياطية والخدمات الخارجية. وسجّل الحقول المحفوظة وسبب حفظها ومدته. فهذا أساس كل شيء تقريبًا.

2. عيّن المسؤولين

تحتاج كل مجموعة من البيانات الشخصية إلى مالك بيانات مسؤول من جانب الأعمال ومشرف بيانات يتابعها يوميًا. فبدونهما لا يجد طلب التصحيح أو الحذف من يتولاه. اطّلع على الفرق بين الدورين.

3. نظّم السجل الرئيسي للعملاء

حدد النظام الذي يُعد مصدر الحقيقة لبيانات العملاء، وكيف تُكتشف التكرارات وتُدمج. وهذه مهمة MDM التقليدية، وفائدتها تتجاوز الامتثال بكثير: إذ تصبح التقارير والتسويق أدق أيضًا.

4. ضع قواعد جودة للحقول الرئيسية

تحتاج أرقام الهواتف وأرقام الهوية والبريد الإلكتروني وحالة الموافقة والتواريخ إلى صيغ واضحة وفحوص آلية. ابدأ بالحقول المستخدمة لتحديد هوية الشخص. وسيُظهر تدقيق جودة البيانات مواضع المشكلات.

5. وثّق تدفقات البيانات

صف كيف تنتقل البيانات الشخصية بين الأنظمة، وما التقارير وملفات التصدير التي تتضمنها. فالنسخ التي لا تعرف بوجودها لا يمكن تصحيحها أو حذفها.

6. تدرّب على الإجراءات

خذ شخصًا تجريبيًا وحاول العثور على جميع بياناته وتصحيحها وإعداد رد. وأجرِ تمرينًا على الاختراق أيضًا. فالتدريب يكشف بسرعة مواضع خلل العملية ما دامت المخاطر منخفضة.

الخلاصة

توضح الوثائق القانونية ما وعدت الشركة بفعله، أما جودة البيانات فتحدد هل تستطيع فعله حقًا. فقائمة البيانات والمسؤولون الواضحون وسجل العميل الموحد والفحوص الآلية تجعل الطلبات والتصحيحات والاستجابة للاختراقات أسهل بكثير في أي بلد، ويحسّن العمل نفسه التقارير.

يمكننا المساعدة في الجانب المتعلق بالبيانات: اطّلع على خدمتي أمن البيانات وجودة البيانات. ويبقى التقييم القانوني لالتزاماتك من اختصاص محاميك.

المصادر

• اللائحة العامة لحماية البيانات (EU) 2016/679، EUR-Lex