مخطط انسيابي لطلبات أصحاب البيانات في GDPR: من الاستلام إلى الإغلاق
مخطط انسيابي لعملية طلبات أصحاب البيانات الشخصية: تسجيل الطلب وبدء مهلة الشهر، والتحقق من الهوية، وفرز الحق المطلوب، والبحث في الأنظمة والمعالِجين، وحجب بيانات الغير، والتمديد عند التعقيد، ثم الرد وتوثيق القرارات.
كيف تعمل
أعد تسمية المسارات لتطابق أدوارك
استبدل صاحب البيانات وفريق استقبال الطلبات ومسؤول حماية البيانات والشؤون القانونية وملّاك الأنظمة والبيانات بالأدوار الموجودة لديك فعلاً. فكثير من المؤسسات لا يوجد فيها مسؤول لحماية البيانات ولا مستشار قانوني داخلي: ادمج هذين المسارين في مسؤول خصوصية واحد، وسمِّ المكتب الخارجي الذي تستشيره في المسائل الصعبة، بدل رسم مراجِع لا يراجع شيئاً. وأبقِ مسار ملّاك الأنظمة والبيانات مستقلاً مهما كان حجمك، لأن البحث ينفّذه من يشغّل الأنظمة لا من يملك العملية.
اسرد كل قناة قد يصل عبرها الطلب
لا يشترط أن يكون الطلب مكتوباً، ولا أن يذكر اللائحة العامة لحماية البيانات، ولا أن يصل إلى فريق الخصوصية أصلاً. اكتب كل مسار يسلكه فعلاً — بريد الدعم، ونموذج التواصل، ووسائل التواصل الاجتماعي، والهاتف، والبريد الورقي، ومكتب الاستقبال، والمدير المباشر، وخطاب من محامٍ — وأسنِد لكل قناة مالكاً تعليماته أن يمرّره في اليوم نفسه دون أن يقيّمه. ثم حدّد المكان الواحد الذي تُسجَّل فيه الطلبات، ليكون تاريخ الاستلام موجوداً في نظام واحد لا في صندوق الصادر عند أحدهم.
اكتب قواعد التحقق من الهوية قبل أن تحتاجها
قرّر مسبقاً درجة التحقق التي تنطبق على كل فئة من مقدّمي الطلبات: صاحب حساب موثّق، وموظف سابق، وطرف ثالث يتصرف بموجب توكيل، ووالد يطلب نيابةً عن طفله. وبيّن أي دليل يزيل أي شك، وكم تحتفظ به، ومتى يُحذف. ثم دوّن موقفك مما إذا كان طلب أدلة الهوية يوقف احتساب المهلة، فالإرشادات تتباين بين الجهات الرقابية، والموقف الذي تتبنّاه يجب أن يكون ثابتاً ومكتوباً لا أن يُقرَّر مع كل طلب على حدة.
ابنِ جرد الأنظمة الذي يقوم عليه البحث
«البحث في الأنظمة والنسخ الاحتياطية والمعالِجين» لا يساوي أكثر من القائمة التي تقف خلفه. خذ سجل أنشطة المعالجة لديك وحوّله إلى قائمة تحقق للبحث تسمّي كل تطبيق وصندوق بريد وقرص مشترك ونظام تذاكر ومنظومة كاميرات مراقبة وأرشيف تسجيلات مكالمات ومعالِج، ومعها من ينفّذ البحث وكم يستغرق. وأضف موقفك الثابت من النسخ الاحتياطية والأرشيف. فقائمة التحقق تعني أن الطلب نفسه ينتج النتيجة نفسها مرتين، وهذا تحديداً ما تختبره السلطة الرقابية.
حدّد معيار الحجب والاستثناءات
أرفق معاييرك بخطوة «مراجعة بيانات الغير والسرية القانونية» حتى لا يكون الحجب ارتجالاً: متى يجوز الإفصاح عن بيانات طرف ثالث، ومتى تُطلب موافقته، ومتى يكون الإفصاح معقولاً من دونها، وكيف يُتمسَّك بسرية المشورة القانونية ومن يملك ذلك. واسرد الاستثناءات التي تستند إليها في ولايتك القضائية، واشترط تدوين السبب أمام كل عنصر محجوب. فالحجب الذي تم بلا سبب مكتوب لا يستطيع الدفاع عنه بعد أشهر من لم يكن حاضراً.
ضع مواعيد داخلية داخل الشهر ثم انشر المخطط
اعمل بالعدّ التنازلي من الموعد النهائي وأعطِ كل خطوة تاريخها المستهدف: اكتمال البحث في اليوم 10، واكتمال المراجعة في اليوم 18، والاعتماد في اليوم 24. فالشهر النظامي هو الحد الأقصى لا الخطة، وقرار التمديد يجب أن يُتخذ وما زال هناك وقت لإبلاغه. ثم استعرض المخطط مع فريق الاستلام وأحد ملّاك الأنظمة ومن يعتمد الردود، وصحّحه ليطابق ما يفعلونه فعلاً، وانشر تلك النسخة مع الاحتفاظ بالنسخ السابقة.
الأسئلة الشائعة
ما خطوات عملية طلبات أصحاب البيانات وفق GDPR؟
استلم الطلب عبر أي قناة وصل منها، وسجّله وابدأ مهلة الشهر من تاريخ الاستلام، وأقرّ باستلامه، وتحقق من هوية مقدّمه بقدر متناسب، وافرز أي حق يُمارَس، واختبر ما إذا كان الطلب بلا أساس واضح أو مفرطاً، واتفق على النطاق ولا تطرح سؤالاً توضيحياً إلا إذا كنت تحتاجه فعلاً، وابحث في كل نظام ونسخة احتياطية ومعالِج قد يحتفظ بالبيانات، وراجع النتيجة بحثاً عن بيانات الغير وعن المراسلات المشمولة بالسرية القانونية، وطبّق ما ينطبق من استثناءات ودوّن سبب كل منها، وقرّر ما إذا كان الطلب معقّداً بما يستوجب تمديد الشهرين وأبلغ مقدّمه إن كان كذلك، وجمّع الرد وأسبابه، وسلّمه بأمان إلى الشخص المتحقق منه، وقيّد الطلب وكل قرار اتُّخذ فيه، وأخبر مقدّمه كيف يشتكي إن لم يقتنع. والخطوتان اللتان تُقفَزان عادةً هما الفرز ومراجعة الحجب، وهما بالذات مصدر الشكاوى.
كم من الوقت لديك للرد على طلب الاطلاع على البيانات؟
شهر واحد. تُلزم المادة 12(3) من اللائحة العامة لحماية البيانات المتحكمَ بتقديم معلومات عن الإجراء المتخذ دون تأخير غير مبرّر، وخلال شهر واحد من تسلّم الطلب على أي حال. وهو شهر تقويمي لا عدد أيام عمل، فينتهي في اليوم المقابل من الشهر التالي — وفي آخر يوم من ذلك الشهر إن لم يوجد يوم مقابل، وفي يوم العمل التالي إن صادف اليوم المقابل عطلة أسبوعية أو عطلة رسمية، وفق قواعد احتساب المدد المعمول بها. ويمكن تمديده بشهرين إضافيين حين يكون الطلب معقّداً أو حين يقدّم الشخص نفسه عدة طلبات، لكن بشرط إبلاغ مقدّم الطلب بالتمديد وأسبابه داخل الشهر الأول. وتتباين الجهات الرقابية في ما إذا كان احتساب المهلة يتوقف بانتظار أدلة الهوية أو توضيح النطاق، فدوّن الموقف الذي تتبعه وطبّقه باطّراد. وعملياً نادراً ما يضيع الموعد في البحث، بل يضيع في الأيام بين وصول الطلب إلى مكان ما في المؤسسة وبلوغه المسؤول عن الرد عليه.
هل يمكن رفض طلب صاحب البيانات؟
أحياناً، لكن نادراً للأسباب التي يتجه إليها الذهن أولاً. تتيح المادة 12(5) للمتحكم فرض رسم معقول أو رفض التصرف حين يكون الطلب بلا أساس واضح أو مفرطاً، وعبء إثبات ذلك يقع عليه هو. فالطلب الواسع أو المزعج أو المقدَّم في خضم نزاع ليس بالضرورة مفرطاً. وإلى جانب ذلك، ينص قانون حماية البيانات في ولايتك القضائية على استثناءات تتيح حجب مواد بعينها لا رفض الطلب برمّته، وحق المحو في المادة 17 مقيَّد: فالفقرة 3 منها تحفظ البيانات التي يلزمك القانون بالاحتفاظ بها أو التي تحتاجها لإقامة دعوى قضائية أو ممارستها أو الدفاع عنها. والرفض ليس صمتاً: يبقى عليك الرد داخل المهلة، وبيان الأسباب، وإخبار الشخص بأن له أن يشتكي إلى السلطة الرقابية وأن يلجأ إلى القضاء. ولهذا يرسم هذا المخطط الرفض خطوةً تُنتج رداً، وتُقيَّد إلى جانب كل نتيجة أخرى، ويمكن تصعيدها، بدل أن يترك الطلب المرفوض يسقط بهدوء خارج العملية.
ماذا تفعل ببيانات الأشخاص الآخرين في الرد؟
طلب الاطلاع حق في البيانات الشخصية لمقدّم الطلب نفسه، لا في نسخة من كل وثيقة ورد فيها ذكره، والخلط بين الأمرين سهل حين تكون المادة سلاسل بريد أو ملفات شكاوى أو ملاحظات تقييم أداء. وتقول المادة 15(4) إن الحق في الحصول على نسخة يجب ألا يمسّ حقوق الآخرين وحرياتهم. وعملياً يعني ذلك ثلاثة خيارات أمام كل معلومة تخصّ طرفاً ثالثاً: أن تحجبها، أو أن تطلب موافقة ذلك الشخص على الإفصاح، أو أن تقدّر أن الإفصاح معقول من دون موافقته بالنظر إلى طبيعة البيانات، وما إذا كان الشخص مرتبطاً بواجب سرية، وما إذا كان قد رفض. ودوّن أي خيار أخذت به ولماذا. وأجرِ المراجعة مرة واحدة على الحزمة المجمَّعة لا نظاماً بنظام، واجعل شخصاً واحداً مسمّى يعتمدها، واحتفظ بنسخة غير محجوبة مما جرت مراجعته حتى يمكن تفسير القرار إن اعتُرض عليه.
بم يختلف هذا عن مخطط عملية طلب الوصول إلى البيانات؟
الصفحتان تخضعان لسلطتين مختلفتين. فمخطط عملية طلب الوصول إلى البيانات على /ar/templates/عملية-طلب-الوصول-إلى-البيانات داخلي: موظف أو فريق يطلب الوصول إلى مجموعة بيانات ليؤدي عمله، وتقرّر المؤسسة بناءً على الغرض والحساسية والأساس القانوني وشروط الاستخدام، ثم تمنح صلاحية محدّدة النطاق ومؤقتة يمكنها سحبها. ولا موعد نهائي هناك سوى ما تضعه أنت، ويجوز لك ببساطة أن ترفض. أما هذه الصفحة فحق نظامي يمارسه فرد من الجمهور: الموعد النهائي مصدره المادة 12(3) لا اتفاقية مستوى خدمة، والنتيجة حزمة معلومات تُسلَّم لا إذن يُمنح، ومن في الطرف الآخر يستطيع الشكوى إلى سلطة رقابية إن أخطأت. فإن كنت تحكم من يحق له داخل المؤسسة الاستعلام عن جدول بيانات فاستخدم القالب الداخلي، وإن كان شخص من خارجها يسأل عمّا تحتفظ به عنه فاستخدم هذا القالب.