مخطط انسيابي لطلبات أصحاب البيانات في GDPR: من الاستلام إلى الإغلاق
مخطط انسيابي لعملية طلبات أصحاب البيانات الشخصية: تسجيل الطلب وبدء مهلة الشهر، والتحقق من الهوية، وفرز الحق المطلوب، والبحث في الأنظمة والمعالِجين، وحجب بيانات الغير، والتمديد عند التعقيد، ثم الرد وتوثيق القرارات.
ما هي مخطط انسيابي لطلبات أصحاب البيانات في gdpr: من الاستلام إلى الإغلاق؟
نادراً ما يقع الخلل في طلب صاحب البيانات عند الجزء الذي تتدرّب عليه الفرق. الخلل في المقدمة. فالطلب يصل سطراً أخيراً في رسالة شكوى، أو في محادثة مع موظف دعم، أو في مكالمة هاتفية إلى أحد الفروع، فيستقر لدى شخص لا يعلم أن مهلة نظامية قد بدأت لحظة الاستلام. وحين يبلغ فريق الخصوصية يكون نصف الشهر قد مضى ولم يبدأ البحث بعد. والخلل الثاني هو التعامل مع الطلب بوصفه مسألة قانونية بينما هو في معظمه مسألة بحث وحجب: فالعمل الذي يستهلك الوقت هو العثور على كل نظام يحتفظ ببيانات الشخص، ثم قراءة ما يعود منها بحثاً عن بيانات أشخاص آخرين. أما الخلل الثالث فيكمن في التحقق من الهوية، لأن التحقق المتناسب يحمي صاحب البيانات، بينما التصعيد في طلب المستندات أسلوب مماطلة تعرفه الجهات الرقابية من النظرة الأولى. والعملية التي تعالج هذه الثلاثة تردّ على معظم الطلبات داخل الشهر بأريحية.
هذا المخطط هو المسار النظامي الذي يسلكه فرد من الجمهور (عميل، أو موظف سابق، أو متقدّم لوظيفة، أو شخص ملأ نموذجاً لديك يوماً ما) حين يمارس حقاً من حقوقه بموجب اللائحة العامة لحماية البيانات (GDPR). وهو ليس المسار الداخلي الذي يسلكه موظف ليحصل على مجموعة بيانات يحتاجها في عمله: فذلك اعتماد إداري عادي له مالك وغرض وشروط استخدام في نهايته، ومكانه مخطط عملية طلب الوصول إلى البيانات على /ar/templates/عملية-طلب-الوصول-إلى-البيانات. وهو ليس مسار الوصول إلى نظام أو حساب أيضاً، فذاك اعتماد وفصل للمهام وتزويد بالصلاحيات على /ar/templates/عملية-طلب-صلاحيات-الوصول. وهو الصورة المقابلة لمخطط الاستجابة لخرق البيانات على /ar/templates/الاستجابة-لخرق-البيانات-الشخصية: ذاك يدير واجب الإخطار بموجب المادتين 33 و34 على مهلة 72 ساعة حين تفقد السيطرة على بيانات شخصية، وهذا يدير مهلة شهر واحد حين يطلب منك شخص أن تبيّن له ما لديك عنه. أما إشعار الخصوصية وجدول الاحتفاظ وسجل أنشطة المعالجة التي يستند إليها هذا المخطط فوثائق حاكمة، ودورة صياغتها واعتمادها ومراجعتها هي /ar/templates/عملية-ضبط-الوثائق.
وثلاثة أمور تتركها معظم الإجراءات المكتوبة ضمنية مرسومة هنا صناديقَ صريحة. فسؤال «هل تأكدت الهوية؟» له ثلاثة فروع لا فرعان (مؤكدة، وتلزم أدلة إضافية، ولم تثبت) فطلب الأدلة يعود إلى الاختبار نفسه بدل أن يتحوّل بهدوء إلى تعليق مفتوح، وللطلب الذي لا تثبت هوية صاحبه نهاية مسمّاة عند «مغلق: لم تثبت الهوية» بدل أن يتلاشى في صندوق بريد. و«هل الطلب بلا أساس واضح أو مفرط؟» يُجاب عنه مرة واحدة، مبكراً وفي العلن، لأن المادة 12(5) تضع عبء الإثبات على المتحكم، ولأن الرفض الذي يُتخذ في الأسبوع الأخير يبدو تماماً كرفض اتُّخذ لأن الشهر انقضى. و«هل الطلبات معقّدة أو متعددة؟» موضعه قبل تجميع الرد لا بعده، لأن تمديد الشهرين لا وجود له أصلاً ما لم يُبلَّغ به مقدّم الطلب، مع أسبابه، داخل الشهر الأول. وكل ما يلي ذلك يلتقي عند عمود إغلاق واحد: إفصاح كامل، أو حجب، أو رفض جزئي، أو رفض تام عند «الرفض مع الأسباب وحقوق الشكوى»، ويبقى الطلب مُقيَّداً عند «قيد الطلب والقرارات» وقابلاً للتصعيد، لأن الرفض الذي لم يوثّقه أحد هو أول ما تسمع به السلطة الرقابية.
ما الذي يغطيه هذا المخطط
في هذا القالب
- خمسة مسارات (صاحب البيانات، وفريق استقبال الطلبات، ومسؤول حماية البيانات، والشؤون القانونية، وملّاك الأنظمة والبيانات) موزّعة على خمس مراحل: الاستلام، والتحقق من الهوية، والفرز والنطاق، والبحث والمراجعة، ثم الرد والإغلاق
- استلام يفترض أن الطلب قد يصل من أي مكان: «ورود طلب عبر أي قناة» يغذّي «تسجيل الطلب وبدء المهلة» الذي يثبّت تاريخ الاستلام الذي تُحسب منه المهلة، ثم «الإقرار بالاستلام وتحديد التوقعات»
- قرار ثلاثي «هل تأكدت الهوية؟»، حيث يعود فرع الأدلة عبر «طلب أدلة هوية متناسبة» إلى الاختبار نفسه، ويمنح الفرع الثالث الطلب غير المثبت نهاية صريحة عند «مغلق: لم تثبت الهوية»
- فرز الحق المطلوب ممارسته فعلاً، ثم «هل الطلب بلا أساس واضح أو مفرط؟» يُجاب عنه مبكراً وعبء الإثبات فيه على المتحكم، ويمرّ فرع «نعم» منه عبر «الرفض مع الأسباب وحقوق الشكوى»، واختبار «هل النطاق واضح بما يكفي للبحث؟» الذي يسمح بسؤال توضيحي واحد محدود
- عمود البحث والمراجعة: «البحث في الأنظمة والنسخ الاحتياطية والمعالِجين»، و«مراجعة بيانات الغير والسرية القانونية»، و«تطبيق الاستثناءات وأسباب الرفض»، واختبار «هل الطلبات معقّدة أو متعددة؟» الذي يوجّه إلى «تمديد شهرين مع بيان السبب»
- عمود إغلاق واحد يعود إليه الرفض: «تصحيح أو محو أو تقييد؟» يضيف «التنفيذ وإخطار كل متلقٍّ»، ويُقيَّد كل طلب مُجاب عند «قيد الطلب والقرارات»، ويفصل «هل يعترض مقدّم الطلب على النتيجة؟» بين «إغلاق الطلب داخل المهلة» و«التصعيد إلى السلطة الرقابية»
متى تستخدم هذا القالب
- تكتب إجراء طلبات أصحاب البيانات أو تحدّثه وتحتاج صفحة واحدة تبيّن من يسجّل ومن يتحقق ومن يبحث ومن يحجب ومن يعتمد الرد
- تصل الطلبات إلى صناديق بريد الدعم وقنوات التواصل الاجتماعي ومكتب الاستقبال، وتريد أن تبدأ المهلة من لحظة الاستلام لا من لحظة علم فريق الخصوصية بها
- تدرّب موظفي الخط الأول الذين تنحصر مهمتهم في هذه العملية بأن يتعرّفوا على الطلب على حقيقته ويمرّروه في اليوم نفسه
- فاتك موعد نهائي، أو أخذت التمديد متأخراً، وتريد أن يقع اختبار التعقيد قبل تجميع الرد لا بعده
- طلب منك مدقّق أو عميل أو سلطة رقابية إثبات وجود إجراء موثّق، وتحتاج أن تكون خطوتا الحجب والاستثناءات ظاهرتين كخطوتين لهما مالك
كيف تعمل
أعد تسمية المسارات لتطابق أدوارك
استبدل صاحب البيانات وفريق استقبال الطلبات ومسؤول حماية البيانات والشؤون القانونية وملّاك الأنظمة والبيانات بالأدوار الموجودة لديك فعلاً. فكثير من المؤسسات لا يوجد فيها مسؤول لحماية البيانات ولا مستشار قانوني داخلي: ادمج هذين المسارين في مسؤول خصوصية واحد، وسمِّ المكتب الخارجي الذي تستشيره في المسائل الصعبة، بدل رسم مراجِع لا يراجع شيئاً. وأبقِ مسار ملّاك الأنظمة والبيانات مستقلاً مهما كان حجمك، لأن البحث ينفّذه من يشغّل الأنظمة لا من يملك العملية.
اسرد كل قناة قد يصل عبرها الطلب
لا يشترط أن يكون الطلب مكتوباً، ولا أن يذكر اللائحة العامة لحماية البيانات، ولا أن يصل إلى فريق الخصوصية أصلاً. اكتب كل مسار يسلكه فعلاً (بريد الدعم، ونموذج التواصل، ووسائل التواصل الاجتماعي، والهاتف، والبريد الورقي، ومكتب الاستقبال، والمدير المباشر، وخطاب من محامٍ) وأسنِد لكل قناة مالكاً تعليماته أن يمرّره في اليوم نفسه دون أن يقيّمه. ثم حدّد المكان الواحد الذي تُسجَّل فيه الطلبات، ليكون تاريخ الاستلام موجوداً في نظام واحد لا في صندوق الصادر عند أحدهم.
اكتب قواعد التحقق من الهوية قبل أن تحتاجها
قرّر مسبقاً درجة التحقق التي تنطبق على كل فئة من مقدّمي الطلبات: صاحب حساب موثّق، وموظف سابق، وطرف ثالث يتصرف بموجب توكيل، ووالد يطلب نيابةً عن طفله. وبيّن أي دليل يزيل أي شك، وكم تحتفظ به، ومتى يُحذف. ثم دوّن موقفك مما إذا كان طلب أدلة الهوية يوقف احتساب المهلة، فالإرشادات تتباين بين الجهات الرقابية، والموقف الذي تتبنّاه يجب أن يكون ثابتاً ومكتوباً لا أن يُقرَّر مع كل طلب على حدة.
ابنِ جرد الأنظمة الذي يقوم عليه البحث
«البحث في الأنظمة والنسخ الاحتياطية والمعالِجين» لا يساوي أكثر من القائمة التي تقف خلفه. خذ سجل أنشطة المعالجة لديك وحوّله إلى قائمة تحقق للبحث تسمّي كل تطبيق وصندوق بريد وقرص مشترك ونظام تذاكر ومنظومة كاميرات مراقبة وأرشيف تسجيلات مكالمات ومعالِج، ومعها من ينفّذ البحث وكم يستغرق. وأضف موقفك الثابت من النسخ الاحتياطية والأرشيف. فقائمة التحقق تعني أن الطلب نفسه ينتج النتيجة نفسها مرتين، وهذا تحديداً ما تختبره السلطة الرقابية.
حدّد معيار الحجب والاستثناءات
أرفق معاييرك بخطوة «مراجعة بيانات الغير والسرية القانونية» حتى لا يكون الحجب ارتجالاً: متى يجوز الإفصاح عن بيانات طرف ثالث، ومتى تُطلب موافقته، ومتى يكون الإفصاح معقولاً من دونها، وكيف يُتمسَّك بسرية المشورة القانونية ومن يملك ذلك. واسرد الاستثناءات التي تستند إليها في ولايتك القضائية، واشترط تدوين السبب أمام كل عنصر محجوب. فالحجب الذي تم بلا سبب مكتوب لا يستطيع الدفاع عنه بعد أشهر من لم يكن حاضراً.
ضع مواعيد داخلية داخل الشهر ثم انشر المخطط
اعمل بالعدّ التنازلي من الموعد النهائي وأعطِ كل خطوة تاريخها المستهدف: اكتمال البحث في اليوم 10، واكتمال المراجعة في اليوم 18، والاعتماد في اليوم 24. فالشهر النظامي هو الحد الأقصى لا الخطة، وقرار التمديد يجب أن يُتخذ وما زال هناك وقت لإبلاغه. ثم استعرض المخطط مع فريق الاستلام وأحد ملّاك الأنظمة ومن يعتمد الردود، وصحّحه ليطابق ما يفعلونه فعلاً، وانشر تلك النسخة مع الاحتفاظ بالنسخ السابقة.
الأسئلة الشائعة
ما خطوات عملية طلبات أصحاب البيانات وفق GDPR؟
استلم الطلب عبر أي قناة وصل منها، وسجّله وابدأ مهلة الشهر من تاريخ الاستلام، وأقرّ باستلامه، وتحقق من هوية مقدّمه بقدر متناسب، وافرز أي حق يُمارَس، واختبر ما إذا كان الطلب بلا أساس واضح أو مفرطاً، واتفق على النطاق ولا تطرح سؤالاً توضيحياً إلا إذا كنت تحتاجه فعلاً، وابحث في كل نظام ونسخة احتياطية ومعالِج قد يحتفظ بالبيانات، وراجع النتيجة بحثاً عن بيانات الغير وعن المراسلات المشمولة بالسرية القانونية، وطبّق ما ينطبق من استثناءات ودوّن سبب كل منها، وقرّر ما إذا كان الطلب معقّداً بما يستوجب تمديد الشهرين وأبلغ مقدّمه إن كان كذلك، وجمّع الرد وأسبابه، وسلّمه بأمان إلى الشخص المتحقق منه، وقيّد الطلب وكل قرار اتُّخذ فيه، وأخبر مقدّمه كيف يشتكي إن لم يقتنع. والخطوتان اللتان تُقفَزان عادةً هما الفرز ومراجعة الحجب، وهما بالذات مصدر الشكاوى.
كم من الوقت لديك للرد على طلب الاطلاع على البيانات؟
شهر واحد. تُلزم المادة 12(3) من اللائحة العامة لحماية البيانات المتحكمَ بتقديم معلومات عن الإجراء المتخذ دون تأخير غير مبرّر، وخلال شهر واحد من تسلّم الطلب على أي حال. وهو شهر تقويمي لا عدد أيام عمل، فينتهي في اليوم المقابل من الشهر التالي، وفي آخر يوم من ذلك الشهر إن لم يوجد يوم مقابل، وفي يوم العمل التالي إن صادف اليوم المقابل عطلة أسبوعية أو عطلة رسمية، وفق قواعد احتساب المدد المعمول بها. ويمكن تمديده بشهرين إضافيين حين يكون الطلب معقّداً أو حين يقدّم الشخص نفسه عدة طلبات، لكن بشرط إبلاغ مقدّم الطلب بالتمديد وأسبابه داخل الشهر الأول. وتتباين الجهات الرقابية في ما إذا كان احتساب المهلة يتوقف بانتظار أدلة الهوية أو توضيح النطاق، فدوّن الموقف الذي تتبعه وطبّقه باطّراد. وعملياً نادراً ما يضيع الموعد في البحث، بل يضيع في الأيام بين وصول الطلب إلى مكان ما في المؤسسة وبلوغه المسؤول عن الرد عليه.
هل يمكن رفض طلب صاحب البيانات؟
أحياناً، لكن نادراً للأسباب التي يتجه إليها الذهن أولاً. تتيح المادة 12(5) للمتحكم فرض رسم معقول أو رفض التصرف حين يكون الطلب بلا أساس واضح أو مفرطاً، وعبء إثبات ذلك يقع عليه هو. فالطلب الواسع أو المزعج أو المقدَّم في خضم نزاع ليس بالضرورة مفرطاً. وإلى جانب ذلك، ينص قانون حماية البيانات في ولايتك القضائية على استثناءات تتيح حجب مواد بعينها لا رفض الطلب برمّته، وحق المحو في المادة 17 مقيَّد: فالفقرة 3 منها تحفظ البيانات التي يلزمك القانون بالاحتفاظ بها أو التي تحتاجها لإقامة دعوى قضائية أو ممارستها أو الدفاع عنها. والرفض ليس صمتاً: يبقى عليك الرد داخل المهلة، وبيان الأسباب، وإخبار الشخص بأن له أن يشتكي إلى السلطة الرقابية وأن يلجأ إلى القضاء. ولهذا يرسم هذا المخطط الرفض خطوةً تُنتج رداً، وتُقيَّد إلى جانب كل نتيجة أخرى، ويمكن تصعيدها، بدل أن يترك الطلب المرفوض يسقط بهدوء خارج العملية.
ماذا تفعل ببيانات الأشخاص الآخرين في الرد؟
طلب الاطلاع حق في البيانات الشخصية لمقدّم الطلب نفسه، لا في نسخة من كل وثيقة ورد فيها ذكره، والخلط بين الأمرين سهل حين تكون المادة سلاسل بريد أو ملفات شكاوى أو ملاحظات تقييم أداء. وتقول المادة 15(4) إن الحق في الحصول على نسخة يجب ألا يمسّ حقوق الآخرين وحرياتهم. وعملياً يعني ذلك ثلاثة خيارات أمام كل معلومة تخصّ طرفاً ثالثاً: أن تحجبها، أو أن تطلب موافقة ذلك الشخص على الإفصاح، أو أن تقدّر أن الإفصاح معقول من دون موافقته بالنظر إلى طبيعة البيانات، وما إذا كان الشخص مرتبطاً بواجب سرية، وما إذا كان قد رفض. ودوّن أي خيار أخذت به ولماذا. وأجرِ المراجعة مرة واحدة على الحزمة المجمَّعة لا نظاماً بنظام، واجعل شخصاً واحداً مسمّى يعتمدها، واحتفظ بنسخة غير محجوبة مما جرت مراجعته حتى يمكن تفسير القرار إن اعتُرض عليه.
بم يختلف هذا عن مخطط عملية طلب الوصول إلى البيانات؟
الصفحتان تخضعان لسلطتين مختلفتين. فمخطط عملية طلب الوصول إلى البيانات على /ar/templates/عملية-طلب-الوصول-إلى-البيانات داخلي: موظف أو فريق يطلب الوصول إلى مجموعة بيانات ليؤدي عمله، وتقرّر المؤسسة بناءً على الغرض والحساسية والأساس القانوني وشروط الاستخدام، ثم تمنح صلاحية محدّدة النطاق ومؤقتة يمكنها سحبها. ولا موعد نهائي هناك سوى ما تضعه أنت، ويجوز لك ببساطة أن ترفض. أما هذه الصفحة فحق نظامي يمارسه فرد من الجمهور: الموعد النهائي مصدره المادة 12(3) لا اتفاقية مستوى خدمة، والنتيجة حزمة معلومات تُسلَّم لا إذن يُمنح، ومن في الطرف الآخر يستطيع الشكوى إلى سلطة رقابية إن أخطأت. فإن كنت تحكم من يحق له داخل المؤسسة الاستعلام عن جدول بيانات فاستخدم القالب الداخلي، وإن كان شخص من خارجها يسأل عمّا تحتفظ به عنه فاستخدم هذا القالب.