ما هو GDPR؟ دليل بسيط لبناة التطبيقات
اللائحة العامة لحماية البيانات (GDPR) هي القانون الرئيسي لحماية البيانات في الاتحاد الأوروبي. تحدد قواعد جمع المؤسسات للبيانات الشخصية (أي معلومات عن شخص حي محدد) واستخدامها وتخزينها ومشاركتها، وتمنح الأشخاص حقوقاً على بياناتهم، مثل الاطلاع عليها أو حذفها. تُطبَّق منذ 25 مايو 2018، ويمكن أن تنطبق على الشركات خارج الاتحاد إذا خدمت أشخاصاً فيه.
ليس استشارة قانونية. هذا الدليل شرح عام يساعدك على فهم الأساسيات وطرح أسئلة أفضل. وهو لا يغني عن استشارة بشأن وضعك. للتفاصيل الرسمية، راجع صفحات حماية البيانات في المفوضية الأوروبية ودليل المجلس الأوروبي لحماية البيانات للشركات الصغيرة.
لماذا يهم GDPR عند البناء بالذكاء الاصطناعي؟
تجعل أدوات البناء بالذكاء الاصطناعي جمع البيانات سهلاً. طلب واحد يعطيك نموذج تسجيل، ونموذج اتصال، وتحليلات، ورفع ملفات، ولوحة إدارة تعرض كل مستخدم. كل واحد من هذه يجمع بيانات شخصية، واللائحة تهتم بكل ذلك.
الخبر الجيد أن معظم ما تطلبه اللائحة هو أيضاً ممارسة جيدة للمنتج:
- اجمع فقط ما تحتاجه فعلاً.
- أخبر الناس بما تفعله به.
- احفظه بأمان.
- احذفه عندما لا تحتاجه.
- اسمح للناس بالاطلاع على بياناتهم وتصحيحها وإزالتها.
هذه أسهل بكثير في التصميم من البداية منها في الإضافة بعد الإطلاق. وطرح الأسئلة الصحيحة على أداة البناء مبكراً يوفّر عليك إعادة بناء مؤلمة لاحقاً.
تشبيه من الحياة اليومية
فكّر في البيانات الشخصية كأمتعة يتركها الناس عندك، كخزانة معاطف، لكن للمعلومات. اللائحة العامة هي قواعد الخزانة:
- خذ فقط ما وافق صاحبه على تركه، لسبب يفهمه.
- لا تفتّش الجيوب لاستخدامات أخرى.
- أبقِ الغرفة مغلقة.
- أعِد الأشياء أو تخلّص منها عند الطلب أو عندما لم تعد تحتاجها.
- إذا سُرق شيء، أبلغ الجهات المعنية بسرعة.
أنت مسؤول عن المعاطف طالما هي عندك، حتى لو كلّفت غيرك بإدارة الغرفة.
المفاهيم الأساسية
ما المقصود بالبيانات الشخصية
تعرّف المفوضية الأوروبية البيانات الشخصية بأنها أي معلومات تتعلق بفرد حي محدد أو قابل للتحديد. وهذا تعريف واسع. يشمل الأسماء وعناوين البريد الإلكتروني والعناوين المنزلية وعناوين IP ومعرّفات ملفات تعريف الارتباط والصور. البيانات التي جرى «إخفاء هويتها» بالترميز (pseudonymised)، كاستبدال الأسماء برموز، قد تظل بيانات شخصية إذا أمكن ربطها بشخص.
بعض الفئات تحظى بحماية إضافية، ومنها البيانات الصحية، والبيانات البيومترية، والأصل العرقي أو الإثني، والآراء السياسية.
من ينطبق عليه
بحسب المفوضية، تنطبق اللائحة على المؤسسات المقيمة في الاتحاد الأوروبي، وعلى المؤسسات خارجه التي تقدم سلعاً أو خدمات لأشخاص في الاتحاد (بمقابل أو مجاناً) أو ترصد سلوكهم. قد تكون شركة ناشئة في الولايات المتحدة أو الإمارات لديها عملاء أوروبيون مشمولة بها. للمملكة المتحدة نسختها الخاصة، وهي UK GDPR، وهي مبنية بشكل وثيق على الأصل.
المبادئ
تقوم اللائحة على قائمة قصيرة من المبادئ. بعبارات بسيطة:
| المبدأ | ماذا يعني لتطبيقك |
|---|---|
| المشروعية والإنصاف والشفافية | لديك سبب مشروع للمعالجة، وتخبر الناس بوضوح بما تفعله. |
| تحديد الغرض | استخدم البيانات للأسباب التي جُمعت من أجلها، لا لاستخدامات مفاجئة جديدة. |
| تقليل البيانات | لا تجمع حقولاً لا تحتاجها. |
| الدقة | حافظ على صحة البيانات، ودع الناس يصححونها. |
| تحديد مدة التخزين | لا تحتفظ بالبيانات إلى الأبد؛ احذفها عندما لا تعود لازمة. |
| النزاهة والسرية | احمها من التسريب والوصول غير المصرح به. |
| المساءلة | كن قادراً على إثبات كيف تلتزم. |
الأسس القانونية
تحتاج إلى سبب قانوني، أو «أساس قانوني»، لكل طريقة تستخدم بها البيانات الشخصية. تذكر اللائحة ستة أسس: الموافقة، وتنفيذ عقد، والالتزام القانوني، والمصالح الحيوية، والمهمة العامة، والمصالح المشروعة. والموافقة ليست إلا واحدة منها. معالجة طلب لتوصيله، مثلاً، تتعلق عادةً بالعقد لا بالموافقة. أيّ أساس يناسب حالتك مسألة تقدير يجب التحقق منه بالرجوع إلى الإرشادات الرسمية.
حقوق الأشخاص
تذكر المفوضية هذه الحقوق للأفراد:
- الحق في معرفة كيفية استخدام بياناتهم
- الحق في الوصول إلى بياناتهم
- الحق في تصحيحها
- الحق في محوها
- الحق في تقييد المعالجة
- الحق في نقل البيانات (الحصول عليها بصيغة قابلة للاستخدام)
- الحق في الاعتراض
- الحقوق المتعلقة بالقرارات الآلية والتنميط
خروقات البيانات
إذا تسربت بيانات شخصية وكان الخرق قد يهدد حقوق الناس وحرياتهم، فعلى المؤسسة عموماً إبلاغ هيئة حماية البيانات دون تأخير لا مبرر له، وحيثما أمكن خلال 72 ساعة من علمها بالخرق. وفي بعض الحالات يجب إبلاغ الأشخاص المتأثرين أيضاً.
مثال عملي: تطبيق حجز لاستوديو يوغا
لنفترض أنك تبني تطبيق حجز لاستوديو يوغا لديه عملاء في ألمانيا. إليك كيف يشكّل GDPR التطبيق.
اجمع أقل. يطلب نموذج التسجيل الاسم والبريد الإلكتروني ورقم هاتف اختيارياً. المسودة الأولى طلبت أيضاً تاريخ الميلاد والعنوان المنزلي، ولا يستخدم التطبيق أياً منهما، فأُزيلا.
البيانات الصحية تحتاج عناية. يريد الاستوديو أن يسأل عن الإصابات. هذه بيانات صحية، وهي فئة خاصة لها قواعد أشد. يقرر الاستوديو التعامل مع ذلك شخصياً، فلا يجمعها التطبيق.
كن شفافاً. توضح سياسة الخصوصية ما الذي يُجمع ولماذا، وكم تُحفظ البيانات، ومن يعالجها أيضاً (مزود الاستضافة، وخدمة البريد، ومزود الدفع)، وكيف يتواصل المستخدم مع الاستوديو.
التسويق منفصل. حجز صف لا يشترك أحد في النشرة البريدية تلقائياً. هناك خانة منفصلة غير محددة مسبقاً لذلك.
الحقوق داخل المنتج. يستطيع العملاء عرض ملفهم الشخصي وتعديله، وتنزيل سجل حجوزاتهم، وطلب الحذف من صفحة حسابهم.
مدة الاحتفاظ. تُعلَّم الحسابات غير النشطة بعد فترة محددة، وتُزال إذا لم يستجب العميل. يختار الاستوديو المدة.
ملفات تعريف الارتباط. ملف تسجيل الدخول ضروري. التحليلات لا تُحمَّل إلا بعد أن يقبلها الزائر. انظر ما هي ملفات تعريف الارتباط.
الأمان. كلمات المرور مجزّأة، ومنطقة الإدارة تتطلب المصادقة الثنائية، ولا يستطيع تصدير قوائم العملاء إلا المالك.
شرح المصطلحات الشائعة
| المصطلح | ما يعنيه |
|---|---|
| البيانات الشخصية | أي معلومات عن شخص حي محدد أو قابل للتحديد. |
| المعالجة (Processing) | أي عمل يُنجز على البيانات الشخصية: جمعها وتخزينها واستخدامها ومشاركتها وحذفها. |
| صاحب البيانات (Data subject) | الشخص الذي تتعلق به البيانات. |
| المتحكم (Controller) | المؤسسة التي تقرر لماذا تُعالج البيانات وكيف، وغالباً أنت كمالك التطبيق. |
| المعالج (Processor) | شركة تعالج البيانات نيابةً عن المتحكم، مثل مزود الاستضافة أو البريد. |
| اتفاقية معالجة البيانات (DPA) | عقد بين المتحكم والمعالج يحدد كيفية التعامل مع البيانات. |
| الأساس القانوني | السبب القانوني للمعالجة، مثل الموافقة أو العقد. |
| الموافقة (Consent) | «نعم» حرّة ومحددة ومستنيرة وواضحة؛ الخانات المحددة مسبقاً لا تُحتسب. |
| بيانات الفئات الخاصة | بيانات حساسة كالبيانات الصحية أو البيومترية، لها قواعد أشد. |
| السلطة الإشرافية | الجهة الرقابية لحماية البيانات في كل بلد. |
أخطاء ومفاهيم خاطئة شائعة
- «نحن خارج الاتحاد الأوروبي، فلا ينطبق علينا.» يمكن أن ينطبق بناءً على مكان وجود مستخدميك.
- «GDPR يعني الموافقة على كل شيء.» الموافقة واحدة من ستة أسس قانونية، وغالباً ليست الأنسب.
- «شريط ملفات تعريف الارتباط يجعلنا متوافقين.» ملفات تعريف الارتباط جزء صغير. جمع البيانات والأمان والحقوق ومدة الاحتفاظ أهم بكثير.
- «مزود الاستضافة متوافق مع GDPR، إذن نحن متوافقون.» المزودون يساعدون، لكنك أنت من يقرر ما يجمعه تطبيقك وما يفعله.
- جمع البيانات «احتياطاً». كل حقل إضافي يعني مزيداً مما يجب حمايته وشرحه وحذفه.
- نسخ سياسة خصوصية موقع آخر. يجب أن تصف ما يفعله تطبيقك فعلاً.
- جعل الحذف مستحيلاً. إذا لم يستطع أحد حذف مستخدم دون مطوّر، تتحول طلبات الحقوق إلى حالات طوارئ.
ماذا تطلب من أداة البناء بالذكاء الاصطناعي؟
- «اسرد كل بيان شخصي يجمعه هذا التطبيق، وأين يُخزَّن، ولماذا هو لازم.»
- «أزل أي حقول في النماذج لا نستخدمها.»
- «أضف صفحة حساب يستطيع فيها المستخدمون عرض بياناتهم وتعديلها وتنزيلها، وطلب حذفها.»
- «ابنِ إجراءً في الإدارة يحذف المستخدم وسجلاته المرتبطة بالكامل، أو يجعل السجلات التي يجب الاحتفاظ بها مجهولة الهوية.»
- «اجعل الاشتراك في التسويق خانة منفصلة وغير محددة مسبقاً.»
- «لا تحمّل سكربتات التحليلات أو التسويق قبل الموافقة.»
- «اسرد كل خدمة من طرف ثالث تستقبل بيانات المستخدمين، حتى أضيفها إلى سياسة الخصوصية.»
- «اقصر عمليات التصدير الإدارية على دور المالك، وسجّل من صدّر ماذا.»
ثم اقرأ كيف تكتب شروط الخدمة وسياسة الخصوصية وكيف تضيف موافقة ملفات تعريف الارتباط.
GDPR وMythex
يوفر Mythex لبنات البناء، لا شهادة امتثال. تعيش بيانات تطبيقك في قاعدة بيانات المشروع الخاصة وتخزين ملفاته عند تفعيلهما، وأنت تملك الكود، وفي خطة Pro يمكنك تصدير المشروع إذا احتجت إلى نقله. أما ما يجمعه تطبيقك، وكم يحتفظ به، وكيف يمارس الناس حقوقهم، فهي قرارات تتخذها وتطلب من الوكيل بناءها. تشرح صفحة ملكية البيانات في الوثائق ما يستضيفه Mythex، وتحذر صفحة الأمان للتطبيقات التي تبنيها من ادعاء امتثال لا تملكه. وإذا احتجت إلى تفاصيل محددة، مثل مكان استضافة البيانات أو اتفاقية معالجة البيانات، فاسأل دعم Mythex قبل الإطلاق.
الأسئلة
ما هو GDPR بعبارات بسيطة؟
اللائحة العامة لحماية البيانات (General Data Protection Regulation - GDPR) هي القانون الرئيسي لحماية البيانات في الاتحاد الأوروبي. تحدد قواعد جمع المؤسسات للمعلومات عن الأشخاص واستخدامها وتخزينها ومشاركتها، وتمنح الأشخاص حقوقاً على بياناتهم. تُطبَّق منذ 25 مايو 2018.
هل ينطبق GDPR على الشركات خارج الاتحاد الأوروبي؟
نعم، يمكن ذلك. وبحسب المفوضية الأوروبية، تنطبق اللائحة على المؤسسات خارج الاتحاد التي تقدم سلعاً أو خدمات لأشخاص في الاتحاد، ولو كانت مجانية، أو التي ترصد سلوكهم. فمكان وجودك ليس السؤال الوحيد؛ مهم أيضاً من هم مستخدموك.
هل عنوان البريد الإلكتروني بيانات شخصية؟
نعم. البيانات الشخصية هي أي معلومات تتعلق بشخص حي محدد أو قابل للتحديد. الأسماء وعناوين البريد وعناوين IP ومعرّفات ملفات تعريف الارتباط (cookies) كلها قد تُعد بيانات شخصية.
هل استخدام مزود استضافة متوافق مع GDPR يجعل تطبيقي متوافقاً؟
لا. يمكن للمزود أن يساعد في الامتثال، لكنك أنت من يقرر ما البيانات التي يجمعها تطبيقك، ولماذا، ولأي مدة تُحفظ، ومن يطّلع عليها. هذه القرارات مسؤوليتك لتتخذها بشكل صحيح.
هل هذا الدليل استشارة قانونية؟
لا. إنه شرح عام يساعدك على طرح أسئلة أفضل. لوضعك الخاص، راجع الإرشادات الرسمية من الاتحاد الأوروبي أو من هيئة حماية البيانات في بلدك، أو تحدث إلى مستشار مؤهل.