كيف توفّر الهيكلة السليمة لاستشارات الامتثال لتنظيمات البيانات الملايين
الامتثال للبيانات في دولة الإمارات مكلف لا لأن القواعد صارمة، بل لأن معظم المجموعات تكتشف الانقسام بين الأنظمة الاتحادية ونظامَي مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) بعد أن تكون الأنظمة قد بُنيت بالفعل.
يتوقف تحديد نظام البيانات الإماراتي الذي يحكم كياناً ما على مكان تسجيل ذلك الكيان وعلى الكيان الذي يقرر سبب المعالجة، لا على مكان وجود الخادم. فالمجموعة التي تضم شركة تجارية في البر الرئيسي وكياناً قابضاً في مركز دبي المالي العالمي ومدير صناديق في سوق أبوظبي العالمي تدير نظاماً واحداً لإدارة علاقات العملاء وملفاً واحداً للموارد البشرية عبر ثلاثة قوانين منفصلة في آنٍ واحد، وترتيب العمل هو الذي يحدد كلفته.
روجعت بواسطة Mohamed Noureldin، Founder, Managing Partner & Senior Legal Consultant
يتوقف معظم أعمال الامتثال للبيانات في دولة الإمارات على سؤال لا علاقة له بالتقنية: تحت أي نظام يقع هذا الكيان؟ فالشركة المسجلة في البر الرئيسي أو في منطقة حرة تجارية تجيب أمام قانون حماية البيانات الشخصية الاتحادي، المرسوم بقانون اتحادي رقم (45) لسنة 2021. والشركة المسجلة في مركز دبي المالي العالمي (DIFC) تجيب أمام قانون حماية البيانات الصادر عن مركز دبي المالي العالمي وأمام مفوض حماية البيانات في المركز. والشركة المسجلة في سوق أبوظبي العالمي (ADGM) تجيب أمام تنظيمات حماية البيانات الصادرة عن السوق وأمام جهتها التنظيمية الخاصة. وتتشارك الأنظمة الثلاثة أصلاً مشتركاً في مبادئ حماية البيانات على النمط الأوروبي، لكنها قوانين منفصلة، تديرها جهات منفصلة، ولها آليات منفصلة للتسجيل والإخطار والإنفاذ.
ذات صلة: تغطي ممارستنا الاستشارية في حماية البيانات الأنظمة الإماراتية الثلاثة جميعها.
هذه هي المشكلة كلها في جملة واحدة. فالمجموعة الواحدة التي تضم شركة تجارية في البر الرئيسي وكياناً قابضاً في مركز دبي المالي العالمي ومدير صناديق في سوق أبوظبي العالمي تدير مجموعة واحدة من سجلات العملاء، وملفاً واحداً للموارد البشرية، ونظاماً واحداً لإدارة علاقات العملاء، وعقداً سحابياً واحداً، عبر ثلاثة أنظمة قانونية في آنٍ واحد. والامتثال ليس مكلفاً لأن القواعد صارمة؛ بل هو مكلف لأن معظم المجموعات تكتشف الانقسام بعد أن تكون الأنظمة قد بُنيت بالفعل.
تدفق بيانات واحد، وثلاثة أنظمة
ابدأ بالتدفق لا بالسياسة. فبيانات العملاء التي تجمعها كيان البر الرئيسي وتُدفع إلى نظام مشترك لإدارة علاقات العملاء مستضاف لصالح المجموعة هي نقل خارج النطاق الاتحادي. وسجلات الموارد البشرية المحفوظة مركزياً لموظفين يعملون لدى كيان في مركز دبي المالي العالمي تخضع لقواعد المركز أياً كان من يحفظ الملف. وحيث تدير المجموعة وظيفة خدمات مشتركة، فإن الكيان الذي يقرر سبب معالجة البيانات وكيفيتها هو المتحكم، وهذا التحديد هو الذي يقرر أي القوانين يسري — لا مكان وجود الخادم.
ذات صلة: اطّلع على خدمتنا في استشارات الامتثال لتنظيمات البيانات لأعمال تحديد النطاق من هذا النوع.
المخرَج العملي لذلك التمرين هو سجل لأنشطة المعالجة يكون صادقاً على مستوى الكيان لا على مستوى المجموعة. وينبغي أن يحدد، لكل نشاط معالجة: الكيان المتحكم، والنظام الذي يقع تحته، والأساس القانوني المعتمد، وفئات الأفراد المعنيين، ومن تُشارك البيانات معه، وأين تذهب خارج دولة الإمارات. والمجموعات التي تحفظ هذا السجل بدقة تجيب عن أسئلة الجهة التنظيمية في أيام؛ أما التي لا تحفظه فتقضي أسابيع في إعادة بنائه تحت الضغط.
المستندات الثلاثة التي تحمل العبء
إلى جانب سجل المعالجة، ثلاث أدوات تؤدي معظم العمل في الممارسة العملية.
تقييمات أثر حماية البيانات. تستدعي المعالجة الأعلى مخاطرة — كالتنميط واسع النطاق، أو البيانات الحيوية أو الصحية، أو المراقبة المنهجية — تقييماً قبل بدء المعالجة. وقيمته ليست في المستند ذاته، بل في أنه يفرض قراراً بشأن النطاق مبكراً، حين لا يزال تضييق مجموعة البيانات لا يكلف شيئاً.
آليات النقل. يسمح كل نظام بالنقل إلى الخارج بشروطه الخاصة، سواء من خلال قرار كفاية بشأن الولاية القضائية المستقبِلة أو من خلال ضمانات تعاقدية بين المصدِّر والمستورِد. والمجموعة التي وثّقت عمليات النقل داخلها بآلية أحد الأنظمة وافترضت أنها تنسحب على الآخرين لديها فجوة لا تراها عادة.
عقود المعالجين. كل مزود سحابي ومكتب رواتب ووكالة تسويق ومركز دعم خارجي هو معالِج، ويشترط كل نظام توثيق العلاقة بتعليمات والتزامات أمنية وضوابط على المعالجة من الباطن وموقف مما يحدث للبيانات في النهاية. وهذه البنود رخيصة الإدراج حين يُوقَّع العقد وبطيئة التركيب بأثر رجعي بعدئذ.
أين تقع الكلفة فعلياً
الغرامات التنظيمية هي الخطر المرئي، وينص كل نظام على جزاءات إدارية. لكن في تجربتنا، الكلفة الأكبر تقع في مكان آخر.
- الفحص النافي للجهالة في الصفقات. يسأل المشترون والمستثمرون في شركات التقنية المالية والرعاية الصحية والأعمال الاستهلاكية عن سجل المعالجة وأوراق النقل وسجل البلاغات عن الاختراقات. والأجوبة الواهنة تُنتج تعديلات في السعر وتعويضات وتأخيراً.
- التركيب بأثر رجعي. إعادة بناء آلية الحصول على الموافقات أو قواعد الاحتفاظ أو ضوابط الوصول في منتج قائم هي مشروع تطوير لا مشروع قانوني، وتُسعَّر على هذا الأساس.
- الاستجابة للاختراقات. الحادثة التي تقع في مجموعة لم ترسم خريطة بياناتها تقضي أسبوعها الأول في تحديد بيانات من كانت وأي جهة تنظيمية يجب إخطارها — وهو الأسبوع نفسه الذي تسري فيه التزامات الإخطار.
- إعادة التفاوض على العقود. يفرض العملاء شروطهم الخاصة بالبيانات على نحو متزايد. والمورّد الذي يعجز عن الوفاء بها إما أن يتحمل مسؤولية لم يسعّرها وإما أن يخسر التفويض.
تسلسل قابل للتطبيق
الترتيب أهم من الجهد. ارسم خريطة الكيانات وأكّد أي نظام يحكم كل منها. ارسم خريطة تدفقات البيانات بينها وإلى خارج دولة الإمارات. ثبّت أدوار المتحكم والمعالِج كتابةً. ثم، وحينئذٍ فقط، صُغ السياسات — فإخطار الخصوصية المكتوب قبل أن يعرف أحد أي قانون يسري هو مستند سيُعاد كتابته.
وحيث تتعامل المجموعة أيضاً مع الأصول الافتراضية أو تعمل بموجب ترخيص خدمات مالية، ينبغي أن يسير عمل البيانات جنباً إلى جنب مع نظام القطاع لا بعده؛ فملف العميل نفسه يخضع غالباً لكليهما، وقد تختلف إجابات الاحتفاظ. ويعمل فريقنا في استشارات الامتثال لتنظيم الأصول المشفرة مع فريق البيانات حيث تتداخل تلك الالتزامات.
لا يتطلب أي من هذا برنامجاً ضخماً. بل يتطلب معرفة أي الأنظمة الثلاثة يسري على كل كيان، والبناء انطلاقاً من هناك.
خدمات ذات صلة: اطّلع على خدمتنا في استشارات الامتثال لتنظيمات البيانات للحصول على دعم قانوني عملي في هذا المجال.
إخلاء مسؤولية: المعلومات الواردة في هذه المقالة هي لأغراض التعريف العام فقط ولا تشكّل استشارة قانونية. وعلى القرّاء طلب المشورة القانونية المتخصصة المواءمة لظروفهم الخاصة قبل اتخاذ أي قرار أو إجراء بناءً على محتوى هذه المقالة.
فريق نور اتورنيز
