الامتثال للائحة العامة لحماية البيانات (GDPR) للشركات الأردنية — متى وكيف تنطبق

من المفاهيم الشائعة الخاطئة لدى أصحاب الأعمال في الأردن أن اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) لا تعني سوى الشركات المؤسَّسة في أوروبا. والحقيقة أن اللائحة صيغت عمداً لتتبع البيانات الشخصية أينما انتقلت. فشركة برمجيات في عمّان تبيع اشتراكات لعملاء في برلين، أو متجر تجارة إلكترونية أردني يشحن إلى باريس، أو مزوّد خدمات إسناد يعالج سجلات نيابةً عن عميل هولندي، جميعهم قد يقعون ضمن نطاقها تماماً، حتى دون وجود مكتب واحد أو خادم أو موظف داخل الاتحاد الأوروبي.

لقد أصبح فهم التزامات الامتثال لـ GDPR في الأردن ضرورة عملية لا مجرد مسألة نظرية. ومع تطبيق الأردن الآن لقانونه الخاص لحماية البيانات الشخصية رقم 24 لسنة 2023، تواجه مؤسسات كثيرة واقع امتثال مزدوج: الوفاء بالقواعد المحلية إلى جانب استيفاء المتطلبات الأوروبية لأي نشاط يمسّ أفراداً في الاتحاد الأوروبي. يوضّح هذا المقال بدقة متى تصل GDPR إلى الشركات الأردنية، وماذا تتطلّب، وكيف تُقارَن بالإطار الأردني، والخطوات العملية للتوفيق بين الاثنين.

متى تنطبق GDPR الأوروبية على شركة أردنية؟

يحدَّد امتداد GDPR إلى ما وراء حدود أوروبا بموجب المادة الثالثة التي تبيّن النطاق الإقليمي للائحة. وبالنسبة لشركة مقرّها الأردن، هناك ثلاث حالات مختلفة يمكن أن تُنشئ التزامات بموجب GDPR. وفهم أيّها ينطبق عليك هو نقطة البداية لأي جهد امتثال.

تقديم السلع أو الخدمات لأفراد في الاتحاد الأوروبي

إذا كان نشاطك يقدّم عمداً سلعاً أو خدمات لأفراد موجودين في الاتحاد الأوروبي، سواء بمقابل أو مجاناً، فإن GDPR تنطبق على تلك المعالجة. والكلمة المفتاحية هي القصد. فمجرد امتلاك موقع إلكتروني قد يزوره أوروبي بالصدفة لا يكفي. إذ يبحث المنظّمون عن مؤشرات على أنك تستهدف السوق الأوروبية: عرض الأسعار باليورو، أو إتاحة التوصيل إلى دول أوروبية، أو تقديم محتوى بلغات الدول الأعضاء في الاتحاد، أو تنفيذ حملات تسويقية موجّهة لجماهير أوروبية. فوكالة سياحة أردنية تُعلن عن باقات سياحية باللغة الألمانية وتقبل حجوزات من عملاء في فيينا هي مثال واضح على الاستهداف.

مراقبة سلوك أفراد في الاتحاد الأوروبي

يتعلق المحفّز الثاني بمراقبة سلوك الأفراد أثناء وجودهم في الاتحاد الأوروبي. ويشمل ذلك طيفاً واسعاً من النشاط الرقمي الحديث: تتبّع المستخدمين عبر ملفات تعريف الارتباط والتحليلات لأغراض إنشاء الملفات، والإعلانات السلوكية، وتتبّع الموقع الجغرافي، أو بناء ملفات المستهلكين للتنبؤ بتفضيلاتهم. فتطبيق أردني للهاتف المحمول يحلّل كيفية تفاعل المستخدمين الأوروبيين معه، أو منصة تسويقية تنشئ ملفات لزوّار من الاتحاد الأوروبي، يمارس مراقبة للسلوك ومن ثمّ يقع ضمن النطاق.

العمل كمعالِج نيابةً عن مسؤول في الاتحاد الأوروبي

تقدّم شركات أردنية كثيرة خدمات مُسنَدة مثل تطوير البرمجيات، والاستضافة السحابية، ودعم العملاء، وكشوف الرواتب، وإدخال البيانات لعملاء أوروبيين. وعندما تعالج بيانات شخصية بناءً على تعليمات مسؤول مقرّه في الاتحاد الأوروبي، فأنت تعمل كمعالِج وترث التزامات مباشرة بموجب GDPR. وهذا من أكثر مسارات التعرّض لـ GDPR إغفالاً في الأردن، وعادةً ما يظهر أثناء العناية الواجبة للعميل، حين يطلب منك عميل أوروبي توقيع اتفاقية معالجة بيانات وإثبات ضماناتك.

متطلبات GDPR الرئيسية التي يجب على الشركات الأردنية استيفاؤها

بمجرد أن تحدّد أن GDPR تنطبق، تتبع ذلك مجموعة محدّدة من الالتزامات. وهذه المتطلبات صارمة، لكنها تتوافق مع ممارسات حوكمة معلومات سليمة تنفع أي مؤسسة. وفيما يلي ملخّص العناصر الأساسية التي يجري توسيعها في الأقسام التالية.

• أساس قانوني صحيح لكل نشاط معالجة، مثل الموافقة أو العقد أو الالتزام القانوني أو المصالح المشروعة.
• موافقة مقدَّمة بحرّية ومحدّدة ومستنيرة وصريحة حين تكون الموافقة هي الأساس المختار، مع وسيلة بسيطة بالقدر نفسه لسحبها.
• آليات لإعمال حقوق أصحاب البيانات، بما في ذلك الوصول والتصحيح والمحو والتقييد وقابلية النقل والاعتراض.
• سجلات لأنشطة المعالجة توثّق ما تحتفظ به من بيانات، ولماذا، ومع مَن تشاركها.
• تقييمات أثر حماية البيانات (DPIAs) للمعالجة عالية الخطورة مثل إنشاء الملفات واسع النطاق أو البيانات الحسّاسة.
• الإخطار عن الخرق للسلطة الرقابية المختصة خلال 72 ساعة من العلم بخرق مستوجِب للإخطار.
• مسؤول حماية بيانات (المُشار إليه في القانون بـ "المراقب") (DPO) حين تبلغ معالجتك العتبات التي تجعله إلزامياً.
• ممثّل في الاتحاد الأوروبي بموجب المادة 27 حين لا يكون لديك منشأة في الاتحاد لكنك مشمول بالمادة الثالثة.
• ضمانات مناسبة لعمليات نقل البيانات الدولية خارج الاتحاد الأوروبي، وأكثرها شيوعاً الشروط التعاقدية النموذجية (SCCs).

الأساس القانوني والموافقة وحقوق أصحاب البيانات

يجب أن يقوم كل فعل معالجة على أحد الأسس القانونية الستة الواردة في المادة السادسة. وحين تعتمد على الموافقة، فالمعيار مرتفع: يجب أن تكون فعلاً إيجابياً واضحاً، لا خانات محدَّدة مسبقاً أو صمتاً، ويجب أن يكون سحبها بسهولة منحها. وإلى جانب ذلك، يملك الأفراد حقوقاً قابلة للإنفاذ. فيجب أن تكون قادراً على تحديد موقع بيانات الشخص وتصحيحها أو حذفها أو تسليمها بصيغة قابلة للنقل أو وقف معالجتها، عادةً خلال شهر واحد من الطلب. وبناء عمليات داخلية قابلة للتكرار لهذه الطلبات أكثر موثوقية بكثير من الارتجال في كل مرة يصل فيها طلب، وهو يتصل مباشرة بانضباط الخصوصية والامتثال التنظيمي.

السجلات وتقييمات الأثر والإخطار عن الخرق

التوثيق هو العمود الفقري للمساءلة بموجب GDPR. فسجلات أنشطة المعالجة تمنحك أنت والمنظّمين خريطة واضحة لتدفقات بياناتك، بينما تفرض تقييمات الأثر تحليل مخاطر منظّماً قبل إطلاق أي نشاط عالي الخطورة. ولعل أكثر الالتزامات حساسية للوقت هو الإخطار عن الخرق: فبمجرد علمك بخرق للبيانات الشخصية يشكّل خطراً على الأفراد، تبدأ العدّاد نحو مهلة 72 ساعة لإبلاغ السلطة الرقابية المختصة. ولا يكون الوفاء بهذه المهلة واقعياً إلا إذا كانت لديك إجراءات كشف وتصعيد واستجابة مُدرَّب عليها مسبقاً، وهنا تثبت قيمة تقييم مخاطر وتعرّض الأمن المنظَّم.

مسؤول حماية البيانات وممثّل الاتحاد الأوروبي بموجب المادة 27

هناك دوران كثيراً ما يفاجئان الشركات الأردنية. فمسؤول حماية البيانات يصبح إلزامياً حين تنطوي أنشطتك الأساسية على مراقبة واسعة النطاق أو معالجة واسعة النطاق لبيانات من فئة خاصة. وبمعزل عن ذلك، وكثيراً ما يُخلَط بينه وبين مسؤول حماية البيانات، هناك ممثّل الاتحاد الأوروبي بموجب المادة 27: فإذا لم تكن لديك منشأة في الاتحاد ومع ذلك تنطبق عليك GDPR، وجب عليك تعيين ممثّل موجود في إحدى الدول الأعضاء ليكون نقطة اتصال للأفراد والمنظّمين. هذان التزامان مختلفان، وقد تحتاج شركة أردنية إليهما معاً في آنٍ واحد.

آليات النقل الدولي

تقيّد GDPR نقل البيانات الشخصية من الاتحاد الأوروبي إلى الدول التي لم تحصل على قرار كفاية من المفوضية الأوروبية. والأردن لا يتمتّع حالياً بمثل هذا القرار، ولذلك يتطلّب النقل إلى جهة أردنية عادةً ضماناً مناسباً. ويعني ذلك عملياً في أغلب الأحيان الشروط التعاقدية النموذجية (SCCs)، وهي نماذج عقود معتمدة مسبقاً تُلزِم المستورِد بحماية بمستوى الاتحاد الأوروبي، وكثيراً ما تُدعَم بتقييم أثر النقل وتدابير تقنية تكميلية مثل التشفير.

GDPR مقابل قانون حماية البيانات الشخصية الأردني رقم 24 لسنة 2023

أدخل قانون حماية البيانات الشخصية الأردني رقم 24 لسنة 2023 إطاراً وطنياً مبنياً على مبادئ ستبدو مألوفة لكل من درس GDPR: المعالجة المشروعة، وتحديد الغرض، وحقوق أصحاب البيانات، والالتزامات على من يتحكم في البيانات الشخصية ويعالجها. وللاطّلاع على معالجة أوفى للنظام المحلي، راجع دليلنا المخصّص حول قانون حماية البيانات الأردني. ومع أن النظامين يتشاركان الحمض النووي ذاته، فإنهما ليسا متطابقين، ومعاملتهما كأنهما قابلان للتبادل خطأ.

تنطبق GDPR تحديداً على البيانات الشخصية للأفراد في الاتحاد الأوروبي، وتحمل آليتها الخاصة للإنفاذ، وسلطاتها الرقابية، وسقف الغرامات الإدارية الكبيرة المعروف. أما القانون الأردني فيحكم المعالجة المرتبطة بالأردن ويُدار عبر هيكله الرقابي الوطني ومتطلبات الترخيص الخاصة به. وتختلف التعريفات ومواعيد الإخطار وتفاصيل الموافقة وشروط النقل عبر الحدود في تفاصيلها بين الاثنين. والنتيجة العملية أن الوفاء بأحدهما لا يستوفي الآخر تلقائياً، رغم أن برنامجاً محكم التصميم يمكن أن يعالجهما معاً.

خطوات عملية للامتثال المزدوج

المسار الأكثر كفاءة هو بناء برنامج واحد جيّد الحوكمة لحماية البيانات يستوفي المتطلب الأشدّ حيثما تباعد القانونان، بدلاً من الإبقاء على مجموعتين منفصلتين من الضوابط. ويبدو التسلسل الواقعي على النحو التالي.

• ارسم تدفقات بياناتك وحدّد كل نشاط يمسّ أفراداً في الاتحاد الأوروبي وكذلك كل نشاط مرتبط بالأردن.
• حدّد دورك في كل نشاط، سواء أكنت مسؤولاً أم معالِجاً، ووثّق الأساس القانوني الذي تعتمد عليه.
• احتفظ بسجلات معالجة موحّدة تستوفي كلاً من GDPR والقانون رقم 24 لسنة 2023.
• حدّث إشعارات الخصوصية وآليات الموافقة وممارسات ملفات تعريف الارتباط بحيث تبلغ المعيار الأعلى.
• أبرِم العقود اللازمة، بما فيها الشروط التعاقدية النموذجية لعمليات النقل من الاتحاد الأوروبي واتفاقيات معالجة البيانات مع العملاء والموردين.
• عيّن مسؤول حماية بيانات، وعند الاقتضاء، ممثّلاً في الاتحاد الأوروبي بموجب المادة 27.
• درّب على كشف الخرق والاستجابة له بحيث تصبح مهلة الـ 72 ساعة قابلة للتحقيق.
• واءِم ضوابط الهوية بحيث يكون الوصول إلى البيانات الشخصية محدوداً ومسجَّلاً ومراجَعاً، بدعم من حوكمة الهوية والوصول السليمة.

غالباً ما تسعى المؤسسات الراغبة في مرجع خارجي لبرنامج الخصوصية لديها إلى الحصول على شهادة. ومواءمة ضوابطك مع معيار معترف به لإدارة الخصوصية يمكن أن تبسّط الامتثال لـ GDPR والامتثال المحلي معاً، ويوضّح دليلنا حول شهادة ISO 27701 في الأردن كيف يدعم هذا الإطار مساءلة قابلة للإثبات أمام العملاء والمنظّمين على حدّ سواء.

أخطاء شائعة ترتكبها الشركات الأردنية

عبر عملنا مع المصدِّرين وشركات التقنية ومزوّدي خدمات الإسناد، تتكرّر الأخطاء ذاتها القابلة للتجنّب. وإدراكها مبكراً يوفّر تكلفة كبيرة ومخاطر على السمعة.

• افتراض أن GDPR لا يمكن أن تنطبق لأن الشركة لا حضور لها في أوروبا، مع تجاهل الامتداد خارج الحدود للمادة الثالثة.
• إغفال التزامات المعالِج الناشئة عن خدمة عملاء أوروبيين، إلى أن يكشف تدقيق العميل الثغرة.
• الاعتماد على موافقة غير صحيحة، مثل الخانات المحدَّدة مسبقاً أو الشروط المجمّعة، بدلاً من اختيار إيجابي واضح.
• نقل البيانات من الاتحاد الأوروبي دون وجود شروط تعاقدية نموذجية أو ضمان نقل مشروع آخر.
• الإخفاق في تعيين ممثّل بموجب المادة 27 عند اشتراطه قانوناً.
• غياب استجابة مُدرَّب عليها للخرق، ما يجعل مهلة الإخطار البالغة 72 ساعة مستحيلة التحقيق.
• معاملة الامتثال الأردني والأوروبي كأنهما شيء واحد، وإغفال المتطلبات الخاصة بكل منهما.

كيف تساعد DP Technologies في الامتثال عبر الحدود

تعمل شركة Digital Protection Technologies مع المؤسسات الأردنية على تفكيك هذه الأسئلة تحديداً. نبدأ بتقييم ما إذا كانت GDPR تنطبق على أنشطتك المحدّدة وكيف، ثم نصمّم برنامجاً متناسباً يستوفي الالتزامات الأوروبية والأردنية معاً دون ازدواج في الجهد. ويمتدّ دعمنا ليشمل رسم خرائط البيانات، وتحليل الأساس القانوني، والسجلات وتقييمات الأثر، والموافقة وإشعارات الخصوصية، وآليات النقل بما فيها الشروط التعاقدية النموذجية، وترتيبات مسؤول حماية البيانات والممثّل، والضمانات التقنية التي تدعمها، مستندين إلى عملنا الأوسع في أمن الشبكات والتطبيقات. ولأن كل حالة عبر الحدود تحمل دقائقها الخاصة، فإن هذا المقال إرشاد عام وليس استشارة قانونية؛ ونوصي بالتشاور مع DP Technologies أو مستشار قانوني مؤهل للحصول على تقدير مصمَّم وفق ظروفك.

إذا كانت شركتك تبيع إلى أوروبا، أو تخدم عملاء مقرّهم الاتحاد الأوروبي، أو تتعامل مع بيانات أفراد في الاتحاد، فإن الافتراض الأكثر أماناً هو أن GDPR قد تنطبق عليك بالفعل. والخطوة التالية هي تحديد موقعك بدقة وسدّ أي ثغرات قبل أن يفعل ذلك تدقيق عميل أو منظّم بدلاً منك. تواصل مع DP Technologies لمناقشة امتثالك عبر الحدود وبناء برنامج يحمي عملك على جانبي الخريطة معاً.