معظم مشاريع الامتثال تتعثّر لأن لا أحد يعرف أين توجد البيانات.

لا يمكنك حماية بيانات لا تستطيع تحديد موقعها، ولا تقييد نقلها، ولا حذفها عند الطلب. وكل برنامج امتثال متعثّر نراه يتعثّر عند هذه النقطة تقريباً.

ما نُخرجه فعلياً

• جرد لكل نظام وقاعدة بيانات ومجلد مشترك وملف مُصدَّر يحتوي بيانات شخصية.
• فئات البيانات الشخصية في كل منها، مع تمييز الحسّاسة.
• من أين جاءت كل مجموعة بيانات، وإلى أين تذهب، ومن يستطيع الوصول إليها.
• سجل لأنشطة المعالجة يمكن تقديمه إلى الجهة الرقابية.
• النسخ التي نسيها الجميع: جداول على أقراص مشتركة، ونسخ احتياطية قديمة، وقواعد بيانات اختبارية مغذّاة بسجلات إنتاج.

السطر الأخير هو المزعج عادةً، وهو نفسه سبب أن الاكتفاء بالسياسات يتركك مكشوفاً.

هذا هو الجزء الذي لا يبيعه سوق الامتثال في الغالب. نحن نأتي وننفّذ العمل.

العمل

• إزالة التكرار وتوحيد السجلات بحيث يكون الشخص الواحد سجلاً واحداً، لا تسعة.
• إصلاح المشكلات البنيوية التي تجعل الامتثال مستحيلاً: غياب حقل مدة الحفظ، وغياب مصدر الموافقة، وغياب عمود الأساس القانوني، وحقول نصّية حرّة تحتوي معرّفات.
• تصنيف مجموعات البيانات ووسمها كي يصبح بالإمكان تطبيق قواعد الوصول عليها فعلاً.
• تطبيق الحفظ والحذف على بيانات لم يبقَ سبب للاحتفاظ بها.
• فصل الإنتاج عن الاختبار والتجربة، وتنقية سجلات الإنتاج من البيئات التي ما كان ينبغي أن تصل إليها.
• إزالة البيانات الشخصية من السجلات والملفات المُصدَّرة والذاكرة المؤقتة ومستخرجات التقارير.

كل عملية حذف أو تغيير تُسجَّل، فيكون العمل نفسه قابلاً للتدقيق. نحن لا نُسقط السجلات بصمت.

بعد فهم البيانات وتنظيفها، تحتاج غالباً إلى الانتقال. فمجموعة بيانات لا يجوز قانوناً أن تبقى في موضعها الحالي هي ملاحظة تُعالَج بنقلها، لا بتوثيقها.

ما يتضمنه النقل

• نقل مجموعات البيانات إلى أنظمة ومناطق تتوافق مع فئتها.
• إحضار المعالجة إلى داخل الدولة حين لا يمكن تبرير النقل عبر الحدود.
• إعادة بناء التكاملات كي تتوقف عن نسخ البيانات الشخصية إلى مواضع لا ينبغي أن تصلها.
• التحقق من أعداد السجلات والسلامة وضوابط الوصول بعد النقل، لا قبله.
• إخراج النسخة القديمة من الخدمة، مع دليل على زوالها.

أنجزنا هذا العمل على أنظمة حيّة لعملاء في الرعاية الصحية والامتثال والتجارة، ومن هناك يأتي حذرنا في عمليات التحويل.

إن كنت قد نشرت أي شيء مدعوم بالذكاء الاصطناعي، فثغرة الامتثال نادراً ما تكون في النموذج. بل في كل ما يحيط به، وهو نادراً ما يظهر في خريطة بيانات أحد.

ما يُفوَّت باستمرار

• المطالبات، ومقاطع المستندات المُجمَّعة فيها.
• مخازن المتجهات والتمثيلات المستخرجة من سجلات شخصية.
• سجلات الاستدلال وأدوات التتبّع، التي تلتقط غالباً الحِزم الكاملة بشكل افتراضي.
• الاستجابات المخزَّنة مؤقتاً، بما فيها على البوابات وشبكات التوصيل.
• مجموعات التقييم وبيانات الضبط الدقيق المبنية من حركة الإنتاج.
• طوابير المراجعة البشرية، حيث يرى الموظفون سجلات لم يكن بوسعهم الوصول إليها.

اختبار نافع: اسأل فريقك عن مدة حفظ سجلات المطالبات. إن لم يجب أحد في غضون يوم، فتلك السجلات غير مجرودة وغالباً بلا حدّ زمني.

تنظّم المادتان 22 و23 من القانون نقل البيانات الشخصية خارج الإمارات. تسمح المادة 22 بالنقل إلى دول يُقدَّر أن لديها حماية كافية. وتغطي المادة 23 ما سوى ذلك وتضيّق الأمر إلى أسس محددة: ضرورة تعاقدية، أو موافقة صريحة، أو تعاون قضائي دولي، أو مصلحة عامة.

اقرأ ذلك في ضوء نظام تنوي تشغيله سنوات. الموافقة قابلة للسحب، والضرورة التعاقدية تكلّف تمحّلاً في أداة داخلية. ولا أحدهما أساس مريح.

إبقاء البيانات والمعالجة داخل الدولة لا يمنحك إجابة أفضل عن سؤال النقل، بل يلغي السؤال. وحيث يكون هذا هو القرار الصحيح، نبنيه على هذا النحو.

التزامات متصلة نحدّد نطاقها معك

• المادة 21: تقييم أثر موثَّق قبل بدء المعالجة عالية الخطورة.
• المادة 18: حق الاعتراض على القرارات المتخذة بمعالجة آلية.
• المادة 10: ما إذا كانت مؤسستك بحاجة إلى مسؤول حماية بيانات.

الاكتشاف أولاً، لأن كل ما بعده تخمين من دونه.

التسلسل المعتاد

1. الاكتشاف والتخطيط عبر الأنظمة، ومُخرَجه سجل أنشطة المعالجة.
2. مراجعة النتائج: ما هو قانوني اليوم، وما ليس كذلك، وما لا يمكن أن يبقى في موضعه.
3. التنظيف والمعالجة، مرتَّبة بحسب الخطورة لا بحسب السهولة.
4. النقل، حيث تحتاج مجموعة بيانات إلى موضع آخر.
5. التسليم: السجل، وأثر الأدلة، والضوابط التي يشغّلها فريقك من هنا.

ما لا نقوم به

نحن لسنا محاميك ولا نمنحك شهادة. ننفّذ العمل على البيانات والهندسة، ونوثّقه كي يستند إليه مستشارك القانوني ومقيّموك. وحيث تكون المسألة حكماً قانونياً، نقول ذلك ونوجّهك إلى من يقدّمه.