الامتثال للقانون العام لحماية البيانات والشركات الصغيرة

لا، ليست كذلك. ينطبق القانون العام لحماية البيانات (GDPR) كلما جمعت شركة بيانات شخصية من شخص موجود في الاتحاد الأوروبي. وينطبق ذلك سواء كنت تدير نشاطًا تجاريًا بمفردك أو لديك مكاتب في ست قارات.

ومع ذلك، لا يُشترط عليك الاحتفاظ بسجل مكتوب لأنشطة معالجة البيانات إذا كان لديكأقل من 250 موظفًا، إلا إذا:

• قد تؤثر أنشطة معالجة البيانات على حقوق الأفراد وحرياتهم

• تُعالج بيانات خاضعة لأحكام المادة 9 من القانون العام لحماية البيانات. وهي البيانات التي تكشف عن ما يلي لدى الفرد:
  • العرق أو الأصل العرقي
  • المعتقدات السياسية أو الدينية أو الفلسفية
  • الانتماء إلى نقابة عمالية
  • البيانات الجينية أو البيومترية، أو البيانات المتعلقة بصحة الشخص أو حياته الجنسية

• تعالج بيانات شخصية خاضعة لأحكام المادة 10، وهي بيانات متعلقة بالجرائم الجنائية والإدانات

• تعالج البيانات الشخصية على نحو منتظم

لن تندرج العديد من الشركات الصغيرة وأصحاب الأعمال الفردية ضمن الاستثناءات الثلاثة الأولى.

ولكن ماذا عن الاستثناء الرابع؟ أشارتلجنة الخصوصية البلجيكيةإلى أن معالجة البيانات ليست كلها "منتظمة"، حتى وإن كنت تقوم بها يوميًا. وفقًا لهذا التفسير، لا تحتاج إلى الاحتفاظ بسجلات للبيانات الشخصية التي تستخدمها لإجراء الطلبات أو للتواصل مع العملاء، على سبيل المثال. ولكن يبدو أن ورقة موقف أعدّهافريق العمل المعني بالمادة 29— وهو الجهة التي سبقت مجلس حماية البيانات الأوروبي — تشير إلى أنه ينبغي تفسير كلمة "منتظم" تفسيرًا حرفيًا. وقد وافق مجلس حماية البيانات الأوروبي على ذلك. نظرًا لأن الوضع القانوني غير واضح تمامًا، فمن الأفضل الاحتفاظ بالسجلات، حتى إذا كنت تعتقد أنك معفى. ومن الأفضل توخي الحذر بدل الندم لاحقًا.

نعم. ينطبق القانون العام لحماية البيانات (GDPR) على الشركات الأمريكية إذا:

• مزاولة الأعمال في الاتحاد الأوروبي

• لا تمارس الأعمال في الاتحاد الأوروبي، ولكنك تجمع البيانات الشخصية الخاصة بأشخاص موجودين فعليًا في الاتحاد الأوروبي أو تتتبعها (ويشمل ذلك الأشخاص المسافرين في الاتحاد الأوروبي، لكنهم لا يقيمون فيه عادةً). قد تقوم بذلك دون أن تدرك ذلك. على سبيل المثال، إذا كان من الممكن استخدامملفات تعريف الارتباطالخاصة بموقعك على الويب لتحديد هوية أحد الأفراد، فإنها تُعدّ بيانات شخصية بموجب القانون العام لحماية البيانات

إذا كنت تريد مواصلة ممارسة الأعمال في الاتحاد الأوروبي، فيجب عليك الامتثال للقانون العام لحماية البيانات. وإلا، فإنك تخاطر بالتعرض لغرامة باهظة. إذا كنت لا تمارس أعمالًا في الاتحاد الأوروبي، فلديك خياران:

• الامتثال للقانون العام لحماية البيانات (GDPR) على أي حال

• تقييد الوصول إلى موقع الويب الخاص بك بحيث لا يتمكن من جمع البيانات الشخصية من الأشخاص الموجودين في الاتحاد الأوروبي

عندما دخل القانون العام لحماية البيانات حيز التنفيذ لأول مرة، منع العديد من مواقع الويب الأمريكية المستخدمين من الاتحاد الأوروبي من الوصول إليه حتى لا تخالف القانون العام لحماية البيانات. على سبيل المثال، كانأكثر من 1000 موقع إخباري أمريكيغير متاح في الاتحاد الأوروبي حتى أغسطس 2018. قرر بعض الناشرين الانسحاب من الاتحاد الأوروبي نهائيًا. علّق تشارلز آرمز، المتحدث باسم شركة Lee Enterprises، قائلًا: "إن نسبة استخدام الإنترنت الواردة إلى مواقعنا الإخبارية المحلية من الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبيةضئيلة للغاية، ونعتقد أن حظر نسبة الاستخدام هذه يصب في مصلحة عملائنا في مجال الإعلام المحلي." ومع ذلك، تمكنت العديد من مواقع الويب الأمريكية الآن من العودة إلى إتاحة خدماتها في الاتحاد الأوروبي دون أي مشكلات. ويمكن أيضًا أن يظل موقع الويب الخاص بشركتك الصغيرة متاحًا في الاتحاد الأوروبي دون الوقوع في مشكلات. ما ينقلنا إلى النقطة التالية.

وضع شركتك الصغيرة على الطريق نحو الامتثال للقانون العام لحماية البيانات ليس بالصعوبة التي قد تتصورها. إليك قائمة تحقق للامتثال للقانون العام لحماية البيانات لمساعدتك على البدء.

1. ما البيانات الشخصية التي تجمعها؟

يجب أن تعرف المعلومات الشخصية التي تجمعها، وما إذا كان أي منها حساسًا، أي ما إذا كان يندرج ضمن الفئات المنصوص عليها في المادتين 9 و10 من القانون العام لحماية البيانات (GDPR). يجب أن تسأل نفسك أيضًا:

• من أين تأتي المعلومات؟

• لماذا تقوم بجمعها؟

• ما الذي تفعله بها؟

ستحتاج إلى أن تكون قادرًا على الإجابة عن هذه الأسئلة إذا طُرحت عليك.

2. هل لديك موافقة؟

ما لم يكن لديك أسباب قانونية لاستخدام البيانات الشخصية، يجب على الأفراد منح موافقتهم. يجب أن يكون هذا:

• متوفر بحرية

• محدد

• مُطلع

• غير غامض

يجب أن تحتفظ بسجل موافقة مكتوب. عليك أيضًا أن تجعل سحب الموافقة سريعًا وسهلًا. يمكن أن يساعدك هنابرنامج إدارة علاقات العملاءمتوافق مع القانون العام لحماية البيانات. على وجه الخصوص، يمكن:

• الاحتفاظ بسجل مكتوب بأسماء الأشخاص والبيانات الشخصية التي تحتفظ بها عنهم

• تسجيل موافقتهم، مع تحديد الغرض الذي وافقوا على استخدام بياناتهم من أجله (على سبيل المثال، لتلقي نشرتك الإخبارية الشهرية)

• منح الأشخاص طريقة سهلة لسحب موافقتهم إذا غيّروا رأيهم (على سبيل المثال، من خلال آليات "إلغاء الاشتراك" بنقرة واحدة)

3. هل البيانات آمنة؟

تتحمل شركتك مسؤولية البيانات الشخصية التي تجمعها. وتخاطر بتعرضك لغرامة مالية إذا وقعت هذه البيانات في أيدٍ غير أمينة. لذلك:

• استخدم برامج التشفير عند تخزين البيانات الشخصية أو نقلها عبر الإنترنت

• أمّن شبكتك. يُعد الموظفون غير الحريصينالسبب الرئيسي لحدوث انتهاكات البيانات، لذا لا غنى عن وضع سياسة قوية لتكنولوجيا المعلومات. عليك أيضًا الاستثمار في برامج الأمان، بما في ذلك جدار حماية

• أنشئ إشعارات لسياسة ملفات تعريف الارتباط وسياسة الخصوصية متوافقة مع القانون العام لحماية البيانات. يمكن أن تساعدكأمثلة قوالب ملفات تعريف الارتباطو أمثلة قوالب سياسة الخصوصية هذه. يمكنك أيضًا الاطلاع علىمركز التوثيق في Microsoftلمعرفة المزيد حول أفضل ممارسات القانون العام لحماية البيانات

• تحقق من امتثال مورّديكللقانون العام لحماية البيانات

4. ماذا لو كان هناك خرق خطير؟

يتعين عليك الإبلاغ عن حالات خرق البيانات الخطيرة إلى الجهة التنظيمية المختصة خلال 72 ساعة، وإلا قد تتعرض لغرامة. تأكد من وجود إجراءات واضحة للإبلاغ عن حالات خرق البيانات. والأهم من ذلك، درّب موظفيك على ما يلي:

• كن على دراية

• افهم ما يُعد خرقًا خطيرًا

• تعرّف على علامات التحذير

ما تأثير القانون العام لحماية البيانات على الشركات الصغيرة حتى الآن؟

لا شك في ذلك. الامتثال للقانون العام لحماية البيانات يستغرق وقتًا طويلًا ومكلفًا. في الفترة التي سبقت 25 مايو 2018، أمضت الشركات الصغيرة في المملكة المتحدة نحو 600 ساعة لكل شركة في الاستعداد للامتثال للقانون العام لحماية البيانات. ولا يشمل ذلك التكلفة المالية. على مستوى العالم، أنفقت الشركات الصغيرة والمتوسطة 1.3 مليون دولار أمريكي على الامتثال للقانون العام لحماية البيانات. وبالمثل، يمكن أن يكون لعدم الامتثال تأثير صادم على صافي الدخل الخاص بك. فيأول قضية بموجب القانون العام لحماية البيانات، فُرضت غرامة قدرها €20.000 (نحو $22.600) على شبكة اجتماعية ألمانية لإخفاقها في حماية البيانات الشخصية للمستخدمين، بعد أن سرق أحد المتسللين 330.000 عنوان بريد إلكتروني وكلمة مرور. ولكن رغم أنك قد تميل إلى النظر إليه باعتباره عبئًا، فإن الامتثال للقانون العام لحماية البيانات كان له أيضًا تأثير إيجابي على الشركات الصغيرة. وإليك السبب. لم يسبق للمستهلكين أن أولوا خصوصيتهم هذا القدر من الأهمية. ويتوقعون من الشركات التي يشاركونها معلوماتهم أن توليها القدر نفسه من الاهتمام. في دراسة حديثة،قال 69% من المستهلكين في الولايات المتحدةإنهم يرغبون في سنّ قانون مماثل للقانون العام لحماية البيانات في الولايات المتحدة. والأهم من ذلك، وجدت دراسة أجراهامجلس CMOأن الأعضاء الذين استعدوا للامتثال للقانون العام لحماية البيانات شهدوا تفاعلًا أفضل، وولاءً أكبر، وثقةً متزايدة من جانب المستهلكين. من الواضح أن القانون العام لحماية البيانات ليس مجرد مجموعة من القواعد عليك اتباعها لتجنب الغرامات. لا أحد يحب أن تُؤخذ معلوماته الخاصة دون موافقته. أو أن تُحفظ في مكان يمكن للمجرمين الوصول إليها فيه. وبالتالي، من خلال اتخاذ خطوات لتحقيق الامتثال للقانون العام لحماية البيانات (GDPR)، يمكنك ترسيخ صورة شركتك الصغيرة باعتبارها شركة تولي بيانات عملائها الخاصة اهتمامًا حقيقيًا. وقد يمنحك ذلك ميزة تنافسية عل ىمنافسيك.