ما هي اتفاقية معالجة البيانات؟ شرح واستخدام

ما هي اتفاقية معالجة البيانات؟ هي اتفاقية مكتوبة بين مؤسسة تُعالج بيانات شخصية والجهة التي تُجري هذه المعالجة نيابةً عنها. يعود أصل المصطلح إلى قانون حماية البيانات الشخصية القديم، الذي كان يُشير إلى "المعالج". منذ 25 مايو/أيار 2018، دخلت اللائحة العامة لحماية البيانات (GDPR) حيز التنفيذ، وأصبح يُطلق على العقد نفسه رسميًا اسم اتفاقية معالجة البيانات. من حيث المضمون، تتناول الاتفاقية نفسها: من يُسمح له بالتصرف في البيانات، وكيف يتم تأمينها، وماذا يحدث في حال حدوث أي خلل. يُحدد المحتوى الإلزامي في المادة 28 من اللائحة العامة لحماية البيانات. فيما يلي شرح وتطبيق عملي، بالإضافة إلى النقاط التي غالبًا ما تُسبب مشاكل للشركات الصغيرة والمتوسطة.

الإجابة المختصرة

• ما هو: عقد إلزامي بين المتحكم والمعالج فيما يتعلق بمعالجة البيانات الشخصية.
• الاسم: "اتفاقية المعالج" هو المصطلح القديم لـ Wbp؛ بموجب اللائحة العامة لحماية البيانات، يطلق عليها اتفاقية المعالج.
• الأساس القانوني: المادة 28 من اللائحة العامة لحماية البيانات، مع المحتوى الإلزامي في الفقرة 3، الفرعية أ إلى ح.
• متى: بمجرد أن يقوم طرف خارجي بمعالجة البيانات الشخصية نيابة عنك، مثل مزود خدمة الاستضافة أو معالج الرواتب أو مورد نظام إدارة علاقات العملاء.
• الشكل: كتابيًا، كما يُسمح أيضًا بالتقديم الإلكتروني (المادة 28 الفقرة 9 من اللائحة العامة لحماية البيانات).
• المخاطر: في حالة عدم وجود اتفاقية، فإن كلا الطرفين ينتهكان اللائحة العامة لحماية البيانات (GDPR) ويمكن لهيئة حماية البيانات الهولندية اتخاذ إجراءات إنفاذ القانون.

ما هي اتفاقية معالجة البيانات تحديداً؟

ينص اتفاق معالجة البيانات على أن يقوم طرف خارجي بمعالجة البيانات الشخصية حصراً وفقاً لتعليماتك وليس لأغراضه الخاصة. على سبيل المثال، شركة محاسبة تتولى رواتب موظفيك، أو شركة تقنية معلومات تدير خوادمك، أو مورد برامج يخزن بيانات عملائك في السحابة. بدون مثل هذا الاتفاق، لا أحد يعلم من المسؤول عن ماذا في حال تسريب البيانات.

لا يُعدّ الاتفاق إجراءً شكليًا، بل يُلزم به النظام الأوروبي العام لحماية البيانات (GDPR) ويربطه بالتزامات محددة، منها: الالتزام بالتعليمات، والحفاظ على السرية، والأمان، وإعادة البيانات أو إتلافها عند انتهاء صلاحيتها، والسماح بالاطلاع عليها. وفي حال انتهاك المادة 28، يجوز لهيئة حماية البيانات الهولندية فرض غرامة تصل إلى 10 ملايين يورو أو 2% من إجمالي الإيرادات السنوية العالمية (المادة 83(4) من النظام الأوروبي العام لحماية البيانات).

اتفاقية معالجة البيانات أم اتفاقية المعالج؟

يُسبب هذا الاختلاف الكثير من اللبس، لذا دعونا نوضحه. بموجب اتفاقية حماية البيانات العالمية (Wbp)، كان يُطلق على الطرفين "المتحكم" و"المعالج"، وبالتالي كان العقد اتفاقية معالجة بيانات. أما اللائحة العامة لحماية البيانات (GDPR) فقد استبدلت هذين المصطلحين بـ"المتحكم" و"المعالج". لذا، منذ عام ٢٠١٨، أصبح المصطلح الصحيح هو اتفاقية معالجة البيانات، والمعروفة أيضًا باسم اتفاقية معالجة البيانات (DPA).

لا يزال العديد من رواد الأعمال يبحثون باستخدام المصطلح القديم، وهذا ليس بمشكلة. طالما أن الوثيقة تتوافق مع المادة 28 من اللائحة العامة لحماية البيانات (GDPR) من حيث المحتوى، فإن الاسم الوارد في الصفحة الأولى ليس حاسمًا من الناحية القانونية. مع ذلك، يُنصح بتسمية العقود الجديدة "اتفاقية معالجة البيانات". عادةً ما تكون الوثيقة التي لا تزال تستخدم مصطلحات Wbp القديمة ومراجع المواد القديمة قديمة المحتوى وتفتقر إلى العناصر المنصوص عليها في اللائحة العامة لحماية البيانات.

وحدة تحكم أم معالج؟

قبل توقيع أي شيء، يجب أن تعرف دورك. تنص المادة 4 من اللائحة العامة لحماية البيانات (GDPR) على تعريف ذلك على النحو التالي:

• المتحكم (المادة 4، الفقرة الفرعية 7): هو الطرف الذي يحدد الغرض من المعالجة ووسائلها. أنت من يقرر بيانات العملاء التي تجمعها ولماذا.
• المعالج (المادة 4، الفقرة الفرعية 8): الطرف الذي يعالج البيانات نيابة عن المتحكم، دون سيطرة على الأغراض والوسائل.

يُحدد الدور بناءً على الوقائع، لا على المسمى الوارد في العقد. فإذا حدد المورد الغرض والوسائل بنفسه، يُعتبر مسؤولاً عن تلك المعالجة (المادة 28، الفقرة 10 من اللائحة العامة لحماية البيانات)، وبالتالي فإن اتفاقية معالجة البيانات ليست الأداة المناسبة. أما إذا حدد طرفان الغرض معًا، فهما مسؤولان مشتركان عن المعالجة، ويترتب على ذلك ترتيب مختلف وفقًا للمادة 26 من اللائحة العامة لحماية البيانات. فعلى سبيل المثال، لا يُعتبر المحاسب الذي لديه التزامات قانونية بالاحتفاظ بالبيانات مسؤولاً عن تلك المعالجة.

ما الذي يُشترط قانوناً أن يحتويه؟

تنص المادة 28(3) من اللائحة العامة لحماية البيانات (GDPR) أولاً على وصف موضوع المعالجة ومدتها، وطبيعتها والغرض منها، ونوع البيانات الشخصية، وفئات أصحاب البيانات. إضافةً إلى ذلك، يجب أن تتضمن الالتزامات الثمانية التالية على عاتق معالج البيانات:

1. القسم الفرعي أ: المعالجة فقط بناءً على تعليمات موثقة من المتحكم، بما في ذلك في حالة النقل إلى دولة ثالثة.
2. ب: ضمان أن يكون الأشخاص الذين لديهم حق الوصول إلى البيانات ملزمين بواجب السرية.
3. الفقرة الفرعية ج: اتخاذ التدابير الأمنية المناسبة وفقًا للمادة 32 من اللائحة العامة لحماية البيانات.
4. الفقرة الفرعية د: الامتثال لشروط إشراك المعالجين الفرعيين (المادة 28، الفقرتان 2 و4).
5. الموضوع الفرعي هـ: تقديم المساعدة في طلبات أصحاب البيانات الذين يمارسون حقوقهم.
6. الفقرة الفرعية و: تقديم المساعدة في مجال الأمن، وانتهاكات البيانات، وتقييمات تأثير حماية البيانات (المواد من 32 إلى 36).
7. الفقرة الفرعية ز: في نهاية الخدمة، يتم حذف جميع البيانات أو إعادتها، حسب اختيار المتحكم، وحذف النسخ ما لم يكن الاحتفاظ بها مطلوبًا بموجب القانون.
8. الفقرة الفرعية ح: إتاحة جميع المعلومات لإثبات الامتثال وتمكين عمليات التدقيق.

المعالجات الفرعية، ونقل البيانات، وانتهاكات البيانات

ثلاثة مواضيع تستحق اهتماماً خاصاً، لأنها غالباً ما لا يتم تغطيتها بشكل كافٍ في العقود القياسية.

المعالجون الفرعيون. لا يجوز للمعالج إشراك أي طرف آخر إلا بموافقة خطية مسبقة، سواء كانت محددة أو عامة (المادة 28، الفقرة 2 من اللائحة العامة لحماية البيانات). في حالة الموافقة العامة، يجب على المعالج إبلاغك بأي تغييرات حتى تتمكن من الاعتراض. يخضع المعالج الفرعي لنفس الالتزامات، ويظل المعالج الأساسي مسؤولاً مسؤولية كاملة أمامك (المادة 28، الفقرة 4).

النقل خارج المنطقة الاقتصادية الأوروبية. إذا كانت الخوادم أو مكتب الدعم الفني موجودين خارج المنطقة الاقتصادية الأوروبية، يُطبق الفصل الخامس من اللائحة العامة لحماية البيانات (GDPR). يُسمح بالنقل بناءً على قرار كفاية (المادة 45، على سبيل المثال إطار حماية البيانات بين الاتحاد الأوروبي والولايات المتحدة للأطراف الأمريكية المعتمدة)، أو بناءً على ضمانات مناسبة مثل البنود التعاقدية القياسية للمفوضية الأوروبية (المادة 46)، أو عبر أحد الاستثناءات المحدودة للمادة 49. سجّل مكان وجود البيانات والأساس القانوني المُطبق.

انتهاكات البيانات وحقوق أصحاب البيانات. يجب على معالج البيانات إبلاغ المتحكم فورًا عن أي انتهاك (المادة 33(2) من اللائحة العامة لحماية البيانات). لديك بعد ذلك 72 ساعة لتقييم ما إذا كان إخطار هيئة حماية البيانات ضروريًا. لذا، اتفق على إطار زمني محدد، على سبيل المثال 24 ساعة، وسجل المعلومات التي يتضمنها معالج البيانات. وينطبق الأمر نفسه على طلبات الوصول أو التصحيح أو الحذف: يجب على معالج البيانات مساعدتك في ذلك وإحالة الطلب بدلاً من الرد عليه بنفسه.

مثال عملي

تستخدم شركة تركيبات تضم أربعة عشر موظفًا برنامجًا سحابيًا للتخطيط وتسجيل الوقت. يقوم المورّد بمعالجة أسماء وعناوين وأرقام هواتف العملاء والفنيين ضمن البرنامج. توقع الشركة على اتفاقية حماية البيانات القياسية الخاصة بالمورّد دون مراجعتها. في حال حدوث عطل، يتضح أن الدعم الفني يُقدّم من دولة خارج المنطقة الاقتصادية الأوروبية، على الرغم من أن الوثيقة لا تنص على ذلك. بعد الاستفسار، يُقدّم المورّد لاحقًا قائمة بالمقاولين من الباطن والبنود التعاقدية القياسية. كان من الممكن تجنب هذا النزاع بإجراء مراجعة سريعة مسبقة.

توصية صادقة

ليس من الضروري دائمًا الاستعانة بمحامٍ. إذا كنت تتعامل مع مورد معتمد يقدم اتفاقية معالجة بيانات محدّثة، تتضمن قائمة بمعالجي البيانات الفرعيين وفترة إخطار في حال حدوث اختراقات للبيانات، وتبقى البيانات داخل المنطقة الاقتصادية الأوروبية، فيمكنك حينها مراجعة الاتفاقية وتوقيعها بنفسك. راجع النقاط الثماني للمادة 28(3) وتأكد من تطابق الملاحق مع ما تشتريه فعليًا.

يُرجى طلب الإشراف فيما يتعلق بالبيانات الشخصية الحساسة، مثل البيانات الصحية أو الجنائية، أو كميات البيانات الكبيرة، أو عمليات النقل خارج المنطقة الاقتصادية الأوروبية، أو عند الشك في دورك (معالج بيانات أو مراقب مشترك)، أو عندما تكون معالج بيانات بنفسك وترغب في عرض نموذجك الخاص على العملاء. في هذه الحالات، يحدد النص الجهة التي تتحمل المخاطر في حال حدوث أي خطأ.

قم بترتيبها أو تابع القراءة: اتفاقية معالجة البيانات، قم بصياغتها بنفسك عبر صياغة اتفاقية معالجة البيانات ، وقم بالاستعانة بمصادر خارجية عبر طلب صياغة اتفاقية معالجة البيانات.

الأسئلة الشائعة