من يلزمه التسجيل في سجلّ المسؤولين عن البيانات؟ ثلاثة اختبارات تحسم

من يلزمه التسجيل في سجلّ المسؤولين عن البيانات؟

ثلاثة معايير تحدّد الالتزام، وهي بدائل لبعضها: يكفي تحقّق واحد منها. عتبة عدد الموظفين، وعتبة إجمالي الميزانية السنوية، وأن تكون معالجة البيانات الشخصية ذات الطبيعة الخاصة نشاطك الرئيسي. ومن لا يحقّق أيًّا منها فلا التزام تسجيل عليه.

وفي الواقع العملي فإنّ كلمة \"بديل\" هي أكثر ما يُساء فهمه. فقد تلتزم شركة قليلة الموظفين لتجاوزها عتبة الميزانية؛ وشركة ناشئة في الصحة لا تتجاوز أيًّا منهما تلتزم عبر المعيار الثالث. والنظر إلى معيار واحد ثم استنتاج \"نحن خارج النطاق\" هو أكثر الأخطاء شيوعًا وأغلاها.

كم عتبتا عدد الموظفين وإجمالي الميزانية؟

لأنها تتغيّر. تُحدَّث عتبات الإعفاء بقرارات من الهيئة، ولا يزال معظم المحتوى المنشور يحمل رقمًا من سنوات مضت — والشركة التي تستنتج منه \"نحن خارج النطاق\" تخالف التزامها دون أن تدري.

الثابت هو منطق المعايير: ثلاثة معايير، وعلاقة بديلة بينها، ولا عتبة في البيانات ذات الطبيعة الخاصة. تحقّق من الرقم النافذ على صفحة الهيئة نفسها مع تاريخ القرار، واحفظ هذا التحقّق في ملف تسجيلك. فما تسأل عنه المراجعة هو كيف عرفت الرقم.

إن أُعفينا من التسجيل، هل نُعفى من القانون؟

لا شيء تقريبًا. فالسجلّ قيدٌ لا القانون ذاته. والشركة دون العتبة ملزَمة بالقدر نفسه بأداء واجب الإبلاغ، وأخذ الموافقة حيث تلزم، وتطبيق التدابير التقنية والإدارية، وتحديد مدد الاحتفاظ والحذف بعد انقضائها، والإخطار بأي خرق للبيانات ضمن المهلة.

والسيناريو المعتاد في الشركات التي تفوتها هذه التفرقة: لا يُفعل شيء لغياب التزام التسجيل، ثم يقع خرق فلا تجد المراجعة سجلًّا للأنشطة ولا إشعار خصوصية ولا توثيقًا للتدابير. والغرامة لا تنشأ من غياب التسجيل بل من غياب هذه.

كيف يُعدّ سجلّ أنشطة معالجة البيانات الشخصية؟

كل حقل يطلبه النموذج — فئات البيانات، وأغراض المعالجة، والأسس القانونية، وفئات المستلمين، ومدد الاحتفاظ، والنقل خارج البلاد — مصدره سجلّ أنشطة المعالجة. والشركة التي لا سجلّ لديها لا تستطيع ملء النموذج إلا تخمينًا، ويصير هذا التخمين دليلًا ضدّها في كل مراجعة لاحقة.

والطريق العملي يبدأ من الأنظمة: أي برمجيات تحفظ بيانات شخصية، وما الحقول في كلٍّ منها، ومن أين تأتي البيانات وإلى أين تذهب. والموارد البشرية والمحاسبة وإدارة العملاء والتجارة الإلكترونية ونظام الدعم وتسجيلات الكاميرات تتصدّر القائمة في معظم الشركات.

هل تلتزم شركة أجنبية بالتسجيل؟

يخضع المسؤولون غير المقيمين في البلاد لنظام مختلف: عليهم تعيين ممثّل والتسجيل عبره. أما الشركة التابعة لمجموعة أجنبية فتُقيَّم بشخصيتها الاعتبارية الخاصة — وتسجيل المجموعة لا يرفع التزام التابعة.

كم يستغرق التسجيل؟

التسجيل نفسه عمل ساعة. وما يحدّد الجدول هو السجلّ: أيام قليلة في شركة ذات أنظمة قليلة، وأسابيع في مؤسسة كثيرة الأنظمة. والترتيب الصحيح: السجلّ، ثم إشعارات الخصوصية، ثم سياسة الاحتفاظ والإتلاف، ثم التسجيل؛ أما العكس فيسرّع التسجيل ويجعل مضمونه خاطئًا.

هل التسجيل مجاني؟

التسجيل مجاني ويتم مباشرةً عبر نظام الهيئة. والوسطاء الذين يطلبون رسمًا يبيعون العمل التحضيري لا التسجيل: إعداد السجلّ، وإشعارات الخصوصية، وسياسة الاحتفاظ والإتلاف. وهذا العمل يتطلّب جهدًا فعلًا، لكنك لست مضطرًا للدفع مقابل التسجيل نفسه. وإن تعاملت مع وسيط، فاطلب تفصيل السعر بندًا بندًا.

هل إشعار الخصوصية والموافقة شيء واحد؟

لا، والخلط بينهما من أغلى الأخطاء. فالإشعار واجب إبلاغ؛ يسري على كل معالجة ولا يحتاج قبولًا. أما الموافقة فأساس قانوني؛ ولا تلزم إلا إذا لم يوجد أساس آخر. والشركات التي تجمع موافقات لكل شيء تضطر لوقف المعالجة عند سحب الموافقة — حتى حيث كان العقد أو المصلحة المشروعة كافيًا.

هل تُسجَّل بيانات الموظفين أيضًا؟

يجب أن تظهر في السجلّ، نعم. فبيانات الموارد البشرية أكبر مجموعة بيانات شخصية في معظم الشركات: ملفات الموظفين، والرواتب، وسجلات الإجازات، والتقارير الطبية، وتسجيلات الكاميرات. وحفظ تقرير طبي وحده لا يدخل الشركة في نطاق البيانات ذات الطبيعة الخاصة، لكنه يجب أن يظهر فئةً مستقلة في السجلّ بمدّة احتفاظ محدّدة.

من ينبغي أن يقوم بالتسجيل؟

مَن يدخله تقنيًا أمر ثانوي — فالمسؤولية على المسؤول عن البيانات، أي الشركة. وفي الواقع يقود العملية غالبًا القسم القانوني أو الامتثال أو تقنية المعلومات؛ والمهم أن يشارك من يعرفون فعلًا ما في السجلّ. فالسجلّ الذي يملؤه شخص واحد تخمينًا لا يصمد عند مقارنته بالأنظمة في المراجعة.

“السجلّ قيدٌ لا القانون ذاته؛ والإعفاء من التسجيل ليس إعفاءً من الالتزامات.”