اللائحة العامة لحماية البيانات GDPR

اللائحة العامة لحماية البيانات قانون أوروبي يخص المعلومات الشخصية. والمعلومة الشخصية هي كل ما يدل على شخص حي. اسم، أو بريد إلكتروني، أو رقم هاتف، أو صورة، أو قائمة طلبات سابقة. ويطلب القانون منك ثلاثة أشياء. أن تحتفظ بالمعلومة لسبب واضح، وأن تحميها، وأن تسلمها أو تمحوها حين يطلب صاحبها ذلك.

الجزء الذي يتذكره الناس هو مهلة 72 ساعة. إذا ضاعت معلومات شخصية أو سُرقت وكان ضياعها قد يضر أحدًا، فأمامك ثلاثة أيام لإبلاغ جهة حماية البيانات. ثلاثة أيام من لحظة ملاحظتك للأمر، لا من لحظة انتهائك من معرفة ما جرى. وإذا كان الخطر على الناس كبيرًا، فعليك إبلاغهم هم أيضًا. المدة قصيرة عن قصد. لهذا فإن تحديدك اليوم لمن يتخذ هذا القرار في شركتك أهم من أي وثيقة سياسات في الدرج.

لست مضطرًا أن تكون في أوروبا. القانون يتبع الشخص لا الشركة. فمحل في القاهرة يشحن طلبات إلى ألمانيا داخل في نطاقه. وكذلك عيادة في دبي لديها مرضى بريطانيون، ومدرسة تبيع دورات لأسر في فرنسا. أما إذا كنت تخدم زبائن بلدك فقط ولا تستهدف أوروبا، فأنت خارجه. ووجود موقع قد يزوره أوروبي بالصدفة لا يكفي وحده.

وبلدك على الأرجح صار له قانونه الخاص، والقوانين متشابهة. فالقانون المصري رقم 151 لسنة 2020 يطلب موافقة صاحب البيانات، وعناية في حفظها، وشخصًا مسؤولًا بالاسم. وللسعودية والإمارات نسختهما، ولتركيا قانون منذ 2016. الصياغة تختلف. أما العادات المطلوبة فواحدة. اجمع أقل، واحتفظ بها مدة أقصر، وأغلقها جيدًا، واعرف من يستطيع الاطلاع عليها.

عمليًا هذه مسألة بناء أكثر منها مسألة قانون. فحين تبدأ لينكي سوفت لنظم المعلومات تطبيق ويب، نسأل عن الحقول التي يحتاجها العمل فعلًا، لأن الحقل الذي لا تجمعه لا يمكن أن يتسرب. وحذف عميل واحد حذفًا كاملًا من كل جدول وتقرير ونسخة احتياطية هو الجزء المؤلم إضافته لاحقًا. وتتعامل لينكي سوفت مع هذا ومع مهلة 72 ساعة بوصفهما جزءًا من خطة الأمن السيبراني، لا ورقًا يُكتب في النهاية.