تصميم أنظمة الأعمال لتلبية متطلبات حماية البيانات

يسري قانون حماية البيانات الشخصية B.E. 2562 (2019) على المؤسسات التي تجمع البيانات الشخصية للأشخاص في تايلاند أو تستخدمها أو تفصح عنها. ويميّز بين مراقب البيانات، الذي يقرر سبب معالجة البيانات وطريقتها، ومعالج البيانات، الذي يعالجها نيابةً عن المراقب، وتشرف عليه لجنة حماية البيانات الشخصية (PDPC). ويحدد القانون الأسس القانونية للمعالجة، وحقوق أصحاب البيانات، والتزامات الأمان، وواجبات حفظ السجلات، ومتطلب الإخطار بالاختراقات.

هذا الدليل لأغراض إعلامية وليس استشارة قانونية. فالقانون ولوائحه التنفيذية وإرشادات PDPC تتغير بمرور الوقت، وينبغي أن يؤكد مسؤول حماية البيانات أو المستشار القانوني لديك كيفية انطباقها على مؤسستك. وما يلي هو المنظور الهندسي: حيثما يشترط القانون أن تكون المؤسسة قادرة على فعل شيء ما، يصف هذا الدليل ما يحتاج إليه النظام لفعله.

حيث تكون الموافقة هي الأساس، يجب أن يستطيع النظام إثبات أن شخصًا محددًا وافق على استخدام محدد، بصياغة محددة، في وقت محدد، وبأي طريقة. خزّن سجل موافقة يتضمن معرّف صاحب البيانات، والغرض، وإصدار الإشعار أو نص الموافقة الذي اطلع عليه، والطابع الزمني، والقناة (نموذج ويب، أو تطبيق، أو ورق ممسوح ضوئيًا، أو مكالمة)، وأي دليل مثل معرّف النموذج. واحتفظ بكل إصدار من نص الموافقة؛ فالسجل الذي يشير إلى نص أُعيدت كتابته لاحقًا لا يثبت شيئًا.

يجب أن يكون سحب الموافقة بسهولة منحها، وأن يسري في كل نظام تصرّف بناءً عليها. صمّم الموافقة حالةً مركزية تتحقق منها الأنظمة اللاحقة (منصة تسويق، أو أداة إرسال نشرة إخبارية، أو مسار تحليلات) لحظة الاستخدام، لا علامة تُنسخ مرة ثم تُنسى. والنشرة الإخبارية لموقعنا الإلكتروني مثال صغير على هذا النمط: تأكيد مزدوج للاشتراك عبر البريد الإلكتروني، ورابط لإلغاء الاشتراك في كل رسالة، وقائمة حظر تُطبَّق قبل الإرسال.

الموافقة ليست الأساس المناسب لكل شيء. فمعالجة بيانات الموظف لصرف الرواتب أو بيانات العميل لتسليم مشترياته تقوم على العقد أو الالتزام القانوني، وطلب الموافقة في هذه الحالات ينشئ حقًا في السحب لا تستطيع المؤسسة الوفاء به. وحين يُختار الأساس بدقة، تصبح سجلات الموافقة أقل عددًا وأكثر دلالة.

يشترط القانون تدابير أمنية مناسبة. وبلغة الأنظمة، يبدأ ذلك بمبدأ أقل الصلاحيات: تحكم في الوصول قائم على الأدوار يرى فيه كل دور الحقول التي يتطلبها عمله ولا شيء غيرها. ونموذج مالك/مسؤول/عضو/مُطّلِع أساس سليم لمساحة العمل، لكن تطبيقات الأعمال تحتاج عادةً إلى أدوار أدق، بحيث يرى موظف المستودع عناوين التسليم دون أرقام الهوية الوطنية، ويرى موظف الدعم آخر أربعة أرقام من البطاقة دون الرقم كاملًا أبدًا. ويستحق إخفاء الحقول، المطبّق في طبقة API بحيث لا يستطيع أي عميل تجاوزه، الجهد المبذول فيه للحقول الشخصية والحساسة.

ينطبق التقليل عند الجمع وفي كل نسخة. اجمع فقط الحقول التي يحتاج إليها الغرض؛ ولا تنسخ البيانات الشخصية من بيئة الإنتاج إلى بيئات الاختبار والتطوير، بل وَلِّد بيانات اختبار أو أخفِ هويتها؛ وقصِر التصدير والتنزيل المجمّع على الأدوار التي تحتاج إليهما وسجّل كل عملية. وتحمي المصادقة القوية ذلك كله: تسجيل الدخول الموحّد (SSO) مع مزوّد الهوية الخاص بالمؤسسة، والمصادقة الثنائية (2FA)، ومفاتيح المرور (Passkey) حيث تكون مدعومة، ومهلات للجلسات تتناسب مع حساسية البيانات.

تحتاج الجهات المعالجة التي تعتمد عليها المؤسسة (الاستضافة، والبريد الإلكتروني، والتحليلات، وخدمات الذكاء الاصطناعي) إلى عقود تلزمها بالمعايير نفسها، وينبغي أن توضح البنية أي البيانات الشخصية تتدفق إلى كل منها.

لا يجوز الاحتفاظ بالبيانات الشخصية إلا للمدة التي يتطلبها الغرض أو يفرضها القانون. حوّل ذلك إلى جدول احتفاظ لكل فئة من البيانات مع مدة وسبب قانوني أو تجاري: السجلات المحاسبية للمدة التي يشترطها قانون الضرائب، وبيانات المتقدمين للوظائف لفترة محددة بعد اتخاذ القرار، وحسابات العملاء غير النشطة بعد فترة خمول محددة، ونصوص محادثات الدعم بعد فترة محددة. ثم أتمِت هذا الجدول. فسياسة الاحتفاظ التي تعتمد على تشغيل أحدهم لنص برمجي مرة في السنة ليست ضابطًا.

قرّر كيف يجري الحذف تقنيًا. فالحذف المؤقت يُخفي البيانات مع بقائها موجودة، ولا يُقبل إلا بوصفه مهلة قصيرة قبل الحذف النهائي أو إخفاء الهوية. أما إخفاء الهوية، الذي يزيل المعرّفات أو يحوّلها تحويلًا لا رجعة فيه مع الإبقاء على الإحصاءات، فيتيح للمؤسسة الاحتفاظ بتاريخ أعمالها دون الاحتفاظ ببيانات الأشخاص. وتحتاج النسخ الاحتياطية إلى المعاملة نفسها: حدّد مدة بقائها، وتأكد من أنها مشفّرة، واحرص على أن تخضع البيانات المستعادة لعمليات الحذف التي جرت بعد أخذ النسخة الاحتياطية.

يحق لأصحاب البيانات السؤال عمّا تحتفظ به المؤسسة عنهم، وطلب نسخ منه وتصحيحه، وطلب الحذف، والاعتراض على المعالجة أو تقييدها، وسحب الموافقة، ويجب على مراقب البيانات التصرف خلال المدة التي يحددها القانون واللوائح. ومتطلب النظام هو وسيلة تتيح لموظف مدرّب تلبية هذه الطلبات دون مساعدة هندسية: العثور على كل سجل يخص الشخص عبر الوحدات، وإصدار نسخة مقروءة من بياناته الشخصية، وتصحيح حقل مع قيد تدقيق، وتنفيذ الحذف أو إخفاء الهوية مع مراعاة قواعد الاحتفاظ الواجب احترامها (فلا يمكن حذف فاتورة لأن العميل طلب الحذف، بل يمكن الاحتفاظ بها مع تسجيل الأساس القانوني).

أنشئ سجلًا للطلبات: من طلب، ومتى، وكيف جرى التحقق من الهوية، وما الذي نُفّذ، ومتى اكتمل. فهذا السجل يُثبت الامتثال ويكشف مواضع البطء في الإجراءات معًا.

يوثّق سجل التدقيق من فعل ماذا، وبأي بيانات، ومتى: عمليات تسجيل الدخول، وتغييرات الصلاحيات، والاطلاع على البيانات الشخصية وتصديرها، والتعديلات والحذف، وتغييرات الإعدادات. وينبغي أن يكتبه التطبيق لحظة تنفيذ الإجراء، وأن يُخزَّن منفصلًا عن بيانات الأعمال مع تقييد صلاحية الكتابة فيه، وأن يُحتفظ به لمدة محددة عن قصد. فالسجلات الموجودة في قاعدة البيانات نفسها وتحت إدارة المسؤولين أنفسهم لا توفر أي حماية من التهديدات الداخلية.

اجعل السجلات مفيدة لا موجودة فحسب: قابلة للبحث حسب الشخص وحسب السجل، ومراجَعة وفق جدول، مع تنبيهات عند الأنماط غير المعتادة مثل التصدير المجمّع أو الوصول خارج ساعات العمل. وسجلات التدقيق نفسها تحتوي على بيانات شخصية، ومكانها ضمن جدول الاحتفاظ.

يُلزم القانون مراقبي البيانات بإخطار PDPC بأي اختراق للبيانات الشخصية دون تأخير غير مبرر، وخلال 72 ساعة من العلم به متى أمكن، ما لم يكن من غير المرجح أن يشكّل الاختراق خطرًا على الحقوق والحريات؛ وحين يكون الخطر مرتفعًا، يجب إبلاغ أصحاب البيانات المتأثرين أيضًا. واثنتان وسبعون ساعة تمضي سريعًا. ويتمثل الجانب التقني من الجاهزية في الاكتشاف، أي التسجيل والمراقبة اللذين يكشفان الوصول غير المصرّح به، إلى جانب القدرة على تحديد البيانات المتأثرة وأصحابها والفترة الزمنية بسرعة.

أما الجانب التنظيمي فهو إجراء مكتوب للتعامل مع الحوادث: من يُبلَّغ أولًا، ومن يقيّم المخاطر، ومن يصوغ الإخطار، ومن يتحدث إلى العملاء، مع نماذج معدّة مسبقًا بكل لغة تعمل بها المؤسسة. وأجرِ تمرين محاكاة سنويًا بسيناريو واقعي، حتى لا يكون أول استخدام لدليل التشغيل أثناء اختراق فعلي.