كانت قطر الأولى. القانون رقم ١٣ لسنة ٢٠١٦ بشأن حماية خصوصيّة البيانات الشخصيّة — الـPDPPL — أوّل قانون شامل لحماية البيانات في الخليج، ساري المفعول منذ ٢٠١٧، قبل السعوديّة والإمارات بسنوات. إن كنت تشغّل نموذجًا إلكترونيًّا يجمع بيانات من أشخاص في قطر، فهو يسري عليك منذ مدّة، ويتولّى مكتب خصوصيّة البيانات في الوكالة الوطنيّة للأمن السيبرانيّ إنفاذه الآن. إليك ما يجب أن يفعله نموذجك.
١. احصل على موافقة صريحة، باستثناءات ضيّقة
تتطلّب المادّة الرابعة من المسؤول الحصول على موافقة الفرد الصريحة قبل معالجة بياناته، ما لم تكن المعالجة لازمة لغرضٍ مشروع للمسؤول أو المتلقّي. وفي النموذج العامّ، أنت تعتمد على الموافقة دائمًا تقريبًا — فيجب أن تكون فعلًا إيجابيًّا واضحًا، لا خانة مؤشّرة مسبقًا ولا سطرًا مدفونًا في سياسة.
٢. تصريح بيانات “الطبيعة الخاصّة” — الفخّ الذي تغفله أغلب النماذج
هذه قاعدة الـPDPPL التي تفاجئ الناس. بيانات “الطبيعة الخاصّة” — الصحّة، العرق، الدين، السجلّ الجنائيّ، العلاقات الزوجيّة، وبيانات الأطفال — لا يمكن معالجتها دون إذنٍ من الإدارة المختصّة. وهو تصريح تحصل عليه قبل أن تبدأ الجمع، لا خانة في النموذج. نموذج بيانات صحّيّة، أو نموذج يسأل عن الدين، أو أيّ نموذج موجّه للأطفال يحتاج هذا الإذن أوّلًا. وأغلب الفرق تكتشف ذلك بعد الإطلاق.
٣. سمِّ المسؤول والغرض
يجب أن يرى الفرد من يجمع بياناته، ولأيّ غرض، وكيف يمارس حقوقه — على النموذج، عند نقطة الجمع. المستأجر الذي يشغّل النموذج هو المسؤول؛ والمنصّة جهة المعالجة. وعلى النموذج أن يسمّي المسؤول.
٤. احترم حقوق أصحاب البيانات الخمسة
يمنح الـPDPPL الأفراد خمسة حقوق: سحب الموافقة، الاعتراض على المعالجة غير اللازمة أو غير المشروعة، محو البيانات، تصحيحها، والوصول إلى المحفوظ منها. والنموذج الذي يجمع البيانات يحتاج قناةً حقيقيّة ومراقَبة تتيح لشخص أن يقول لاحقًا “امحُ ما أرسلته” أو “أسحب موافقتي.”
٥. لا تُلصِق التسويق بالنموذج
للتسويق المباشر معياره الخاصّ: لا رسالة تسويقيّة دون موافقة الفرد الصريحة والواضحة، وكلّ رسالة يجب أن تعرّف المسؤول، وتقول صراحةً إنّها تسويق، وتحمل وسيلة عمليّة للإلغاء. نموذج تسجيل أو تواصل يُدرِج الناس بهدوء في قائمة بريديّة يفشل مرّتين — فالموافقة ليست محدّدة، وليست واضحة.
٦. ضع خطّة اختراق خلال ٧٢ ساعة
حين قد يسبّب الاختراق ضررًا جسيمًا، على المسؤول إبلاغ الأفراد المتضرّرين والجهة المنظِّمة خلال ٧٢ ساعة من الاكتشاف. وتشير الإرشادات تحديدًا إلى المواضع التي يلامسها النموذج: البيانات الحسّاسة، جمع بيانات الغير، التسويق المباشر، بيانات الموظّفين، والنقل عبر الحدود. وبالنسبة للنموذج، سطح الاختراق هو مخزن الردود وكلّ مكان تُمرَّر إليه.
ثمن الخطأ
تتراوح الغرامات الماليّة بين مليون وخمسة ملايين ريال قطريّ بحسب الجسامة. والـPDPPL عقوبته ماليّة فقط — بلا سجن — لكنّ تصريح “الطبيعة الخاصّة” وقواعد موافقة التسويق هما أكثر موضعين تتعثّر فيهما الفرق، وكلاهما يمكن تفاديه بنموذج مصمّم حولهما.
أين يقع سهل
في قطر، يعمل سهل باسم forms.qa— بنطاقه ومجموعة مستأجريه الخاصّة، للفرق التي تريد إبقاء نماذجها وبياناتها على أساسٍ قطريّ. تحمل المنصّة إشعار المسؤول على كلّ نموذج عامّ، وتسجّل الموافقة فعلًا إيجابيًّا، وتفصل موافقة التسويق عن غيرها، وهي عربيّة أوّلًا كي تكون الموافقة بلغة واضحة هي الأصل لا الاستثناء.