تملك الإمارات نظامًا لحماية البيانات الشخصية منذ ٢٠٢١ — المرسوم بقانون اتحادي رقم ٤٥ لسنة ٢٠٢١، الساري منذ يناير ٢٠٢٢. لكن ما افتقده النظام طوال أربع سنوات هو اللائحة التنفيذيّة التي تجعل القانون قابلًا للإنفاذ. تغيّر ذلك في ٢٠٢٦ حين أصدر مجلس الوزراء اللائحة التنفيذيّة: تحوّلت المبادئ إلى التزامات محدّدة وقابلة للتدقيق، وبات لدى مكتب الإمارات للبيانات الإطار اللازم لإنفاذها.
إذا كنت تجمع بيانات شخصيّة من المقيمين في الإمارات عبر نموذج إلكتروني — نموذج تواصل، تسجيل فعاليّة، طلب توظيف، استبيان — فأنت داخل النطاق. النظام عابر للحدود: ينطبق على أيّ جهة في أيّ مكان تعالج بيانات أشخاص في الإمارات، لا على الشركات المسجّلة هناك فقط. إليك ما يجب أن يفعله نموذجك فعليًّا.
١. استند إلى أساس قانونيّ — وفي أغلب النماذج هو الموافقة
تعترف اللائحة بخمسة أسس قانونيّة: الموافقة، تنفيذ عقد، التزام قانونيّ، مصلحة حيويّة، ومصلحة مشروعة. أمّا النموذج العامّ الذي يجمع بيانات لست بحاجة إليها لتقديم خدمة، فأساسه دائمًا الموافقة تقريبًا. والموافقة تحت النظام معيار عالٍ: يجب أن تكون صريحة، محدّدة، حرّة، وصادرة عن فعل إيجابيّ واضح. الخانة المؤشّرة مسبقًا ليست موافقة. سطر مدفون في سياسة الخصوصيّة ليس موافقة. الصمت ليس موافقة.
٢. أخبر المستجيب من يجمع بياناته ولماذا
عند نقطة الجمع — على النموذج نفسه، لا بعد ثلاث نقرات — يجب أن يرى المستجيب من هو مسؤول البيانات، وما البيانات المجموعة، والغرض منها، وكيف يمارس حقوقه. هذا هو إشعار المسؤول. سهل فورم جهة المعالجة؛ والمستأجر الذي يشغّل النموذج هو مسؤول البيانات، وعلى النموذج أن يسمّيه.
٣. احترم حقوق أصحاب البيانات عبر قناة تعمل فعلًا
يمكن للمقيمين في الإمارات طلب الوصول إلى بياناتهم وتصحيحها وحذفها ونقلها والاعتراض على القرارات الآليّة. تربط اللائحة التنفيذيّة بهذه الطلبات مهلًا زمنيّةً ملزمة — ولم تعد “سنتولّى الأمر لاحقًا” موقفًا مقبولًا. النموذج الذي يجمع البيانات يحتاج مسارًا حقيقيًّا ومراقَبًا يتيح لشخص أن يقول لاحقًا “احذفوا ما أرسلته.”
٤. احتفظ بسجلّ للمعالجة
كلّ نموذج نشاط معالجة. تتوقّع اللائحة من المسؤولين الاحتفاظ بسجلّ أنشطة معالجة يوثّق الأساس القانونيّ، وفئات البيانات، والغرض، ومدّة الاحتفاظ لكلّ نشاط. الصيغة العمليّة: قبل أن تنشر نموذجًا، ينبغي أن تستطيع الإجابة في جملة واحدة عن “لماذا يحقّ لنا جمع هذا، وكم نحتفظ به؟”
٥. عالج التخزين عبر الحدود بشكل صحيح
تخزّن أغلب أدوات النماذج الردود حيثما تصادف وجود سحابتها. تحت النظام، يتطلّب نقل بيانات المقيمين في الإمارات خارجها أحد ثلاثة: قرار كفاية للوجهة، أو ضمانات تعاقديّة تطبّق حماية معادلة للنظام، أو موافقة صريحة من صاحب البيانات — إضافةً إلى تقييم أثر موثّق لعمليّة النقل في الوجهات الأعلى خطورة. هذا هو السؤال الذي يُطرَح على أيّ مزوّد نماذج: أين تقيم الردود فعليًّا، وما الآليّة القانونيّة لذلك النقل؟
٦. ضع خطّة اختراق قبل أن تحتاجها
يجب الإبلاغ عن الاختراق الموجِب للإبلاغ إلى مكتب الإمارات للبيانات ضمن النافذة التي تحدّدها اللائحة، وإلى الأفراد المتضرّرين حين يكون الخطر عليهم مرتفعًا. بالنسبة للنموذج، سطح الاختراق هو مخزن الردود وكلّ مكان تُمرَّر إليه الردود (الـwebhooks، البريد، التكاملات). اعرف مسبقًا من يُبلّغ وبأيّ سرعة.
خانة الموافقة، بالشكل الصحيح
لأنّ الموافقة تسند أغلب النماذج العامّة، فإنّ حقل الموافقة هو حيث يُربَح الامتثال أو يُخسَر. أربع قواعد: أن تكون فعلًا إيجابيًّا واضحًا (خانة غير مؤشّرة يؤشّرها المستجيب بنفسه)؛ أن تكون محدّدة (افصل موافقة “معالجة طلبي” عن موافقة “أرسلوا لي التسويق” — بلا تجميع)؛ أن تكون اللغة واضحة ومتاحة بالعربيّة للجمهور العربيّ؛ وأن يكون السحب بسهولة المنح. إن لم تستطع احترام “أسحب موافقتي” لاحقًا، فلم تكن لديك موافقة صحيحة من البداية.
ثمن الخطأ
تصل الغرامات الإداريّة في الإطار إلى خمسة ملايين درهم للمخالفات الجسيمة أو المتكرّرة، إلى جانب أوامر بوقف المعالجة. لكنّ الثمن الأكثر شيوعًا أهدأ: مشترٍ مؤسّسيّ إماراتيّ يسأل أين تُخزَّن ردودك، فيسمع “مواقع متعدّدة موزّعة تلقائيًّا”، فيُنهي التقييم. بعد ٢٠٢٦ صار هذا السؤال معياريًّا.
أين يقع سهل فورم
صُمّم سهل فورم لهذا الفصل تحديدًا: إشعار مسؤول على كلّ نموذج عامّ يسمّي المستأجر، وحقول موافقة تسجّل فعلًا إيجابيًّا، وواجهة عربيّة أوّلًا كي لا تكون الموافقة بلغة واضحة فكرة لاحقة، وإجابة صريحة عن مقرّ البيانات بدل “مواقع متعدّدة.” عبء الامتثال على المستأجر — فسهل فورم جهة المعالجة — لكن ينبغي للمنصّة أن تجعل القيام به أيسر الطرق.