حماية بيانات العملاء في الشركات والمكاتب المهنية البحرينية

البيانات جزء من الخدمة ومسؤولية عن طريقة إدارتها

تجمع الشركات والمكاتب المهنية بيانات عملائها لأسباب مشروعة: التواصل، وإعداد العقود، والتحقق من المستندات، وتقديم الخدمة. لكن مشروعية الهدف لا تعني حرية غير محدودة في جمع كل معلومة أو إرسالها إلى كل شخص أو الاحتفاظ بها إلى أجل غير مسمى.

يعرض هذا المقال مبادئ مختارة من قانون حماية البيانات الشخصية البحريني الصادر بالقانون رقم ٣٠ لسنة ٢٠١٨، مع توصيات تنظيمية للشركات والمكاتب. ولا يمثل عرضا شاملا لجميع التصاريح والإخطارات والقرارات التنفيذية أو للمتطلبات الخاصة بالقطاعات المنظمة. [1]

ابدأ بالغرض والسند القانوني

تضع المادة ٣ ضوابط لجودة البيانات، تتصل بمشروعية المعالجة وتحديد الغرض والتناسب والدقة ومدة الاحتفاظ. وتبين المادة ٤ القاعدة المتعلقة بالموافقة والحالات التي تجوز فيها المعالجة دونها عند الضرورة، ومنها تنفيذ العقد أو اتخاذ خطوات بناء على طلب صاحب البيانات لإبرامه، والالتزام القانوني والمصالح المشروعة ضمن شروط النص. [1]

ومن التوصيات العملية أن تسأل المنشأة عن كل خانة في نموذجها: لماذا نحتاج هذه المعلومة؟ ومن يستخدمها؟ وكم نحتفظ بها؟ فطلب رقم تواصل لتنسيق موعد يختلف عن طلب نسخة هوية أو تقرير صحي قبل معرفة طبيعة الخدمة. وإذا كانت المعلومة غير لازمة في تلك المرحلة، فقد يكون تأجيل جمعها أكثر ملاءمة من الاحتفاظ بها احتياطا دون غرض محدد.

والموافقة ليست العبارة الوحيدة التي يجب الاهتمام بها. فوجود سند للمعالجة لا يعفي من مراعاة بقية أحكام الجودة والأمان والسرية وحقوق صاحب البيانات، ولا يبيح استخدام الملف لغرض آخر دون فحص أساسه القانوني.

البيانات الحساسة وملفات المطالبات

تضع المادة ٥ شروطا خاصة للبيانات الحساسة، وتورد من الاستثناءات المعالجة الضرورية للمطالبة بالحقوق القانونية أو الدفاع عنها، بما يشمل التجهيز والاستعداد لذلك. ولا يصح فهم هذا الحكم باعتباره إذنا عاما بنشر ملف القضية أو تداول تفاصيله خارج نطاق الحاجة المشروعة. [1]

وفي العمل المهني، نقترح التمييز بين المستند اللازم لإثبات واقعة وبين تفاصيل شخصية لا تضيف شيئا إليها. وعند إعداد مادة تثقيفية أو مثال منشور، يمكن إنشاء مثال افتراضي مستقل بدلا من استخدام مستند حقيقي مع حذف الاسم فقط؛ فقد تسمح الوقائع الباقية بالتعرف على الشخص.

السرية تحتاج إلى إجراءات

توجب المادة ٨ تدابير فنية وتنظيمية مناسبة لحماية البيانات، وتنظم اختيار معالج البيانات والعقد المكتوب معه والتزاماته. كما تتناول المادة ٩ سرية المعالجة والقيود على الإفصاح والاستخدام، بما في ذلك استمرار بعض الالتزامات بعد انتهاء علاقة العمل أو العقد. [1]

وتترجم هذه الأحكام، من وجهة نظر تنظيمية، إلى توزيع صلاحيات الوصول بحسب العمل، والتحقق من المستلم قبل الإرسال، وحفظ نسخ مؤمنة، وإلغاء وصول الموظف عند انتهاء مهمته، وتوثيق التعامل مع مقدمي الخدمات. وهذه أمثلة على تطبيق عملي يحتاج إلى تصميم يناسب حجم المنشأة وطبيعة بياناتها، وليست بديلا عن متطلبات الأمان التي تقررها النصوص والقرارات المختصة.

كذلك ينبغي ألا يتحول استخدام حساب مراسلة شخصي إلى أرشيف وحيد لملفات العملاء. فانتقال الموظف أو فقد الجهاز قد يثير مشكلة وصول أو استرجاع أو إفصاح، حتى لو لم تكن لدى أحد نية للإضرار.

الشفافية والنقل خارج البحرين

تتناول المادة ١٧ المعلومات التي يجب إحاطة صاحب البيانات بها، ومنها هوية مدير البيانات وأغراض المعالجة والمعلومات اللازمة لضمان إنصافها بحسب الحالة. وتنظم المادتان ١٢ و١٣ نقل البيانات إلى خارج المملكة وشروطه واستثناءاته. لذلك يستدعي اختيار خدمة تخزين خارجية فحص مكان المعالجة ومسار النقل وشروطه، ولا يكفي افتراض المشروعية لمجرد شيوع الخدمة. [1]

ونقترح إعداد وصف داخلي مختصر لتدفق البيانات: مصدرها، وغرضها، ومن يصل إليها، ومكان حفظها، ومقدم الخدمة الخارجي، وآلية إنهاء الاحتفاظ. ويسهل هذا الوصف صياغة بيان خصوصية يعكس الممارسة الفعلية، بدلا من نص عام لا يعرف العاملون كيفية تطبيقه.

النتيجة العملية

حماية البيانات إدارة مستمرة للملف منذ جمعه إلى انتهاء الحاجة المشروعة إليه، مع مراعاة واجبات الاحتفاظ الأخرى. وتبدأ الخطوة المفيدة بحصر ما تجمعه المنشأة فعليا، ثم تقليل الزائد، وضبط الوصول، ومراجعة سند كل استعمال أو إفصاح. وتستكمل هذه الخطوات بمراجعة الإخطارات والتصاريح والقرارات التنفيذية المنطبقة على النشاط قبل اعتبار برنامج الامتثال مكتمل المتطلبات.

المواد منشورة للتثقيف والتحليل القانوني العام. يتوقف تطبيق الأحكام على وقائع كل مسألة ونصوصها الخاصة، ويلزم الرجوع إلى النصوص السارية وتعديلاتها عند تطبيقها على مسألة معينة.