السحابة أم الخادم الخاص وفق KVKK: أين تستقر البيانات

توطين البيانات يعني إبقاء البيانات داخل حدود بلد معين. أما تركيز KVKK فيقع في مكان آخر: بأي شرط تُعالَج البيانات، وهل أُبلغ الشخص، وكيف تُحمى البيانات، وإلى من تُنقل. فإذا كانت خوادم مزوّد السحابة في الخارج، فقد تُعدّ البيانات منقولة إلى ذلك البلد، ويخضع هذا النقل لشروط مستقلة في القانون. وبالتعديل القانوني الذي دخل حيز التنفيذ في 2024 انتقل النقل إلى الخارج إلى نظام متدرج: أولًا قرار الكفاية من الهيئة، وإن لم يوجد فالضمانات المناسبة مثل العقود النموذجية أو القواعد المؤسسية الملزمة، وإن لم توجد هذه أيضًا فالحالات العارضة المحدودة؛ ولم تعد الموافقة الصريحة أساسًا إلا في هذه المرتبة الأخيرة.

سيناريو مثال: تخيّلوا مصنّع أثاث في قيصري. لا يعمل في قطاع خاضع لتنظيم خاص مثل المصارف أو خدمات الدفع. فالسؤال الحقيقي بالنسبة إليه ليس «السحابة أم الخادم الخاص»، بل «أين خادم المزوّد السحابي، ومن يستطيع رؤية البيانات». وفي بعض القطاعات قد تشترط لوائح منفصلة حفظ البيانات داخل البلد؛ فتحققوا من القواعد الخاصة بقطاعكم على حدة.

لذلك فإن توطين البيانات ليس معيار قرار بمفرده. فالبيانات المحفوظة على خادم في تركيا ويستطيع الجميع الوصول إليها قد تحمل خطرًا أكبر من بيانات محمية جيدًا في مكان آخر. والمكان ليس إلا جزءًا من الحماية.

نقل البيانات إلى السحابة لا ينقل المسؤولية إلى المزوّد. فحين يرفع مدير المحاسبة كشف الرواتب إلى برنامج موارد بشرية سحابي، يبقى الكشف مسؤولية الشركة. وعند حدوث تسريب يسأل الموظف صاحب العمل أولًا.

يحمّل القانون المسؤول عن البيانات والجهة التي تعالجها نيابة عنه مسؤولية مشتركة عن التدابير الأمنية؛ ولرسم حدود هذه المسؤولية المشتركة يُنصح بإبرام اتفاقية مكتوبة مع معالج البيانات. وتنص الاتفاقية على الغرض الذي يعالج المزوّد البيانات من أجله، والتدابير الأمنية التي يطبقها، وما يفعله بالبيانات عند انتهاء العقد. وإذا غابت الاتفاقية، بقي غامضًا أيضًا أين تبدأ المسؤولية وأين تنتهي.

كيف تعود البيانات حين تريدون تغيير المزوّد، مسألة يتناولها هذا العقد أيضًا؛ وإلا فقد تبقى البيانات لدى مزوّد انتهى عقده.

يجب السؤال أيضًا عما إذا كان البرنامج السحابي يستخدم مزودين فرعيين آخرين. فقد يكون التطبيق لدى شركة، والنسخ الاحتياطي لدى شركة أخرى، وإرسال البريد الإلكتروني لدى شركة ثالثة؛ ويجب أن تظهر في العقد كل محطة تمر بها البيانات.

يتوقع القانون من المسؤول عن البيانات أن يتخذ تدابير تقنية وإدارية لضمان مستوى أمان مناسب. وعلى خادمكم الخاص تكون كل هذه التدابير عليكم: من يرى أي سجل، وهل يُسجَّل الوصول، وأين تُحفظ النسخة الاحتياطية، ومتى تُطبَّق التصحيحات الأمنية.

سيناريو مثال: تخيّلوا مكتب شركة إنشاءات. الخادم في خزانة تحت الدرج، والنسخة الاحتياطية على قرص خارجي في الخزانة نفسها. يستطيع الجميع رؤية ملفات الموظفين، لأن الصلاحيات لم تُعرَّف قط. البيانات لا تخرج من البلد، لكن لا يمكن القول إنها محمية.

الميزة الحقيقية للخادم الخاص هي وضوح التحكم: ترون مباشرة من يدخل الخادم وأين تستقر النسخة الاحتياطية. ولا تنفع هذه الميزة إلا إذا كانت التدابير مكتوبة وتُراجع بانتظام. لذلك فأول عمل للشركة التي تنتقل إلى خادمها الخاص هو كتابة جدول الصلاحيات: أي دور يرى أي سجل، ومن يستطيع التصدير، ومن يستطيع الحذف.

• في أي بلد وعلى بنية من تُحفظ قاعدة البيانات والملفات؟
• إذا كانت البيانات في الخارج، فعلى أي أساس يقوم النقل، كالعقد النموذجي مثلًا؟
• إلى أين تُؤخذ النسخة الاحتياطية، وهل هي مشفّرة، وهل جُرّب الاسترجاع؟
• في أي حالات يستطيع موظفو المزوّد الوصول إلى البيانات، وهل يُسجَّل هذا الوصول؟
• هل تكون اتفاقية معالجة البيانات ونص الإشعار بالخصوصية جاهزين عند الإعداد؟
• إذا انتهى العقد، بأي صيغة وكيف تُسلَّم البيانات؟
• إذا وقع اختراق، فكيف ومتى تُبلَّغون؟

السؤال الأخير يبدو ثانويًا، لكنه ليس كذلك. يُلزم القانون مسؤول البيانات عند وقوع خرق بإبلاغ مجلس حماية البيانات الشخصية والأشخاص المعنيين. وإذا أبلغكم المزوّد متأخرًا، لم تستطيعوا الوفاء بهذا الالتزام في وقته؛ ولهذا ينبغي أن تُكتب طريقة الإبلاغ في العقد. اطرحوا القائمة في مرحلة الشراء، لا بعد توقيع العقد. واطلبوا أن تصل الإجابات مكتوبة؛ فالضمان الشفهي ليس وثيقة يمكن إبرازها في تفتيش أو ردًا على طلب.

الإشعار يعني إخبار الشخص بالبيانات التي تُعالج، ولأي غرض، وإلى من يمكن نقلها. أما الموافقة الصريحة فلا تلزم لكل معالجة؛ فإذا توفر أحد شروط المعالجة الأخرى في القانون فقد لا تُطلب الموافقة. كما أن التزام التسجيل في سجل مسؤولي البيانات (VERBİS) يتوقف على وضع الشركة لا على مكان الاستضافة، وتوجد إعفاءات.

إذا سأل عميل عن بياناته التي حُفظت لحملة قديمة، واحتاجت الإجابة إلى البحث في عدة أنظمة منفصلة، فالمشكلة في التشتت أكثر منها في الاستضافة. وحين تقف البيانات في سجل واحد يُجاب عن الطلب من مكان واحد أيضًا. أما بأي عمل يُبدأ لجمع هذا التشتت فهو موضوع مقال التحول الرقمي في الشركات الصغيرة والمتوسطة.

ما يطلبه صاحب البيانات في طلبه بسيط في الغالب: أي بياناتي محفوظة، ولماذا، ومع من شورِكت. وفي الأنظمة المبعثرة قد تتحول الإجابة عن هذه الأسئلة إلى بحث يستغرق أيامًا.

في Corex360 الدخول والجهاز والتنزيل وتغيير الصلاحية مسجَّلة؛ والوصول قائم على الأدوار. وتُعالج البيانات الشخصية وفق KVKK. وهذه الوقائع كلها مكتوبة في صفحة الأمان وKVKK في Corex360.

الوصول قائم على الأدوار؛ ولا يرى كشوف الرواتب والبيانات الشخصية إلا من يسمح لهم دورهم بذلك. ويجب أن تُضاف إلى الأسئلة التي تُطرح على البائع صيغ التصدير وكيفية تسليم البيانات عند انتهاء العقد. وإذا كانت سياستكم المؤسسية تقتضي حفظ البيانات في بنيتكم التحتية الخاصة، فالتفاصيل في صفحة العمل على خادمكم الخاص. أحضروا إلى العرض التوضيحي أسئلة أين تُحفظ البيانات، ولمن تكون متاحة، وكيف تُسلَّم؛ ولنكتب الإجابات معًا وفق وضعكم.

اطرحوا هذه الأسئلة على كلٍّ من Corex360 Cloud وخيار الخادم الخاص؛ ففي الخيارين يجب أن تكون الإجابة مكتوبة.