أغلب أصحاب الأعمال في الإمارات يسمعون بقانون حماية البيانات أول مرة من رسالة امتثال، فيفترضون أنه شأن المصارف والمستشفيات. وليس كذلك. فإن كان في موقعك نموذج تواصل، أو اشتراك في نشرة، أو أدوات تحليلات، أو نظام حجز، فأنت تجمع بيانات شخصية — والالتزامات المصاحبة لذلك تسري عليك. في هذا الدليل، بلغة عملية: ما الذي يطلبه الإطار الإماراتي لحماية البيانات من موقع شركة عادي، وما الذي تغيّره، وكيف تميّز بين ما تتولّاه بنفسك وما يحتاج محامياً.
هذا توجيه عملي لا استشارة قانونية. الالتزامات أدناه عامة، وكيفية انطباقها على نشاطك وقطاعك وبياناتك تحديداً يؤكّدها مستشار قانوني مؤهَّل.
الخلاصة السريعة
قانون حماية البيانات الشخصية في الإمارات — المرسوم بقانون اتحادي رقم 45 لسنة 2021، النافذ منذ يناير 2022 — ينظّم كيفية جمع البيانات الشخصية واستعمالها. وبالنسبة لموقع شركة نموذجي يعني ذلك ستة أمور عملية: اعرف ما تجمعه، وليكن لجمعه سبب مشروع، وأخبر الناس بوضوح في إشعار خصوصية حقيقي، واحتفظ به بقدر حاجتك فقط، وكن قادراً على الاستجابة لطلبات الاطّلاع أو الحذف، وكن قادراً على اكتشاف الاختراق والإبلاغ عنه. وأغلب العمل جردٌ وإجراءات، لا تقنية.
أنت تجمع بيانات شخصية على الأرجح
البيانات الشخصية هي أي معلومة تتعلق بشخص محدَّد أو قابل للتحديد. وعلى موقع أعمال، هذه شبكة أوسع بكثير ممّا يُظنّ:
نماذج التواصل وطلب العروض — الاسم والبريد والهاتف، وغالباً حقل النصّ الحرّ الذي يصف فيه أحدهم حالته، وقد يحوي معلومات أكثر حساسية بكثير ممّا قُصد بالنموذج.
الاشتراك في النشرة — عنوان بريد وحده بيانات شخصية.
التحليلات والإعلانات — عناوين IP ومعرّفات الأجهزة، والتتبّع الذي تضعه هذه الأدوات لتلاحق الزائر عبر الجلسات.
أنظمة الحجز والدعم والحسابات — أغنى المصادر، وأكثرها احتمالاً لحفظ بيانات نسيتها.
سجلات الخادم — كل خادم ويب يسجّل عناوين IP للزوّار افتراضياً.
طلبات التوظيف — صفحة الوظائف تجمع سيراً ذاتية مكتظّة بالمعلومات الشخصية، وتُحفظ غالباً إلى ما لا نهاية.
فإن أمكن لشخص عاقل أن يُعرَف ممّا تحتفظ به، مباشرةً أو بجمعه بشيء آخر، فهو بيانات شخصية.
الأمور الستة التي على موقع الشركة ضبطها
١. اعرف ما لديك
كل ما عداه يعتمد على هذا، وهو الخطوة التي تُتخطّى دائماً تقريباً. اكتب لكل نظام: ما البيانات الشخصية التي يجمعها، ولماذا، وأين تُخزَّن، ومن يستطيع الوصول إليها، وكم تُحفظ، وهل تُشارَك مع أحد خارج الشركة.
وهذا التمرين يُظهر باستمرار أشياء لم يتذكّرها أحد: إضافة نماذج تحفظ كل إرسال في قاعدة البيانات منذ 2019، وأداة نشرة مهجورة ما زالت تحتفظ بقائمة، وتحليلات تشارك البيانات مع منصّة لم يخترها أحد عمداً. ولا تستطيع حماية أو حذف ما لا تعرف أنه لديك.
٢. ليكن لك سبب مشروع
تحتاج أساساً مشروعاً لكل استعمال للبيانات الشخصية. والموافقة أحد هذه الأسس، وهي في التسويق الأساس المعتاد — لكن الموافقة يجب أن تعني شيئاً: حرّة، ومحدَّدة، ومستنيرة، وسهلة السحب بقدر سهولة منحها. ومربّع مؤشَّر سلفاً ليس موافقة. ودفنُها في شروط لا يقرؤها أحد ليس موافقة.
واستعمالات أخرى تقوم على أسس مختلفة — تنفيذ عقد، أو الوفاء بالتزام قانوني. والنقطة العملية أن «جمعناه لأننا نستطيع» ليس أساساً، والتسويق لقائمة اشتريتها أوضح مثال على انعدام الأساس.
٣. أخبر الناس كما ينبغي
سياسة الخصوصية هي موضع هذا الالتزام، وأغلبها غير صالح للغرض: منسوخ من قالب لولاية قضائية أخرى، ومكتوب ليكون غير مقروء، ولم يُحدَّث حين تغيّر الموقع.
وإشعار الخصوصية الصالح يقول بلغة واضحة: ما تجمعه، ولماذا، ومع من تشاركه، وكم تحفظه، وما حقوق الناس، وكيف يتواصلون معك بشأنه. وإن كانت سياستك لا تسمّي أدواتك الفعلية ومدد احتفاظك الفعلية، فهي زينة.
٤. احتفظ به بقدر حاجتك فقط
الاحتفاظ اللانهائي هو الحالة الافتراضية لأغلب المواقع، وأسهل التزام يُخالَف دون ملاحظة. فإرسالات النماذج تتراكم في قاعدة البيانات سنوات. وسجلات العملاء القديمة لا تُنقّى أبداً. وصندوق موظف غادر يبقى حيّاً إلى الأبد.
حدّد مدّة احتفاظ لكل فئة، واكتبها، وافرضها — آلياً إن أمكن. فالبيانات التي حذفتَها لا يمكن تسريبها، وتقليل ما تحتفظ به أنجع إجراء خصوصية متاح لشركة صغيرة.
٥. كن قادراً على الاستجابة لطلب
للأفراد حقوق على بياناتهم — إجمالاً: أن يعرفوا ما لديك عنهم، وأن يُصحَّح، وفي حالات كثيرة أن يُحذف. وتحتاج إجراءً يستطيع التنفيذ فعلاً، خلال مدّة معقولة ومحدَّدة.
اختبره قبل أن تحتاجه. فلو راسلك أحد اليوم يطلب كل ما لديك عنه، أتستطيع إيجاده عبر نظام إدارة العملاء والبريد وقاعدة النماذج ومنصّة النشرة والنسخ الاحتياطية؟ الإجابة الصادقة لأغلب الشركات: لا. والعلاج جردٌ (الخطوة الأولى) لا تقنية.
٦. كن قادراً على اكتشاف الاختراق والإبلاغ عنه
اختراق البيانات الشخصية ليس قرصنة دراماتيكية فحسب. بل يشمل رسالة أُرسلت إلى الوجهة الخطأ وفيها بيانات عملاء، أو حاسوباً محمولاً ضاع، أو نسخة احتياطية مكشوفة — ويشمل اختراق موقع وصل فيه المهاجم إلى قاعدة بيانات.
وقدرتان تهمّان. الأولى الاكتشاف: لو اختُرق موقعك، أكنت ستعرف؟ فكثير من الشركات تكتشف الاختراق بعد شهور، والاختراق الذي لا تكتشفه اختراق لا تستطيع الإبلاغ عنه. والثانية استجابة موثَّقة: من يُخبَر، وما الذي يُقيَّم، وما الذي يُسجَّل، ومن يبلّغ الجهة والأفراد المتأثرين حين يلزم.
ودليلنا عن أول ساعة بعد اختراق موقعك يغطّي الاستجابة التقنية؛ والتزام الإبلاغ يسير بمحاذاتها.
ما الذي يتغيّر فعلاً في موقعك
عملياً، توقّع أن تمسّ هذه:
سياسة الخصوصية — تُعاد كتابتها لتصف ما يفعله موقعك حقاً، مسمّيةً أدواتك ومدد احتفاظك.
النماذج — عبارة واضحة عند نقطة الجمع تقول فيمَ تُستعمل البيانات، وموافقة غير مؤشَّرة سلفاً حين تكون الموافقة هي الأساس، ولا حقول لا تحتاجها فعلاً. فكل حقل إضافي بيانات عليك حمايتها وحفظها والقدرة على حذفها.
ملفات الارتباط والتتبّع — لا ينبغي أن يعمل التتبّع غير الضروري قبل موافقة الزائر، وأن يكون الرفض سهلاً كالقبول. وافحص ما يُحمّله موقعك فعلاً: التحليلات وبكسلات الإعلانات والفيديو المضمَّن وودجات المحادثة كلها تضع معرّفات، وأغلب المواقع تحمل عدداً منها لم يُضفه المالك عن علم.
تخزين النماذج — قرّر هل تحتاج الإرسالات أن تُخزَّن في قاعدة الموقع أصلاً. فالإرسال إلى صندوق بريد وإبقاء الموقع خالياً من الأرشيف أفضل غالباً، للخصوصية ولأن الموقع هو المكوّن المكشوف.
ضبط الوصول — كم شخصاً لديه صلاحية مدير، وهل ما زال كلٌّ منهم يحتاجها؟ فحسابات موظفين سابقين ووكالات سابقة خطرٌ قائم، وهي أيضاً بيانات شخصية تحتفظ بها.
إجراءات الأمن — القانون يتوقّع حماية مناسبة، لا منتجاً بعينه. وتعرض قائمة متطلبات أمن المواقع في الإمارات خط الأساس العملي.
نقل البيانات خارج الدولة، عملياً
خروج البيانات الشخصية من الإمارات يخضع لشروط، وهذا يُوقع الشركات العادية لأنه غير مرئي في الاستعمال اليومي. فإن كان موقعك مستضافاً في الخارج، وبريدك على منصّة أجنبية، ونظام عملائك خدمة أمريكية، وتحليلاتك ترسل البيانات إلى بلد ثالث، فأنت تنقل بيانات شخصية عبر الحدود باستمرار.
ولا شيء من ذلك محظور تلقائياً، والمقصود ليس الذعر. المقصود أن تعرف أنه يحدث، وتسجّله في جردك، وتستطيع تفسير الأساس الذي يجري عليه. واختيار استضافة داخل الإمارات لما تستطيع إبقاءه محلياً يبسّط الصورة، وهذا وحده سبب يستحق الموازنة.
تعقيد المناطق الحرة
تفصيل يفاجئ الناس: مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) لكلٍّ منهما نظام حماية بيانات خاص به، منفصل عن القانون الاتحادي. فإن كانت شركتك مرخَّصة في إحدى هاتين المنطقتين، فقد لا يكون الإطار المنطبق هو القانون الاتحادي أصلاً.
وهذا يهمّ عند اختيار قالب أو مستشار. فسياسة خصوصية صيغت لشركة في البرّ الرئيسي ليست صحيحة تلقائياً لكيان في DIFC، والعكس. وإن كنت في منطقة حرة فتأكّد أي نظام ينطبق قبل أن تنفق على أعمال الامتثال.
من أين تبدأ، بالترتيب
لشركة لم تبدأ بعد، هذا التسلسل يوصلك أبعد وأسرع:
الجرد أولاً. وثيقة واحدة تعدّد كل موضع تسكن فيه بيانات شخصية. لا شيء غيره ذو معنى بدونه، وهو يستغرق بعد ظهيرة عادةً.
ثم التقليل. احذف ما لا تحتاجه، وأوقف جمعاً لا تستطيع تبريره، وأزِل حقولاً وحسابات قديمة. وهذا يخفض الخطر وحجم العمل معاً.
ثم التوثيق. أعِد كتابة إشعار الخصوصية حول ما وجدتَه فعلاً، وحدّد مدد الاحتفاظ، واكتب إجراء استجابتك.
ثم التأمين والمراقبة. ضبط الوصول، والنسخ الاحتياطي، والترقيع، والقدرة على اكتشاف اختراق — لأن التزام الإبلاغ يفترض أنك تستطيع الملاحظة.
ثم استشِر في التفاصيل. منطقة حرة أم برّ رئيسي، ومتطلبات قطاعك، وهل تحتاج مسؤول حماية بيانات، والصياغة الدقيقة لإشعاراتك. هذا ما يستحق أجر محامٍ، وهو أرخص بكثير حين تصله ومعك جردٌ جاهز.
الأسئلة الشائعة
هل ينطبق هذا على شركة صغيرة بموقع بسيط؟
القانون يتناول معالجة البيانات الشخصية لا حجم الشركة. فشركة صغيرة بنموذج تواصل وقائمة بريدية تعالج بيانات شخصية. والتوقعات تتدرّج مع ما تحتفظ به ومدى حساسيته، لكن «نحن صغار» ليس إعفاءً.
هل أحتاج مسؤول حماية بيانات؟
ليس كل نشاط يحتاجه. فالاشتراط مرتبط بطبيعة المعالجة وحجمها — معالجة واسعة لبيانات حساسة، أو مراقبة منهجية، وأنشطة منظَّمة معيّنة. وموقع شركة نموذجي بنموذج تواصل يُستبعد أن يستوجبه، لكن هذا بالضبط سؤال يُؤكَّد لا يُفترَض.
هل تكفي سياسة خصوصية على نمط GDPR؟
كبنية بادئة مفيدة، وكوثيقة نهائية لا. فالإطار الإماراتي أداة قائمة بذاتها بتعريفاتها ومتطلباتها، وسياسة تصف جهات إشراف أوروبية وحقوقاً لا تقابل القانون الإماراتي تُقرأ على حقيقتها: قالبٌ لم يكيّفه أحد.
وماذا عن بيانات جمعناها قبل سنوات؟
هي بيانات شخصية والالتزامات ما زالت تسري. وعملياً، البيانات التاريخية هي موضع أغلب الانكشاف: إرسالات نماذج قديمة، وقوائم عملاء خاملة، وسير ذاتية من جولة توظيف في 2019. ومراجعة ما لم تعد تحتاجه وحذفه أعلى الإجراءات قيمةً عادةً.
هل يلزمني الاستضافة داخل الإمارات؟
ليس تلقائياً. فالنقل عبر الحدود منظَّم لا ممنوع. والاستضافة المحلية تبسّط التحليل وتقصّر قائمة عمليات النقل التي عليك تبريرها، وهذه حجّة عملية لا اشتراط قانوني.
ضبط الجانب التقني
كثير من حماية البيانات إجراءات وعمل قانوني. أمّا ما يقع على الموقع نفسه — كيف تجمع النماذج البيانات وتخزّنها، وما المتتبّعات التي تُحمَّل ومتى، ومن يملك صلاحية المدير، وهل النسخ الاحتياطية محمية، وهل ستكتشف اختراقاً أصلاً — فهذه هندسة، وهي نصفنا من المسألة.
تدعم بيغ بانغ لحلول تقنية المعلومات شركات الإمارات منذ 2003. وتغطّي خدمات أمن المواقع لدينا ضبط الوصول والمراقبة واكتشاف الاختراق، وتتولّى حلول النسخ الاحتياطي الاحتفاظ والتعافي، وتُبقي استضافتنا في الإمارات البيانات محلية حيث تريدها محلية.
تحدّث إلى فريقنا في دبي عن الجانب التقني — وخذ التفاصيل القانونية إلى مستشار مؤهَّل، ويُفضَّل أن يكون جردك مكتوباً بين يديك.
