الاستضافة خارج المنطقة الاقتصادية الأوروبية: قرارات الملاءمة، والبنود التعاقدية القياسية، والنقل الذي يؤجّل معظم المشترين تحديده إلى آخر مرحلة

ما هو قرار الملاءمة في حقيقته

قرار الملاءمة هو إقرار المفوضية الأوروبية، بموجب المادة 45 من اللائحة العامة لحماية البيانات، بأن بلداً ثالثاً يوفّر مستوى من الحماية للبيانات الشخصية مكافئاً جوهرياً لمستوى الحماية داخل الاتحاد الأوروبي. وبمجرد إدراج بلد ما في تلك القائمة، يمكن نقل البيانات الشخصية إليه دون أي إذن إضافي أو ضمانة إضافية.

القائمة قصيرة: أندورا، الأرجنتين، كندا (المنظمات التجارية فقط)، جزر فارو، غيرنزي، إسرائيل، جزيرة مان، اليابان، جيرزي، نيوزيلندا، كوريا الجنوبية، سويسرا، المملكة المتحدة، أوروغواي، والولايات المتحدة فقط للمنظمات المعتمدة بموجب إطار حماية البيانات بين الاتحاد الأوروبي والولايات المتحدة. والمغرب ليس على القائمة.

وينتج عن ذلك نتيجتان. الأولى أن عبارة «خارج المنطقة الاقتصادية الأوروبية» ليست فئة قانونية واحدة: فنقل البيانات إلى كندا أو اليابان عملية مختلفة عن نقلها إلى المغرب. والثانية أن البلد قد يكون له قانون شامل لحماية البيانات ومع ذلك لا يكون له قرار ملاءمة، لأن الأمرين يُحدَّدان في عمليتين مختلفتين تماماً.

لماذا لا يوجد قرار ملاءمة للمغرب، وما الذي يغيّره ذلك بالنسبة إليك

للمغرب نظامه الخاص لحماية البيانات: القانون 09-08 المتعلق بحماية الأشخاص الطبيعيين في ما يخص معالجة البيانات ذات الطابع الشخصي، وتشرف عليه اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP). وهو نظام حقيقي يتضمّن واجبات تسجيل وقواعد خاصة بالنقل إلى الخارج. لكنه ليس قرار ملاءمة أوروبياً، ولا شيء في القانون 09-08 يحلّ محل ذلك.

الملاءمة قرار تتخذه المفوضية بعد تقييمها الخاص لقانون بلد ما وممارساته. لا يمكن لأي مزوّد أن يتقدّم بطلبها أو يشتريها أو يعجّلها، ولا تُنتجها أي شراكة أو أي ترتيب خاص بمنطقة محلية. فإمّا أن يحتفظ المزوّد بالبيانات داخل المنطقة الاقتصادية الأوروبية، وإمّا أن يستلزم النقل ضمانة بموجب المادة 46.

وبالتالي يقع الالتزام عليك. فبدون ملاءمة، يتطلّب نقل البيانات الشخصية إلى المغرب ضمانة مناسبة: عملياً البنود التعاقدية القياسية الأوروبية (SCCs) مع دراسة أثر النقل (TIA)، وللمملكة المتحدة اتفاقية نقل البيانات الدولية (IDTA) أو الملحق البريطاني بالبنود التعاقدية القياسية الأوروبية، إضافة إلى تقييم مخاطر النقل. أنت المُصدِّر للبيانات، والمُصدِّر هو من تتخذ السلطة الإشرافية إجراءات ضده. ولا يدين لك مزوّدك بأي شيء بموجب اللائحة العامة لحماية البيانات، والغرامة لا تُفرض في الرباط.

وصول الدعم: النقل الذي لا يرسم المشترون خرائطه أبداً

يرسم المشترون موقع القرص ثم يتوقفون عند ذلك. والسؤال الأكثر نفعاً هو: من يستطيع الوصول إلى البيانات، ومن أين.

إذا اتصل مهندس دعم بجهازك الافتراضي لتحقيق في عطل، أو استعاد نسخة احتياطية تحتوي على بيانات شخصية، أو اطّلع على سجل من المراقب الافتراضي يُظهر عناوين IP ومحاولات تسجيل الدخول، فإن ذلك وصول من بلد ثالث. وهو نقل مقيّد قائم بذاته، ويمكن أن يحدث حتى لو كانت كل الأقراص داخل المنطقة الاقتصادية الأوروبية، لأن مضيفاً داخل المنطقة قد يحوّل تذكرة إلى مركز دعم خارجها. وهذا تحديداً ما يفعله نموذج دعم يعتمد كثيراً على الاستعانة بمصادر خارجية.

والمنطق يسير في الاتجاه المعاكس أيضاً، وهذا هو الجزء الذي يُغفل. فوضع القرص في بلد ثالث لا يخبرك ما إذا كان مسار الوصول يعبر حدوداً، ونقل القرص إلى بلد تعتبره أكثر أماناً لا يزيل مسار الوصول القائم أصلاً. والمزوّد الذي تقع مراكز بياناته خارج المنطقة الاقتصادية الأوروبية يمثّل نصف التحليل؛ أما مهندسوه فهم النصف الآخر.

• من يستطيع الوصول إلى بيئة الإنتاج، بأدوار محددة بالاسم لا بعبارة «الفريق».
• ومن أي بلدان، بما في ذلك أي متعاقد من الباطن أو مكتب مساعدة خارجي.
• وبأي مصادقة وتسجيل، وهل السجلات متاحة لك.
• وبأمر مَن، وكيف تُوثَّق المصادقة على طلب صادر من جانبك.
• وكيف جرى التحقق من الإجابة بدلاً من مجرد تأكيدها في مكالمة بيع.

المزوّد غير القادر على الإجابة لا يخفي شيئاً بالضرورة، لكنك لا تستطيع إكمال دراسة أثر النقل دون تلك الوقائع. وإذا كانت خريطة تدفقات بياناتك أنت هي العقبة، فإن ذلك عمل استشاري وليس قرار استضافة، ويستحق أن يُنجز قبل ترحيل أي شيء.

أين تقف OpenVista فعليًا

هنا عادةً يتحوّل دليل كهذا إلى نصّ ترويجي. سنفعل العكس تمامًا، لأنّ النسخة الصادقة أنفع لك حتى لو انتهى بك الأمر إلى الشراء من مكان آخر.

• لا نملك أي مركز بيانات في الاتحاد الأوروبي. تشغّل OpenVista مركزين، في الرباط بالمغرب ونيويورك بالولايات المتحدة. وليس لدينا أي منشأة في الاتحاد الأوروبي أو المملكة المتحدة أو كندا أو أستراليا، ولا يمكننا توفير إقامة البيانات في الاتحاد الأوروبي بأي ثمن.
• لا يتمتع المغرب بأي قرار كفاية من الاتحاد الأوروبي، للأسباب المبيّنة أعلاه. لذا يتطلب نقل البيانات الشخصية إلى بنيتنا التحتية في الرباط ضمانة مناسبة، تكون عادةً البنود التعاقدية القياسية (SCCs) مع تقييم أثر للنقل (TIA) تُعِدّه أنت وتتحمّل مسؤوليته.
• دعمنا الفني نفسه يُعدّ عملية نقل مقيّدة. يعمل مهندسونا من الرباط. وكلما اطّلعوا على بيانات شخصية للعملاء — بالرد على تذكرة أو تنفيذ استعادة أو قراءة سجل — فإنّ ذلك الوصول يُعدّ نقلًا من المنطقة الاقتصادية الأوروبية إلى المغرب، وهو نقل حتى عندما تعمل الأحمال على عقدتنا في نيويورك. ولن نُخفي ذلك في ملحق للمعالجين الفرعيين.
• نحن مزوّد بنموذج الإدارة الذاتية. أنت من يملك صلاحية root، وأنت من يدير نظام التشغيل، ونحن لا نشغّل تطبيقك ولا نقرأ بياناته. ولهذا النموذج تبعات على الامتثال لا على التسويق: فبالنسبة إلى حمل عمل لا يحتوي على بيانات شخصية، فإنّ أكثر الاستنتاجات دفاعًا هو غالبًا أنه لا يوجد ما يستدعي التقييم. وحين تكون البيانات الشخصية معنية، فالقرار قرارك أنت، وليس قرارنا نحن أن نبيعه لك.
• ما سنقدّمه لك: اتفاقية معالجة بيانات موقّعة، وقائمة موثّقة بالمعالجين الفرعيين، وإجابة مكتوبة صريحة عن الجهة التي يمكنها الوصول إلى جهازك، ومن أين، وفي ظل أي تسجيل. اسأل قبل الشراء، وحاسبنا على الإجابة.

توصية واحدة وإخلاء مسؤولية واحد. إذا كانت أحمالك تتضمن بيانات شخصية خاضعة للتنظيم أو عالية المخاطر — بيانات صحية أو مالية أو بيانات أطفال أو سجلات القطاع العام — فإنّ مركز بيانات في المنطقة الاقتصادية الأوروبية أو المملكة المتحدة هو غالبًا الإجابة المتناسبة، وسنقول ذلك في المكالمة بدلًا من قبول الطلب. ولا شيء في هذه الصفحة يُعدّ مشورة قانونية. فموقفك من النقل يعتمد على بياناتك ودورك وقطاعك، لذا استشر مستشارك القانوني أو مسؤول حماية البيانات لديك قبل الاعتماد على أي مما ورد هنا.

الأسئلة الشائعة

هل تُعدّ الاستضافة لدى مزوّد خارج المنطقة الاقتصادية الأوروبية انتهاكًا للائحة GDPR في حد ذاتها؟

لا. يكون نقل البيانات إلى بلد ثالث قانونيًا عندما يستند إلى آلية صحيحة: قرار كفاية، أو ضمانة بموجب المادة 46 مثل البنود التعاقدية القياسية (SCCs) المدعومة بتقييم أثر للنقل (TIA). ويصبح غير قانوني عندما لا تنطبق أي آلية. والعبء يقع عليك بصفتك مُصدِّر البيانات، ولهذا تعتمد الإجابة على مستنداتك لا على مزوّدك.

هل أحتاج فعلاً إلى تقييم أثر النقل (TIA) لموقع ويب صغير؟

نعم، وبما يتناسب مع الحالة، إذا كان يُنقل أي قدر من البيانات الشخصية يخصّ أي شخص. فنموذج الاتصال ووسم التحليلات وسجلات وصول الخادم كلها تحتوي على بيانات شخصية. ويكفي تقييم قصير ومحدّد للحالات منخفضة المخاطر، أما التقييم الطويل العام فلا قيمة له، لأنه يصف على نحو خاطئ ما تفعله فعلاً.

هل يمكن لعميل في المملكة المتحدة أن يستخدم البنود التعاقدية القياسية الأوروبية ببساطة؟

ليس ببساطة. فللمملكة المتحدة آلية خاصة بها: الاتفاقية الدولية لنقل البيانات (IDTA)، أو الملحق البريطاني المرفق بالبنود التعاقدية القياسية الأوروبية، مع تقييم لمخاطر النقل. ويستخدم معظم المُصدِّرين البريطانيين الملحق كي يفي عقد واحد بالنظامين، مع بقاء الحاجة إلى تقييم بلد المقصد.

هل يمكن لـ OpenVista أن توقّع البنود التعاقدية القياسية (SCCs) معي؟

البنود التعاقدية القياسية (SCCs) عقد بين المُصدِّر والمستورِد، لذا يوقّعها المزوّد من حيث المبدأ بصفته مستورِدًا. أما إن كان بإمكاننا ذلك، وفي أي وحدة، وما نُرفقه بها، فهذه مسألة سنجيب عنها كتابةً قبل الشراء. وما ننشره كمعيار هو اتفاقية معالجة بيانات موقّعة وقائمة موثّقة بالمعالجين الفرعيين، ولن نقول لك إنّ هذه البنود غير ضرورية.

هل يُعدّ مركز البيانات في نيويورك طريقة للالتفاف على المشكلة؟

ليس تلقائيًا. فالولايات المتحدة تحظى بقرار كفاية فقط للمؤسسات المعتمدة بموجب إطار حماية البيانات بين الاتحاد الأوروبي والولايات المتحدة، ويبقى مسار وصول الدعم من الرباط قائمًا كلما اطّلع مهندسونا على بياناتك. اختيار نيويورك يغيّر زمن الاستجابة والجمهور، لكنه لا يُلغي التقييم.