دليل نماذج تسليمات

المخرج: تقييم خصوصية البيانات وأخلاقياتها

مرجع الوثيقة: PMO-02.06

يوفّر هذا المستند مرجعًا مهنيًا شاملًا لفهم الغرض من تقييم خصوصية البيانات وأخلاقياتها واستخدامه بفعالية بما يتوافق مع إطار تسليمات.

1. مفهوم الوثيقة وطبيعتها

وثيقة عن البيانات الشخصية التي يعالجها العمل: ما المشمول وما المستثنى صراحةً، ومَن يملك كل أصل بياني ومن يديره، وما الغرض الذي يُحفظ لأجله، وهل هو من الفئة الخاصة، وأين تتدفّق البيانات، والسند القانوني لكل غرض لا لكل مجموعة بيانات، وأي استعمال خارج الغرض الأصلي، وأي قرار يُتخذ عن شخص دون تدخل بشري ذي معنى، وكيف تُطلب الموافقة وتُسجَّل وتُسحب، وكيف يُجاب عن طلب الفرد في مهله، وماذا يحدث لبيانات مشتقّة أو مشاركة أو دُرِّب عليها نموذج، ومدة احتفاظ كل أصل ومبررها، وكيف يصل الحذف إلى النسخ والسجلات والتصدير، ومن يصل إلى البيانات ومن يملك المفاتيح، ومن المستلم وضمانه التعاقدي وأين تُعالَج، وما الذي يُعدّ اختراقًا، وأين يضر العمل ولا يمنعه قانون، ومن يتأثر وهو عاجز عن الرفض، وما يُقال للأشخاص فعلًا، وهل يسمح التصميم باختيار حقيقي، وكيف تقع نتائج القرارات الآلية على الفئات، وما الذي وُجد، والخطر المتبقي، وما الذي يعيد فتح التقييم.

2. القيمة والأهمية الاستراتيجية

لأن الضرر الذي يمكن أن يلحق بهذا العمل لا يُرى من داخله. الفريق يرى المخطط والإنتاج والكلفة لكل طلب، ولا شيء من ذلك يبيّن ما يحدث لمن سجله في الجدول. فتُجاب الأسئلة من الافتراض، ويختلف الافتراض بين المهندس والمراجع، وأول من يكتشف ذلك هو الشخص الذي يطلب بياناته فيُقال له إن الطلب قيد البحث.

والخانات الفارغة هي الدليل. تقييم بلا استثناءات، ولا استعمال ثانوي، ولا بيان شمول للحذف، ولا طريق للسحب، ولا نتائج أخلاقية، يصف معالجة لم تبدأ، لأن كل من هذه الخانات يملؤها ما حدث لا ما قرّر. وسجل الموافقة بلا نسخة النص لا يمكن الدفاع عنه، لأن الشروط التي وافق عليها الشخص تصير غير قابلة للاسترجاع. ومدة احتفاظ مكتوبة دون مبرر هي مدة افتراضية أُخذت وكُتبت بوصفها قرارًا. وحذف صف من المخزن الأساسي بينما تبقى البيانات في أربعة مواضع أخرى أشيع نتيجة في أي مراجعة، ولا يُرى دون بيان شمول.

وقسم الضرر خارج المساءلة موجود لأن الامتثال حد أدنى لا سقف. المعالجة قد تكون مشروعة ومرخّصة ومحتفَظًا بها على الوجه الصحيح ومشتركة على الوجه الصحيح، وتكون مع ذلك خاطئة، ومن يقرأ النموذج المكتمل سيظن أن العمل انتهى.

3. التوقيت ودواعي الإعداد والتحديث

يُعدّ هذا المخرج ويستخدم أساسًا في مجموعة منهجية المشروع وتخصيصه من دورة حياة المشروع. يُعدّ عند اقتراح غرض معالجة، ويُمَرَّر قبل جمع أي بيانات شخصية، ويُعدَّل عند كل تغيّر في الغرض أو المستلم أو النموذج أو الولاية القضائية، وعند أي تغيّر تنظيمي، ويُقرأ عند مراجعة التصميم وعند التوريد وعند اقتراح مجموعة بيانات جديدة وعند ممارسة أحدهم حقًا وعند مراجعة حادثة.

4. الأدوار والمسؤوليات (RACI)

المسؤوليات: يُعدّه مسؤول حماية البيانات، المسؤول عن السند القانوني وجدول الاحتفاظ ومسار معالجة الطلبات، وهو من يجب أن يستطيع الإجابة عن طلب فرد دون استشارة أحد. ويراجعه مسؤول مراجعة الأخلاقيات، المسؤول عن قسم الضرر خارج المساءلة وعن عدالة القرارات الآلية، ومالك البيانات لكل أصل، المسؤول عن أن يكون الغرض المصرّح به هو الغرض الحقيقي. ويعتمده راعي المشروع، المسؤول عن قبول المخاطر المتبقّية. وحيث لم تُنظر معالجة، فيُسجَّل أنها لم تُنظر، لا أن تُترك المسؤوليات: يُعدّه مسؤول حماية البيانات، المسؤول عن السند القانوني وجدول الاحتفاظ ومسار معالجة الطلبات، وهو من يجب أن يستطيع الإجابة عن طلب فرد دون استشارة أحد. ويراجعه مسؤول مراجعة الأخلاقيات، المسؤول عن قسم الضرر خارج المساءلة وعن عدالة القرارات الآلية، ومالك البيانات لكل أصل، المسؤول عن أن يكون الغرض المصرّح به هو الغرض الحقيقي. ويعتمده راعي المشروع، المسؤول عن قبول المخاطر المتبقّية. وحيث لم تُنظر معالجة، فيُسجَّل أنها لم تُنظر، لا أن تُترك الخانة فارغة، فالاستثناء نتيجة وغياب النظر نتيجة أخرى، والتفاوت بينهما هو ما يجب أن يُقرأ.

إرشادات التخصيص والمواءمة

سجّل السند لكل غرض لا لكل مجموعة بيانات؛ فمجموعة واحدة تخدم أغراضًا لا تشترك في سند واحد، والنموذج الذي يسجّل السند مرة واحدة يحمله عبر أغراض لا يشترك فيها.
اذكر مبرر مدة الاحتفاظ. المدة الموروثة من معيار مؤسسي مقبولة بشرط تسجيل أنها موروثة، وهذا مختلف عن ادّعاء اختيارها.
اذكر ما يحفّز بدء المدة: تاريخ الجمع، أو انتهاء الغرض، أو انتهاء العقد. المدة التي لا يُحسم متى تبدأ لا تنتهي أبدًا.
في خانة الحذف، سمِّ النسخ الأخرى صراحةً: النسخ المكرّرة والسجلات والتصدير وأوزان النماذج. خانة الحذف بلا شمول هي وعد.
عرّف كل مستلم بنوعه: معالج موكّل بعقد، أم متحكم يشارك لغرضه. الضمان التعاقدي يختلف بينهما، والصف الواحد لكل منهما يمنع افتراض الضمان الأقوى.
لا تخلط بين التخزين والمعالجة. منطقة تخزين في بلد ومُخزّن في آخر لا يجيب عن المعالجة في ثالث.
صُغ دعوى الضرر بحيث يمكن أن تكون خاطئة، واذكر الضرر الذي يلحق بالشخص لا الضرر المؤسسي. الأول يُقاس، والثاني يُحتمل.
في قسم الأخلاقيات، سجّل ما فُكِّر فيه حتى إن لم ينتج عنه ضرر؛ فالقسم الفارغ يُقرأ على أنه إهمال لا نتيجة.
سجّل النتائج التي قُبلت ولم تُعالَج، باسم من قبلها وتاريخ انتهاء القبول؛ فالقبول بلا مالك ولا تاريخ مخاطرة بلا مالك.
استبدل التقييم ولا ترقّمه في مكانه، فيبقى ما رُئي على قرار الاعتماد هو ما رُئي عليه.

المحاذاة والترابط المؤسسي

1. المتطلبات المسبقة والمدخلات (الاعتماديات السابقة)

إلزامي:
- نموذج حالة استخدام الذكاء الاصطناعي (PMO-02.04) أو بيان نطاق المشروع (PMO-04.02.05)
- تدفق البيانات وبنية النظام (مرجع خارجي)
اختياري / سياقي:
- المتطلبات التنظيمية للخصوصية (GDPR / أنظمة حماية البيانات) (مرجع خارجي)

2. النماذج التابعة (الاعتماديات اللاحقة)

إلزامي:
- خطة حوكمة الذكاء الاصطناعي (PMO-02.02)
- سجل المخاطر (PMO-04.08.02)
- وثائق المتطلبات (PMO-04.02.03)
اختياري / سياقي:
- بيان العمل (PMO-04.09.04)
- تقرير تدقيق الجودة (PMO-05.05)

5. إرشادات تعبئة الحقول والبيانات

لإتمام تقييم خصوصية البيانات وأخلاقياتها بدقّة واحتراف، على المسؤول تعبئة الأقسام التالية استنادًا إلى سياق المشروع (مع التأكد من الرجوع إلى parameters.md للمتغيرات العامة للمشروع):

نطاق التقييم: ما الذي تشمله هذه المعالجة والأنظمة والفترات التي يغطيها هذا التقييم. والتقييم الذي لا يذكر ما يستثنيه سيُقرأ على أنه شامل، وفي تلك الفجوة تقع المعالجة التي لم تُختبر.
معالجة غير مشمولة: ما الذي لا يشمله هذا التقييم صراحةً، ولماذا: لأنه مشمول في تقييم آخر، أو لأنه لم يُنظر فيه. العبارتان مختلفتان، والثانية نتيجة وليست تبريرًا.
ملّاك البيانات وأمناؤها: من يملك كل أصل بياني ومن يديره يومًا بيوم. الملكية والإدارة شيئان مختلفان: المسؤولية تتبع الأمين والميزانية تتبع المالك، وتسجيل الاثنين معًا يحدّد المسؤول.
جرد البيانات: الأصول البيانية التي يقوم عليها العمل، وصف واحد لكل أصل: ما هو ومن يملكه، والغرض الذي يُحفظ لأجله، وهل يحوي بيانات شخصية أو فئة خاصة، وحجمه ومعدّل تحديثه. الجرد الذي يُوصف بعدد لا بقائمة لا يجيب عن أي سؤال يأتي بعده.
تدفّق البيانات والمستلمون: أين تتحرك البيانات ومن يستلمها. التدفّق هو ما يحدّد أي نقل يحتاج إلى ضمانة، والتدفّق الذي يُظهر المخزن الرئيسي وحده يخفي النسخ.
أغراض المعالجة وضرورتها: ما الغرض من كل معالجة، ولماذا لا يمكن تحقيقه ببيانات أقل أو بنطاق أضيق. والضرورة تُقاس لكل غرض لا لكل مجموعة بيانات، لأن مجموعة واحدة تخدم أغراضًا مختلفة، ولكل منها ضرورة مختلفة.
السند القانوني حسب الغرض: السند الذي يُستند إليه لكل غرض، بصف واحد لكل غرض: الغرض، والبيانات المعالَجة، والسند، وسند الفئة الخاصة حيث وُجدت، والمبرّر. النموذج الذي يسجّل السند مرة واحدة لكل مجموعة بيانات يحمل سندًا واحدًا عبر أغراض لا تشترك فيه.
توافق الغرض والاستخدام الثانوي: هل تُستعمل البيانات لأي غرض غير الغرض جُمعت لأجله، وبأي سند. الاستعمال الثانوي أشيع إخفاق في عمل التحليلات وأقله احتمالًا للملاحظة، لأن كل حقل على حدة يبقى له أصل مشروع.
اتخاذ القرار الآلي: أي قرار يتخذ عن شخص دون تدخل بشري ذي معنى، والمنطق الذي قوادته، وما يترتب عليه. يُسجَّل لأن تقييم السند القانوني لا يثبت وحده أن القرار قرار يستطيع الشخص الطعن فيه.
آلية الموافقة: كيف تُطلب الموافقة وأين تظهر في التدفّق. الموافقة التي تُجمع بعد استعمال البيانات أصلًا سجل لا طلب، والفرق يحدّد ما يساويه هذا السجل.
تحديد الموافقة ودرجتها: ما قيل للشخص إنه يوافق عليه، وهل الخيارات منفصلة. الموافقة الواحدة التي تغطي عدة أغراض هي موافقة على لا شيء منها بعينه، ومربعات الاختيار المحدَّدة سلفًا ليست اختيارًا.
تسجيل الموافقة وإثباتها: أين يُحفظ سجل الموافقة، وكم تاريخها، ونص أي نسخة من النص ظهرت للشخص، والواجهة التي ظهرت فيها. سجل الموافقة بلا نسخة من النص لا يمكن الدفاع عنه، لأن الشروط التي وافق عليها الشخص تصير غير قابلة للاسترجاع.
السحب: كيف يسحب الشخص موافقته، ومدى سهولة ذلك مقارنة بمنحه، وماذا يحدث للبيانات التي عولجت على أساسها. التباين بين المنح والسحب هو الاختبار المعياري، والسحب الذي يُنفَّذ بأثر لاحق فقط يترك المعالجة قائمة خلفه.
إشعارات الخصوصية والإفصاح في اللحظة: ما يُقال عند الجمع، وما يُقال لحظة استعمال البيانات، وأين يمكن لأي منهما أن يُطالَب به. الإشعار المنشور مرة واحدة لا يعود إليه أحد يطالِق المعالجة أول مرة في الشهر الثالث.
مسار معالجة الطلبات: كيف يُستقبل طلب الفرد وكيف يُوجَّه ويُبتّ فيه ويُجاب عنه، ومن يملك ذلك. الحق المذكور في سياسة بلا طريق لممارسته حقّ مصرَّح به، ولا يُختبر إلا عندما يستخدمه أحد.
التحقق من الهوية: كيف يُؤكَّد أن صاحب الطلب هو من يدّعي، وما يُرفض عند تعذّر ذلك. التحقق الذي يقبل أيًا كان يكشف البيانات، والذي يرفض الجميع ينفي الحق، والميزان بينهما قرار يُسجَّل لا قاعدة افتراضية.
مهل الاستجابة والتصعيد: المهلة المقررة لكل نوع من الطلبات، وماذا يحدث عند تجاوزها، ومن يُبلَّغ. الساعة هي الحق كله في الواقع، لأن الإجابة الصحيحة المتأخرة تبقى إخلالًا.
الطلب على البيانات المشتقّة والمشاركة والمصوّدة: ماذا يحدث لطلب بياناتهم التي جُمعت، أو مُشاركة مع طرف ثالث، أو دُرِّب عليها نموذج. الحذف لا يصل إلى نموذج مدرَّب بحذف صف، والنموذج الذي لا يقول ذلك سيُقرأ على أنه حذفها.
جدول الاحتفاظ: صف واحد لكل أصل بياني: مدة الاحتفاظ، ومبرر هذه المدة لا العرف المتبع، وما يحفّز الحذف، وكيف يُتحقق من الحذف فعلًا.
آلية الحذف وشمولها: كيف يُنفَّذ الحذف، وما نسخه المشمولة: المخازن الأساسية والنسخ المكرّرة والسجلات والتصدير. حذف صف من جدول واحد بينما تبقى البيانات في أربعة مواضع أخرى أشيع نتيجة في أي تقييم من هذا النوع، وهي غير مرئية دون بيان الشمول.
النسخ الاحتياطية والبيانات المشتقّة: كيف ينتشر الحذف إلى النسخ الاحتياطية وإلى النماذج المدرَّبة على البيانات، وخلال أي مدة. النسخ الاحتياطية هي السبب المعتاد لعدم اكتمال الحذف، والنموذج المدرَّب نسخة لا يصلها طلب حذف.
ضوابط الوصول وأدنى امتياز: من يصل إلى البيانات، وبأي طريق، وبأي موافقة، وكيف تُراجع الصلاحيات. الوصول هو الضابط الذي يفشل بهدوء، لأن استعمال صلاحية مشروعة لا يُميَّز عن الاستعمال المشروع دون مراجعة.
التشفير وإدارة المفاتيح: ما المُشفَّر أثناء النقل وفي التخزين، ومن يملك المفاتيح. التشفير الذي مفاتيحه إلى جانب البيانات ضابط على الورق، وترتيب حيازة المفاتيح هو الجزء الذي لا يُكتب.
المشاركة مع الأطراف: المستلمون الخارجيون، بصف لكل مستلم: من هو، ولماذا، وما البيانات المشاركة، وما الضمان التعاقدي المُستند إليه، وأين تُعالَج.
النقول عبر الحدود: أين تغادر البيانات أو المعالجة أو إلى قاضٍ آخر، وبأي آلية نقل، وما الإجراءات التكميلية المطبقة. منطقة الاستضافة ليست تحليل نقل، والوصول عن بُعد من موظف في الخارج نقل لا يسجّله أي إعداد للمنطقة.
إشعار الاختراق: ما الذي يُعدّ اختراقًا هنا، ومن يُبلَّغ، وفي أي مهلة، ومن يقرر. يُسجَّل لأن خطة الاستجابة المكتوبة بعد وقوع حادثة تُكتب لتلك الحادثة، وقرار التعريف هو الجزء الذي يُترك عادةً.
الضرر خارج المساءلة القانونية: أين يضر هذا العمل ولا يمنعه قانون. هذا القسم موجود لأن الامتثال حدّ أدنى: المعالجة قد تكون مشروعة ومرخّصة ومحتفَظًا بها على الوجه الصحيح ومشتركة على الوجه الصحيح، وتكون مع ذلك خاطئة، والنموذج الذي يتوقف عند المشروعية أجاب عن السؤال السهل.
الأشخاص والفئات الهشّة: من يتأثر وهو في حالة ضعف القدرة على الرفض أو الفهم أو تحمّل العاقبة. الهشاشة هنا صفة للوضع لا صفة للشخص، وهي غير مرئية لسجلّ من الفئات والأعداد.
الشفافية تجاه المتأثرين: ما يُقال فعلًا لمن هم في البيانات، ببلغتهم، على خلاف ما يقوله الإشعار. الإشعار الدقيق والكامل وغير المقروء هو الفشل المعتاد، وقراءته بوصفه متلقيًا لا بوصفه كاتبًا هو الطريق الوحيد لرؤيته.
التلاعب والأنماط الخفية وإرهاق الموافقة: هل يدفع التصميم ويحدّد سلفًا ويدفن الرفض أو يكرّر الطلب، وهل حجم الطلبات يجعل الرفض عمليًا. الموافقة التي تنتجها بنية تصميم ليست موافقة حرة مهما كان السجل يقول.
عدالة القرارات الآلية: هل ينتج عن المعالجة نتائج لأشخاص، وكيف يتوزع توزيع تلك النتائج على الفئات. سند قانوني لقرار ليس دفاعًا عن عدالته، والتقييمان يختبران سؤالين مختلفين.
سجل النتائج: صف واحد لكل نتيجة: ما الذي وجدناه، والخطر الذي يشكّله على الأفراد، والخطورة، والمالك، والإجراء المتخذ. الخطورة هي ما يحدّد ترتيب العمل، والسجل بلا خانة خطورة قائمة ملاحظات.
المخاطر المتبقّية وقبولها: الخطر الباقي بعد الإجراءات المخطط لها، ومن يقبله، ومتى ينتهي قبوله. القبول قرار له مالك وتاريخ انتهاء، والقبول بلا أيٍّ منهما مخاطرة بلا مالك تُكتشف من جديد في التقييم التالي.
خطة المعالجة: الإجراءات ومالكيها وتواريخها، وما يجري في الفترة الفاصلة. الفترة الفاصلة هي ما تعمل فيه النتيجة المعروفة فعلًا، فهي الجزء الأجدر بالكتابة.
محفّزات المراجعة: ما الذي يعيد فتح هذا التقييم قبل موعده المقرر: غرض جديد، أو مستلم جديد، أو نموذج جديد، أو تغيّر تنظيمي. المحفّزات التي تُكتب بعد وقوع التغيير سجلّ للتغيير لا ضابط له.
محفّزات إعادة التقييم: متى ينتهي صلاحية هذا التقييم وعلى أي دورة. التقييم بلا انتهاء يُعامَل عند كل من لم يكتبه على أنه دائم، بمن فيهم من ورثه.

النماذج المرتبطة

6. نموذج تطبيقي معبأ (مثال استرشادي)

يتوفر نموذج تطبيقي مكتمل وعالي الجودة يوضح كيفية تعبئة واستخدام هذا المستند عملياً:

📖 النموذج التطبيقي المكتمل: 02_06_تقييم_خصوصية_البيانات_وأخلاقياتها_مثال.md