تعريف اتفاقية مشاركة البيانات
اتفاقية مشاركة البيانات (بالإنجليزية: Data Sharing Agreement) هي اتفاق مكتوب بين طرفين ينظّم انتقال بيانات من أحدهما إلى الآخر: ما البيانات، ولأي غرض، وبأي صفة يتصرّف فيها المتسلّم، وإلى متى. وهي في المنشأة أداة إدارية، لكنّ موضوعها محكوم بنظام غير نظام العمل.
لماذا هي مسألة نظامية لا تعاقدية فحسب
لأنّ المشاركة نفسها معالجة. فقد عدّد تعريف المعالجة في المادة الأولى من نظام حماية البيانات الشخصية صورًا منها النقل، والإفصاح، والمشاركة في البيانات أو الربط البيني. فما إن تنتقل بيانات موظف من طرف إلى طرف حتى يكون ما جرى عملية معالجة تخضع لأحكام النظام، سواء سمّيناها في العقد مشاركةً أو تزويدًا أو ربطًا.
ويترتّب على ذلك أثر مباشر: نصّت المادة العاشرة على أنّه لا تجوز معالجة البيانات الشخصية إلّا لتحقيق الغرض الذي جُمعت من أجله، في حدود الاستثناءات الواردة فيها. ونصّت المادة الخامسة على أنّ المعالجة، وتغيير الغرض منها، يقومان على موافقة يجوز سحبها في أي وقت. فالسؤال الأول في أي اتفاقية مشاركة ليس «ما البنود؟» بل «هل الغرض الذي تنتقل إليه البيانات هو الغرض الذي جُمعت من أجله؟»
ونصّت المادة التاسعة عشرة على اتّخاذ ما يلزم من إجراءات ووسائل تنظيمية وإدارية وتقنية تضمن المحافظة على البيانات، «بما في ذلك عند نقلها». فالنقل موضع منصوص عليه بذاته، لا حالة عابرة بين موضعين آمنَين.
الصفة تسبق البنود
عرّف النظام صفتين تتحدّدان بما يفعله الطرف لا بما يسمّيه العقد:
- جهة التحكم: الجهة التي تحدّد الغرض من المعالجة وكيفيتها، سواء باشرتها بنفسها أو بوساطة جهة المعالجة.
- جهة المعالجة: الجهة التي تعالج البيانات لمصلحة جهة التحكم ونيابةً عنها.
وثمّة صفة ثالثة يجدر التنبّه لها، لأنّ النظام أفردها بتعريف: الإفصاح هو تمكين أي شخص عدا جهة التحكم أو جهة المعالجة من الحصول على البيانات أو استعمالها أو الاطّلاع عليها. فالانتقال إلى من يعالج نيابةً عن المنشأة ليس في مرتبة الانتقال إلى طرف ثالث يعمل لحسابه. ومن سوّى بينهما في اتفاقية واحدة سوّى بين حالتين وصفهما النظام بوصفين مختلفين.
ما يجعل الاتفاقية صالحة للعمل بها
هذه ترتيبات إدارية، لا تعداد لبنود يوجبها النظام:
- غرض واحد مسمّى، لا «لأغراض التعاون بين الطرفين». فغرض غير محدّد لا يمكن قياس الالتزام به لاحقًا.
- مجموعة بيانات محدّدة بالحقول، لا بالوصف العامّ. و«بيانات الموظفين» ليست مجموعة بيانات، بل اسم لباب يدخل منه كلّ شيء.
- صفة كلّ طرف مكتوبة، ومن يردّ على صاحب البيانات إن مارس حقًّا من حقوقه المقرّرة في النظام.
- مدّة، وما يقع عند انتهائها: إتلاف أو إعادة، ومن يثبت وقوعه.
- ما يُفعل عند تسرّب: من يُبلِغ من، وفي أي وقت، مع بقاء واجب الإبلاغ النظامي على صاحبه.
- سرّية لا تنتهي بانتهاء الاتفاقية، وهو ما يتّسق مع المادة الحادية والأربعين من النظام في أنّ التزام السرّية لا ينتهي بانتهاء العلاقة التعاقدية.
وهذه الاتفاقية غير اتفاقية عدم الإفصاح وإن تجاورتا. الأولى تنظّم انتقالًا مقصودًا لبيانات معيّنة إلى طرف معيّن لغرض معيّن، والثانية تمنع الإفشاء. ووجود الثانية لا يغني عن الأولى، لأنّ منع الإفشاء لا يحدّد غرضًا ولا يحصر حقولًا ولا يعيّن صفة.
ما لا تجد جوابه هنا
ليس بين أيدينا نصّ يعدّد البنود التي يجب أن تتضمّنها اتفاقية بين جهة تحكم وجهة معالجة، فلا تُقدَّم القائمة أعلاه على أنّها متطلّب نظامي. وكذلك نقل البيانات إلى خارج المملكة والواجبات الإضافية على البيانات الحساسة: لا تُذكران هنا لأنّ مصدرنا لم يُقرأ فيهما، ولا تُستخرجان بالقياس على ما قبلهما. وأمّا مدد الاحتفاظ فالنظام قُرئ فيها ولم يذكر عددًا، بل قرّر الإتلاف عند انتفاء الحاجة. وأمّا أرقام الغرامات فمقرَّرة في النظام وتُترك من هذه الصفحة قصدًا.
وأصل الالتزامات التي تسبق أي اتفاقية من هذا النوع في صفحة خصوصية بيانات الموظفين.
وما سبق تعريف بالمفهوم وبما ورد في نظام حماية البيانات الشخصية، لا استشارة نظامية.
أدِر موظفي منشأتك على قيود HR
ملفات الموظفين والعقود والوثائق بتواريخ انتهائها وتنبيهاتها، وتحكّم في الصلاحيات بحسب الدور عبر الفروع.
نظام مستقل باشتراكه الخاص، والربط مع قيود المحاسبة متاح الآن.