يُقصد بالنقل الدولي إتاحة البيانات الشخصية لمتلقٍ خارج المنطقة الاقتصادية الأوروبية. وهو أمر مسموح به، ولكن بشرط ألا يُنتقص من مستوى الحماية المنصوص عليه في اللائحة العامة لحماية البيانات (GDPR) عملياً.
الأساس القانوني
ينظم الفصل الخامس من اللائحة العامة لحماية البيانات (GDPR) عمليات نقل البيانات. تسمح المادة 45 بنقل البيانات إلى الدول المشمولة بقرار كفاية صادر عن المفوضية الأوروبية؛ أما بالنسبة للولايات المتحدة، فقد طُبِّق إطار حماية البيانات بين الاتحاد الأوروبي والولايات المتحدة منذ 10 يوليو/تموز 2023، وذلك فقط على المؤسسات المعتمدة. وتُحدد المادة 46 الضمانات المناسبة، والتي تُعد البنود التعاقدية القياسية لعام 2021 الأكثر استخدامًا، إلى جانب القواعد المؤسسية الملزمة. وتُتيح المادة 49 استثناءات لحالات استثنائية. وعقب صدور حكم شرمس الثاني في 16 يوليو/تموز 2020، لم يعد وجود أداة واحدة كافيًا: بل يلزم تقييم القانون في الدولة المتلقية، وتقييم أثر نقل البيانات، مع اتخاذ تدابير تكميلية عند الحاجة، مثل التشفير باستخدام مفتاح موجود في أوروبا.
كيف يعمل في الممارسة
تتمثل الخطوة الأولى في تحديد مكان وجود البيانات فعليًا ومن لديه حق الوصول إليها، بما في ذلك الدعم من خارج أوروبا. غالبًا ما يتم إغفال هذه النقطة الأخيرة: فالوصول عن بُعد من قِبل فريق الدعم يُعدّ أيضًا نقلًا للبيانات. يلي ذلك اختيار الأداة وتقييمها، ويجب توثيق ذلك كتابيًا. ينبغي أن تلزم العقود المورّد بإخطار الشركة بأي تغييرات في الموقع أو في معالجات البيانات الفرعية.
أين يحدث الخطأ
تعتمد المؤسسات على شهادات مورديها دون التحقق من أنها تغطي الخدمة المطلوبة فعلاً. ومن الأخطاء الأخرى توقيع بنود تعاقدية نمطية دون استكمال الملاحق، مما يؤدي إلى غياب وصف عملية المعالجة. ثالثاً، لا يتم توثيق التقييم، على الرغم من أن مبدأ المساءلة يقتضي ذلك تحديداً.
المصطلحات ذات الصلة
ترتبط عمليات النقل باتفاقية معالجة البيانات ، وتقييم أثر حماية البيانات ، واتفاقية SaaS.
هل تعرف أين توجد بياناتك؟ يقوم متخصصونا في قانون تكنولوجيا المعلومات برسم خرائط عمليات النقل والضمانات.
