موجة طلبات DSAR: المعالجة الدُّفعية للامتثال باللائحة الأوروبية
تحدد المادة 12 من اللائحة الأوروبية مهلة شهر واحد. يجب على المؤسسات الرد على طلبات الوصول إلى البيانات الشخصية (DSAR) خلال 30 يوماً. الحالات المعقدة تحصل على تمديد 60 يوماً. يبدأ العدّ من لحظة الاستلام، ولا فترة سماح، والتأخر عن الموعد انتهاك في حد ذاته.
في 2024، رفّعت غرامات هيئات حماية البيانات الوعيَ بحقوق البيانات على نطاق واسع. غرّمت هيئة حماية البيانات الأيرلندية LinkedIn بـ310 ملايين يورو بسبب استخدام الإعلانات السلوكية دون موافقة صحيحة، وغرّمت Meta بـ251 مليون يورو لإخفاقها في الإخطار بالاختراق في الوقت المناسب. جلبت كل غرامة حملة توعية، وتعرّف المزيد من الناس على حقوقهم، وارتفعت أحجام طلبات DSAR.
أطلق إطار التنفيذ المنسق EDPB لعام 2024 الضوء على إخفاقات حق الوصول. المؤسسات التي لا تستطيع إثبات سجلات DSAR نظيفة تواجه الآن تدقيقاً أشد.
راجع ملخص الامتثال وممارسات الأمن لمعرفة كيف ندعم التزامات اللائحة الأوروبية.
مشكلة البيانات الشخصية للأطراف الثالثة
تُنشئ ردود DSAR مشكلة بعينها: البيانات الشخصية للأطراف الثالثة.
يطلب صاحب البيانات جميع سجلاته. قد تتضمن تلك السجلات أشخاصاً آخرين. ملاحظة دعم قد تتضمن رقم هاتف عميل آخر. مراسلة بريدية قد تكشف عنوان زميل. سجل شكوى قد يذكر طرفاً ثالثاً. إرسال تلك السجلات يكشف بيانات أشخاص آخرين، وهذا انتهاك مستقل لحقوقهم.
يجب مراجعة كل مستند وإزالة الإشارات إلى أطراف ثالثة قبل الإرسال. شركة اتصالات تتلقى 300 طلب DSAR شهرياً لديها نحو 50 مستنداً لكل طلب. أي 15,000 مستند كل شهر — فقط لامتثال DSAR.
فريق من ثلاثة أشخاص لا يستطيع إنجاز ذلك. المراجعة اليدوية لا تتناسب مع مهلة شهر واحد بهذا الحجم.
بنية المعالجة الدُّفعية
يحلّ إعداد مسبق مخصص لردود DSAR هذه المشكلة. يفحص الإعداد كل مستند، ويرصد جميع أسماء الأشخاص ومعلومات الاتصال وسائر المعرِّفات، ويُخفي هوية كل تطابق باستثناء تلك التي تعود إلى الشخص طالب البيانات — اسمه ورقم حسابه تُدخله في بداية المهمة.
العملاء الآخرون الواردة أسماؤهم في السجلات تُخفى هوياتهم. الموظفون المستشهد بهم في ملاحظات الخدمة تُخفى هوياتهم. الأطراف الثالثة في رسائل البريد تُخفى هوياتهم. كل هذا يحدث قبل تجميع حزمة المستندات.
معالجة 50 مستنداً تستغرق دقائق لا ساعات. يُراجع فريق الامتثال المخرجات للحالات الاستثنائية. تنخفض مدة الاستجابة من أسابيع إلى أيام.
تفضل بزيارة صفحة الكيانات للاطلاع على أنواع البيانات التي يرصدها الإعداد المسبق افتراضياً.
ما يهم لإجراء عمل قابل للدفاع عنه
ثلاثة أمور تجعل سير عمل DSAR قابلاً للدفاع عنه:
السرعة. تُزيل أدوات المعالجة الدُّفعية الاختناق المسبب للتأخير عند الحجم الكبير.
الدقة. يجب أن يُزيل الإعداد المسبق البيانات الشخصية للأطراف الثالثة دون المساس بسجلات صاحب البيانات ذاته. الإعداد المُهيَّأ جيداً يتعامل مع هذا التمييز.
سجل التدقيق. تستلزم المادة 5(2) إثبات الامتثال. تُسجّل المهام الدُّفعية المستندات التي جرت معالجتها، والإعداد المستخدم، والوقت. هذا السجل هو دليلك.