DSB النمسا: قضايا Schrems ونقل البيانات
تُعدّ Datenschutzbehörde النمساوية (DSB) الجهة التنظيمية المحلية لمنظمة NOYB، وهي اختصار لـ «None of Your Business»، أسسها ماكس شريمس، وقدّمت المنظمة أكثر من 1,000 شكوى بموجب اللائحة GDPR منذ عام 2018، وتولّت هيئة DSB معالجة 422 منها بين عامَي 2022 و2024.
لهذا السجل أهمية بالغة؛ إذ تقف هيئة DSB في قلب معركتين قانونيتين أعادتا تشكيل قانون نقل البيانات في الاتحاد الأوروبي.
NOYB وهيئة DSB: نمط متكرر
Schrems I (2015): تقدّم شريمس بشكوى بشأن تدفقات بيانات فيسبوك بين الاتحاد الأوروبي والولايات المتحدة، فأسقطت محكمة العدل الأوروبية إطار Safe Harbor الذي كانت تعتمد عليه أكثر من 4,000 شركة آنذاك.
Schrems II (2020): طعن ثانٍ أطاح بـ Privacy Shield الذي كان يُعوّل عليه أكثر من 5,000 شركة، مما أجبر على استئناف المفاوضات وأسفر عن إطار الخصوصية للبيانات بين الاتحاد الأوروبي والولايات المتحدة (DPF)، الذي دخل حيز التنفيذ عام 2023.
Schrems III المتوقعة (2025–2026): طعنت NOYB في قرار الكفاءة المتعلق بـ DPF، وحجتها أن المادة 702 من قانون FISA لا تزال تتعارض مع اللائحة GDPR، ومن المرتقب إحالة القضية إلى محكمة العدل الأوروبية.
78% من قضايا هيئة DSB تتعلق بعمليات النقل عبر الحدود أو بأدوات طرف ثالث، مما يميز الجهة التنظيمية النمساوية عن سائر الهيئات الأوروبية.
حكم هيئة DSB بشأن Google Analytics
أرسى قرار هيئة DSB الصادر في يناير 2022 بشأن Google Analytics نموذجًا لقضايا نقل البيانات.
أسفر القرار عن ثلاثة نتائج رئيسية:
- عناوين IP بيانات شخصية. حتى عناوين IP المختصرة قد تُمكّن من إعادة التعريف داخل أنظمة Google، وتُزيد سجلات الجلسات الأمر سوءًا.
- وصول البائع الأمريكي يُعدّ عملية نقل. حين يتمكّن مهندسون أمريكيون من الوصول إلى سجلات مستخدمين أوروبيين، فهذا نقل بموجب اللائحة GDPR، ويشمل ذلك أعمال الدعم والصيانة والأوامر القانونية.
- البنود التعاقدية القياسية دون تقييم أثر النقل غير كافية. تستلزم هذه البنود (SCCs) تقييم أثر النقل (TIA) الذي يثبت أن قوانين التجسس الأمريكية لا تُلغي حمايات تلك البنود.
حمّلت هيئة DSB المسؤولية للمشغّل النمساوي لا لـ Google، إذ كان هو المتحكم في البيانات. وهذا ينطبق على كل شركة أوروبية تُضمّن نصوصًا برمجية لطرف ثالث. راجع دليل الامتثال للائحة GDPR للاطلاع على واجبات المتحكم في البيانات.
التدابير التقنية الإضافية
عقب Schrems II، نشر المجلس الأوروبي لحماية البيانات توجيهات بشأن التدابير التقنية الإضافية المطلوبة حين تقصر البنود التعاقدية القياسية وحدها. وتُطبّق هيئة DSB هذه التوجيهات.
ثلاثة أساليب تجتاز مراجعة هيئة DSB:
التشفير بمفاتيح أوروبية. تشفير السجلات قبل مغادرتها للاتحاد الأوروبي مع الاحتفاظ بمفاتيح فك التشفير داخل أوروبا. إذا أجبرت السلطات الأمريكية البائع على تسليم الملفات، تحصل على نص مشفر لا تستطيع قراءته.
التزوير الوهمي للهوية قبل النقل. إرسال رموز مزيفة الهوية عبر الحدود والاحتفاظ بمفتاح إعادة التعريف داخل الاتحاد الأوروبي. لا تحمل الملفات المُنقلة بيانات شخصية مباشرة.
المعالجة المحلية. إجراء جميع العمليات على خوادم مستضافة في الاتحاد الأوروبي ونقل إحصاءات مجمّعة مجهولة الهوية حقًا فحسب، دون أن تعبر أي سجلات شخصية الحدود.
أكّدت هيئة DSB هذا الموقف؛ فالمجموعات التي تعتمد على برامج SaaS أمريكية لبيانات شخصية أوروبية يجب أن تُطبّق تدبيرًا واحدًا على الأقل من هذه التدابير، أو أن تُثبت أن المحتوى المُنقل مجهول الهوية فعلًا.
مخاطر Schrems III
تواجه الشركات التي تعتمد فقط على إطار DPF مخاطر جلية؛ فإن نجح الطعن الذي قدّمته NOYB أمام محكمة العدل الأوروبية، كان على هذه الشركات إيجاد أدوات نقل جديدة بسرعة، وهذا بالضبط ما حدث في عامَي 2015 و2020.
أما المجموعات التي تستخدم تدابير تقنية إضافية فهي في مأمن؛ إذا كان المحتوى مجهول الهوية حقًا فلا تنشأ أي عملية نقل بموجب اللائحة GDPR، وأي انهيار لـ DPF لن يؤثر عليها.
بالنسبة للعمليات في النمسا: تُولّد أدوات التحليل (Google Analytics وMixpanel وAmplitude) تعرضًا للمساءلة أمام DSB، وكذلك أنظمة CRM ذات الشركات الأم الأمريكية (Salesforce وHubSpot)، والمنصات السحابية التي يمتلك فيها موظفون أمريكيون صلاحيات إدارية.
الحل واحد في كل الحالات: التأكد من أن السجلات الشخصية مجهولة الهوية فعلًا قبل وصولها إلى البائع، أو تشفيرها بمفاتيح يحتفظ بها المتحكم الأوروبي وحده. يوضح نظرة عامة على الأمن والامتثال كيف يُزيل التصميم المعتمد على عدم المعرفة مشكلة النقل من جذرها.