كيف تُعدّ جردًا للبيانات؟ دليل عملي للامتثال لـ KVKK

جرد البيانات هو خريطة عمل تُظهر بوضوح أين تعالج المؤسسة البيانات الشخصية، وفي أي عمليات، ولأي أغراض، ومع من تتم مشاركتها. ومن منظور الامتثال لـ KVKK، لا يكفي إعداد جدول فحسب، بل يجب فهم تدفق البيانات بين العمليات التجارية والأنظمة المستخدمة.

يساعد الجرد المُعدّ جيدًا على مواءمة نصوص الإبلاغ والإجراءات الداخلية مع الممارسات الفعلية. كما يوضح الأنشطة التي ينبغي فحصها أولًا، إذ تبدأ المؤسسة في رؤية البيانات التي تمتلكها والنقاط التي تنتقل عبرها بصورة ملموسة.

ما الأسئلة التي يجيب عنها جرد البيانات؟

الهدف الأساسي من الجرد هو توضيح أنشطة معالجة البيانات الشخصية على مستوى العمليات. ويجب البحث، بالنسبة إلى كل سجل، عن إجابات لأسئلة أساسية، منها: ما البيانات الشخصية التي تتم معالجتها؟ من هو صاحب البيانات؟ ما الغرض من المعالجة؟ من أي مصدر تأتي البيانات؟ أين تُحفظ؟ من يملك صلاحية الوصول إليها؟ ومع أي أطراف ثالثة تتم مشاركتها؟

يجب عدم الخلط بين فئة البيانات والغرض من المعالجة. فعلى سبيل المثال، قد تتم معالجة الاسم وبيانات الاتصال ومعلومات الفاتورة في عملية بيع واحدة، إلا أن هذه البيانات قد تُستخدم لأغراض مختلفة، مثل إعداد عرض الأسعار وإبرام العقد وتنفيذ العمليات المحاسبية.

لنتناول مثالًا يوميًا: يملأ أحد العملاء نموذجًا، فتظهر المعلومات على شاشة فريق المبيعات، ثم يُعد عرض سعر، وبعد ذلك تُنقل البيانات إلى النظام المحاسبي لإصدار الفاتورة. لا يتعامل الجرد مع هذه العملية على أنها سجل واحد لبيانات العميل، بل باعتبارها نشاط معالجة تظهر فيه مصادر البيانات وأغراضها وأنظمتها وعمليات نقلها.

ابدأوا بالعمليات لا بالأقسام

قد يؤدي الاقتصار على إدراج أقسام الموارد البشرية أو التسويق أو تقنية المعلومات عند إعداد جرد البيانات إلى نتائج غير مكتملة. فقد تتم معالجة البيانات الشخصية نفسها لأغراض مختلفة ضمن عملية واحدة تشارك فيها عدة أقسام. لذلك، ينبغي أن تكون نقطة البداية هي الأعمال التي تنفذها المؤسسة، لا اسم القسم.

في الخطوة الأولى، يمكن إدراج العمليات الرئيسية مثل استقطاب العملاء والمبيعات والدعم والتوظيف والتوريد وإدارة الزوار والتمويل. ثم تُحدَّد النماذج والتطبيقات وصناديق البريد الإلكتروني ومجلدات الملفات ومقدمو الخدمات المستخدمون في كل عملية. وتكتسب المقابلات مع مسؤولي العمليات أهمية خاصة في الكشف عن الممارسات غير الظاهرة في المستندات الحالية.

فعلى سبيل المثال، إذا اقتصر تصور عملية الموارد البشرية على جمع السير الذاتية، فسيكون الجرد ناقصًا. إذ قد تشكل ملاحظات مقابلات المرشحين، ومكالمات التحقق من المراجع، ووثائق بدء العمل، وإجراءات إنشاء بطاقات الدخول نقاطًا مختلفة لمعالجة البيانات ضمن العملية نفسها.

وثّقوا كل نشاط معالجة باستخدام بنية سجل موحّدة

لكي يكون الجرد قابلًا للاستخدام، ينبغي اعتماد بنية سجل متشابهة في جميع العمليات. ويمكن أن يتضمن نموذج السجل العملي الحقول التالية:

• اسم نشاط المعالجة والعملية المرتبط بها
• فئة أصحاب البيانات
• فئات البيانات الشخصية، وفئات البيانات الشخصية الحساسة إن وجدت
• الغرض من المعالجة
• تقييم المؤسسة للأساس القانوني للمعالجة
• مصدر الحصول على البيانات
• التطبيق أو الجهاز أو البيئة المادية المستخدمة
• الوحدات الداخلية ومقدمو الخدمات الذين يملكون صلاحية الوصول
• الأطراف التي تُنقل إليها البيانات والغرض من النقل
• قاعدة المؤسسة المتعلقة بالاحتفاظ بالبيانات وإتلافها
• مسؤول العملية وتاريخ التحديث

لا يلزم تطبيق هذه الحقول بالمستوى نفسه من التفصيل في كل مؤسسة. المهم أن يتمكن قارئ السجل من فهم دورة حياة البيانات. فإذا كان الغرض من المعالجة غامضًا، أو ذُكر القسم فقط دون اسم النظام، فسيتحول السجل لاحقًا إلى ملاحظة يصعب تدقيقها.

فعلى سبيل المثال، قد تتضمن طلبات الدعم اسم العميل وبيانات الاتصال ومعلومات الجهاز ومحتوى المراسلات. وينبغي توضيح أن هذه البيانات تُستخدم لحل طلب الدعم، وتُحفظ في منصة الدعم، وقد تُشارك عند الحاجة مع مقدم خدمات تقنية.

تحقّقوا من تدفق البيانات عبر الأنظمة ومقدمي الخدمات

قد لا تكون مقابلات العمليات كافية وحدها؛ فالموظفون لا يعرفون دائمًا، وبالمستوى نفسه من التفصيل، الأنظمة التي تمر عبرها البيانات أو الخدمات التي تعمل في الخلفية. لذلك، ينبغي أيضًا فحص جرد التطبيقات وصلاحيات المستخدمين والعقود والنماذج ومجموعات البريد الإلكتروني ومساحات تخزين الملفات.

يمكن مقارنة قائمة الأنظمة التي يقدمها الفريق التقني بمعلومات العمليات التي تقدمها وحدات الأعمال. فإذا تبيّن أن بيانات العملاء محفوظة في نظام ما، بينما لا يظهر هذا النظام في جرد الوحدة المعنية، فهناك فجوة يجب تفسيرها بين السجلين. وبالمثل، إذا كان يتم نقل البيانات إلى أحد مقدمي الخدمات دون أن يظهر ذلك في العقد أو مستندات العملية، فينبغي تقييم الأمر بصورة منفصلة.

فعلى سبيل المثال، قد يعتقد فريق التسويق، عند استخدام نموذج لحملة تسويقية، أن البيانات تنتقل فقط إلى قائمة بريد إلكتروني. إلا أن الفحص التقني قد يُظهر أن بيانات النموذج تنتقل أولًا إلى نظام لإدارة علاقات العملاء، ثم إلى أداة تواصل أخرى. وإذا لم تُظهر الخريطة هذه السلسلة، فلن تعكس النصوص المُعدة وضوابط الوصول التدفق الفعلي للبيانات.

حافظوا على تحديث الجرد واتساقه مع VERBİS

لا ينبغي التعامل مع جرد البيانات باعتباره مشروعًا يُنفذ مرة واحدة. فاستخدام برنامج جديد، أو تغيير نموذج، أو الاستعانة بخدمة خارجية، أو بدء عملية أعمال جديدة، كلها أمور تستدعي مراجعة الجرد. وإذا لم تُحدَّد مسؤولية التحديث، فسيتحول الملف خلال فترة قصيرة إلى أرشيف لا يعكس الوضع الراهن.

يشكل جرد البيانات، عند الحاجة، أساسًا للتحضير لنظام سجل مسؤولي البيانات (VERBİS). ومع ذلك، يجب تقييم الالتزام بـ VERBİS والاستثناءات وفق المعايير الحالية بصورة منفصلة؛ كما ينبغي ضمان اتساق التسجيلات أو الإخطارات التي تستند إلى معلومات الجرد مع بعضها.

من الأخطاء الشائعة فحص النماذج الموجودة على الموقع الإلكتروني فقط، مع استبعاد المستندات الورقية والمكالمات الهاتفية وتدفقات الموردين. ومن الأخطاء الأخرى جمع جميع الأنشطة تحت غرض عام واحد. أما النهج الأكثر سلامة فهو إنشاء آلية عمل تعتمدها الجهات المسؤولة عن العمليات، وتُقارن بالسجلات التقنية، ويتم تحديثها عند حدوث أي تغيير.

كخطوة أولى منخفضة المخاطر، اختاروا عملية واحدة ووثّقوا تدفقها معًا، بدءًا من مصدر البيانات وصولًا إلى نقطة حذفها أو أرشفتها.

FAQ

هل يُعدّ جرد البيانات من مسؤولية فريق تقنية المعلومات وحده؟

لا. يتحقق فريق تقنية المعلومات من الأنظمة وصلاحيات الوصول، بينما توضح وحدات الأعمال العملية التي تُستخدم فيها البيانات والغرض من استخدامها. ويصبح الجرد موثوقًا عند تقييم هذه المعلومات معًا.

هل يجب عرض كل بيان شخصي في صف مستقل داخل الجرد؟

ليس بالضرورة. يمكن عرض فئات البيانات التي تتم معالجتها ضمن العملية نفسها وللغرض نفسه وبتدفق متشابه معًا. أما إذا اختلف الغرض أو النظام أو جهة النقل، فمن الأفضل فصلها لتكون الصورة أوضح.

هل جرد البيانات وسجل VERBİS شيء واحد؟

لا. جرد البيانات هو خريطة عمل داخلية توضح أنشطة المعالجة في المؤسسة بالتفصيل. أما VERBİS فهو تسجيل في السجل يتم وفق الإجراءات المحددة عند نشوء الالتزام ذي الصلة؛ ويُعد الجرد أحد المصادر الأساسية للتحضير له.