اللائحة العامة لحماية البيانات (AVG) في مجال المساعدة والدعم

ما هو

تسري اللائحة العامة لحماية البيانات (AVG) منذ 25 أيار 2018 في كل الاتحاد الأوروبي، على كل من يعالج بيانات شخصية: المؤسسات الكبيرة والصغيرة، والحكومة أيضا. وتراقب تطبيقها هيئة حماية البيانات الشخصية في هولندا (Autoriteit Persoonsgegevens، AP).

• البيانات الشخصية هي كل المعلومات عن شخص يمكن التعرف عليه: اسم أو رقم هاتف، ولكن أيضا صورة أو تسجيل صوتي يمكن فيه التعرف على شخص ما.
• المعالجة هي كل ما يحدث لهذه البيانات: جمعها وحفظها والاطلاع عليها وإرسالها ومسحها.
• البيانات الشخصية الخاصة حساسة بشكل أكبر. منها البيانات عن صحة الشخص، وقد تكون هذه البيانات أيضا في ملف أخصائي اجتماعي.

معالجة البيانات الصحية ممنوعة، إلا إذا سمح القانون بذلك كاستثناء. فهي مسموحة مثلا إذا كانت ضرورية لتقديم الرعاية أو المساعدة لشخص ما، ويكون أساسها عادة في قانون، مثل قانون الدعم الاجتماعي (Wet maatschappelijke ondersteuning، Wmo) لعام 2015 أو قانون الشباب (Jeugdwet).

وهذا يسري على كل البيانات: جمعها فقط لهدف محدد مسبقا، وعدم جمع أكثر من الحاجة، وعدم حفظها مدة أطول من الحاجة، وحمايتها جيدا. وعلى مؤسستك أيضا أن تستطيع إثبات أنها تلتزم بذلك.

يحق للناس الاطلاع على بياناتهم وطلب تصحيحها أو مسحها والاعتراض على استخدامها. على المؤسسة أن ترد على هذا الطلب خلال شهر. ولكن إذا كان الطلب معقدا، فقد يستغرق تنفيذه حتى ثلاثة أشهر.

لماذا هذا مهم

يجب أن يثق المراجعون بأن البيانات عن صحتهم في أمان. فهذه البيانات حساسة جدا، واستخدامها قد تكون له عواقب كبيرة على الشخص. وفي عدة مهن يوجد أيضا واجب كتمان السر (geheimhoudingsplicht).

الرسالة التي تصل إلى الشخص الخطأ هي تسرب للبيانات (datalek)، وكذلك فقدان هاتف فيه بيانات غير مشفرة. وروبوتات المحادثة التي تعمل بالذكاء الاصطناعي (AI) خطر أحدث. في آب 2024 تبين أن موظفين أدخلوا بيانات، مثلا عن مرضى، في روبوت محادثة من هذا النوع، وفي عيادة طبيب عائلة (huisarts) أدخلوا حتى بيانات طبية. وهذا فيه خطر، لأن أغلب الشركات التي تقف وراء روبوتات المحادثة تحفظ كل ما يدخل فيها.

اتفاقية معالجة البيانات وتقييم الأثر (DPIA)

عند استخدام تطبيق مع مراجع، قد تذهب بيانات إلى الجهة المطورة للتطبيق. هل تعالج الجهة المطورة البيانات بتكليف من مؤسستك؟ عندها تكون الجهة المطورة جهة معالجة (verwerker)، وعلى مؤسستك أن توقع معها اتفاقية معالجة البيانات (verwerkersovereenkomst): عقد عما يسمح للجهة المطورة أن تفعله بالبيانات. في هذا العقد يكتب مثلا كيف تحمي الجهة المطورة البيانات، وأنها تمسحها أو تعيدها عند انتهاء التعاون. وإذا حدث تسرب للبيانات عند الجهة المطورة، فعليها إبلاغ مؤسستك بأسرع وقت ممكن.

وأحيانا تكون هناك حاجة أيضا إلى فحص للخصوصية، اسمه تقييم أثر حماية البيانات (data protection impact assessment، DPIA). القاعدة العامة: يكون التقييم ضروريا عند وجود اثنتين أو أكثر من تسع علامات للخطر. والبيانات الصحية مع البيانات عن أشخاص في وضع هش، مثل المرضى، تساوي معا علامتين.

خطوات العمل

1. استخدام القنوات التي اختارتها مؤسستك. كل مؤسسة تقرر بنفسها نوع الحماية اللازمة. لذلك ما هو مسموح في مكان آخر، قد لا يكون مسموحا عندك.
2. كتابة ما هو ضروري للمساعدة فقط، في الرسالة وفي الملف.
3. التفكير قبل إرسال بيانات صحية بالبريد الإلكتروني. هذا ليس ممنوعا، ولكن هناك طرق أكثر أمانا. وإذا اخترت البريد الإلكتروني رغم ذلك، فيجب أن يكون السبب واضحا ويمكن شرحه جيدا، ويجب أن يكون البريد محميا جيدا.
4. طلب الموافقة قبل المشاركة خارج مؤسستك. بسبب واجب كتمان السر، هذه الموافقة ضرورية في الرعاية الصحية لمشاركة بيانات صحية مع مختصين في عيادة أو مؤسسة أخرى. وأحيانا يوجد استثناء، مثلا عند خطر جدي. عندها يكون التشاور داخل مؤسستك أولا.
5. عدم إدخال بيانات المراجعين في روبوت محادثة بالذكاء الاصطناعي. حتى إذا سمحت مؤسستك بذلك، فهو غالبا غير مسموح قانونيا. وإذا لم تكن في فريقك اتفاقات عن روبوتات المحادثة بعد، يمكنك وضع الموضوع على جدول اجتماع الفريق.
6. حماية أجهزتك. يمكنك تشغيل التحقق بخطوتين: عندها يكون الدخول بكلمة السر ومعها رمز على هاتفك مثلا. ومن الأفضل تثبيت التحديثات تلقائيا، واستخدام بيانات الهاتف المحمول خارج المكتب بدلا من شبكة wifi عامة.
7. عدم التقاط صورة لمراجعك أو مشاركتها دون سبب. إذا كان من الممكن التعرف على الشخص في الصورة، فاللائحة (AVG) تسري. عندها يلزمك لعملك سبب صحيح من اللائحة، مثلا موافقة الشخص الذي في الصورة.
8. إبلاغ مؤسستك بالخطأ فورا. بعض حالات تسرب البيانات يجب على مؤسستك إبلاغ هيئة حماية البيانات (AP) بها خلال 72 ساعة، وأحيانا أيضا إبلاغ الأشخاص المعنيين. وكل تسرب للبيانات يسجل في سجل تسرب البيانات، حتى إذا لم يكن الإبلاغ ضروريا.

مثال: ما الذي يكتب في الملف

المراجعة في هذا المثال لم تعد تفتح رسائلها البريدية، ومساعدتها جزء من عملك. ترسمان معا خريطة الشبكة: من يستطيع أن يساعدها في ذلك. أخوها وجارة وزميل سابق. يكتب في الملف فقط: «الأخ يريد المساعدة في البريد مرة في الأسبوع.» بقية الخريطة ليست ضرورية للمساعدة، ولذلك لا مكان لها في الملف.

تنبيه

• عدم طلب الموافقة من باب الاحتياط فقط. غالبا ينظم القانون الأمر من قبل، والموافقة الإضافية تجعل الأمر معقدا على مراجعك دون داع. وإذا كانت الموافقة فعلا هي الأساس، فيجب أن يكون الرفض ممكنا بحرية، دون ضرر على مراجعك. ولهذا لا يمكن عادة أن تكون الموافقة هي الأساس في البلدية (gemeente)، لأن السكان يعتمدون على البلدية في أمور كثيرة.
• سؤال مسؤول حماية البيانات (functionaris gegevensbescherming، FG). ما هو مسموح في وضعك يتعلق بمؤسستك ومراجعك والأداة، وهذا النص ليس نصيحة قانونية. يراقب مسؤول حماية البيانات داخل مؤسستك الالتزام بقواعد الخصوصية ويقدم النصيحة. لا يوجد مسؤول لحماية البيانات؟ عندها يمكنك سؤال الإدارة عن الشخص المسؤول عن الخصوصية.

لمعرفة المزيد

• قائمة فحص الخصوصية في تطبيق: ما الذي يمكنك فحصه قبل استخدام تطبيق.
• اختيار أداة رقمية لمراجعك: الخصوصية واحدة من النقاط.
• إدخال أداة رقمية في فريقك: وفيه أيضا عن الاتفاقات في فريقك.
• هيئة حماية البيانات الشخصية (بالهولندية) تشرح القواعد.