قائمة فحص الخصوصية في تطبيق

قبل البدء

1. الهدف من استخدام التطبيق واضح لك. يمكنك كتابة الهدف في جملة واحدة، مثلا: «مراجعي يسجل كيف ينام، حتى نتحدث عن ذلك كل أسبوع.» فجمع البيانات مسموح فقط لهدف حددته بوضوح مسبقا. بهذه الجملة الواحدة يمكنك تقييم ما إذا كان التطبيق يطلب أكثر من اللازم، عند النقاط الأخرى.

2. الجهة التي صنعت التطبيق معروفة لك. يمكنك البحث عن اسم الجهة المطورة وبيانات التواصل معها، مثلا في متجر التطبيقات أو على موقع التطبيق. إذا كان عند مراجعك سؤال أو شكوى عن البيانات، فهذا يذهب أولا إلى الجهة المطورة. إذا لم يتم الوصول معا إلى حل، يمكن لمراجعك تقديم شكوى إلى هيئة حماية البيانات الشخصية في هولندا (Autoriteit Persoonsgegevens، AP).

3. التطبيق من متجر موثوق. يمكنك تثبيت التطبيقات مثلا من Google Play Store أو Apple App Store. تنبيه: مخاطر الخصوصية في التطبيقات تنطبق أيضا على التطبيقات المدفوعة. فالسعر لا يقول شيئا عن مدى أمان التطبيق في التعامل مع البيانات.

4. هناك بيان خصوصية مفهوم لك. في هذا البيان مكتوب ما البيانات التي يجمعها التطبيق، ولماذا، وهل تشاركها الجهة المطورة أو تبيعها. يجب ألا يكون هذا البيان طويلا ومعقدا أكثر من اللازم. غالبا يمكنك قراءته قبل تنزيل التطبيق، وبعض متاجر التطبيقات تعرض ملخصا له. هل البيان غير موجود أو غير واضح؟ من الأفضل عندها البحث عن تطبيق آخر.

ما البيانات التي يطلبها التطبيق

5. التطبيق يطلب فقط البيانات اللازمة. تطبيق لتسجيل المزاج مثلا لا يحتاج إلى جهات الاتصال أو الموقع. إذا طلبها التطبيق رغم ذلك، فهذا سبب للبحث أكثر أو لاختيار تطبيق آخر.

6. التطبيق يطلب الإذن لكل نوع من البيانات وحده. جهات الاتصال والصور والموقع مثلا كل منها نوع مستقل. يجب أن يطلب التطبيق الإذن قبل أخذ هذه البيانات من الهاتف. ويمكنك لاحقا إيقاف هذا الوصول في إعدادات الهاتف، حتى بعد تثبيت التطبيق.

7. لا حاجة لتسجيل الدخول بحساب من وسائل التواصل الاجتماعي. تسجيل الدخول في كل مكان بالحساب نفسه سهل، لكنه أحيانا ينشر البيانات ويربطها ببعضها بلا داع. إذا كان حساب مستقل ممكنا، فالأفضل اختياره.

8. من الواضح لك هل ستدخل بيانات عن الصحة في التطبيق. البيانات عن الحالة النفسية لشخص ما تدخل في ذلك أيضا. معالجة هذه البيانات ممنوعة، إلا إذا كان القانون يسمح بها كاستثناء. لهذا هناك قواعد أشد، وبقية هذه القائمة مهمة أكثر.

9. التطبيق لا يعطي البيانات للمعلنين. بعض التطبيقات تتابع ما يفعله المستخدم وتشارك ذلك مثلا مع المعلنين. يمكنك البحث في بيان الخصوصية هل تشارك الجهة المطورة البيانات أو تبيعها، ومع من. إذا كان مكتوبا فقط «مع شركاء»، يمكنك سؤال الجهة المطورة من هم هؤلاء الشركاء.

أين تبقى البيانات

10. مكان حفظ البيانات معروف لك. هل هي على الهاتف فقط، أم عند الجهة المطورة أيضا؟ وهل هذا داخل المنطقة الاقتصادية الأوروبية (EER) أم خارجها؟ خارج المنطقة الاقتصادية الأوروبية قد تخضع البيانات لقوانين أخرى.

11. التطبيق يحمي البيانات. هذا يتعلق بالتقنية، مثل التشفير، ويتعلق أيضا بالاتفاقات عند الجهة المطورة: من يستطيع الوصول إلى البيانات؟ إذا أرسل التطبيق البيانات عبر الإنترنت بلا تشفير، يمكن لأشخاص آخرين التقاطها.

12. التطبيق لا يحفظ البيانات أطول من اللازم. كلما بقيت البيانات محفوظة مدة أطول، كانت عواقب تسرب البيانات أكبر. يمكنك البحث في بيان الخصوصية عن مدة حفظ البيانات عند الجهة المطورة. إذا لم تكن مذكورة، يمكنك السؤال عنها.

13. يمكن لمراجعك التوقف وطلب حذف البيانات. التطبيق الجيد يسمح بسحب الموافقة، وحذف التطبيق، ومسح البيانات التي جمعها. يجب أن يكون سحب الموافقة سهلا مثل إعطائها. الموافقة بلمسة واحدة، وسحبها باتصال هاتفي أو رسالة بالبريد؟ هذا غير مسموح.

الاتفاقات في مؤسستك

14. من يضع البيانات في التطبيق معروف لك. هل التطبيق لاستخدام مراجعك الشخصي فقط؟ أم تضع مؤسستك فيه بيانات عن المراجعين؟ في الحالة الثانية تقرر مؤسستك لماذا وكيف تستخدم البيانات، ولذلك تكون مؤسستك عندها هي المسؤولة، وعليها أن تنظم أمورا أكثر.

15. هناك اتفاقية معالجة بيانات إذا كانت لازمة. هل تعمل الجهة المطورة بتكليف من مؤسستك على بيانات المراجعين؟ عندها اتفاقية معالجة البيانات (verwerkersovereenkomst) إلزامية: عقد عما يسمح للجهة المطورة أن تفعله بالبيانات. ما يجب أن يكون فيها موجود في اللائحة العامة لحماية البيانات (AVG) في مجال المساعدة والدعم.

16. مسؤول حماية البيانات (FG) على علم بذلك. مسؤول حماية البيانات يقدم النصيحة عن الخصوصية. ويمكنك أيضا سؤاله هل هناك حاجة إلى دراسة للخصوصية، وهي تقييم الأثر على حماية البيانات (data protection impact assessment، DPIA). القاعدة العامة: تقييم DPIA عند وجود اثنين أو أكثر من تسعة معايير للخطر. البيانات الصحية والبيانات عن أشخاص في وضع هش، مثل المرضى، هي معا معياران.

17. ما يجب فعله عند تسرب البيانات واضح لك. هل أرسلت بيانات إلى الشخص الخطأ؟ أو أضعت هاتفا فيه بيانات غير مشفرة؟ هذا تسرب للبيانات (datalek)، لذلك من المهم الإبلاغ عنه فورا داخل مؤسستك. بعض حالات تسرب البيانات يجب على مؤسستك الإبلاغ عنها خلال 72 ساعة إلى هيئة حماية البيانات الشخصية (AP)، وأحيانا أيضا إلى الأشخاص المعنيين.

مع مراجعك

18. مراجعك على علم بما يفعله التطبيق بالبيانات. يمكنك شرح ذلك بكلمات عادية. ويمكنك أيضا ذكر ما المطلوب من مراجعك لاستخدام التطبيق، وكم يكلف التطبيق، وما المخاطر أو العيوب، وما الإمكانيات الأخرى. على مقدمي الرعاية الصحية ومقدمي المساعدة للشباب فعل ذلك أيضا، حتى يتمكن المراجع من اختيار جيد.

19. الاختيار حر لمراجعك. يجب أن يكون قول «لا» ممكنا لمراجعك، دون ضرر. من المهم الانتباه إلى العلاقة بينكما، لأن المرضى مثلا لا يستطيعون دائما قول نعم أو لا بحرية. لذلك من الجيد أن يقال بوضوح إن المساعدة تستمر إذا كان جواب مراجعك «لا»، وإنكما ستبحثان عندها عن شيء آخر.

20. عند العمل مع الأطفال، الانتباه مطلوب أكثر. إذا كانت الموافقة هي الأساس، فالطفل تحت 16 سنة لا يستطيع إعطاءها بنفسه بشكل صحيح: يعطيها أحد الوالدين أو من يرعى الطفل. لكن يمكن للطفل من عمر 12 سنة أو أكبر سحب هذه الموافقة بنفسه. ولا يسمح للتطبيق أيضا باستخدام بيانات الأطفال لإعلانات موجهة إليهم، ويجب أن يناسب الشرح عن التطبيق عمرهم، بلغة بسيطة.

تنبيه

• من الأفضل عدم استخدام التطبيق بعد إذا لم يكن ممكنا وضع علامة عند نقطة ما. يمكنك أولا البحث في الأمر مع مسؤول حماية البيانات، أو اختيار أداة أخرى. هذه القائمة ليست نصيحة قانونية.
• لا داعي لطلب الموافقة من باب الاحتياط فقط. غالبا ينظم القانون أصلا ما البيانات التي يسمح للمختص بتسجيلها، والموافقة الإضافية تجعل الأمر معقدا بلا داع. مسؤول حماية البيانات يعرف ما ينطبق على حالتك.
• من المهم النظر أيضا إلى ما يحدث حول التطبيق. التطبيق الآمن لا يفيد كثيرا إذا وصل تقرير عنه بعد ذلك إلى بريد إلكتروني عادي أو إلى روبوت محادثة. يمكنك الاتفاق على ذلك في فريقك.
• من المفيد الفحص من جديد بعد تغيير كبير. مثلا إذا صدرت للتطبيق نسخة جديدة فيها وظائف جديدة، أو إذا اشترت جهة أخرى التطبيق. لا يسمح للتطبيق بتغيير الأهداف التي يستخدم البيانات من أجلها في منتصف الطريق دون موافقتك.

لمعرفة المزيد

• اللائحة العامة لحماية البيانات (AVG) في مجال المساعدة والدعم: قواعد الخصوصية بكلمات عادية، وما يمكن فعله كل يوم لحماية البيانات.
• اختيار أداة رقمية لمراجعك: الخصوصية واحدة من الأمور التي من المهم الانتباه إليها.
• يمكنك تجربة القائمة على تطبيق معروف لك. مثلا Moodnu، تطبيقنا لتسجيل المشاعر.