سلسلة KVKK ‏1/5: لماذا تُعد منشأة المنسوجات متحكماً بالبيانات؟

لا يقتصر قانون حماية البيانات الشخصية التركي رقم 6698، المعروف باسم KVKK، على شركات التقنية والمجموعات الكبرى؛ فهو يعني أيضاً الورش الصغيرة والمتاجر الإلكترونية والمصانع. وقلة الموظفين لا تلغي وحدها الواجبات القانونية. يشمل نطاق القانون المعالجة الآلية والمعالجة غير الآلية التي تكون جزءاً من نظام تسجيل بيانات، مع مراعاة الاستثناءات القانونية.

تتناول هذه السلسلة من خمسة أجزاء واجبات منشآت المنسوجات. ويركز الجزء الأول على المفاهيم والمبادئ وحصر البيانات الذي يدعم الامتثال.

1. البيانات الشخصية والمفاهيم الأساسية

البيانات الشخصية: كل معلومة تتعلق بشخص طبيعي محدد أو قابل للتحديد، مثل الاسم ورقم الهوية والعنوان والهاتف والبريد والصورة وتسجيل الكاميرا والبيانات البنكية.

المتحكم بالبيانات: الشخص الطبيعي أو الاعتباري الذي يحدد أغراض المعالجة ووسائلها ويتحمل مسؤولية إنشاء نظام التسجيل وإدارته. تكون شركة المنسوجات عادة المتحكم في عمليات موظفيها وعملائها؛ وإذا كانت المنشأة شركة ذات شخصية اعتبارية، فالشركة نفسها هي صاحبة هذا الدور.

معالج البيانات: من يعالج البيانات نيابة عن المتحكم وبناء على تفويضه. وقد ينطبق ذلك على مقدم خدمة الرواتب أو السحابة أو البنية التقنية للتجارة الإلكترونية. ولا تصبح شركات المحاسبة أو الشحن أو الرسائل معالجاً تلقائياً لمجرد تلقيها البيانات؛ يتحدد دورها وفق قراراتها الفعلية وواجباتها القانونية وطبيعة المعالجة، وقد تكون متحكماً مستقلاً.

صاحب البيانات: الشخص الطبيعي الذي تُعالج بياناته، كالموظف والمتقدم للعمل والعميل والزائر وموظف المورد.

البيانات ذات الطبيعة الخاصة: البيانات المتعلقة بالعرق والأصل الإثني والرأي السياسي والمعتقد الفلسفي والدين والمذهب والمعتقدات الأخرى والمظهر واللباس وعضوية الجمعيات والمؤسسات والنقابات والصحة والحياة الجنسية والإدانات الجنائية والتدابير الأمنية والبيانات البيومترية والجينية. تخضع لشروط المادة 6 والتدابير الكافية المحددة من مجلس حماية البيانات. وقد عُدلت شروط المعالجة عام 2024، لذلك يجب مراجعة الملخصات القديمة.

لا تُعد بيانات الشركة الاعتبارية، كالاسم التجاري ورقمها الضريبي، بيانات شخصية بذاتها عادة، لكن اسم ممثلها وتوقيعه ورقم هاتفه الشخصي كذلك. ولهذا قد تدخل بيانات مالك الورشة وممثل المورد والتاجر الفرد ضمن نطاق القانون.

2. المبادئ العامة

تلزم المادة 4 بمراعاة المبادئ في جميع مراحل المعالجة:

3. خريطة البيانات في منشأة المنسوجات

حدد البيانات الموجودة ومكانها والغرض منها والجهات التي تتلقاها وأساسها القانوني.

الموظفون والمتقدمون: ملفات العمل والهوية وIBAN والرواتب وإخطارات مؤسسة الضمان الاجتماعي والتقارير الصحية الأولية والدورية والحضور والكاميرات والسير الذاتية. وإدراج البصمة في الحصر لا يجعل استخدامها للحضور مشروعاً؛ يجب تقييم الضرورة والتناسب وشروط المادة 6 بصورة مستقلة.

العملاء والمشترون: الأسماء والعناوين والهواتف والطلبات والمدفوعات وبيانات ممثلي المشترين بالجملة وتصاريح التسويق.

الموردون وورش التصنيع: هوية المالك والممثل وبيانات الاتصال وسجلات الضمان والشحن ذات الصلة، متى توافر أساس قانوني لمعالجتها ونقلها.

الزوار: سجلات دخول المصنع والمتجر والكاميرات. يُجمع الضروري فقط، ولا ينبغي جعل نسخ وثائق الهوية إجراءً تلقائياً دون تقييم.

4. خطة الامتثال

1. حصر المعالجة: البيانات والأقسام والأغراض والمتلقون.
2. تحديد الأساس: تقييم كل نشاط وفق المادة 5 أو 6. لا تستخدم الموافقة العامة بدلاً من أساس قانوني آخر منطبق؛ يتناول الجزء الثاني هذا الفرق.
3. الإعلام: إعداد إشعارات خاصة بالمنشأة للموظفين والمرشحين والعملاء والزوار؛ يتناولها الجزء الثالث.
4. تقييم VERBİS: مراعاة عدد العاملين وإجمالي الميزانية المالية السنوية والنشاط الرئيسي واستثناءات المجلس الحالية. والإعفاء من التسجيل لا يعني عموماً الإعفاء من باقي واجبات القانون.
5. الأمن: صلاحيات وصول مناسبة وتشفير ونسخ احتياطي وأمن مادي والتزامات سرية.
6. الاحتفاظ والإتلاف: تحديد المدد والطرق لكل فئة وتقييم واجب وضع سياسة رسمية.
7. الموردون: أحكام تعاقدية تعكس الأدوار الفعلية في الرواتب والمحاسبة والسحابة والشحن.
8. التدريب وخطة الخرق: تحديد المسؤوليات والتصعيد قبل الحادث؛ يتناول الجزء الخامس الخروقات والنقل الدولي.

المصادر الرسمية

قانون حماية البيانات الشخصية · تعريف المتحكم · البيانات ذات الطبيعة الخاصة.