الاستضافة الخارجية وGDPRاللائحة تلاحقك أنت، لا الخادم.

الجملة التي يُخطئ فيها هذا السوق

هذا الادّعاء لا يُكتب صراحةً تقريبًا أبدًا، وهذا ما يُبقيه حيًا. فهو يصل كتلميح: الخوادم في الخارج، والشركة في الخارج، إذن القواعد الأوروبية أصبحت وراءك في مكان ما. اقرأ اللائحة وينهار هذا التلميح في جملة واحدة.

المادة 3 تحدد من تسري عليه GDPR ولا تذكر أبدًا أين يوجد الجهاز. الفقرة 1 تنص على أن اللائحة تسري على المعالجة التي يقوم بها متحكم أو معالج مستقر في الاتحاد بصرف النظر عمّا إذا كانت المعالجة تجري داخل الاتحاد أم لا. أما الفقرة 2 فتذهب في الاتجاه المعاكس: فالشركة التي لا يوجد لها أي استقرار في الاتحاد تظل مشمولة إذا كانت تعرض سلعًا أو خدمات على أشخاص في الاتحاد، أو تراقب سلوكهم هناك.

هذا ليس خيبة أمل، ويستحق توضيح السبب قبل أي شيء آخر. سبب نقل الخادم هو أن محكمة في بلد ما لا يمكنها أن تأمر بشأن قرص في بلد آخر. هذا السبب يبقى قائمًا دون مساس. ما ينتقل مع الجهاز هو التزام امتثال، لا تعرّض قانوني، ويُخلط بين الاثنين باستمرار لأن كليهما يُوصف بكلمة “الولاية القضائية”.

أيّكما تخاطبه اللائحة

دوران، تحددهما المادة 4، ويفصل بينهما سؤال واحد: من قرر الغرض من البيانات.

شبه كل نقاش حول الاستضافة وGDPR هو في الحقيقة نقاش حول هذا الجدول. لا يمكن لمزوّد أن يكون ممتثلًا نيابةً عنك، لأن معظم الالتزامات تقع على عاتق المتحكم ولا يمكن التخلص منها بالتعاقد. أقصى ما يمكن أن يكونه المزوّد هو معالج يمكنك الدفاع عن اختيارك له، وهذا هو جوهر المادة 28 — وثيقة لا شعور.

المادة 28(3) تسرد ما يجب أن يتضمنه هذا العقد، والقائمة قصيرة بما يكفي لمقارنتها بعقدك. المعالجة فقط بناءً على تعليمات موثّقة. إلزام كل من له صلاحية الوصول بالسرية. اتخاذ تدابير الأمن المنصوص عليها في المادة 32. عدم إضافة أي معالج فرعي دون إذن. مساعدتك في الرد على أصحاب البيانات. مساعدتك في التعامل مع الاختراقات والتقييمات. حذف كل شيء أو إعادته في النهاية. تزويدك بما تحتاجه للتحقق من كل ذلك.

ما الذي يُعد نقلًا

الفصل الخامس — المواد من 44 إلى 49 — ينظّم إرسال البيانات الشخصية إلى دولة ثالثة. الدولة الثالثة تعني أي مكان خارج المنطقة الاقتصادية الأوروبية، وهي الدول الأعضاء السبع والعشرون بالإضافة إلى آيسلندا وليختنشتاين والنرويج. أُدرجت GDPR في اتفاقية المنطقة الاقتصادية الأوروبية عام 2018، وهذا سبب وجود هذه الدول الثلاث داخل الحدود لا مجرد قربها منها.

المادة 44 تنص على المبدأ: لا يجوز أن يتم النقل إلا إذا استُوفيت بقية أحكام الفصل. توجد بعد ذلك ثلاثة مسارات، مرتبة تنازليًا بحسب سهولة التعامل معها.

الصف الأخير هو حيث ينتهي الامتثال المرتجل عادةً، وهو لا يصمد. المادة 49 كُتبت للحالات العرضية والمحددة. واستضافة قاعدة بيانات عملاء على خادم لمدة ثلاث سنوات ليست أيًا من هذين.

المناطق الثماني، مرتبة بحسب تصنيف الفصل الخامس لها

هذا هو الجزء الذي يمكن لشركة استضافة أن تُجيب عنه ولا تستطيع مدونة قانونية ذلك، لأنه حقيقة تخص منشأة بعينها لا مبدأً عامًا. تنقسم المناطق الثماني في هذه الشبكة إلى ثلاث مجموعات، والمسافة بين المجموعة الأولى والأخيرة وثيقتان لا أكثر.

أربع من المناطق الثماني ليست عمليات نقل على الإطلاق. وهذه حقيقة أهم من معظم ما يُنشر عن الاستضافة الخارجية والامتثال، وهي جملة لا مصلحة لأي بائع لأي منهما في قولها، لأنها تجعل المنتج الصعب غير ضروري لنصف المنشأة.

النصف الآخر من السؤال الذي لا علاقة له بالخادم

موقع القرص هو ما يحدد وجود عملية نقل من عدمها. أما الشركة التي وقّعت معها العقد فهي ما يحدد من يحتفظ به، وهاتان المسألتان تفترقان أكثر مما ينبغي.

مزوّد لديه خوادم في فرانكفورت وشركة أم في كاليفورنيا يُصدّر بياناتك بصرف النظر عمّا إذا كان أي شيء قد عبر كابلًا فعليًا أم لا، لأن المعالج خاضع لولاية قضائية قادرة على الوصول إليه. هذا ليس تمييزًا افتراضيًا. إنه السبب في أن البنية المؤسسية للمزوّد حقيقة تخص حماية البيانات لا مجرد معلومة عابرة.

الترتيب هنا هو ثماني ولايات قضائية وثماني شركات منفصلة، مبيّنة في البند 1 من الشروط. الخادم في ريكيافيك متعاقد عليه مع الكيان الآيسلندي، الواقع داخل المنطقة الاقتصادية الأوروبية، وهذا سبب ما يقوله الصف الأول من الجدول أعلاه. وإذا كنت تقرأ صفحة جهة أخرى، فهذا هو السؤال الذي ينبغي طرحه عليها: ليس أين يقع الخادم، بل أي شركة مذكورة في الفاتورة وأين تقع تلك الشركة.

ما الذي تطلبه منك المادة 46 فعليًا

إذا كنت تستخدم واحدة من الدول الثلاث الثالثة، فالعمل المطلوب حقيقي لكنه محدود، ولم يتغيّر كثيرًا منذ 2021.

1. دوّن عملية النقل كتابةً: أي فئات من البيانات الشخصية، وعن من، وإلى أي كيان، وفي أي بلد، وبأي صيغة تصل — قابلة للقراءة، أم مشفّرة بمفتاح احتفظت به أنت.
2. ضع الأداة التعاقدية موضع التنفيذ. عمليًا يعني ذلك البنود التعاقدية النموذجية التي اعتمدتها المفوضية في يونيو 2021، ضمن الوحدة التي تطابق طبيعة العلاقة. العلاقة من متحكم إلى معالج هي الوحدة الثانية، وهي ما يمثله استئجار خادم.
3. قيّم الوجهة. فمنذ أن أصدرت محكمة العدل الأوروبية حكم Schrems II في يوليو 2020، لم يعد توقيع البنود كافيًا: عليك النظر فيما إذا كان قانون البلد الذي تصل إليه البيانات يتيح لسلطة عامة الوصول إليها بطريقة لا تصمد أمامها البنود. نشر المجلس الأوروبي لحماية البيانات هذه المنهجية عام 2021، وهي تتألف من ست خطوات.
4. أضف ما يسد الثغرة التي كشفها التقييم، وهو موضوع القسم التالي، لأنه في الحقيقة لا يوجد سوى تدبير واحد يسدها.
5. ضع تاريخًا لمراجعته. فالتقييم يتناول قانون بلد ما، وقانون البلد يتغيّر دون أن يُخطرك أحد. مرة واحدة ليست امتثالًا؛ أما المراجعة الدورية فهي كذلك.

التدبير الذي يسد الثغرة فعليًا

التدابير التكميلية التي يصفها المجلس مخيّبة للآمال في معظمها عند قراءتها بتمعّن. فالتدابير التعاقدية والتنظيمية لا توقف دولة تملك سلطة الإلزام، والمجلس يقول ذلك صراحةً. تدبير تقني واحد فقط يصمد أمام التحليل، وهو نفسه الذي يُوصى به في كل مكان آخر على هذا الموقع، لأسباب لا علاقة لها بـ GDPR.

إذا وصلت البيانات مشفّرة بمفتاح لا يغادر سيطرتك أبدًا، فإن المعالج الذي يحتفظ بها لا يستطيع إنتاج أي شيء مقروء لأي جهة — لا لمحكمة، ولا لك، ولا حتى لنفسه. توصيات المجلس تعتبر التشفير القوي بمفتاح يحتفظ به المُصدّر تدبيرًا فعّالًا للبيانات المخزّنة، وتعتبر المعالج الذي يحتاج البيانات بصيغة واضحة حالةً لا يوجد فيها أي تدبير محدد. وهذا هو الموقف الصادق: لا يمكنك أن تتعاقد للتخلص من قدرة أحدهم على قراءة قرص.

التمييز المهم عمليًا هو بين التخزين والمعالجة. التخزين الذي يحتفظ بأرشيفات مشفّرة هو الحالة السهلة. أما قاعدة البيانات العاملة على جهاز افتراضي فهي الحالة الصعبة، لأن المفتاح يجب أن يكون في الذاكرة على جهاز يستطيع شخص آخر لمسه. ما الذي يستطيع مزوّدك أن يقرأه فعلًا يشرح بالتفصيل أين يقع هذا الخط الفاصل بالضبط، ولا ينتهي بطمأنة.

المادة 48، التي تشير في الاتجاه المعاكس

يحتوي الفصل الخامس على مادة نادرًا ما تُذكر في هذا السوق، وهي تستحق أن تُذكر. المادة 48 تنص على أن حكم محكمة، أو قرار سلطة إدارية، في دولة ثالثة يُلزم متحكمًا أو معالجًا بإفصاح بيانات شخصية لا يجوز الاعتراف به أو تنفيذه إلا إذا استند إلى اتفاقية دولية — وهي عمليًا معاهدة مساعدة قانونية متبادلة.

عند قراءتها كتوجيه لمزوّد استضافة، فهي تقول شيئًا محددًا: الأمر الصادر من بلد لا يملك ولاية قضائية ليس، بموجب القانون الأوروبي، سببًا لتسليم أي شيء. والمزوّد الذي يمتثل له رغم ذلك لا يتصرف بحذر. بل يقوم بعملية نقل غير مشروعة ويسمّيها تعاونًا.

تصل هذه المنشأة إلى الإجابة نفسها من الاتجاه المعاكس، وذلك منذ 2019، وهي حقيقة قابلة للتحقق لا مجرد ادّعاء: 164 طلبًا من جهات إنفاذ القانون، أسفر 31 منها عن نتيجة، ولا أمر واحد مكتوم في تسعة وعشرين ربعًا منشورًا، وما جرى تسليمه كان عنوان بريد إلكتروني وسجلًا بالمبالغ. ويحدد دليل إنفاذ القانون المعيار في جملة واحدة: أمر صادر عن محكمة ذات ولاية قضائية على الكيان الذي تلقى الطلب.

ما لا يتغيّر، أينما كان موقع الجهاز

هذا هو القسم الذي يكلّف صفقة بيع، لذلك يستحق أن يُقرأ مرتين. كل ما يلي هو التزامك أنت بصفتك متحكمًا، ولا يمس أي قرار استضافة أيًا منها.

ستة صفوف، وإجابة واحدة. الكلمة التي تُبقي هذا الأمر غامضًا هي “الولاية القضائية”، التي تؤدي وظيفتين في آن واحد: فهي الإجابة عن من يستطيع إلزام القرص، وهي أيضًا الإجابة عن القواعد التي تخضع لها. نقل الخادم يغيّر الأولى ويترك الثانية كما هي تمامًا.

ما تُغيّره الحدود فعليًا

• من يجب إقناعه. يجب أن يصدر الأمر عن محكمة ذات ولاية قضائية على الشركة التي تحتفظ بالقرص، وثماني شركات في ثماني دول تعني ثماني حجج منفصلة لا حجة واحدة.
• ما إذا كان للإخطار أي قوة إلزامية. إخطار الإزالة مجرد مراسلة في كل مكان؛ لكن في بعض الأماكن هو مراسلة يُلزَم المزوّد بالتصرف بموجبها، والعمل من الخارج يعني أنه ليس كذلك هنا. وهذا هو موضوع دليل DMCA.
• ما الذي يمكن إلزام المزوّد بالاحتفاظ به. تفويضات الاحتفاظ بالبيانات وطنية الطابع. رومانيا أسقطت تفويضها الخاص مرتين ولم يحل محله شيء؛ ومولدوفا وبنما لا تفرضان أي شيء منه. وما لا يمكن إلزام مزوّد بالاحتفاظ به، لا يمكن إلزامه بتقديمه.
• ما إذا كانت عملية النقل تحتاج إلى أداة تعاقدية. وهذا هو موضوع هذه الصفحة — وهو تكلفة إجرائية لا مخاطرة فعلية.

ما لا تُغيّره

• ما إذا كانت GDPR تسري عليك. المادة 3، وتُحدَّد بحسب مكان استقرارك وبيانات من تحتفظ بها.
• أي التزام مذكور في الجدول أعلاه. السجلات، والأمن، والإخطار بالخرق، والتقييمات، وحقوق أصحاب البيانات.
• سجلاتك الخاصة. الجهاز الذي تستأجره يسجّل الزوار بحسب إعداداتك أنت، وفي عهدتك أنت، وأنت من يُكتب إليه بشأنها — وهذا موضوع دليل منفصل لأنه مشكلة منفصلة.
• ما إذا كان يمكن الوصول إليك. إذا كنت مستقرًا داخل الاتحاد، فسلطتك الرقابية لا تحتاج إلى الوصول إلى الخادم. إنها تحتاج إلى الوصول إليك أنت.

بعد ظهيرة واحدة تكفي لحسم المسألة

لا شيء مما يلي يحتاج إلى أداة عليك شراؤها، والتسلسل بأكمله أقصر مما يوحي به هذا السوق.

1. حدد أولًا ما إذا كنت تعالج بيانات شخصية لأشخاص داخل الاتحاد من الأساس. إذا كانت الإجابة الصادقة لا — وهذا واقع الحال في عدد كبير جدًا من المشاريع — فكل ما سبق مجرد قراءة خلفية وقد انتهيت.
2. دوّن الكيان الذي تتعاقد معه في كل منطقة تستخدمها، والبلد الذي يقع فيه ذلك الكيان. ليس المنطقة: بل الشركة المذكورة في الفاتورة.
3. صنّف هذه الكيانات ضمن المجموعات الثلاث في الجدول: داخل المنطقة الاقتصادية الأوروبية، أو مؤهّلة، أو لا هذا ولا ذاك.
4. بالنسبة لأي شيء في المجموعة الثالثة، ضع بنود 2021 موضع التنفيذ ودوّن تقييم الوجهة. وثيقتان، مرة واحدة، لكل بلد.
5. انظر إلى ما يصل إلى هناك فعليًا. إذا كانت الإجابة أرشيفًا مشفّرًا مفتاحه على جهازك الخاص، فاذكر ذلك في التقييم، لأن هذه هي الحقيقة التي تجعل بقية العملية بسيطة.
6. أدرج كل ذلك في سجلك بموجب المادة 30، وهو المستند الذي تطلبه السلطة الرقابية أولًا، والمستند الذي يكتبه معظم المتحكمين أخيرًا.
7. ضع تاريخ مراجعة للتقييم واترك المستند حيث يجده أول شخص يتولى هذا الملف لاحقًا.

هذا هو التمرين بأكمله، ولا يتعارض مع أي شيء آخر على هذا الموقع — وهذه هي الجملة التي وُجد هذا الدليل من أجل توضيحها. اختيار ولاية قضائية تحمي بياناتك واتباع القواعد التي تحمي مستخدميك ليسا قرارين متضادين. إنهما القرار نفسه، مقروءًا من طرفيه.

الأسئلة التي يطرحها الناس فعليًا

كل سعر في هذا الكيان منشور بالكامل، في مكان واحد. اطّلع على الكتالوج بالكامل