قانون حماية البيانات لامتحان الكفاءة 34a

في خدمة الأمن تتعامل باستمرار مع البيانات. تكتب في سجلات الحراسة، وتوثّق الحوادث، وتشاهد تسجيلات الفيديو، أو تسجّل البيانات الشخصية عند حظر الدخول. كل ذلك يخضع لقانون حماية البيانات. ويتطلب امتحان 34a أن تعرف القواعد الأساسية من اللائحة العامة لحماية البيانات (⁦Datenschutz-Grundverordnung⁩)، واختصارها DSGVO، ومن قانون حماية البيانات الاتحادي (⁦Bundesdatenschutzgesetz⁩)، واختصاره BDSG، وأن تطبقها بشكل صحيح في العمل اليومي.

DSGVO و BDSG

تسري DSGVO منذ 25 مايو 2018 بشكل مباشر في كل الاتحاد الأوروبي. وهي القانون المركزي لحماية البيانات الشخصية. ويكمّلها BDSG في ألمانيا حيث تسمح DSGVO للدول الأعضاء بقواعد خاصة بها، مثلًا في إلزامية تعيين مسؤول حماية البيانات. ولـ DSGVO الأولوية. وحيث ينظم القانونان شيئًا ما ولا يستند BDSG إلى باب مفتوح في DSGVO، تسري DSGVO. وصفحة DSGVO و BDSG تشرح كيف يعمل هذا التكامل.

البيانات الشخصية ومعالجة البيانات

البيانات الشخصية وفق Art. ⁦4 Nr. 1 DSGVO⁩ هي كل المعلومات المتعلقة بشخص محدد الهوية أو يمكن تحديد هويته. ومنها الاسم والعنوان وتاريخ الميلاد، وكذلك رقم لوحة السيارة، ورقم بطاقة الهوية، وصورة أو تسجيل فيديو يمكن التعرف فيه على شخص. ووفق Art. ⁦9 DSGVO⁩ تحظى بحماية خاصة البيانات الصحية، والبيانات البيومترية لتحديد الهوية، والمعلومات عن الأصل العرقي أو الدين. إذا سجّلت في سجل الحراسة أن زائرًا أُصيب، فهذه بيانات صحية. المزيد عن ذلك في البيانات الشخصية.

معالجة البيانات وفق Art. ⁦4 Nr. 2 DSGVO⁩ هي تقريبًا كل تعامل مع هذه البيانات: الجمع، والتسجيل، والتخزين، والقراءة، والاستخدام، والنقل إلى الغير، والحذف. حتى كتابة اسم في سجل الحراسة هي معالجة، ولو على الورق، إذا حُفظت الملاحظات بشكل منظم.

المبادئ وفق Art. ⁦5 DSGVO⁩

تذكر Art. ⁦5 DSGVO⁩ المبادئ التي يجب أن تُقاس بها كل معالجة:

• المشروعية، وحسن النية، والشفافية: يلزم وجود أساس قانوني، ويجب أن يستطيع الأشخاص المعنيون فهم ما يحدث لبياناتهم.
• تقييد الغرض (⁦Zweckbindung⁩): تُجمع البيانات لأغراض محددة وواضحة، ولا تُستخدم لاحقًا لأغراض أخرى لا تتوافق معها.
• تقليل البيانات (⁦Datenminimierung⁩): فقط قدر البيانات الضروري للغرض. وكان المصطلح القديم لذلك Datensparsamkeit.
• الصحة: يجب أن تكون البيانات صحيحة من حيث الوقائع، وأن تُصحَّح عند الحاجة.
• تقييد مدة التخزين (⁦Speicherbegrenzung⁩): تُحذف البيانات بمجرد تحقق الغرض.
• السلامة والسرية: الحماية من الوصول غير المصرح به ومن الفقدان والإتلاف.

ويضاف إلى ذلك واجب المساءلة (⁦Rechenschaftspflicht⁩) وفق Art. ⁦5 Abs. 2 DSGVO⁩: يجب أن يستطيع المسؤول عن المعالجة أن يثبت أنه يلتزم بالمبادئ. والمبادئ بالتفصيل موجودة في مبادئ معالجة البيانات وفق Art. ⁦5 DSGVO⁩.

الأسس القانونية وفق Art. ⁦6 DSGVO⁩

في حماية البيانات يسري مبدأ الحظر مع التحفظ بالإذن (⁦Verbot mit Erlaubnisvorbehalt⁩). فكل معالجة للبيانات الشخصية مسموحة فقط إذا انطبق أساس قانوني. وتذكر Art. ⁦6 Abs. 1 DSGVO⁩ ستة أسس:

1. lit. a الموافقة من الشخص المعني. ويجب أن تكون طوعية، ويمكن سحبها في أي وقت بالنسبة للمستقبل.
2. lit. b العقد: مثل بيانات موظف يحصل على بطاقة زائر.
3. lit. c الالتزام القانوني: مثل واجبات التسجيل وفق لائحة الحراسة (⁦Bewachungsverordnung⁩).
4. lit. d المصالح الحيوية: مثل نقل معلومات إلى خدمة الإسعاف في حالة الطوارئ.
5. lit. e المهمة العامة: خصوصًا للجهات الرسمية.
6. lit. f المصالح المشروعة للمسؤول عن المعالجة، إذا لم تكن مصالح الأشخاص المعنيين أرجح، مثل قائمة بحالات حظر الدخول أو المراقبة بالفيديو للحماية من السرقة.

بالنسبة لخدمات الأمن الخاصة يكون lit. f هو الأساس الأهم. وهو يتطلب دائمًا موازنة في كل حالة على حدة. وتجد أمثلة على ذلك في الأسس القانونية وفق Art. ⁦6 DSGVO⁩.

المراقبة بالفيديو (⁦Videoüberwachung⁩)

المراقبة بالكاميرات أمر يومي في مجال الأمن وموضوع شائع في الامتحان. بالنسبة للشركات والأفراد يكون الأساس القانوني هو Art. ⁦6 Abs⁩. 1 lit. f DSGVO. ويحتاج المشغّل إلى غرض محدد بشكل ملموس، مثل الحماية من السرقة أو التخريب. ويجب أن تكون الكاميرا ضرورية لذلك، وألا تكون مصالح الأشخاص المصوَّرين أرجح.

في كثير من الكتب الدراسية يُذكر في هذا السياق ⁦§4 BDSG⁩. وهو ينظم مراقبة الأماكن المفتوحة للجمهور مثل صالات البيع وصالات محطات القطار أو مواقف السيارات متعددة الطوابق، ويذكر في ذلك أيضًا حق صاحب المكان والمصالح المشروعة. لكن المحكمة الإدارية الاتحادية (⁦Bundesverwaltungsgericht⁩) قضت في 27 مارس 2019 (رقم القضية 6 C 2.18) بأن ⁦§4 Abs. 1 Satz 1 BDSG⁩ ليس أساسًا قانونيًا للمسؤولين عن المعالجة من القطاع الخاص، لأن DSGVO تنظم المعالجة من قبل الأفراد والشركات بشكل حصري. وسلطات الرقابة تتبع هذا الحكم. لذلك يخص ⁦§4 BDSG⁩ خصوصًا الجهات العامة الاتحادية. ومع ذلك ينبغي أن تعرف مضمونه، لأن نقاط الفحص: الغرض، والضرورة، والموازنة، والوضوح للناس، والحذف، تسري أيضًا وفق DSGVO. والتفاصيل موجودة في المراقبة بالفيديو للأماكن المفتوحة للجمهور.

قواعد أخرى للعمل اليومي:

• الشفافية: يُنبَّه إلى المراقبة قبل دخول المنطقة بلافتة واضحة الرؤية. وعليها على الأقل المسؤول عن المعالجة مع بيانات الاتصال، والغرض، وأين توجد المعلومات الإضافية وفق Art. ⁦13 DSGVO⁩.
• مدة التخزين: لا توجد مدة قانونية ثابتة. وسلطات الرقابة تعتبر في العادة مدة تصل إلى 72 ساعة مقبولة. ولا يُسمح بمدة أطول إلا إذا برّرت حادثة محددة حفظ مقطع معين. المزيد عن ذلك في مدة تخزين تسجيلات الفيديو.
• المناطق المحظورة: لا يتم التصوير في المراحيض وغرف تبديل الملابس وغرف النوم. والتصوير السري في هذه الأماكن قد يُعاقب عليه وفق ⁦§201a StGB⁩.
• الحدود: الأرصفة العامة وأراضي الجيران لا يجوز من حيث المبدأ أن تظهر في الصورة.
• تغيير الغرض: لا يجوز استخدام التسجيلات المخصصة للحماية من السرقة لمراقبة أداء العمل أو ساعات العمل.

السرية: ماذا حدث لسرية البيانات (⁦Datengeheimnis⁩)

في السابق كان ⁦§5 BDSG⁩ ينظم سرية البيانات. وهذه المادة لم تعد موجودة بالنسبة للشركات الخاصة. واليوم ينتج واجب السرية من Art. 29 و Art. ⁦32 Abs. 4 DSGVO⁩: من يعمل لصالح مسؤول عن المعالجة ويستطيع الوصول إلى البيانات، لا يجوز له معالجتها إلا وفق تعليماته. ويضاف إلى ذلك ⁦§17 Abs. 3 BewachV⁩، الذي يُلزمك بكتمان الأسرار التجارية وأسرار العمل الخاصة بالعملاء، حتى بعد انتهاء عملك. المزيد عن ذلك في سرية البيانات والكتمان.

وهذا يعني في العمل اليومي: ما تعرفه أثناء الخدمة عن الأشخاص لا تحكيه لأصدقائك ولا تنشره في وسائل التواصل الاجتماعي. ولا تعطي تسجيلات الفيديو لأحد من تلقاء نفسك. إذا طلبت الشرطة مقطعًا بسبب جريمة، يتم التسليم عبر المسؤول عن المعالجة. والمخالفات قد تكون لها عواقب في قانون العمل، وقد تؤدي إلى غرامات وفق Art. ⁦83 DSGVO⁩، وفي الحالات الخطيرة قد يُعاقب عليها وفق ⁦§42 BDSG⁩.

المسؤول عن المعالجة والمعالجة بالتكليف (⁦Auftragsverarbeitung⁩)

المسؤول عن المعالجة (⁦Verantwortlicher⁩) وفق Art. ⁦4 Nr. 7 DSGVO⁩ هو من يقرر أغراض المعالجة ووسائلها. إذا شغّلت شركة أمن المراقبة بالفيديو لمتجر كبير وفق تعليماته فقط، فهي في الغالب جهة معالجة بالتكليف (⁦Auftragsverarbeiter⁩) وفق Art. ⁦28 DSGVO⁩. ويلزم لذلك عقد خاص. أما بالنسبة لبيانات موظفيها هي، فتبقى شركة الأمن نفسها المسؤولة عن المعالجة. وكيف تميّز بين الأدوار موجود في المعالجة بالتكليف.

الإجراءات التقنية والتنظيمية وخروقات البيانات

تشترط Art. ⁦32 DSGVO⁩ إجراءات تقنية وتنظيمية، واختصارها TOM. ومن الإجراءات التقنية مثلًا كلمات المرور، والتشفير، وغرفة مقفلة لجهاز تسجيل الفيديو. ومن الإجراءات التنظيمية صلاحيات وصول واضحة، وإجراءات حذف دورية، ودورات تدريبية. وسجلات الحراسة التي فيها بيانات شخصية لا تُترك مكشوفة على طاولة البوابة.

وإذا حدث خطأ رغم ذلك، مثل فقدان وحدة USB عليها تسجيلات أو سرقة سجل حراسة، فهذا خرق للبيانات (⁦Datenpanne⁩). ويجب على المسؤول عن المعالجة وفق Art. ⁦33 DSGVO⁩ أن يبلّغ سلطة الرقابة (⁦Aufsichtsbehörde⁩) خلال 72 ساعة إن أمكن، إذا كان هناك خطر على الأشخاص المعنيين. ومهمتك أن تبلّغ عن الحادثة داخليًا فورًا. وصفحة خرق البيانات: ما يجب على عنصر الأمن فعله تشرح الخطوات.

حقوق الأشخاص المعنيين

من تُعالَج بياناته، فله حقوق وفق Art. 15 إلى ⁦21 DSGVO⁩: الاطلاع، والتصحيح، والحذف، وتقييد المعالجة، ونقل البيانات، والاعتراض. ويجب على المسؤول عن المعالجة في العادة أن يردّ خلال شهر. إذا سألك أحد أثناء الخدمة هل يظهر في تسجيل ما، فلا تعطه معلومات بنفسك. تسجّل طلبه وتحيله إلى المسؤول عن المعالجة أو إلى مسؤول حماية البيانات. المزيد عن ذلك في حقوق الأشخاص المعنيين.

أخطاء شائعة في الامتحان

• بالنسبة للمشغّلين من القطاع الخاص يكون Art. ⁦6 Abs⁩. 1 lit. f DSGVO هو الأساس القانوني للمراقبة بالفيديو، وليس ⁦§4 BDSG⁩.
• لا توجد مدة قانونية لتخزين التسجيلات. ومدة الـ 72 ساعة قيمة استرشادية من سلطات الرقابة.
• سرية البيانات وفق ⁦§5 BDSG⁩ وضع قانوني قديم. اليوم تسري Art. 29 و Art. ⁦32 Abs. 4 DSGVO⁩.
• حتى رقم لوحة السيارة أو صورة فيديو دون اسم قد تكون من البيانات الشخصية.
• مهلة الـ 72 ساعة عند خرق البيانات تقع على المسؤول عن المعالجة. أما أنت فتبلّغ داخليًا فورًا.

كل المواضيع في هذا المجال

• ما هي حماية البيانات؟
• DSGVO و BDSG: كيف يتكاملان
• البيانات الشخصية
• الفئات الخاصة من البيانات الشخصية (⁦Art. 9 DSGVO⁩)
• التعامل مع البيانات في خدمة الحراسة
• ماذا تعني معالجة البيانات؟ الجمع، التخزين، الحذف
• المعالجة الآلية
• أنظمة الملفات غير الآلية
• مبادئ معالجة البيانات وفق Art. ⁦5 DSGVO⁩
• تقليل البيانات (Datenminimierung، سابقًا Datensparsamkeit)
• تقييد الغرض (⁦Zweckbindung⁩)
• المشروعية: الأسس القانونية وفق Art. ⁦6 DSGVO⁩
• الموافقة
• معالجة البيانات بالتكليف: خدمة الأمن بصفتها مقدّم خدمة
• من هو المسؤول عن المعالجة؟
• سرية البيانات والكتمان
• مسؤول حماية البيانات
• التدابير التقنية والتنظيمية (⁦TOM⁩)
• المراقبة بالفيديو: ما المسموح
• المراقبة بالفيديو في الأماكن المفتوحة للعموم: ⁦§4 BDSG⁩ وArt. ⁦6 DSGVO⁩
• اللافتة الإرشادية عند المراقبة بالفيديو
• كم مدة يجوز حفظ تسجيلات الفيديو؟
• حقوق الأشخاص المعنيين
• حق الاطلاع (⁦Art. 15 DSGVO⁩)
• الحق في المحو
• خرق البيانات: ما الذي يجب على عنصر الأمن فعله
• تدوين سجل الحراسة والمحاضر والتقارير وفق قواعد حماية البيانات
• التحقق من الهوية وقوائم الزوار
• كاميرات الجسم في خدمة الأمن
• الصور والتسجيل بالهاتف أثناء الخدمة
• الغرامات والعقوبات عند مخالفات حماية البيانات
• أسئلة الامتحان: قانون حماية البيانات

مصطلحات مهمة

يجب أن تستطيع ربط هذه المصطلحات بهذا المجال بثقة:

• البيانات الشخصية
• اللائحة العامة لحماية البيانات (⁦DSGVO⁩)
• قانون حماية البيانات الاتحادي (⁦BDSG⁩)
• المراقبة بالفيديو (⁦Videoüberwachung⁩)
• سرية البيانات (⁦Datengeheimnis⁩)