مناول مغربي لعميل أوروبي: العقد والبنود التعاقدية النموذجية وتقييم أثر النقل

نقطة الانطلاق: لا كفاية بالنسبة للمغرب#

يمنع النظام الأوروبي RGPD مبدئياً نقل المعطيات الشخصية خارج المنطقة الاقتصادية الأوروبية، إلا نحو بلد معترف له بالكفاية (المادة 45) أو مع ضمانات ملائمة، كالبنود التعاقدية النموذجية أو القواعد الملزمة للمقاولات (المادة 46). أما الاستثناءات الواردة في المادة 49 فهي مخصصة لحالات استثنائية ولا تناسب خدمة مستمرة.

والمغرب ليس من البلدان المعترف لها بالكفاية. وبالنسبة لمركز علاقة العملاء أو منصة تقنية أو مقدّم خدمات معلوماتية مغربي، يترتب عن ذلك ثلاثة أوراش: عقد المناولة، والبنود النموذجية، وتقييم أثر النقل. ونعرض الفروق الجوهرية بين النظامين في مقارنتنا بين القانون 09.08 والنظام الأوروبي.

عقد المادة 28: ما يجب أن يتضمنه#

تشترط المادة 28(3) من النظام الأوروبي RGPD عقداً يصف موضوع المعالجة ومدتها وطبيعتها والغرض منها، وأنواع المعطيات، وفئات الأشخاص المعنيين، وحقوق المسؤول عن المعالجة. كما يجب أن يفرض على المناول الالتزامات التالية.

وبالنسبة لعقد بين كيانين موجودين داخل المنطقة الاقتصادية الأوروبية، نشرت المفوضية بنوداً نموذجية خاصة بالمناولة (القرار 2021/915). أما بالنسبة للنقل نحو المغرب، فإن بنود القرار 2021/914 تتضمن أصلاً متطلبات المادة 28 هذه.

الوحدة 2 أم الوحدة 3: اختيار البنود النموذجية المناسبة#

يقترح القرار التنفيذي (الاتحاد الأوروبي) 2021/914 المؤرخ في 4 يونيو 2021 أربع وحدات. ويتوقف الاختيار على موقع كل طرف في السلسلة.

إن إرجاع النتائج من المركز المغربي إلى العميل الأوروبي ليس نقلاً خارج الاتحاد الأوروبي بمفهوم النظام الأوروبي العام لحماية المعطيات، إذ تشمله بنود الوحدة 2 أو 3 الموقَّعة أصلاً. أما من الجانب المغربي، فيظل نقلاً نحو الخارج بمفهوم القانون 09.08 (المادتان 43 و44)؛ وتَرِد فرنسا وسائر الدول الأعضاء في قائمة البلدان الملائمة التي تمسكها اللجنة الوطنية.

خطأ شائع: توقيع الوحدة 2 مع مقاولة خدمات مفوَّضة أوروبية ليست سوى مناول. فالترتيب الفعلي هو ما يحدد الوحدة، ويجب أن يصف الملحق الأول من البنود بدقة فئات المعطيات والأغراض ومدة الحفظ.

تقييم أثر النقل في ست مراحل#

تقترح توصيات المجلس الأوروبي لحماية البيانات رقم 01/2020 (النسخة 2.0 بتاريخ 18 يونيو 2021) على المُصدِّر مساراً من ست مراحل، لإنجاز التقييم الذي يجعله البند 14 من البنود النموذجية إلزامياً. وقد نشرت اللجنة الوطنية الفرنسية للمعلوميات والحريات (CNIL) دليلاً عملياً لتقييم أثر نقل المعطيات (AITD)، مع نموذج جدول بيانات، يتبع المنطق نفسه.

1. معرفة عمليات النقل: أي معطيات، ونحو أي موقع، وأي ولوج عن بُعد، وأي مناولين لاحقين.
2. تحديد أداة النقل: وهي هنا البنود النموذجية.
3. تقييم قانون البلد الثالث وممارساته: بالنسبة للمغرب، القانون 09.08، ودور اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP)، وانضمام المغرب إلى الاتفاقية 108 وبروتوكولها الإضافي، الساريين بالنسبة للمغرب منذ 1 شتنبر 2019، ومصادقة البرلمان، في 2 فبراير 2022، على مشروع القانون القاضي بالموافقة على البروتوكول المعروف بالاتفاقية 108+. ويجب كذلك تحليل إمكانيات ولوج السلطات العمومية إلى المعطيات.
4. اعتماد تدابير تكميلية عند الحاجة: التشفير، والترميز المستعار، وتقييد الولوج، والتسجيل في السجلات.
5. القيام بالإجراءات المرتبطة بالأداة المعتمدة.
6. إعادة التقييم على فترات منتظمة وعند كل تغيير في الترتيب.

يتحمل المُصدِّر الأوروبي التقييم، لكنه لا يستطيع إنجازه دون مقدّم الخدمة.

ملف الإثبات الذي يُعدّه مقدّم الخدمة المغربي#

المركز الذي يقدّم هذه العناصر منذ طلب العروض يختصر التفاوض والرد على استبيان الامتثال:

• خريطة التدفقات حسب العميل: المعطيات المتلقاة، والأنظمة، وأماكن الاستضافة، والولوج؛
• سجل المناولين اللاحقين، مع أماكن وجودهم وضماناتهم؛
• وصف التدابير الأمنية، التقنية والتنظيمية؛
• مسطرة تدبير الحوادث وأجل تبليغ العميل؛
• مسطرة ممارسة الحقوق والحذف عند نهاية العقد؛
• مذكرة وقائعية حول الإطار المغربي: القانون 09.08، والإجراءات المنجزة لدى اللجنة الوطنية، والاتفاقية 108؛
• وصولات أو أذون اللجنة الوطنية بالنسبة للمعالجات المعنية؛
• شهادات التكوين والتزامات السرية الخاصة بالمستخدَمين.

هذا الملف أداة تجارية بقدر ما هو أداة قانونية: فهو يُظهر للعميل أنه قادر على الدفاع عن اختياره أمام سلطة المراقبة التابع لها.

المناولون اللاحقون وعمليات النقل انطلاقاً من المغرب#

تمنع المادة 28(2) اللجوء إلى مناول آخر دون إذن كتابي مسبق من المسؤول عن المعالجة، وتفرض المادة 28(4) نقل الالتزامات نفسها إليه. وفي مركز الاتصال، يكثر المناولون اللاحقون: الاتصالات الهاتفية السحابية، وإدارة العلاقة مع العملاء، وأداة النسخ الكتابي، ومستضيف النسخ الاحتياطية، وناشر روبوت المحادثة.

وتنضاف إلى ذلك القاعدة المغربية. فعندما ينقل المركز معطيات من المغرب نحو بلد آخر، يُطبَّق القانون 09.08: النقل مسموح به نحو دولة واردة في قائمة اللجنة الوطنية (المادة 43)، مع مراعاة الإجراءات المطبَّقة، وإلا فاستثناء أو إذن من اللجنة الوطنية على أساس ضمانات تعاقدية (المادة 44). وبالتالي تستلزم الأداة المستضافة في بلد غير وارد في القائمة تحققين: موافقة العميل الأوروبي، والنظام المطبَّق لدى اللجنة الوطنية. وتجد التفاصيل في دليلنا حول نقل المعطيات نحو الخارج.

أما إرجاع المعطيات إلى العميل الأوروبي فهو نقل نحو بلد وارد في قائمة اللجنة الوطنية، التي تضم دولاً أعضاء كفرنسا. ومع ذلك تبقى إجراءات التصريح بالمعالجة أو الإذن بها لدى اللجنة الوطنية واجبة الإنجاز؛ ويتعين تأكيد المسطرة المطبَّقة لدى اللجنة الوطنية بالنسبة لكل ترتيب.

قائمة تحقق قبل التوقيع#

1. تكييف الترتيب: هل العميل مسؤول عن المعالجة أم مناول، واختيار الوحدة 2 أو 3.
2. التحقق من أن العقد يغطي النقاط الثماني الواردة في المادة 28(3).
3. استكمال ملحق البنود النموذجية بالمعطيات والأغراض والمدد الفعلية.
4. إعداد قائمة المناولين اللاحقين والحصول على موافقة العميل.
5. تزويد العميل بالعناصر الوقائعية اللازمة لتقييم أثر النقل.
6. التحقق من الإجراءات لدى اللجنة الوطنية بالنسبة للمعالجة ولكل نقل خارج المغرب.
7. تحديد آجال التبليغ عن الحوادث ومسطرة نهاية العقد.
8. برمجة مراجعة سنوية وعند كل تغيير في الأدوات.