ما الذي يطلبه GDPR وKVKK فعليًا من موقع الويب
ليس شريط الكوكيز. معظم الالتزامات معمارية، وبناؤها من البداية أرخص من إضافتها لاحقًا، ونحو نصفها يسقط تمامًا إذا توقفت ببساطة عن جمع البيانات.
الشريط أصغر الأجزاء، وغالبًا الجزء الخطأ
تكاد كل المواقع التي تضيف شريط موافقة تضيفه بشكل خاطئ: يظهر الشريط، وسكربت التحليلات يكون قد عمل بالفعل، وتُجمع الموافقة بعد الشيء الذي كان يفترض أن تمنعه. هذا أسوأ من غياب الشريط، لأنه يوثّق المخالفة.
القاعدة بسيطة وتتعلق بالترتيب لا بالتصميم. لا يجوز أن يعمل أي شيء غير ضروري قبل موافقة الزائر. فإن كان مدير الوسوم لديك يُحمَّل في الرأس، فلا شريط في الدنيا يجعل ذلك قانونيًا.
هناك خيار ثالث يُنسى عادةً: لا تجمع شيئًا. الموقع الذي لا تحليلات فيه ولا بكسل ولا سكربت طرف ثالث لا يحتاج شريطًا أصلًا, إذ لا شيء يُوافَق عليه.
ما يطلبه القانونان فعلًا
GDPR وKVKK قانونان منفصلان بجهتين رقابيتين مختلفتين، لكن العمل الهندسي الذي يستلزمانه يتطابق تقريبًا بالكامل. ابنِ وفق الأشدّ منهما وتكون قد استوفيت كليهما.
- أساس قانوني لكل بيان شخصي تحتفظ به، مكتوب قبل جمعه.
- تقليل البيانات: إن لم تكن بحاجة إلى رقم الهاتف للرد على الاستفسار، فلا تطلبه.
- مدة احتفاظ لكل نوع بيانات، وآلية تحذف فعلًا عند انتهائها.
- تصدير وحذف عند الطلب، خلال شهر، دون رسوم.
- اتفاقية معالجة مع كل طرف ثالث يلمس البيانات: الاستضافة، مزوّد البريد، نظام إدارة العملاء.
- الإبلاغ عن الاختراق خلال 72 ساعة، وهذا يعني أن تكون قادرًا أصلًا على معرفة أن اختراقًا وقع.
الجزء الذي يكلّف مالًا إن تأخّرت فيه
الاحتفاظ والحذف هما ما يؤلم. المخطط الذي لم يتوقّع الحذف يحوّل طلبًا قانونيًا من سطر واحد إلى عملية ترحيل: صفوف تشير إليها الطلبات، ونسخ في النسخ الاحتياطية، وجداول تحليلية مشتقّة لا يتذكّر أحد أنه أنشأها.
لو صُمّم من البداية لكان عمود `deleted_at` ومهمة مجدولة ونافذة نسخ احتياطي موثّقة. أما إضافته بعد سنتين من بيانات الإنتاج فهو ربع سنة عمل لا يُنتج أي ميزة مرئية.
أنفع مخرج مفرد هو جدول: أي بيانات، ولماذا، وأين تقيم، وكم تبقى. بمجرد وجوده يتّضح معظم عمل الامتثال من تلقاء نفسه, وهو أول ما تطلبه الجهة الرقابية.
أين يتوقّف هذا عن كونه هندسة
كل ما سبق قابل للبناء والاختبار، وهو ما ننفّذه في المشروع. لكن لا شيء منه يغني عن محامٍ يعرف قطاعك واختصاصك القضائي، خصوصًا إن كنت تتعامل مع بيانات صحية أو مالية أو تخصّ الأطفال: فهذه في أشدّ فئات القانونين، وتحمل التزامات لا تُسقطها أي معمارية مهما حسنت.
اعتبر التدابير التقنية أرضية. هي ضرورية، وهي الجزء المكلف إضافته لاحقًا، وليست كل شيء.