بيانات عملائك صارت منظَّمة قانوناً، لا مجرّد خطر — ماذا تعني قوانين الخصوصية الجديدة في المنطقة للأنظمة التي تُشغّلها

طوال معظم العقد الماضي، كانت «خصوصية البيانات» شيئاً يستطيع عملٌ نامٍ في مصر أو الخليج أن يُدرجه تحت بند «لاحقاً». لم يكن ثمّة قانونٌ محليٌّ ذو أنياب، والجهة المنظِّمة نظريّة، وأسوأ الاحتمالات بدا كدمةً في السمعة لا أكثر. ذلك العصر انتهى، ولم ينتهِ تدريجياً. ففي 2020 كان نحو 10 بالمئة فقط من سكّان العالم تشمل بياناتهم الشخصية لائحةُ خصوصيةٍ حديثة؛ وبحلول نهاية 2024 بلغ الرقم قرابة 75 بالمئة [1]. توقّفت الخصوصية عن كونها حالةً غربيةً هامشية وصارت الشرط الافتراضي لممارسة العمل في كل مكانٍ تقريباً — بما في ذلك، أخيراً وبصورةٍ ملموسة، الأسواق التي تبني فلوكا لأجلها.

لم تعد الموجة مجرّدة؛ صار لها تواريخ. قانون حماية البيانات الشخصية في الإمارات نافذٌ منذ مطلع 2022 [4]. ونظام حماية البيانات الشخصية السعودي انتقل من فترة سماحٍ إلى تطبيقٍ حيٍّ في سبتمبر 2024، وقد أصدرت الجهة المنظِّمة بالفعل عشرات قرارات الإنفاذ بغراماتٍ تصل إلى خمسة ملايين ريالٍ عن المخالفة الواحدة [3]. أمّا مصر — التي أقرّت القانون رقم 151 لسنة 2020 لكنّها تركته خاملاً سنواتٍ بلا لائحةٍ تنفيذية — فأصدرت تلك اللائحة في نوفمبر 2025، مُطلِقةً ساعةَ عامٍ تجعل القانون نافذاً بالكامل قرابة أكتوبر 2026 [2]. إن كنت تُدير عملاً يلامس بيانات العملاء في أيٍّ من هذه الأسواق، فأنت لا تنتظر وصول قاعدة. أنت داخل عدٍّ تنازليٍّ للامتثال بدأ فعلاً.

وهنا التحوّل المهمّ لكل من يملك أنظمةً بدل أن يقرأ نصوصاً قانونية: الامتثال للخصوصية ليس سياسةً تكتبها، بل خاصيّةٌ يملكها برنامجك أو لا يملكها. الموافقة المشروعة، والحقّ في النسيان، ومعرفة المكان الذي يعيش فيه كل سجلٍّ فيزيائياً، والقدرة على تصدير عميلٍ واحدٍ أو حذفه عند الطلب، والإبلاغ عن اختراقٍ خلال مهلةٍ محدّدة — لا شيء من هذا يُلصق بشريط كوكيز بعد فوات الأوان. كلّها قراراتٌ مخبوزةٌ في كيفية بناء نظام إدارة العملاء، والفوترة، وقاعدة بيانات العملاء لديك. هذه القطعة خريطةُ المُشغِّل لذلك التحوّل: ما تطلبه فعلاً قوانين المنطقة الجديدة من أنظمتك، ولماذا «سنتعامل مع الأمر إن اشتكى أحد» هو الطريق الأغلى، وما معنى أن تبني الخصوصية في النظام بدل أن تطليها عليه.

ابدأ بحجم التغيير، لأنه يُعيد تأطير كل ما يليه. لم تكن لائحة الخصوصية تزحف ببطء — بل قفزت. وضعت توقّعات غارتنر المُستشهَد بها على نطاقٍ واسع حصّةَ سكّان العالم المشمولين بقانون خصوصيةٍ حديثٍ عند نحو 10 بالمئة في 2020 وقرابة 75 بالمئة بنهاية 2024 ^[1]. هذا ليس اتجاهاً تنتظر زواله؛ إنه الخطّ الأساس الجديد. ولعملٍ في مصر أو الخليج أو يبيع إلى الولايات المتحدة، لم يعد السؤال «هل سيوجد قانون» بل «أيّ القوانين تنطبق عليّ بالفعل، وهل تُلبّيها برمجيّتي اليوم». والإجابة الصادقة لمعظم المُشغّلين الذين يعملون على ترقيعٍ من جداول البيانات وأداةٍ سحابيةٍ عالميةٍ ومحادثة واتساب هي: لا أحد يعرف فعلاً — وهذا في ظلّ النظام الجديد هو المشكلة بعينها.

والآن التفاصيل، لأن قوانين المنطقة ليست تطلّعاتٍ غامضة — إنها تفرض متطلّباتٍ ملموسةً على الأنظمة. فالإطار المصري، الذي يصير عاملاً بالكامل حين تستوفي لائحته التنفيذية لنوفمبر 2025 سماحَ عامها قرابة أكتوبر 2026، يشترط موافقةً صريحةً مستنيرةً محدّدةً قبل جمع البيانات الشخصية أو معالجتها، ويُلزم بأن تُقدَّم طلبات الموافقة بالعربية ومفصولةً عن الشروط العامة، ويُسنده بعقوباتٍ إداريةٍ وجنائية — غرامات تتراوح من 200,000 إلى 5,000,000 جنيهٍ بحسب المخالفة ^[2]. والنظام السعودي حيٌّ بالفعل: في عامه الأول من الإنفاذ أصدرت الجهة المنظِّمة عشرات القرارات، وتستطيع فرض غراماتٍ تصل إلى 5,000,000 ريالٍ عن المخالفة الواحدة، تتضاعف للمُعاوِد، عن أمورٍ عاديةٍ كمعالجة البيانات بلا أساسٍ مشروعٍ أو إرسال رسائل تسويقٍ بلا موافقة ^[3]. هذه ليست حالاتٍ هامشية — «أرسلنا لقائمة عملائنا عرضاً ترويجياً» هو تماماً نوع الفعل اليوميّ الذي بات على قائمة الإنفاذ.

والمتطلّب الذي يُعيد تشكيل البنية بهدوءٍ هو إقامة البيانات ونقلها عبر الحدود. يُقيّد قانون الإمارات نقل البيانات الشخصية خارج الدولة إلى وجهاتٍ ذات مستوى حمايةٍ كافٍ، أو خلاف ذلك فقط بضماناتٍ تعاقديةٍ معتمَدةٍ أو موافقةٍ صريحة، كما يجب على قطاعاتٍ منظَّمةٍ معيّنةٍ إبقاء البيانات داخل الدولة بالكامل ^[4]. وهنا تنكسر كثيرٌ من حِزَم «نحن فقط نستخدم أداةً سحابية» القانونَ بهدوء: إن كانت سجلّات عملائك تعيش على خادمٍ في منطقةٍ أخرى بلا أساسٍ مشروعٍ للنقل، فإن راحة ذلك الإعداد الافتراضي السحابي صارت عبئاً امتثالياً. ومعرفة مكان كل سجلٍّ فيزيائياً — والقدرة على الاختيار — لم تعد تفصيلاً في البنية التحتية. صارت تفصيلاً قانونياً، ولا تستطيع الإجابة عنه بنظافةٍ إلّا إن صمّم أحدٌ النظام ليُجيب عنه.

وهذه هي النقطة الجوهرية لكل من يبني البرمجيات أو يشتريها: الامتثال خاصيّةٌ في النظام، لا وثيقةٌ تلصقها به. تفترض القوانين الجديدة قدراتٍ يجب أن توجد في طبقة البيانات. أيمكنك أن تُنتج، عند الطلب، كل ما تحتفظ به عن عميلٍ واحد (طلب وصولٍ للبيانات)؟ أيمكنك حذف ذلك الشخص بالكامل دون أن تُيتّم سجلّاتٍ عبر خمس أدواتٍ منفصلة (حقّ المحو)؟ أيمكنك إثبات متى وكيف التُقطت الموافقة، وسحبها بسهولة منحها؟ أيمكنك رصد اختراقٍ والإبلاغ خلال مهلةٍ قانونية؟ كلٌّ من هذه تافهٌ في نظامٍ صُمّم له، وشبه مستحيلٍ في نظامٍ لم يُصمَّم. لا يُلبّي شريطُ الكوكيز أيّاً منها. ولهذا فمشكلة الحِزمة المنفصلة ومشكلة الخصوصية هما المشكلة نفسها بثيابٍ مختلفة: لا تستطيع تكريم «احذفني» عبر أدواتٍ لا تتّفق على هويّة العميل.

وأخيراً الاقتصاد، لأن حجّة البناء من الداخل ليست قانونيةً فحسب — بل ماليةٌ وتجارية. وجد بحث بونيمون عبر مؤسّساتٍ منظَّمةٍ كلفةَ عدم امتثالٍ تبلغ وسطياً نحو 14.8 مليون دولارٍ سنوياً مقابل نحو 5.5 مليونٍ لصون الامتثال — أعلى بنحو 2.71 ضعفاً — حين تحسب التعطّل وضياع الإنتاجية والغرامات والتسويات ^[5]. والجانب الإيجابي ليس مجرّد غراماتٍ مُتجنَّبة: صار العملاء يعاملون التعامل مع البيانات معياراً للشراء. في مسح سيسكو الاستهلاكي 2024، قال 75 بالمئة من المستجيبين إنهم لن يشتروا من شركةٍ لا يثقون بها على بياناتهم، ونحو نصف من هم بين 25 و34 عاماً سبق أن غيّروا مزوّداً بسبب ممارسات البيانات ^[6]. ولنظامٍ تبنيه فلوكا، هذه هي الحجّة في جملة: الخصوصية المصمَّمة في نموذج البيانات أرخص من الغرامة، وأسرع من التعديل اللاحق، وهي نفسها سببٌ يجعل العميل يبقى. أمّا الملصوقة بعد شكوى فهي أغلى بندٍ لم يضعه أحدٌ في الميزانية.