قانون التكنولوجيا والذكاء الاصطناعي وحماية البيانات

المسائل التي نتولاها في إطار قانون حماية البيانات الشخصية التركي رقم 6698 (KVKK)، والقانون رقم 5651 بشأن تنظيم المنشورات على الإنترنت، وأحكام الجرائم الإلكترونية في قانون العقوبات التركي رقم 5237:

• أعمال الامتثال بموجب قانون حماية البيانات التركي واللائحة العامة لحماية البيانات (GDPR)، وإعداد قوائم جرد البيانات وصياغة السياسات
• إشعارات الخصوصية، وإجراءات الموافقة الصريحة، وسياسات ملفات تعريف الارتباط
• الاتفاقيات بين المتحكم في البيانات ومعالج البيانات، والتزامات سجل المتحكمين في البيانات
• نقل البيانات الشخصية إلى الخارج والآليات القانونية المتاحة لهذا النقل
• بيانات الموظفين وملفات شؤون العاملين وتسجيلات الكاميرات في مكان العمل
• البيانات الصحية والبيانات البيومترية والفئات الخاصة من البيانات الشخصية
• الإخطار بخرق البيانات، وإدارة الخروقات، ودعاوى إلغاء قرارات مجلس حماية البيانات الشخصية
• مطالبات التعويض الناشئة عن المعالجة غير المشروعة للبيانات الشخصية
• الدخول غير المصرح به إلى نظم المعلومات، والحصول على البيانات بصورة غير مشروعة، وجرائم البطاقات المصرفية
• جرائم السبّ والتهديد والابتزاز المرتكبة عبر الإنترنت
• طلبات إزالة المحتوى وحجب الوصول والحق في أن تُنسى
• حسابات التواصل الاجتماعي المخترقة وإجراءات الأدلة الرقمية
• عقود تطوير البرمجيات والصيانة والحوسبة السحابية واتفاقيات مستوى الخدمة
• المسؤولية والتزامات استخدام البيانات والشفافية في تطبيقات الذكاء الاصطناعي
• منازعات التجارة الإلكترونية والتوقيع الإلكتروني والعقود الإلكترونية
• التزامات الأمن السيبراني وإدارة الحوادث عقب الهجمات السيبرانية
• مسؤولية المنصات الرقمية والعلاقات بين المنصة والمستخدم
• قانون الألعاب والرياضات الإلكترونية؛ المنازعات المتعلقة بالمحتوى الرقمي والعناصر الافتراضية
• التسويق المباشر والرسائل الإلكترونية التجارية والالتزامات المتصلة بها
• المسؤولية في اتخاذ القرارات الخوارزمية والمعالجة الآلية بالكامل
• التقييم القانوني للأصول المشفرة والتطبيقات القائمة على تقنية البلوك تشين

في أعمالنا في هذا المجال، يُؤخذ في الاعتبار أولاً وقبل كل شيء قانون حماية البيانات الشخصية التركي رقم 6698، إلى جانب القواعد المتعلقة بالمنشورات على الإنترنت، والتجارة الإلكترونية، والتوقيع الإلكتروني، والجرائم الإلكترونية، والأمن السيبراني، وقانون حماية المستهلك، والملكية الفكرية. وكثيراً ما ينشأ الخطر القانوني في هذا المجال عن الفجوة بين السياسات المكتوبة والممارسة الفعلية؛ ولهذا السبب، لا تُقيَّم العمليات من خلال العقود ونصوص السياسات فحسب، بل من خلال نموذج العمل والبنية التحتية التقنية ومسارات المستخدمين وحركة البيانات الفعلية أيضاً.

وفي نطاق الامتثال لحماية البيانات، تُفحص على حدة عمليات الموارد البشرية والمبيعات والتسويق والمحاسبة ومركز الاتصال والكاميرات والتطبيقات الهاتفية والموقع الإلكتروني وإدارة الموردين وتقنية المعلومات. وتُحدَّد البيانات الشخصية المعالجة، والأساس القانوني للمعالجة، ومدد الاحتفاظ، وصلاحيات الوصول، وفئات المتلقين، وقنوات النقل إلى الخارج؛ وبالنسبة إلى المتحكمين في البيانات الخاضعين لواجب التسجيل، يُراجع مدى اتساق الإخطار المقدَّم إلى سجل المتحكمين في البيانات التركي (VERBİS) مع أنشطة المعالجة الفعلية.

وتُعدّ إشعارات الخصوصية وإجراءات الموافقة الصريحة بصورة خاصة لكل من الموظفين والمتقدمين للوظائف والعملاء والزوار والكاميرات وملفات تعريف الارتباط والتطبيقات الهاتفية والحملات والموردين. فواجب الإعلام والموافقة الصريحة ليسا عملاً واحداً؛ إذ لا تُطرح الموافقة الصريحة إلا حيث لا يوجد شرط آخر للمعالجة ينص عليه القانون. وتُفحص طلبات أصحاب البيانات المتعلقة بالاطلاع أو التصحيح أو المحو على أساس كل حالة على حدة بحيث يمكن الرد عليها في الوقت المناسب وبصورة موثّقة.

وفي معالجة بيانات الموظفين، يُقيَّم البريد الإلكتروني المؤسسي، واستخدام الإنترنت، والموقع الجغرافي، والأداء، وسجلات الدخول والخروج، والبيانات البيومترية، وتسجيلات الكاميرات من حيث الغرض والضرورة والتناسب والإعلام المسبق. وحيثما تُستخدم خدمات الحوسبة السحابية أو إدارة علاقات العملاء (CRM) أو الموارد البشرية أو التحليلات أو الذكاء الاصطناعي، يُحدَّد ما إذا كانت البيانات الشخصية تُنقل إلى الخارج وما الآلية القانونية التي يستند إليها هذا النقل، وتُراجع عقود الموردين من حيث الإخطار بالخروقات، والمعالجين من الباطن، وحقوق التدقيق، والمحو، وتوزيع المسؤولية.

كما تدخل في مجال ممارستنا أيضاً عقود تطوير البرمجيات والترخيص والبرمجيات كخدمة (SaaS) والصيانة والاستضافة وواجهات برمجة التطبيقات (API) والمنصات الرقمية، وسياسات الاستخدام المؤسسي للذكاء الاصطناعي، والتقييم القانوني للمشاريع القائمة على الأصول المشفرة وتقنية البلوك تشين، والرسائل الإلكترونية التجارية، فضلاً عن مسائل إزالة المحتوى وحجب الوصول والاستيلاء على الحسابات والجرائم الإلكترونية.

من بين المسائل الأكثر شيوعاً في الممارسة العملية الامتثال لحماية البيانات المقتصر على إشعار خصوصية في الموقع الإلكتروني، والموافقة الصريحة التي تُؤخذ دون داعٍ أو تُدمج في خانة موافقة واحدة، والخدمات السحابية التي تنقل البيانات إلى الخارج خلافاً لما تنص عليه سياسة الشركة، وأنظمة الكاميرات المركّبة لأغراض الأمن لكنها تُستخدم للمراقبة المستمرة للموظفين.

وقد تنشأ خروقات البيانات عن رسالة بريد إلكتروني أُرسلت إلى الشخص الخطأ، أو جهاز مفقود، أو حساب مستخدم مخترق، أو برمجيات الفدية، أو قاعدة بيانات تُركت مفتوحة على الإنترنت، أو استمرار وصول موظف سابق إلى الأنظمة. وليس لكل حادث تقني النتيجة القانونية ذاتها؛ غير أن الخلوص دون تحقيق إلى أنه لم يحدث أي تسرب للبيانات خطأ بالقدر نفسه. ويجب الحفاظ على سجلات النظام، وتحديد الأنظمة ومجموعات البيانات المتأثرة، وتوثيق تاريخ اكتشاف الحادث.

وفي استخدام الذكاء الاصطناعي، لا يُزيل شراء الأداة من جهة خارجية أو تشغيلها عبر خدمة متاحة للعموم مسؤولية الشركة التي تستخدمها. وتُقيَّم الأنظمة المستخدمة في التوظيف أو تصنيف العملاء أو الإعلان أو إنتاج المحتوى أو دعم القرار مجتمعةً من حيث البيانات الشخصية والتمييز وقانون حماية المستهلك والملكية الفكرية والأسرار التجارية والمسؤولية التعاقدية.

وفي عقود التكنولوجيا، قد يؤدي ترك مسائل اختبارات القبول، ومستويات الخدمة، والمسؤولية عن الانقطاعات، وفقدان البيانات، والشفرة المصدرية، وحقوق الملكية الفكرية، والوصول إلى البيانات بعد انتهاء العقد دون تنظيم إلى منازعات خطيرة. وفي مسائل الاستيلاء على الحسابات، والملفات الشخصية المزيفة، والصور المستخدمة دون إذن، والاحتيال الإلكتروني، والسمعة التجارية، تكون الأولوية للحفاظ على الأدلة، إذ قد يُحذف المحتوى وقد يصبح الحصول على سجلات المنصات أكثر صعوبة بمرور الوقت.

تبدأ الإجراءات بفهم كيفية وقوع الحادث أو عمل النظام فعلياً قبل الانتقال إلى النصوص القانونية. وتُفحص معاً البرمجيات المستخدمة، ومصادر البيانات، والموردون، والعقود، ولقطات الشاشة، وسجلات الوصول، وسجلات النظام، والمراسلات المتعلقة بالطلبات، وتواريخ الوقائع.

ثم تُحدَّد التشريعات الواجبة التطبيق، والمهل الحرجة، والأدلة المتاحة، ومسؤوليات الأطراف. وفي مشاريع الامتثال، تُعدّ خطة عمل قابلة للتطبيق تشمل جرد البيانات، وإشعارات الخصوصية، وقواعد الاحتفاظ والوصول، وعقود الموردين، وآليات النقل، بحيث يُدار الامتثال في الممارسة العملية لا على الورق.

وفي حال وقوع خرق للبيانات أو حادث سيبراني، يُنسَّق مع الفريق التقني وخبير الأدلة الجنائية الرقمية وشركة التأمين ووحدة الاتصال. ويجري في هذا الإطار الحفاظ على الأدلة، وإعداد نصوص الإخطار، وإعلام أصحاب البيانات المعنيين، وتوثيق التدابير التصحيحية المتخذة بعد الحادث.

وفي المنازعات، تُقيَّم على حدة الطلبات الإدارية، والتقاضي، والشكاوى الجزائية، وطلبات إزالة المحتوى وحجب الوصول، والإنذارات الرسمية، ودعاوى الإثبات، ومطالبات التعويض، إذ يخضع كل سبيل من سبل الانتصاف لشروط مختلفة ويخدم غرضاً مختلفاً. ويُطلع الموكّل بانتظام على مراحل الإجراءات والمخاطر المحتملة وسبل الانتصاف القانونية التي يمكن سلوكها.