سجل أنشطة معالجة يُبرز أين يكون الأساس القانوني أضيق، لا ما تعالجه فحسب

ما تشترطه المادة 30

تشترط المادة 30 على المتحكم الاحتفاظ بسجل لأنشطة معالجته: الأغراض، وفئات أصحاب البيانات والبيانات الشخصية، والمستلمين، وأي عمليات نقل دولية، ومُدد الاحتفاظ المتوقّعة، ووصف عام للتدابير الأمنية (المادة 30(1)). ويحتفظ المعالِج بسجله الخاص للمعالجة التي ينفّذها نيابةً عن متحكم (المادة 30(2)).

سجل أنشطة معالجة يكون مجرّد جرد يجيب عن 'ماذا نعالج'. أما السؤال المهم للامتثال فأضيق: أيٌّ من هذه الأنشطة يقع تحت نظام خاص لا يكون فيه الأساس القانوني هو قائمة المادة 6 العادية.

• الأغراض وفئات أصحاب البيانات والبيانات (المادة 30(1)(أ)–(ج))
• المستلمون وعمليات النقل الدولية (المادة 30(1)(د)–(هـ))
• مُدد الاحتفاظ والتدابير الأمنية (المادة 30(1)(و)–(ز))
• سجلات المعالِج للمعالجة الموجَّهة من المتحكم (المادة 30(2))

حيث يكون الأساس القانوني أضيق — المواد 9 و10 و22

بيانات الفئات الخاصة بموجب المادة 9 — الصحة، والقياسات الحيوية، والجينات، والأصل العرقي أو الإثني، والآراء السياسية، والمعتقدات الدينية، والحياة الجنسية — محظورة ما لم ينطبق أحد شروط المادة 9(2). والموافقة العادية بموجب المادة 6 لا تكفي؛ إذ يجب أن يأتي الشرط من المادة 9(2).

أما بيانات الإدانات والجرائم بموجب المادة 10 فأشدّ، وهذه هي النقطة التي تخطئ فيها معظم الأدوات: المادة 10 لا تتضمّن أي مسار للموافقة على الإطلاق. فلا يجوز معالجتها إلا تحت رقابة سلطة رسمية، أو حيث يأذن بذلك قانون الاتحاد أو دولة عضو يوفّر ضمانات مناسبة. سجل يعرض 'الموافقة' كأساس لبيانات الإدانات الجنائية إنما يسجّل أساساً غير مشروع.

والقرارات الآلية تضاعف الأمرين. فبموجب المادة 22(4)، القرار المبني حصراً على معالجة آلية ويُنتج آثاراً قانونية أو آثاراً مشابهة في أهميتها ويستخدم بيانات فئات خاصة لا يجوز أن يستند إلا إلى المادة 9(2)(أ) الموافقة الصريحة أو المادة 9(2)(ز) المصلحة العامة الجوهرية — مع ضمانات مناسبة. فتنكمش مجموعة الأسس القانونية إلى اثنين. ومعظم أدوات السجل تسجّل النشاط وتتوقف؛ ولا تُبرز أن الأساس قد ضاق.

• المادة 9 بيانات الفئات الخاصة — تحتاج شرطاً من المادة 9(2)، لا موافقة عادية
• المادة 10 بيانات الإدانات الجنائية — لا مسار للموافقة؛ سلطة رسمية أو قانون مُخوِّل مع ضمانات
• المادة 22(4) قرار آلي على بيانات فئات خاصة — فقط 9(2)(أ) الموافقة الصريحة أو 9(2)(ز) المصلحة العامة الجوهرية

ما الذي يفعله RINS.AI حيال ذلك

عندما ينطوي نشاط معالجة في السجل على بيانات فئات خاصة، أو بيانات جنائية، أو قرار آلي بحت، يُعلّمه RINS.AI — بحيث يُفحص الأساس القانوني المسجَّل مقابل النظام الذي ينطبق فعلاً، لا مقابل قائمة المادة 6 العادية. فنشاط بيانات جنائية مسجَّل كـ'موافقة' يُبرَز؛ وقرار آلي على بيانات صحية يُبرَز مع قيد الأساسين المرفق.

تترابط السجلات عبر المنصة: تتصل مدخلة السجل بتقييمات الأثر والموردين والأدلة المتعلقة بها، بحيث يبقى جرد المعالجة نظام سجل حياً لا جدول بيانات يشيخ يوم حفظه.

• معالجة المواد 9 / 10 / 22 مُعلَّمة في السجل
• الأساس القانوني المسجَّل مفحوص مقابل النظام المنطبق
• مدخلات السجل مرتبطة بتقييمات الأثر والموردين والأدلة

ما الذي لا يفعله

يُعلّم RINS.AI أين ينطبق نظام خاص وأين يبدو الأساس المسجَّل خاطئاً له. ولا يقرّر عنك الأساس القانوني الصحيح — فما إذا كان شرط المصلحة العامة الجوهرية متحققاً، أو ما إذا كان قانون دولة عضو يوفّر الضمانات التي تشترطها المادة 10، تحديد قانوني يتخذه المتحكم أو مسؤول حماية البيانات لديه. وهو يرسم ما هو مسجَّل: فالسجل مكتمل بقدر الأنشطة المُدخَلة فيه، والمنصة لا تكتشف معالجة تجري في أنظمة لا تراها.