صفة صاحب البيانات الشخصية: ماذا تعني وما الحقوق التي تنطوي عليها

تصف صفة صاحب البيانات الشخصية مركز الشخص الذي تتعلق به معلومة ما. فإذا كان أحد السجلات يحتوي على اسمه، أو موقعه الجغرافي، أو سجل مشترياته، أو معرفه الرقمي، فإن ذلك الشخص هو صاحب البيانات — أو «المعني بالبيانات»، وفقًا للمصطلحات الأوروبية — حتى وإن كانت جهة أخرى هي التي تجمع السجل أو تخزنه أو تستخدمه.

قد يبدو هذا التعريف بسيطًا، لكنه ينطوي على أثر مهم: فمن يعالج بيانات الآخرين لا يحصل على سلطة مطلقة عليها؛ إذ يجب أن يكون قادرًا على بيان ما يفعله بها، وسنده في ذلك، والقواعد التي تحكمه. وفي الوقت نفسه، فإن التمتع بصفة صاحب البيانات لا يمنح بالضرورة حق ملكية مطلقًا على كل نسخة من تلك البيانات.

يختلف النطاق الفعلي باختلاف البلدان؛ لذا يجدر أولًا فهم وظيفة صفة صاحب البيانات، ثم الرجوع لاحقًا إلى التشريعات المطبقة في كل حالة بعينها.

فكرة أساسية: تربط صفة صاحب البيانات المعلومات بالشخص الذي تصفه وتفعّل ضمانات في مواجهة معالجتها؛ لكنها لا تعني، بذاتها، امتلاك كل ملف أو قاعدة بيانات.

مركز قانوني في مواجهة المعالجة

يمكن أن تتداول البيانات الشخصية عبر أنظمة لا يتحكم فيها صاحب البيانات ماديًا: كتطبيق إلكتروني، أو شركة تأمين، أو جهة عمل، أو إدارة حكومية. ولا تعتمد صفة صاحب البيانات على الجهة التي تدير الخادم أو تحتفظ بنسخة من السجل، بل تتوقف على من تحدد المعلومة هويته أو تجعله قابلًا للتعرف عليه.

وانطلاقًا من هذا المركز، تنشأ صلاحيات تؤدي في الغالب ثلاث وظائف:

• المعلومات: معرفة من يعالج البيانات، ولأي غرض يستخدمها، والمدة التي يعتزم الاحتفاظ بها خلالها.
• القرار: الموافقة على استخدامات محددة عندما تكون الموافقة هي الأساس الملائم، وسحبها وفق الشروط المقررة، أو إبداء الاعتراض.
• المطالبة: طلب الوصول أو التصحيح واللجوء إلى جهة مختصة عند مخالفة القواعد.

تحد هذه الصلاحيات من التفاوت القائم بين الفرد ومؤسسة قادرة على جمع المعلومات المتعلقة به والربط بينها وتحليلها. وهي لا تضمن أن يبت صاحب البيانات في كل عملية معالجة، لكنها تشترط أن تكون للسلطة المعلوماتية مسوغات وضوابط وآليات للمساءلة.

صفة صاحب البيانات والخصوصية والملكية ليست مفهومًا واحدًا

تجيب صفة صاحب البيانات عن سؤال واحد: عمن تتحدث هذه البيانات؟ وتطرح الخصوصية سؤالًا آخر: ما هي أشكال التدخل المقبولة في الحياة الشخصية؟ في حين تضيف حماية البيانات سؤالًا ثالثًا: تحت أي شروط يجوز جمع هذه المعلومات أو استخدامها أو حفظها أو مشاركتها؟

تترابط هذه المفاهيم، لكن أحدها لا يحل محل الآخر. فقد تمس المعالجة الحياة الخاصة؛ وقد تنتهك أيضًا قواعد حماية البيانات دون إفشاء سر حميم، كما لو احتفظت مؤسسة بمعلومات غير دقيقة وامتنعت عن تصحيحها.

ولا يجدر كذلك استخدام «صاحب البيانات» مرادفًا تلقائيًا لـ «المالك». فيمكن لشركة ما أن تمتلك حقوقًا على البرمجيات أو هيكل قاعدة البيانات، في حين يحتفظ الأفراد بضمانات تتعلق بالبيانات التي تصفهم. وعلى العكس، لا تعني هذه الضمانات أن الشخص يستطيع دومًا الأمر بحذف كل نسخة؛ إذ قد توجد التزامات قانونية بالاحتفاظ بها، أو حقوق لأطراف ثالثة، أو استثناءات أخرى.

إن النقاش حول ملكية البيانات الشخصية يستحق معالجة مستقلة. ولفهم صفة صاحب البيانات يكفي تمييز أكثر تواضعًا: فالحيازة التقنية، والملكية المدنية، وحماية الشخص تعمل على مستويات متباينة.

صاحب البيانات، والمسؤول، والمعالج: مثال توضيحي

لنتخيل منصة تعليمية تطلب الاسم، والبريد الإلكتروني، والتقدم الدراسي. يكون المستخدم هنا هو صاحب البيانات لأن المعلومات تتعلق به. وتكون المنصة هي المسؤول عن المعالجة إذا كانت هي التي تقرر الغرض من جمع تلك البيانات وكيفية استخدامها في جوهر الأمر.

يمكن للمنصة أن تتعاقد مع مزود بنية تحتية لتخزينها. فإذا كان ذلك المزود يعمل لحساب المنصة ووفقًا لتعليماتها، فإنه يؤدي دور المعالج. ومجرد حيازته للخوادم لا يجعله تلقائيًا مسؤولًا عن جميع القرارات.

يقوم هذا التمييز على الوظائف الفعلية، لا على مسمى العقد فحسب. فالطرف الذي يحدد الأغراض والوسائل الجوهرية هو المسؤول؛ والطرف الذي ينفذ المعالجة لحساب المسؤول هو المعالج. كما أن الاستعانة بمصادر خارجية لا تلغي مسؤولية المنصة تجاه صاحب البيانات.

تمييز مفيد: الفرد هو صاحب البيانات لأنها تصفه؛ والمسؤول هو من يحدد غرض الاستخدام وعناصره الجوهرية؛ والمعالج هو من يقدم خدمة المعالجة متبعًا التعليمات.

ما الحقوق التي يتمتع بها صاحب البيانات عادة؟

لا توجد قائمة موحدة تطبق في جميع أنحاء العالم. ومع ذلك، تقر أطر مثل القانون المكسيكي، والقانون رقم 29733 في بيرو، واللائحة العامة لحماية البيانات في الاتحاد الأوروبي، بمسميات وشروط متباينة، عدة صلاحيات متكررة:

• تلقي معلومات واضحة بشأن المعالجة؛
• الوصول إلى البيانات والاطلاع على كيفية استخدامها؛
• تصحيح المعلومات غير الدقيقة أو غير المكتملة؛
• الاعتراض على استخدامات معينة؛
• طلب المحو أو الإلغاء أو التقييد عند الاقتضاء؛
• الحصول على بيانات معينة أو نقلها في الأنظمة التي تقر بحق نقل البيانات.

لكل حق من هذه الحقوق شروطه واستثناءاته وإجراءاته الخاصة. فـ «حق المحو» لا يعني الحذف الفوري في أي ظرف كان، تمامًا كما أن «الاعتراض» لا يعد حق نقض عامًا. كما تختلف المصطلحات المستخدمة؛ إذ تتحدث بعض الأنظمة القانونية عن حقوق الوصول والتصحيح والإلغاء والاعتراض، بينما تضيف أنظمة أخرى تقييد المعالجة أو نقل البيانات.

الموافقة ليست شيكًا على بياض

قد تكون الموافقة سندًا لمعالجة البيانات، لكنها ليست الأساس الوحيد. فبحسب الاختصاص القضائي والسياق، قد توجد أيضًا التزامات قانونية، أو عقود، أو مصالح عامة، أو مسوغات أخرى. ولهذا السبب يُعد الزعمان المتناقضان الآتيان مضللين: القول بأن أي استخدام بلا موافقة هو بالضرورة غير قانوني، والقول بأن قبول سياسة الاستخدام يخول أي استخدام في المستقبل.

وعند الاستناد إلى الموافقة، ينبغي أن يكون لها معنى حقيقي. فالإفصاح الواضح يتيح للشخص تقييم القرار؛ وقصر المعالجة على أغراض محددة يمنع تحول الإذن الخاص إلى ترخيص لا حدود له. وتتضح هذه الصلة مع استخدام الذكاء الاصطناعي والبيانات الشخصية بصفة خاصة عندما يعاد استخدام بيانات جُمعت لتقديم خدمة ما في تدريب الأنظمة أو تقييمها.

فكرة أساسية: الموافقة على استخدام محدد لا تعني التنازل عن سائر أوجه الحماية، وسحب الموافقة لا يوقف بالضرورة عمليات معالجة تستند إلى أساس قانوني صحيح آخر.

رقابة بضوابط ومسؤولية

تحمي صفة صاحب البيانات الاستقلالية الشخصية عبر منع الشركات أو السلطات من معالجة المعلومات وكأن الفرد قد سقط من الحسابات. وهي تلزم تلك الجهات بتسويغ القرارات، وجعل القواعد قابلة للتوقع، وتوفير سبل للتصحيح أو الشكوى. ومن هذا المنطلق، فإنها توزع السلطة: فمن يعلم الكثير عن الآخرين يتعين عليه أن يتحمل مسؤولية استخدام تلك المعرفة.

غير أن هذه الحماية لا تنشئ سيادة مطلقة على كل معلومة؛ فهناك معالجات مشروعة لا تتوقف على إذن فردي، ونسخ يتعين الاحتفاظ بها خلال فترة قانونية محددة. ولا يكمن التوازن في المفاضلة بين السيطرة التامة للفرد أو الحرية المطلقة للمنظمة، بل في إخضاع المعالجة لأغراض مشروعة، وحدود قابلة للتحقق، ومسؤوليات واضحة.

وبهذا الفهم، لا تعد صفة صاحب البيانات مجازًا يعبر عن الملكية، بل هي إقرار بأن البيانات تُعالج عبر أنظمة تقنية، لكنها تظل متعلقة ببشر يتمتعون بحقوق.