الامتثال للائحة GDPR في نقل الملفات: الدليل الكامل

نقل الملفات المتوافق مع GDPR يستوجب أربعة عناصر: أساس قانوني موثق بموجب المادة 6، وضمانات تقنية مناسبة (تشفير عند السكون وأثناء النقل)، واتفاقية معالجة بيانات مع مزود النقل بموجب المادة 28، ومسار تدقيق قابل للمراجعة يُظهر من أرسل ماذا لمن ومتى. إذا خرجت البيانات الشخصية من المنطقة الاقتصادية الأوروبية، فأنت بحاجة إضافةً إلى أدوات الفصل الخامس — البنود التعاقدية القياسية أو قرار الكفاية. إغفال أي من هذه العناصر يُعرّضك لغرامات تصل إلى 4% من رقم الأعمال العالمي أو 20 مليون يورو، أيهما أعلى.

الأساس القانوني بموجب المادة 6 قبل إرفاق الملف

كل عملية نقل لبيانات شخصية تحتاج إلى أساس قانوني مُدوَّن قبل أن يغادر الملف جهازك. لملفات الموارد البشرية الداخلية، تغطي المادة 6(1)(ب) العقود مع الموظفين. مستندات العملاء تقع عادةً تحت 6(1)(ب) أيضاً. قوائم التسويق تنتقل بموجب الموافقة 6(1)(أ) أو المصالح المشروعة 6(1)(و) بعد اختبار موازنة. إرسال مجلد بحجم 500 ميجابايت من السير الذاتية إلى جهة توظيف دون تسجيل الأساس المنطبق يعني انتهاك المادة 5(2) المتعلقة بالمساءلة. احتفظ بمبرر من سطر واحد في نظام التذاكر أو محرك مشترك — المدققون يطلبونه.

توقعات التشفير بموجب المادة 32

المادة 32(1)(أ) تُسمّي التشفير مثالاً على التدابير التقنية الملائمة. تُفسّر ICO وCNIL وBfDI الألمانية كلمة "ملائم" بأنها AES-256 للبيانات الساكنة وTLS 1.3 للبيانات في النقل. التشفير التام بين الطرفين باستخدام AES-256-GCM مع مفاتيح مشتقة عبر PBKDF2-SHA-256 بـ600,000 تكرار أو Argon2id يلبي المعيار حتى للبيانات ذات الفئة الخاصة بموجب المادة 9. الخدمات التي تُنهي TLS وتُعيد التشفير على مستوى التطبيق — نموذج WeTransfer وDropbox Transfer — متوافقة لكنها لا تستفيد من إعفاءات الإخطار بالخرق بموجب الديباجة 87 بالطريقة التي يتيحها التشفير التام الحقيقي.

التزامات المعالج بموجب المادة 28

لحظة قيام خدمة طرف ثالث بمعالجة البيانات الشخصية نيابةً عنك، تحتاج عقداً مكتوباً يغطي العناصر الثمانية الواردة في المادة 28(3): الموضوع والمدة، والطبيعة والغرض، وأنواع البيانات الشخصية، وفئات أصحاب البيانات، والتزامات المتحكم وحقوقه، وقواعد المعالجة الفرعية، والحذف أو الإعادة عند انتهاء المعالجة. معظم الخدمات المرموقة — SwissTransfer وTresorit وProton Drive — تنشر اتفاقية معالجة بيانات يمكنك التوقيع عليها في دقائق. إذا رفض مزود توقيرها أو كانت اتفاقيته تفتقر إلى حقوق التدقيق بموجب المادة 28(3)(ح)، فابتعد.

تقليص البيانات على مستوى الملف

المادة 5(1)(ج) تُلزمك بتحديد البيانات بما هو ضروري. ينطبق ذلك داخل ملف xlsx وليس فقط على طبقة النقل. إذا طلب فريق التسويق قائمة بالعملاء النشطين، لا ترسل تصدير CRM الكامل بأرقام الهواتف وتواريخ الميلاد وسجلات الشراء — صفّ الأعمدة إلى الاسم والبريد الإلكتروني أولاً. احذف إحداثيات GPS من بيانات EXIF للصور قبل الإرسال. احجب أرقام الضمان الاجتماعي في ملفات PDF الممسوحة ضوئياً بحجب PDF صحيح لا بمستطيلات سوداء فوق النص. النقل هو خط الدفاع الأخير لا الوحيد.

نقل البيانات خارج المنطقة الاقتصادية الأوروبية بموجب الفصل الخامس

إرسال ملف إلى معالج في الولايات المتحدة أو الهند أو أي دولة بدون قرار كفاية يُفعّل الفصل الخامس. منذ حكم Schrems II (يوليو 2020) وإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة (يوليو 2023)، يسير نقل الولايات المتحدة إما عبر المستلمين المعتمدين بإطار DPF أو البنود التعاقدية القياسية لعام 2021 مع تقييم أثر النقل. يُوثّق تقييم أثر النقل ما إذا كان قانون المراقبة الأمريكي (FISA 702، EO 12333) قد يُلزم بالوصول إلى بياناتك، والتدابير التكميلية — عادةً تشفير لا يستطيع المزود فك تشفيره — التي أضفتها. النقل المشفر من جانب العميل يُلبّي متطلبات التدابير التكميلية لأن المعالج الأمريكي لا يحتفظ إلا بنص مشفر.

الإخطار بالخرق خلال 72 ساعة

المادة 33 تُتيح لك 72 ساعة من لحظة الإدراك لإخطار السلطة الإشرافية المختصة بخرق بيانات شخصية. إرسال موظف ملف .csv خاطئ إلى مستلم خاطئ يُعدّ خرقاً. أداة نقل الملفات الخاصة بك يجب أن تُسجّل ما يكفي لإعادة بناء الحدث: المرسل والمستلم وهاش الملف والطابع الزمني وعنوان IP وما إذا تم فتح الرابط قبل إلغائه. يسأل نموذج إخطار CNIL الإلكتروني عن هذه الحقول تحديداً. الخدمات التي تضم ضوابط انتهاء الرابط وسجلات الوصول — بما فيها HexaTransfer التي تُنهي الروابط بعد سبعة أيام وتُسجّل أحداث التنزيل — تجعل نافذة 72 ساعة أسهل بكثير.

حقوق أصحاب البيانات في الملفات المشتركة

تمنح المواد 15 إلى 22 أصحاب البيانات حقوقاً على بياناتهم أينما وُجدت، بما في ذلك داخل رابط نقل. إذا قدّم شخص طلب محو بموجب المادة 17 وسيرته الذاتية موجودة في مجلد مشترك أُرسل إلى ثلاثة مسؤولي توظيف الشهر الماضي، فأنت بحاجة إلى حذف النسخة الأصلية وتوثيق أن النسخ الإضافية خارج سيطرتك فقط إذا أثبتت إخطار المستلمين (المادة 17(2)). الخدمات ذات الروابط المنتهية الصلاحية تُعالج هذا تلقائياً — حين ينتهي الرابط، تختفي النسخة من خدمة النقل. SFTP الذاتي الاستضافة والمجلدات السحابية المشتركة تستلزم تنظيفاً يدوياً وسجلاً لمن استلم ماذا.

سجلات أنشطة المعالجة

المادة 30 تُلزم المتحكمين الذين يضمون 250+ موظفاً — والمنظمات الأصغر التي تعالج بانتظام أو تتعامل مع فئات خاصة — بالاحتفاظ بسجل أنشطة المعالجة. عمليات نقل الملفات تنتمي إلى هذا السجل. لكل تدفق متكرر، وثّق الغرض وفئات أصحاب البيانات والبيانات الشخصية والمستلمين والنقل الدولي وفترات الاحتفاظ والتدابير الأمنية. النقل المشفر من جانب العميل بانتهاء صلاحية سبعة أيام وتشفير AES-256-GCM يصبح إدخالاً من سطر واحد: "مستندات العملاء عبر [المزود]، E2EE، حذف تلقائي في اليوم 7، تخزين في المنطقة الاقتصادية الأوروبية." هذا هو مستوى التفصيل الذي تريده السلطات الإشرافية.

قائمة تحقق الامتثال العملية

قبل طرح أي أداة نقل ملفات عبر مؤسستك، تحقق من: (1) تغطية اتفاقية معالجة البيانات للمادة 28(3) بالكامل؛ (2) كون التشفير AES-256 على الأقل عند السكون وTLS 1.3 أثناء النقل؛ (3) توثيق موقع البيانات وتثبيته تعاقدياً؛ (4) الاحتفاظ بسجلات الوصول والتنزيل لستة أشهر على الأقل؛ (5) عمل انتهاء الرابط والإلغاء كما هو موعود؛ (6) نشر المزود لقوائم المعالجين الفرعيين مع إخطار بالتغييرات؛ (7) وجود تقييم أثر حماية بيانات بموجب المادة 35 في الملف إذا تضمّن النقل بيانات من فئة خاصة أو تنميطاً واسع النطاق.

أجرِ هذه الفحوصات السبع مرة في الربع واحفظ النتائج في سجل الامتثال. جرّبها على hexatransfer.com — مجاني، بدون حساب، حتى 10 جيجابايت.