المملكة المتحدة تحيي خطة لإصلاح قواعد حماية البيانات بهدف تعزيز الاقتصاد

يهدف مشروع قانون بيانات جديد من وزارة العلوم والابتكار والتكنولوجيا في المملكة المتحدة (DSIT) إلى إحياء العديد من التدابير التي فشلت في تمريرها في ظل الحكومة السابقة، في حين يتراجع عن بعض الإصلاحات المثيرة للجدل بعد خروج بريطانيا من الاتحاد الأوروبي التي اقترحها الوزراء المحافظون.

تعتقد الحكومة أن “مشروع قانون البيانات (الاستخدام والوصول)” (DUA) سيعزز اقتصاد المملكة المتحدة بمقدار 10 مليارات جنيه إسترليني من خلال إطلاق وفورات كبيرة في كفاءة القطاع العام. ستنجم هذه الوفورات عن تبسيط قواعد مشاركة المعلومات عبر مجالات مثل الرعاية الصحية وإنفاذ القانون.

ويتعلق التشريع أيضا بالهوية الرقمية والتحقق، وتوسيع “مخططات البيانات الذكية” (أقرب إلى الخدمات المصرفية المفتوحة)، ورسم خرائط البنية التحتية تحت الأرض، ورقمنة سجل المواليد والوفيات، وتمكين الوصول إلى البيانات التي تحتفظ بها المنصات عبر الإنترنت.

“من خلال القوانين التي تساعدنا على استخدام البيانات بشكل آمن وفعال، سيساعدنا مشروع القانون هذا على تعزيز اقتصاد المملكة المتحدة، وإتاحة الوقت الحيوي للعاملين في الخطوط الأمامية لدينا، وإعفاء الناس من الإدارة غير الضرورية حتى يتمكنوا من الاستمرار في حياتهم. وقال وزير التكنولوجيا بيتر كايل في بيان.

الوصول إلى البيانات حول المخاطر عبر الإنترنت

يبدو أن الكثير من مشروع القانون قد تم ترحيله من إصلاحات البيانات المخطط لها من قبل حكومة المحافظين – مثل خطة لتبسيط الموافقة على ملفات تعريف الارتباط من خلال السماح للمواقع بمعالجة بيانات الأشخاص للتحليلات دون موافقة. لكن إحدى الإضافات الملحوظة هي خطة لإجبار مقدمي الخدمات عبر الإنترنت على الاحتفاظ بالمعلومات المتعلقة بوفيات القُصَّر الذين يستخدمون خدماتهم.

ويبدو أن هذا رد فعل على حالات الآباء الذين يواجهون معارك طويلة للوصول إلى حسابات أطفالهم على وسائل التواصل الاجتماعي بعد حالات الانتحار.

ومن الجدير بالذكر أيضًا وجود بند للتشريع يسمح للباحثين في مجال السلامة عبر الإنترنت بالوصول إلى البيانات. وهنا، يبدو أن المملكة المتحدة تقلد الاتحاد الأوروبي، حيث يفرض قانون الخدمات الرقمية التابع للكتلة منصات رئيسية لتسهيل وصول الباحثين إلى بياناتهم.

غالبًا ما تخلفت المملكة المتحدة عن الاتحاد الأوروبي فيما يتعلق بالتنظيم الرقمي، لذا فإن إدراج بند الوصول إلى البيانات في فاتورة البيانات يبدو وكأنه محاولة للحاق بالركب. ومن شأنه أيضاً أن يعزز آفاق قانون السلامة على الإنترنت، الذي أقره وزراء المملكة المتحدة أخيراً في الخريف الماضي.

عين على الكفاية

وفي مكان آخر، يتراجع مشروع القانون الجديد عن بعض التغييرات المثيرة للجدل التي اقترحتها الحكومة الأخيرة لتعديل اللائحة العامة لحماية البيانات (GDPR) في البلاد.

من المرجح أن يحرص الوزراء على تجنب فشل المراجعة القادمة للاتحاد الأوروبي (في عام 2025) لقرار الملاءمة الذي تم منحه في عام 2021. وقد سمح هذا القرار لبيانات أي مستخدمين في الاتحاد الأوروبي تحتفظ بهم الشركات البريطانية بمواصلة التدفق إلى البلاد لمعالجتها.

“ستشعر المفوضية الأوروبية بالارتياح لأن مشروع القانون لا يتقدم بمقترحات المحافظين للحد من تطبيق ROPAs [record of processing activities]، تقييم الأثر البيئي [data protection impact assessments] ومنظمات الأشخاص ذوي الإعاقة [data protection officers] أو تسعى إلى تقويض استقلال ICO [Information Commissioner’s Office]قال إدوارد ماشين، أحد كبار المحامين في ممارسة البيانات والخصوصية والأمن السيبراني في شركة Ropes & Gray.

وأضاف: “إن توسيعها لأحكام اللائحة العامة لحماية البيانات بشأن المصالح المشروعة وتقييد الأغراض ليس من المرجح أيضًا أن يؤدي إلى إزعاج عملية تجديد الملاءمة القادمة”.

القرارات الآلية

كان لدى منظمة الحقوق الرقمية Open Right Group (ORG) تقييم أقل إيجابية لمشروع القانون الذي تم إحياؤه، محذرة من أنه “سيفشل في حماية الجمهور من أضرار الذكاء الاصطناعي”. قالت ORG إن مشروع القانون يقصر حقوق الأشخاص في القرارات الآلية التي لها تأثير قانوني أو كبير عليهم على بيانات فئة خاصة فقط (وليس البيانات الشخصية).

وقالت ORG: “هذا يعني أن المنظمات يمكنها استخدام القرارات الآلية لاتخاذ قرارات تغير الحياة – مثل فصل العمال، وحساب الأجور، واتخاذ قرار بشأن طلبات التأشيرة والمزايا”. “كما أنه يمنح وزير الخارجية الحق في إعفاء أنظمة صنع القرار الآلية تمامًا من ضمانات حماية البيانات بغض النظر عن المخاطر التي تشكلها على الجمهور.”

سلطت ORG أيضًا الضوء على “الثغرات الجديدة” التي يمكن أن تضعف حقوق البيانات من خلال السماح للشركات بالاستجابة لطلبات البيانات من خلال مطالبة الأفراد بمزيد من المعلومات. وحذرت من أن مشروع القانون الذي تم إحياؤه لا يزال يسمح بـ “الاستيلاء على بيانات معلوماتنا الشخصية تحت ستار” البحث “.”

“إن مشروع قانون استخدام البيانات والوصول إليها يضعف حقوقنا ويمنح الشركات والمنظمات المزيد من الصلاحيات لاستخدام القرارات الآلية. وقال ماريانو ديلي سانتي، مسؤول الشؤون القانونية والسياسات في ORG، في بيان: “هذا أمر مثير للقلق بشكل خاص في مجالات الشرطة والرعاية الاجتماعية والهجرة، حيث يمكن اتخاذ قرارات تغير الحياة دون مراجعة بشرية”.

طرح أولي للعملة

وشدد ORG على أن مشروع القانون الذي تم إحياؤه لا يزال يمنح الحكومة صلاحيات يمكن أن تقوض استقلالية ICO.

ومع ذلك، أشار ريتشارد كومبلي، الشريك في قسم التكنولوجيا والإعلام والاتصالات في شركة لينكلاترز للمحاماة، إلى تغيير من شأنه أن يحد من الطرح الأولي للعملة لمدة ستة أشهر لإنهاء تحقيقات الغرامات. واقترح أن هذا يمكن أن يعالج مشكلة تحقيقات طرح العملة الأولية (ICO) التي تستمر لسنوات.

إشعارات الخصوصية

كما قام جون بينز، أحد كبار المتخصصين في حماية البيانات في شركة المحاماة Mishcon de Reya، بتسليط الضوء أيضًا على أول خطوة للحكومة الجديدة في إصلاح القانون العام لحماية البيانات (GDPR)، حيث سلط الضوء على التغييرات المخطط لها على إشعارات الخصوصية التي قد تكون مثيرة للجدل.

وقال في منشور بالمدونة: “يقترح مشروع قانون DUA أن الالتزام بإعطاء إشعار الخصوصية لأصحاب البيانات الذين يتم جمع البيانات منهم مباشرة لن ينطبق إلى الحد الذي يكون فيه تقديم ذلك” مستحيلًا أو قد ينطوي على جهد غير متناسب “. وأشار إلى أن بعض الأمثلة الواردة في مشروع القانون تشمل “عدد موضوعات البيانات وعمر البيانات الشخصية وأي ضمانات مناسبة مطبقة على المعالجة”.

“تم اقتراح صياغة مماثلة لحالة المادة 14 حيث يتم جمع البيانات الشخصية ولكن ليس مباشرة من صاحب البيانات. يبدو من المحتمل أنه إذا تم سن هذه البنود، فسيتم تقليل التزام مراقبي البيانات بإخطار أصحاب البيانات بالمعالجة بشكل كبير. وفي المقابل، من المرجح أن تكون هذه البنود مثيرة للجدل إلى حد كبير، وتخضع للنقاش البرلماني”.

لوائح الموافقة على البيانات

يقترح مشروع القانون أيضًا تعديلات على لوائح الخصوصية والاتصالات الإلكترونية (PECR)، التي تنظم الاتصالات التسويقية وقضايا مثل طلب الموافقة على ملفات تعريف الارتباط.

قال كومبلي من Linklater لـ TechCrunch: “من الواضح أن تتبع البكسل وبصمة الجهاز يتم وضعهما على قدم المساواة مع ملفات تعريف الارتباط، مما يحد من ثغرة ملحوظة يستخدمها المسوقون عبر الإنترنت على نطاق واسع لتجنب قواعد ملفات تعريف الارتباط”.

في منشوره على مدونته، أشار بينز من ميشكون دي ريا إلى عودة ظهور اقتراح الحكومة السابقة بالسماح باستخدام ملفات تعريف الارتباط للطرف الأول (وتقنية التتبع المماثلة) لتحليلات مواقع الويب دون الحاجة إلى موافقة المستخدمين. وأشار أيضًا إلى إحياء اقتراح لزيادة الغرامة المحتملة لانتهاكات PECR إلى مستويات القانون العام لحماية البيانات في المملكة المتحدة (المعروف أيضًا باسم 17.5 مليون جنيه إسترليني للانتهاكات الأكثر خطورة).

وأشار بينز أيضًا إلى تغيير آخر يمكن أن يساعد الطرح الأولي للعملة في اتخاذ إجراءات صارمة ضد مرسلي البريد العشوائي المضاربي. سيسمح مشروع القانون باعتبار البريد العشوائي الذي لم يتلقه أي شخص بمثابة اتصالات مسيئة، وبالتالي سيكون قابلاً للتنفيذ ضده.