كثيراً ما يطرح المشتري الجديد على الإمارات سؤالاً وجيهاً لا إجابة بسيطة له: ما قانون حماية البيانات هنا. والرد الصادق أنه يتوقف على مكان جلوس العمل في البلاد، لأن الإمارات تدير منظومة اتحادية إلى جانب منطقتين ماليتين حرتين تديران منظومتيهما. وبالنسبة إلى ارتباط تعهيد، فمعرفة أيها ينطبق ليست حاشية قانونية، بل تشكّل أين يمكن تسليم العمل، وكيف يجب التعامل معه، وعمّاذا أنت مسؤول.
هذه ليست مشورة قانونية، وأي ارتباط بعينه ينبغي أن يراجعه مستشار مؤهل. وما يلي هو الخريطة التشغيلية التي يحتاجها المشتري ليطرح الأسئلة الصحيحة.
ثلاث منظومات لا واحدة
المنظومة الاتحادية هي قانون حماية البيانات الشخصية، ويُختصر عادةً إلى PDPL. إنه الإطار العام لحماية البيانات في الإمارات وينطبق على نطاق واسع في البر الرئيس. وبشكله سيبدو مألوفاً لكل من عمل مع قانون حماية البيانات الحديث: أساس مشروع للمعالجة، وحقوق محددة للفرد، والتزامات على المتحكمين والمعالجين، وتوقعات بشأن الأمن ونقل البيانات عبر الحدود.
وللمنطقتين الماليتين الحرتين منظومة خاصة بكل منهما. فمركز دبي المالي العالمي، DIFC، يدير قانونه الخاص لحماية البيانات بمفوضه الخاص. وسوق أبوظبي العالمي، ADGM، يفعل الأمر نفسه. وليست هاتان نسختين أخف من القانون الاتحادي، بل إطاران متمايزان، مصوغان بدقة على المعايير الدولية، والكيان المرخص في DIFC أو ADGM يخضع لمنظومة تلك المنطقة بشأن البيانات المعنية بدل الخضوع لـ PDPL الاتحادي.
والنتيجة العملية أن سؤالاً واحداً، أي القواعد تنطبق، يُجاب عنه بمكان ترخيص نظيرك ومكان جلوس البيانات. فمدير ثروات مرخص في DIFC، وتاجر تجزئة في البر الرئيس، وصندوق قائم في ADGM، يعملون تحت ثلاثة مراجع مختلفة، وارتباط التعهيد يجب أن يُبنى على المرجع الصحيح.
لماذا يحدد هذا موقع التسليم
بالنسبة إلى مشتري التعهيد، الأثر المباشر هو على أين يمكن تسليم العمل. فمتطلبات إقامة البيانات والرقابة القطاعية تعني أن مجموعة متنامية من العمليات لا يمكن ببساطة نقلها إلى الخارج. فالبت في جرائم المال، وخدمات المواطنين، والمعلومات الصحية، وكل ما سيفتشه مشرف، بات لزاماً بصورة متزايدة أن يجلس محلياً، حاضراً مادياً وقابلاً للتدقيق بمعيار المنظومة التي تحكمه.
وهذا جزء كبير من سبب وجود التسليم المحلي في الإمارات صناعةً أصلاً. إنه ليس علاوة لذاتها، بل الجواب على قيد تنظيمي، والمزود الذي لا يستطيع أن يتحدث بدقة عن أي منظومة تحكم بياناتك، وأن يسلّم وفقاً لذلك، ليس جاهزاً للعمل.
عمّاذا يكون المشتري مسؤولاً
تعهيد عملية لا يعهّد المسؤولية. فتحت كل من هذه المنظومات تحمل المؤسسة التي تقرر لماذا وكيف تُعالَج البيانات الشخصية التزامات لا يبرئها ترتيب مع مورّد. وهذا يضع مجموعة من التوقعات على المشتري تستحق التسمية.
تحتاج إلى أساس مكتوب للمعالجة التي يؤديها مزودك. وتحتاج إلى معرفة أين تقيم البيانات مادياً وما إذا كان أي منها يعبر حداً، لأن النقل عبر الحدود محكوم تحت كل منظومة. وتحتاج إلى أن يكون تعامل المزود موثقاً وقابلاً للتدقيق، مع حفظ السجلات وفق الجدول الذي تتطلبه المنظومة المعنية وقطاعك أنت. وتحتاج إلى أن تكون حقوق الفرد، من الاطلاع والتصحيح وسواهما، قابلة للتشغيل عبر المزود لا معطّلة به.
المزود الجاد يبني إلى هذه تلقائياً. سير عمل موثق، ومسارات تدقيق كاملة، واحتفاظ محدد، وتدريب على معالجة البيانات مربوط بالمنظومة الحاكمة، والقدرة على دعم طلب صاحب البيانات بدل إعاقته. وليست هذه ميزات فاخرة، بل الحد الأدنى للتعامل مع بيانات إماراتية خاضعة للتنظيم، وغيابها مُسقِط للأهلية.
السؤال الذي يفرق بين المزودين
حين تقيّم شريكاً، السؤال الكاشف ليس هل تمتثل. الجميع يقول نعم. بل: أي منظومة تحكم البيانات في هذا الارتباط، وأرني كيف بُني تسليمك عليها. المزود الذي يجيب بالإطار المحدد، PDPL أو DIFC أو ADGM، ويستطيع أن يأخذك عبر الإقامة والاحتفاظ والتدقيق وحقوق صاحب البيانات مقابله، يفهم البيئة. أما المزود الذي يجيب بضمان عام فلا يفهمها، والضمان العام هو بالضبط ما يخفق في مراجعة رقابية.
منظومات الإمارات المتداخلة تبدو تعقيداً، وهي كذلك. لكنها أيضاً سبب بناء المنطقة صناعة تسليم محلية موثوقة بدل بقائها مكاناً يُرسَل منه العمل فقط. فالقواعد تقتضي بقاء العمل قريباً، ومعالَجاً بصورة سليمة، وموثقاً بالأدلة. وهذا قيد يستحق أن يُلبَّى بدقة، لأن تلبيته هي ما يتيح أن يُنجَز العمل هنا أصلاً.