أبطل حكم محكمة العدل الأوروبية الصادر في 16 يوليو 2020 في قضية Schrems II اتفاق Privacy Shield بين الاتحاد الأوروبي والولايات المتحدة، وأوضح أن البنود التعاقدية القياسية، وإن ظلّت صالحة من حيث المبدأ، لا يمكن الاعتماد عليها إذا كان قانون بلد الوجهة يقوّض الحماية التي توفّرها. ويجب على المتحكمين والمعالجين إجراء تقييم أثر النقل (TIA) لكل عملية نقل.

تحدّد توصيات EDPB رقم 01/2020 منهجية من ست خطوات. وإذا أُحسن إعداده، يوثّق تقييم TIA عملية النقل، والنظام القانوني في بلد الوجهة، والتدابير التكميلية المطبَّقة، واستنتاجكم — على نحو يمكن الدفاع عنه عند التدقيق. وإذا أُسيء إعداده، يصبح تمرينًا شكليًا ينهار تحت ضغط الإنفاذ.

أعاد إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة (DPF) لعام 2023 الكفاية بالنسبة لعمليات النقل إلى المستوردين الأمريكيين المعتمدين. لكنه لا يغطي جميع عمليات النقل، وقابل لإعادة الطعن (رُفعت قضية Schrems III)، وما زالت معظم عمليات النقل غير الأمريكية تعتمد على SCCs التي تتطلب تقييم TIA.

أسقطت القضية (C-311/18) اتفاق Privacy Shield ووضعت مستخدمي SCC على إشعار. وقضت محكمة العدل الأوروبية بما يلي:

• تظل SCCs صالحة بوصفها أداة نقل.
• لكن — يجب على المتحكمين أن يتحققوا، قبل النقل، من أن قوانين بلد الوجهة توفّر حماية مكافئة جوهريًا.
• حيثما يقوّض قانون الدولة الثالثة (بما في ذلك تحديدًا المراقبة الأمريكية بموجب القسم 702 من FISA والأمر التنفيذي 12333) هذا التكافؤ، يجب تطبيق تدابير تكميلية لاستعادته.
• إذا لم تُعِد أي تدابير التكافؤ، يجب تعليق عملية النقل.

عمليًا: لا تكفي SCCs وحدها. فتقييم TIA هو الدليل الموثَّق على أنكم أدّيتم العمل المطلوب.

1. اعرفوا عمليات النقل لديكم. ارسموا كل عملية نقل للبيانات الشخصية خارج المنطقة الاقتصادية الأوروبية — بما في ذلك الوصول عن بُعد من خارجها.
2. حدّدوا آلية النقل. SCCs أو BCRs أو الاستثناءات أو قرار الكفاية.
3. قيّموا قانون الدولة الثالثة وممارستها — هل يوفّر حماية مكافئة جوهريًا؟
4. حدّدوا التدابير التكميلية — التقنية والتعاقدية والتنظيمية.
5. اتخذوا الخطوات الإجرائية التي تتطلبها التدابير المختارة.
6. أعيدوا التقييم على فترات مناسبة أو عند تغيّر الظروف.

لا يمكنكم إجراء TIA لما لا تعرفون به. اجردوا:

• جميع المعالجين والمعالجين الفرعيين خارج المنطقة الاقتصادية الأوروبية.
• الوصول عن بُعد من قبل مهندسي الدعم من خارج المنطقة الاقتصادية الأوروبية (يُعَد ذلك نقلًا).
• مناطق السحابة التي تستضيف بياناتكم — بما في ذلك مواقع النسخ المتماثل والنسخ الاحتياطي.
• عمليات النقل اللاحقة التي يجريها معالجوكم.

استخدموا سجل ROPA وفق المادة 30 كنقطة بداية لكن تحققوا منه مقابل البنية التحتية الفعلية. كثيرًا ما يجري مزودو السحابة النسخ المتماثل أو التحويل الاحتياطي إلى مناطق خارج المنطقة الاقتصادية الأوروبية افتراضيًا — ويُحتسب ذلك نقلًا.

• قرار الكفاية (المادة 45) — لا يتطلب TIA. الكفاية الحالية: أندورا، الأرجنتين، كندا (المؤسسات التجارية)، جزر فارو، غيرنزي، إسرائيل، جزيرة مان، اليابان، جيرزي، نيوزيلندا، جمهورية كوريا، سويسرا، المملكة المتحدة، أوروغواي، الولايات المتحدة (بموجب DPF). ويظل من المفيد توثيق الكفاية المعتمد عليها.
• SCCs (المادة 46(2)(c)) — الوحدة 1 (من متحكم إلى متحكم)، الوحدة 2 (من متحكم إلى معالج)، الوحدة 3 (من معالج إلى معالج)، الوحدة 4 (من معالج إلى متحكم). الأكثر شيوعًا هي الوحدة 2. يتطلب TIA.
• BCRs (المادة 47) — عمليات النقل داخل المجموعة بموجب القواعد المؤسسية المُلزِمة المعتمدة. ولا يزال يُوصى بإجراء TIA للوجهات خارج المنطقة الاقتصادية الأوروبية.
• الاستثناءات (المادة 49) — الموافقة الصريحة، وأداء العقد، والمصالح الحيوية، والمصلحة العامة المهمة. للاستخدام الضيق والاستثنائي فقط.
• UK IDTA / الملحق البريطاني — تستخدم عمليات النقل البريطانية اتفاقية IDTA أو الملحق البريطاني لـ EU SCCs.

جوهر تقييم TIA. لكل بلد وجهة، قيّموا:

• قوانين المراقبة وممارستها. وصول الحكومة إلى البيانات التي تحتفظ بها الشركات الخاصة — النطاق، والرقابة، والتناسب، والانتصاف القضائي.
• حقوق أصحاب البيانات من المقيمين في المنطقة الاقتصادية الأوروبية في بلد الوجهة — هل هي ذات مغزى وقابلة للإنفاذ؟
• استقلالية السلطات الإشرافية.
• مؤشرات سيادة القانون — استقلال القضاء، والشفافية.
• صلاحيات وصول محددة للسلطات العامة تستهدف نوع البيانات الجاري نقلها وقطاع المستورد.

تحدّد توصية EDPB رقم 02/2020 إطار "الضمانات الأساسية". وبالنسبة لعمليات النقل الأمريكية، يُعَد القسم 702 من FISA والأمر التنفيذي 12333 الشاغل الرئيسي. وبالنسبة لغير الأمريكية: قيّموا قوانين البلد على وجه التحديد — فكثير من تقييمات TIA تعتمد افتراضيًا على وصف عام بأن البلد "كافٍ" دون فحص، وهو بالضبط ما تشير إليه الجهات التنظيمية.

ثلاث فئات. طبّقوا كلًا منها مجتمعةً:

4.1 التدابير التقنية

• التشفير — تشفير قوي بمفاتيح يُحتفظ بها حصريًا داخل المنطقة الاقتصادية الأوروبية (أو في بلدان تتمتع بالكفاية). ويجب ألا يملك المستورد أي وصول إلى البيانات بعد فك تشفيرها.
• إخفاء الهوية المستعار — حيث لا يستطيع المستورد إعادة تحديد الهوية دون معلومات يُحتفظ بها داخل المنطقة الاقتصادية الأوروبية.
• المعالجة المجزّأة — التقسيم بحيث لا يرى المستورد مجموعة البيانات الكاملة أبدًا.
• الحوسبة متعددة الأطراف، والجيوب الآمنة، والحوسبة السرية — تقنيات ناشئة حيثما انطبقت.

4.2 التدابير التعاقدية

• حقوق التدقيق، والتزامات الشفافية بشأن طلبات وصول الحكومة، والالتزام بالطعن في طلبات الوصول، والالتزام بإبلاغ أصحاب البيانات، والتعويض عن الإفصاح غير المشروع.
• يتضمن الملحق الثاني من الوحدة 2 من SCC العديد من هذه الأمور بالفعل — عزّزوها حيثما كانت غير كافية.

4.3 التدابير التنظيمية

• سياسات داخلية تحظر الإفصاح الطوعي للسلطات.
• تدريب الموظفين على التعامل مع وصول الحكومة.
• إجراءات موثقة للتعامل مع طلبات الوصول.
• تقارير الشفافية.
• ضوابط وصول صارمة تحدّ من مَن يطّلع على ماذا في بلد الوجهة.

• نفّذوا SCCs رسميًا (والملحق البريطاني حيثما انطبق).
• وثّقوا تقييم TIA — مكتوبًا ومؤرّخًا وموقّعًا من أصحاب المصلحة.
• حدّثوا إشعارات الخصوصية لإبلاغ أصحاب البيانات بعملية النقل.
• حدّثوا بنود سجل ROPA وفق المادة 30.
• حيثما تُستخدم استثناءات المادة 49، وثّقوا الأساس الصريح واحرصوا على ألا تكون عمليات النقل متكررة.
• إذا خلص التقييم إلى عدم وجود تدابير تكميلية تستعيد التكافؤ الجوهري، فعلّقوا عملية النقل أو أبلغوا السلطة الإشرافية.

مسبّبات إعادة التقييم:

• تغيّر جوهري في قانون بلد الوجهة أو ممارسته.
• إرشادات جديدة من السلطة الإشرافية أو حكم قضائي يؤثر على التقييم.
• تغيّر المستورد، أو المعالج الفرعي، أو نطاق المعالجة.
• إضافة فئات بيانات جديدة إلى عملية النقل.
• مراجعة سنوية كإيقاع افتراضي.

في 10 يوليو 2023، اعتمدت المفوضية الأوروبية قرار كفاية لإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة (DPF). وبالنسبة لعمليات النقل إلى الشركات الأمريكية المعتمدة بموجب DPF، يماثل الأثر القانوني قرار كفاية كامل — لا SCCs ولا TIA مطلوب لعملية النقل المعتمدة بموجب DPF.

• من يمكنه استخدامه: الشركات الأمريكية المعتمدة بموجب برنامج DPF التابع لوزارة التجارة.
• ما يغطيه: عملية النقل إلى ذلك المستورد المعتمد تحديدًا.
• ما لا يغطيه: المعالجون الفرعيون غير المعتمدين أيضًا؛ وعمليات النقل اللاحقة؛ وعمليات النقل إلى شركات غير معتمدة.
• المخاطر: رُفعت قضية Schrems III (القضية C-446/23) في عام 2023 طعنًا في كفاية DPF. ويحافظ معظم الممارسين على SCCs بالتوازي كإجراء احترازي مزدوج تحسبًا لإبطال الكفاية.

نصيحة عملية: حيثما يكون المستورد الأمريكي معتمدًا بموجب DPF، اعتمدوا على كفاية DPF لتلك العملية لكن أبقوا SCCs منفّذة في الخلفية وأجروا تقييمات TIA على أي حال كإجراء استشرافي.

• قرارات Google Analytics (سلطة حماية البيانات النمساوية 2021، CNIL الفرنسية 2022، Garante الإيطالية 2022) — وجدت أن استخدام Google Analytics المتضمّن لعمليات نقل أمريكية غير مشروع في غياب التدابير التكميلية.
• Meta / Facebook (لجنة حماية البيانات الأيرلندية 2023) — غرامة قدرها 1.2 مليار يورو لنقل بيانات مستخدمي الاتحاد الأوروبي إلى الولايات المتحدة بموجب SCCs دون ضمانات كافية.
• سلطة حماية البيانات النرويجية — TikTok (2023) — استنتاج مبدئي بعدم مشروعية النقل.
• شكاوى متعددة بقيادة NOYB — ضغط مستمر عبر عمليات نقل التحليلات المدفوعة بملفات تعريف الارتباط.