لماذا ينطبق GDPR على موقعك
يتبع GDPR الزائر لا الشركة. فإذا كنت تقدّم سلعًا أو خدمات لأشخاص في الاتحاد الأوروبي، أو تراقب سلوكهم، فإن حقوقهم في حماية البيانات تنطبق عليك بصرف النظر عن مكان تسجيل شركتك. ومجرد نموذج اتصال يجمع بريدًا إلكترونيًا يُعدّ بالفعل معالجة لبيانات شخصية.
من الذي يجب عليه الامتثال فعلًا، واقعيًا
الحد أدنى أقل مما تتوقّعه شركات كثيرة خارج أوروبا. لا تحتاج إلى مكتب فعلي في الاتحاد الأوروبي؛ يكفي موقع يقبل طلبات أو عروض أسعار أو استفسارات من مشترين أوروبيين. ولا يُعفى موقع B2B لأنه موجه للشركات. فعناوين البريد الإلكتروني لأشخاص بأسمائهم، وعناوين IP المخزّنة في التحليلات، ومعرّفات الكوكيز، كلها تُعدّ بيانات شخصية، وكلٌّ منها يحمل التزاماته.
القائمة المرجعية
يجب جمع الموافقة قبل تثبيت ملفات تعريف الارتباط غير الضرورية، ويجب أن يكون الرفض بسهولة القبول. ويجب أن تسمّي سياسة الخصوصية البيانات التي تجمعها والأساس القانوني لكل فئة ومدة الاحتفاظ والجهات المستقبِلة. ويلزم إدراج كل أداة تحليلات وإعلانات في الصفحة، بما فيها تلك التي أضافها زميل من التسويق الشهر الماضي. وتحتاج نماذج الاتصال غرضًا معلنًا ومدة احتفاظ. ويجب أن تكون قادرًا على إثبات كل ذلك لا مجرد ادعائه.
الموافقة قبل كوكيز الطرف الثالث
لا يجوز تحميل أي كوكي أو نص تتبّع ليس ضروريًا بصرامة للخدمة التي طلبها المستخدم، قبل موافقة صريحة. ومعنى ذلك أن التحليلات ووحدات الإعلانات والفيديوهات المضمّنة وودجات التواصل الاجتماعي تظل خاملة حتى يوافق الزائر. ويجب أن يكون خيار الرفض ظاهرًا وسهلاً بقدر زر القبول؛ وإخفاؤه في شاشة إعدادات هو بالضبط الخلل الذي تستهدفه الجهات الرقابية.
سياسة خصوصية صادقة
سياسة الخصوصية ليست إجراءً شكليًا تنسخه من قالب في بلد آخر. بل يجب أن تخبر الزائر بلغة واضحة بالبيانات التي تجمعها، ولماذا، وعلى أي أساس قانوني، ولمدة، ومن يراها سواه. والعبارات الغامضة مثل «قد نستخدم بياناتك لتحسين خدماتنا» لا تفي بالشفافية؛ الأسماء والتفاصيل هي ما يفي بها.
كل أداة تتبّع مُدرَجة ومُبرَّرة
دقّق الصفحة كما يراها الزائر في أدوات مطوّر المتصفح. وكل نص يُسقط كوكيًا أو يرسل بيانات إلى طرف ثالث يجب أن يُسجَّل في سجلاتك وفي سياستك. فوحدات التسويق، وأدوات المحادثة، وخرائط الحرارة، والتقويمات المضمّنة، كلها أدوات تتبّع، وكل واحدة تحتاج غرضًا معلنًا. والخلل الشائع هو الأداة التي أضافها أحد بهدوء دون أن يوثّقها أحد.
نماذج اتصال بغرض ومدة احتفاظ
يجب أن يجمع كل حقل في النموذج البيانات التي يحتاجها الغرض فقط. فمربع «رسالة» عام لا يحتاج إلى رقم تسجيل الشركة. وبجوار كل نموذج، اذكر الغرض من البيانات والمدة التي تُحفظ فيها قبل الحذف. والمربع المحدد مسبقًا لإضافة الزائر إلى قائمة بريدية ليس موافقة صحيحة؛ بل يجب أن يكون الفعل إيجابيًا ومستقلاً.
الأخطاء الشائعة
أكثر المخالفات شيوعًا التي نراها هي أشرطة كوكيز يختبئ فيها زر الرفض في طبقة ثانية، وسياسات خصوصية منسوخة من ولاية قضائية غير ذات صلة، ونصوص خارجية تعمل قبل أخذ الموافقة، وانعدام أي سجل لوقت الحصول على الموافقة أو سحبها. كل ذلك سهل التصحيح، لكن بشرط أن يكون أحد قد نظر إليه فعلًا.
زر الرفض المخفي
أكثر مخالفة يُستشهد بها هي شريط يعرض زرًا كبيرًا «اقبل الكل» ويدفن «ارفض الكل» خلف شاشة ثانية أو قائمة إعدادات. وتعامل الجهات الرقابية في كل أوروبا مع هذا باعتباره موافقة باطلة عن قصد التصميم. والحل رخيص: ضع الزرين جنبًا إلى جنب في الشاشة الأولى، بوزن بصري متساوٍ.
نصوص تعمل قبل الموافقة
قد يبدو الموقع ممتثلاً - الشريط موجود، والسياسة مكتوبة- ومع ذلك يرسل بيانات التحليلات والإعلانات فور تحميل الصفحة، قبل أن ينقر الزائر على شيء. يحدث هذا عندما تُحمَّل النصوص في كود الصفحة بدل أن تُضبط خلف منصة إدارة الموافقة. وهو من أكثر النتائج التقنية شيوعًا في التدقيقات، ومن أسهلها تصحيحًا.
كيف تُثبت الامتثال، لا تدّعيه فحسب
لائحة GDPR قابلة للإنفاذ، والتطبيق يطلب الدليل بشكل متزايد. احتفظ بسجل يوضح متى منح كل زائر موافقته، وأي نسخة من الشريط رأى، ومتى سحبها. وحافظ على قائمة بسيطة بمعالجي البيانات الذين تشاركهم بياناتك: مزودي التحليلات، وأنظمة إدارة العملاء، وشركات الاستضافة. فإن سأل جهة رقابية أو عميل، ينبغي أن تستطيع إخراج ذلك خلال ساعات لا أسابيع.
الأسئلة الشائعة
أكثر الأسئلة التي نسمعها من قادة التسويق وتقنية المعلومات في B2B حول امتثال المواقع.
نحن مسجَّلون خارج الاتحاد الأوروبي، هل ينطبق GDPR علينا؟
غالبًا نعم. فاللائحة تنطبق على كل من يقدّم سلعًا أو خدمات لأشخاص في الاتحاد الأوروبي، أو يراقب سلوكهم، بصرف النظر عن مكان الشركة. ونموذج اتصال يقبل استفسارات من مشترٍ ألماني أو فرنسي يضعك أصلًا ضمن النطاق. تعامل مع GDPR كخط الأساس لأي موقع له زوار أوروبيون، حتى لو كان مكتبك في قارة أخرى.
هل يحتاج موقع B2B صغير فعلًا كل هذا؟
التزاماتك تتدرّج مع حجم معالجتك، لكن الأساسيات لا تختفي عند أي حجم شركة. فإن كان لديك نموذج اتصال، وأداة تحليلات، وشريط كوكيز، فأنت أصلًا تحت القواعد. والخبر الجيد أن الموقع البسيط عادةً ما تكتمل قائمته الكاملة في أيام قليلة، لا في مشروع يمتد ربع سنة.
كم مرة يجب مراجعة امتثال الموقع؟
سنويًا على الأقل، وفي كل مرة تضيف فيها أداة جديدة، أو تغيّر سياسة الخصوصية، أو تطلق إعادة تصميم كبرى. والسبب الأكثر شيوعًا لانحراف الامتثال هو أداة تسويق جديدة تُضاف بين المراجعات، ولهذا ينبغي أن يكون تدقيق أدوات التتبّع جزءًا من كل إطلاق، لا تمرينًا لمرة واحدة.
الخاتمة
هذا المقال إرشاد عملي وليس مشورة قانونية، وتلتزاماتك تعتمد على معالجتك الخاصة. وما نستطيع تقديمه هو ضمان تنفيذ الجانب التقني — إدارة الموافقة، وضبط تشغيل النصوص، وترتيب خريطة البيانات — تنفيذًا صحيحًا، ليجد مستشارك القانوني أساسًا متينًا يراجعه.