تداعيات اللائحة العامة لحماية البيانات على التعامل مع بيانات المراجعة

جدول المحتويات

1. التناقض بين الاحتفاظ والحذف 2. تقليل البيانات وتقييد الغرض في الميدان 3. الأساس القانوني: التزام أم مصلحة مشروعة 4. الفئات الخاصة التي تظهر بدون سابق إنذار 5. مثال عملي: مراجعة رواتب بتعقيد حقيقي 6. طلبات أصحاب البيانات أثناء المراجعة النشطة 7. المحتوى ذو الصلة

التناقض بين الاحتفاظ والحذف

يتطلب معيار المراجعة 230.A6 الاحتفاظ بملفات المراجعة لمدة لا تقل عن خمس سنوات. الغرض واضح: تمكين المراجع من تقديم أدلة كافية لدعم التقرير والامتثال لمعايير المراجعة. من وجهة نظري المتواضعة، هذا المتطلب هو ما يعقّد علاقة المراجعة بحماية البيانات أكثر من أي متطلب آخر.

المادة 5(1)(هـ) من GDPR تتطلب حذف البيانات الشخصية عندما لا تعود ضرورية. والمادة 17(3)(ب) تستثني الاحتفاظ اللازم للامتثال لالتزام قانوني. النتيجة: خلال فترة الاحتفاظ بموجب ISA 230، لا يمكنك حذف البيانات الشخصية من الملف حتى لو طلب صاحب البيانات ذلك.

لكن الحقيقة أن معظم المكاتب تحتفظ بالبيانات لفترات أطول من الحد القانوني. ليس لسبب تنظيمي، بل لأن لا أحد يملك نظام حذف آلي. الملفات تتراكم على الخوادم. بيانات شخصية لموظفين تركوا العمل قبل عقد تبقى في مجلدات مراجعة لم يفتحها أحد منذ ست سنوات. هذا ليس احتفاظاً بموجب ISA 230. هذا إهمال بموجب GDPR.

تقليل البيانات وتقييد الغرض في الميدان

تنص المادة 5(1)(ج) على أن البيانات الشخصية يجب أن تكون "كافية وذات صلة ومقتصرة على ما هو ضروري." في سياق المراجعة، يعني ذلك أن حجم العينة ليس قراراً إحصائياً فقط. هو أيضاً قرار حماية بيانات.

ما يحدث عملياً هو أن الفريق يطلب من العميل "ملفات الرواتب الكاملة" لأن ذلك أسهل من تحديد الحقول المطلوبة لكل هدف مراجعة. إذا كان ISA 530 يتطلب عينة من 25 معاملة لتحقيق مستوى تأكيد كافٍ، فإن طلب بيانات 80 موظفاً "احتياطاً" يخلق مشكلة قانونية. لا يمكنك الاستناد إلى المادة 6(1)(ج) كأساس قانوني لمعالجة بيانات لم تكن ضرورية لأهداف المراجعة.

من واقع خبرتنا، المكاتب التي تبني طلبات البيانات من خطة المراجعة (لا من قوالب السنة السابقة) تجمع بيانات شخصية أقل بنسبة تتراوح بين 30% و50%. وتحقق نفس مستوى التأكيد. الضغط الذي يمنع ذلك ليس تقنياً. هو ضغط الوقت: تصميم طلب بيانات مخصص يستغرق وقتاً أطول من نسخ طلب العام الماضي.

تقييد الغرض بموجب المادة 5(1)(ب) يفرض قيداً آخر لا ينتبه له كثيرون. البيانات الشخصية المجمعة أثناء اختبار الرواتب لا يمكن استخدامها لأغراض أخرى كالتحقق من الامتثال الضريبي أو تقييم أداء الموظفين. الاستثناء الوحيد يشمل المعالجة لأغراض الأرشفة للمصلحة العامة أو البحث العلمي بموجب نفس المادة، وهذا قد يغطي مراجعات الجودة الداخلية بشرط تطبيق ضمانات مناسبة.

الأساس القانوني: التزام أم مصلحة مشروعة

يتوقف تحديد الأساس القانوني على طبيعة المراجعة. المراجعة الإلزامية بموجب قانون الشركات تعتمد بوضوح على المادة 6(1)(ج) من GDPR: الامتثال لالتزام قانوني. لكن المراجعة الاختيارية أو خدمات التأكيد المحدود قد تحتاج الاعتماد على المادة 6(1)(و): المصلحة المشروعة.

هنا يبدأ الاختبار الصعب. المصلحة المشروعة تتطلب اختبار توازن: هل مصلحة المراجع أو الطرف الثالث تفوق مصالح صاحب البيانات الأساسية؟ هذا الاختبار يصبح أكثر تعقيداً عندما تتضمن البيانات فئات خاصة. في تطرف كبير مني أقول إن معظم المكاتب لا تجري هذا الاختبار أصلاً لخدماتها الاختيارية. تعتمد على المادة 6(1)(ج) كأساس شامل، وهذا لا يصمد أمام التدقيق التنظيمي عندما لا يوجد التزام قانوني فعلي بإجراء المراجعة.

يقول شريك إن الالتزام القانوني يغطي كل أنشطة المعالجة لأن عقد المراجعة ذاته التزام قانوني. يقول شريك آخر إن العقد يوفر أساساً بموجب المادة 6(1)(ب) فقط، وأن كل نشاط معالجة يحتاج تقييماً مستقلاً. الموقف الثاني أقوى قانونياً، لكنه يتطلب عملاً أكبر. وهنا تتدخل ضغوط الأتعاب: الوقت المطلوب لتوثيق الأساس القانوني لكل نشاط معالجة لا يظهر في ميزانية المهمة.

الفئات الخاصة التي تظهر بدون سابق إنذار

تحظر المادة 9(1) معالجة الفئات الخاصة من البيانات الشخصية: البيانات الصحية، والمعتقدات الدينية، والعضوية النقابية، والآراء السياسية. في المراجعة، تظهر هذه البيانات بدون تخطيط.

اختبار رواتب يكشف اقتطاعات نقابية. فحص معاملات المصروفات يظهر تبرعات خيرية (مؤشر محتمل على المعتقدات الدينية). مراجعة مزايا الموظفين تعرض بيانات التأمين الطبي. لم يطلب الفريق هذه البيانات. جاءت ضمن السجلات.

الاستثناء الأقرب للمراجعة يقع تحت المادة 9(2)(و): المعالجة ضرورية لإقامة الدعاوى القانونية أو ممارستها أو الدفاع عنها. هذا يمكن أن يبرر معالجة الفئات الخاصة عندما تكون ضرورية لإنتاج أدلة مراجعة موثوقة. لكنه يتطلب ضمانات إضافية في التعامل والتخزين، ويتطلب توثيقاً منفصلاً يبرر لماذا كان الوصول لهذه البيانات ضرورياً ولماذا لم يكن ممكناً تحقيق هدف المراجعة بدونها.

ما لا يدركه كثير من الفرق: مجرد وجود بيانات الفئات الخاصة في ملف المراجعة لا يبررها. يجب أن توثق أن الوصول إليها كان ضرورياً لهدف المراجعة المحدد، لا أنها "جاءت ضمن البيانات المطلوبة."

مثال عملي: مراجعة رواتب بتعقيد حقيقي

شركة المنار للخدمات اللوجستية ذ.م.م. في الرياض توظف 210 أشخاص بإجمالي مصروفات رواتب سنوية 12.6 مليون ريال. خطة المراجعة تتطلب عينة من 30 موظفاً لاختبار تأكيدات الرواتب.

يبدأ المراجع بتحديد الحقول المطلوبة لهدف المراجعة: رقم الموظف، الراتب الأساسي، ساعات العمل، الاقتطاعات الإلزامية. لا يطلب العنوان الشخصي أو رقم الهاتف أو الحالة الاجتماعية لأنها غير ضرورية لاختبار تأكيدات الرواتب. التوثيق: "البيانات مقتصرة على الحقول اللازمة لاختبار تأكيدات الاكتمال والدقة والتصنيف بموجب ISA 500.A5. حجم العينة 30 من أصل 210 يحقق مستوى تأكيد 95% بموجب ISA 530."

عند فحص السجلات، يظهر حقل "الاقتطاع النقابي" في 8 من أصل 30 سجلاً. هذه بيانات فئة خاصة بموجب المادة 9(1). التوثيق: "فئات خاصة محددة: اقتطاعات نقابية في 8 سجلات. المعالجة مبررة بموجب المادة 9(2)(و) لأن الاقتطاعات جزء من اختبار دقة إجمالي الرواتب. لم يكن ممكناً استبعاد هذا الحقل دون فقدان القدرة على مطابقة إجمالي الاقتطاعات."

ثم يحدث ما يحدث في كل مراجعة: يطلب العميل توضيحاً حول فرق بين كشف الرواتب الشهري وإجمالي الرواتب السنوي. لحل الفرق، يحتاج المراجع بيانات 15 موظفاً إضافياً لم يكونوا في العينة الأصلية. هنا تظهر المشكلة: هل الأساس القانوني الأصلي يغطي توسيع العينة؟ التوثيق: "توسيع العينة من 30 إلى 45 موظفاً مبرر بموجب ISA 500.9 لأن الأدلة الأولية لم تكن كافية لحسم فرق قدره 340,000 ريال. الحقول المطلوبة تبقى كما في العينة الأصلية."

هذا التعقيد الأخير هو ما يغيب عن معظم إجراءات الامتثال. إجراءات صورية تتعامل مع GDPR كخطوة أولية تنتهي عند التخطيط. لكن الالتزام الحقيقي يتطلب توثيقاً مستمراً كلما تغير نطاق البيانات المعالجة.

عند اكتمال المراجعة، يطبق المراجع جدول الاحتفاظ: البيانات تبقى لمدة 5 سنوات بموجب ISA 230، ثم تُحذف بشكل آمن. النقطة التي يغفلها الجميع: الحذف لا يعني حذف الملف الرئيسي فقط. يعني حذف النسخ الاحتياطية، والنسخ على الأجهزة المحمولة، والرسائل الإلكترونية التي أُرفقت بها المستندات. التوثيق: "تاريخ الحذف المجدول: مارس 2031. الحذف يشمل: الخادم المركزي، النسخ الاحتياطية، أجهزة الفريق، المرفقات البريدية."

طلبات أصحاب البيانات أثناء المراجعة النشطة

يُرسل موظف في شركة المنار طلب وصول بموجب المادة 15 من GDPR. يريد معرفة البيانات الشخصية المعالجة في ملف المراجعة. هذا الموقف يضع المراجع بين التزامين: التزام GDPR بالاستجابة خلال 30 يوماً، والتزام السرية المهنية تجاه العميل.

لكن الحقيقة أن المادة 17(3)(ب) لا تسمح بحذف البيانات أثناء فترة الاحتفاظ القانونية. يمكن للمراجع الرد بملخص يوضح: ما البيانات المعالجة، ولماذا، ولأي مدة. لا يحتاج لتسليم نسخة من أوراق العمل ذاتها لأن ذلك قد ينتهك سرية العميل.

من واقع خبرتنا، أخطر الأخطاء ليس رفض الطلب بل تجاهله. تجاهل طلب الوصول لمدة تتجاوز 30 يوماً يعرض المكتب لشكوى لدى هيئة حماية البيانات، بغض النظر عن مشروعية الاحتفاظ بالبيانات ذاتها.

الرؤية التي لا يذكرها النص القانوني: المكاتب التي تعد قالب استجابة مسبقاً (يوضح الأساس القانوني للاحتفاظ ونطاق البيانات المعالجة) تتعامل مع هذه الطلبات في أقل من ساعة. المكاتب التي تواجه الطلب لأول مرة تقضي أياماً في الاستشارات القانونية. الفرق ليس في المعرفة القانونية. الفرق في الاستعداد التشغيلي.

المحتوى ذو الصلة

- حقوق البيانات في المراجعة - تعريف حقوق أصحاب البيانات وتطبيقها على ملفات المراجعة النشطة.

- دليل الاحتفاظ بمستندات المراجعة - كيفية التوفيق بين متطلبات ISA 230 ومبادئ GDPR للاحتفاظ والحذف.

---