لا شك أنك واجهت التنبيه الذي يظهر أسفل الموقع أو أعلاه عند دخولك إليه: «يستخدم هذا الموقع ملفات تعريف الارتباط...». فما هي هذه الملفات؟ ولماذا تذكّرنا المواقع بها باستمرار؟ وما الالتزامات الواقعة عليك بصفتك مالكًا لموقع؟
ما هو ملف تعريف الارتباط؟
ملفات تعريف الارتباط هي ملفات نصية صغيرة تُحفظ في حاسوبك أو هاتفك عند زيارتك موقعًا إلكترونيًا. وتتيح هذه الملفات للموقع أن يتذكّرك. فمثلًا في موقع تجارة إلكترونية، حين تضيف منتجًا إلى سلتك ثم تغلق الصفحة وتجده في اليوم التالي لا يزال في السلة، فذلك بفضل هذه الملفات.
وتنقسم هذه الملفات بحسب مدة حفظها إلى ملفات الجلسة (تُحذف عند إغلاق المتصفح) وملفات دائمة (تبقى في الجهاز طوال مدة محددة)؛ وبحسب مصدرها إلى ملفات الطرف الأول التي يضعها الموقع نفسه، وملفات الطرف الثالث التي تضعها جهات أخرى كشبكات الإعلانات.
أي الملفات يستلزم موافقة صريحة؟
لا تخضع جميع ملفات تعريف الارتباط للنظام القانوني نفسه. ويُبنى التمييز على وظيفة الملف:
- الملفات الضرورية (التقنية): وهي التي لا غنى عنها لتقديم الخدمة، كتشغيل الموقع وأمن الجلسة وحفظ السلة. ولا يلزم أخذ موافقة صريحة مستقلة بشأنها؛ غير أنه يجب مع ذلك بيانها في سياسة ملفات تعريف الارتباط.
- ملفات الوظائف والتفضيلات: تتذكّر تفضيلات اللغة أو المنطقة أو العرض. وتستلزم الموافقة بقدر ما لا تكون ضرورية لتقديم الخدمة.
- ملفات التحليل والأداء: تقيس سلوك الزائر. وتخضع للموافقة بقدر ما تجعل المستخدم قابلًا للتحديد.
- ملفات الإعلان والتسويق: تُستخدم لأغراض التنميط والإعلان الموجَّه. ويجب حتمًا أخذ موافقة صريحة بشأن هذه الملفات.
الأساس القانوني
لا يقتصر الإطار القانوني لممارسات ملفات تعريف الارتباط على نص واحد. ففي تركيا تُطبَّق معًا أحكامُ القانون رقم 6698 بشأن حماية البيانات الشخصية المتعلقة بشروط معالجة البيانات وواجب الإعلام وأمن البيانات، والأحكامُ ذات الصلة من القانون رقم 5809 بشأن الاتصالات الإلكترونية. كما أصدر مجلس حماية البيانات الشخصية دليلًا مستقلًا بشأن ممارسات ملفات تعريف الارتباط، مؤكدًا وجوب عدم وضع هذه الملفات قبل الحصول على الموافقة.
كيف تكون الموافقة صحيحة؟
وضع شريط على الشاشة كُتب فيه «باستمرارك في استخدام الموقع تُعدّ موافقًا على ملفات تعريف الارتباط» لا يشكّل بذاته موافقة صحيحة. ولكي تُعدّ الموافقة صحيحة قانونًا يجب أن تكون:
- مأخوذة مسبقًا. فلا يجوز وضع الملفات غير الضرورية في الجهاز قبل أن يبدي المستخدم اختياره.
- مبنية على إعلام. إذ يجب أن يُبيَّن بلغة مفهومة أيُّ ملف يُستخدم ولأي غرض ولأي مدة ومع من تُشارَك البيانات.
- صادرة عن إرادة حرة. فيجب أن يكون الرفض بالسهولة نفسها التي عليها القبول وبالمستوى نفسه من إمكانية الوصول؛ والتصاميم التي لا تعرض سوى زر «قبول» إشكالية.
- غير مؤشَّرة مسبقًا. فخانات الموافقة التي تأتي مفعَّلة افتراضيًا لا تُعدّ موافقة صحيحة.
- قابلة للسحب. إذ يجب أن يتمكّن المستخدم من تغيير تفضيلاته بسهولة لاحقًا.
- منفصلة عن نص الإعلام. فالوفاء بواجب الإعلام لا يعني أن الموافقة الصريحة قد أُخذت؛ ويجب القيام بالإجراءين على حدة.
ماذا يجب أن تتضمّن سياسة ملفات تعريف الارتباط؟
- هوية المسؤول عن البيانات ومعلومات التواصل معه.
- قائمة بالملفات المستخدمة، مع نوع كل منها وغرضه ومدة حفظه.
- ملفات الطرف الثالث والجهات التي تعود إليها.
- ما إذا كانت البيانات تُنقل إلى خارج البلاد.
- حقوق المستخدم بموجب تشريعات حماية البيانات وسبيل ممارستها.
- كيفية تغيير تفضيلات ملفات تعريف الارتباط، مع بيان إعدادات المتصفح.
نتائج عدم الامتثال
في حال عدم الوفاء بواجب الإعلام، أو استخدام ملفات تستلزم موافقة صريحة دون أخذها، أو عدم اتخاذ تدابير أمن البيانات، يجوز لمجلس حماية البيانات الشخصية فرض غرامة إدارية. وللمجلس صلاحية فتح تحقيق بناءً على شكوى أو من تلقاء نفسه. وإلى جانب ذلك، لا ينبغي إغفال الضرر اللاحق بثقة المستخدمين وبسمعة العلامة التجارية.
إذا كان لديك موقع إلكتروني، فإن حصر الملفات التي تستخدمها، وإقامة نظام لإدارة الموافقات مضبوط الإعداد، وتوثيق ذلك بسياسة واضحة، هو الخطوة الأولى والأهم لجعل موقعك متوافقًا مع التشريعات. ولمّا كانت التزامات إضافية قد تنشأ بحسب أنواع البيانات التي يجمعها موقعك، فمن المناسب إجراء أعمال الامتثال بمرافقة مختص قانوني.