مقدمة

أصبحت البيانات من أهم الأصول التي تمتلكها المؤسسات غير الربحية. فهي لا تقتصر على الأرقام والإحصاءات، بل تشمل معلومات المستفيدين والمتبرعين والموظفين والمتطوعين والشركاء، إضافة إلى البيانات المالية والإدارية التي تعتمد عليها المؤسسة في التخطيط واتخاذ القرار وقياس الأثر.

ومع توسع الجمعيات في استخدام المنصات الإلكترونية، وأنظمة إدارة علاقات المتبرعين والمستفيدين، والتطبيقات، وأدوات جمع البيانات الميدانية، والخدمات السحابية، أصبحت المؤسسات تجمع وتعالج كميات أكبر من المعلومات بصورة يومية. ومع هذه الفرص، تتزايد المسؤولية عن حماية البيانات من الفقد أو التسرب أو الوصول غير المصرح به أو الاستخدام في غير الغرض الذي جُمعت من أجله.

ولا تتعلق حماية البيانات بالامتثال للأنظمة واللوائح فقط، بل ترتبط مباشرةً بالثقة وعدم الإضرار بالأشخاص.

فالمستفيد الذي يقدم معلومات عن وضعه الاجتماعي أو الصحي أو المالي يثق بأن هذه المعلومات لن تصبح مصدرًا للضرر أو الوصم أو الاستغلال. والمتبرع الذي يقدم بياناته الشخصية والمالية يتوقع أن تستخدمها المؤسسة بصورة مسؤولة وآمنة.

ولهذا، لم تعد حماية البيانات مسؤولية قسم تقنية المعلومات وحده، بل أصبحت مسؤولية مؤسسية تشمل مجلس الإدارة، والإدارة التنفيذية، والبرامج، والموارد البشرية، والتقنية، والموظفين والمتطوعين وكل من يتعامل مع المعلومات.

والمؤسسة الناضجة لا تنتظر وقوع تسرب للبيانات حتى تبدأ التفكير في الحماية، بل تسأل منذ تصميم البرنامج أو الخدمة:

ما البيانات التي نحتاج إليها؟ ولماذا؟ ومن سيصل إليها؟ وأين ستُحفظ؟ وكم سنحتفظ بها؟ وماذا يمكن أن يحدث للأشخاص إذا أسيء استخدامها؟

هذا التحول من حماية البيانات بعد جمعها إلى تصميم العمل من البداية على أساس الخصوصية والأمان هو جوهر المنظومة الحديثة لحماية البيانات.

ويستعرض هذا المقال المبادئ والإجراءات الأساسية التي تساعد الجمعيات على حماية بيانات المستفيدين والمتبرعين وإدارتها بصورة مسؤولة، مع المحافظة على قدرة المؤسسة على الاستفادة منها في تطوير البرامج واتخاذ القرار وقياس الأثر. ويطور بذلك الإطار الأساسي الوارد في المقال الأصلي حول دورة حياة البيانات والحوكمة والأمن والاستجابة للحوادث.

---

أولًا: ما المقصود بالبيانات الشخصية؟

البيانات الشخصية هي كل معلومة يمكن من خلالها التعرف على شخص بصورة مباشرة أو غير مباشرة، سواء كانت مكتوبة أو إلكترونية أو صوتية أو مرئية.

وفي بيئة الجمعيات، قد تشمل:

• الاسم ورقم الهوية أو الإقامة.
• رقم الهاتف والبريد الإلكتروني والعنوان.
• المعلومات المالية للمتبرعين.
• المعلومات الاجتماعية والاقتصادية للمستفيدين.
• الصور ومقاطع الفيديو.
• البيانات الصحية والتعليمية.
• سجلات التبرعات والمساهمات.
• بيانات الموقع عند جمعها.
• أي معلومات يمكن أن تحدد هوية الشخص عند ربطها بمعلومات أخرى.

ولا تتساوى جميع البيانات من حيث المخاطر.

فقد يؤدي كشف معلومات صحية أو مالية أو اجتماعية، أو بيانات طفل، أو شخص نازح، أو ناجٍ من العنف، أو شخص ينتمي إلى فئة معرضة للمخاطر، إلى أضرار أكبر بكثير من كشف معلومات عامة.

لذلك، هناك قاعدة بسيطة ينبغي أن تحكم طريقة تعامل المؤسسة مع البيانات:

كلما زاد الضرر المحتمل على الشخص في حال كشف بياناته أو إساءة استخدامها، وجب رفع مستوى الحماية المطبق عليها.

---

ثانيًا: لماذا أصبحت حماية البيانات أولوية استراتيجية؟

لم تعد حماية البيانات مجرد إجراء تقني لمنع الاختراقات الإلكترونية، بل أصبحت مؤشرًا على نضج المؤسسة وجودة حوكمتها وقدرتها على إدارة المخاطر.

وترجع أهميتها إلى عدة أسباب:

حماية أصحاب البيانات

المخاطر لا تقع على المؤسسة فقط. فقد يؤدي تسرب البيانات إلى ضرر مباشر على المستفيد أو المتبرع أو الموظف.

الحفاظ على الثقة

تقوم العلاقة بين الجمعية وأصحاب المصلحة على الثقة، وأي إخلال بسرية المعلومات قد يضعف استعداد الأفراد للتعامل معها مستقبلًا.

الامتثال

تخضع معالجة البيانات الشخصية لمتطلبات قانونية تختلف بحسب الدولة وطبيعة المؤسسة والبيانات والأشخاص المعنيين.

إدارة المخاطر

تساعد الضوابط المناسبة على الحد من التسرب والفقد والتعديل غير المصرح به وإساءة استخدام المعلومات.

تحسين جودة الإدارة

عندما تعرف المؤسسة ما البيانات التي تمتلكها، وأين توجد، ومن المسؤول عنها، تصبح المعلومات أكثر تنظيمًا وجودة وقابلية للاستخدام في اتخاذ القرار.

---

ثالثًا: حماية البيانات وأمن المعلومات... مفهومان متكاملان وليسا مترادفين

يُستخدم المصطلحان أحيانًا بالمعنى نفسه، لكن هناك فرقًا مهمًا بينهما.

حماية البيانات (Data Protection) تتعلق بكيفية جمع البيانات الشخصية واستخدامها ومشاركتها والاحتفاظ بها، واحترام حقوق أصحابها والمتطلبات القانونية المرتبطة بها.

أما أمن المعلومات (Information Security) فيركز على حماية المعلومات والأنظمة من الوصول غير المصرح به أو الفقد أو التعديل أو الاختراق.

وبالتالي، قد تمتلك المؤسسة نظامًا تقنيًا شديد الأمان، لكنها تظل تستخدم البيانات بطريقة غير مناسبة.

وقد تكون لديها سياسة خصوصية ممتازة، لكن أنظمتها التقنية ضعيفة.

المنظومة الناضجة تحتاج إلى الاثنين معًا:

استخدام مشروع ومسؤول للبيانات + حماية تقنية وتنظيمية مناسبة لها.

---

رابعًا: قبل جمع البيانات... لماذا نحتاج إليها أصلًا؟

من أهم التحولات في حماية البيانات أن السؤال لم يعد:

كيف نحمي كل البيانات التي جمعناها؟

بل يبدأ بسؤال أبكر:

هل نحتاج أصلًا إلى جمعها؟

ينبغي أن يكون لكل مجموعة من البيانات غرض واضح ومشروع، وأن تحدد المؤسسة الأساس النظامي المناسب لمعالجتها وفق التشريعات المطبقة عليها.

وقد تكون الموافقة أساسًا مناسبًا في بعض الحالات، بينما قد تستند معالجة أخرى إلى التزام قانوني، أو تقديم خدمة، أو تنفيذ اتفاق، أو أساس آخر يسمح به النظام المعمول به.

لذلك لا ينبغي التعامل مع عبارة "أوافق" في نموذج إلكتروني باعتبارها حلًا تلقائيًا لجميع عمليات معالجة البيانات.

والسؤال المؤسسي الأهم هو:

لماذا نحتاج هذه البيانات، وما الذي يسمح لنا بمعالجتها، وهل نستطيع تحقيق الغرض نفسه ببيانات أقل؟

---

خامسًا: حوكمة البيانات... من المسؤول عن ماذا؟

لا يكفي شراء أدوات أمنية لحماية البيانات، بل تحتاج الجمعية إلى إطار واضح لـ حوكمة البيانات (Data Governance) يحدد المسؤوليات والسياسات والإجراءات التي تنظم دورة حياة المعلومات.

ويشمل ذلك:

• تحديد المسؤوليات عن البيانات.
• ضمان جودتها ودقتها وتحديثها.
• تصنيفها بحسب حساسيتها.
• تحديد صلاحيات الوصول.
• تحديد قواعد المشاركة والاحتفاظ والإتلاف.
• مراقبة الالتزام.
• مراجعة الضوابط وتحسينها دوريًا.

ومن أفضل الخطوات العملية أن تبدأ المؤسسة بإنشاء سجل للبيانات وعمليات معالجتها.

وقد يكون في أبسط صوره جدولًا يجيب عن:

ماذا نملك؟	لماذا نجمعه؟	أين يوجد؟	من يصل إليه؟	مع من نشاركه؟	كم نحتفظ به؟
بيانات المستفيدين	تنفيذ البرنامج	نظام إدارة المستفيدين	فريق محدد	جهات محددة عند الحاجة	وفق سياسة الاحتفاظ
بيانات المتبرعين	إدارة التبرعات والتواصل	CRM	الموظفون المخولون	مزودو خدمات محددون	وفق الغرض والمتطلبات

الفكرة ليست في شكل الجدول، بل في قدرة المؤسسة على الإجابة عن سؤال بالغ الأهمية:

أين توجد بياناتنا ومن يستطيع الوصول إليها؟

---

سادسًا: دورة حياة البيانات... الحماية من الجمع حتى الإتلاف

تمر البيانات داخل المؤسسة بعدة مراحل، ولكل مرحلة مخاطرها وضوابطها. وقد تناول المقال الأصلي هذه الدورة من الجمع والاستخدام والمشاركة إلى التخزين والإتلاف.

1. الجمع

لا تجمع المؤسسة إلا البيانات اللازمة لغرض واضح، وتوضح للأفراد سبب جمعها وكيف ستستخدم.

2. الاستخدام

تستخدم البيانات للأغراض المحددة والمشروعة التي جُمعت من أجلها وفق الأساس والسياسات المعتمدة.

3. المشاركة

عند الحاجة إلى مشاركة البيانات، يكون المبدأ:

الغرض المحدد + الحد الأدنى من البيانات + الجهة المخولة + وسيلة مشاركة آمنة

4. التخزين

تحفظ المعلومات في بيئة مناسبة لمستوى حساسيتها، سواء كانت إلكترونية أو ورقية.

5. الاحتفاظ

لا ينبغي أن يعني توفر مساحة تخزين غير محدودة الاحتفاظ بالبيانات إلى الأبد.

تحتاج المؤسسة إلى Retention Schedule يحدد المدة المناسبة للاحتفاظ بأنواع السجلات المختلفة وفق المتطلبات القانونية والتعاقدية والتشغيلية.

6. الإتلاف

عند انتهاء الحاجة النظامية والتشغيلية للبيانات، يتم حذفها أو إتلافها بطريقة تقلل إمكانية استعادتها أو إساءة استخدامها.

---

سابعًا: Data Minimization وPrivacy by Design

يقوم مبدأ Data Minimization على جمع الحد الأدنى من البيانات الضرورية لتحقيق الغرض المحدد.

فإذا كان البرنامج يحتاج العمر، فهل يحتاج تاريخ الميلاد كاملًا؟

وإذا كان يحتاج معرفة المنطقة، فهل يحتاج العنوان التفصيلي؟

وإذا كانت التقارير تحتاج أرقامًا إجمالية، فهل تحتاج الجهة المستلمة إلى أسماء المستفيدين؟

هذه الأسئلة تقلل المخاطر قبل أن تبدأ.

ويأتي معها مفهوم Privacy by Design and by Default، أي إدخال الخصوصية في تصميم البرنامج والنظام والإجراء منذ البداية، وليس إضافتها لاحقًا.

وبالتالي، عند تصميم نموذج جديد أو منصة أو برنامج ميداني، ينبغي التفكير مسبقًا في:

الغرض → البيانات المطلوبة → المخاطر → الصلاحيات → المشاركة → مدة الاحتفاظ → الحذف

كل معلومة لا تجمعها المؤسسة أصلًا هي معلومة لن تحتاج إلى حمايتها لاحقًا.

---

ثامنًا: متى نحتاج إلى تقييم أعمق للمخاطر؟

بعض الأنشطة تحمل مخاطر أعلى من غيرها.

فعندما يتضمن مشروع جديد معالجة كمية كبيرة من البيانات الحساسة، أو استخدام تقنية جديدة، أو مراقبة منهجية للأشخاص، أو التعامل مع فئات معرضة للمخاطر، فقد يكون من المناسب أو المطلوب وفق النظام إجراء Data Protection Impact Assessment (DPIA) أو تقييم مماثل.

ولا يجب النظر إليه باعتباره وثيقة قانونية معقدة.

فجوهره مجموعة أسئلة عملية:

ما البيانات التي سنعالجها؟

↓

لماذا نحتاجها؟

↓

ما الذي يمكن أن يحدث إذا أسيء استخدامها؟

↓

من يمكن أن يتضرر؟

↓

كيف نقلل المخاطر قبل إطلاق المشروع؟

وبذلك تتحول الخصوصية من استجابة للمشكلة إلى جزء من إدارة مخاطر البرنامج.

---

تاسعًا: الشفافية وحقوق أصحاب البيانات

يجب أن يعرف الشخص بصورة واضحة ومفهومة:

• لماذا تجمع بياناته؟
• كيف ستستخدم؟
• من يستطيع الاطلاع عليها؟
• هل ستشارك مع جهات أخرى؟
• كم ستحتفظ المؤسسة بها؟
• كيف يمكنه التواصل مع المؤسسة بشأن بياناته؟
• وما الحقوق المتاحة له وفق الأنظمة المطبقة؟

وينبغي أن تقدم هذه المعلومات بلغة واضحة ومناسبة للجمهور، وليس في نص قانوني طويل يصعب فهمه.

كما ينبغي أن تمتلك المؤسسة إجراءً للتعامل مع الطلبات المتعلقة بالبيانات، مثل الوصول إليها أو تصحيحها أو حذفها عندما يكون ذلك حقًا متاحًا وفق القانون المطبق.

فالشفافية ليست مجرد صفحة Privacy Policy على الموقع؛ بل ممارسة تمتد إلى الطريقة التي تتعامل بها المؤسسة مع الشخص وبياناته.

---

عاشرًا: تصنيف البيانات... ليست كل الملفات متساوية

يمكن للجمعية تصنيف بياناتها وفق مستويات تناسب طبيعة عملها، مثل:

بيانات عامة
يمكن نشرها دون ضرر متوقع.

بيانات داخلية
مخصصة للاستخدام داخل المؤسسة.

بيانات سرية
قد يؤدي كشفها إلى ضرر للمؤسسة أو أصحاب البيانات.

بيانات عالية الحساسية
مثل بعض البيانات الصحية والمالية والاجتماعية وبيانات المستفيدين والفئات المعرضة للمخاطر.

ولا تكمن قيمة التصنيف في وضع اسم على الملف، بل في ربط التصنيف بإجراءات فعلية:

من يصل إليه؟ أين يُحفظ؟ كيف يُرسل؟ هل يحتاج إلى تشفير؟ وكم نحتفظ به؟

---

الحادي عشر: الوصول إلى البيانات... أقل صلاحية لازمة للعمل

يجب ألا يحصل الموظف على جميع البيانات لمجرد أنه يعمل داخل المؤسسة.

يقوم مبدأ Need to Know ومبدأ Least Privilege على منح الأشخاص الحد الأدنى من الصلاحيات اللازمة لأداء مهامهم.

ومن الممارسات المهمة:

• منح الصلاحيات وفق الوظيفة.
• مراجعتها دوريًا.
• استخدام Multi-Factor Authentication (MFA) في الأنظمة المهمة.
• حماية الحسابات والأجهزة.
• تسجيل الأنشطة المهمة في الأنظمة الحساسة عند الحاجة.
• إلغاء أو تعديل الصلاحيات فور انتقال الموظف أو مغادرته.

وهذه النقطة الأخيرة مهمة بصورة خاصة.

فحساب موظف غادر المؤسسة لكنه ما زال قادرًا على الوصول إلى CRM أو Google Drive أو نظام المستفيدين يمثل خطرًا يمكن تجنبه بإجراء إداري بسيط ومنظم.

---

الثاني عشر: السجلات الورقية والإلكترونية تحتاج إلى الحماية معًا

لا تزال كثير من الجمعيات تستخدم ملفات ورقية إلى جانب الأنظمة الرقمية، ولذلك يجب أن تشمل الحماية الشكلين.

بالنسبة للسجلات الورقية، قد تشمل الضوابط:

• أماكن وخزائن مؤمنة.
• تقييد الوصول.
• تنظيم الإعارة والأرشفة.
• منع ترك الملفات الحساسة في أماكن عامة.
• الإتلاف الآمن عند انتهاء مدة الاحتفاظ.

أما إلكترونيًا، فمن الضوابط المهمة:

• تحديث الأنظمة والبرامج.
• استخدام MFA.
• التشفير عندما يتناسب مع حساسية البيانات والمخاطر.
• النسخ الاحتياطي المنتظم.
• حماية الأجهزة.
• مراقبة الأنشطة غير المعتادة.
• التحكم في الصلاحيات.

وهناك قاعدة مهمة:

وجود Backup لا يعني أن البيانات قابلة للاستعادة.

لذلك ينبغي اختبار عملية الاستعادة بصورة دورية، وليس الاكتفاء بالتأكد من إنشاء النسخ الاحتياطية.

---

الثالث عشر: مشاركة البيانات مع الموردين والشركاء

نادراً ما تبقى بيانات الجمعية داخل أنظمتها فقط.

فقد تستخدم المؤسسة CRM، أو خدمات Cloud، أو أدوات إرسال البريد والرسائل، أو منصات جمع التبرعات، أو أنظمة إدارة البرامج، أو شركات معالجة المدفوعات.

لذلك، عندما يتعامل طرف ثالث مع البيانات، ينبغي أن تعرف المؤسسة:

• ما البيانات التي سيحصل عليها؟
• لماذا يحتاج إليها؟
• أين سيخزنها؟
• ما الضوابط الأمنية المطبقة؟
• من يستطيع الوصول إليها؟
• هل سيستخدم جهات أخرى لمعالجتها؟
• ماذا يحدث للبيانات عند انتهاء العلاقة؟

وينبغي توثيق الالتزامات المناسبة المتعلقة بالبيانات والأمن ضمن العلاقة التعاقدية بحسب طبيعة الخدمة والمتطلبات النظامية.

كما يجب الانتباه عند تخزين البيانات أو نقلها عبر حدود الدول إلى المتطلبات القانونية التي قد تنطبق على النقل الدولي للبيانات.

فالاستعانة بمزود خدمة خارجي لا تنهي مسؤولية المؤسسة تجاه البيانات التي ائتمنها الأشخاص عليها.

---

الرابع عشر: ماذا يحدث عندما يقع تسرب للبيانات؟

لا توجد مؤسسة تستطيع ضمان عدم وقوع أي حادث.

قد يُرسل ملف إلى الشخص الخطأ، أو يُفقد جهاز، أو يُخترق حساب، أو تُشارك معلومات بطريقة غير مقصودة.

لذلك تحتاج المؤسسة إلى Data Breach / Incident Response Plan تحدد مسبقًا:

من يستقبل البلاغ؟

من يقود الاحتواء؟

من يقيّم البيانات والأشخاص المتأثرين؟

من يحدد الالتزامات القانونية؟

ومن يملك صلاحية التواصل الخارجي؟

وعند وقوع الحادث، تمر الاستجابة عادةً عبر:

الاكتشاف والإبلاغ

↓

الاحتواء

↓

تقييم البيانات والأثر

↓

توثيق الحادث

↓

الإشعار عند الحاجة وفق المتطلبات المطبقة

↓

تحليل السبب الجذري

↓

الإجراءات التصحيحية

مثال عملي

أرسل موظف ميداني بالخطأ ملفًا يحتوي على بيانات مئات المستفيدين إلى مجموعة غير مخصصة لاستقبال هذه المعلومات.

لا ينبغي أن ينتهي التعامل مع الحالة بمجرد حذف الرسالة.

بل يجب تسجيل الحادث، ومحاولة احتوائه، ومعرفة من تمكن من الوصول إلى الملف، وتقييم حساسية البيانات والضرر المحتمل، وتحديد ما إذا كانت هناك متطلبات للإشعار، ثم معالجة السبب الذي سمح بمشاركة الملف بهذه الطريقة.

الهدف ليس البحث أولًا عن شخص نلومه، بل حماية الأشخاص، واحتواء الضرر، وفهم السبب، ومنع تكراره.

---

الخامس عشر: الإنسان جزء من منظومة الأمن

يمكن للمؤسسة شراء أفضل الأنظمة، لكن خطأ بسيطًا من موظف قد يتجاوز كثيرًا من الضوابط التقنية.

ولهذا تحتاج إلى بناء ثقافة تجعل حماية البيانات جزءًا من السلوك اليومي.

ويشمل ذلك:

• تدريب الموظفين والمتطوعين.
• التوعية بالتصيد والهندسة الاجتماعية.
• تعليم الطرق الآمنة لمشاركة الملفات.
• توضيح قواعد التعامل مع البيانات الحساسة.
• منع استخدام الحسابات المشتركة دون ضرورة وضوابط.
• توفير قناة واضحة للإبلاغ عن الأخطاء والحوادث بسرعة.

ومن المهم ألا تؤدي ثقافة العقاب إلى إخفاء الحوادث.

إذا خاف الموظف من الإبلاغ عن خطأ حدث في الساعة التاسعة صباحًا وانتظر حتى نهاية اليوم، فقد يتحول حادث صغير قابل للاحتواء إلى مشكلة كبيرة.

---

السادس عشر: كيف نعرف أن منظومة حماية البيانات تتحسن؟

لا تكفي السياسات المكتوبة، بل ينبغي مراقبة مجموعة محدودة من المؤشرات.

مثل:

• نسبة العاملين الذين أكملوا التدريب.
• عدد حوادث البيانات وأسبابها.
• متوسط زمن اكتشاف الحوادث واحتوائها.
• نسبة مراجعة صلاحيات الوصول.
• الالتزام بمدد الاحتفاظ والإتلاف.
• نسبة الأنظمة المهمة التي تستخدم MFA.
• نتائج مراجعات حماية البيانات والأمن.
• نسبة الإجراءات التصحيحية التي أُغلقت.

ولا يعني ارتفاع عدد الحوادث المسجلة دائمًا أن المؤسسة أصبحت أقل أمانًا؛ فقد يعني أحيانًا أن ثقافة الإبلاغ أصبحت أفضل.

لذلك يجب تحليل المؤشرات في سياقها، وليس التعامل معها كأرقام منفردة.

---

السابع عشر: كيف يعرف المانح أن الجمعية تحمي البيانات فعليًا؟

عند تقييم الجمعية، لا يكفي أن تقول:

"نحن نحترم خصوصية المستفيدين."

قد يبحث المانح أو الشريك عن أدلة عملية، مثل:

• سياسة حماية البيانات والخصوصية.
• سجل بالبيانات وعمليات المعالجة.
• تصنيف البيانات.
• جدول مدد الاحتفاظ.
• مصفوفة صلاحيات الوصول.
• إجراءات منح وإلغاء الصلاحيات.
• خطة الاستجابة لحوادث البيانات.
• سجل الحوادث والإجراءات التصحيحية.
• سجلات تدريب العاملين.
• ضوابط النسخ الاحتياطي والاستعادة.
• ترتيبات حماية البيانات مع مزودي الخدمات.
• إجراءات الإتلاف الآمن.
• تقييمات المخاطر أو DPIA عند الحاجة.

وهنا يظهر الفرق بين مؤسسة لديها Privacy Policy منشورة على موقعها، ومؤسسة لديها نظام فعلي لحماية البيانات يمكن إثباته.

وهذا الأخير هو ما يعزز الجاهزية المؤسسية وثقة المانحين.

---

الثامن عشر: حماية البيانات والحوكمة... حماية الثقة قبل حماية الملفات

ترتبط حماية البيانات بالحوكمة لأنها تعكس كيفية ممارسة المؤسسة للمساءلة وإدارة المخاطر واحترام حقوق أصحاب المصلحة.

والجمعية التي تدير بياناتها جيدًا تستطيع:

• تعزيز ثقة المستفيدين والمتبرعين.
• تحسين جودة المعلومات والقرارات.
• تقليل المخاطر القانونية والتشغيلية.
• حماية سمعتها.
• تحسين علاقتها بالشركاء.
• رفع جاهزيتها للتقييمات المؤسسية ومتطلبات المانحين.

لكن الهدف النهائي يتجاوز الامتثال.

فالبيانات التي تحتفظ بها الجمعية غالبًا لا تخصها وحدها؛ إنها معلومات ائتمنها عليها أشخاص حقيقيون.

وحمايتها تعني حماية هؤلاء الأشخاص قبل حماية قاعدة البيانات نفسها.

---

قبل الانتقال إلى المقال القادم...

لا تحتاج الجمعية إلى تنفيذ مشروع ضخم للأمن السيبراني حتى تبدأ.

يمكن أن تبدأ بـ:

✓ حصر البيانات التي تمتلكها وأماكن وجودها.

✓ تحديد سبب جمع كل نوع من البيانات.

✓ حذف الحقول غير الضرورية من النماذج.

✓ تصنيف البيانات بحسب حساسيتها.

✓ تحديد من يحتاج إلى الوصول إليها.

✓ تفعيل MFA على الأنظمة المهمة.

✓ مراجعة صلاحيات المستخدمين دوريًا.

✓ تحديد مدد الاحتفاظ والإتلاف.

✓ مراجعة مزودي الخدمات الذين يعالجون البيانات.

✓ إعداد خطة واضحة للاستجابة للحوادث.

✓ تدريب العاملين على حماية البيانات.

✓ اختبار استعادة النسخ الاحتياطية.

---

تقييم ذاتي سريع

اسأل نفسك:

□ هل نعرف أين توجد جميع بيانات المستفيدين والمتبرعين؟

□ هل نستطيع تفسير سبب جمع كل معلومة نطلبها؟

□ هل نعرف الأساس الذي يسمح لنا بمعالجة البيانات؟

□ هل نجمع الحد الأدنى الضروري فقط؟

□ هل نعرف من يستطيع الوصول إلى كل نوع من البيانات؟

□ هل نعرف جميع الجهات الخارجية التي تستقبل بياناتنا؟

□ هل توجد مدة احتفاظ واضحة لكل فئة مهمة من السجلات؟

□ هل تلغى صلاحيات الموظف فور مغادرته؟

□ هل تستخدم الأنظمة الحساسة MFA وضوابط وصول مناسبة؟

□ هل اختبرنا استعادة النسخ الاحتياطية؟

□ هل يعرف الموظف ماذا يفعل إذا أرسل ملفًا حساسًا إلى الشخص الخطأ؟

□ هل لدينا خطة موثقة للاستجابة للحوادث؟

□ هل نستطيع تقديم أدلة على هذه الضوابط إذا طلبها مانح؟

إذا كانت الإجابة "لا" على عدة أسئلة، فلا تبدأ المؤسسة بشراء المزيد من الأدوات التقنية.

ابدأ أولًا بمعرفة ما البيانات التي لديك، ولماذا لديك إياها، وأين توجد، ومن يستطيع الوصول إليها، وما الضرر الذي قد يحدث إذا أسيء استخدامها.

خاتمة

أصبحت البيانات من أكثر الموارد قيمة في المؤسسات غير الربحية، فهي تساعد على تصميم البرامج، وتحديد الاحتياجات، وإدارة العلاقات مع المتبرعين، وقياس النتائج واتخاذ القرارات. وقد تناول المقال الأصلي هذه المسؤولية باعتبارها جزءًا من الحوكمة والثقة والاستدامة، وليس مسؤولية تقنية منفصلة.

لكن القيمة التي توفرها البيانات تأتي معها مسؤولية موازية.

فكل معلومة تجمعها المؤسسة تصبح شيئًا ينبغي أن تستطيع تفسير الحاجة إليه، وحمايته، والتحكم في الوصول إليه، وإدارته طوال دورة حياته، والتخلص منه عندما تنتهي الحاجة المشروعة إليه.

ولهذا فإن المؤسسة الناضجة لا تقيس نجاح حماية البيانات فقط بعدد الاختراقات التي لم تحدث، بل بقدرتها على إثبات أن الخصوصية والأمن أصبحا جزءًا من تصميم برامجها وقراراتها وأنظمتها وثقافة العاملين فيها.

ويبدأ ذلك من أسئلة بسيطة:

هل نحتاج هذه البيانات؟

هل أخبرنا الشخص بوضوح ماذا سنفعل بها؟

هل يستطيع الوصول إليها فقط من يحتاجها؟

هل نحميها بما يتناسب مع الضرر الذي قد يسببه كشفها؟

وهل نعرف ماذا نفعل إذا حدث خطأ؟

عندما تستطيع الجمعية الإجابة عن هذه الأسئلة بأدلة وإجراءات واضحة، تتحول حماية البيانات من سياسة مكتوبة إلى منظومة مؤسسية لحماية الأشخاص والثقة والسمعة.

وفي القطاع غير الربحي، حيث يقدم المستفيدون والمتبرعون معلوماتهم للمؤسسة على أساس الثقة، فإن حماية البيانات ليست مجرد التزام تقني أو قانوني.

إنها جزء من الأمانة التي تحملها المؤسسة تجاه كل شخص ائتمنها على معلوماته.