مسودة الخصوصية الثانية لدى AFRINIC: ستة أشهر كشفت الحدّ بين تنسيق الأرقام وحوكمة بيانات الشركة

الخلاصة

• أصابت المسودة الثانية موضع خطر حقيقياً حين ربطت جمع البيانات الشخصية بضرورتها لغرض محدد، وحين وضعت سقفاً مطلقاً يمنع طلب بيانات قادرة على تعريف أكثر من ربع المستخدمين الذين خصص لهم مقدم الطلب عناوين إنترنت. فهذا النوع من القواعد يستطيع أن يعمل داخل سياسة موارد الأرقام لأنه يقيد الدليل الذي يجوز لأمين السجل أن يطلبه كي يتخذ قراراً في مورد رقمي.
• لم تكن قاعدة الستة أشهر نظام احتفاظ مكتملاً. فهي لم تحدد لحظة بدء الساعة أو إعادة تشغيلها، ولم تفرّق بين فئات البيانات والأغراض والأنظمة والنسخ الاحتياطية، ولم تبين من يثبت الحذف أو كيف تتعامل الشركة مع واجب قانوني أو نزاع أو تدقيق. وقد يكون الرقم طويلاً أكثر من اللازم لغرض عابر وقصيراً أكثر من اللازم لسجل يجب الاحتفاظ به؛ ولا يمكن معرفة الاتجاه من النص المتاح.
• الاستثناء المالي، الذي سمح بالاحتفاظ بما يلزم للفوترة ونحوها حتى اثني عشر شهراً بعد انتهاء اتفاقية خدمة التسجيل، لم يحل المشكلة. فقد أضاف رقماً ثانياً من دون خريطة تربطه بفئات السجلات أو الواجبات المحاسبية والضريبية أو أوامر حفظ الأدلة أو غيرها من الالتزامات المحتملة. ولا يثبت السجل المتاح ماهية تلك الالتزامات أو ما فعلته AFRINIC عملياً.
• اشترطت المسودة قبل نقل بيانات شخصية إلى بلد آخر تقييماً متاحاً للعامة يغطي طبيعة البيانات وغرض المعالجة ومدتها وبلدي المنشأ والوجهة وقانون بلد الوجهة والقواعد والتدابير الأمنية فيه، ثم اقترحت سجلاً عاماً لبيانات وصفية عن النقل. لكنها لم تعيّن معدّ التقييم أو صاحب الموافقة أو النتيجة المطلوبة أو وسيلة التنقيح أو صلة ذلك بإذن مفوض حماية البيانات في موريشيوس والاستثناءات القانونية.
• كانت موريشيوس تملك سنة 2012 طبقة قانونية قائمة: قانون حماية البيانات لعام 2004 ومبادئه القائمة على الغرض والضرورة وكفاية الحماية في النقل الخارجي، وإرشادات رسمية عن جداول الاحتفاظ والحذف والإذن بالنقل. لا يثبت التشابه بين عناصر التقييم في المسودة والإرشادات مصدر الصياغة، كما لا يجعل الإعلان العلني بديلاً عن الموافقة أو أساساً قانونياً للنقل.
• لم تُعتمد المسودة في السجل الذي بين أيدينا. أثبتت المحاضر الرسمية أن العرض جرى عن بُعد وأن مشاركين اعترضوا على غموض المشكلة وعلى الخلط بين السياسة وقانون موريشيوس، ثم أعلن الرئيس عدم التوافق وأعاد الموضوع إلى القائمة البريدية. يثبت الأرشيف بعد ذلك السحب، ولا يجوز استنتاج تطبيق أو أثر لاحق.
• التصميم الأمتن ذو طبقتين: قاعدة موارد أرقام ملزمة ودقيقة تقول ما الدليل الذي يجوز طلبه وما الواقعة التي يثبّتها ولماذا لا يكفي دليل أقل تدخلاً؛ وبرنامج خصوصية مؤسسي منفصل، محكوم بالقانون، يصنف البيانات والأغراض والأسس القانونية والمالكين والأنظمة والمورّدين ومواقع التخزين ومواعيد الحذف وضوابط النقل وحقوق الأشخاص.

ساعة واضحة بلا نقطة بدء

تستمد عبارة «فترة الاحتفاظ بالبيانات الشخصية ستة أشهر» قوتها البلاغية من بساطتها. يستطيع طالب المورد أن يقرأها ويفهم أن ذاكرة السجل ليست بلا نهاية. ويستطيع المدافع عن الخصوصية أن يقارنها بممارسة تحتفظ بكل شيء لأن الحذف مكلف أو لأن النظام لم يُصمم له. غير أن الاحتفاظ ليس رقماً منفصلاً عن دورة حياة البيانات. أول سؤال تشغيلي هو: ستة أشهر من متى؟ من تاريخ جمع أول معلومة، أم من تاريخ اكتمال الطلب، أم من تخصيص المورد، أم من آخر تعديل، أم من انتهاء الغرض، أم من انتهاء العلاقة؟ لم تحدد المسودة الحدث الذي يطلق الساعة. ولم تقل هل تؤدي مراسلة جديدة أو شكوى أو نزاع أو تجديد إلى بدء مدة جديدة، أو هل ينبغي فصل النسخة الجديدة عن القديمة.

ذلك النقص ليس فنياً صغيراً. افترض أن مقدم الطلب يرسل هوية مسؤول اتصال ثم يصححها بعد أسبوعين. إذا بدأت المدة من أول إرسال، فهل تحذف النسخة المصححة مع السابقة؟ وإذا بدأت من آخر استعمال، فقد تتحول المدة إلى احتفاظ متجدد لا ينتهي ما دام موظف يفتح الملف. وإذا بدأت من نهاية اتفاقية خدمة التسجيل، تصبح القاعدة العامة قريبة من الاستثناء المالي ولا تعود ستة أشهر بالمعنى الذي يتبادر إلى القارئ. ولا يجيب النص عن أي احتمال من هذه الاحتمالات، لذلك لا يصح اختيار أحدها نيابة عنه.

ينشأ السؤال الثاني من كلمة «البيانات الشخصية» ذاتها. عرّفت المسودة المصطلح بأنه معلومات تتصل بشخص طبيعي معروف أو قابل للتعريف، مباشرة أو بطريق غير مباشر، بما في ذلك رقم تعريف أو عوامل جسدية أو فسيولوجية أو عقلية أو اقتصادية أو ثقافية أو اجتماعية. التعريف واسع بما يكفي ليمنع حصر الخصوصية في الاسم الظاهر. لكنه لا يعدد مجموعات البيانات التي كانت لدى AFRINIC، ولا يثبت أن مجموعة بعينها كانت موجودة أو خاضعة له. قد يوجد اسم اتصال في سجل علني، أو هوية ضمن ملف طلب خاص، أو عنوان في فاتورة، أو أثر دخول أمني، أو مراسلة حول نزاع. لكل فئة غرض مختلف ومخاطر مختلفة وربما مدة واجبة مختلفة.

لا يجيز الدليل المتاح لنا أن نزعم أي جرد فعلي سنة 2012، لكنه يسمح بالقول إن قاعدة واحدة لم تبنِ ذلك الجرد داخلها.

السؤال الثالث هو الحذف. هل تعني نهاية الستة أشهر حذف السجل الرئيسي فقط، أم النسخ المكررة، أم النسخ الاحتياطية، أم البريد، أم ملفات الموظفين، أم ما عند معالج خارجي؟ لا تذكر المسودة الأنظمة أو المعالجين أو النسخ الورقية أو طرق الإتلاف. ولا تحدد صاحب المسؤولية ولا سجل الإثبات ولا المراجعة. الحذف المسؤول ليس زرّاً بل وعد قابل للتحقق: يحدد مالك البيانات مواضع النسخ، ويوقف الاستخدام العادي عند انتهاء الغرض، ويمحو أو يعزل ما يجب محوه، ويعرف كيف تتقادم النسخ الاحتياطية، ويوثق الاستثناء القانوني المحدد من دون تحويله إلى حجة للاحتفاظ الشامل. من دون هذه العناصر تبقى الساعة مفهومة أخلاقياً ولكنها مبهمة مؤسسياً.

والنتيجة ليست أن مدة الستة أشهر خاطئة حكماً. لا تقدم المواد المتاحة أساسها التجريبي، ولا نعرف الواقعة التي دفعت إلى اختيارها. قد تكون مناسبة لفئة بعينها، وقد لا تكون. إذا كان الغرض مجرد فحص مؤقت لهوية عينة ثم انتهى القرار وزال طريق الطعن، فقد تكون ستة أشهر أطول مما يلزم. وإذا كان السجل ضرورياً لإثبات معاملة مالية أو دفاع في نزاع قائم أو تنفيذ واجب حفظ قانوني، فقد تكون أقصر مما يجوز. لا يمكن تحديد الاتجاه من رقم بلا فئة وبلا غرض وبلا أساس قانوني وبلا حدث بدء. وهذه هي المفارقة: قاعدة صُممت لتجسيد تقليل البيانات تحتاج هي نفسها إلى معلومات أكثر عن البيانات حتى تصبح قابلة للتطبيق.

اثنا عشر شهراً لا تصنع خريطة احتفاظ

أدرك النص أن الفوترة والوظائف المالية لا تتبعان دائماً الساعة العامة. لذلك سمح بالاحتفاظ بالبيانات الشخصية اللازمة للأغراض المالية، مثل الفوترة، مدة تصل إلى اثني عشر شهراً بعد نهاية اتفاقية خدمة التسجيل. في الظاهر، يبدو هذا الاستثناء أكثر نضجاً: إنه يربط المدة بغرض وبحدث واضح نسبياً، أي نهاية الاتفاقية. لكنه يترك ثلاثة حدود بلا رسم.

أولاً، ما الذي يجعل البيانات «لازمة» لغرض مالي؟ هل هو الاسم على الفاتورة، أم عنوان الدفع، أم المراسلات، أم سجل التحقق، أم كل ملف العضو لأن بعض عناصره قد تفيد يوماً ما؟ النص لا يقسم السجل إلى حقول ولا يبين اختبار الضرورة. وثانياً، هل الاثنا عشر شهراً حد أقصى مطلق حتى إذا وُجد واجب قانوني مختلف، أم مدة افتراضية ما لم يوجد التزام آخر؟ لا تربط المسودة الرقم بقوانين الحسابات أو الضرائب أو التقاضي أو أوامر حفظ الأدلة، ولا تقدم المواد المتاحة رأياً قانونياً شاملاً في تلك الواجبات. وثالثاً، ما مصير المعلومات ذات الغرضين؟ قد يخدم عنوان اتصال الفوترة واستمرارية الحساب معاً، وقد تتحول المراسلة من مسألة مالية إلى دليل في نزاع.

ينبغي لنظام ناضج أن يسجل الغرض النشط لكل نسخة وأساس الاحتفاظ بها، لا أن يرفع الملف كله إلى الاستثناء الأطول.

التمييز مهم لأن الاستثناءات قد تبتلع القاعدة. إذا صُنّف أي سجل له صلة بحساب عضو بأنه مالي، تتحول الستة أشهر إلى وعد ضيق لا يغير معظم الواقع. وإذا فُسّر الاستثناء تفسيراً شديد الضيق، فقد يأمر بحذف دليل مطلوب لمراجعة سليمة. لا نعلم كيف كان سيُفسر، ولا من كان سيقرر، ولا هل وجدت آلية اعتراض. لذلك يجب عدم تحويل النقد البنيوي إلى ادعاء عن ممارسة لم تقع أو لم تثبت. ما يمكن قوله بثقة هو أن رقمين، مهما كانا واضحين، لا يقومان مقام جدول احتفاظ يربط كل فئة بالغرض والأساس والمالك والحدث المحفز والاستثناء وطريقة الإتلاف.

شهر واحد يفتح باب التاريخ بلا نهاية معلومة

قدمت المسودة استثناء ثالثاً مختلف الطبيعة. فالبيانات الشخصية المنشورة من أجل تخصيصات موارد الأرقام أو تعييناتها يمكن الاحتفاظ بها للسجل التاريخي إذا كانت متاحة للعامة مدة شهر واحد على الأقل. هنا تنتقل الحجة من الحاجة التشغيلية أو المالية إلى ذاكرة السجل. والسجل التاريخي له قيمة حقيقية: يمكنه تفسير تسلسل الحيازة المعلنة، ودعم التصحيح والتحقق واستمرارية التنسيق. لكن المرور شهراً في العلن ليس بالضرورة اختباراً كافياً لبقاء غير محدود.

لم يحدد النص نهاية لاحقة للاحتفاظ، ولا كيفية التعامل مع تصحيح أو اعتراض أو سحب نشر أو خطأ في هوية شخص. ولم يشرح لماذا يحوّل مرور ثلاثين يوماً تقريباً معلومة قابلة للحذف إلى جزء دائم من التاريخ. كما لم يحدد طريقة إثبات أنها كانت متاحة فعلاً طوال المدة أو ما إذا كان انقطاع الخدمة يغير الحساب. والأهم أنه لم يوازن بين القيمة التاريخية لكل حقل وبين خطره. قد يحتاج السجل إلى الاحتفاظ بحقيقة تخصيص مورد في تاريخ معين، لكنه لا يحتاج بالضرورة إلى إبقاء كل وسيلة اتصال شخصية أو كل أثر ورد مع المنشور الأصلي.

وتزيد المسألة تعقيداً لأن المسودة أعفت من قيودها البيانات المتاحة علناً، مثل البيانات المنشورة عبر خدمة يمكن الوصول إليها على الإنترنت من دون تعريف هوية المستخدم. لا يبين النص جميع الطرق التي تصبح بها البيانات عامة، ولا أثر إزالتها لاحقاً. العلنية ليست مرادفاً لانعدام الخصوصية. فالمعلومة المنشورة لغرض تنسيقي محدود قد تصبح أكثر إيذاءً عندما تجمع تاريخياً، أو تفهرس بسهولة، أو تربط بمصادر أخرى. وفي المقابل، قد تكون بعض حقائق السجل العامة ضرورية لتجنب الغموض وحماية قابلية الاتصال. الحل ليس محو التاريخ ولا تجميده كاملاً، بل فصل الحقيقة العامة الضرورية عن الوثيقة الخاصة التي أثبتتها، ووضع قواعد للتصحيح والتنقيح وشرح عدم اليقين.

ربع المستخدمين: أكثر بنود المسودة اتصالاً بتفويض سياسة الأرقام

إذا كان ثمة بند يقف بثبات داخل نطاق سياسة موارد الأرقام، فهو السقف الذي يمنع السجل من جمع بيانات شخصية قادرة على تعريف أكثر من ربع المستخدمين الذين خصص لهم مقدم الطلب عناوين إنترنت. فالبند لا يبدأ بسؤال ما تفعله الشركة بكل بياناتها، بل بما يجوز لها طلبه عند بوابة الحصول على مورد. هذا هو المكان الذي تكون فيه قوة سياسة الموارد مشروعة ومفيدة: تحديد عبء الإثبات الضروري لقرار تنسيقي، ومنع الموظف أو الإجراء من توسيع الطلب إلى بيانات عملاء لا تثبت واقعة لازمة.

لكن قوة المبدأ لا تلغي مشكلات العدد. هل يُحسب الربع يوم تقديم الطلب أم على فترة سابقة؟ من يدخل المقام: كل مستخدم خُصص له عنوان، أم المستخدمون النشطون، أم الحسابات، أم الأشخاص الطبيعيون فقط؟ كيف يعالج عنواناً مشتركاً أو مستخدماً قابلاً للتعريف من مجموعة حقول غير مباشرة؟ وهل يُفهم السقف كإذن دائم بجمع بيانات ربع المستخدمين حتى عندما تكفي عينة صغيرة أو بيانات مجمعة؟ النص وصف الربع بأنه حد أقصى، لا معياراً لما هو غير مفرط. وهذه نقطة حاسمة: السقف لا يحول كل ما تحته إلى ضروري.

يمكن إعادة بناء الفكرة على نحو أدق من دون فقدان حماية مقدم الطلب. يبدأ أمين السجل بتسمية قرار مورد الأرقام الذي يريد اتخاذه: تحقق من الحاجة، أو من قدرة اتصال، أو من واقعة تنظيمية محددة. ثم يسمي الحقيقة التي سيبرهن عليها كل عنصر مطلوب. وبعدها يختبر ما إذا كان يمكن إثباتها بمعلومة على مستوى المؤسسة، أو بجهة اتصال وظيفية، أو بإجمالي، أو بعينة منزوعة الهوية، قبل الوصول إلى بيانات مستخدمين أفراد. فإذا لم يثبت أن الهوية الفردية ضرورية، يمتنع الطلب. وإذا كانت عينة ضرورية، يكون الحد متناسباً مع الاختبار لا مع رقم ثابت يمنح مساحة جمع واسعة. ويسجل سبب الطلب ومدة بقاء الدليل وحق التصحيح أو الاعتراض.

مثل هذه القاعدة لا تجعل AFRINIC جهة تفتيش عامة. فاعتماد الشبكات على سجل الأرقام لا يمنح الشركة ولاية على مستخدميها. ولا تسمح القدرة التقنية على طلب ملف أو تعليق إجراء بأن تتحول إلى سلطة تنظيم أو عقاب أو مصادرة. وظيفة AFRINIC هي أمانة سجل رشيق وتنسيق التفرد والدقة وقابلية الاتصال والاستمرارية، لا مراقبة كيفية استعمال العملاء النهائيين للشبكة. وقد ظهرت خطورة هذا الانزلاق لاحقاً في مراسلات استضافتها NRS سنة 2021، إذ اعترضت Cloud Innovation على طلب خاص يتعلق بالمراقبة أو بيانات استخدام العملاء وقالت إن تفويضه في اتفاقية خدمة التسجيل غير محدد وإنه قد يصل إلى بيانات مستخدمين على نطاق قاري.

تلك المراسلات تثبت موقف المشغل في نزاع لاحق، لا واقعة عن دافع صاحب مسودة 2012 ولا تطبيقها، لكنها توضح لماذا لا يجوز التعامل مع خطر الإفراط في الطلب بوصفه افتراضاً نظرياً فارغاً.

«الضرورة» جسر صحيح يحتاج مرساة

لم تعتمد المسودة على الربع وحده. فقد حصرت الجمع والنقل في بيانات شخصية مرتبطة مباشرة وضرورية لأغراض محددة وصريحة ومشروعة. هذه صياغة أقرب إلى الاختبار الصحيح من أي نسبة منفردة. فالسؤال الذي ينبغي أن يسبق كل طلب هو الغرض: ما القرار الذي لا يمكن اتخاذه من دون هذه المعلومة؟ وإذا لم يستطع السجل الإجابة، فلا يملك أن يراكم البيانات لأن جمعها قد يكون مفيداً مستقبلاً.

إلا أن النص لم يسرد الأغراض ولم يعيّن من يحسم مشروعيتها أو طريقة الاعتراض عليها. كما قال إن معلومات عما إذا كانت البيانات كافية وذات صلة وغير مفرطة ستكون متاحة لأي شخص كان جزءاً من جماعة وضع السياسات في منطقة AFRINIC. لا يعني ذلك تصريحاً بنشر البيانات الشخصية الأساسية. إنه يتعلق بمعلومات عن تقييم الكفاية. لكن مستوى التفصيل الآمن ظل مجهولاً. قد تكون جملة من قبيل «استخدمت عينة مجمعة لإثبات نمط التخصيص» شفافة ومأمونة. وقد يكشف وصف أكثر تفصيلاً طبيعة مجموعة حساسة أو فئة أشخاص حتى من دون أسماء.

هنا تظهر الحاجة إلى هندسة واجهة بين الشفافية والسرية. ينبغي نشر قاعدة الطلب، ونوع الحقيقة المطلوبة، والأساس العام لاعتبارها ضرورية، ومقياس العبء، ووجود الاستثناء أو الاعتراض. أما الأدلة نفسها، وهويات العملاء والقوائم والوثائق الخاصة، فتبقى محمية ولا تتحول إلى ثمن للمشاركة العامة. يستطيع السجل أن يكون قابلاً للمساءلة من دون أن يعرض من جاء لحمايتهم.

النقل إلى بلد آخر: خمسة أسئلة من دون صاحب قرار

نصت المادة 3.2 على ألا تُنقل البيانات الشخصية إلى بلد آخر ما لم يوجد تقييم متاح للعامة لخمسة أمور: طبيعة البيانات؛ غرض المعالجة ومدتها؛ بلد المنشأ وبلد الوجهة النهائية؛ القانون في بلد الوجهة؛ والقواعد والتدابير الأمنية ذات الصلة والمطبقة هناك. هذه قائمة جادة وليست شعاراً. إنها تجبر الجهة التي تنقل البيانات على النظر إلى المادة المنقولة والسبب والزمن والمسار القانوني والأمن في الوجهة، وتمنح أصحاب المصلحة رؤية أفضل من عبارة عامة تقول إن الشركة قد تستخدم مزودين عالميين.

لكن القائمة لا تقول من يكتب التقييم، ولا من يراجعه، ولا من يوافق عليه، ولا ما النتيجة التي تسمح بالنقل. هل يكفي أن يذكر التقييم أن حماية بلد الوجهة ضعيفة ثم يمضي النقل؟ هل يجب أن يخلص إلى الكفاية؟ من يقرر أن التدابير الأمنية تعوض نقصاً قانونياً؟ أين ينشر، ومتى يراجع، وكيف يُنقح كيلا يصبح وصف طبيعة البيانات وخط سيرها خريطة حساسة؟ لا يجيب النص. ومن دون معيار قرار، قد تتحول الشفافية إلى توثيق لمشكلة لا إلى ضابط يمنعها.

كان قانون حماية البيانات في موريشيوس لعام 2004 قائماً. وينطبق، وفق النص الرسمي، على متحكم بالبيانات قائم في موريشيوس ويعالج البيانات في سياق ذلك الكيان، ويلزمه بمبادئ حماية البيانات. قال المبدأ الخامس إن البيانات الشخصية لا ينبغي أن تحفظ أطول مما يلزم لغرضها، وقيد المبدأ الثامن النقل إلى بلد ثالث ما لم يضمن حماية كافية. ودعت الإرشادات الرسمية للمتحكمين إلى جداول احتفاظ محددة، وإزالة روتينية عندما لا يبقى سبب جيد، ومسؤولية واضحة عن الحذف. وفي النقل الخارجي وصفت إذناً كتابياً من المفوض، وفحصاً للكفاية، وبدائل قانونية ضيقة.

تتشابه العوامل الخمسة في المسودة بدرجة لافتة مع عوامل الكفاية في الإرشادات الرسمية. لكن التشابه النصي لا يثبت من أين جاءت الصياغة ولا أنها كافية قانوناً. والأهم أن المسودة لم تنقل آلية إذن المفوض ولا البدائل القانونية. إن إتاحة تقييم للجمهور ليست هي موافقة الجهة المختصة، ولا تكفي وحدها لإثبات حماية كافية أو استثناء مشروع. كما لا تملك جماعة سياسة خاصة أن تستبدل القانون العام بإعلان تنشره الشركة عن نفسها.

هذا لا يجعل العلنية بلا قيمة. يمكن لتقرير شفاف وآمن أن يزيد مساءلة الشركة: يذكر فئة البيانات على مستوى لا يعرّف أشخاصاً، والغرض، والبلد، ونوع المعالج، والأساس القانوني، والتدابير، وتاريخ المراجعة، وطريق الشكوى. لكنه يأتي بعد تأسيس القرار القانوني والمسؤولية المؤسسية، لا بدلاً منهما. فالمسار الصحيح يبدأ بجرد النقل، وتحديد المتحكم والمعالج، واختبار الضرورة، وتعيين الأساس والموافقة المطلوبة، وتوثيق الضمانات وحقوق الشخص، ثم نشر ملخص لا يخلق خطراً جديداً.

سجل النقل العام: شفافية قد تكشف أكثر مما تقصد

أضافت المادة 4 سجلاً لنقل البيانات الشخصية يتضمن تاريخ النقل، وطبيعة البيانات، وغرض المعالجة، وبلد المنشأ والوجهة النهائية، وينشر عبر خدمة يمكن دخولها على الإنترنت من دون كشف هوية الزائر. واستثنت البيانات الشخصية ذات الغرض المالي من النشر. يجب قراءة هذا البند بدقة: إنه يأمر بنشر بيانات وصفية عن النقل، لا بنشر السجلات الشخصية الخام ولا أسماء الأشخاص ولا قوائم العملاء. أي وصف مخالف يحمّل النص ما لم يقله.

ومع ذلك لا نعرف مقدار التفصيل المقصود بعبارة «طبيعة البيانات». إذا كتب السجل «بيانات اتصال إدارية» فقد يقدم شفافية مفيدة مع خطر محدود. وإذا وصف فئة نادرة مرتبطة بنزاع بعينه وتاريخ وبلدي منشأ ووجهة، فقد يسمح بالاستدلال على هوية أو نشاط. كما قد تكشف كثافة الإدخالات أو وجهاتها بنية مورّدين أو نقاط ضعف تشغيلية. الشفافية ليست مجانية؛ يجب أن يكون لها هي أيضاً اختبار ضرورة وتنقيح وتجميع وتأخير عندما يوجد خطر موثق.

أما الاستثناء المالي فيثير سؤالاً إضافياً. لماذا تُحجب بيانات وصفية عن نقل مالي بينما تُنشر فئات أخرى؟ قد توجد أسباب حساسة، لكن النص لا يذكرها. ولا يمكننا اختراعها. ما يهم تصميمياً هو ألا يُبنى الاستثناء على تسمية واسعة تتيح إسقاط كل نقل من السجل، وألا يفرض الكشف على نحو يضر الأشخاص أو الأمن. يحتاج السجل إلى قاموس تصنيف، وحد أدنى للنشر، ومراجعة قبل الإتاحة، ومسؤول تنقيح، وطريق لتصحيح الإدخال، وتاريخ مراجعة. لا يوفر النص هذه الآلات.

الإبلاغ خلال يوم واحد: سرعة بلا عتبة خطر

اقترحت المادة 5 إخطار قائمة مناقشة سياسة الموارد خلال يوم واحد من اكتشاف تسرب بيانات شخصية، مع شرح طبيعة التسرب ومداه. الفكرة الأخلاقية قوية: لا ينبغي للشركة أن تخفي حادثة تمس أشخاصاً يعتمدون عليها. والسرعة تمنع التأجيل الإداري. لكن «الاكتشاف» قد يعني إنذاراً أولياً غير مؤكد، أو تحققاً فنياً، أو قراراً إدارياً بأن حادثاً وقع. لم تعرّف المسودة اللحظة. كما لم تضع عتبة للخطر، أو ترتيباً لإبلاغ المتضررين والجهة المختصة، أو سبباً مشروعاً لتأخير علني محدود حمايةً للتحقيق، أو قواعد تنقيح تمنع كشف بيانات إضافية في شرح طبيعة التسرب ومداه.

القائمة البريدية العامة ليست بديلاً عن خطة استجابة للحوادث. الخطة تحدد من يعزل النظام ويحفظ الأدلة ويقيّم الخطر ويخطر الأشخاص والسلطات وفق القانون، ومن يوافق على البيان العام، وما المعلومات التي تحدث لاحقاً. وقد يكون إخطار عام جزءاً من المساءلة، لكنه ليس الخطوة الوحيدة ولا الأولى دائماً. وبما أن السجل المتاح لا يثبت وقوع تسرب أو نظاماً متأثراً أو ممارسة إفصاح، يجب أن يبقى التحليل عند مستوى ما صاغه البند وما أغفله.

ما ثبت في الخرطوم وما لم يثبت

يسجل أرشيف AFRINIC صفحة بعنوان المسودة الثانية لخصوصية سجل الإنترنت الإقليمي، ويذكر S. Moonesamy مؤلفاً وتاريخ تقديم 16 نوفمبر/تشرين الثاني 2012. وفي الصفحة غرابة أرشيفية: حقل المعرّف الفريد يطبع DRAFT-01، بينما يشير العنوان والتاريخ ومواد الاجتماع والتقرير السنوي إلى DRAFT-02، ويصف السجل النسخة بأنها مسودة ثانية ذات تعديلات طفيفة. لا نعرف سبب التناقض، ولا توجد المسودة الأولى ضمن المواد التي تسمح بمقارنة البنود، لذلك لا يصح اختراع تفسير أو وصف التعديلات فقرة بفقرة.

في اجتماع AFRINIC-17 بالخرطوم في 28 نوفمبر/تشرين الثاني، قدم المؤلف المسودة عن بُعد. تسجل المحاضر الرسمية اعتراض Yaovi Atohoun على غموض السياق والمشكلة وإشارته إلى صيغة مقترح السياسة. وتسجل Douglas Onyango قائلاً إن حماية البيانات والخصوصية تحكمهما قوانين بلد تأسيس الشركة، وإن AFRINIC مقيدة بقانون موريشيوس، وإن السياسة تفتقر إلى السلطة القانونية لمعالجة المسألة. كما تسجل Adiel Akplogan قائلاً إن قضايا خصوصية البيانات ينبغي أن تعالج قانونياً وإن سياسة خصوصية AFRINIC منسجمة مع قانون موريشيوس، مع إقراره بوجود جوانب خصوصية في البيانات الموجودة لدى السجل.

هذه المحاضر ملخص رسمي وليست تسجيلاً حرفياً كاملاً، فلا يجوز توسيع مواقف المتحدثين إلى ما لم تدونه أو التعامل معها كحكم قضائي.

أعلن الرئيس عدم وجود توافق وأعاد المقترح إلى القائمة البريدية. ثم يقول الأرشيف إن المؤلف سحبه في 29 نوفمبر/تشرين الثاني. ويقول التقرير السنوي إن السحب وقع في ديسمبر/كانون الأول 2012، كما يضع المسودة بين خمسة مقترحات لم تحظ بالتوافق في الاجتماع وبين المقترحات التي سحبها أصحابها. يجب إبقاء اختلاف اليوم والشهر كما هو. والوضع الموضوعي واضح بالقدر الذي تسمح به هذه الوثائق: قُدمت المسودة ونوقشت ولم تحظ بالتوافق وسُحبت. لا يثبت ذلك أنها كانت سيئة في كل جوانبها، لكنه يمنع وصفها بأنها اعتمدت أو صُدق عليها أو طُبقت. ولا يجوز ملء الفراغ بسياسة لاحقة أو قانون لاحق.

الوثيقة الرسمية تثبت القول والفعل، لا الحقيقة القانونية الكاملة

تملك صفحات الأرشيف وشرائح العرض والمحاضر والتقرير السنوي قيمة أساسية لأنها تثبت النص المعروض والتواريخ المسجلة والأقوال الملخصة والنتيجة الإجرائية. لكنها لا تمنح AFRINIC سلطة تعريف حدود سلطتها. فالجهة الخاصة لا تصير مشرعاً لأنها نشرت سياسة، ولا يصير توافق المشاركين قانوناً سيادياً، ولا تتحول إدارة قاعدة بيانات إلى اختصاص قضائي. كما أن قول مؤسسة إن ممارستها منسجمة مع القانون لا يساوي قراراً من المفوض أو محكمة.

ينبغي تطبيق القاعدة نفسها على النقد. لا يثبت الانسحاب سوء نية المؤلف، ولا يثبت اختيار الستة أشهر جهلاً بالقانون، ولا تثبت الاعتراضات أن كل بند غير مشروع. لا نعرف الدافع الواقعي للمقترح، ولا المشورة القانونية التي تلقاها أحد، ولا الأنظمة أو المورّدين أو وجهات النقل أو طرق الحذف الفعلية. النزاهة هنا تعني إبقاء الوثيقة في حجمها: اقتراح دقيق الأرقام أثار أسئلة حقيقية، ثم تعثر عند الحد بين سياسة الأرقام وحوكمة الشركة.