# نظام تصنيف وتقسيم البيانات بموجب قانون أمن البيانات
عندما بدأت العمل في مجال خدمات الشركات الأجنبية قبل أكثر من عقد، لم أكن أتخيل يومًا أن "تصنيف البيانات" سيصبح واحدًا من أكثر المواضيع إلحاحًا في اجتماعاتنا مع العملاء. أتذكر في عام 2018، كانت إحدى الشركات الأوروبية الكبرى تستعد لدخول السوق الصيني، وكان السؤال الأول الذي طرحه مستشارهم القانوني يدور حول كيفية التعامل مع بيانات العملاء بموجب القوانين الصينية. حينها، لم يكن قانون أمن البيانات قد صدر بعد، وقلت لهم إن التشريع قادم لا محالة.
في يونيو 2021، صدر أخيرًا قانون أمن البيانات لجمهورية الصين الشعبية، ودخل حيز التنفيذ في 1 سبتمبر من العام نفسه. هذا القانون شكل نقلة نوعية في كيفية تعامل المؤسسات مع البيانات، وخاصة تلك التي تعمل في بيئات متعددة الجنسيات. فبعد سنوات من العمل مع الشركات الأجنبية في الصين، أستطيع أن أؤكد أن نظام تصنيف وتقسيم البيانات ليس مجرد متطلب قانوني شكلي، بل هو أداة إدارية حقيقية تساعد المؤسسات على فهم مخاطرها وفرصها بشكل أفضل.
في هذه المقالة، سأشارك معكم خبرتي الممتدة لأربعة عشر عامًا في هذا المجال، مسلطًا الضوء على نظام تصنيف وتقسيم البيانات كما ورد في قانون أمن البيانات، مع تقديم أمثلة واقعية من تجربتي اليومية في التعامل مع الشركات الأجنبية في الصين.
## أهمية التصنيف
عندما نتحدث عن تصنيف البيانات في سياق قانون أمن البيانات الصيني، فإننا ندخل في عالم من الدقة والتفاصيل لا يحتمل الارتجال. فالنظام الذي وضعه المشرع الصيني يقوم على مبدأ أساسي: ليس كل البيانات متساوية في الأهمية أو الحساسية، وبالتالي يجب أن تخضع لمستويات مختلفة من الحماية.
تخيلوا معي الأيام الأولى عندما كانت الشركات الأجنبية تتعامل مع البيانات الصينية بشكل عشوائي إلى حد ما. كانت هناك شركة أمريكية في قطاع التكنولوجيا الحيوية، أتذكر أن مديرها الإقليمي اتصل بي محبطًا في عام 2022 لأنه تلقى إشعارًا من الجهات الرقابية بشأن عدم امتثاله لأنظمة تصنيف البيانات. المشكلة؟ كانوا يخزنون بيانات صحية حساسة للموظفين في نفس الخوادم التي يستخدمونها للبيانات التسويقية العامة.
الصعوبة الحقيقية هنا لا تكمن في فهم القانون نفسه، بل في تطبيقه على أرض الواقع. فقانون أمن البيانات يقسم البيانات إلى ثلاث فئات رئيسية: البيانات العامة، والبيانات المهمة، والبيانات الأساسية. لكن التحدي يبدأ عندما تحاول تحديد أي فئة تنتمي إليها قطعة محددة من البيانات. هل بيانات سجل حضور الموظفين تعتبر "بيانات مهمة"؟ ماذا عن بيانات المبيعات الشهرية لشركة يبلغ حجم مبيعاتها السنوية 500 مليون يوان؟
في مكتبنا بشركة جياشي للضرائب والمحاسبة، أنشأنا فريقًا متخصصًا لمساعدة العملاء في هذا التصنيف. وكثيرًا ما نجد أن الشركات الأجنبية تتفاجأ عندما تكتشف أن بيانات تعتبرها "عادية" قد تُصنف في الصين ضمن البيانات المهمة، خاصة إذا كانت مرتبطة بقطاعات حيوية مثل الطاقة، النقل، أو الصحة العامة.
من خلال تجربتي، أستطيع القول إن أفضل نهج هو البدء بجرد شامل لجميع البيانات الموجودة لدى المؤسسة، ثم العمل بشكل تدريجي لتصنيفها وفق المعايير القانونية. لكن هذه العملية تحتاج إلى موارد وخبرات قد لا تكون متاحة بسهولة، بل أحيانًا يكون التواصل مع الجهات التنظيمية نفسها هو الحل الأفضل. فهي عادة ما تكون مستعدة لتقديم التوجيه العملي للمؤسسات الجادة في امتثالها.
## المعايير والضوابط
بعد سنوات من التعامل مع هذا الملف، أستطيع أن أؤكد أن المعايير والضوابط التي وضعها قانون أمن البيانات الصيني ليست مجرد بنود نظرية، بل هي أدوات عملية تتطلب فهمًا عميقًا للسياق المحلي والدولي معًا. فالمادة الحادية والعشرين من القانون تنص على أن الدولة تضع نظامًا لتصنيف البيانات وفقًا لأهميتها في التنمية الاقتصادية والاجتماعية، ومستوى الضرر الذي قد يلحق بالأمن القومي والمصالح العامة والمنافع المشروعة للأفراد والمنظمات في حالة تعرضها للتلف أو التعديل أو التسريب أو الفقدان.
اللافت للنظر أن القانون يمنح المؤسسات بعض المرونة في كيفية تنفيذ هذا التصنيف، لكنه في الوقت نفسه يفرض عقوبات صارمة على من يخالف ذلك. أذكر حالة حقيقية: شركة لوجستية ألمانية تعمل في الصين لديها بيانات عن حركة الشحنات عبر أراضي البلاد. هذه البيانات تبدو للوهلة الأولى غير حساسة، لكنها في الواقع تندرج تحت فئة "البيانات المهمة" لأنها تعكس أنماط التجارة الداخلية وحركة البضائع الاستراتيجية.
عندما أوضحت هذا الأمر لمديري تلك الشركة في اجتماع عُقد في مقرهم بفرانكفورت عبر الفيديو، صمتوا لعدة ثوانٍ ثم سألوني بلهفة: "هل يعني هذا أننا سنحتاج إلى إنشاء نظام إدارة بيانات جديد بالكامل؟" وكان جوابي: "ليس بالضرورة، لكنكم ستحتاجون إلى إعادة هيكلة كيفية تدفق البيانات وتخزينها".
من المهم أن ندرك أن القانون لا يحدد معايير تفصيلية جامدة للتصنيف، بل يترك ذلك للوائح التنفيذية والمعايير الوطنية التي تصدرها الجهات المختصة. هذه اللوائح تتطور باستمرار، وقد شهدنا في السنوات الثلاث الماضية عدة تحديثات جوهرية في هذا المجال. لهذا السبب، أنصح عملائي دائمًا بعدم الاعتماد على فهم ثابت للقانون، بل ببناء أنظمة مرنة قادرة على التكيف مع التغييرات.
هناك أيضًا ما يسمى بمعايير الصناعة، حيث تصدر بعض القطاعات مثل البنوك والاتصالات والطاقة معايير تصنيف خاصة بها تكون أكثر تفصيلاً من القانون العام. في عملي اليومي، أرى أن الشركات التي تعمل في هذه القطاعات تواجه تحديات إضافية، لكنها في المقابل تتمتع بإرشادات أوضح وأكثر تحديدًا لمساعدتها في الامتثال.
وأخيرًا، يجب أن لا ننسى البعد الدولي لهذه المعايير. الشركات الأجنبية العاملة في الصين تخضع أيضًا لقوانين حماية البيانات في بلدانها الأصلية، مثل اللائحة العامة لحماية البيانات (GDPR) في الاتحاد الأوروبي. التوفيق بين هذه المتطلبات الدولية والمحلية يتطلب خبرة متعمقة، وهذا بالضبط ما نقدمه في شركتنا لعملائنا.
## الحماية والتطبيق
الجزء الأكثر إثارة للاهتمام في نظام تصنيف البيانات هو كيفية تحويل هذا التصنيف إلى إجراءات حماية ملموسة على أرض الواقع. فالقانون لا يكتفي بتقسيم البيانات إلى فئات، بل يفرض أيضًا التزامات محددة لكل فئة، وهنا تأتي صعوبة التطبيق الفعلي.
دعوني أشارككم تجربة مررت بها مع شركة يابانية متخصصة في صناعة السيارات. كانت لديهم قاعدة بيانات ضخمة تضم أكثر من 3 ملايين سجل لعملائهم الصينيين. في البداية، صنفوا كل هذه البيانات على أنها "بيانات شخصية عادية" وطبقوا عليها مستوى حماية واحدًا. لكن عندما أجرينا تدقيقًا شاملًا، اكتشفنا أن حوالي 15% من هذه البيانات تحتوي على معلومات مالية تفصيلية عن العملاء، بما في ذلك سجلات الائتمان وتفاصيل الدفع.
المعضلة التي واجهناها آنذاك هي أن فصل هذه البيانات يتطلب تغييرًا جذريًا في البنية التحتية للأنظمة، وهذا يعني تكاليف إضافية لم تكن مدرجة في ميزانية ذلك العام. هذا بالضبط ما أحاول أن أوضحه لعملائي دائمًا: التصنيف الجيد المبكر يوفر عليك مشاكل كبيرة لاحقًا، والاستثمار فيه ليس ترفًا بل ضرورة تشغيلية.
من الناحية العملية، تتضمن تدابير الحماية التي يطلبها القانون ما يلي:
- تحديد مستويات مختلفة من صلاحيات الوصول إلى البيانات بناءً على تصنيفها
- تشفير البيانات المهمة والأساسية في حالة التخزين والنقل
- وضع خطط للاستجابة للحوادث الأمنية والاختبار المنتظم لها
- توثيق جميع عمليات معالجة البيانات والاحتفاظ بسجلات مفصلة
أتذكر أن إحدى العملاءات الفرنسيات في قطاع مستحضرات التجميل كانت محبطة جدًا من بطء عملية تنفيذ هذه المتطلبات في فرعها الصيني. في أحد الأيام قالت لي بأسى: "نحن ننفق ملايين اليوروهات على الامتثال في أوروبا، والآن ننفق أيضًا هنا، فلن يتبقى شيء للأرباح". أدرت الحديث بشكل مختلف: قلت لها إن تصنيف البيانات ليس مجرد تكلفة امتثال، بل هو أصل استراتيجي يساعدها على فهم عملائها بشكل أفضل، وبالتالي تحسين عروضها التجارية.
من المهم أيضًا أن نذكر أن القانون يفرض على "المعالجين الأساسيين" للبيانات المهمة إجراء تقييمات دورية للمخاطر، وتقديم تقارير منتظمة إلى الجهات الرقابية. هذه المتطلبات الإدارية تشكل عبئًا حقيقيًا على المؤسسات، خاصة إذا لم تكن لديها أتمتة جيدة لعمليات إدارة البيانات.
الملاحظة الأخيرة في هذا الجانب هي أن نظام الحماية لا يجب أن يكون متجمدًا أو ثابتًا. فمع تغير طبيعة البيانات أو ظروف المؤسسة، يجب تحديث التصنيفات وتعديلها وفقًا لذلك. هذه الديناميكية تتطلب أنظمة إدارة حوكمة بيانات قوية وناضجة.
## مسؤوليات المؤسسات
عندما أتحدث مع مديري الشركات الأجنبية عن مسؤولياتهم بموجب قانون أمن البيانات، كثيرًا ما ألاحظ صدمتهم الأولى عندما يدركون حجم هذه المسؤوليات. لا يتعلق الأمر فقط بتعيين مسؤول لحماية البيانات، بل يشمل ذلك أيضًا بناء نظام كامل للحوكمة يضمن الامتثال المستمر.
أتذكر شركة بريطانية في قطاع الخدمات المالية، كان لديها مكتب تمثيلي في شنغهاي. اكتشفنا أثناء مراجعة شاملة أنهم كانوا يرسلون نسخًا من عقود العملاء إلى المقر الرئيسي في لندن عبر البريد الإلكتروني العادي دون أي تشفير. عندما نبهتهم إلى أن هذا يعتبر انتهاكًا صريحًا لمتطلبات حماية البيانات المهمة، كان رد المسؤول المحلي: "لقد فعلنا هذا لسنوات ولم يحدث أي شيء". هذا صحيح، لكن غياب الحادث الأمني لا يعني أن الممارسة قانونية أو آمنة.
من أهم المسؤوليات التي يفرضها القانون على المؤسسات المتعاملين مع البيانات المهمة:
- تعيين مسؤول رئيسي لأمن البيانات (CDSO) يكون مسؤولاً عن الإشراف على جميع عمليات معالجة البيانات
- تطوير وتنفيذ خطة أمن بيانات استراتيجية تتماشى مع طبيعة العمل
- إجراء تقييم شامل لتأثير حماية البيانات عند تطوير منتجات أو خدمات جديدة
- التعاون بشكل نشط مع الجهات الرقابية في أعمال التفتيش والتدقيق
الجانب الأكثر تحديًا في هذه المسؤوليات هو بُعدها الدولي. فعندما تكون الشركة الأم خارج الصين، يكون من الصعب التوفيق بين توجيهات الإدارة العليا ومتطلبات القانون الصيني، خاصة عندما تتعارض هذه المتطلبات مع السياسات الداخلية للشركة الأم.
أحد الأمثلة التي أراها بشكل متكرر هي مسألة نقل البيانات عبر الحدود. فالشركات الأجنبية تحتاج عادة إلى إرسال بيانات إلى مقراتها الرئيسية لتحليلها، وهذا يتطلب وفق القانون الصيني موافقات خاصة أو تقييمات أمنية مسبقة. هذا الإجراء الإداري بدا لكثير من عملائي غير ضروري، لكنه في الواقع يحمي مصالح المؤسسة نفسها من جهة، ويضمن احترام سيادة البيانات الصينية من جهة أخرى.
أود أن أذكر هنا أن المسؤولية لا تنتهي عند وضع السياسات والإجراءات، بل تمتد إلى التدريب المستمر للموظفين ورفع وعيهم بأهمية حماية البيانات. أخبرني أحد العملاء ذات مرة أن أفضل استثمار قام به هو تدريب موظفيه على أساسيات أمن البيانات، لأن ذلك قلل من التقارير الداخلية عن الحوادث الأمنية البسيطة بشكل ملحوظ في الأشهر التي تلت التدريب.
## التحديات والآفاق
بعد أربعة عشر عامًا في هذا المجال، أستطيع أن أقول إن التحديات الكبرى التي نواجهها اليوم مختلفة تمامًا عما كانت عليه في البداية. ففي السنوات الأولى كان التحدي الأكبر هو شرح المفاهيم الأساسية للعملاء، أما اليوم فالتحدي يتعلق بمواكبة التطورات التكنولوجية والتشريعية السريعة.
أذكر أنني حضرت في عام 2023 مؤتمرًا حول البيانات الضخمة في بكين، وكان حديث غالبية الحضور يدور حول الذكاء الاصطناعي وتأثير ذلك على تصنيف البيانات. شركة صينية ناشئة كشفت حينها عن نظام جديد لتحديد البيانات المهمة بشكل تلقائي استنادًا إلى تحليل المحتوى والسياق، وهذا النوع من الابتكار سيشكل مستقبل هذا المجال.
التحديات الحالية والمستقبلية تتلخص في عدة نقاط:
- سرعة تطور التقنيات مثل الذكاء الاصطناعي وإنترنت الأشياء تفوق قدرة الجهات الرقابية على وضع القواعد
- تعقيد سلاسل الإمداد العالمية يجعل من الصعب تحديد مصدر البيانات وملكيتها بوضوح
- زيادة الوعي بحقوق الخصوصية لدى المستهلكين الصينيين، مما يضغط على المؤسسات لرفع مستوى الحماية
ولكن في نفس الوقت، هناك آفاق واعدة تجعلني متفائلًا. فالتقنيات الجديدة مثل الحوسبة السحابية اللامركزية وتقنيات الخصوصية التفاضلية تفتح طرقًا جديدة للحفاظ على أمان البيانات مع السماح باستخدامها لأغراض مشروعة.
بما أنني أتعامل مع الشركات الأجنبية بشكل أساسي، أرى أيضًا أن الصين تصبح مستقلة بشكل متزايد في معاييرها الرقمية، وهذا قد يشكل تحديًا للشركات التي اعتادت على اتباع نفس المعايير العالمية في كل أسواقها. من ناحية أخرى، بدأت بعض الشركات الكبرى في تطوير منتجات وصفتها "صينية المنشأ" تتوافق مع المتطلبات الصينية وتعمل بشكل منفصل عن الأنظمة العالمية.
أعتقد أن المستقبل سيشهد تطورًا في مفهوم "سيادة البيانات" ذاته، خاصة مع ظهور تقنيات مثل الحوسبة الكمومية التي قد تجعل طرق التشفير الحالية غير كافية. هذا يعني أن عملية التصنيف والتصنيف نفسها ستحتاج إلى تحديث مستمر لمواكبة هذه التطورات.
في سياق عملي اليومي، أنصح دائمًا عملائي بالنظر إلى ما هو أبعد من مجرد الامتثال القانوني. المؤسسات التي تبني ثقافة قوية لحماية البيانات وتحوّل الامتثال إلى ميزة تنافسية هي التي ستصمد في وجه التحديات القادمة.
## خلاصة وتوصيات
الوصول إلى النهاية... اسمحوا لي أن أستعيد معكم خط سير هذه المقالة. بدأنا بشرح أهمية نظام تصنيف وتقسيم البيانات في قانون أمن البيانات الصيني، ثم انتقلنا إلى استكشاف المعايير والضوابط التي يعتمد عليها هذا النظام، مرورًا بمسؤوليات المؤسسات وكيفية تطبيق الحماية بشكل فعلي، وانتهاءً بالتحديات والآفاق المستقبلية لهذا المجال المتطور.
الجوهر الذي أود أن يخرج به كل قارئ من هذه المقالة هو أن تصنيف البيانات ليس مجرد متطلب قانوني نلتزم به خوفًا من العقوبات، بل هو أداة استراتيجية تساعد المؤسسة على فهم بياناتها بشكل أعمق، وإدارة مخاطرها بشكل أفضل، واتخاذ قرارات تجارية أكثر حكمة. الشركات التي أدركت ذلك مبكرًا، مثل بعض كبار عملائي في قطاع التكنولوجيا الحيوية، تمكنت من تحويل تكلفة الامتثال إلى استثمار في الثقة والسمعة المؤسسية.
أما بالنسبة للصعوبات العملية والتحديات اليومية التي ذكرتها، فالحل يكمن دائمًا في بناء نظام حوكمة بيانات متين يستند إلى ثلاثة ركائز أساسية:
1. فهم عميق ومستمر للوائح والمعايير المنظمة
2. استثمار كافٍ في البنية التحتية التقنية والأمن السيبراني
3. ثقافة تنظيمية تقدر حماية البيانات كقيمة أساسية لا كتكلفة إضافية
أتذكر في بداية مسيرتي المهنية، كان زملائي في المكتب يمزحون معي قائلين إنني أصبحت فلسفيًا أكثر من اللازم عندما أتحدث عن البيانات. لكن بعد اكثر من عقد من الممارسة، أدركت تمامًا أن الحديث عن البيانات هو حديث عن الثقة والنظام والمسؤولية، وهذا ما لا يمكن أن يكون مجرد "تقنية"، بل يجب أن يكون جزءًا لا يتجزأ من هوية أي مؤسسة تحترم نفسها.
---
### رؤية شركة جياشي للضرائب والمحاسبة
تؤكد شركة جياشي للضرائب والمحاسبة، من خلال عملها اليومي مع الشركات الأجنبية في السوق الصيني، على أن نظام تصنيف وتقسيم البيانات بموجب قانون أمن البيانات لا يمثل مجرد التزام قانوني شكلي، بل هو حجر الأساس لأي استراتيجية امتثال مؤسسي ناضجة. فمنذ صدور القانون، قمنا بتطوير منهجيات متكاملة تساعد عملاءنا على تحويل متطلبات هذا النظام إلى ممارسات عملية تدمج بين البعدين المحلي والدولي.
وإدراكًا منا للصعوبات التي تواجهها المؤسسات متعددة الجنسيات، أنشأنا وحدة متخصصة في استشارات حماية البيانات تعمل على تقييم المخاطر، وإعداد ملفات التصنيف والتقسيم، وتدريب الفرق المحلية والدولية. كما نعمل بشكل وثيق مع مكاتب المحاماة المحلية والدولية لضمان توافق الحلول التي نقدمها مع التحديثات القانونية المستمرة. ثقة عملائنا وراحة بالهم في التعامل مع هذا الملف الحساس هي المقياس الحقيقي لنجاحنا، ونأمل أن نكون دائمًا عند مستوى هذه الثقة.
---
مقالات ذات صلة
