كل أداة سحابية جديدة تعتمدها كلية أو جامعة، سواء كانت تكاملًا مع منصة التعلم، أو مزامنة للجداول، أو خدمة لمراقبة الاختبارات، أو مساعدًا محادثيًا، تعني انتقال معلومات شخصية للطلبة أو الموظفين إلى شركة من خارج المؤسسة. ومنذ دخول قانون 25 في كيبيك حيز التنفيذ على مراحل بين سبتمبر 2022 وسبتمبر 2024، أصبح لزامًا تقييم هذا الانتقال وتأطيره تعاقديًا وتوثيقه قبل أن يبدأ.
وتظهر هذه الالتزامات في لحظات متوقعة: عند صياغة طلب العروض، وحين يتحول مشروع تجريبي بهدوء إلى خدمة فعلية، وعند تجديد العقد، وحين يسجّل مدرّس في تطبيق مجاني مستخدمًا قائمة طلبته. كُتبت هذه القائمة لمديري تقنية المعلومات ومسؤولي المشتريات ومسؤولي حماية المعلومات الشخصية في الكليات والجامعات، وهي تشرح القانون بعبارات عامة. ليست استشارة قانونية، وينبغي تأكيد التفاصيل الخاصة بمؤسستكم مع مسؤول حماية المعلومات الشخصية أو المستشار القانوني.
وإذا كانت مؤسستكم خارج كيبيك، فتحققوا من قواعد حماية البيانات التي تنطبق عليكم. ومع ذلك تبقى هذه القائمة نموذجًا مفيدًا يمكن استخدامه إلى جانب اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) وأنظمة حماية البيانات المحلية لديكم.
ما الذي يشترطه قانون 25 حين تشتري مؤسسة حلًا سحابيًا؟
قانون 25، واسمه الرسمي «قانون تحديث الأحكام التشريعية المتعلقة بحماية المعلومات الشخصية»، عدّل القانونين الرئيسيين لحماية المعلومات الشخصية في كيبيك: قانون الهيئات العامة، الذي يشمل عمومًا الكليات والجامعات، وقانون القطاع الخاص، الذي يشمل معظم الموردين. وعند شراء حل سحابي، تبرز ستة التزامات.
- مسؤول عن حماية المعلومات الشخصية. في الهيئة العامة، يعود هذا الدور افتراضيًا إلى صاحب أعلى سلطة فيها، ويجوز له تفويضه كتابيًا. وينبغي إشراك هذا الشخص، ومعه في الغالب لجنة الوصول إلى المعلومات وحماية المعلومات الشخصية في المؤسسة، في كل مشروع يمس المعلومات الشخصية.
- تقييم الأثر على الخصوصية. يجب على الهيئات العامة تقييم أثر أي مشروع لاقتناء نظام معلومات أو خدمة إلكترونية تنطوي على معلومات شخصية، أو تطويرهما أو إعادة بنائهما، وذلك منذ بداية المشروع.
- تقييم قبل خروج المعلومات من كيبيك. قبل نقل المعلومات الشخصية خارج كيبيك، بما في ذلك حين يستضيفها المورد أو يعالجها في مكان آخر، يجب على المؤسسة أن تقيّم هل ستحظى بحماية كافية. ويراعي التقييم حساسية المعلومات والغرض منها وتدابير الحماية والإطار القانوني في جهة الوصول، ويجب أن يستند النقل إلى اتفاق مكتوب.
- ضمانات تعاقدية. حين يعالج مزود خدمة معلومات شخصية لحساب المؤسسة، يجب أن يكون العقد مكتوبًا، وأن يحدد التدابير التي تحمي السرية، ويحصر الاستخدام في نطاق العقد، ويضمن ألا يحتفظ المورد بالمعلومات بعد انتهائه. ويجب على المورد الإبلاغ عن أي انتهاك أو محاولة انتهاك للسرية، ويجب أن تتمكن المؤسسة من التحقق.
- التعامل مع الحوادث التي تمس السرية. يجب على المؤسسة اتخاذ تدابير معقولة لتقليل خطر الضرر، والاحتفاظ بسجل للحوادث، وإذا كان هناك خطر ضرر جسيم، إبلاغ لجنة الوصول إلى المعلومات في كيبيك (CAI) والأشخاص المعنيين دون تأخير.
- الحفظ والإتلاف. لا تُحفظ المعلومات الشخصية إلا للمدة التي يتطلبها الغرض منها، ثم تُتلف أو تُجهَّل هويتها، وفق جدول الحفظ في المؤسسة.
ولا يفرض قانون 25 صيغة معينة للسجلات. لكن السجلات هي ما يتيح الإجابة عن الأسئلة التي يطرحها القانون: من اطّلع على هذا الملف، وما الذي تغيّر، ومتى، وهل أوجد الحادث خطر ضرر جسيم؟ ومن دونها يصبح تقييم الحادث ضربًا من التخمين.
ما كلفة الخطأ؟
- التأخير. تقييم للأثر يبدأ بعد المرحلة التجريبية قد يعيد المشروع إلى نقطة الصفر، أحيانًا قبل أسابيع من بداية الفصل.
- حوادث يتعذر تقييمها. إذا عجز المورد عن تحديد ما جرى الاطلاع عليه ومن قام بذلك، لا تستطيع المؤسسة الحكم على خطر الضرر الجسيم، وقد ينتهي بها الأمر إلى إبلاغ أوسع من اللازم أو متأخر.
- التعرض للعقوبات. عزّز قانون 25 صلاحيات الرقابة لدى لجنة الوصول إلى المعلومات والعقوبات التي قد تترتب على مخالفة القانون.
- الثقة. يتوقع الطلبة والموظفون أن تعرف مؤسستهم أين توجد بياناتهم. والحادث الذي يقع لدى المورد يظل، في نظر الجمهور، حادثًا يخص المؤسسة.
ما الذي لا ينجح؟
الاعتماد على شارة امتثال. عبارة «متوافق مع قانون 25» على موقع المورد ادعاء تسويقي. فالامتثال التزام على المؤسسة لاستخدام محدد، ولا يمكن لأي مورد أن يكون ممتثلًا نيابةً عنكم.
الخلط بين كندا وكيبيك. قاعدة قانون 25 تتعلق بالمعلومات التي تخرج من كيبيك. فالاستضافة في أونتاريو، أو فريق دعم في مكان آخر يمكنه الوصول إلى بيانات التشغيل، تُعد نقلًا خارج كيبيك يحتاج إلى تقييم خاص به.
قبول الشروط القياسية بنقرة واحدة. نادرًا ما تتضمن شروط الخدمة المنشورة على الإنترنت الضمانات التي يتوقعها قانون 25: حصر الاستخدام في العقد، والإبلاغ عن الانتهاكات إلى المسؤول لديكم، وحق التحقق، والإتلاف عند انتهاء العقد.
إجراء تقييم الأثر بعد المرحلة التجريبية. في هذه المرحلة تكون البيانات قد انتقلت بالفعل، ويتحول التقييم إلى تبرير لا إلى قرار.
إغفال الأدوات المجانية. التطبيق المجاني الذي يسجّل فيه مدرّس بقائمة طلبته ينطوي هو أيضًا على نقل لمعلومات شخصية، ويجب أن تشمله سياستكم.
قائمة التحقق
استخدموا هذه الأسئلة في طلب العروض، واستبيان الموردين، ومراجعة العقد. واطلبوا أدلة، لا إجابات فقط.
قبل طرح طلب العروض
- حدّدوا المعلومات الشخصية المعنية: الأرقام الجامعية، والأسماء، والتسجيلات، والدرجات، والجداول، والصور، وترتيبات التيسير.
- أشركوا منذ البداية المسؤول عن حماية المعلومات الشخصية، وعند الاقتضاء لجنة الوصول إلى المعلومات وحماية المعلومات الشخصية.
- ابدؤوا تقييم الأثر أثناء صياغة المتطلبات، كي تُسهم نتائجه في تشكيلها.
أسئلة للمورد
- أين تُستضاف البيانات بالضبط، بما في ذلك النسخ الاحتياطية والسجلات ومواقع التعافي من الكوارث؟ وهل يوجد شيء منها خارج كيبيك؟
- من هم المتعاقدون من الباطن (مزود الاستضافة السحابية، والبريد الإلكتروني، والدعم، والتحليلات) الذين يمكنهم الوصول إلى البيانات، وأين يقعون؟
- هل يحتفظ المنتج بنسخة خاصة به من المعلومات الشخصية، أم يقرأ ويكتب في أنظمتكم مباشرة؟
- ما الذي يُسجَّل (عمليات الدخول، والوصول إلى البيانات، والتصدير، وتغييرات الإعدادات)، ولأي مدة، وهل يمكن للمؤسسة الاطلاع على سجلاتها؟
- هل السجلات محمية من التلاعب، وهل تتجنب تخزين المعلومات الشخصية بنص واضح؟
- خلال أي مهلة سيبلغكم المورد بحادث يمس السرية، ومن سيتواصل معكم؟
- كيف تُدار الثغرات الأمنية: مهل الإصلاح حسب الخطورة، واختبارات الاختراق المستقلة، وتقرير يمكنكم قراءته؟
- هل برنامج الأمن معتمد (مثل ISO 27001 أو SOC 2) أم متوافق مع إطار مرجعي فحسب؟ قد يكون كلاهما مقبولًا، لكن اعرفوا أيهما تحصلون عليه.
- هل يمكنكم تصدير بياناتكم بصيغة منظمة وشائعة الاستخدام؟
في العقد
- حصر استخدام المعلومات الشخصية في الخدمات المنصوص عليها في العقد.
- وصف تدابير السرية والأمن، لا مجرد التعهد بها.
- الإبلاغ عن أي انتهاك أو محاولة انتهاك إلى المسؤول لديكم خلال مهلة محددة.
- حقكم في التدقيق، أو في الحصول على أدلة التدقيق.
- إتلاف المعلومات الشخصية أو إعادتها عند انتهاء العقد، مع تأكيد مكتوب.
- اتفاق مكتوب يغطي أي نقل خارج كيبيك يكشفه تقييم الأثر.
بعد التشغيل
- راجعوا صلاحيات الوصول وسجلات التكامل مرة واحدة في السنة على الأقل.
- حدّثوا تقييم الأثر كلما تغيّر النطاق: وحدة جديدة، أو حقل بيانات جديد، أو متعاقد جديد من الباطن.
كيف تتناول LS2 المسألة
LS2 Innovation شركة مقرها مونتريال، وقد صُمّمت حلولها للتعليم العالي، Teameo وClasseo وCalendo، لتجيب عن الأسئلة السابقة بوثائق لا بشعارات.
- استضافة داخل كيبيك. تعمل Teameo وClasseo وCalendo على بنية تحتية مستضافة في كيبيك، وتُنسخ السجلات نسخًا متماثلة داخل كيبيك.
- لا نسخة ثانية من ملفات الطلبة. تقرأ الحلول نظام معلومات الطلبة (SIS) وتكتب في مستأجر Microsoft 365 أو موقع Moodle أو التقويمات الخاصة بالمؤسسة، ولا تحتفظ بنسخة دائمة من بيانات الطلبة خارج هذه الأنظمة.
- سجل تدقيق لكل إجراء. كل صف يُنشأ، وكل تسجيل يُزامَن، وكل تغيير في الإعدادات، وكل أرشفة، يحمل ختمًا زمنيًا ويُنسب إلى المستخدم أو الخدمة التي نفذته. وتسجّل السجلات معرّفات تقنية بدل الأسماء أو الدرجات، وتُكتب بطريقة الإضافة فقط، ويمكن للمؤسسة الاطلاع على سجلات التكامل الخاصة بها في لوحة إدارة المنتج. وتُحفظ سجلات الأمن والتدقيق 24 شهرًا، وسجلات المزامنة 12 شهرًا، وهي مدة يمكن للمؤسسة ضبطها.
- أسس الأمن. تُشفَّر بيانات العملاء أثناء التخزين (AES-256) وأثناء النقل (TLS 1.2 كحد أدنى)، والمصادقة متعددة العوامل إلزامية لأي وصول إلى بيئة التشغيل.
- التزامات بشأن الحوادث والثغرات. تنص السياسات المنشورة لـ LS2 على إبلاغ المؤسسات المتأثرة خلال 72 ساعة من تأكيد الحادث، والتنسيق مع لجنة الوصول إلى المعلومات حين يقتضي قانون 25 ذلك، وإصلاح الثغرات ضمن مهل تُحدَّد حسب خطورتها، وإجراء اختبار اختراق سنوي على يد جهة مستقلة، مع ملخص تنفيذي متاح للعملاء عند الطلب.
الوثائق المرجعية منشورة باللغة الفرنسية على ls2.io: إعلان الممارسات الجيدة في أمن المعلومات، وسياسة إدارة الثغرات، وسياسة تسجيل الأحداث، ويخضع استخدام كل مؤسسة للحلول للاتفاقيات الموقّعة معها. وقد صُمّمت الحلول لتلبية متطلبات قانون 25 واللائحة العامة لحماية البيانات (GDPR) معًا. ولأسئلة أخرى، تواصلوا مع الفريق. ولمعرفة موقع هذه الخطوات في مشروع النشر، اقرؤوا من التوقيع إلى أول محاضرة: خطة واقعية لنشر تكامل نظام معلومات الطلبة.
أهم النقاط
- يجعل قانون 25 الخصوصية خطوة من خطوات الشراء: يُقيَّم المشروع قبل أن تصل المعلومات الشخصية إلى المورد.
- الاستضافة في كندا ليست استضافة في كيبيك، وكل نقل للمعلومات خارج المقاطعة يحتاج إلى تقييم خاص به.
- يجب أن يحدد العقد تدابير السرية، وحصر الاستخدام، والإبلاغ عن الانتهاكات، وحق التحقق، والإتلاف عند انتهاء العقد.
- اطلبوا أدلة مثل السياسات ومقتطفات السجلات وتقارير الاختبارات، لا عبارة «متوافق مع قانون 25».
- تحققوا من انطباق كل التزام على مؤسستكم مع مسؤول حماية المعلومات الشخصية أو المستشار القانوني لديكم.
تحتاجون إلى إجابات لتقييم الأثر على الخصوصية؟
عرض توضيحي مدته 30 دقيقة يوضح أين تستضيف LS2 البيانات، وما الذي يسجله سجل التدقيق، والوثائق التي سيطلبها مسؤول حماية المعلومات لديكم.
احجز عرضًا توضيحيًاأسئلة شائعة
هل ينطبق قانون 25 على الكليات والجامعات في كيبيك؟
نعم. فقد عدّل قانون 25 تشريعات كيبيك المتعلقة بحماية المعلومات الشخصية في القطاعين العام والخاص، وتخضع الكليات العامة (cégeps) والجامعات عمومًا لقانون القطاع العام الخاص بالوصول إلى الوثائق وحماية المعلومات الشخصية. وعمليًا يعني ذلك تقييمات للأثر على الخصوصية للأنظمة الجديدة، وضمانات تعاقدية مع الموردين، وإجراءً للتعامل مع الحوادث. ويمكن لمسؤول حماية المعلومات أو المستشار القانوني تأكيد التفاصيل.
هل يمكن لكلية في كيبيك استخدام مورد يستضيف البيانات خارج المقاطعة؟
لا يمنع قانون 25 ذلك، لكنه يضيف خطوة. فقبل نقل المعلومات الشخصية خارج كيبيك، بما في ذلك إلى مقاطعة كندية أخرى، يجب على المؤسسة أن تقيّم هل ستحظى بحماية كافية، مع مراعاة حساسيتها والغرض منها وتدابير الحماية والإطار القانوني في جهة الوصول. ويجب أن يستند النقل إلى اتفاق مكتوب. والاستضافة داخل كيبيك تُغني عن هذا التقييم الإضافي فيما يخص الاستضافة نفسها.
ما الذي يجب أن يفعله المورد بعد وقوع حادث يمس السرية؟
أن يُبلغ المؤسسة بسرعة وبتفاصيل كافية للتصرف. فبموجب قانون 25، يجب على المؤسسة اتخاذ تدابير معقولة لتقليل خطر الضرر، وتدوين الحادث في سجلها، وإذا كان هناك خطر ضرر جسيم، إبلاغ لجنة الوصول إلى المعلومات في كيبيك والأشخاص المعنيين دون تأخير. وينبغي أن يحدد العقد مهلة للإبلاغ ويُلزم المورد بالتعاون وإتاحة سجلاته.
هل تكفي عبارة «متوافق مع قانون 25» في عملية الشراء؟
لا. فالامتثال التزام على المؤسسة يُقيَّم لاستخدام محدد، ولا يمكن لأي مورد أن يكون ممتثلًا نيابةً عنكم. ما يستطيعه المورد هو تزويدكم بالأدلة التي تحتاجون إليها: أين تُستضاف البيانات، وما الذي يُسجَّل ولأي مدة، وكيف تُعالَج الحوادث، وكيف تُتلف البيانات عند انتهاء العقد، ومن هم المتعاقدون من الباطن المعنيون.