في السنوات الأخيرة، شهدنا تشديدًا كبيرًا في متطلبات حماية الخصوصية حول العالم. فقد أنشأت لوائح مثل GDPR في أوروبا، وCCPA في كاليفورنيا، وPIPEDA في كندا، وتشريعات أخرى في العديد من الدول، معيارًا جديدًا لإدارة المعلومات الشخصية. وفي إسرائيل، يمثل التعديل 13 لقانون حماية الخصوصية خطوة مهمة أخرى في هذا الاتجاه.
بالنسبة للمؤسسات التي تجري فحوصات خلفية تعتمد على الاستخبارات من مصادر المعلومات المفتوحة (OSINT)، يُطرح أحيانًا سؤال حول ما إذا كانت هذه اللوائح ستجعل هذه الفحوصات مستحيلة أو ستضر بفعاليتها.
الإجابة المهنية هي لا.
تغيّر اللائحة الطريقة التي تُجرى بها الفحوصات، لكنها لا تلغي الحاجة إليها ولا تمنع إجراء فحوصات عالية الجودة عندما تُنفَّذ بطريقة مهنية وقانونية ومتناسبة.
ما هو التعديل 13 لقانون حماية الخصوصية؟ يهدف التعديل 13 إلى تعزيز قدرات الإنفاذ لدى هيئة حماية الخصوصية ومواءمة القانون الإسرائيلي مع المعايير الدولية الحديثة. ومن بين أمور أخرى، يمنح التعديل هيئة حماية الخصوصية صلاحيات إنفاذ أوسع، ويزيد بشكل كبير من حجم الغرامات المالية، ويلزم المؤسسات بإدارة المعلومات الشخصية بطريقة أكثر مسؤولية، ويعزز مساءلة أصحاب قواعد البيانات ومعالجي البيانات، ويقوّي حقوق أصحاب البيانات. ومن الناحية العملية، فإن المعنى بالنسبة للمؤسسات هو أن انتهاك أحكام الخصوصية قد يتحول إلى مخاطرة تجارية وقانونية وسمعية كبيرة.
كيف تؤثر لوائح الخصوصية على فحوصات الخلفية؟ إن الخطأ الأكثر شيوعًا هو الاعتقاد بأن تشريعات الخصوصية تحظر جمع المعلومات. في الواقع، لا تحظر معظم اللوائح في العالم جمع المعلومات الشخصية بشكل شامل. فهي تشترط أن يتم الجمع على أساس مبادئ واضحة: غرض مشروع، والتناسب، والشفافية، وتقليل البيانات، وأمن المعلومات، والاحتفاظ المحدود زمنيًا. أي أن السؤال ليس "هل يُسمح بجمع المعلومات؟"، بل "ما هي المعلومات التي تُجمع، ولماذا تُجمع، وكيف تُستخدم؟".
استخدام OSINT ليس معفى من قوانين الخصوصية. هناك تصور خاطئ آخر مفاده أن المعلومات المنشورة على الإنترنت "حرة الاستخدام". إن كون المعلومات موجودة على الشبكة لا يلغي كونها معلومات شخصية. على سبيل المثال: الملف الشخصي على لينكدإن، والمنشورات على وسائل التواصل الاجتماعي، والمقالات الإخبارية، والسجلات التجارية، والمحتويات في المنتديات. كل هذه قد تُعتبر معلومات شخصية وتخضع لقوانين الخصوصية. لذلك، لا يمكن للمؤسسة التي تجري فحوصات خلفية أن تعتمد على الادعاء بأن المعلومات كانت "علنية" فحسب.
كيف يمكن إجراء فحوصات خلفية عالية الجودة بما يتوافق مع اللوائح؟
تحديد غرض واضح: ينبغي أن تكون فحوصات الخلفية مرتبطة مباشرة بالمخاطر التي تسعى المؤسسة إلى الحد منها. مثلًا: كشف تضارب المصالح، وتحديد عمليات الاحتيال السابقة، وكشف السلوكيات التي قد تضر بالمؤسسة، وفحص مخاطر السمعة، وتحديد العلاقات التجارية الإشكالية. وقد يُعتبر جمع المعلومات غير المرتبطة بهذا الغرض خروجًا عن مبدأ التناسب.
جمع المعلومات ذات الصلة فقط: لا يُقاس الفحص المهني بكمية المعلومات التي تُجمع بل بجودة المعلومات. في كثير من الحالات، يزيد فائض المعلومات في الواقع من صعوبة اتخاذ القرارات. والنهج الصحيح هو التركيز على المعلومات ذات القيمة التجارية الحقيقية وربطها بتقييم المخاطر المطلوب.
الاستعانة بمحللين بشريين: إحدى المشكلات المركزية في الفحوصات الآلية هي الجمع الهائل للمعلومات دون سياق. يعرف المحلل المهني كيف يميز بين الحقيقة والرأي، ويقارن المصادر، ويحدد الأخطاء في التعرّف، ويفهم السياقات الثقافية واللغوية، ويمارس حسن التقدير. وفي عالم تسوده لائحة صارمة بالتحديد، تزداد قيمة العنصر البشري.
الشفافية والموافقة عند الحاجة: في عمليات توظيف الموظفين أو بعض التعاقدات، يُوصى بالحصول على موافقة صريحة لإجراء فحص الخلفية. وحتى عندما لا يلزم القانون بذلك بشكل كامل، فإن الموافقة الواضحة تعزز شرعية العملية وتقلل من المخاطر القانونية.
حذف المعلومات والاحتفاظ المحدود: أحد المبادئ الأساسية في معظم لوائح الخصوصية هو تقييد مدة الاحتفاظ. بعد إتمام الفحص واتخاذ القرار التجاري، ينبغي فحص ما إذا كان هناك مبرر لمواصلة الاحتفاظ بالمعلومات، وما إذا كان من الممكن حذف التقارير، وما إذا كانت هناك حاجة للاحتفاظ الجزئي بالبيانات فقط. يقلل هذا النهج من مخاطر أمن المعلومات ويخفّض التعرض التنظيمي.
ميزة OSINT تحديدًا في عصر الخصوصية: من المفارقات أن لوائح الخصوصية تعزز تحديدًا مكانة فحوصات OSINT عالية الجودة. في الماضي، اعتمدت العديد من المؤسسات على جمع المعلومات من قواعد بيانات عديدة، بعضها إشكالي من الناحية القانونية. أما اليوم، فينتقل التركيز إلى المعلومات التي تُجمع من مصادر مفتوحة وقانونية وموثقة وقابلة للتحقق. وعندما يُجرى الفحص بطريقة مهنية، يمكن الوصول إلى رؤى مهمة حتى دون الوصول إلى معلومات خاصة أو سرية. في كثير من الحالات، توفر المعلومات المفتوحة تحديدًا أهم المؤشرات المتعلقة بالسلوك، والعلاقات التجارية، ومخاطر السمعة، أو تضارب المصالح.
المفتاح هو Governance وليس الحظر: إن الرسالة المركزية للتعديل 13 ولوائح الخصوصية في العالم ليست "لا تجروا فحوصات خلفية". بل الرسالة هي: أجروها بطريقة مسؤولة. فالمؤسسات التي تبني عمليات عمل منظمة، وتحرص على التناسب، وتُفعّل آليات الرقابة، وتستعين بمحللين مهنيين، ستتمكن من مواصلة إجراء فحوصات خلفية بالغة الفعالية حتى في ظل لائحة صارمة.
في الواقع، في عالم تصبح فيه التهديدات الداخلية، وعمليات الاحتيال، وانتحال الهوية المعتمد على AI، وتضارب المصالح أكثر تعقيدًا، فإن الحاجة إلى فحوصات خلفية مهنية تتزايد باستمرار.
التحدي الجديد ليس إيجاد المعلومات. التحدي هو معرفة كيفية جمع المعلومات الصحيحة، واستخدامها بطريقة قانونية، واستخلاص رؤى ذات قيمة حقيقية منها لاتخاذ القرارات.