أدلة الامتثال حسب البلد
إجابات لكل ولاية قضائية على حدة — ما الذي يتطلبه قانون حماية البيانات في كل دولة تحديدًا، وكيف تعالجه بنية Cyber Crucible. الخليج وأفريقيا وأوروبا والمملكة المتحدة.
- هل تمتثل Cyber Crucible لقانون حماية البيانات الشخصية في المملكة العربية السعودية؟
- هل تلتزم Cyber Crucible بقانون حماية البيانات في الإمارات العربية المتحدة؟
- هل تمتثل Cyber Crucible لقانون حماية البيانات في البحرين؟
- هل تمتثل Cyber Crucible لقانون حماية البيانات في قطر؟
- هل تمتثل Cyber Crucible لقانون حماية البيانات الشخصية في سلطنة عُمان؟
- الكويت لا تملك قانونًا شاملاً لحماية البيانات — ماذا يعني ذلك عند اختيار المورّدين؟
- هل تمتثل Cyber Crucible لقانون حماية البيانات في كينيا؟
- هل تفي Cyber Crucible بمتطلبات التوطين المحلي للبيانات في نيجيريا؟
- هل تمتثل Cyber Crucible لقانون POPIA في جنوب أفريقيا؟
- هل تمتثل Cyber Crucible لقانون حماية البيانات في مصر؟
- هل تلتزم Cyber Crucible بقانون حماية البيانات في غانا؟
- هل تلبي Cyber Crucible متطلب توطين البيانات في زامبيا؟
- هل تمتثل Cyber Crucible لقانون حماية البيانات في رواندا؟
- هل تمتثل Cyber Crucible لقانون حماية البيانات في المغرب؟
- ما هي متطلبات حماية البيانات في ليبيا؟
- هل تلتزم Cyber Crucible بمتطلبات GDPR؟
- هل تمتثل Cyber Crucible للائحة UK GDPR؟
هل تمتثل Cyber Crucible لقانون حماية البيانات الشخصية في المملكة العربية السعودية؟
الإجابة المختصرة: قامت Cyber Crucible بمراجعة عملياتها في ضوء قانون حماية البيانات الشخصية في المملكة العربية السعودية، وتستخدم بنودًا تعاقدية قياسية معتمدة من الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) لأي نقل لبيانات شخصية ذات منشأ سعودي، ويمكن نشرها بالكامل داخل المملكة دون أي تدفق عابر للحدود. وهي تجمع فقط بيانات القياس عن بُعد الخاصة بالنظام والأمان — ولا تجمع أبدًا محتويات الملفات أو المستندات أو رسائل البريد الإلكتروني أو الاتصالات.
ما يتطلبه القانون
دخل قانون حماية البيانات الشخصية (PDPL) حيز التنفيذ في 14 سبتمبر 2023 مع فترة سماح حتى 14 سبتمبر 2024. وتحافظ المملكة العربية السعودية على واحدة من أقوى تفضيلات التوطين في منطقة الخليج، وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA). ويتطلب نقل البيانات خارج المملكة ضمانة معترفًا بها، بالإضافة إلى تقييم لمخاطر النقل في معظم الحالات.
ما ينطبق تحديدًا هنا
- البنود التعاقدية القياسية المعتمدة مسبقًا من SDAIA تُستخدم لأي نقل لبيانات شخصية ذات منشأ سعودي إلى الولايات المتحدة، وتُعتمد دون أي تعديل باستثناء الحقول المطلوبة، وتمتد لتشمل أي معالج فرعي لاحق.
- تم إجراء تقييم لمخاطر النقل وفقًا للإرشادات المنظمة الصادرة عن SDAIA — تدفقات البيانات، والنظام القانوني في جهة الوصول، والضوابط، والمخاطر المتبقية، وإجراءات التخفيف الموثقة.
- دور المعالج — تعمل Cyber Crucible عادةً بصفتها معالجًا للبيانات بموجب اتفاقية معالجة بيانات مكتوبة؛ ويكون العميل السعودي هو المتحكم في البيانات.
- الممثل المحلي بموجب المادة 33 — بصفتها معالجًا، يقع هذا الالتزام على عاتقكم بصفتكم المتحكم في البيانات.
المسار الأمثل
نظرًا لتفضيل التوطين، فإن النشر المحلي بالكامل المعزول (air-gapped) يمثل الإجابة الأقوى: تكون جميع إدارة الأنظمة الخلفية داخل الخزائن (racks) المؤمّنة ماديًا الخاصة بكم، دون أي بيانات قياس عن بُعد صادرة. وحيثما لا يعبر شيء الحدود، لا تنشأ التزامات النقل.
البنود التعاقدية القياسية وتقييم مخاطر النقل متاحان من خلال dpo@cybercrucible.com. الوضع صحيح وقت الكتابة — يُرجى التأكد من المتطلبات الحالية مع المستشار القانوني المحلي.
هل تلتزم Cyber Crucible بقانون حماية البيانات في الإمارات العربية المتحدة؟
الإجابة المختصرة: نعم، ضمن نفس البنية — جمع بيانات في حده الأدنى، ومعالجة محلية، وخيارات نشر لا تخرج فيها البيانات من الدولة أبدًا. توجد نقطة خاصة بالإمارات تستحق الانتباه: إذا كان كيانك يقع في مركز دبي المالي العالمي (DIFC) أو سوق أبوظبي العالمي (ADGM)، فإن نظامًا مختلفًا ينطبق بدلاً من القانون الاتحادي.
ما يتطلبه القانون
يُنشئ المرسوم بقانون اتحادي رقم 45 لسنة 2021 الإطار الاتحادي لحماية البيانات الشخصية. وهو يسمح بمجموعة أوسع من الأسانيد القانونية مقارنة بأنظمة الخليج الأخرى الأكثر تركيزًا على الموافقة، ويتبنى نهجًا قائمًا على المخاطر ومرتكزًا على الضمانات في التعامل مع النقل عبر الحدود، بدلًا من التوطين الصارم. وقد اعتمد التطبيق على اللوائح التنفيذية — وهو مجال شهد تحركًا، لذا يُرجى التأكد من الوضع الحالي.
مسألة المناطق الحرة
هذه نقطة كثيرًا ما تُغفَل. يعمل مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) بنظامَي حماية بيانات خاصَّين بهما، منفصلين عن القانون الاتحادي. فإذا كان كيانك مُسجَّلًا في أيٍّ منهما، فإن القواعد المعمول بها والجهة الرقابية المختصة تختلف.
يجب تحديد الإطار القانوني الذي ينطبق على كيانك قبل تقييم أي مزود — فالإجابة تُغيّر ما يتعين عليك إثباته.
ما ينطبق هنا بالتحديد
- مرونة الأساس القانوني — تعني المجموعة الأوسع من الأسانيد أن منطق "المصلحة المشروعة" للمعالجة الأمنية يكون بشكل عام أكثر قابلية للتطبيق مقارنة بالأنظمة القائمة على الموافقة.
- ضمانات النقل — تضمن الاستضافة الإقليمية بقاء المعالجة داخل الإمارات؛ ويزيل النشر المعزول تمامًا (air-gapped) عملية النقل من الأساس.
- دور المعالج بموجب اتفاقية معالجة بيانات (DPA) مكتوبة، وفق تعليماتك الموثقة.
الحالة وقت كتابة هذا المحتوى — يُرجى التأكد من المتطلبات الحالية، بما في ذلك اللوائح التنفيذية وسريان أحكام المناطق الحرة، من خلال مستشار قانوني محلي.
هل تمتثل Cyber Crucible لقانون حماية البيانات في البحرين؟
الإجابة المختصرة: نعم. قانون البحرين مستوحى بشكل كبير من اللائحة العامة لحماية البيانات (GDPR) وله نطاق يتجاوز الحدود الإقليمية، لذا فإن الضوابط ذاتها التي تلبي متطلبات GDPR تنطبق هنا — الجمع الأدنى للبيانات، وتوثيق دور الجهة المعالجة، وضمانات أمنية قوية، ونقل بيانات خاضع للرقابة.
ما الذي يتطلبه القانون
لدى البحرين قانون مستقل لحماية البيانات ساري المفعول منذ عام 2019. وغالبًا ما يُستشهد به باعتباره من بين الأكثر وضوحًا ونضجًا في منطقة الخليج، إذ يتضمن حقوقًا قوية لأصحاب البيانات، والتزامات صريحة بالمساءلة، بالإضافة إلى نطاق تطبيق يتجاوز الحدود الإقليمية — بمعنى أنه يمكن أن يشمل الموردين خارج البحرين الذين يعالجون بيانات المقيمين البحرينيين.
ما الذي ينطبق تحديدًا هنا
النطاق الذي يتجاوز الحدود الإقليمية هو النقطة الجديرة بالملاحظة. فهذا يعني أن السؤال لا يقتصر فقط على ما إذا كنتم أنتم ممتثلين، بل يمتد إلى ما إذا كان الموردون لديكم ممتثلين أيضًا.
- المساءلة — قائمة البيانات المستبعدة (لا مفاتيح، ولا بيانات اعتماد، ولا رموز مميزة، ولا محتوى) صريحة وموثقة بدلاً من أن تُوصف بعبارات عامة، وهذا بالضبط ما تتوقعه التزامات المساءلة.
- حقوق أصحاب البيانات — محدودة عمليًا هنا، لأن بيانات القياس السلوكي مُستعارة الهوية (pseudonymized) ولا يتم جمع المحتوى إطلاقًا، لذا فإن حجم البيانات الشخصية الخاضعة لطلبات ممارسة الحقوق ضئيل.
- النقل — الاستضافة الإقليمية أو النشر المعزول (air-gapped).
لماذا يساعد التوافق مع GDPR
نظرًا لأن قانون البحرين يتبع اللائحة العامة لحماية البيانات (GDPR) عن كثب، فإن ربط GDPR ينطبق بشكل شبه مباشر. وإذا كانت مؤسستكم قد أنجزت بالفعل أعمال تقييم الموردين الخاصة بـ GDPR، فإن معظم هذا العمل ينطبق هنا أيضًا.
الحالة وقت كتابة هذا النص — يُرجى التأكيد مع المستشار القانوني المحلي.
هل تمتثل Cyber Crucible لقانون حماية البيانات في قطر؟
إجابة موجزة: نعم. نظام قطر أكثر تركيزًا على الموافقة مقارنة بجيرانها، مما يجعل الجمع الأدنى للبيانات ذا قيمة خاصة — فكلما قلّت البيانات الشخصية المُعالجة، قلّ عبء الموافقة المطلوب.
ما يتطلبه القانون
لدى قطر قانون مستقل لحماية البيانات ساري المفعول منذ عام 2017، مما يجعله من أوائل القوانين في المنطقة. ويحافظ على نموذج أكثر صرامة وتركيزًا على الموافقة مقارنة بمجموعة الأسس القانونية الأوسع المعتمدة في الإمارات، إلى جانب نهج قائم على المخاطر لضمانات النقل.
لماذا يفضّل التركيز على الموافقة هذه البنية
في نظام يركّز على الموافقة، تُعدّ كل فئة من البيانات الشخصية التي تعالجها فئة قد تحتاج إلى أساس قانوني لمعالجتها. وهذا يجعل عدم جمع البيانات أكثر قيمة بكثير من مجرد حمايتها بشكل جيد.
لا تجمع Cyber Crucible مطلقًا مفاتيح التشفير، أو بيانات الاعتماد، أو رموز الجلسات، أو محتويات الملفات. وتُخفى هوية بيانات القياس السلوكي (telemetry) حيثما يمكن أن تحدد هوية فرد ما، كما يمكن تهيئة مصادر بيانات القياس لتضييق نطاق الجمع بشكل أكبر.
والنتيجة هي أن نطاق الموافقة المطلوب لأداة الأمان نفسها صغير بشكل غير معتاد.
النقل
تُبقي الاستضافة الإقليمية المعالجة قريبة من الولاية القضائية أو ضمنها؛ ويؤدي النشر بمعزل تام عن الشبكة (air-gapped) إلى إلغاء أي تدفق عابر للحدود بشكل كامل.
الحالة وقت كتابة هذا المحتوى — يُرجى التأكد من المستشار القانوني المحلي.
هل تمتثل Cyber Crucible لقانون حماية البيانات الشخصية في سلطنة عُمان؟
الإجابة المختصرة: نعم — وتُعد عُمان حاليًا الولاية القضائية الأكثر حساسية من حيث التوقيت في منطقة الخليج. يدخل قانون حماية البيانات الشخصية في عُمان حيز التنفيذ الكامل في 5 فبراير 2026، بعد فترة سماح مدتها عامان، مما يعني أن حزم الموردين التي كانت متوافقة بشكل افتراضي أصبحت الآن ضمن نطاق التطبيق.
ما يتطلبه القانون
يعكس قانون عُمان مبادئ اللائحة العامة لحماية البيانات (GDPR) عن كثب، مع دمج متطلبات محلية تتعلق بالموافقة والتعامل مع البيانات. تنتهي فترة السماح البالغة عامين في 5 فبراير 2026، وعندها يُتوقع الامتثال الكامل.
لماذا يهم هذا الأمر عند اختيار الموردين الآن
تخلق فترات السماح نمطًا يمكن التنبؤ به: تؤجل المؤسسات مراجعة الموردين حتى يقترب الموعد النهائي، ثم تكتشف أن أداة أمنية تقوم باستمرار بتصدير بيانات القياس عن بُعد الخاصة بنقاط النهاية إلى ولاية قضائية أخرى يصعب تبريرها بموجب النظام الجديد.
إذا كنت تراجع حزمة الأدوات لديك في ضوء موعد فبراير 2026، فإن الأسئلة الجديرة بطرحها على أي مورد لحلول نقاط النهاية هي:
- ما هي البيانات الشخصية التي يجمعها، بشكل محدد ومفصل؟
- أين تُعالج تلك البيانات، وهل يمكن الاحتفاظ بها داخل عُمان؟
- ما هي آلية النقل في حال مغادرتها؟
- هل يمكنه العمل دون أي بيانات قياس صادرة على الإطلاق؟
إجابات Cyber Crucible هي: استثناءات محددة (لا مفاتيح، ولا بيانات اعتماد، ولا رموز وصول، ولا محتوى)؛ المعالجة تتم محليًا على نقطة النهاية؛ يتوفر تخزين مؤقت إقليمي؛ ونعم — النشر المعزول تمامًا (air-gapped) لا ينتج عنه أي بيانات قياس صادرة على الإطلاق.
الحالة وقت كتابة هذا المحتوى — يُرجى التأكد من الوضع الحالي وأي تمديد محتمل مع المستشار القانوني المحلي.
الكويت لا تملك قانونًا شاملاً لحماية البيانات — ماذا يعني ذلك عند اختيار المورّدين؟
إجابة موجزة: اعتمدت الكويت نهجًا قطاعيًا محددًا بدلاً من سنّ قانون وطني شامل لحماية البيانات، حيث تنظّم لوائح الجهاز المركزي لتكنولوجيا المعلومات والاتصالات (CITRA) كيفية تعامل قطاعي الاتصالات وتقنية المعلومات مع محتوى المستخدمين. وهذا يجعل سيادة البيانات قرارًا تجاريًا وأمنيًا أكثر منه التزامًا امتثاليًا — لكن القرار يبقى ذا أهمية.
الوضع الحالي
تظل الكويت الاستثناء اللافت بين دول الخليج الكبرى في عدم وجود قانون وطني شامل لحماية البيانات الشخصية. وبدلاً من ذلك، تتناول لوائح CITRA التعامل مع محتوى المستخدمين في قطاعي الاتصالات وتقنية المعلومات تحديدًا.
لماذا "عدم وجود قانون" لا يعني "عدم وجود مخاطر"
هناك ثلاثة أسباب لا تزال المؤسسات في الكويت تزنها بعناية:
- القواعد القطاعية لا تزال سارية. إذا كنت تعمل في مجال الاتصالات أو تقنية المعلومات، فإن متطلبات CITRA التزامات فعلية قائمة.
- الأطراف المقابلة تفرض شروطها الخاصة. كثيرًا ما تشترط الشركات متعددة الجنسيات وشركات التأمين والعملاء تعاقديًا معاملة مكافئة لمعايير GDPR، بصرف النظر عن القانون المحلي.
- التنظيم يميل إلى الوصول عاجلاً أم آجلاً. سنّت جميع دول مجلس التعاون الخليجي الأخرى الآن قانونًا شاملاً. واختيار موردين يستوفون بالفعل الأنظمة الأكثر صرامة يجنّب الحاجة إلى انتقال قسري لاحقًا.
الموقف العملي
بما أن Cyber Crucible لا يجمع أبدًا المفاتيح أو بيانات الاعتماد أو الرموز المميزة أو المحتوى، ويمكن نشره بشكل معزول تمامًا عن الشبكة (air-gapped)، فإنه يلبي أشد الأنظمة صرامة في المنطقة. واختياره في الكويت يعني اختيار عدم مواجهة هذه المشكلة عندما يتغيّر القانون.
الوضع وقت كتابة هذا النص — يرجى التأكد من المتطلبات القطاعية الحالية لدى المستشار القانوني المحلي.
هل تمتثل Cyber Crucible لقانون حماية البيانات في كينيا؟
الإجابة المختصرة: نعم. يقيّد قانون حماية البيانات الكيني لعام 2019 نقل البيانات عبر الحدود إلى الدول التي تتمتع بضمانات مناسبة، ويطبّق قاعدة أكثر صرامة على البيانات الشخصية الحساسة. لا تجمع Cyber Crucible أي بيانات شخصية حساسة على الإطلاق، ويمكن نشرها بحيث لا تغادر أي بيانات كينيا.
ما يتطلبه القانون
تحظر المادتان 48 و49 من قانون حماية البيانات لعام 2019 نقل البيانات الشخصية إلى دولة تفتقر إلى ضمانات مناسبة لأمن البيانات، مع وجود عدة أسس مسموح بها من بينها الكفاية.
القاعدة الأكثر صرامة التي تهمنا هنا: لا يُسمح بنقل البيانات الشخصية الحساسة إلا عندما يكون صاحب البيانات قد وافق و توجد ضمانات مناسبة. كلا الشرطين معًا، وليس أيًا منهما فقط.
لماذا تُعد قاعدة البيانات الحساسة هي النقطة الجوهرية
من الصعب عمليًا استيفاء هذا المتطلب المزدوج — الحصول على موافقة فردية وتوثيقها لكل صاحب بيانات متأثر، بشكل مستمر، من أجل أداة أمنية.
تتجنب Cyber Crucible هذا الأمر: لا يتم جمع أي بيانات شخصية حساسة. لا بيانات بيومترية أو صحية أو جينية؛ ولا بيانات تكشف عن الأصل العرقي أو الإثني، أو المعتقد الديني، أو الرأي السياسي. تصف بيانات القياس عن بُعد سلوك النظام والأحداث الأمنية، وليس السمات الشخصية.
في الحالات التي قد تكشف فيها بيانات القياس السلوكي عن هوية فرد بشكل غير مباشر، يتم إخفاء أو استعارة المعرّفات بأسماء مستعارة.
النقل
يحافظ التخزين المؤقت الإقليمي على بقاء المعالجة داخل كينيا. ينتج عن النشر المعزول تمامًا عن الشبكة (air-gapped) صفر من بيانات القياس عن بُعد الصادرة، وبالتالي لا تنطبق المادتان 48–49.
الحالة وقت كتابة هذا النص — يُرجى التأكد مع المستشار القانوني المحلي.
هل تفي Cyber Crucible بمتطلبات التوطين المحلي للبيانات في نيجيريا؟
الإجابة المختصرة: نعم — وهذه هي الولاية القضائية التي تكون فيها البنية المعمارية الأكثر أهمية. يفرض قانون حماية البيانات النيجيري لعام 2023 متطلب توطين للبيانات: يجب تخزين البيانات الشخصية للمواطنين النيجيريين داخل نيجيريا. يحافظ نشر Cyber Crucible المحلي (on-premises) على بقاء كل شيء داخل بنيتك التحتية الخاصة، داخل البلد، مع صفر من نقل البيانات الصادرة (outbound telemetry).
ما يتطلبه القانون
تحدد المواد من 41 إلى 43 من قانون حماية البيانات النيجيري لعام 2023 شروطًا لنقل البيانات عبر الحدود، بما في ذلك ضمانات دولة الوجهة وموافقة صاحب البيانات. وبالإضافة إلى هذه الشروط، تفرض نيجيريا متطلب توطين — يجب تخزين البيانات الشخصية للمواطنين النيجيريين داخل نيجيريا. وتضيف القواعد القطاعية في الخدمات المالية التزامات توطين إضافية.
لماذا تواجه معظم شركات الأمن صعوبة هنا
هذا هو المثال الأوضح على قاعدة لا يمكن لأمن نقاط النهاية المعتمد على السحابة تلبيتها بحكم التصميم. فالأداة التي تقوم بنيتها المعمارية على "جمع بيانات القياس عن بُعد على نقطة النهاية، وإرسالها إلى سحابتنا للتحليل" تقوم، من الناحية الهيكلية، بنقل البيانات الشخصية خارج نيجيريا كشرط لعملها. والضمانات التعاقدية لا تحل مشكلة متطلب موقع التخزين.
لماذا تفي هذه البنية المعمارية بهذا المتطلب
- التحليل محلي. يتم تقييم التهديدات والتصدي لها على نقطة النهاية في أقل من 200 ميلي ثانية عادةً. ولا حاجة إلى رحلة ذهاب وإياب عبر السحابة من أجل الحماية.
- يمكن أن تكون البنية الخلفية محلية بالكامل. يقوم نموذج النشر المحلي (on-premises) بتشغيل جميع برمجيات الإدارة داخل خزائن الخوادم الخاصة بك والمؤمّنة ماديًا.
- صفر من نقل البيانات الصادرة في التهيئة المعزولة تمامًا عن الشبكة (air-gapped) — لا يغادر أي شيء، وبالتالي لا يُخزَّن أي شيء في الخارج.
- أقل حاجة إلى التوطين أصلًا — لا يتم جمع المفاتيح أو بيانات الاعتماد أو الرموز المميزة أو محتويات الملفات من الأساس.
الحالة وقت كتابة هذا المحتوى — يُرجى التأكد من المتطلبات الحالية، بما في ذلك قواعد القطاع المالي، لدى المستشار القانوني المحلي.
هل تمتثل Cyber Crucible لقانون POPIA في جنوب أفريقيا؟
إجابة موجزة: نعم. يفرض قانون POPIA قيودًا على النقل عبر الحدود ما لم توفر الجهة المستقبلة حماية مماثلة من حيث الجوهر أو ما لم يوافق صاحب البيانات على ذلك. تعمل Cyber Crucible على تقليل ما تتم معالجته من الأساس، ويمكن نشرها بحيث لا يحدث أي نقل على الإطلاق.
ما يتطلبه القانون
يحظر قانون حماية المعلومات الشخصية في جنوب أفريقيا (Protection of Personal Information Act) الصادر عام 2013 نقل المعلومات الشخصية إلى خارج البلاد دون موافقة صاحب البيانات، أو ما لم تخضع الولاية القضائية المستقبلة لقانون يوفر حماية مماثلة من حيث الجوهر.
ما ينطبق تحديدًا هنا
يُعد اختبار "الحماية المماثلة من حيث الجوهر" تقييمًا يجب أن تكون قادرًا على إثباته بالأدلة. وهناك أمران يجعلان هذا التقييم أبسط:
- النطاق محدود. لا يتم جمع مفاتيح التشفير، أو بيانات الاعتماد، أو رموز الجلسات، أو محتويات الملفات مطلقًا. وما يتبقى هو بيانات القياس السلوكي (behavioural telemetry)، والتي تُعرَّف بأسماء مستعارة (pseudonymized) حيثما يمكن أن تحدد هوية فرد ما.
- الحماية التعاقدية — تتم المعالجة بموجب اتفاقية معالجة بيانات (DPA) مكتوبة تتضمن شروط الأمان والسرية والإخطار بالخروقات، وتمتد هذه الشروط لتشمل أي جهة معالجة من الباطن.
أو تجنّب الاختبار كليًا
يحافظ التنسيب الإقليمي (Regional staging) على بقاء المعالجة داخل جنوب أفريقيا. ولا ينتج عن النشر المعزول فعليًا (air-gapped) أي تدفق صادر على الإطلاق، وفي هذه الحالة لا تنطبق أحكام النقل أصلًا — وهو عادةً مسار أسرع من إثبات كفاية الحماية.
الوضع وقت كتابة هذا المحتوى — يُرجى التأكيد مع المستشار القانوني المحلي.
هل تمتثل Cyber Crucible لقانون حماية البيانات في مصر؟
إجابة موجزة: نعم. تشترط مصر الحصول على موافقة مسبقة لعمليات نقل البيانات الشخصية عبر الحدود — وهو معيار أعلى بكثير من الضمانات التعاقدية. يمكن نشر Cyber Crucible بحيث لا يحدث أي نقل للبيانات، مما يُلغي الحاجة إلى الموافقة بدلاً من محاولة التعامل معها.
ما يتطلبه القانون
يشترط إطار حماية البيانات في مصر الحصول على موافقة مسبقة لعمليات نقل البيانات الشخصية خارج البلاد. وهذا نموذج قائم على التصريح وليس على الضمانات: لا يمكن ببساطة وضع حمايات تعاقدية والمضي قدمًا.
لماذا يغيّر نموذج الموافقة طريقة اختيار المورّد
في ظل نموذج قائم على الضمانات، يكون التعامل مع مورّد يتمتع بشروط تعاقدية قوية أمرًا ممكنًا. أما في ظل نموذج قائم على الموافقة، فإن كل عملية نقل عبر الحدود تصبح إجراءً إداريًا مرتبطًا بالتوقيت والصلاحية التقديرية ومخاطر التجديد.
إن أي أداة أمنية تقوم بتصدير بيانات القياس عن بُعد (telemetry) بشكل مستمر تُنشئ تدفقًا مستمرًا يتطلب بقاء تلك الموافقة سارية المفعول. فإذا انتهت صلاحية الموافقة أو تغيّرت الشروط، يتحول التشغيل الطبيعي للأداة إلى مشكلة امتثال.
الحل المباشر
لا ينتج عن النشر المعزول تمامًا (air-gapped) في الموقع أي بيانات قياس عن بُعد صادرة — فلا يتم نقل أي شيء، وبالتالي لا حاجة لأي موافقة. ويحافظ التجهيز الإقليمي (regional staging) على معالجة البيانات محليًا في حال تفضيل نموذج هجين.
أما الفئات الأكثر عرضة لجذب اهتمام الجهات التنظيمية — مثل المفاتيح، وبيانات الاعتماد، والرموز المميزة، ومحتويات الملفات — فلا يتم جمعها إطلاقًا بغض النظر عن طريقة النشر.
الحالة وقت كتابة هذا المحتوى — يُرجى التحقق من المتطلبات وإجراءات الموافقة الحالية مع المستشار القانوني المحلي.
هل تلتزم Cyber Crucible بقانون حماية البيانات في غانا؟
الإجابة المختصرة: نعم، وتُعد غانا حالة بسيطة نسبيًا مقارنة بغيرها. تتميز غانا من بين الولايات القضائية الأفريقية بأنها لا تفرض متطلبات إضافية على النقل عبر الحدود بخلاف التزاماتها العامة لحماية البيانات — لذا تُطبَّق الضوابط القياسية دون الحاجة إلى نظام نقل خاص.
ما يتطلبه القانون
تمتلك غانا إطارًا راسخًا لحماية البيانات مع وجود سلطة إشرافية. تشير التحليلات الخاصة بالولايات القضائية الأفريقية باستمرار إلى أن غانا تمثل الاستثناء: فعلى عكس معظم جيرانها، لا تضيف شروطًا إضافية تحديدًا على مشاركة البيانات عبر الحدود.
هذا لا يعني أن النقل غير منظَّم — فالالتزامات العامة المتعلقة بالمعالجة المشروعة، والأمن، وحقوق أصحاب البيانات لا تزال سارية. بل يعني أنه لا توجد عقبة موافقة أو كفاية منفصلة يجب تجاوزها.
ما ينطبق تحديدًا هنا
مع تبسيط مسألة النقل، يختصر التقييم إلى الأسئلة الاعتيادية:
- ما الذي يتم جمعه؟ بيانات القياس عن بُعد الخاصة بالنظام والأمان فقط. لا مفاتيح، ولا بيانات اعتماد، ولا رموز مميزة (tokens)، ولا محتوى.
- كيف يتم تأمينه؟ بروتوكول TLS 1.3 أثناء النقل، وتشفير حمولة JWE لكل عميل (agent)، وتشفير أثناء التخزين، والتحكم في الوصول القائم على الأدوار.
- من المسؤول؟ تعمل Cyber Crucible بصفتها معالِجًا بموجب اتفاقية معالجة بيانات (DPA) مكتوبة وفقًا لتعليماتك الموثقة.
لا تزال السيادة على البيانات جديرة بالاعتبار
حتى في غياب قيود على النقل، يبقى النشر داخل البلد أو في بيئة معزولة (air-gapped) خيارًا متاحًا — وغالبًا ما تفضله المؤسسات التي تخدم عملاء إقليميين، نظرًا لأن الولايات القضائية المجاورة أكثر صرامة بكثير.
الوضع وقت كتابة هذا النص — يُرجى التأكيد مع المستشار القانوني المحلي.
هل تلبي Cyber Crucible متطلب توطين البيانات في زامبيا؟
الإجابة المختصرة: نعم. يتطلب قانون حماية البيانات في زامبيا من مراقبي البيانات معالجة وتخزين البيانات الشخصية والبيانات الشخصية الحساسة في مركز بيانات أو خادم داخل زامبيا. يلبي نشر Cyber Crucible المحلي (on-premises) هذا المتطلب مباشرةً — إذ تعمل الواجهة الخلفية داخل بنيتك التحتية الخاصة، داخل البلد.
ما يتطلبه القانون
ينظم الجزء العاشر (Part X) من قانون حماية البيانات في زامبيا عمليات نقل البيانات عبر الحدود، وتُلزم المادة 70 مراقب البيانات بمعالجة وتخزين البيانات الشخصية والبيانات الشخصية الحساسة في مركز بيانات أو خادم يقع داخل زامبيا.
هذا إلزام بموقع التخزين، وليس اختبارًا للضمانات. لا تفي الحماية التعاقدية بهذا المتطلب.
لماذا يستبعد هذا معظم أدوات الأمان السحابية
لا يمكن لمزود يتطلب منتجه إرسال بيانات القياس عن بُعد (telemetry) الخاصة بنقاط النهاية إلى منطقة سحابية خارج زامبيا أن يلبي المادة 70 عبر تحسين عقوده أو تشفيره. فالمتطلب يتعلق بمكان تواجد البيانات فعليًا.
لماذا تلبي هذه البنية المتطلب
- واجهة خلفية محلية (on-premises) — تعمل جميع برمجيات الإدارة على خوادم تتحكم بها أنت، داخل زامبيا.
- تحليل محلي — يجري تقييم التهديدات والتصدي لها على نقطة النهاية نفسها، بحيث لا تعتمد الحماية أبدًا على خدمة خارج البلد.
- انعدام البيانات الصادرة (zero outbound telemetry) في التهيئة المعزولة عن الشبكة (air-gapped).
- نطاق محدود للغاية — لا يتم أبدًا جمع المفاتيح أو بيانات الاعتماد أو الرموز أو المحتوى، مما يجعل حجم البيانات الشخصية الخاضعة للمادة 70 صغيرًا من الأساس.
الوضع وقت كتابة هذا المحتوى — يرجى التأكد من المستشار القانوني المحلي، بما في ذلك أي قواعد خاصة بالقطاع.
هل تمتثل Cyber Crucible لقانون حماية البيانات في رواندا؟
إجابة موجزة: نعم. تخضع مراقبة قانون حماية البيانات في رواندا للهيئة الوطنية للأمن السيبراني، وتضيف القواعد الخاصة بقطاعات معينة التزامات تتعلق بالتوطين — لا سيما بالنسبة للبنوك المرخّصة، التي يجب عليها الاحتفاظ بالبيانات الأساسية داخل رواندا. يلبي النشر المحلي (on-premises) هذين المتطلبين.
ما يقتضيه القانون
سنّت رواندا قانونًا لحماية البيانات مع تعيين الهيئة الوطنية للأمن السيبراني (NCSA) كسلطة إشراف؛ وقد بدأ مكتبها المعني بحماية البيانات عمله في مارس 2022.
إلى جانب القانون العام، تضيف اللوائح القطاعية متطلبات توطين: إذ تقتضي لائحة الأمن السيبراني من البنوك المرخّصة من قبل البنك المركزي الاحتفاظ بالبيانات الأساسية داخل الأراضي الرواندية.
لماذا تُعد القاعدة القطاعية الأكثر أهمية
بالنسبة للخدمات المالية في رواندا، عادةً ما يكون متطلب توطين البيانات المصرفية هو القيد الملزم — وهو أكثر صرامة وتحديدًا من الأحكام العامة لحماية البيانات. فأي منتج أمني يُنشر عبر نقاط النهاية الخاصة ببنك ما يعالج بيانات تندرج ضمن هذا النطاق.
ما ينطبق تحديدًا هنا
- النشر المحلي (on-premises) يُبقي البيانات الأساسية داخل رواندا، مما يلبي متطلب التوطين بشكل مباشر.
- التحليل المحلي يعني أن الحماية لا تعتمد على أي خدمة خارج البلاد.
- التوافق مع جهة الإشراف — مع تولي NCSA لسلطتَي الأمن السيبراني وحماية البيانات معًا، تُعد القدرة على إثبات ما تجمعه أداة أمنية، بعبارات محددة وموثقة، أمرًا مفيدًا بشكل استثنائي.
الوضع وقت كتابة هذا المحتوى — يُرجى التأكد من المتطلبات العامة والقطاعية الحالية مع مستشار قانوني محلي.
هل تمتثل Cyber Crucible لقانون حماية البيانات في المغرب؟
الإجابة المختصرة: نعم. ينظّم القانون رقم 09-08 في المغرب ومرسومه التطبيقي معالجة البيانات الشخصية، تحت إشراف الهيئة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP). وتُطبَّق الضوابط ذاتها — الحد الأدنى من الجمع، ودور موثّق كمُعالِج للبيانات، وضمانات قوية، ونشر داخل البلد أو معزول عن الشبكة عند تفضيل ذلك.
ما يتطلبه القانون
يستند الإطار القانوني المغربي إلى القانون رقم 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي، إلى جانب المرسوم التطبيقي رقم 2-09-165. وتُعد CNDP (اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي) هي الجهة الرقابية المختصة، وهي نشطة في التعاون الدولي بشأن القضايا الناشئة بما في ذلك الذكاء الاصطناعي.
ما ينطبق تحديدًا هنا
يُعد النظام المغربي من بين الأكثر رسوخًا في شمال أفريقيا، إذ يضم هيئة فاعلة وإجراءات إخطار/ترخيص تختلف بحسب نوع المعالجة. وفيما يلي الآثار العملية لتقييم المورّدين:
- حصر ما يتم جمعه. قائمة البيانات المستبعدة لدى Cyber Crucible صريحة — لا مفاتيح، ولا بيانات اعتماد، ولا رموز مميزة (tokens)، ولا محتوى — وهو ما يدعم دقة الإخطار.
- دور المعالِج بموجب اتفاقية معالجة بيانات مكتوبة وبناءً على تعليمات موثقة.
- النقل — التخزين المؤقت الإقليمي أو النشر المعزول عن الشبكة؛ حيث يُلغي الخيار الأخير هذه المسألة برمتها.
للمؤسسات العاملة عبر منطقة المغرب العربي
تختلف المتطلبات اختلافًا كبيرًا بين المغرب وتونس والجزائر وليبيا. واختيار مورّد يفي بأشد الأنظمة المعمول بها صرامة — بدلًا من تقييم كل نظام على حدة — عادةً ما يكون المسار الأقل جهدًا.
الوضع وقت كتابة هذا المحتوى — يُرجى التأكد من ذلك مع مستشار قانوني محلي.
ما هي متطلبات حماية البيانات في ليبيا؟
إجابة موجزة: لم تضع ليبيا بعد لوائح شاملة لحماية البيانات. وهذا يجعل من سيادة البيانات قرارًا تجاريًا وأمنيًا وقرارًا يتعلق بالأطراف المقابلة أكثر من كونه التزامًا امتثاليًا محليًا — لكن بالنسبة للمؤسسات التي تتعامل مع عمليات حساسة، يبقى قرارًا يستحق أن يُتخذ عن قصد.
الوضع الحالي
لم تسنّ ليبيا بعد إطارًا شاملاً لحماية البيانات. ولا يوجد ما يعادل قانون حماية البيانات الشخصية السعودي (PDPL)، أو القانون المغربي رقم 09-08، أو قانون حماية البيانات النيجيري (NDPA).
لماذا تظل السيادة مهمة دون وجود قانون محلي
1. الأطراف المقابلة تفرض متطلباتها. غالبًا ما يشترط الشركاء الدوليون وشركات التأمين والعملاء متعددو الجنسيات والجهات الممولة تعاملاً معادلاً لمعيار GDPR بموجب العقود بصرف النظر عن القانون المحلي. والالتزام بالمعيار الأكثر صرامة يجنّب إعادة التفاوض لاحقًا.
2. القطاعات الحساسة تحمل مخاطرها الخاصة. تجذب قطاعات الطاقة والاتصالات والتمويل والعمليات الحكومية الانتباه بغض النظر عن تشريعات الخصوصية. ومسألة أين ترسل أداة الأمن بياناتها القياسية عن بعد — ومن يمكنه إجبار الوصول إليها هناك — هي مسألة تشغيلية حقيقية.
3. التنظيم يميل إلى اللحاق بالركب. سنّت الولايات القضائية المجاورة في شمال أفريقيا أطرًا قانونية أو حدّثتها. وستظل قرارات اختيار الموردين المتخذة الآن سارية عندما يتغير موقف ليبيا.
الموقف العملي
نظرًا لأن Cyber Crucible لا يجمع أبدًا المفاتيح أو بيانات الاعتماد أو الرموز المميزة أو المحتوى، ويمكنه العمل بمعزل تام عن الشبكة (air-gapped) دون أي بيانات قياسية صادرة، فإنه يلبي أشد الأنظمة صرامة في المنطقة. وفي ليبيا، يُعد ذلك خيارًا وليس التزامًا — لكنه خيار يصمد جيدًا مع مرور الوقت.
الوضع وقت كتابة هذا المحتوى — يُرجى التأكد من الموقف التشريعي الحالي مع مستشار قانوني محلي قبل الاعتماد عليه.
هل تلتزم Cyber Crucible بمتطلبات GDPR؟
الإجابة المختصرة: نعم، وذلك بالتصميم وليس بالسياسة فقط. لا يتم جمع المحتوى أو بيانات الاعتماد أو مفاتيح التشفير أو رموز الجلسة على الإطلاق؛ ويتم التحليل على نقطة النهاية؛ وتعمل Cyber Crucible بصفة معالِج بموجب اتفاقية معالجة بيانات (DPA) مكتوبة؛ كما تحافظ خيارات النشر على بقاء البيانات الشخصية داخل الاتحاد الأوروبي — أو داخل مبناكم الخاص.
المطابقة مع مبادئ GDPR
- تقليل البيانات (المادة 5) — قائمة البيانات المستبعدة مُحددة بدقة، وليست موصوفة بعبارات عامة. تقتصر بيانات القياس عن بُعد (Telemetry) على ما يتطلبه كشف التهديدات، وهي قابلة للتهيئة.
- النزاهة والسرية (المادتان 5 و32) — بروتوكول TLS 1.3 أثناء النقل، وتشفير حمولة JWE لكل عميل على حدة، وتشفير البيانات أثناء التخزين، والتحكم في الوصول على أساس الأدوار، وتدوير المفاتيح، وتسجيل التدقيق.
- التزامات المعالِج (المادة 28) — اتفاقية معالجة بيانات مكتوبة تحدد النطاق؛ ومعالجة البيانات وفق تعليمات موثقة فقط؛ وإلزام المعالِجين الفرعيين بشروط مماثلة.
- عمليات النقل (الفصل الخامس) — استضافة إقليمية داخل الاتحاد الأوروبي، أو نشر معزول تمامًا (air-gapped) يُلغي عملية النقل بالكامل.
- الحماية بالتصميم (المادة 25) — أقوى ادعاء ممكن: فالفئات الأعلى خطورة لا تتم حمايتها عبر السياسات، بل لا يتم جمعها من الأساس.
إخفاء الهوية (Pseudonymization)
في الحالات التي قد تُشير فيها بيانات القياس عن بُعد السلوكية بشكل غير مباشر إلى هوية فرد ما، يتم إخفاء هوية المعرّفات أو إخفاؤها — وهو إجراء وقائي معترف به صراحةً في GDPR.
ما لا يفعله هذا الحل
لا يجعل هذا الحل مؤسستكم بحد ذاته ممتثلة لـ GDPR. فالتزاماتكم تعتمد على أغراض المعالجة الخاصة بكم، والأسس القانونية، والإشعارات، والسجلات. ما يُزيله هذا الحل هو صعوبة شائعة: قيام مزوّد أمني بتصدير البيانات الشخصية بشكل مستمر إلى دولة ثالثة.
هل تمتثل Cyber Crucible للائحة UK GDPR؟
الإجابة المختصرة: نعم. تتوافق لائحة UK GDPR وقانون حماية البيانات لعام 2018 بشكل وثيق مع لائحة EU GDPR، لذلك ينطبق التوصيف نفسه — جمع بيانات في حده الأدنى، دور معالج بيانات بموجب اتفاقية معالجة بيانات مكتوبة (DPA)، ضمانات تقنية قوية، وخيارات نشر تُبقي البيانات داخل المملكة المتحدة أو بالكامل ضمن منشآتكم.
ما الذي ينطبق
بعد خروج المملكة المتحدة من الاتحاد الأوروبي، تعمل لائحة UK GDPR جنبًا إلى جنب مع قانون حماية البيانات لعام 2018، تحت إشراف مكتب مفوض المعلومات (ICO). وتتطابق المبادئ والأسس القانونية والتزامات المعالج بشكل وثيق مع لائحة EU GDPR.
النقاط التي ينبغي للمؤسسات الانتباه إليها
- عمليات النقل الدولية تستخدم آليات المملكة المتحدة الخاصة بها — اتفاقية نقل البيانات الدولية (IDTA) أو الملحق البريطاني (UK Addendum) للبنود التعاقدية القياسية الأوروبية (SCCs)، بدلًا من الاعتماد على بنود SCCs الأوروبية وحدها.
- الامتثال المزدوج — يجب على المؤسسات العاملة في كل من المملكة المتحدة والاتحاد الأوروبي الوفاء بمتطلبات كلا النظامين، وإن كانت الضوابط العملية متداخلة إلى حد كبير.
ما الذي ينطبق تحديدًا هنا
التقييم مماثل تمامًا لما هو عليه بالنسبة إلى EU GDPR، والإجابات ذاتها:
- لا يتم أبدًا جمع المفاتيح أو بيانات الاعتماد أو الرموز المميزة أو محتويات الملفات.
- يجري التحليل على نقطة النهاية؛ ولا تتطلب الحماية نقل البيانات.
- التخزين المؤقت الإقليمي داخل المملكة المتحدة، أو النشر المعزول تمامًا (air-gapped) الذي يلغي عمليات النقل بالكامل.
- دور معالج بيانات بموجب اتفاقية معالجة بيانات مكتوبة (DPA)، مع التزام المعالجين الفرعيين بشروط مكافئة.
للحصول على أداة النقل المناسبة لظروفكم، تواصلوا مع dpo@cybercrucible.com. الحالة صحيحة وقت كتابة هذا المحتوى — يُرجى التحقق من إرشادات مكتب مفوض المعلومات (ICO) الحالية مع المستشار القانوني.