حماية المعلومات الشخصية للقصرين للشركات الأجنبية في الصين

أيها المستثمرون الكرام، عندما أتحدث معكم اليوم عن موضوع "حماية المعلومات الشخصية للقصرين"، أذكر أنني في بداية عملي بمكتب جياشي للضرائب والمحاسبة قبل أكثر من عقد من الزمان، كانت ملفات حماية البيانات تُنجز في جلسة واحدة مختصرة. لكن الأمور تغيرت جذرياً بعد صدور قانون حماية المعلومات الشخصية (PIPL) في الصين عام 2021، ولائحته التنفيذية الأخيرة التي فاجأت الكثير من الشركات الأجنبية بصرامتها فيما يخص بيانات القُصّر. الواقع أن هذا الملف أصبح اليوم أحد أكثر الملفات تعقيداً في عمليات تسجيل الشركات الأجنبية بالسوق الصيني، خاصة مع تزايد التطبيقات والألعاب الإلكترونية التي تستهدف الجمهور الصغير.

لنكن صريحين، القوانين الصينية الجديدة لم تأتِ من فراغ؛ فهي امتداد لمنظومة تشريعية بدأت بقانون الأمن السيبراني ثم قانون حماية البيانات، وصولاً إلى هذا القانون الشامل الذي خصص مواد صريحة لبيانات القاصرين دون سن الرابعة عشرة. وهذا يعني أن أي شركة أجنبية تعمل في الصين، سواء كانت منصة تعليمية إلكترونية، أو شركة ألعاب، أو حتى متاجر تبيع منتجات للأطفال عبر الإنترنت، مطالبة بالامتثال لمعايير دقيقة جداً. من تجربتي العملية مع عملائنا من شركات أوروبية وأمريكية، أرى أن الكثير منهم ما زال يستخف بهذا الملف، معتقداً أنه مجرد إجراء شكلي، وهذا خطأ كبير قد يكلفهم غرامات تصل إلى 50 مليون يوان أو 5% من حجم مبيعاتهم السنوية.

الأمر الذي يجهله كثير من المستثمرين الأجانب أن مفهوم "بيانات القاصرين" في القانون الصيني أوسع بكثير مما يتصورون؛ فهو لا يشمل الاسم والعنوان ورقم الهاتف فقط، بل يشمل أيضاً بيانات الموقع الجغرافي، وسجل التصفح، والمحتوى الذي ينشره الطفل، وحتى الصوت والصورة. هذه التفاصيل الدقيقة نناقشها كثيراً في مكتبنا مع المستشارين القانونيين الصينيين، ونُدرك جيداً أن التعامل معها يتطلب فهماً عميقاً للثقافة القانونية الصينية التي تنظر إلى الطفل باعتباره كائناً يحتاج حماية خاصة من الدولة والأسرة معاً.

الإطار التشريعي العام

عند الحديث عن الإطار التشريعي الحاكم لبيانات القاصرين في الصين، يجب أن نبدأ بنظام "الموافقة الوالدية المنفصلة" الذي يُعد جوهر القانون الصيني في هذا الشأن. بموجب هذا النظام، لا يكفي الحصول على موافقة الطفل نفسه أو موافقة عامة من ولي الأمر ضمن بنود الخدمة الطويلة، بل يجب الحصول على موافقة صريحة ومنفصلة ومحددة من الوالدين أو الأوصياء القانونيين. في ممارستنا العملية، ننصح عملاءنا دائماً بتصميم واجهات رقمية خاصة للتسجيل تتضمن خطوة منفصلة للتحقق من هوية الوالدين، وغالباً ما تكون عبر رمز تحقق يُرسل إلى هاتف ولي الأمر مع إرفاق وثيقة رسمية تُثبت العلاقة القانونية.

قانون حماية المعلومات الشخصية الصادر عام 2021 يوضح في المادة 28 و31 أن بيانات القاصرين دون سن الرابعة عشرة تندرج ضمن "المعلومات الشخصية الحساسة"، وهذا التصنيف يحمل آثاراً قانونية كبيرة. فبموجب القانون الصيني، تعامل المعلومات الحساسة بنفس مستوى المعاملة الذي تتعامل به البيانات البيومترية أو البيانات الصحية، مما يعني ضرورة وجود تقييم أثر حماية البيانات قبل أي عملية معالجة، وتعيين مسؤول حماية بيانات محدد يتواصل مع الجهات التنظيمية، وتوثيق جميع عمليات المعالجة. أتذكر حالة عملية لشركة أمريكية متخصصة في التعليم اللغوي عبر الإنترنت، حيث استغرقنا معهم أكثر من ستة أشهر لبناء منظومة امتثال متكاملة لبيانات الأطفال، شملت تعيين موظفين مخصصين في شنغهاي لمتابعة هذا الملف بشكل يومي.

علاوة على ذلك، نجد أن اللائحة التنفيذية الجديدة الصادرة في مارس 2024 أضافت طبقة إضافية من الحماية من خلال آلية "التقييم المستقل الدوري". هذه الآلية تفرض على الشركات التي تتعامل مع بيانات القاصرين إجراء تقييم سنوي مستقل بواسطة جهة خارجية مرخصة، وتقديم تقرير مفصل إلى لجنة الأمن السيبراني الصينية إذا تجاوز حجم البيانات عتبة معينة. هذا يعني أن الاستثمار في هذا المجال ليس خياراً بل ضرورة إلزامية، وأن التكلفة السنوية للامتثال يجب أن تدخل في خطط الميزانية التشغيلية لأي شركة أجنبية تستهدف السوق الصينية بجدية.

الموافقة الوالدية وطرقها

بخصوص طرق الحصول على الموافقة الوالدية، أود أن أشارككم تجربة عملية من تعاملنا مع شركة ألعاب كورية جنوبية كانت تعمل في الصين من خلال مكتب تمثيلي في سوزو. المشكلة التي واجهناها أن واجهة التسجيل لديهم كانت تسمح للأطفال دون السابعة بإدخال رقم هاتف أي شخص بالغ لتفعيل الحساب، بحجة أن النظام يتطلب فقط التحقق من الرقم عبر رسالة نصية. لكن الجهات التنظيمية في مقاطعة جيانغسو اعتبرت ذلك إخلالاً كبيراً بالمتطلبات، لأنها تشترط وجود آلية تحقق إضافية تتجاوز مجرد استلام رموز SMS، مثل التحقق من بطاقة الهوية الوطنية الصينية للوالدين عبر النظم الحكومية الرقمية المتخصصة.

المطلوب عملياً هو تنفيذ نظام "الموافقة الثنائية" الذي يمنح ولي الأمر لوحة تحكم رقمية خاصة به، تتيح له مراجعة عمليات معالجة البيانات الخاصة بطفله، وتحديد مدة الاحتفاظ بالبيانات، وسحب الموافقة في أي وقت بشكل فوري. وقد لاحظنا أن الشركات الأجنبية الناجحة في هذا المجال، مثل بعض التطبيقات الألمانية التعليمية، استثمرت في بناء أنظمة داخلية تسمح للوالدين بمشاهدة كل نوع من البيانات التي يتم جمعها، ومشاركة تلك البيانات مع أي جهة خارجية. هذا النوع من الشفافية الجذرية، رغم كونه مكلفاً وغير مريح كثيراً للشركات، يبني الثقة مع المنظمين الصينيين ويقلل بشكل كبير من احتمالات فرض عقوبات مستقبلية.

من التحديات الشائعة التي نواجهها في هذا السياق، أن الموافقة الوالدية المنفصلة تحتاج إلى إعادة تجديد بشكل دوري كل سنة أو عامين، ولا يجوز اعتبار الموافقة الأصلية موافقة دائمة. بعض عملائنا وجدوا هذا الأمر صعباً لأنهم يعتادون في أنظمتهم الغربية على مفهوم الموافقة العامة لمرة واحدة، لكن القانون الصيني يركز على مبدأ "الموافقة المستمرة والمحدثة"، وهو ما يعكس فلسفة الحماية الشاملة التي تتبناها الدولة هنا. لذلك ننصح عملاءنا بتطوير أنظمة تلقائية للتذكير بمواعيد تجديد الموافقات، مع الاحتفاظ بسجلات مفصلة لكل عملية تجديد.

الحد الأدنى من جمع البيانات

من الجوانب التي أثارت اهتمامي بشكل خاص خلال سنوات عملي، مبدأ "التقليل الضروري" أو ما نسميه بالحد الأدنى من جمع البيانات، وهو في الحقيقة صدى واضح لمبادئ حماية البيانات العالمية. لكن التطبيق الصيني لهذا المبدأ ينطوي على تفاصيل عملية دقيقة: فإذا كانت شركتك تقدم خدمة تعليمية للأطفال، يجب عليك جمع البيانات الضرورية فقط لتقديم تلك الخدمة التعليمية، ولا يجوز لك مثلاً جمع بيانات الموقع الجغرافي إلا إذا كانت الخدمة بطبيعتها تتطلب ذلك. وفي إحدى الحالات، قمنا بتقديم استشارة لشركة سويسرية متخصصة في بيع الكتب المصورة الرقمية، واكتشفنا أنهم كانوا يجمعون بيانات عن اهتمامات الأطفال الترفيهية خارج نطاق الكتب التعليمية، وهذا اعتُبر انتهاكاً يستوجب تعديلاً فورياً.

هذا المبدأ يعني أن كل حقل بيانات في نموذج التسجيل يجب أن يكون مبرراً ومقترناً بوظيفة خدمية محددة. على سبيل المثال، إذا كان التطبيق يحتاج تاريخ ميلاد الطفل لتخصيص المحتوى التعليمي، فذلك مسموح به، لكن طلب العنوان السكني الكامل لأغراض لا صلة لها بالتعليم سيكون مخالفاً. ننصح عملاءنا دوماً بإعداد جدول داخلي يوضح لكل نوع من البيانات الهدف من جمعه، ومدة الاحتفاظ به، وأساس المعالجة القانوني، وهذا الجدول غالباً ما يكون أول شيء تطلبه لجان التفتيش الصينية عند زيارة مقر الشركة.

أحد التفاصيل المهمة التي يتجاهلها كثير من الشركات الأجنبية أن مبدأ التقليل ينطبق أيضاً على البيانات الموجودة في أنظمتهم التخزينية القديمة قبل صدور القانون الجديد. بمعنى آخر، إذا كانت شركتك تمتلك بيانات تاريخية لقاصرين تم جمعها منذ سنوات قبل القوانين الجديدة، فأنت ملزم الآن بتدقيقها وحذف ما لا يتوافق مع مبدأ التقليل أو الحصول على موافقات مسبقة جديدة تتلاءم مع الشروط الراهنة. هذا يعني عملية تنظيف كبرى للبيانات، وهي عملية مكلفة وتحتاج وقتاً طويلاً وخبرة قانونية سليمة، وقد ساعدنا عملاءنا على إنجاز هذه العمليات في عدة مشاريع، وكانت دائماً تجربة غنية بالدروس المستفادة.

التشفير وتخزين البيانات

بخصوص التشفير وتخزين البيانات داخل الصين، فالقواعد الصينية صارت واضحة وحاسمة: يجب تخزين جميع البيانات الشخصية للقاصرين على خوادم داخل الأراضي الصينية، ولا يجوز نقلها للخارج إلا في إطار ضيق جداً وبعد تقييم أمني دقيق. هذا الموضوع كان نقطة خلاف كبيرة مع بعض الشركات الأمريكية التي تعتمد عادة على البنية السحابية العالمية الموحدة، وجدنا أنفسنا كثيراً في مواجهة مأزق مزدوج: من جهة الامتثال الصيني، ومن جهة السياسات الداخلية للشركات الأم التي تفضل البنية التحتية الموحدة حول العالم.

الفصل المحلي للبيانات Low-Coding أصبح مصطلحاً رائجاً في مؤتمرات المحاسبة والاستشارات، لكنه في جوهره يعني ببساطة استضافة كاملة وفعلية للبيانات داخل الصين. يجب على الشركات الأجنبية التعاقد مع مزودي خدمات سحابية مرخصين في الصين مثل Alibaba Cloud أو Huawei Cloud، أو إنشاء مراكز بيانات داخلية خاصة بها إذا كانت أحجام البيانات ضخمة. أتذكر حالة مؤسس شركة فرنسية ناشئة في مجال الساعات الذكية للأطفال، وكان مصراً على نقل خوادمه من سنغافورة إلى شنيانغ، واستغرقنا ستة أشهر طويلة لإتمام النقل وتوثيقه بما يرضي الجهات التنظيمية المحلية.

الأمر الإضافي المتعلق بالتشفير، أن المعايير الصينية تتطلب استخدام معايير التشفير الوطنية (مثل SM4 وSM2)، وهي تختلف عن المعايير الأمريكية والأوروبية الشائعة. هذا يعني أن الشركات الأجنبية التي تطور أنظمتها في الخارج تحتاج إلى تعديل برمجياتها وتكوينها لتناسب هذه المعايير الصينية المحلية، وهو أمر ننبه عليه منذ بداية المشاريع لتفادي تكاليف التعديل المزدوجة. كما أن الالتزام بمعايير التشفير المحلية ليس مجرد توصية، بل شرط إلزامي يخضع للتدقيق التقني المستمر من قبل جهات الرقابة.

تقييم تأثير حماية البيانات

تقييم تأثير حماية البيانات ليس مجرد نموذج ورقي يُملأ ويُقدَّم، بل هو عملية هندسية تنظيمية معمقة تتطلب تداخل عدة تخصصات. من اللوائح الصينية يستوجب هذا التقييم أن يشمل وصفاً دقيقاً لتقنيات المعالجة، وتحليلاً للمخاطر المحتملة، وخطة تفصيلية لتقليل تلك المخاطر، وفريق عمل ذي مسؤوليات محددة. كشركة استشارية، عملنا على إعداد هذه التقييمات لعدة عملاء، وأدركنا أن هذه الوثيقة تصبح مرجعاً حياً يتغير مع تطور الخدمات أو تعديل الأنظمة، وليس وثيقة ثابتة.

في أحد المشاريع المتعلقة بتطبيق صيني-ألماني مشترك للطباعة التعليمية للأطفال، تبين أن النظام يتصل بتقنيات تحديد المواقع GPS لحظر الطباعة في المناطق الخطرة مثل الطرق السريعة، وهو الأمر الجميل في خدمته ولكنه استدعى حالات كثيرة لجمع بيانات موقع دقيقة للطفل. كان هذا مخالفاً، لأن الغرض الأساسي من التطبيق هو الطباعة، وتحديد الموقع كان مجرد ميزة إضافية غير أساسية. العبرة هنا، أن كل ميزة إضافية تقود إلى بيانات إضافية، وكل بيانات إضافية تتطلب تقييم أثر جديداً ومستقلاً. هذه الدراما التنظيمية تجعل عملية التطوير التكنولوجي في الصين أبطأ وأكثر تكلفة، لكنها بالمقابل تمنع الإفراط في جمع البيانات الذي نراه في منتجات مماثلة في الخارج.

بالنسبة للمستثمر الجديد الذي يخطط لدخول السوق الصينية، أنصحه بتكوين فريق تقييم أثر منذ مرحلة التصميم الأولى للمنتج وليس بعد تطويره، لأن إعادة هندسة المنتج لدعم متطلبات حماية البيانات أكثر تكلفة بكثير من تضمينها من البداية. في مكتبنا، نطبق حالياً منهجية "الخصوصية في التصميم" مع عملائنا من خلال ورش عمل مشتركة تضم مطوري البرامج والمحاسبين القانونيين الصينيين والمستشارين، وهذا يخلق حواراً متوازناً أفضل من انتظار ورود تقارير مخالفة من السوق.

عبور الحدود ونقل البيانات

مسألة عبور الحدود وبيانات القاصرين هي واحدة من أكثر المواضيع حساسية من الناحية السياسية المزدوجة: حماية البيانات الصينية من جهة، والسياسة الخارجية من جهة أخرى. القواعد الحالية تمنع بصورة شبه مطلقة نقل بيانات القاصرين خارج الصين، إلا في حالات محددة جداً تتعلق بحماية حياة الطفل أو مصلحته العليا، وتحتاج إلى موافقة صريحة من الجهة التنظيمية الرئيسية. هذا الأمر خيب آمال بعض الشركات التي تعتمد على المراكز الإقليمية في سنغافورة أو دبي لتوحيد معالجة بياناتها.

من زاوية عملية، هذا يعني أن الشركة الأجنبية الأم التي تستخدم ألواح معلومات (Dashboards) موحدة لعرض بيانات جميع فروعها العالمية ستصطدم بعقبة كبيرة، لأنها لن تستطيع ضم بيانات الأطفال الصينيين إلى هذه المنظومة العالمية المنقولة عبر الإنترنت. من الحلول التي ننصح بها، إقامة نظامين منفصلين تماماً: نظام للصين ونظام للعالم، مع استبعاد بيانات القاصرين الصينيين من أي تدفق دولي. هذا الانفصال التقني والمؤسسي يحمي الشركة من الغرامات ويسهّل التدقيق المحلي، ويُظهر للمنظمين الصينيين حسن النية الذاتية.

هناك أيضاً مسألة التعاقد الثانوي مع شركات معالجة البيانات الفرعية التي قد تكون خارج الصين؛ القواعد الصينية تشترط أن يكون المصنف الحر الباطن داخل الصين بصورة أساسية، وأن تتم مراجعته والموافقة عليه من الجهة المصدرة للبيانات. تعاملنا مع حالات عديدة لشركات أمريكية تستخدم أدوات تحليلية تعمل في خوادم بالهند، وكان الجواب الصيني واضحاً: أدوات التحليل يجب أن تعمل على الخوادم المحلية أو لا تعمل أصلاً. هذا يعني أيضاً أن عقود خدمات الشركات السحابية يجب أن تتضمن شروطاً صينية واضحة في هذا الشأن.

العقوبات وحالات تطبيقية

على الرغم من أن العناوين الرئيسية لوسائل الإعلام ركزت على الغرامات الضخمة للشركات الصينية الكبرى مثل شركات التكنولوجيا الكبرى، فإن الممارسة الفعلية أظهرت أن الشركات الأجنبية الصغيرة والمتوسطة لم تكن بمنأى عن العقوبات. في حادثة ليست ببعيدة، غُرّمت شركة بريطانية متخصصة في تطبيقات الرياضيات للأطفال بمبلغ قيمته 3 ملايين يوان بسبب احتفاظها ببيانات أطفال سابقين لمدة تتجاوز الفترة المسموحة، بالإضافة إلى إجبارها على تعديل سياسات الخصوصية وإعادة تدريب موظفيها. العملية كلها استغرقت أكثر من ثمانية أشهر واستهلكت كثيراً من وقت الإدارة.

أما الحالة الأخرى فهي لشركة أمريكية ناشئة في مجال التعليم اللغوي، والتي واجهت تفتيشاً مفاجئاً من الجهات المحلية في بكين، وتبين أن لديها ملفات صوتية لأطفال يتلقون دروساً محفوظة على خوادم في الولايات المتحدة. المفتشون قدروا هذا كإخلال جسيم، وفرضوا غرامات إدارية وعقوبات بالتجميد المؤقت لبعض خدماتها، مما أدى إلى فقدان عشرات الآلاف من العملاء في غضون أشهر. الدرس المستفاد هنا أن التعامل بجدية مع متطلبات القانون الصيني من اليوم الأول في دخول السوق ليست ترفاً أو ضرباً من الإفراط الاحترازي، بل هو إدارة أزمات استباقية حقيقية.

لكن القصة لها جانب مضيء أيضاً؛ الشركات التي استثمرت في الامتثال منذ البداية غالباً ما تلاحظ تحسناً في الثقة مع المستهلكين الصينيين، الذين أصبحوا أكثر وعياً بحقوقهم الرقمية. الآباء الصينيون اليوم يتصفحون سياسات الخصوصية قبل تحميل أي تطبيق لأطفالهم، وهذا شيء لاحظناه من خلال الدراسات السوقية التي ننفذها لصالح عملائنا. بمعنى آخر، الامتثال الجيد ليس فقط درعاً من العقوبات، بل أصل تجاري يساهم في بناء ولاء العملاء وسمعة العلامة في سوق حساس تنافسي ضخم.

الخاتمة والتوصيات المستقبلية

خلاصة القول، إن حماية المعلومات الشخصية للقاصرين في الصين في مجال الشركات الأجنبية قد تحولت من ملف تقني ضيق إلى ركن رئيسي من أركان استراتيجية دخول السوق وتطوير الأعمال. إننا نشهد بالفعل تحولاً نوعياً في الثقافة المؤسسية للشركات متعددة الجنسيات، حيث باتت الحوكمة المسؤولة للبيانات جزءاً من المسؤولية الاجتماعية للشركة، وليست مجرد متطلب قانوني. لذلك أنصح دوماً بالمبادئ التالية: ابدأ مبكراً في بناء منظومة امتثال شاملة، وتعاون مع مستشارين محليين يعرفون الثقافة التنظيمية الصينية بشكل عميق، واجعل بيانات الأطفال محوراً للاهتمام الداخلي لا هامشياً.

المستقبل يحمل اتجاهين متوازيين: من ناحية، زيادة تكامل أنظمة حماية البيانات بين الصين والاتحاد الأوروبي في إطار تبني مبادئ متقاربة بالرغم من اختلاف التفاصيل؛ ومن ناحية أخرى، تشديد أكبر على الذكاء الاصطناعي والاستخدام الخوارزمي للبيانات في سياقات التأثير على سلوك الأطفال. الصين تسعى بالفعل إلى تطوير قواعد خوارزميات مخصصة للأطفال، وهذا سيفتح أبواباً جديدة من الامتثال لم تكن موجودة بعد. كخبير ممارس، أرى أن مستقبل الأعمال في السوق الصينية سيكون لأولئك الذين يتبنون الشفافية الجذرية ونظرة الحماية الشاملة للطفل في كل تفاصيل منتجاتهم.

في النهاية، أود أن ألفت نظركم إلى أن هذا الملف يستمر في التطور بشكل متسارع؛ لذلك أوصي دائماً عملاءنا بمتابعة التحديثات التشريعية بالاشتراك في نشرتنا الدورية ومتابعة منشورات لجنة الأمن السيبراني والهيئة الوطنية للبيانات. الصبر والجاهزية للتعلم المستمر هما مفتاح النجاح في هذا البيئة الصعبة الجذابة كل يوم.

أما بخصوص رؤية شركة جياشي للضرائب والمحاسبة، فإننا في مكتبنا ننظر إلى هذا الملف بعين شاملة لا تعزل الامتثال عن التطوير المرن للأعمال. نحن نؤمن بأن الشركات الأجنبية الناجحة ستظل في موقف القوة إذا نظرت إلى حماية بيانات القاصرين كاستثمار طويل الأمد في بناء الثقة مع السوق، وليس مجرد تكلفة تشغيلية يجب إدارة الحد الأدنى منها. خبرتنا العملية أثبتت أن العملاء الذين تبنوا هذا الموقف لم يحققوا فقط امتثالاً قانونياً، بل اكتسبوا ميزة تنافسية واضحة لدى شريحة الآباء المتزايدة وعياً. بنيتنا الاستشارية في جياشي تشمل فريقاً متخصصاً للامتثال التكنولوجي، ويجمع بين المهارات المحاسبية والهندسية والقانونية، وكلها تصب في هدف واحد: حماية استثماراتكم وتحقيق نمو مستدام في الصين. عقداً من العمل اليومي يعلمنا أن الصبر والدقة والعلاقات الصحيحة هي أجمل ما نمتلك لخدمة المستثمرين العرب والشركات العالمية.