التتبع من جهة السيرفر وDSGVO — كيف ننشئه في ألمانيا دون غرامات؟

لا تنخدعوا أبدًا بحكاية الوكالات هذه "نقلناه إلى جهة السيرفر، تخلصنا من الكوكيز، لا حاجة للموافقة". سلطات الرقابة الألمانية (خاصة بافاريا وبادن-فورتمبيرغ) تعرف هذا الموضوع جيدًا. في اللحظة التي تقرأون فيها بايت واحد من البيانات من الجهاز الطرفي لأغراض تسويقية تصبحون داخل نطاق TDDDG، لا مفر.

النقطة التي يجب الانتباه إليها في البنية التقنية هي: إذا أرسلتم عنوان IP في الطلب الوارد إلى حاوية السيرفر، ومعلومات وكيل المستخدم (User-Agent)، وعنوان المرجع، إلى منصة الإعلان بشكل خام، فهذا يُعتبر نقلًا مباشرًا لبيانات شخصية. يجب على سيرفر البروكسي الخاص بكم حذف الثمانية الأخيرة من عنوان IP وتعميم الطوابع الزمنية.

لا يجب الخلط بين قانونين مختلفين: المادة 25 من TDDDG تنظّم الوصول إلى البيانات على الجهاز (كوكي أو بصمة) وتطلب الموافقة. أما المادة 6 من DSGVO فتنظّم معالجة البيانات الشخصية المُحصَّلة (مثل عنوان IP). حتى لو وفّر التتبع من جهة السيرفر ضبطًا للبيانات على جانب DSGVO، فإنه لا يستطيع تجاوز عقبة TDDDG بمفرده.

تعديل: كتبت خطأً أعلاه، أرجو المعذرة.

أنشأنا بنية مشابهة على سيرفر مستقل في موقع فرانكفورت. تكلفة السيرفر لدينا 80 EUR شهريًا. نقلنا بيانات المستخدمين الذين منحوا موافقتهم في لافتة الموافقة عبر السيرفر. تراجع فقداننا للبيانات الناتج عن مانعات الإعلانات من 28 بالمئة إلى 9 بالمئة، لكننا لا ننقل سطر بيانات واحد بدون موافقة.

السنة الماضية واحد المستشار أعطانا نفس الفكرة، وعطّلنا لافتة الموافقة. بعد شهرين وصلنا إنذار قانوني (Abmahnung) من محامي شركة منافسة؛ لقينا نفسنا قدام 1.800 EUR أتعاب محاماة وغرامة تصريح. رجعنا فوراً لنظام الموافقة القديم. في ألمانيا هالمخاطرة ما تستاهل أبداً.

الكونتينر اللي رح تستضيفوه من جهة السيرفر رح يكون في مركز بيانات داخل حدود الاتحاد الأوروبي؟ ولما ترسلوا بيانات لشبكات الإعلانات، رح تخططوا كمان تربطوا هويات العملاء غير المتصلة (زي الإيميل المُشفّر hash)؟

أنا بقول لا تشتغلوا بكلام المسوّقين، هدول بس بيبصّوا على جدول التحويلات. وإذا إجت غرامة بتيجي على الشخصية الاعتبارية للشركة واربطوا آلية الموافقة بالسيرفر، وإذا ما في إذن، السيرفر كمان ما يبعث طلب لطرف ثالث.

إذا كان عند شركتكم مسؤول حماية بيانات (Datenschutzbeauftragter) داخلي أو من مزوّد خارجي، ففحص هذا التغيير المعماري ضمن تقييم أثر حماية البيانات (DSFA) هو متطلب قانوني. ومن الإلزامي تحديث سياسة الخصوصية (Datenschutzerklärung) بحيث تعكس مسار البيانات الجديد هذا.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

سأكون ممتنًا لو شاركت النتيجة. محاولة فعل هذا بمفردك هي أغلى الطرق.

إذا لم أخطئ الفهم، فأنت تقول: ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

أنت محق تمامًا. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

فعل الجميع لشيء ما لا يعني أنه صحيح. لو كنت مكانك، لسلك هذا المسار.

أختلف معك في هذه النقطة ثم على كل حال إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أتفق مع هذا. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

أتمنى أن يفيدك هذا.

كنت أفكر في نفس الشيء. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أتفق مع هذا. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

مثبت بالتجربة.

أتفق، بل أود التأكيد على هذه النقطة. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

محاولة فعل هذا بمفردك هي أغلى الطرق.

لم أكن أعلم بهذا. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

صححوا لي إن أخطأت.