الاحتفاظ ببيانات مؤتمرات الفيديو: دليل للفرق القانونية وفرق الامتثال
تُعدّ تسجيلات مؤتمرات الفيديو، والنصوص المكتوبة، وسجلات المحادثات، والبيانات الوصفية، أدلةً وأصولًا تدريبيةً وملكيةً فكريةً وبياناتٍ شخصيةً في آنٍ واحد. تحتاج الفرق القانونية وفرق الامتثال إلى منهجيةٍ منظمةٍ لتحديد مدة الاحتفاظ بهذه البيانات، ومن يمكنه الوصول إليها، ومتى يجب حذفها، وكيفية التعامل مع المتطلبات المتضاربة بين مختلف الاختصاصات واللوائح. يوفر هذا الدليل الإطار والجداول وقوائم التحقق اللازمة لبناء برنامج احتفاظٍ قابلٍ للدفاع عنه.
لماذا يُعد الاحتفاظ بالبيانات أمرًا مهمًا في مؤتمرات الفيديو؟
تواجه المنظمات ضغوطاً من جهات متعددة فيما يتعلق ببيانات الاجتماعات:
- تتطلب المتطلبات التنظيمية الاحتفاظ بالبيانات لفترات محددة (قاعدة هيئة الأوراق المالية والبورصات 17a-4، المادة 16 من توجيهات MiFID II، قانون HIPAA).
- تتطلب لوائح الخصوصية حذف البيانات عندما لا تعود هناك حاجة إليها (مبدأ تقييد التخزين في المادة 5 (1) (هـ) من اللائحة العامة لحماية البيانات).
- تتطلب إجراءات الحفظ في الدعاوى القضائية حفظًا يتجاوز جداول الحذف العادية.
- تدفع الاحتياجات التشغيلية إلى تقديم طلبات للاحتفاظ بالبيانات لأغراض التدريب وضمان الجودة وإدارة المعرفة.
تنص المادة 5(1)(هـ) من اللائحة العامة لحماية البيانات (GDPR) على تقييد مدة التخزين، حيث تنص على أنه "يجب الاحتفاظ بالبيانات الشخصية بشكل يسمح بتحديد هوية أصحاب البيانات لفترة لا تتجاوز المدة اللازمة للأغراض التي تتم معالجة البيانات الشخصية من أجلها". وهذا يُنشئ التزامًا قانونيًا بتحديد حدود الاحتفاظ بالبيانات وإنفاذها.
حدد ما تحتفظ به
ليست جميع بيانات الاجتماعات متساوية. قم بحصر كل نوع من أنواع البيانات وربطه بقواعد الاحتفاظ المناسبة:
نموذج جدول الاحتفاظ بالبيانات حسب نوع البيانات
| نوع البيانات | وصف | المحفز التنظيمي المشترك | الاحتفاظ الافتراضي الموصى به | ملحوظات |
|---|---|---|---|---|
| بيانات تعريف الاجتماع | قائمة المشاركين، أوقات الانضمام/المغادرة، المدة، عنوان الاجتماع | متطلبات التدقيق الخاصة باللائحة العامة لحماية البيانات (GDPR) وقانون قابلية نقل التأمين الصحي والمساءلة (HIPAA) ومعيار SOC 2 | من سنة إلى ثلاث سنوات | تكلفة تخزين منخفضة؛ مفيدة للتحقق من الامتثال |
| رسائل الدردشة | الدردشة النصية أثناء الاجتماع | اللائحة العامة لحماية البيانات (GDPR)، والمادة 17أ-4 من قانون الأوراق المالية والبورصات الأمريكية (SEC)، والمادة 4511 من قانون هيئة تنظيم الصناعة المالية (FINRA). | 3-7 سنوات (منظمة) / سنة واحدة (عامة) | قد تحتوي على معلومات شخصية حساسة أو معلومات بالغة الأهمية للأعمال |
| تسجيلات الفيديو | تسجيل صوتي ومرئي كامل للاجتماع | المادة 17أ-4 من قانون الأوراق المالية والبورصات، والمادة 16 من توجيهات الأسواق في الأدوات المالية (MiFID II)، وقانون قابلية نقل التأمين الصحي والمساءلة (HIPAA)، وقوانين تسجيل البيانات على مستوى الولايات. | 3-7 سنوات (منظمة) / 90 يومًا (عامة) | أعلى تكلفة تخزين؛ أكبر تأثير على الخصوصية |
| تسجيلات صوتية فقط | تسجيل الصوت بدون فيديو | تمامًا مثل تسجيلات الفيديو | 3-7 سنوات (منظمة) / 90 يومًا (عامة) | تكلفة تخزين أقل؛ نفس المعاملة القانونية للفيديو |
| النصوص | نص مكتوب للمحتوى المنطوق | اللائحة العامة لحماية البيانات (البيانات الشخصية)، هيئة الأوراق المالية والبورصات/هيئة تنظيم الصناعة المالية، قانون قابلية نقل التأمين الصحي والمساءلة | نفس التسجيل المقابل | تُعامل كبيانات شخصية؛ قابلة للبحث - مخاطر اكتشاف أعلى |
| ملخصات الذكاء الاصطناعي | ملخصات الاجتماعات التي تم إنشاؤها بواسطة الذكاء الاصطناعي | اللائحة العامة لحماية البيانات (المعالجة الآلية)، قانون قابلية نقل التأمين الصحي والمساءلة (المعلومات الصحية الإلكترونية المحمية) | نفس التسجيل المقابل أو أقصر | قد يحتوي على معلومات مستنتجة؛ وثّق الأساس القانوني |
| الملفات المشتركة / لقطات الشاشة | الوثائق التي تم تبادلها خلال الاجتماع | اللائحة العامة لحماية البيانات (GDPR) وسياسات الملكية الفكرية | متوافق مع سياسة إدارة المستندات | قد يتم الاحتفاظ بنسخ من المستندات في مكان آخر |
| سجلات التدقيق | سجلات الأحداث التي يُنشئها النظام | SOC 2، ISO 27001، HIPAA، GDPR المادة 5(2) | 3-7 سنوات | ضروري لإثبات الامتثال؛ محتوى منخفض من المعلومات الشخصية الحساسة |
متطلبات الاحتفاظ الخاصة بكل قطاع
| قطاع | التنظيم الأساسي | الحد الأدنى لفترة الاحتفاظ | المتطلبات الأساسية |
|---|---|---|---|
| الخدمات المالية (الولايات المتحدة) | قاعدة هيئة الأوراق المالية والبورصات 17أ-4؛ قاعدة هيئة تنظيم الصناعة المالية 4511 | 3-6 سنوات | يجب حفظ المراسلات التجارية بصيغة غير قابلة لإعادة الكتابة أو المسح لمدة عامين. |
| الخدمات المالية (الاتحاد الأوروبي) | المادة 16 (7) من توجيهات الأسواق في الأدوات المالية (MiFID II) | 5-7 سنوات | يجب تسجيل المراسلات المتعلقة بالطلبات والاحتفاظ بها؛ وتقديمها إلى الجهات التنظيمية عند الطلب. |
| الخدمات المالية (المملكة المتحدة) | FCA COBS 11.8 | خمس سنوات | يجب الاحتفاظ بالمراسلات المتعلقة بطلبات العملاء وإمكانية استرجاعها |
| الرعاية الصحية (الولايات المتحدة) | قانون HIPAA (45 CFR § 164.530(j)) | ست سنوات | يجب الاحتفاظ بالسياسات والوثائق المتعلقة بالامتثال لقانون HIPAA لمدة 6 سنوات؛ وقد تفرض قوانين السجلات الطبية في الولايات فترات أطول. |
| الرعاية الصحية (الاتحاد الأوروبي) | اللائحة العامة لحماية البيانات (GDPR) + قوانين الصحة الوطنية | يختلف ذلك باختلاف الدولة العضو | ينطبق مبدأ تحديد مدة التخزين؛ وقد تحدد القوانين الوطنية فترات الاحتفاظ بالسجلات الطبية |
| قانوني | قواعد نقابة المحامين؛ التزامات حفظ الدعاوى القضائية | مدة القضية + فترة ما بعد الإغلاق | يجب حماية المواد السرية؛ وتتجاوز قرارات التقاضي جداول الحذف |
| الحكومة (الولايات المتحدة) | قانون السجلات الفيدرالية؛ جداول إدارة المحفوظات والسجلات الوطنية | يختلف ذلك باختلاف نوع السجل | يجب على الوكالات الفيدرالية اتباع جداول الاحتفاظ المعتمدة من قبل إدارة المحفوظات والسجلات الوطنية (NARA). |
| التعليم (الولايات المتحدة) | قانون حماية حقوق الأسرة والتعليم (FERPA) (20 USC § 1232g) | طالما يتم الاحتفاظ بالسجلات | تتطلب سجلات تعليم الطلاب الحماية؛ ويجب الاحتفاظ بها بما يتماشى مع السياسة المؤسسية. |
| تجاري عام (الاتحاد الأوروبي) | المادة 5(1)(هـ) من اللائحة العامة لحماية البيانات | لا تتجاوز المدة اللازمة | يجب تبرير فترة الاحتفاظ؛ ويتم الحذف عند انتهاء الغرض. |
وضع سياسة للاحتفاظ بالموظفين
الخطوة 1: أنواع بيانات المخزون
قم بتصنيف جميع أنواع البيانات التي تولدها أو تخزنها منصة الفيديو الخاصة بك. يشمل ذلك البيانات الوصفية، والمحادثات، والتسجيلات (الفيديو والصوت)، والنصوص المكتوبة، ومخرجات الذكاء الاصطناعي، والملفات المشتركة، وسجلات النظام.
الخطوة الثانية: الربط باللوائح والالتزامات
لكل نوع من أنواع البيانات، حدد جميع اللوائح المعمول بها، والالتزامات التعاقدية، ومتطلبات حفظ البيانات لأغراض التقاضي. عند تطبيق لوائح متعددة، استخدم أطول فترة احتفاظ مطلوبة كحد أدنى، وتأكد من أن فترة الاحتفاظ لا تتعارض مع الحد الأقصى لقوانين حماية البيانات.
الخطوة الثالثة: تحديد مستويات الاحتفاظ
أنشئ مستويات احتفاظ تتناسب مع أنواع اجتماعاتك. يدعم DigitalMeet سياسات الاحتفاظ لكل نوع من أنواع الاجتماعات، مما يسمح لك بتطبيق جداول زمنية مختلفة على مكالمات العملاء (احتفاظ طويل الأمد)، والاجتماعات الداخلية (احتفاظ قصير الأمد)، وجلسات التدريب المسجلة (احتفاظ متوسط الأمد).
الخطوة الرابعة: تنفيذ إجراءات الحجز القانوني
يجب أن يُلغي الحفظ القانوني الحذف التلقائي عند توقع أو وجود دعوى قضائية أو تحقيق تنظيمي أو تدقيق. حدد من يمكنه بدء الحفظ القانوني وإلغاءه، وكيفية إبلاغ الحفظ، وكيفية تفاعله مع الاحتفاظ الآلي. تمنع ميزة الحفظ القانوني في DigitalMeet الحذف التلقائي لاجتماعات محددة وبياناتها المرتبطة بها.
الخطوة 5: الأتمتة والاختبار
يُعدّ الحذف اليدوي على نطاق واسع عرضةً للأخطاء. لذا، قم بضبط سياسات الاحتفاظ التلقائي في منصة الفيديو الخاصة بك واختبرها في بيئة تجريبية. تأكد من التالي:
- يتم حذف البيانات وفقًا للجدول الزمني عندما لا يكون هناك أي تعليق نشط
- كما هو متوقع، تمنع القيود القانونية الحذف
- تسجل سجلات التدقيق جميع أحداث الحذف والتصدير
- تتم معالجة طلبات حذف بيانات أصحاب البيانات خلال الأطر الزمنية المطلوبة
طلبات الحذف وطلبات أصحاب البيانات
بموجب اللائحة العامة لحماية البيانات (GDPR) وقوانين الخصوصية المماثلة، يحق للأفراد طلب حذف بياناتهم الشخصية (المادة 17). يجب أن تتضمن سياسة الاحتفاظ بالبيانات ما يلي:
- يتم الحذف التلقائي عند انتهاء فترات الاحتفاظ، ما لم يكن هناك مانع قانوني أو متطلبات تنظيمية.
- تتم معالجة طلبات الحذف الفردية ضمن الإطار الزمني التنظيمي (شهر واحد بموجب اللائحة العامة لحماية البيانات).
- الحذف الجزئي حيثما كان ذلك ممكناً من الناحية التقنية - على سبيل المثال، حذف اسم أحد المشاركين من التسجيل مع الحفاظ على الباقي
- توثيق التدقيق لجميع إجراءات الحذف للتحقق من الامتثال
يدعم DigitalMeet عمليات تصدير وحذف الملفات مع سجلات تدقيق كاملة. فيما يخص التعاملات عبر الحدود، يُرجى تطبيق القاعدة الأكثر صرامة. للحصول على إرشادات خاصة باللائحة العامة لحماية البيانات (GDPR)، راجع قسم "الامتثال للائحة العامة لحماية البيانات في مؤتمرات الفيديو" .
قائمة التحقق التشغيلية
- ☐ جدول الاحتفاظ المكتوب المرتبط بفئات الاجتماعات وأنواع البيانات
- ☐ فترات الاحتفاظ مرتبطة بجميع اللوائح والعقود المعمول بها
- ☐ إجراءات الحجز القانوني موثقة مع مسارات تصعيد واضحة
- ☐ تم تكوين سياسات الاحتفاظ الآلية واختبارها في بيئة تجريبية
- ☐ إجراءات طلب بيانات الأفراد محددة بأهداف اتفاقية مستوى الخدمة
- ☐ المالك المُعيّن لتحديثات السياسة والمراجعة السنوية
- ☐ تدريب الموظفين على تسجيل الموافقة، ومؤشرات الاحتفاظ، وإجراءات الاحتجاز
- ☐ تم وضع عملية مراجعة سجل التدقيق لحذف الأحداث وتصديرها
- ☐ تم توثيق حالات التضارب في الاحتفاظ عبر الحدود مع نهج الحل
- ☐ مراجعة سنوية لسياسة الاحتفاظ بالبيانات مُجدولة مع أصحاب المصلحة من الإدارات القانونية والامتثال وتقنية المعلومات
الأسئلة الشائعة
إلى متى يجب أن نحتفظ بتسجيلات الاجتماعات؟
لا توجد إجابة واحدة تناسب الجميع. يجب تحديد مدة الاحتفاظ بالبيانات بناءً على أطول مدة قانونية سارية، سواء كانت متطلبات تنظيمية أو التزامات تعاقدية أو أحكام قضائية، مع مراعاة مبدأ الحد من التخزين المنصوص عليه في اللائحة العامة لحماية البيانات (GDPR). استخدم الجدول الخاص بكل قطاع أعلاه كنقطة انطلاق.
هل تُعامل النصوص المكتوبة بنفس طريقة معاملة التسجيلات لأغراض الحفظ؟
نعم عموماً. تحتوي النصوص المكتوبة على بيانات شخصية، وغالباً ما تخضع لنفس اللوائح التي تخضع لها التسجيلات الصوتية التي استُمدت منها. كما أنها تنطوي على مخاطر اكتشاف أعلى لأنها قابلة للبحث النصي.
هل يمكن لـ DigitalMeet فرض الاحتفاظ بالبيانات تلقائيًا؟
نعم. قم بتكوين سياسات الاحتفاظ لكل نوع اجتماع في لوحة التحكم الإدارية. يتم الحذف التلقائي وفقًا للجدول الزمني ما لم يتم تجاوزه بأمر قضائي. اختبر السياسات في بيئة تجريبية قبل نشرها في بيئة الإنتاج.
كيف نتعامل مع متطلبات الاحتفاظ المتضاربة؟
عندما يُلزم قانون تنظيمي بالاحتفاظ بالبيانات (مثلًا، المادة 17أ-4 من قانون هيئة الأوراق المالية والبورصات الأمريكية، لمدة 6 سنوات) ويُلزم قانون حماية البيانات بحذفها (مثلًا، تقييد التخزين بموجب اللائحة العامة لحماية البيانات)، فإن القانون التنظيمي عادةً ما يُعطي الأولوية لفترة الاحتفاظ المطلوبة. وثّق هذا التعارض وحلّه في سجلات حماية البيانات الخاصة بك. للاطلاع على إرشادات مفصلة، راجع قسم "اجتماعات الفيديو الآمنة للخدمات المالية" .
ما هو الحجز القانوني ومتى نستخدمه؟
يُعدّ الحفظ القانوني (أو ما يُسمى أيضاً بالحفظ القضائي) توجيهاً لحفظ البيانات ذات الصلة عند توقع التقاضي أو التحقيق التنظيمي أو التدقيق بشكل معقول. وهو يُلغي جداول الاحتفاظ والحذف المعتادة. وقد يؤدي عدم تنفيذ الحفظ إلى عقوبات بسبب إتلاف الأدلة.
كيف نتعامل مع طلبات حذف بيانات الأفراد أثناء فترة الحفظ القانوني؟
تُعطى الأولوية عمومًا لطلبات الحفظ القانوني على طلبات الحذف طوال مدة الحفظ. وثّق التعارض، وأبلغ صاحب البيانات بأن طلبه معلق مؤقتًا بسبب التزام قانوني، ثم نفّذ عملية الحذف عند رفع الحفظ.
هل يدعم تطبيق DigitalMeet سياسات احتفاظ مختلفة لأنواع الاجتماعات المختلفة؟
نعم. يُعدّ الاحتفاظ بالبيانات حسب نوع الاجتماع ميزة أساسية. يمكنك ضبط جداول احتفاظ مختلفة لمكالمات العملاء، والاجتماعات الداخلية، والدورات التدريبية، وفئات الاجتماعات الأخرى.
كيف ينبغي لنا التعامل مع الملخصات التي يتم إنشاؤها بواسطة الذكاء الاصطناعي في سياسة الاحتفاظ بالبيانات؟
تُستخلص ملخصات الذكاء الاصطناعي من التسجيلات، وقد تحتوي على بيانات شخصية أو معلومات مستنتجة. يجب تطبيق فترة احتفاظ مماثلة أو أقصر من فترة الاحتفاظ بالتسجيل الأصلي. يجب توثيق الأساس القانوني لنشاط معالجة الذكاء الاصطناعي. راجع قسم "مؤتمرات الفيديو المتوافقة مع قانون HIPAA" للاطلاع على اعتبارات الذكاء الاصطناعي الخاصة بالرعاية الصحية.