ما الذي يتغير فعلًا في 10 ديسمبر 2026، وما الذي يخطئ فيه مزوّد تقنية المعلومات لديك

إذا كنت تدير شركة أسترالية، فمن المرجح أنك تلقيت في الأشهر القليلة الماضية رسالة بريد إلكتروني تخبرك بأن إعفاء الشركات الصغيرة في Privacy Act (قانون الخصوصية) سيختفي في 10 ديسمبر 2026، وأن 2.5 مليون شركة على وشك أن تخضع للتنظيم، وأن عليك حجز تدقيق امتثال فورًا.

التاريخ حقيقي. أما كل ما عداه في تلك الجملة تقريبًا فليس كذلك.

قرأنا كثيرًا من هذه التحذيرات، ومعظمها صادر عن مزوّدي تقنية المعلومات، والنمط ثابت: إصلاحان منفصلان تمامًا، أحدهما مُشرَّع والآخر لا يزال مسودة، يُدمجان في موعد نهائي واحد. والنتيجة أن الشركات تشتري مشاريع امتثال لالتزام لم يوجد بعد، بينما تتجاهل التزامًا قابلًا للتنفيذ منذ العام الماضي.

الادعاء المتداول

تقول الصيغة المعتادة شيئًا من قبيل: "اعتبارًا من 10 ديسمبر 2026، يُلغى إعفاء الشركات الصغيرة البالغ 3 ملايين AUD، ويجب على نحو 2.5 مليون شركة أسترالية الامتثال لجميع مبادئ Australian Privacy Principles (مبادئ الخصوصية الأسترالية) الثلاثة عشر."

إلغاء الإعفاء التزام حقيقي في السياسة العامة، وكان من الردود التي وافقت عليها Attorney-General's Department (وزارة المدعي العام) على Privacy Act Review (مراجعة قانون الخصوصية). لكن الموافقة على فعل شيء ليست كفعله. فالإعفاء منصوص عليه في Privacy Act 1988 (قانون الخصوصية لعام 1988)، وإلغاؤه يتطلب تشريعًا معدِّلًا لم يُقرّ حتى سبتمبر 2026.

ما يوجد بدلًا من ذلك هو مسودة للتشاور، هي Privacy Amendment (Personal Data Protection) Bill 2026 (مشروع قانون تعديل الخصوصية لحماية البيانات الشخصية لعام 2026)، وتتضمن نحو أربعين مقترحًا، منها اختبار واحد "عادل ومعقول" للجمع والاستخدام والإفصاح. وقد طُرحت للتشاور العام، وكان ذلك التشاور لا يزال مفتوحًا هذا الشهر. ومسودة التشاور مقترح تطلب الحكومة التعليق عليه، وليست تاريخ نفاذ.

ما الذي يصبح قانونًا فعلًا في 10 ديسمبر 2026

يأتي الموعد النهائي الحقيقي من Privacy and Other Legislation Amendment Act 2024 (قانون تعديل الخصوصية والتشريعات الأخرى لعام 2024)، الذي أُقرّ في أواخر 2024. وقد بدأ نفاذ معظمه فورًا أو بعد ذلك بقليل. وأُرجئ جزء مهم منه عمدًا لمدة 24 شهرًا لمنح المؤسسات وقتًا للاستعداد، وهو الجزء الذي يحلّ في 10 ديسمبر 2026: الشفافية بشأن اتخاذ القرار المؤتمت.

اعتبارًا من ذلك التاريخ، إذا كنت جهة APP وتستخدم المعلومات الشخصية في برنامج حاسوبي لاتخاذ قرار، أو لدعمه دعمًا جوهريًا، يُتوقع بشكل معقول أن يؤثر تأثيرًا كبيرًا في حقوق فرد ما أو مصالحه، فيجب أن تفصح سياسة الخصوصية لديك عن:

• أنواع المعلومات الشخصية المستخدمة في تلك القرارات،
• وأنواع القرارات المتخذة باستخدام تلك المعلومات.

لاحظ طبيعة هذا الالتزام. إنه متطلب إفصاح، وليس حظرًا ولا متطلب موافقة. لا يُقال لك إنك لا تستطيع استخدام اتخاذ القرار المؤتمت، بل يُقال لك إن عليك الاعتراف بأنك تستخدمه.

هل يشملك اتخاذ القرار المؤتمت؟

هنا تخطئ معظم الشركات التقدير في الاتجاهين. فعبارة "اتخاذ القرار المؤتمت" توحي بأنها تعني نموذج تعلّم آلي، فتفترض الشركات التي ليس لديها فريق لعلوم البيانات أنها لا تنطبق عليها. أما في الواقع فالمعيار أوسع بكثير، وعادةً ما تستوفيه برمجيات اشتريتها لا برمجيات بنيتها.

يجب أن تجتمع ثلاثة شروط: أن تكون هناك معلومات شخصية، وأن يتخذ برنامج حاسوبي القرار أو يدعمه دعمًا جوهريًا، وأن يكون من شأن القرار التأثير تأثيرًا كبيرًا في حقوق شخص ما أو مصالحه. ومن الأمثلة التي تستوفي ذلك عادةً:

الحالات الصعبة هي تلك التي يكون فيها إنسان ضمن الحلقة اسميًا. فعبارة "الدعم الجوهري" تؤدي دورًا حقيقيًا في ذلك التعريف. إذا أنتج نظام درجة ووافق شخص على النتيجة دون مراجعة المدخلات مراجعة فعلية، فذلك لا يزال دعمًا جوهريًا. والختم الشكلي ليس قرارًا بشريًا.

التمرين العملي غير لافت: أدرج كل نظام يتعامل مع المعلومات الشخصية، واسأل عن كل واحد ما القرار الذي ينتجه، وهل يغيّر ذلك القرار وصول شخص ما إلى وظيفة أو مال أو سكن أو خدمة، أو يمس سمعته. تجد معظم الشركات ما بين صفر وثلاثة. وكثير من الشركات لا تجد شيئًا فعلًا، وبالنسبة إليها لا يعني تاريخ ديسمبر شيئًا على الإطلاق، وهذا أمر يستحق معرفته قبل الدفع مقابل مشروع.

التغيير الذي حدث بالفعل

هذا هو الجزء الذي لا يحظى بأي اهتمام تقريبًا من النشرات نفسها التي تحذر من ديسمبر، وهو الجزء الذي كنا سنقلق بشأنه أولًا.

في 10 يونيو 2025، دخلت مسؤولية تقصيرية قانونية عن الانتهاكات الجسيمة للخصوصية حيز النفاذ. ولأول مرة في القانون الأسترالي، يمكن للفرد أن يقاضي مباشرة بسبب انتهاك جسيم للخصوصية.

التفصيل المهم هو على من تنطبق. فهذه المسؤولية التقصيرية لا تقتصر على جهات APP، ولا يعطّلها إعفاء الشركات الصغيرة. فالشركة التي تقل عن عتبة 3 ملايين AUD، والمتعاقد، والموظف الفرد: يمكن مقاضاتهم جميعًا مباشرة. ولكي ينجح المدعي، يجب أن يثبت أنه كان لديه توقع معقول للخصوصية، وأن الانتهاك كان جسيمًا، وأن مصلحته في الخصوصية ترجح على أي مصلحة عامة مقابلة. ولا يلزمه إثبات خسارة مالية.

كل شركة تعتمد حاليًا على إعفاء الشركات الصغيرة معرّضة بالفعل لدعوى قانونية مباشرة. وهذا صحيح منذ يونيو 2025.

لذا فإن الصياغة الصادقة أقرب إلى عكس الصياغة التسويقية. فالإعفاء لم يحمك من المقاضاة منذ أكثر من عام. أما ما إذا كان سيختفي في النهاية من Privacy Act (قانون الخصوصية) فهو سؤال يتعلق برقابة الجهة التنظيمية ومبادئ Australian Privacy Principles (مبادئ الخصوصية الأسترالية) الثلاثة عشر: سؤال حقيقي، لكنه ثانوي مقارنة بالمسؤولية القانونية القائمة بالفعل.

ما لا يزال مجرد مسودة

لنكن صريحين، لأن الخلط هو أصل المشكلة كلها:

هل سيُلغى الإعفاء في النهاية؟ على الأرجح. فقد انتُقد لسنوات، وأستراليا حالة شاذة في الإبقاء عليه، والحكومة ملتزمة بإلغائه. وإذا حدث ذلك ومتى حدث، فالتوقع المعقول هو فترة انتقالية لا تحوّل بين ليلة وضحاها؛ إذ كانت نية السياسة دائمًا منح الشركات الصغيرة وقتًا.

لكن "على الأرجح، في النهاية، مع فترة انتقالية" معطى تخطيطي مختلف تمامًا عن "أمامك حتى ديسمبر." فالأول يبرر بناء عادات جيدة، والثاني يبرر ميزانية طوارئ.

ما يجب فعله حقًا من الآن حتى ديسمبر

لم تتغير نصيحتنا للعملاء كثيرًا، لأن الأمور التي تستحق الفعل تستحقه بغض النظر عن الإصلاحات التي ستُقرّ.

1. أجرِ جردًا لاتخاذ القرار المؤتمت. إنه تمرين يستغرق نصف يوم لمعظم الشركات. أدرج الأنظمة التي تحتفظ بمعلومات شخصية، وحدّد أيها ينتج قرارات تؤثر تأثيرًا كبيرًا في الناس، ودوّن الإجابة. وإذا كانت الإجابة "لا شيء"، فوثّق أنك تحققت؛ فذلك السجل هو الناتج المفيد.

2. إذا كنت تستخدم ADM، فحدّث سياسة الخصوصية قبل ديسمبر. هذه مهمة صياغة، لا مشروع هندسي. صِف أنواع المعلومات وأنواع القرارات بلغة واضحة.

3. اعتبر أساسيات الأمن هي الموعد النهائي الحقيقي. أبلغت المؤسسات الأسترالية عن 1,205 اختراقًا للبيانات في 2025، بزيادة 8% على العام السابق، وهو أعلى رقم سنوي منذ بدء الإبلاغ الإلزامي في 2018. وكانت الهجمات الخبيثة أو الإجرامية وراء نحو الثلثين. وارتفعت إشعارات برامج الفدية بنسبة 24%. وكانت بيانات الاعتماد المخترقة السبب الجذري في نحو ربع جميع الاختراقات.

هذه الإحصائية الأخيرة هي التي تستحق التأمل. فربع الاختراقات المبلَّغ عنها يعود إلى بيانات اعتماد حصل عليها شخص ما واستخدمها. والمصادقة متعددة العوامل على البريد الإلكتروني والوصول عن بُعد والحسابات الإدارية ليست مجرد ضابط امتثال؛ بل هي التغيير الأمني الأعلى عائدًا المتاح لمعظم الشركات، وهي تعالج السبب الأكثر شيوعًا للحوادث التي يُبلَّغ عنها فعلًا.

4. لتكن لديك خطة للاستجابة للاختراقات قرأتها بصوت عالٍ. إذا أُلغي الإعفاء، فسيمتد نظام Notifiable Data Breaches (اختراقات البيانات الواجب الإبلاغ عنها) ليشمل الشركات المشمولة حديثًا، والمهلة المتاحة للتقييم قصيرة. ومعرفة من يتصل بمن، ومن يستطيع إيقاف نظام عن العمل، وأين توجد النسخ الاحتياطية، قبل أن تحتاج إلى ذلك، أثمن من وثيقة سياسة لم يفتحها أحد.

5. كن متشككًا في الإلحاح المصمَّم على مقاس ديسمبر. إذا قدّم لك مزوّد عرض سعر لأعمال امتثال لـ Privacy Act (قانون الخصوصية)، فالسؤال المنصف هو: أي التزام تحديدًا، وفي أي قانون، ويبدأ نفاذه في أي تاريخ؟ المزوّد الجيد سيجيب دون تردد. وإذا كانت الإجابة مبهمة، فالموعد النهائي هو من يتولى البيع.

العمل المفيد حقًا (معرفة المعلومات الشخصية التي تحتفظ بها، وأين توجد، ومن يستطيع الوصول إليها، وما الذي يحدث عندما يقع خطأ ما) يؤتي ثماره في ظل أي صيغة من هذه الإصلاحات. وهو أيضًا العمل الذي يمنعك من الظهور في إحصاءات الاختراقات، وهذه نتيجة أفضل من أن تكون ممتثلًا وأنت مخترَق.