فحوصات الخلفية، الفحص والعناية الواجبة المعززة (OSINT)

• Regulation (EU) 2016/679 — GDPR, Articles 10, 14 and 27
• Directive (EU) 2015/849 — anti-money laundering
• Regulation (EU) 2024/1689 — AI Act
• Regulation (EU) 2022/2065 — DSA where reports are hosted

من يجب أن يعيّن

المزودون الذين تم تأسيسهم خارج الاتحاد والذين يقومون بإعداد تقارير العناية الواجبة، نتائج الفحص أو ملفات التحقيق حول الأشخاص في الاتحاد الأوروبي: منصات OSINT، بائعي وسائل الإعلام السلبية وفحص العقوبات، خدمات فحص الخلفية، وشركات التحقيق التي تبيع للبنوك، وشركات المحاماة والشركات. الالتزام ينطبق سواء كان الموضوع عميلًا لعميلك أو طرفًا ثالثًا لم يتواصل مع أي شخص: الاختبار هو ما إذا كنت تعالج البيانات الشخصية للأشخاص في الاتحاد، وليس ما إذا كانوا قد طلبوا منك ذلك.

الحدود والإعفاءات

لا يوجد حد. ما يغير التحليل هو الدور: يمكن أن يكون البائع الذي ينفذ فقط بحث العميل بناءً على تعليمات العميل معالجًا، ولكن في اللحظة التي تقوم فيها ببناء رسوم بيانية للكيانات عبر العملاء، أو الاحتفاظ بالمواد المجمعة بعد التسليم، أو استخدام التقارير لتدريب أو تحسين نماذجك، فأنت متحكم لأغراض تلك الأغراض وتحتاج إلى ممثل بنفسك.

ما يجب أن يظهر على الملصق

ليس هناك ملصق مادي. ما يجب نشره هو هوية الممثل وتفاصيل الاتصال في إشعار الخصوصية، مع المعلومات المطلوبة بموجب المادة 14 للأشخاص الذين حصلت على بياناتهم من مصادر غير أنفسهم - وهو ما ينطبق على الجميع تقريبًا في هذا القطاع.

حقول المنصات

تقوم البنوك، وشركات المحاماة والمؤسسات المنظمة بإجراء العناية الواجبة على البائعين قبل الانضمام، وتحدد إجابات حماية البيانات العقود. لقد حققت عدة سلطات إشرافية وطنية في بائعي الفحص ووسائل الإعلام السلبية، وكانت النتائج تتعلق بالاحتفاظ، والدقة وغياب إشعار المادة 14 بدلاً من الفحص نفسه.

المستندات الواجب الاحتفاظ بها

سجلات المادة 30 التي توثق كل مصدر، وكل خطوة إثراء وكل مخرج. تعيين المادة 27 بنطاق يغطي صراحة بيانات المادة 10 إذا كنت تعالجها. تقييم تأثير حماية البيانات، والذي هو إلزامي هنا: التصنيف، المراقبة النظامية وبيانات الفئات الخاصة أو بيانات الجرائم على نطاق واسع كلها في قائمة المادة 35(3). توثيق الإعفاء بموجب المادة 14(5) الذي تعتمد عليه وأسباب ذلك. إجراءات الدقة والتصحيح، بما في ذلك كيفية تصحيح المطابقة الخاطئة عبر التقارير المقدمة. جداول الاحتفاظ لكل فئة بيانات. وثائق النقل. حيث يتم استخدام نظام ذكاء اصطناعي، الوثائق الفنية والتصنيف وفقًا لقانون الذكاء الاصطناعي.

المعايير والاختبارات

ليس اختبار المنتج، ولكن هناك اختبارين قائمين على الأدلة يحددان نتائج التنفيذ. الدقة: الإيجابيات الكاذبة في الفحص تسبب ضررًا حقيقيًا، لذا يجب توثيق منطق المطابقة، ومعدل الخطأ وخطوة المراجعة البشرية. وتقييم التحيز حيث يقوم النظام بتصنيف أو تقييم الأشخاص، وهو ما يتطلبه قانون الذكاء الاصطناعي للأنظمة عالية المخاطر والذي يتطلبه قانون التمييز بغض النظر.

المتطلبات اللغوية

إشعار الخصوصية، معلومات المادة 14 وأي تواصل مع موضوعات البيانات بلغة الشخص المعني. التقارير نفسها هي مستندات تجارية وتتبع لغة العميل.

متى ينطبق

الممثل قبل بدء المعالجة. معلومات المادة 14 خلال فترة معقولة وفي موعد أقصاه شهر واحد من الحصول على البيانات، ما لم ينطبق إعفاء. التزامات قانون الذكاء الاصطناعي عالية المخاطر اعتبارًا من 2 أغسطس 2026 حيث يقع النظام في الملحق الثالث.

مدة حفظ المستندات

هذه هي النقطة الأكثر حدة في الفئة. يمكن الاحتفاظ بالتقارير والمواد المجمعة الأساسية فقط طالما كان ذلك ضروريًا، وواجب الاحتفاظ بمكافحة غسل الأموال للعميل هو واجب العميل، وليس واجبك: الاحتفاظ بالملفات إلى أجل غير مسمى لأنها قد تكون مفيدة لاحقًا ليس له أساس قانوني. حيث تعمل كمعالج، يجب أن يكون الحذف بناءً على تعليمات العميل حقيقيًا وقابلًا للإثبات.

عند عدم الامتثال

حتى 20 مليون يورو أو 4% من إجمالي العائدات السنوية العالمية. التعرض في هذا القطاع يتضاعف لأن الموضوعات التي تكتشف تقريرًا تمارس حقوق الوصول بشكل عدواني، وطلب الوصول يكشف كل المعالجة: المصادر، الاستنتاجات، الاحتفاظ والمستلمين. دعاوى التشهير والتصحيح تسير بالتوازي عبر المحاكم الوطنية، على جداول زمنية أقصر من التحقيقات الإشرافية.

من ينفّذ

سلطات حماية البيانات في أي دولة عضو حيث توجد الموضوعات، حيث لا يوجد لدى المتحكم بدون مؤسسة في الاتحاد سلطة رائدة. المشرفون الماليون حيث يكون العميل مؤسسة منظمة. سلطات مراقبة السوق لقانون الذكاء الاصطناعي اعتبارًا من 2026. المحاكم الوطنية لدعاوى الدقة والسمعة.

أين يقع الحد الفاصل

المادة 10 هي الجدار. يمكن أن تتم معالجة البيانات الشخصية المتعلقة بالإدانات والجرائم فقط تحت سيطرة سلطة رسمية أو عندما يتم تفويضها بموجب قانون الاتحاد أو قانون الدولة العضو الذي يوفر ضمانات مناسبة. تحتاج شركة خاصة تقوم بفحص السجلات الجنائية إلى ذلك التفويض الوطني، ويختلف ذلك حسب الدولة العضو: بعض الدول تسمح بذلك للكيانات الملزمة بمكافحة غسل الأموال، بينما لا تسمح به على الإطلاق للبائعين التجاريين. القوائم العقابية وقوائم الأشخاص المعرضين للخطر هي مسألة مختلفة وعادة ما تكون قانونية، ولكن وسائل الإعلام السلبية تحتوي بانتظام على ادعاءات بسلوك إجرامي، مما يعيد المادة 10 من الباب الجانبي. تفويض الممثل الذي لا يغطي هذا صراحة لا قيمة له في التحقيق.

أسئلة تُطرح علينا

نحن نبحث فقط في المصادر العامة - هل لا يزال ذلك معالجة؟

نعم. جمع، هيكلة وتحليل المعلومات المتاحة للجمهور حول الأشخاص القابلين للتحديد هو معالجة، وكون المصدر عامًا لا يخلق أساسًا قانونيًا أو يزيل واجب المادة 14.

هل يجب علينا إخبار الموضوع أننا قمنا بتصنيفه؟

تتطلب المادة 14 ذلك، مع إعفاءات في المادة 14(5) بما في ذلك حيث يكون الإخطار مستحيلًا أو يتطلب جهدًا غير متناسب، أو حيث سيجعل ذلك الأهداف من المعالجة مستحيلة أو يعيقها بشكل خطير. يجب توثيق تلك الإعفاءات وتقييمها حالة بحالة، وليس افتراضها لكامل العمل.

هل نحن متحكمون أم معالجون؟

إذا كان العميل يحدد الموضوع والغرض وأنت تنفذ فقط، فإن المعالج هو أمر قابل للنقاش. إذا كنت تثري عبر العملاء، تحتفظ بالمواد بعد ذلك، أو تحسن نماذجك بها، فأنت متحكم لأغراض تلك الأغراض بغض النظر عما يقوله العقد.

هل نظامنا عالي المخاطر بموجب قانون الذكاء الاصطناعي؟

يعتمد ذلك على الاستخدام. الأنظمة التي تقيم الجدارة الائتمانية أو الوصول إلى الخدمات الأساسية هي الملحق الثالث. الأنظمة المستخدمة من قبل إنفاذ القانون لتقييم المخاطر كذلك. قد يكون الأداة المباعة فقط لفرق الامتثال الخاصة خارج ذلك، ولكن يجب توثيق التصنيف، وليس افتراضه.