تمثّل هذه السمة قائمة بالإجراءات التي يجب اتّخاذها للحفاظ على الخصوصية عند تطوير الويب.
الأساسيات
على مدار هذه الدورة التدريبية بأكملها، تم طرح بعض الموضوعات مرارًا وتكرارًا. تتضمن حماية خصوصية المستخدمين معرفة الحد الأدنى الذي تحتاجه بشأنهم، والصدق والشفافية بشأن ما تحتاج إليه ولماذا، وإزالة ما لديك بمجرد عدم الحاجة إليه. أنت مسئول أيضًا عما يمكن للآخرين فعله ويُسمح لهم بفعله ببيانات المستخدمين، وهذا يعني أنك بحاجة إلى أن تكون قادرًا على شرح ما هو بصدق وشفافية. وأي بيانات لا تحتاجها، يجب ألا تتوفر لديك؛ أي بيانات تحتاجها، ينبغي أن تكون قادرًا على شرح سبب حاجتك إليها، ومدة حاجتك إليها.
في المؤسسات الأكبر حجمًا، قد يكون هناك أدوار أو فِرق مخصَّصة لتتبُّع آخر التغييرات الفنية في بيئات النشر والمتصفّحات، وفهم تداعيات التغييرات التقنية والقانونية على خصوصية المستخدمين. لكن المؤسسة الأصغر لا تزال بحاجة إلى الانتباه إلى خصوصية المستخدم، وكيف يمكن للبيئة المتغيرة أن تؤثر على القرارات المتخذة بالفعل، وما يجب مراعاته للقرارات التي تتخذها من الآن فصاعدًا. تلخص هذه الوحدة بعض أفضل الممارسات حول كيفية البقاء على اتصال بخيارات ومتطلبات الخصوصية وخيارات المستخدمين.
كن على دراية بما تفعله
أول أفضل ممارسة هنا هي understanding. يجب أن تكون على دراية بما تعرفه عن المستخدمين وسبب معرفته؛ ينبغي أن تكون على دراية بما يعرفه شركاؤك عن المستخدمين وكيفية اكتشافهم له. يجب أن يكون هذا جزءًا موثّقًا من سياسة الخصوصية لديك إنّ تجميع هذه القائمة معًا في البداية يكون صعبًا ويستغرق وقتًا طويلاً، ولكن الأهم من ذلك أنها تفتح آفاقًا جديدة لك وللعمل. غالبًا ما يكون ذلك مفاجأة (وليس مفاجأة لطيفة) مقدار البيانات التي تجمعها وتخزنها حول المستخدمين. سيمنحك توثيقه مستوى من الوعي، ليس فقط في جمع البيانات والخصوصية، ولكن في تجربة المستخدم لأنظمتك وفي البرنامج الأساسي أيضًا. في كثير من الأحيان تكون هناك زوايا باهتة أو طلبات مُستبعَدة تحتاج إلى تحديث وقد نسيتها.
الإجراءات التي يُنصح بها
لكل جزء من البيانات التي يمكن ربطها بأحد المستخدمين، مستند صريح:
- تمثّل هذه السمة قائمة محدّدة بالغرض الذي يتم جمع هذه البيانات من أجله.
- متى يتم حذفه (وكيف يمكن للمستخدم حذفه، وليس فقط من قِبل فريقك).
- طريقة جمعها:
يُرجى التأكّد من جمعها بدقة كافية للإجابة عن هذه الأسئلة وحدها.
هذه الوثائق للاستخدام الداخلي ويجب أن تكون كاملة وكاملة، ولكن قد يكون من المفيد توثيقها بشكل علني للمستخدمين، لأنه من المهم تهيئة جو من الثقة. وهذا ليس مفيدًا من الناحية العامة فقط للعلاقة مع العملاء، ولكن من المرجح أن يتطوع المستخدمون بالبيانات التي تحتاجها لاتخاذ قرارات العمل إذا كانوا واثقين من عدم إساءة استخدامها. ترتبط هذه المستندات العلنية بسياسة الخصوصية الأكثر عمومية لك (في الواقع، ستشكل جزءًا كبيرًا من سياسة الخصوصية لديك)، وصياغة هذه المستندات بشكل يمكن للمستخدمين فهمها (إلى جانب الصياغة القانونية) تساعد في بناء علاقة الثقة.
البقاء على اطّلاع
ثاني أفضل الممارسات هي الاطّلاع على آخر الأخبار. يتحرك هذا المجال برمته بسرعة كقاعدة عامة، والخصوصية هي مجال سريع التغيّر، لذلك يمكن أن يمثّل مواكبة آخر الأخبار تحديًا في حد ذاته. سوف تتغير التكنولوجيا المتاحة لك بشكل متكرر، ولكن توقعات المستخدم ستتغير أيضًا بنفس السرعة. من المهم عدم التخلّي عن التوجّهات أو التخلّي عن محاولاتك، وإذا استطعت البقاء في الصدارة، تتوفّر ميزة تنافسية حقيقية من خلال تولّي وظيفة تحافظ على الخصوصية. إنّ إدارة خصوصية المستخدم وفهم كيف يمكن أن يتغير المجال قد لا يكون فقط من مهام شخص آخر، وليس من الضروري أن تكون خبيرًا، ولكن يجب أن يكون ذلك جزءًا من وظيفة شخص آخر. خصص بعضًا من ميزانية التدريب أو المؤتمر للبقاء على اتصال باتجاهات الصناعة والتحديثات التنظيمية.
قد يكون من الصعب مواكبة المواقف المتغيرة وأفضل الممارسات المتعلقة بالخصوصية. لا يوجد مكان واحد مناسب للقيام بذلك. يعود السبب في ذلك جزئيًا إلى أنّ مجال حماية الخصوصية مجال واسع النطاق يؤثر في العديد من المجالات المختلفة. ولكن هناك جدال شديد حول موضوع حماية خصوصية المستخدمين وغيرهم، وهناك العديد من الأساليب المختلفة التي قد تكون متعارضة في كثير من الأحيان. في هذه الدورة التدريبية، حددنا مسارًا يجب اتباعه وبعض أفضل الممارسات، ولكن سيكون من المفيد لك تجميع نهجك الخاص على أفضل وجه يناسب أهدافك واحتياجات مؤسستك واحتياجات المستخدمين لديك. لقد قمنا بتجميع قائمة بالموارد المتاحة لك ولإدارتك والفريق من حولك لمساعدتك في البقاء على اطلاع دائم بالمعايير المتغيرة وما يشكل حاليًا أفضل الأشياء التي يجب القيام بها.
بعض تغييرات الخصوصية التي تجريها المتصفحات تقنية بطبيعتها ويجب أن تفهمها فرق مطوري البرامج. على سبيل المثال، ننصحك بالتغيير إلى SameSite=Lax تلقائيًا في ملفات تعريف الارتباط. قد أثّر هذا التغيير في الميزات في بعض المواقع الإلكترونية، وبالتالي ربما يلزم إجراء تغييرات فنية. وقد تم الإعلان عنها مسبقًا وتجربتها قبل طرحها أخيرًا. هذا مثال جيد على نوع التغيير الذي يمكن أن يؤثر على خصوصية المستخدم (في هذه الحالة، كان هذا التغيير تحسينًا) وقد يحتاج أيضًا إلى تغييرات في تطبيقاتك للتعامل معها بشكل صحيح.
المراجِع
مورّدو المتصفّح ومطوّرو الأنظمة الأساسية للويب
إنّ مورّدي المتصفّحات ومؤسسات حماية بيانات المستهلك هم مورّدو المتصفحات ومؤسسات حماية بيانات المستهلكين إذ إنّ معظم فِرق تطوير البرامج على الويب هي أفضل الأماكن للاطّلاع على أحدث الممارسات المتّبَعة في المجال بشأن الخصوصية وحماية المستخدمين. بالنسبة إلى الإشعارات والبيانات الصحفية، يعني هذا أنّ مدونات فريق مورّدي المتصفحات المختلفة: جزء كبير منها يتعلق بالتقنيات والأمور غير المتعلقة بالخصوصية، ولكن عندما تكون هناك إشعارات متعلقة بالخصوصية، ستظهر تلك البيانات هناك:
- Webkit (https://webkit.org/blog/)
- Chrome (https://developer.chrome.com/blog/ وhttps://blog.chromium.org/)
- Firefox (https://hacks.mozilla.org/)
- Edge (https://blogs.windows.com/msedgedev/)
- Samsung Developers (https://developer.samsung.com/blog)
للحصول على فكرة حول ما تخطط المتصفحات لتنفيذه ولتحديد مواقفها من واجهات برمجة التطبيقات القادمة والمقترحة التي تفكر في استخدامها، هناك صفحات الحالة وصفحات المواضع:
- WebKit (https://webkit.org/status وhttps://github.com/WebKit/standards-positions)
- Chrome (https://chromestatus.com/features وhttps://developer.chrome.com/tags/deprecations/ عند إزالة العناصر)
- Edge (https://developer.microsoft.com/en-us/microsoft-edge/status/)
- Firefox (https://mozilla.github.io/standards-positions/)
المؤسسات الخصوصية
بالطبع، لا تمثل مواضع مورّدي المتصفح سوى إدخال واحد لهذه المحادثة. هناك أيضًا مؤسسات تدفع من أجل تحسين حماية الخصوصية على الوضع الحالي، ومن الجدير متابعة هذه المؤسسات. القائمة طويلة، ولكن إليك بعض الأمثلة فقط:
- مشكلة خصوصية EFF (https://www.eff.org/issues/privacy).
- مبادرة الخصوصية الرقمية التي أطلقتها مؤسسة Open Rights Group (https://www.openrightsgroup.org/category/online-privacy)
- IAPP (https://iapp.org/).
المؤسسات الحكومية
لمراقبة هذه المنطقة بالكامل عن كثب، هناك أيضًا ممثلون آخرون في هذا المجال لمتابعتها. لقرارات المؤسسات الحكومية ونهجها بعض أكبر الأثر:
- المجلس الأوروبي لحماية البيانات في الاتحاد الأوروبي
- ICO في المملكة المتحدة.
- وكالة حماية الخصوصية في كاليفورنيا في كاليفورنيا
- حماية البيانات في أفريقيا
- نظرة عامة من IAPP على حماية البيانات في آسيا
غالبًا ما يركّز تقرير خصوصية الوسائط الرئيسية بشكل أساسي على شركات "التكنولوجيا الكبرى" والمؤسسات الحكومية، والتي قد تبدو بعيدة عن العمل المنجز في شركة أو مؤسسة أصغر. وغالبًا ما يركّز أيضًا على الولايات المتحدة. ولكن مع ذلك، من المفيد أن تبقي على دراية بما قد تكون عليه القواعد في المستقبل، حتى تكون مستعدًا، كما هو الحال مع الفريق وهياكل الإدارة من حولك.
ننصحك أيضًا بالاطّلاع على مقالة فهم الخصوصية التي نشرتها "هيذر بيرنز" في تشرين الثاني (نوفمبر) 2022 والتي تقدّم نظرة جيدة حول مجال خصوصية البيانات بأكمله وما تحتاج إلى معرفته. يُنصح به.
النظر للداخل
ويعني أيضًا البقاء على اطّلاع على آخر أخبار موقفك الخاص. في إطار understanding برنامجك الخاص، ستكون قد أجريت عمليات تدقيق ومراجعات لمجموعة البيانات الخاصة بك ولشركائك الخارجيين. عمليات التدقيق هذه ليست أمرًا لمرة واحدة فقط: يجب تكرارها على فترات زمنية منتظمة وتحديثها باستمرار عند إجراء تغييرات على البرامج. قد يكون من المفيد فرض تحديث وثائق تدقيق الخصوصية كجزء من عملية التطوير، تمامًا كما هو الحال مع الوثائق الفنية الأخرى. في حال جمع إصدار جديد المزيد من البيانات، يكون تعديل تدقيق الخصوصية لتضمين ما تم جمعه وسبب ومتى يتم حذفه يحظى بأهمية مماثلة لواجهات برمجة تطبيقات الإصدار الجديد التي يتم وصفها في المستندات العامة.
الإجراءات التي يُنصح بها
- ابقَ على اطّلاع دائم على التغييرات التي قد تطرأ على المجال وتوقعات المستخدمين بشأن الخصوصية بمرور الوقت. غالبًا ما يكون هناك شخص ما في فريق مهتم بشكل خاص بالمواضيع المتعلقة بالخصوصية، حتى لو لم تكن هناك ميزانية أو حاجة كافية لوظيفة بدوام كامل. ضع في اعتبارك إضفاء الطابع الرسمي على ذلك من خلال جعل الخصوصية جزءًا رسميًا من وظيفة شخص ما، مع مزايا مصاحبة للمسئولية.
- اجعل الحفاظ على وثائق تدقيق الخصوصية من "الفهم" في وقت سابق، جزءًا من عملية التوثيق، تمامًا مثل مستندات واجهة برمجة التطبيقات.
- إعادة إجراء عمليات التدقيق للبيانات التي تجمعها والأطراف الثالثة التي تستخدمها، إما بشكل منتظم أو عند تغيير الميزات الرئيسية؛ اختبار برنامجك كمستخدم جديد لاكتشاف المعلومات التي يتم طلبها، وإضافة ذلك إلى عمليات التدقيق.
منع التجاوز والتحكّم في الوصول
تتمثل أفضل الممارسات الثالثة في منع الوصول إلى الجمهور، أي تجنُّب استخدام البيانات بشكلٍ أكبر من القيمة التي التزمت بها، وتجنُّب جمع البيانات المبني على توقُّع في حال أصبحت مفيدة في المستقبل. يتضمن ذلك تكييف عملياتك حتى تتمكن من ضبط الثقافة التي تريدها حول حماية خصوصية المستخدم. إن التغيير الثقافي أمر صعب، ولكن بمجرد إنجازه سيحافظ على نفسه إلى حد كبير، وهو ما يكون أسهل.
توثيق الاستخدامات
ضع في اعتبارك إحدى أفضل الممارسات التي تمت مناقشتها سابقًا، وهي توثيق الغرض الدقيق من جمع بيانات المستخدمين. هذه الوثائق مهمة بالنسبة لك لفهم ما تفعله ولماذا، ولكن من المهم بنفس القدر التأكد من الالتزام بهذه القاعدة. إذا اقترح شخص ما استخدام البيانات التي تم جمعها بالفعل لتحليلات جديدة، فارفض هذا الاقتراح، لأن هذا ليس ما تم جمع البيانات من أجله. ويساعد ذلك في جوانب أخرى من فهم البيانات، أي لا يتم جمع البيانات إلا بأقل درجة دقة مقبولة، ويتم حذفها بعد استخدامها، لأنه من المستحيل إعادة استخدام البيانات الحالية لتحليلات جديدة إذا لم تكن هناك بيانات حالية.
توفُّر عمليات وقواعد بشأن معالجة بيانات المستخدمين
قد تكون هذه الخطوة صعبة. ومن الصعب شرح طبيعة العلاقة مع المستخدم في هذه المواقف، عندما تكون هناك رؤى يجب اكتسابها ولا شيء يمنع ذلك سوى الوعد الذي تم تقديمه سابقًا. ولكن من المهم مراعاة أن المستخدم عهد إليك بالبيانات لغرض محدد، ويجب عليك (أنت وفريقك) ألا تسيء استخدامها لشيء آخر. أحد الأساليب الجيدة هنا هو طلب قدر من المعالجة بشأن الوصول إلى بيانات المستخدم. من المهم جدًا تجنب إدراج مكون "الخصوصية" الإلزامي في كل عملية عمل كبديل عن الاهتمام الفعلي بالمشكلة، لأنه يمكن أن يصبح سريعًا ميزة "مربع اختيار" يتجاهلها الجميع (ولا يحب أحد المزيد من الأعمال الورقية، خاصةً إذا كان أوراقًا لا يقرأها أحد).
جعل تجنب تجاوز الحد هو مسار أقل المقاومة
ولكن هناك فرصة لاستخدام الطبيعة المزعجة للبيروقراطية قليلاً لمصلحتك الخاصة هنا! إذا كان التنقيب عن البيانات المجمعة الحالية يتطلب ملء "طلب خصوصية" حيث يتم تبرير التحليل الجديد وتسجيله، فمن المرجح أن تتجنب المشروعات التي لا تحتاج حقًا إلى هذا الوصول من أجل تجنب البيروقراطية، أو من أجل تجنب التسمية في الأعمال الورقية. قد تكون لديك سياسات سارية بشأن أمان بيانات المستخدمين: يتم تقييد تفاصيل الحساب المحفوظة ولا تكون متاحة للموظفين بدون مبرّر. يمكنك ربط متطلبات الخصوصية بهذه السياسات الحالية. إذا كان هناك بعض الاعتبارات المتعلقة بخصوصية المستخدم مدمجة في عملياتك في مرحلة مبكرة، يمكن أن يصبح هذا الاعتبار سريعًا جزءًا روتينيًا من التخطيط. من الضروري ألّا ينظر المهندسون المعماريون والمطوّرون والتسويق، إلى حماية الخصوصية كقيود مفروضة خارجيًا، لكنّها جزء أساسي من العلاقة مع العملاء.
الرد على البدائل بدلاً من إيقاف الطاقة
مع تطبيق أفضل الممارسات السابقة، ستكون قد جمعت بيانات المستخدمين لأهداف محددة وقابلة للقياس فقط، وسيتم إبلاغ قاعدة المستخدمين بهذه الأهداف وفهمها. ومع ذلك، سيكون لديك أيضًا مجموعة كبيرة من بيانات المستخدمين، ومن الشائع جدًا أن تسعى الشركة لاستخدام هذه البيانات لأسباب أخرى غير تلك التي تم جمعها من أجلها. ويتمثل هدفك في رفض هذه الاستخدامات، ولكن من المهم إجراء ذلك من خلال توفير بدائل. تخيل أنك طلبت من المستخدمين تقديم فئة عمرية تقع ضمنها: 18-25، و25-35، و35-50، و50 فما فوق. لقد فعلت ذلك من أجل قياس أنواع المنتجات الأكثر شراءًا من قبل فئات عمرية مختلفة، وأبلغت المستخدمين بصراحة أن هذا هو سبب طلب أعمارهم. إذا اقترح أحدهم بعد ذلك استخدام تلك البيانات لإرسال رسائل إلكترونية إعلانية إلى كل مستخدم يقلّ عمره عن 25 عامًا، يعتبر ذلك استخدامًا جديدًا وغير مُعلَن عنه للبيانات الحالية، وبالتالي لا يُسمح به. لكن يجب أن يكون هدفك هنا إيجاد طريقة لتلبية احتياجات العمل دون استخدام البيانات للأشياء التي لم يتم الإعلان عنها. إذا رفضت هذا بدون اقتراح أي بديل، فسوف تبدأ خصوصية المستخدم في الظهور وكأنّ التقييد المفروض خارجيًا قد تحذّر منه سابقًا، وليس جزءًا أساسيًا من سبب ثقة المستخدمين بك. تجنَّب قدر الإمكان إضافة طاقة التوقف إلى العمليات: الشيء الوحيد الأسوأ من أصلع الرأس الذي "يقول الكمبيوتر لا" هو "الهيئة التنظيمية الداخلية التي تقول لا". بدلاً من ذلك، فكّر في طرق أخرى يمكنك من خلالها تحقيق هذا الهدف دون استخدام بيانات المستخدمين الشخصية لتحقيقه: ربما استخدم قائمة المنتجات المشتراة كدليل لتحديد من يمكنه إرسال رسائل إلكترونية إليه، أو تجنب التوزيع المستهدف تمامًا. ساعد فريقك على فهم سبب ثقة المستخدمين بك، وما تقوم عليه هذه الثقة، ثم ساعدهم على فعل ما يريدون وما يريده المستخدمون لديك. استفِد من الخصوصية على النحو المطلوب.
الإجراءات التي يُنصح بها
- طلب مبررًا مكتوبًا (قصيرًا وبسيطًا) من موظف معيّن للوصول إلى بيانات المستخدمين.
- عليك إضافة متطلبات خصوصية المستخدم في أقرب وقت ممكن خلال عملياتك.
- تجنَّب إضافة مخاوف الخصوصية كميزة "مربّع اختيار" إلزامية.
- فرض حذف البيانات كما هو محدَّد سابقًا.
- عليك مساعدة باقي أعضاء الفريق في فهم كيفية تحقيق أهدافهم دون المساس بخصوصية المستخدمين.