عندما جلستُ مع أحد العملاء الأجانب في مكتبنا بشانغهاي قبل بضعة أسابيع، كان السؤال الأول الذي قفز إلى ذهنه بعد أن تناولنا القهوة: "يا ليو، سمعنا أن الصين شددت قوانين نقل البيانات، فهل ما زال بإمكاننا إرسال بيانات موظفينا إلى المقر الرئيسي في أوروبا؟" ضحكتُ في داخلي، فهذا السؤال تكرر معي مئات المرات خلال السنوات الثلاث الماضية. الرجل كان يدير شركة ألمانية متوسطة الحجم تعمل في قطاع التصنيع الدقيق، ولديه 200 موظف صيني، وكان خائفًا من أن تتعطل عمليات الموارد البشرية والرواتب بسبب القوانين الجديدة. هذا الموقف يلخص تمامًا التحدي الذي يواجهه الآلاف من المستثمرين الأجانب في الصين اليوم. فمنذ صدور قانون الأمن السيبراني في 2017، ثم قانون حماية المعلومات الشخصية وقانون أمن البيانات في 2021، دخلت الصين في عصر جديد كليًا من تنظيم تدفق البيانات عبر الحدود، وأصبحت اتفاقيات نقل البيانات بين الشركات الأم وشركاتها التابعة في الصين قضية إلزامية لا يمكن تجاهلها.
الخلفية والأهمية
دعني أوضح لك الصورة كاملة من البداية. في الماضي، كانت الشركات الأجنبية ترسل البيانات بحرية نسبية بين فروعها حول العالم، وكان الأمر أشبه بحرية التنقل داخل فناء منزلك الخلفي. لكن الأمور تغيرت جذريًا بعد أن أدركت الحكومة الصينية أن البيانات أصبحت موردًا استراتيجيًا يشبه النفط في القرن الحادي والعشرين. ففي عام 2021 وحده، أصدرت الصين ثلاثة قوانين رئيسية: قانون أمن البيانات الذي صنف البيانات إلى درجات مختلفة حسب حساسيتها، وقانون حماية المعلومات الشخصية الذي وضع قواعد صارمة للتعامل مع بيانات الأفراد، وقانون الأمن السيبراني الذي سبقهم جميعًا. هذه القوانين الثلاثة شكلت معًا منظومة متكاملة صارت تُعرف في أوساطنا المهنية بـ "الثلاثية السيبرانية" – المصطلح الذي نستخدمه كثيرًا في تقاريرنا الداخلية. والنتيجة المباشرة هي أن أي شركة أجنبية تعمل في الصين وتريد إرسال بيانات إلى خارج البلاد، يجب أن تستوفي شروطًا معينة وتوقع اتفاقيات محددة مع جهات التنظيم، وإلا فإنها ستتعرض لغرامات تصل إلى 5% من إيراداتها السنوية، أو حتى تعليق نشاطها التجاري بالكامل.
الأمر الخطير هنا أن العديد من الشركات الأجنبية ما زالت تعيش في "فترة الإنكار"، وتعتقد أن هذه القوانين لن تُطبق إلا على عمالقة التكنولوجيا الصينيين مثل علي بابا وتينسنت. لكنني أستطيع أن أؤكد لك من واقع تجربتي الميدانية أنني شاهدت بالفعل شركة تصنيع إيطالية متوسطة الحجم تتلقى إنذارًا رسميًا في بداية العام الماضي، لمجرد أنها أرسلت قائمة بأسماء الموظفين الصينيين إلى مقرها الرئيسي في ميلانو لأغراض تأمينية. المشكلة لم تكن في محتوى البيانات نفسها، بل في عدم وجود أساس قانوني لهذا النقل. هذه الحادثة وغيرها كثير، جعلتني أدرك أن الموضوع خطير جدًا، وأن الشركات الأجنبية بحاجة ماسة إلى فهم هذا المشهد القانوني المعقد.
لذلك، أقدم لك اليوم هذه المقالة المفصلة التي ستساعدك – كمدير أو مستثمر أجنبي أو موظف في قسم الامتثال – على فهم الخيارات المتاحة أمامك، والاتفاقيات التي يمكنك توقيعها، والاستراتيجيات التي يمكنك اعتمادها للبقاء في الجانب الآمن من القانون. سأشارك معك أيضًا بعض التجارب الواقعية من عملي اليومي، لأنني أعتقد أن التعلم من حالات عملية خير من حفظ النصوص القانونية الجافة.
الآليات الثلاثية
الآن دعنا نتحدث عن الجوهر، وهو الآليات الثلاثية المعتمدة رسميًا لنقل البيانات عبر الحدود في الصين. أول هذه الآليات هي "تقييم الأمن" الذي يتم إجراؤه لعمليات النقل التي تشمل بيانات مهمة أو كميات كبيرة من المعلومات الشخصية. إذا كنت تدير شركة أجنبية وتتعامل مع بيانات أكثر من مليون شخص أو بيانات حساسة، فأنت ملزم بالتقديم إلى إدارة الإنترنت الصينية (CAC) لإجراء هذا التقييم قبل البدء بأي عملية نقل. التقييم يشمل فحص دقيق لوجهة نقل البيانات، ومستوى حماية البيانات في البلد المستلم، والإجراءات الأمنية المتخذة لحماية المعلومات أثناء النقل. في أحد المشاريع الاستشارية التي عملت عليها مع شركة أمريكية في قطاع الأدوية، استغرق هذا التقييم حوالي 8 أشهر كاملة، وقدّمنا خلالها أكثر من 500 صفحة من الوثائق والأدلة، ومع ذلك تلقينا بعض الملاحظات التي طلبت تعديلات جوهرية في آلية حماية البيانات.
الآلية الثانية هي "عقد نقل البيانات عبر الحدود" وهو ما نسميه أحيانًا "الشهادة المفتاحية". هذا العقد هو الاتفاقية الموقعة بين المصدر والمستقبل للبيانات، ويجب أن يتضمن بنودًا محددة منصوص عليها في اللوائح التنفيذية. من المهم جدًا أن تعلم أن هذا العقد ليس مجرد وثيقة شكلية، بل هو عقد ملزم قانونيًا يخضع للرقابة، ويجب أن يتضمن شروطًا مثل: غرض النقل ومدته ونوع البيانات، والتزامات الطرفين بحماية البيانات، والضمانات الأمنية، وآليات المسؤولية في حالة الخرق. أتذكر أنني وقعت على واحد من هذه العقود مع شركة يابانية كبرى تعمل في مجال الإلكترونيات، وكان التفاوض على البند الخاص بمدى صلاحية العقد مثيرًا للاهتمام، لأنهم أرادوا فترة عشر سنوات بينما كان القانون يوصي بفترة لا تتجاوز ثلاث سنوات قابلة للتجديد.
الآلية الثالثة والأحدث هي "شهادة الأمن" الصادرة عن هيئات معتمدة. هذه الشهادة تشبه إلى حد كبير شهادات الأيزو للمعايير الدولية، وتساعد الشركات التي تحتاج إلى نقل بيانات دوري ومستمر. الفرق الجوهري هنا أن الشهادة مخصصة للشركات التي تنقل بياناتها بشكل منتظم وليس لمرة واحدة. على سبيل المثال، شركة بريطانية تمتلك مركزًا للاتصال في داليان وترسل سجلات المكالمات إلى لندن يوميًا، هذه الشركة ستكون مؤهلة للحصول على هذه الشهادة لتجنب تكرار التقديم في كل مرة. الإجراء يتضمن تدقيقًا شاملًا لسياسات الشركة الداخلية، وأنظمة الحماية التقنية، وتدريب الموظفين، وبعد الحصول على الشهادة، يجب تجديدها كل سنتين مع إجراء تقييمات دورية للحفاظ على الالتزام بالمعايير.
تحديات قانونية
الحقيقة التي يجب أن نعترف بها هي أن التأقلم مع هذه القوانين الجديدة ليس بالأمر السهل، حتى بالنسبة للشركات الكبرى ذات الخبرة القانونية الواسعة. أكبر تحدٍ واجهناه مع عملائنا هو الغموض في بعض بنود القوانين، على سبيل المثال: ما هي بالضبط "الكميات الكبيرة" من المعلومات الشخصية التي تعتبر عتبة للخضوع لمتطلبات تقييم الأمن؟ الأرقام المذكورة في اللوائح تختلف حسب طبيعة البيانات – البيانات الشخصية العامة لها عتبة أعلى من بيانات الموظفين أو بيانات القصر – وهذا التنوع في العتبات جعل التخطيط صعبًا. في إحدى المرات، تلقيت مكالمة من عميل كندي يدير شركة موردّي قطع غيار، وكان في حالة ذهول لأنه اكتشف أن قائمة الحضور والانصراف لموظفيه الـ 3,500 تُعتبر "بيانات الموظفين" الخاصة، مما رفع العملية برمتها إلى مستوى تعقيد أعلى بكثير مما كان يتوقع.
التحدي الآخر الذي لا يقل أهمية هو متطلبات تقييم التأثير على حماية المعلومات الشخصية (PIPIA). هذا التقييم يشبه "الفحص الطبي" الشامل الذي يجب إجراؤه قبل أي عملية نقل، ويشمل تحليلًا مفصلاً لتأثير عملية النقل على حقوق الأفراد المعنيين. لكن المشكلة العملية أن هذا التقييم يتطلب فرقًا متخصصة، وقد أرى في مكتبنا طوابير من العملاء كل أسبوع تقريبًا يطلبون مساعدتنا لإجراء هذا التقييم أو مراجعة نتائجه. كثيرون يأتون إلينا بعد أن قاموا به داخليًا بأنفسهم، فقط لاكتشاف أنهم نسوا جوانب مهمة، مثل حقوق الأفراد في الاعتراض على النقل، أو عدم توضيح آلية تخزين البيانات بعد وصولها إلى البلد المقصود.
وبالمناسبة، سأخبرك سرًا صغيرًا اكتشفناه بصعوبة خلال السنتين الماضيتين: حتى "الشهادات العقارية" والتصاريح التجارية البسيطة للشركات الأجنبية لم تعد تُصدر دون مراجعة مدى التزام الشركة بقوانين حماية البيانات. نعم، أصبح الأمر متشابكًا بشكل متزايد، حيث تنظر السلطات المختصة إلى ملف نقل البيانات كجزء من منظومة النزاهة التجارية العامة للشركة. ذات مرة، كان لدى عميل ألماني رخصة عمل على وشك التجديد، واكتشفنا أنهم لم يقدموا أبدًا تقاريرهم السنوية عن نقل البيانات إلى الجهات التنظيمية – وهي متطلبات جديدة تم إضافتها في العام الماضي. كانت عملية إنقاذ هذا الملف مضنية واستغرقت ثلاثة أشهر إضافية، ودفعنا غرامات تأخير، وهذا يوضح أهمية متابعة المستجدات التنظيمية باستمرار.
استثناءات عملية
لست هنا لإخافتك فحسب، بل لأقدم لك أيضًا الأخبار السارة، وهي أن هناك استثناءات معينة تسمح بنقل البيانات عبر الحدود دون الحاجة إلى استيفاء جميع المتطلبات الصارمة المذكورة أعلاه. أول هذه الاستثناءات يتعلق بالحالات الضرورية لعقد أو تنفيذ عقد يكون الفرد المعني طرفًا فيه. لنفترض أن شركتك في بكين توفر خدمات استشارية لعملاء في ألمانيا، وأنت بحاجة إلى نقل بعض بيانات العملاء الأساسية مثل الأسماء وبيانات الاتصال لتنفيذ العقد الموقع معهم، فهذا النقل يعتبر ضروريًا لتنفيذ العقد وبالتالي يخرج من نطاق تقييم الأمن الإلزامي. لكن انتبه: هذا الاستثناء محدود جدًا ولا يخص البيانات التي تتجاوز الحد الأدنى المطلوب للوفاء بالتزامات العقد.
الاستثناء الثاني يتعلق بحماية الأرواح والممتلكات في حالات الطوارئ. إذا حدثت حالة عاجلة لموظف يعمل في الصين ويحتاج إلى رعاية طبية في بلده الأم، وكان نقل بياناته الصحية ضروريًا لإنقاذ حياته، فهذه الحالة تعتبر استثناءً واضحًا ويمكن للشركة القيام بالنقل بسرعة دون انتظار الموافقات المسبقة. نحن نسمي هذا النوع في مكتبنا بـ "التمرير الأزرق" لأنه يشبه حالة فتح مسارات الطوارئ في المطارات. ومع ذلك، يجب توثيق هذه الحالات بعناية فائقة عند حدوثها، لأن الجهات التنظيمية لا تزال بحاجة إلى المراجعة اللاحقة للتأكد من أن حالة الطوارئ كانت حقيقية وضرورية، وليس مجرد ذرائع للتجاوز.
الاستثناء الثالث يتعلق بأحجام صغيرة من البيانات الشخصية. كما ذكرت لك سابقًا، الصين وضعت عتبات كمية معينة، فمثلاً إذا كانت بيانات الموظفين التي تنوي نقلها لا تتجاوز 10 آلاف سجل، فقد يعفى هذا النقل من متطلبات تقييم الأمن. لكن هنا يأتي الخطر الخفي: هذا الحد الأدنى لا يمنحك إعفاءً مطلقًا لجميع أنواع البيانات. البيانات الحساسة مثل المعلومات الصحية أو الدينية أو التي تتعلق بالأحكام الجنائية، تخضع دائمًا لقواعد أكثر صرامة بغض النظر عن كميتها. شخصيًا أنصح عملائي بعدم الاعتماد على هذا الاستثناء بشكل كبير، لأن حجم البيانات التي تنقلها الشركات المتوسطة والكبيرة يتجاوز غالبًا هذه العتبة بسهولة، ولأن ارتكاب خطأ هنا قد يكون مكلفًا.
إجراءات تنفيذية
عندما ننتقل من الناحية النظرية إلى الممارسة الفعلية، تصبح الإجراءات أكثر تعقيدًا وتتطلب تخطيطًا دقيقًا. أول خطوة يجب أن تبدأ بها هي إجراء جرد شامل لجميع البيانات التي تمتلكها وتحديد طبيعتها ومصدرها ووجهتها. هذا الجرد يشبه عمليات الحصر المادي الموجودة في المستودعات، لكنه هنا يتعلق بالبيانات المخزنة في الأنظمة والخوادم. في تجربتي، استغرق هذا الجرد مع إحدى الشركات الأوروبية الكبيرة المتخصصة في الأجهزة الطبية حوالي ستة أشهر، لأنهم كانوا يمتلكون بيانات متناثرة في أكتر من 12 نظامًا مختلفًا وغير موثق بالشكل الكافي. أتذكر العشوائية التي وجدناها في ذلك الوقت، حيث كان بعض البيانات محفوظة في ملفات إكسيل على أجهزة الموظفين الشخصية، وهذا خالف قواعد الامتثال بشكل صارخ.
الخطوة الثانية هي تقييم الوضع الحالي للامتثال مقابل القوانين واللوائح. هنا نقوم بمقارنة الحالة الفعلية للشركة مع ما تم تحديده في "الثلاثية السيبرانية" من متطلبات مفصلة. نسأل أسئلة مثل: هل قمتم بتعيين مسؤول حماية بيانات؟ هل تم توثيق موافقات الأفراد على جمع بياناتهم؟ هل تم تحديث سياسات الخصوصية الخاصة بكم؟ في أحد المشاريع، وجدنا أن شركة يابانية كانت تتعامل مع البيانات وفق قانون حماية المعلومات الشخصية الياباني، والتي تختلف في بعض التفاصيل عن القانون الصيني، مما أدى إلى وجود فجوات جوهرية. هذا يوضح أن كل شركة أجنبية يجب أن تتعامل مع المشهد القانوني الصيني كتنظيم مستقل بذاته، وليس مجرد نسخة معدلة من قوانين بلدها الأصلي.
الخطوة الثالثة الحاسمة هي تصميم خطة للتخلص من هذه الفجوات أو تقليلها إلى أدنى حد. هذه الخطة يجب أن تشمل تحديث الوثائق القانونية، وتدريب الموظفين، وتعديل الأنظمة التقنية، وتوقيع اتفاقيات مع الأطراف الثالثة مثل مزودي الخدمات السحابية أو وكالات التوظيف. لاحظت أن الكثير من الشركات تهمل تدريب موظفيها على الجوانب العملية للامتثال، وهذا خطأ شائع. فأنا أذكر جيدًا أن موظفة في قسم الموارد البشرية بإحدى شركات العملاء أرسلت بيانات رواتب بعض الموظفين عبر البريد الإلكتروني الشخصي لزميلها في الخارج "بسبب سهولة الوصول" على حد تعبيرها، وهذا التصرف كاد أن يكلف الشركة مصيرها القانوني. تدريب الموظفين يمنع مثل هذه الأخطاء البشرية التي لا يُستهان بها.
اعتبارات دولية
من الأمور التي أراها دائمًا في عملي مع الشركات الأجنبية هي التحديات المرتبطة بالتوافق القانوني بين الأنظمة الصينية والأنظمة الدولية لحماية البيانات. على سبيل المثال، ينص اللائحة العامة لحماية البيانات الأوروبية (GDPR) على حق المواطنين الأوروبيين في نقل بياناتهم إلى أي مكان في العالم بشرط توفير ضمانات كافية، بينما يفرض القانون الصيني قيودًا أكثر تشددًا على هذا النقل من الصين إلى الخارج. هذا التوتر القانوني يجعل الشركات متعددة الجنسيات في موقف صعب. إذا كنت تمتلك شركة فرعية في الصين وتعمل أيضًا في أوروبا، يجب عليك أن تصمم نظامًا للامتثال المزدوج يلبي متطلبات الجانبين في وقت واحد. هذا يشبه السير على حبل مشدود بين برجين متوازيين، مع أن مخاطر السقوط أعلى بكثير.
هناك أيضًا مسألة التطور المستمر في القوانين والتفسيرات القضائية الصينية. فعلى عكس ما يتوقعه المستثمرون الأجانب، فإن السلطات الصينية لا تلتزم بالرتابة في تنفيذ القوانين، بل تقوم بتحديثها وتفسيرها بشكل دوري وفق التطورات التكنولوجية والاحتياجات الأمنية. في العام الماضي وحده، صدرت عدة إرشادات تفسيرية جديدة بخصوص كيفية التعامل مع البيانات المجمعة من الأجهزة الذكية المتصلة بالإنترنت، وكان على الشركات الصناعية العاملة في مجال إنترنت الأشياء مراجعة سياساتها الداخلية وفق هذه التفسيرات الجديدة. لاحظت أن الشركات التي تتبنى مبدأ "الحيطة والحذر" هي الأكثر نجاحًا في التكيف، بينما الشركات التي تنتظر الصياغة النهائية للتفسيرات تضيع فرصًا ثمينة.
أخيرًا، لا يمكنني هنا تجاهل جانب مهم يتعلق بالضغط السياسي والدبلوماسي على العلاقات التجارية الصينية مع بعض الدول الغربية. في بعض الأحيان، تتدخل التوترات السياسية في عمليات التقييم الأمني لنقل البيانات، حيث قد تخضع الشركات من دول محددة لمراجعات أكثر صرامة. نصيحتي لعملائي دائمًا أن يتعاملوا مع هذا الوضع بواقعية عملية، وأن يعدوا عدة سيناريوهات بديلة لنقل بياناتهم، مثل استخدام وسيط في دولة ثالثة توجد بها تسهيلات أكبر، أو إنشاء مواقع معالجة داخل الصين لتقليل الحاجة إلى نقل البيانات للخارج. هذه التعديلات الاستباقية قد تكون مكلفة بعض الشيء، لكنها في النهاية توفر راحة البال وتجنب المخاطر المالية والقانونية الضخمة في المستقبل.
نظرة استشرافية
أخيرًا، أود أن أشارككم نظرة استشرافية حول مستقبل نقل البيانات عبر الحدود في الصين. أعتقد أننا سنشهد خلال السنوات الخمس القادمة تحولًا كبيرًا نحو نظام أكثر النضج والتفصيل، خاصة مع بدء العمل ببعض اللوائح الجديدة التي يجري إعدادها حاليًا حول الذكاء الاصطناعي والحوسبة السحابية. من المتوقع أن تقدم الحوافز للشركات التي تتخذ خطوات إضافية لحماية البيانات، مثل منحها رخصة سريعة لنقل البيانات عندما تقوم باستخدام تقنيات تشفير متقدمة أو تنفيذ أنظمة حوكمة ذاتية معترف بها دوليًا. هذه التطورات ستجعل الشركات الملتزمة أكثر تنافسية.
في رأيي الشخصي، أرى أن الاتجاه السائد سيكون نحو ما نسميه "التوطين الديناميكي للبيانات"، أي أن الشركات ستحتفظ بمعظم بياناتها داخل الصين، وتستخدم تقنيات المشاركة الآمنة عند الحاجة إلى نقل بعضها إلى الخارج بدلاً من نقل كل شيء دفعة واحدة. هذه الاستراتيجية توفر أمانًا أكبر وتقلل من البيروقراطية، وتسمح للشركات بالاستجابة بسرعة لمتطلبات الأعمال دون انتظار الموافقات الطويلة. أعتقد أن هذه الممارسة ستصبح هي المعيار الصناعي خلال ثلاث أو أربع سنوات.
ومن المهم أيضًا أن ننتبه إلى أن تطورات مثل إنشاء مناطق تجريبية للتجارة الحرة في شنغهاي وخنان وهاينان ستقدم تسهيلات جديدة في هذا المجال. هذه المناطق عادة ما تكون أكثر مرونة في تنفيذ اللوائح، وهذا قد يوفر فرصًا للشركات الأجنبية التي ترغب في تجربة نماذج جديدة لنقل البيانات. لقد بدأت بالفعل إحدى الشركات الأمريكية الكبرى في إنشاء مركز بيانات إقليمي في هاينان، على أمل استغلال البيئة التجريبية هناك لتطوير حلول مبتكرة يمكن أن تنشر لاحقًا في عملياتها في الصين كلها. هذه التطورات تعطيني إحساسًا بأننا نشهد مرحلة جديدة من النضج في التعامل مع هذا الملف الحيوي والحساس.
بخصوص رؤية شركة جياشي للضرائب والمحاسبة حول موضوع نقل البيانات عبر الحدود للشركات الأجنبية في الصين، نرى أن هذا الملف لم يعد مجرد مسألة قانونية تقنية، بل أصبح جزءًا لا يتجزأ من استراتيجية التوسع والاستمرارية لأي شركة أجنبية في السوق الصيني. فمن خلال خبرتنا الممتدة لأكثر من 12 عامًا في خدمة الشركات الأجنبية، لاحظنا أن تلك التي تتعامل مع هذا الملف بجدية وتستثمر في بناء أنظمة امتثال متينة هي الأكثر نجاحًا واستقرارًا على المدى الطويل. نحن في جياشي نقدم حلولاً متكاملة تشمل الاستشارات القانونية، وتوثيق الإجراءات، والتدريب المنتظم للموظفين، ومراجعة العقود والاتفاقيات الموقعة، كما أننا نساعد عملاءنا في التواصل مع الجهات التنظيمية الصينية وتقديم الطلبات اللازمة بشكل احترافي يقلل من فرص الرفض أو التأخير. ننصح كل شركة أجنبية، بغض النظر عن حجمها وقطاعها، بأن تتعامل مع هذا الموضوع كاستثمار استراتيجي وليس كعبء قانوني، وأن تبدأ بتعديل أنظمتها في أقرب وقت ممكن لتفادي المفاجآت غير السارة في المستقبل.
