بعد التحقق من الهوية: ماذا يحدث لصورة الهوية، ومن يتحمل المسؤولية إذا تسربت

بمجرد أن يبدأ نظام التحقق من الهوية بالعمل فعليًا على دليلك، يبدو الأمر وكأن الجزء الصعب قد انتهى. أداة الرفع تعمل، ومعدلات القبول والرفض تبدو منطقية، والمعلنون المهمون تجاوزوا الفحص بنجاح. لكن ما لا يخبرك به أحد عند هذه النقطة هو مصير كومة الوثائق التي أنتجها هذا الفحص، لأن نظام التحقق لا يستهلك وثيقة الهوية ثم يختفي. إنه ينتج صورة للوجه وصورة لبطاقة هوية حكومية، وكلتاهما تبقيان موجودتين في مكان ما، على خوادم شخص ما، لمدة لم يقررها أحد عن قصد.

هذا ليس اعتراضًا على مبدأ التحقق نفسه. فالقانون حسم هذه المسألة بالفعل، وتجاهل الفحص هو الخطأ الأكثر كلفة بلا منافسة. الحديث هنا يدور حول ما يأتي مباشرة بعد ظهور علامة الموافقة الخضراء، وهو الجزء الذي ألحق ضررًا بالغًا بعدة شركات في عامي 2025 و2026، ولم تكن أي منها قد تجاهلت التحقق. لقد نفذته بشكل صحيح، ثم تركت الملف الناتج في مكان عثر عليه في النهاية الشخص الخطأ.

الوثيقة لا تختفي بمجرد اجتياز الفحص

تبدو عملية التحقق بسيطة من جانب المعلن: التقاط صورة شخصية، تصوير بطاقة الهوية، الانتظار بضع ثوانٍ، ثم الحصول على الموافقة. لكن تحت السطح، تُنتج هذه العملية أثرًا ماديًا، أي الصور الفعلية، ينتقل من نموذج الرفع إلى محرك المقارنة ثم يعود ومعه النتيجة. وسواء تم حذف هذا الأثر لحظة انتهاء المقارنة، أو الاحتفاظ به يومًا أو شهرًا أو إلى أجل غير مسمى، فهذا قرار تصميمي، ومعظم الأنظمة تميل افتراضيًا إلى الاحتفاظ بالبيانات، لأن الحذف وفق جدول زمني ميزة يجب على أحدهم بناؤها وصيانتها، بينما عدم فعل شيء لا يكلف شيئًا.

اتضح للعامة في يوليو 2025 ثمن هذا الخيار الافتراضي، عندما كشف اختراق طال تطبيق تيا (Tea) للسلامة في المواعدة عن نحو 72,000 صورة، من بينها نحو 13,000 صورة لبطاقات هوية حكومية وصور تحقق شخصية (سيلفي) قُدمت قبل فبراير 2024. وقد نصت سياسة خصوصية تيا نفسها على أن صور التحقق تُحذف فور استخدامها. لكن ذلك لم يحدث: فقد ظلت الصور مخزنة في حاوية تخزين سحابي غير مؤمَّنة، وهي نظام قديم لم يعد إليه أحد لإفراغه بعدما انتقل المنتج إلى نظام أحدث.

والدرس هنا لا علاقة له بتطبيقات المواعدة تحديدًا، بل يتعلق كليًا بالآلية نفسها، وهي آلية عامة تنطبق على أي نشاط تجاري يُسند مهمة الفحص إلى طرف خارجي خلف واجهة استخدام. فسياسة الخصوصية وعد، وليست حقيقة عن بنيتك التحتية. وإذا لم تكن قادرًا على تحديد العدد الدقيق للأيام الفاصلة بين رفع المعلن لبطاقة هويته واختفاء تلك البطاقة من كل نظام تعامل معها، بما في ذلك النسخ الاحتياطية، فأنت في الحقيقة لا تعرف ما هي سياستك، بل تعرف فقط ما تقوله.

وكشفت حادثة ثانية في العام نفسه عن الطريقة الشائعة الأخرى التي يحدث بها الخلل: تمرير بيانات حساسة عبر نظام عام الغرض بدلًا من نظام مخصص. فاختراق ديسكورد (Discord) في أكتوبر 2025 يعود سببه إلى مزود دعم عملاء خارجي تعرض للاختراق، لأن طلبات الاستئناف المتعلقة بالتحقق من العمر، بما فيها صور بطاقات الهوية الحكومية المرفوعة، كانت تمر عبر نظام التذاكر نفسه المستخدم للشكاوى العادية. وأكدت ديسكورد أن نحو 70,000 صورة لبطاقات هوية وصور شخصية تعرضت للتسرب، إلى جانب أسماء وأسماء مستخدمين وبريد إلكتروني وتفاصيل فوترة محدودة، وقد أوقفت الشركة منذ ذلك الحين تمرير أي وثائق عبر قسم الدعم العام نهائيًا.

لماذا تسرب بطاقة هوية مرتبطة بدليلك أخطر من تسرب البطاقة وحدها

تسرب بطاقة هوية حكومية بمفردها مشكلة حقيقية لصاحب الصورة، لكن تسرب بطاقة هوية تصنفها مجموعة البيانات أيضًا على أنها تخص معلنًا موثقًا على موقع إعلانات للبالغين هو مشكلة من نوع مختلف تمامًا، لأن التصنيف نفسه هو الضرر. فهذا التصنيف يُلحق بحياة ذلك الشخص حقيقة لم يختر الإفصاح عنها، وهذا المزيج تحديدًا هو ما يحوّل إشعار اختراق روتينيًا إلى دعوى قضائية، أو في بعض الحالات الموثقة، إلى ابتزاز يستهدف الشخص الذي تسربت بياناته لا الشركة التي فقدتها.

وتتعامل الجهات الرقابية بالفعل مع هذا النوع من الربط باعتباره حساسًا بحد ذاته، بمعزل عن أي صورة أو رسالة بعينها. فبموجب اللائحة العامة لحماية البيانات (GDPR)، تندرج البيانات التي تكشف الحياة الجنسية للشخص أو ميله الجنسي ضمن مجموعة صغيرة من الفئات الخاصة التي تتطلب سقفًا قانونيًا أعلى بكثير قبل معالجتها أصلًا. وقد فرضت هيئة حماية البيانات النرويجية غرامة قدرها نحو 6.5 مليون يورو على تطبيق المواعدة غريندر (Grindr) في ديسمبر 2021، وتم تأييد الغرامة عند الاستئناف في عام 2025، وذلك تحديدًا لأن مشاركة حقيقة بسيطة مع شركاء الإعلانات، وهي أن شخصًا ما مستخدم لتطبيق غريندر، وُجد أنها قادرة بذاتها على كشف الميل الجنسي. ولم يكن هناك حاجة لتسرب أي رسالة أو صورة كي تُفرض الغرامة؛ فالعضوية نفسها كانت الحقيقة الحساسة.

وينطبق المنطق نفسه على دليل الإعلانات المبوبة دون الحاجة إلى تأويل كبير. فبطاقة هوية حكومية تُصنّفها مجموعة بيانات مخترقة أيضًا على أنها تخص معلنًا موثقًا على منصتك هي بيانات شخصية مضافًا إليها استنتاج عن حياة الشخص لم يوافق قط على نشره، وكل إطار مساءلة قانونية مبني حول اختراقات البيانات يتعامل مع هذا المزيج باعتباره أشد خطورة من تسرب عادي لأرقام بطاقات ائتمان من متجر تجزئة. وهذا جزء كبير من سبب ارتفاع الغرامات والدعاوى القضائية في هذه الزاوية من الإنترنت عن مستوى عناوين الاختراقات التي تفترض معظم الشركات أنها لا تنطبق عليها.

من الناحية العملية، ينبغي أن يغيّر هذا ما يُعتبر أمانًا كافيًا من جانبك، حتى وإن كان الملف بحوزة المزود. فقاعدة بيانات لكلمات المرور وقاعدة بيانات تربط بطاقة هوية حكومية بعضوية على المنصة لا تحملان الدرجة نفسها من واجب العناية، ولن تتعامل معهما أي جهة رقابية أو أي صحفي بالطريقة نفسها بعد وقوع حادثة. ويستحق الأمر أن تقرر، قبل وقوع أي شيء، أن تحصل الفئة الثانية على معيار أعلى من أي سياسة عامة تطبقها حاليًا على بيانات العملاء، لأن اللحظة التي تلي الحادثة ليست الوقت المناسب لاتخاذ هذا القرار بشكل سليم.

فخ الاحتفاظ بالبيانات: غرامة على ما احتفظت به سواء تسرب أم لا

تنطوي حالتا تيا وديسكورد كلتاهما على اختراق، أي أن مهاجمًا خارجيًا اضطر إلى فعل شيء ما. لكن هيئة حماية البيانات الإسبانية أظهرت طريقًا آخر يفضي إلى النتيجة نفسها في مارس 2026، عندما فرضت على شركة يوتي (Yoti)، أحد مزودي التحقق المتخصصين من الهوية والعمر، غرامة قدرها 950,000 يورو دون وقوع أي اختراق على الإطلاق. فقد فُرضت الغرامة على يوتي بسبب ما كانت تحتفظ به ببساطة في ملفاتها، منتظرة ألا يسألها أحد عنه.

ويستحق تفصيل هذه الغرامة قراءة متأنية، لأن كل بند فيها يصف عادة تجارية اعتيادية وحسنة النية، لا سوء تصرف واضح. فمبلغ 500,000 يورو يتعلق بكيفية معالجة البيانات البيومترية بموجب قواعد الفئات الخاصة في اللائحة العامة لحماية البيانات. ومبلغ 200,000 يورو يتعلق بتصميم آلية الموافقة: إذ كان بإمكان المستخدمين تجاوز شاشة سياسة الخصوصية دون فتحها إطلاقًا، وكانوا مُدرجين تلقائيًا في خيار إعادة استخدام بياناتهم البيومترية لأغراض بحثية داخلية ما لم يعثروا على مربع اختيار ويلغوا تفعيله. أما مبلغ 250,000 يورو المتبقي فيتعلق باحتفاظ بالبيانات اعتُبر مفرطًا، بما في ذلك بيانات الموقع الجغرافي التي احتُفظ بها خمس سنوات بعد أن أدت مهمتها الوحيدة المتمثلة في تحديد قاعدة العمر المطبقة عند التسجيل، والقوالب البيومترية التي احتُفظ بها طوال مدة نشاط الحساب مضافًا إليها ثلاث سنوات أخرى بعد آخر مرة استخدمها فيها أحد.

وكان لكل خيار من خيارات الاحتفاظ هذه سبب يبدو مبررًا: بيانات الموقع الجغرافي احتياطًا لإعادة التحقق من قاعدة ما، والقوالب البيومترية احتياطًا لإعادة توثيق معلن عائد، والوصول البحثي لتحسين المنتج. لكن السبب الذي يبدو مبررًا ليس هو نفسه مدة احتفاظ مرتبطة بغرض محدد ومعلن، وقد فرضت الجهة الرقابية غرامة على شركة قامت أساسًا على تنفيذ التحقق بشكل صحيح، لخلطها بين الأمرين. وتستأنف يوتي هذا القرار، وأُفيد بتعليق التنفيذ في أبريل 2026 ريثما يُبت في الاستئناف، لذا ينبغي التعامل مع القضية باعتبارها تحذيرًا قائمًا لا ملفًا مغلقًا، لكن المنطق القائل إن ساعة الاحتفاظ يجب أن تتبع غرضًا لا راحة إدارية، ليس هو الجزء المطعون فيه.

والخلاصة العملية سهلة الصياغة وسهلة التجاهل في آن: يجب أن يحدد عقدك مع المزود مدة احتفاظ بالأيام، مرتبطة بغرض معلن، لكل فئة من فئات البيانات التي ينتجها الفحص. وإذا لم يستطع المزود تزويدك بهذا الرقم كتابةً، فهو لم يحدده هو الآخر، ولن يتمكن أي منكما لاحقًا من الدفاع عنه، سواء أمام جهة رقابية أو أمام معلن يسأل عن مصير بطاقة هويته.

الأسئلة الحقيقية التي يجب طرحها على مزود التحقق قبل التوقيع

في معظم الإعدادات، لست أنت من يشغّل برنامج التحقق، بل مزود متخصص يتولى ذلك، وهذا هو التقسيم الصحيح للعمل: عمليات التحقق من الهوية التي تكشف فعليًا الإعلانات المزيفة تخصص ضيق النطاق وثقيل المسؤولية القانونية لا ينبغي لفريق صغير أن يبنيه من الصفر. لكن بموجب قانون حماية البيانات، يظل المشغل الذي قرر إجراء الفحص هو المتحكم عادة، بينما يُعد المزود معالجًا، وخطأ المعالج ما زال يقع ضمن مسؤولية المتحكم تجاه الشخص الذي تسربت وثيقته. وهذا ما يجعل عقد المزود، لا تذكرة دعم تُرسل بعد وقوع خطأ ما، هو المكان الذي ينبغي أن تُطرح فيه هذه الأسئلة.

اسأل أولًا هل يعيد الفحص فقط نتيجة نجاح أو فشل مع درجة ثقة، أم أن الصورة الفعلية تمر وتستقر على بنيتك التحتية الخاصة في أي مرحلة. فالمزود المصمم وفق مبدأ التحقق ثم الإتلاف الفوري، أي مقارنة الوثيقة وحذفها ضمن العملية نفسها بدلًا من تخزينها لاحقًا، يزيل معظم هذا الخطر عبر التصميم الهندسي نفسه، لا عبر وعد في سياسة يجب الوثوق به وإعادة التحقق منه باستمرار.

اطلب مدة الحذف الدقيقة بالأيام، مكتوبة في العقد لا مقتبسة من صفحة تسويقية، واسأل عن مصير النسخ الاحتياطية. فالنظام الذي يحذف النسخة الحية وفق جدول زمني لكنه يحتفظ بنسخة احتياطية لتسعين يومًا لديه، من الناحية العملية، مدة احتفاظ فعلية تبلغ تسعين يومًا مهما كان الرقم المعلن، وهذه الثغرة بالضبط هي التي بقيت فيها صور تيا بعد موعد حذفها المفترض.

اسأل من يُبلغ من، وخلال كم ساعة، في حال تعرض المزود نفسه لاختراق. فأنت، لا المزود، قد تكون المدين بتقرير لجهة رقابية، ومهلة الإبلاغ خلال 72 ساعة لا يمكن الوفاء بها عن تسرب لا تعلم به إلا في الأسبوع الثالث. جهّز هذه الإجابة قبل أن تحتاجها، فهي تقريبا نفس الملف الذي يطلبه مزود الدفع أصلا قبل أن يوافق على حسابك، فتدوينها مرة واحدة يخدم الغرضين معا. ضع في العقد مهلة أقصر للمزود من تلك التي تدين بها لجهتك الرقابية، حتى يبقى وقت للتصرف قبل انتهاء مهلتك.

واسأل أخيرًا عمّا يفعله المزود بالصورة لأغراض تتجاوز الفحص نفسه: تدريب النماذج، قواعد بيانات احتيال مشتركة بين عملائه الآخرين، أو أبحاث داخلية. واطلب إجابة واضحة ومكتوبة بنعم أو لا، بدلًا من قبول الصمت كإجابة، لأن الصمت المقنّع بخيار انضمام افتراضي هو بالضبط ما سمح لتصميم موافقة الأبحاث لدى يوتي بالاستمرار طويلًا قبل أن تدقق فيه جهة رقابية عن قرب.

ما ينبغي فعله فعليًا هذا الربع

لا شيء مما سبق يبرر التحقق بعناية أقل. بل هو سبب لتكون بنفس القدر من الحرص حول كيفية خروج البيانات من أنظمتك وأنظمة مزودك، مثلما اضطررت بالفعل إلى التحلي به بشأن كيفية دخولها. فالمشغلون الذين سيتضررون في الجولة القادمة من الغرامات وعناوين الاختراقات لن يكونوا أولئك الذين لم يتحققوا قط من بطاقة هوية؛ بل سيكونون أولئك الذين تحققوا بشكل صحيح ولم يسألوا قط عمّا يحدث بعد ذلك.

ابدأ هذا الشهر بطلب جدول الاحتفاظ بالبيانات من مزودك الحالي كتابةً، بالأيام، لكل فئة من فئات البيانات التي ينتجها الفحص، لا بصفات مبهمة مثل لفترة وجيزة أو عند الحاجة. وإذا لم يستطع تقديم هذا الرقم، فإن العجز عن الإجابة هو النتيجة بحد ذاتها، وهو يخبرك عن حجم المخاطرة التي تتحملها أكثر مما ستخبرك به أي نشرة تسويقية.

أغلق أي مسار عمل ينتهي فيه الأمر بوصول صورة بطاقة هوية إلى موظف دعم، أو مراجع طلبات استئناف، أو إليك شخصيًا، عبر البريد الإلكتروني أو نظام تذاكر عام بدلًا من مسار التحقق المخصص. فإذا وُجد مسار من هذا النوع في أي جزء من عملياتك، فمن شبه المؤكد أنه أكبر نقطة ضعف واحدة لديك، وخلافًا لمعظم الإصلاحات في هذا المجال، فإن إغلاقه لا يكلف شيئًا سوى قرار القيام به.

أدرج مدة احتفاظ قصوى وموعدًا نهائيًا للإبلاغ عن الاختراق في التجديد المقبل للعقد، كتابةً، وحدد في التقويم مراجعة لممارسة المزود الفعلية، لا لصفحة سياسته فقط، كل ربعي سنة. فالوعد الصحيح يوم التوقيع ليس مضمونًا أن يبقى صحيحًا بعد عام، والشركات التي فُرضت عليها غرامات أو تعرضت للاختراق في عامي 2025 و2026 اكتشفت ذلك في معظم الأحيان من جهة رقابية أو من مخترق، لا من مراجعتها الخاصة.