الثقب هو العنصر الحامل

قائمة بمن طلبوا أن يختفوا

الأشخاص المدرَجون في القائمة طلبوا أن يختفوا: ناجون من التربّص والعنف الأسري، وقضاة، ومراجعو خدمات الصحة الإنجابية، وكل من لديه سبب لمحو أثره. ومنذ يناير وهم يتقدّمون بالطلبات بموجب قانون الحذف في كاليفورنيا (California Delete Act)، وهو نافذة واحدة تُبلِغ منها كل وسيط بيانات في الولاية بأن يمحوك. قبل ستة أيام شُغّل النصف الآخر من الآلية: فمن 1 أغسطس 2026 يُلزِم القانون المدني لكاليفورنيا، §1798.99.86(c)(1)، كل وسيط مسجّل بأن "access the accessible deletion mechanism … at least once every 45 days." — أي أن «يدخل إلى آلية الحذف الميسّرة … مرة واحدة على الأقل كل 45 يومًا». وهكذا تتحرّك القائمة الآن إلى الخارج، إلى أنظمة مئات الوسطاء — وهي بالضبط الصناعة التي كان هؤلاء الأشخاص يتوارون عنها — وتُغلق أول دورة إلزامية في نحو 15 سبتمبر.

المعرّفات مُجزَّأة، وهذا يبدو حمايةً. لكن على نواة معالج واحدة في حاسب محمول، يعود رقم هاتف كاليفورني مدرَج في القائمة رقمَ هاتفٍ من جديد في نحو 43 ثانية. والوكالة التي بنت الآلة — وكالة حماية الخصوصية في كاليفورنيا (California Privacy Protection Agency)، وهي الجهة التنظيمية للخصوصية في الولاية — أبلغت الوسطاء فعلًا بأن هذا قادم: فتدوينة لها في 10 يوليو تقول "starting on August 1, data brokers must download the hashed deletion requests and compare them against the personal information in their records." — أي إنه «بدءًا من 1 أغسطس، على وسطاء البيانات تنزيل طلبات الحذف المُجزَّأة ومقابلتها بالمعلومات الشخصية في سجلاتهم». أما ما لم تفعله فهو أن تقول شيئًا عن الانكشاف الذي تُحدثه القائمة. فغرفة أخبارها، التي أعدنا فحصها في 7 أغسطس، لا يزال أحدث ما فيها منشورًا في 4 أغسطس عن ولاية فيرمونت؛ وبدء التشغيل في 1 أغسطس نال دليلًا إرشاديًا للوسطاء، ولم يَنَل مَن هم على القائمة أي إشعار على الإطلاق.

التجزئة تُفَكّ في ثوانٍ

تحمل القائمة ستة أنواع من المعرّفات، وواحد منها فقط هو المسمّى في اللائحة — أي في مدوّنة لوائح كاليفورنيا، الباب 11 (11 CCR) — وهو MAID، معرّف إعلاني للهاتف المحمول. أما الخمسة الأخرى فهي تسميات من المواصفة الفنية لمنصّة الحذف DROP — NDZ (الاسم الأول، واسم العائلة، وتاريخ الميلاد، والرمز البريدي)، وEmail (البريد الإلكتروني)، وPhone (الهاتف)، وNameVIN (الاسم مقرونًا برقم تعريف المركبة)، وCTVID، وهو معرّف تلفزيون متصل بالإنترنت. وقبل أن يُجزَّأ أي شيء، تُسطِّح اللائحة المُدخَل: حروف صغيرة، وحذف علامات الترقيم، وطيّ الحروف المُعلَّمة إلى ما يقابلها من حروف بسيطة، حتى إن مثالها هي نفسها يحوّل "Björn O'Connor-López" إلى "bjornoconnorlopez." وتصبح التواريخ ثماني خانات، والهاتف آخر عشر خانات منه، ثم يأتي بند جامع يأمر الوسيط بأن "implement any other standardization that the data broker knows will increase the likelihood of a match." — أي أن «ينفّذ أي توحيد قياسي آخر يعرف الوسيط أنه سيزيد احتمال المطابقة». كل خطوة من هذه الخطوات تُبدِّد قدرًا من العشوائية (الإنتروبيا)، والعشوائية هي الشيء الوحيد الفاصل بين التجزئة والقيمة التي حُسبت منها.

أعدنا حساب المثالين المحلولين الواردين في المواصفة الفنية للولاية نفسها. فخرجت كل بصمة حقل وكلتا البصمتين المركّبتين متطابقتين، بتةً ببتة، على أنها SHA-256 عادية فوق ترميز UTF-8 ومُخرَجة بترميز Base64 — لا مِلح، ولا مفتاح، ولا أي شيء لا يحمله السجل العام أصلًا. وتجزئة بلا مفتاح لقيمة منخفضة العشوائية ليست تنكّرًا؛ إنها أحجية يحلّها حاسب محمول بتجريب كل الأجوبة، وSHA-256 تجيب بنحو 7.1 مليون تخمين في الثانية على نواة معالج واحدة، دون أي بطاقة رسوميات.

| ما يوجد على القائمة | عدد الاحتمالات | الزمن على نواة واحدة في حاسب محمول | |---|---|---| | رقم هاتف في كاليفورنيا | 304,000,000 | ~43 ثانية | | أي رقم أمريكي أو كندي | 6,400,000,000 | ~15 دقيقة | | اسم وتاريخ ميلاد ورمز بريدي، مقابلةً بملف الناخبين في كاليفورنيا | ~22,000,000 | ~3 ثوانٍ | | معرّف تلفزيون متصل قصير | 2.8 × 10¹² | ~4.6 أيام | | معرّف إعلاني للهاتف المحمول | 2¹²⁸ | غير ممكن عمليًا |

قائمة الهواتف ليست مُستعارة الهوية؛ إنها نصّ صريح مع خطوة إضافية واحدة. أما قائمة الاسم وتاريخ الميلاد والرمز البريدي فلا تحتاج تخمينًا من أصله: تُجزّئ الشخص الواحد الذي تبحث عنه وتسأل هل الناتج مدرَج فيها — عرّاف يجيب بنعم أو لا، وبذلك تعود التجزئة اسمًا. وحتى المعرّف الإعلاني، الذي لا يمكن كسره فعلًا، لا يحتاج كسرًا؛ فهو مفتاح ربط تُشغّله شركة تقنيات إعلانية على أجهزتها هي لتعرف أيّها يعود لشخص يحاول محو نفسه.

والفكرة الأولى البديهية — أضيفوا مِلحًا إلى التجزئات — لا يمكن أن تعمل هنا. المِلح يحمي كلمات المرور المخزّنة لأن الطرف الذي يتحقّق يحمل أصلًا السرّ الذي كتبه المستخدم قبل لحظة. أما DROP، وهي منصّة الحذف التي تديرها الولاية، فشكلها معاكس: الوسيط يختبر سجلاته هو، وهي سجلات لم ترها كاليفورنيا يومًا، مقابل قائمة الولاية، فلا بدّ أن يصل الطرفان إلى البصمة نفسها كلٌّ على حدة — ومِلح يُشارَك مع كل وسيط مسجّل في البلد ليس سرًّا.

عُرض على كاليفورنيا الحلّ، فرفضته كتابةً

هذا هو الجزء الذي لم ينشره أحد. أثناء إعداد اللائحة، قال خبراء التشفير للوكالة إن هذا سيحدث. في الملحق A من البيان النهائي للأسباب — وهي الوثيقة التي تُلزَم وكالات كاليفورنيا بنشرها للردّ على تعليقات الجمهور قبل إقرار أي لائحة — اقترح المعلّقون تقاطع المجموعات الخاصة (private set intersection)، وهو بروتوكول يجعل طرفين لا يعرفان إلا ما هو مشترك بينهما ولا شيء غير ذلك، أو إجراء المطابقة داخل بيئة تنفيذ موثوقة (trusted execution environment). وكانوا صادقين بشأن الثمن، فأقرّوا بأن ذلك سيمنع «وسطاء البيانات من كتم المعرّفات في المستقبل»، ورأوا أن المقايضة تستحقّ.

قالت الوكالة لا، وسببها هو القصة كلها:

«تلاحظ الوكالة البدائل التي اقترحها المعلّق بديلًا عن التجزئة، لكن الوكالة قرّرت أن التجزئة طريقة واسعة الاستخدام وآمنة ومتاحة لحماية البيانات، وأن أي طريقة تمنع الكتم المستمر للمعرّفات من جانب وسطاء البيانات تفشل في تنفيذ القانون تنفيذًا كافيًا.»

اقرأ النصف الثاني على مهل. قانون الحذف لا يطلب من الوسيط أن ينساك مرة واحدة؛ إنه يُلزمه بأن يواصل كتمك — أي أن يستمرّ في حجب بياناتك عن التداول — من الآن وإلى ما بعد. ولكي يكتمك إلى الأبد، لا بدّ أن يحتفظ بشيء دائم يعني أنت — والتجزئة هي هذا الشيء بالضبط: رمز دائم قابل لإعادة الاشتقاق. وكل مخطط عرضه خبراء التشفير يعمل بألّا يترك للوسيط مثل هذا الرمز، ولهذا استبعدته الوكالة. فثقب الخصوصية ليس عيبًا فشل التصميم في سدّه؛ إنه الوظيفة التي بُني التصميم ليؤدّيها.

ثم يُقفل §7620(c) الدائرة: "By submitting a deletion request, a consumer consents to disclosure of their personal information to a data broker for purposes of processing their deletion request." — أي أن «تقديم طلب الحذف يعني موافقة المستهلك على الإفصاح عن معلوماته الشخصية لوسيط بيانات لأغراض معالجة طلب الحذف الذي قدّمه». وقَصْرُ الإفصاح على هذا الغرض قيدٌ حقيقي، وهو أفضل جواب يملكه هذا التصميم — فالموافقة ليست مفتوحة على كل شيء. لكن هذا القيد يحكم ما يجوز للوسيط أن يفعله بالإفصاح، لا ماهيّة الإفصاح نفسه. وأن تطلب من كاليفورنيا أن تجعلك منسيًّا يبقى معناه أن تُدرَج في قائمة يُنزّلها الوسطاء.

حُجّة الوكالة أقوى مما يقرّ به منتقدوها

لا شيء في ما سبق يجعل الوكالة مستهترة. فقد رفضت التشفير الصريح لأنه كان سيترك الوسطاء ممسكين بمفاتيح فكّ التشفير — وهذا أسوأ بلا جدال. وشدّدت قاعدة المطابقة إلى تطابق 100%، وهو ضمانة حقيقية ضدّ حذف الأشخاص الخطأ. والقوائم مُقسَّمة، فالوسيط الذي لا يملك سوى عناوين البريد لا يتلقّى أبدًا قائمة الأسماء وتواريخ الميلاد؛ والتنزيلات تراكمية بعد الأولى؛ والوصول يكلّف تسجيلًا سنويًا بـ6,000 دولار تحت حساب باسم معلوم. وإرسال الأسماء والأرقام نصًّا صريحًا إلى مئات الشركات كان سيكون أسوأ من كل هذا.

وأصعب نقطة في الملف ليست ذنب الوكالة أصلًا. ففي §1798.99.86(b)(3) — وهو أمرٌ كتبه المشرّع لا الوكالة — تُفرَض آلية تتيح للوسيط أن يحدّد ما إذا كنت قد قدّمت طلبًا، على أن هذه الآلية "shall not allow the disclosure of any additional personal information … unless otherwise specified in this title." — أي أنها «لا تسمح بالإفصاح عن أي معلومات شخصية إضافية … إلا إذا نُصَّ على غير ذلك في هذا الباب». وإذا نحّيت الاستثناء الختامي جانبًا، فما يبقى مسألةُ تقاطع مجموعات خاصة، سُلّمت إلى وكالة حكومية ومُوّلت على أنها تنزيل ملف CSV.

لكن الدفاعات تصمد أقلّ مما تبدو. فالتسليم التراكمي لا يفيد شيئًا متى كان التنزيل الأول هو المتن كاملًا ويحتفظ كل وسيط بنسخة منه؛ والتقسيم يثق بالوسطاء في أن يُعلنوا معرّفاتهم بصدق؛ وحمايات §7616 قانونية لا تقنية — فلا شيء يمنع وسيطًا من حساب ما يشاء انطلاقًا من القائمة، إذ لا تحرّم اللائحة إلا استخدام النتيجة.

بند واحد يكفي لإغلاقه قبل انتهاء الدورة الأولى

هناك رافعة، وشدّها لا يحتاج مجلسًا تشريعيًا. تُتيح §7601(c) أن تحمل قائمة الحذف اسم خوارزمية التجزئة الخاصة بها؛ وقد باركت الوكالة SHA-256 في ردٍّ على تعليق لكنها امتنعت عن كتابتها في نصّ اللائحة. وبإمكانها أن تنصّ على Argon2id بدلًا منها — وهي دالة اشتقاق مفاتيح بطيئة بالتصميم — عبر إجراء لائحي، فيصبح هجوم الـ43 ثانية غير ممكن عمليًا بين ليلة وضحاها: القائمة نفسها، ودالة مختلفة، ولا حاجة إلى مشروع قانون.

ويقوم تحت هذا حدّان صادقان. نحن نُبلّغ عن اللائحة والمواصفة، لا عن النظام العامل: فاللائحة تُجيز أي خوارزمية، وواجهة برمجة الوسطاء الحيّة تقع خلف تسجيل دخول، ولذلك لا يمكننا التأكيد ما الذي يُصدره DROP المنشور اليوم. والرقم المتكرّر كثيرًا، «300,000+»، هو تعداد الوكالة نفسها من 2 يونيو — أشخاصٌ لا طلبات، ولم يُحدَّث منذ ذلك الحين. أما ما يمكننا تأكيده فهو التصميم، والتصميم هو المقصود.

آلة مبنيّة لتتذكّرك إلى الأبد

انزع كل ما سبق ويبقى تناقض واحد. النظام الذي يجب أن يتعرّف عليك إلى الأبد كي يستمرّ في حمايتك لا بدّ أن يحفظ شيئًا يعني أنت — وكل ما يعني أنت يمكن إرجاعه إليك. والمخرج الوحيد هو ألّا تكون قابلًا للتعرّف من الآلة إطلاقًا. وهذه ليست تفصيلة تقنية؛ إنها قرار في مَن يقوم بالعمل: الوسطاء، أم الأشخاص الذين يحاولون الاختفاء منهم. اتخذت كاليفورنيا القرار أثناء إعداد اللائحة، والبديل العملي بين يديها، فاختارت الوسطاء.

---

المراجع

المراجع

• Cal. Civ. Code § 1798.99.86 (القانون المدني لكاليفورنيا) — leginfo.legislature.ca.gov — البند

(b)(3)، وهو أمر «عرّاف العضوية» الذي يجيب بنعم أو لا؛ والبند (c)(1): "Beginning August 1, 2026, a data broker shall access the accessible deletion mechanism … at least once every 45 days." النصّ القانوني: §1798.99.80 وما بعدها (SB 362)؛ وسند الاختصاص §1798.99.87. اطُّلع عليه في 7 أغسطس 2026.

• 11 CCR §§7601–7622 (مدوّنة لوائح كاليفورنيا، الباب 11)، "Data Broker Registration and Accessible

Deletion Mechanism"، سارية من 1 يناير 2026 — cppa.ca.gov/regulations/pdf/data_broker_drop_reg.pdf، 16 صفحة. §7601(c) (الخوارزمية تسافر مع القائمة)؛ §7612(c) (التنزيلات التراكمية)؛ §7613(a)(1)(A) (التوحيد القياسي، ومنه مثال Björn O'Connor-López → bjornoconnorlopez) والبند (a)(1)(A)(vi)؛ §7613(a)(2)(A) (تجزئة كل حقل، ثم وصل البصمات "without adding spaces or other characters"، ثم التجزئة مرة أخرى)؛ §7616 (حدود الاستخدام)؛ §7620(b)–(c) (معرّفات MAID؛ والموافقة على الإفصاح). تصحيحات، 10 أغسطس — نبّه إليها كلَّها مترجمون قابلوا الاقتباسات بالمصدر. (1) نسب المتن أنواع المعرّفات الستة كلها إلى §7613؛ والمسمّى في اللائحة هو MAID وحده، والخمسة الأخرى تسميات المواصفة الفنية — كما كان مدخل المواصفة الفنية لمنصّة DROP أدناه يسجّله أصلًا. (2) نُقل §7620(c) منتهيًا عند "to a data broker"، فسقطت منه "for purposes of processing their deletion request." وقَصْرُ الإفصاح على الغرض هو أقوى جواب على القراءة التي بُنيت على الاقتباس، فصار النصّ يُقتبس كاملًا ويُجاب عنه بدلًا من اقتطاعه. (3) أُورد §1798.99.86(b)(3) على أنه "no additional personal information" ووُصف بأنه مطابق «حرفًا بحرف»؛ ونصّ القانون هو "shall not allow the disclosure of any additional personal information … unless otherwise specified in this title"، والاستثناء بات معروضًا الآن. وطُبّق التصحيح (3) كذلك على «آراء حادة»، في فقرة الطرف التشريعي وفي الاستهلال.

• Final Statement of Reasons, Appendix A (البيان النهائي للأسباب، الملحق A)، 53 صفحة —

cppa.ca.gov/regulations/pdf/drop_fsor_45day.pdf. التعليقات 117–122 التي تقترح تقاطع المجموعات الخاصة وبيئة تنفيذ موثوقة، وردّ الوكالة المنقول أعلاه بكامله؛ والتعليق 196 وتبادل الرأي حول SHA-256 عند §7613(a)(1)(B)؛ والتعليقات 73–75 (رُفض التشفير لأن الوسطاء سيمسكون بالمفاتيح)؛ والردّ على التعليق 216 (القوائم المقسّمة)؛ وتعليق لجنة التجارة الفيدرالية الأمريكية (FTC) وردّ الوكالة بأنها "will also monitor the DROP". وكذلك cppa.ca.gov/regulations/pdf/drop_fosr.pdf و cppa.ca.gov/regulations/drop.html.

• المواصفة الفنية لمنصّة DROP — privacy.ca.gov/drop-for-data-brokers/technical-specifications/working-with-data/،

الإصدار v1.2.0، "Last updated July 2026"، اطُّلع عليها في 7 أغسطس 2026. قواعد التجزئة ("SHA-256 using UTF-8 input encoding"، "Output as Base64")، وأنواع القوائم الستة، والمثالان المحلولان اللذان أعاد هذا المكتب حسابهما.

• إعادة الحساب والقياسات، هذا المكتب، 7 أغسطس 2026. أُعيد حساب المثالين المحلولين في المواصفة باستخدام

hashlib.sha256 وBase64: تطابقت 7 من 7 بصمات حقول و2 من 2 بصمة مركّبة. وقيست سرعة المعالجة محليًا بـ openssl speed sha256 (113,894.45 kB/s عند كتل 16 بايت ≈ 7.1 مليون تجزئة/ثانية على نواة واحدة) وبحلقة hashlib في بايثون (3,413,611 h/s). وحُسبت فضاءات البحث من صيغ اللائحة نفسها: الهاتف 6.4 × 10⁹ لكامل NANP (خطة الترقيم في أمريكا الشمالية) و3.04 × 10⁸ لمقدّمات مناطق كاليفورنيا؛ وCTVID بـ36⁸ عند الحدّ الأدنى وهو 8 محارف؛ وMAID بـ32 خانة ست عشرية. وgrep -ci 'salt\|pepper' = 0 على اللائحة والبيان النهائي كليهما.

• غرفة أخبار CalPrivacy — privacy.ca.gov/about-us/newsroom/، أُعيد جلبها في 7 أغسطس 2026 ثم في

10 أغسطس: أحدث منشور في 4 أغسطس 2026 (انضمام فيرمونت إلى اتحاد الجهات التنظيمية)، والذي قبله في 21 يوليو ("California Privacy Protection Agency Launches First Sectoral Audit, Targets Gig Economy Platforms"، وقد تأكّد في 10 أغسطس من privacy.ca.gov/sitemap.xml المُولَّد على الخادم، لأن فهرس غرفة الأخبار نفسه يُبنى بجافاسكربت)؛ ولا منشور في غرفة الأخبار عن التزام الوسطاء في 1 أغسطس. تصحيح، 10 أغسطس: قالت هذه المادة في أول صيغتها إن الوكالة «لم تقل شيئًا عن بدء التشغيل». وقد قالت — في مدوّنتها لا في غرفة أخبارها: privacy.ca.gov/2026/07/drop-data-broker-deletions-how-do-they-work/، 10 يوليو 2026، تُبلِغ الوسطاء "starting on August 1, data brokers must download the hashed deletion requests and compare them against the personal information in their records." والمتن يقول الآن ما هو صحيح فعلًا، وهو أضيق وأسوأ: الوكالة أطلعت الوسطاء ولم تُحذّر قط من هم على القائمة. ورقم «300,000+» مأخوذ من بيان 2 يونيو 2026 "Privacy Momentum Builds: 300,000+ Californians Sign Up for DROP as Registered Data Brokers Hit a Record High"، الذي جُلب بكامله (HTTP 200)؛ وهو يسجّل أيضًا 581 وسيط بيانات مسجّل.

• غير مُثبَت، ويُنشَر على أنه ثغرات: ما الخوارزمية التي يُصدرها النشر الحيّ لمنصّة DROP (توثيق واجهة

برمجة وسطاء البيانات على databroker.drop.privacy.ca.gov محجوب بتسجيل دخول؛ وتوجد بيئة اختبار لكن توثيقها لم يكن قابلًا للوصول)؛ وأي تعداد نشرته CPPA لـطلبات الحذف؛ وأي رقم أحدث من 2 يونيو.