وقع خرق للبيانات: ما يجب فعله خلال 72 ساعة

متى تبدأ الاثنتان والسبعون ساعة؟

هنا يقع أكثر أخطاء الفهم شيوعًا. تبدأ المهلة حين **يعلم** المسؤول عن البيانات بالخرق، لا حين وقع. فالتسريب الذي حدث قبل أشهر واكتُشف اليوم تبدأ مهلته من اليوم.

والنتيجة العملية: المؤسسة التي لا تملك قدرة على الاكتشاف لا تستطيع الإخطار في الوقت — لأنّ لحظة العلم إمّا لا تأتي أو تأتي متأخّرة جدًا. وهذا بالضبط أحد أسئلة المراجعة: كيف ومتى اكتشفتم الخرق؟

ما الحوادث التي تُعدّ خرقًا للبيانات؟

يقع الخرق حين تُحصَّل بيانات شخصية بطريقة غير مشروعة من قِبل آخرين. وهذا التعريف أوسع مما يُظنّ: فلا يشمل الهجوم الخارجي وحده، بل أيضًا رسالة أُرسلت إلى مستلم خاطئ، وحاسوبًا محمولًا غير مشفّر ضاع، وقائمة عملاء نزّلها موظف بلا صلاحية، ونسخًا احتياطية تُركت في تخزين مفتوح.

وفي بعض الحالات — كضياع جهاز مشفّر مثلًا — يمكن الاحتجاج بأنّ الخطر لم يتحقّق؛ لكن هذا التقييم يجب أن يُجرى ويُوثَّق لحظة الحادث. أما قول \"لم يكن خطِرًا أصلًا\" لاحقًا فليس دفاعًا بغير توثيق.

ماذا لو اكتشف مورّدنا الخرق؟

حين يلاحظ مزوّد السحابة أو مورّد البرمجيات أو مركز الاتصال خرقًا، فهو ملزَم بإبلاغك دون تأخير. وتبقى المهلة تبدأ بعلمك أنت، لكن التأخّر في هذه السلسلة لا ينقذك: فما تسأل عنه المراجعة هو ما إذا كان التزام الإبلاغ هذا مكتوبًا بينك وبين المورّد.

ولهذا تحمل عقود معالجة البيانات جملة واحدة: يُبلغ الطرف الذي يعلم بالخرق الطرفَ الآخر كتابةً دون تأخير وفي كل الأحوال خلال أربع وعشرين ساعة من علمه. وبغير هذا البند تصبح مهلتك ذات الاثنتين والسبعين ساعة رهنًا بمورّدك.

هل يمكن الإخطار والمعلومات ما زالت ناقصة؟

نعم، يمكن الإخطار على مراحل. فحين يتعذّر تقديم كل المعلومات دفعةً واحدة، يُخطَر بما هو متاح ويُستكمل الباقي تباعًا. وهذا ليس استثناءً بل الطريق المقصود — فاقرأ الاثنتين والسبعين ساعة بوصفها مهلة للإخطار الأول لا لإنهاء التحقيق.

وإن تعذّر الالتزام بالمهلة كليًا لسبب مبرَّر، تُشرح أسباب التأخّر مع الإخطار. والتأخّر غير المفسَّر يُقيَّم أشدّ من التأخّر نفسه.

كيف نبلغ العملاء بخرق البيانات؟

الإخطار للهيئة وإبلاغ المتضرّرين التزامان منفصلان، والثاني يُتجاوَز في معظم الشركات. والغاية منهما واحدة: تمكين الناس من حماية أنفسهم. لذلك ينبغي أن يقرأ النصّ كتحذير لا كوثيقة قانونية — أي بيانات تأثّرت، وأي خطر ينشأ عنها، وما ينبغي للشخص فعله، بعبارة صريحة.

وإن لم يكن عنوان الاتصال معروفًا، جاز الإبلاغ بوسيلة مناسبة كإعلان يُنشر على الموقع الإلكتروني للشركة. ومعيار المناسبة هو أن يكون للإشعار فرصة حقيقية في الوصول؛ ورابط في تذييل الصفحة لا يحقّق ذلك.

كيف تُعدّ خطة الاستجابة لخرق البيانات؟

• خطة استجابة: من يقرّر، ومن يُخطر، ومن يتولّى التواصل — مكتوبة بالأسماء.
• الاكتشاف: سجلات الوصول، وتنبيهات التنزيل غير المعتاد، والفحص الدوري لصلاحيات النسخ الاحتياطي والتخزين.
• بند إخطار ومهلة محدّدة في عقود معالجي البيانات.
• سجلّ: أي بيانات في أي نظام — وهو السبيل الوحيد لتحديد النطاق خلال 72 ساعة.
• إخطارات جاهزة: قالب داخلي لنموذج الهيئة ومسوّدة النصّ الموجّه للمتضرّرين.

كم غرامة خرق البيانات؟

تُحدَّث المبالغ سنويًا، ولذلك لا يُذكر رقم هنا — تحقّق من المبلغ النافذ على صفحة الهيئة. والأهم هو ما تُقاس عليه الغرامة: لا الخرق نفسه، بل كفاية التدابير المتّخذة وما إذا كان الإخطار في وقته. فالإخطار في الوقت والتدابير الموثّقة تُقرأ لصالحك؛ والإخفاء يُقرأ ضدّك.

إن سرّب موظف البيانات، هل يبقى الإخطار لازمًا؟

نعم. فكون المصدر داخليًا أو خارجيًا لا يغيّر الالتزام؛ والمعيار هو تحصيل بيانات شخصية بطريقة غير مشروعة من قِبل آخرين. وفي هذه الحالة يسير قانون العمل بالتوازي، لكنه مسار منفصل وليس سببًا لتأخير الإخطار خلال 72 ساعة.

هل يلزم الإخطار إن كانت البيانات المسرَّبة مشفَّرة؟

إن استطعت إثبات أنّ التشفير حمى البيانات فعلًا اختلف التقييم: فمع عدم تسرّب المفتاح واستخدام أسلوب حديث، يمكن الاحتجاج بأنّ الخطر لم يتحقّق. لكن هذا التقييم يجب أن يُجرى ويُوثَّق في حينه. أما قول \"كانت مشفّرة على أي حال\" لاحقًا فلا يُقبل في المراجعة بغير توثيق معاصر.

كم عدد المتضرّرين اللازم قبل الإخطار؟

عدد الأشخاص ليس عتبة. فالالتزام ينشأ ولو تأثّرت بيانات شخص واحد؛ والعدد يؤثّر في الجسامة وفي طريقة إبلاغ المتضرّرين فقط. و\"المتضرّرون قليلون فلا نبلّغ\" هو أكثر الأخطاء شيوعًا ويُقرأ في المراجعة إخفاءً.

“الاثنتان والسبعون ساعة مهلة للإخطار الأول، لا لإنهاء التحقيق.”