تسريبات البيانات

ما نقوم به

على الرغم من فعالية إجراءات الوقاية، قد يحدث اختراق للبيانات داخل المؤسسة. يحدث اختراق البيانات عندما يحصل طرف ثالث على وصول غير مصرح به أو غير مقصود إلى البيانات الشخصية. كما يحدث اختراق البيانات عند تغيير البيانات الشخصية أو فقدانها أو إتلافها دون موافقة. في حال حدوث اختراق للبيانات داخل المؤسسة، يجب اتخاذ إجراء فوري. سيقوم متخصصو الخصوصية لدينا بتقييم الوضع، وإذا لزم الأمر، المساعدة في تقديم بلاغ إلى هيئة حماية البيانات الهولندية.

هل لديك أسئلة بخصوص اختراقات البيانات؟ يرجى الاتصال بنا.

ما هو بالضبط اختراق البيانات؟

يُعرَّف اختراق البيانات بأنه خرق أمني يتعلق بالبيانات الشخصية. ويُعرّف النظام العام لحماية البيانات (GDPR) هذا الاختراق في المادة 4، الفقرة 12، بأنه خرق يؤدي إلى تدمير البيانات الشخصية أو فقدانها أو تغييرها أو الكشف عنها أو الوصول إليها دون إذن. لذا، لا يُعد كل حادث أمني اختراقًا للبيانات؛ فمن الناحية القانونية، لا يُشار إليه باختراق البيانات إلا إذا كان يتعلق فعليًا بالبيانات الشخصية.

تتنوع خروقات البيانات بشكل كبير في الواقع العملي. تشمل الأمثلة هجومًا ببرامج الفدية يتم فيه تشفير قاعدة بيانات العملاء، أو إرسال بريد إلكتروني يحتوي على بيانات شخصية إلى مستلم خاطئ، أو سرقة أو فقدان جهاز كمبيوتر محمول أو ذاكرة فلاش، أو اختراق تطبيق ويب، أو وصول بريد يحتوي على بيانات مالية إلى عنوان خاطئ. سواءً تعلق الأمر بشركة دولية أو بخباز صغير يحمل بطاقة ولاء، فبمجرد وقوع البيانات الشخصية في الأيدي الخطأ، تسري نفس الالتزامات القانونية.

الالتزام بالإخطار إلى هيئة حماية البيانات الهولندية (المادة 33 من اللائحة العامة لحماية البيانات)

وفقًا للمادة 33 من اللائحة العامة لحماية البيانات (GDPR)، يجب الإبلاغ عن أي خرق للبيانات إلى هيئة حماية البيانات دون تأخير غير مبرر، وفي غضون 72 ساعة من اكتشافه إن أمكن. ولا يُشترط ذلك إلا إذا كان من المحتمل أن يُشكل خرق البيانات خطرًا على حقوق وحريات أصحاب البيانات. وإذا تعذر الإبلاغ خلال 72 ساعة، فيجب تبرير التأخير بأسباب واضحة.

يتضمن الإخطار، من بين أمور أخرى، طبيعة اختراق البيانات، وفئات الأفراد المتضررين وعددهم، والعواقب المحتملة، والإجراءات المتخذة أو المقترحة. ويقع عبء إثبات عدم وجود أي خطر من اختراق البيانات على عاتق المتحكم بالبيانات. يساعد محامونا ومستشارونا القانونيون الداخليون في إجراء هذا التقييم بسرعة ودقة، لضمان عدم الإبلاغ عن أي خرق غير ضروري، وفي الوقت نفسه عدم إغفال أي خرق يستوجب الإبلاغ.

متى يجب إبلاغ أصحاب البيانات؟ (المادة 34 من اللائحة العامة لحماية البيانات)

إضافةً إلى إخطار السلطة الإشرافية، تنص المادة 34 من اللائحة العامة لحماية البيانات (GDPR) على ضرورة إبلاغ أصحاب البيانات أنفسهم عندما يُحتمل أن يُشكّل خرق البيانات خطرًا جسيمًا على حقوقهم وحرياتهم. وهذا يُمثّل معيارًا أكثر صرامة من الإخطار المُقدّم إلى هيئة حماية البيانات الهولندية. ويمكن التغاضي عن إخطار أصحاب البيانات في حالاتٍ مثل: إذا كانت البيانات مُشفّرة بشكلٍ صحيح، أو إذا اتُخذت تدابير لاحقة أزالت الخطر الجسيم، أو إذا كان إخطار الأفراد يتطلّب جهدًا غير متناسب.

بالإضافة إلى ذلك، تنص المادة 33، الفقرة 5، من اللائحة العامة لحماية البيانات (GDPR) على ضرورة توثيق جميع خروقات البيانات داخليًا في سجل خاص، بما في ذلك تلك التي لم يتم الإبلاغ عنها. وهذا يُمكّنك من إثبات التزامك الجاد بواجباتك أمام هيئة حماية البيانات الهولندية.

خطة عمل خطوة بخطوة: ما يجب فعله في حالة حدوث اختراق للبيانات

في حال حدوث اختراق للبيانات، كل ساعة مهمة. نتبع خطة محددة خطوة بخطوة نشرحها لكم بالتفصيل:

1. احتواء الاختراق والتحقيق فيه: إيقاف الاختراق، وتحديد البيانات الشخصية التي تأثرت وعدد الأشخاص المعنيين بالبيانات.
2. تقييم المخاطر: موازنة احتمالية وشدة العواقب على المعنيين.
3. الإبلاغ إلى وكالة أسوشيتد برس: في حالة التعرض للإخطار، في غضون 72 ساعة وبمعلومات صحيحة.
4. إبلاغ أصحاب المصلحة: في حالة المخاطر العالية، بلغة واضحة وبسيطة.
5. اتخاذ وتوثيق الإجراءات: استعادة الأمن، ومنع التكرار، وتسجيل كل شيء في سجل اختراق البيانات.

كما يتولى خبراؤنا القانونيون التواصل مع الجهة التنظيمية والعملاء، وربما مع الصحافة، للحد من الأضرار التي تلحق بالسمعة.

دور المعالج واتفاقية المعالج (المادة 28 من اللائحة العامة لحماية البيانات)

تلجأ العديد من المؤسسات إلى الاستعانة بمصادر خارجية لمعالجة البيانات الشخصية، على سبيل المثال، إلى مزود خدمات استضافة المواقع، أو مورد برامج، أو مسؤول رواتب. ووفقًا للمادة 28 من اللائحة العامة لحماية البيانات (GDPR)، يجب أن تُحدد الاتفاقيات بين المتحكم بالبيانات والمعالج في اتفاقية معالجة بيانات. كما يجب أن تنص هذه الاتفاقية على أن يقوم المعالج بالإبلاغ عن أي خرق للبيانات إلى المتحكم بالبيانات فورًا، لكي يتمكن الأخير من الوفاء بالتزامه بالإبلاغ في الوقت المناسب.

في حال حدوث أي مشكلة لدى موردك، فأنت، بصفتك مسؤول معالجة البيانات، غالباً ما تبقى جهة الاتصال الرئيسية مع السلطة الإشرافية. نقوم بمراجعة اتفاقيات معالجة البيانات الخاصة بك، ونحدد المسؤولية القانونية، ونساعدك في اتخاذ الإجراءات القانونية اللازمة ضد أي جهة معالجة بيانات مهملة.

الغرامات والإنفاذ والتعويض (المادتان 82 و83 من اللائحة العامة لحماية البيانات)

يجوز لهيئة حماية البيانات الهولندية فرض غرامة تصل إلى 10 ملايين يورو أو 2% من إجمالي الإيرادات السنوية العالمية في حال انتهاك التزام الإبلاغ أو عدم كفاية إجراءات الأمن. أما في حال الانتهاكات الأكثر خطورة، كالمعالجة غير القانونية للبيانات الشخصية، فترتفع الغرامة إلى 20 مليون يورو أو 4% من إجمالي الإيرادات السنوية (المادة 83 من اللائحة العامة لحماية البيانات). وفي الممارسة الهولندية، تتراوح الغرامات المفروضة بين عشرات الآلاف ومئات الآلاف من اليورو.

بالإضافة إلى ذلك، يحق للأفراد المعنيين بالبيانات المطالبة بتعويض عن الأضرار المادية والمعنوية الناجمة عن اختراق البيانات، وذلك وفقًا للمادة 82 من اللائحة العامة لحماية البيانات (GDPR). إن خطر هذه المطالبات، إلى جانب إجراءات الإنفاذ من قبل السلطة الإشرافية، يجعل اتباع نهج مدروس أمرًا بالغ الأهمية. يقدم محامونا المساعدة لكل من المؤسسات التي تواجه غرامة أو مطالبة، وأصحاب الأعمال الصغيرة الذين يرغبون في تجنب حدوث مثل هذه المواقف من الأساس.

منع اختراقات البيانات: الأمن في مكانه الصحيح (المادة 32 من اللائحة العامة لحماية البيانات)

أفضل إشعار هو الذي لا حاجة إليه أبدًا. تنص المادة 32 من اللائحة العامة لحماية البيانات (GDPR) على ضرورة اتخاذ التدابير التقنية والتنظيمية المناسبة لحماية البيانات الشخصية، مثل التشفير، والتحكم في الوصول، وتوعية الموظفين. يساعدك محامونا المتخصصون في الخصوصية على تنظيم إجراءات الأمن والإجراءات الداخلية لديك، لكي تتمكن من التصرف بسرعة ودقة في حال وقوع أي حادث.

يرتبط الوقاية الجيدة ارتباطًا وثيقًا بعناصر أخرى في سياسة الخصوصية الخاصة بك. لذلك، يرجى أيضًا مراجعة صفحاتنا المتعلقة بتدقيق الخصوصية، أثر حماية البيانات ، ومسؤول حماية البيانات.

الأسئلة الشائعة حول اختراقات البيانات

هل يجب عليّ الإبلاغ عن كل خرق للبيانات إلى هيئة حماية البيانات الهولندية؟
لا. لا يُشترط الإبلاغ إلا إذا كان خرق البيانات يُحتمل أن يُشكّل خطرًا على حقوق وحريات أصحاب البيانات. مع ذلك، يجب عليك تسجيل جميع خروقات البيانات في سجلّك الداخلي.

في أي إطار زمني يجب عليّ الإبلاغ عن خرق البيانات؟
دون تأخير غير مبرر، وفي غضون 72 ساعة من اكتشافه إن أمكن (المادة 33 من اللائحة العامة لحماية البيانات). إذا تعذر ذلك، يجب تبرير التأخير.

ماذا لو كان مصدر اختراق البيانات هو المورّد الخاص بي؟
بصفتك المتحكّم بالبيانات، تظلّ مسؤولاً أمام السلطة الإشرافية. مع ذلك، يجب على المعالج إبلاغك بالاختراق دون تأخير؛ أنت تنصّ على ذلك في اتفاقية المعالج (المادة 28 من اللائحة العامة لحماية البيانات).

هل يمكن تغريمي إذا لم أبلغ؟
نعم. قد يؤدي عدم الإبلاغ أو الإبلاغ المتأخر إلى غرامة تصل إلى 10 ملايين يورو أو 2% من إجمالي الإيرادات السنوية العالمية (المادة 83 من اللائحة العامة لحماية البيانات).

جزء من الخصوصية وحماية البيانات

تُعدّ خروقات البيانات تخصصاً ضمن خبرتنا الأوسع في مجال الخصوصية وحماية البيانات. من خلال فرق عمل مشتركة تضم محامين ومستشارين قانونيين داخليين، نساعد المؤسسات، بدءاً من الشركات العالمية الكبرى وصولاً إلى المخبز المحلي، في التعامل مع خروقات البيانات الحادة، وفي تطوير سياسات الخصوصية الخاصة بها لتتوافق مع المعايير.