هذا ما تحتاج إلى معرفته حول الاختراق الكبير للبيانات في شركات السيارات

ربما سُرقت بيانات شخصية لملايين المواطنين الهولنديين من مزود خدمات تقنية معلومات خاص بمرائب السيارات، في واحدة من أكبر عمليات اختراق البيانات في تاريخ هولندا. والدرس المستفاد لرواد الأعمال: بصفتك مسؤولاً عن معالجة البيانات، فأنت مسؤول شخصياً عن إبلاغ عملائك وهيئة حماية البيانات الهولندية بالاختراق، ويجب عليك عدم الاحتفاظ بالبيانات الشخصية لفترة أطول من اللازم.

تشير التقارير إلى أن التسريب يشمل 7.3 مليون معلومة، بما في ذلك تفاصيل الاسم والعنوان، وأرقام لوحات السيارات، وأرقام الهواتف، وتواريخ الميلاد، وعناوين البريد الإلكتروني. يمكن للمجرمين استغلال هذه المعلومات لمعرفة مالكي السيارات الفاخرة وأماكن سكنهم؛ كما يُحتمل استخدامهم لسرقة الهوية، والاحتيال عبر واتساب، وانتحال الهوية.

ماذا حدث؟

بدأ تسريب البيانات من شركة RDC المتخصصة في تكنولوجيا المعلومات، والتي تساعد ورش تصليح السيارات على إرسال رسائل بريد إلكتروني تلقائية للعملاء عند اقتراب موعد فحص سياراتهم. ولا يزال مصدر البيانات غير واضح؛ إذ نفت RDC وجود أي اختراق. وقد اكتشف جهاز الأمن الهولندي (NOS) التسريب بعد عرض البيانات مقابل 35 ألف دولار أمريكي على أحد منتديات القرصنة. وبعد بلاغ NOS، سارعت RDC إلى تقديم بلاغ إلى هيئة حماية البيانات الهولندية، وهو إجراء إلزامي في حالات اختراق البيانات، حتى لو كان معروفًا مسبقًا عبر وسائل الإعلام. وقد استعانت RDC بخبير الأمن Fox-IT لتحديد سبب التسريب ومنع حدوث تسريبات مستقبلية.

يجب على شركات السيارات المتضررة اتخاذ الإجراءات اللازمة بنفسها

تم إبلاغ جميع شركات السيارات المتضررة، ويتعين عليها أيضاً تقديم تقاريرها إلى هيئة حماية المستهلك مباشرةً، إذ لا يمكن تقديم تقرير جماعي. هام: قد لا تقوم شركة RDC بإبلاغ المستهلكين المتضررين بنفسها، لأن شركة السيارات هي المتحكمة في البيانات في علاقتها مع العميل، بينما تقوم RDC بمعالجة البيانات نيابةً عن شركة السيارات بموجب اتفاقية معالجة بيانات . وبالتالي، تقع المسؤولية تجاه المستهلك على عاتق شركات السيارات.

من الأفضل لشركات السيارات إبلاغ عملائها. وقد أشارت هيئة حماية البيانات الهولندية سابقًا إلى أنه في حال حدوث اختراق بيانات عالي الخطورة، يجب على الجهة المسؤولة عن معالجة البيانات إبلاغ أصحاب البيانات فورًا. وتُعدّ درجة الخطورة مسألة واقعية، إذ يلعب عدد الأفراد المتضررين، وسهولة تحديد هويتهم، وشدة العواقب، وحجم البيانات وحساسيتها، دورًا في ذلك. وفي هذه الحالة، يُنصح بالإبلاغ الرسمي.

لا تخزن البيانات لفترة أطول من اللازم

من اللافت للنظر أنه تم تسريب بيانات تتعلق بسيارات كانت موجودة في ورشة صيانة سيارات قبل أكثر من عشر سنوات، على الرغم من أن البيانات جُمعت في أواخر عام ٢٠١٨/أوائل عام ٢٠١٩. ومع تطبيق اللائحة العامة GDPR )، بات من الضروري حذف البيانات الشخصية في الوقت المناسب. وفي حال اكتشاف خطأ، يحق لهيئة حماية البيانات الهولندية التدخل وفرض غرامات.

الأسئلة الشائعة

من المسؤول عن إبلاغ العملاء في حالة حدوث اختراق للبيانات عبر أحد الموردين؟

المسؤول عن إدارة البيانات في علاقة العميل - غالباً ما تكون الشركة نفسها، وليس مورد تكنولوجيا المعلومات والاتصالات (المعالج). وعادةً لا يُسمح للأخير بالاتصال مباشرةً بأصحاب البيانات.

هل يجب عليّ دائماً الإبلاغ عن اختراق البيانات؟

من حيث المبدأ، يجب الإبلاغ عن أي خرق للبيانات إلى هيئة حماية البيانات الهولندية، حتى لو نُشر الخبر في الصحافة. ​​وفي حال وجود خطر كبير، يجب إبلاغ الأطراف المتضررة فوراً.

ما هي المدة المسموح لي بالاحتفاظ ببيانات العملاء؟

لا يجوز الاحتفاظ بالبيانات الشخصية لفترة أطول من اللازم لتحقيق الغرض المطلوب. إن الاحتفاظ بالبيانات الشخصية لفترة طويلة دون داعٍ يزيد من المخاطر في حالة حدوث خرق أمني، وقد يُعدّ انتهاكًا للائحة العامة لحماية البيانات (GDPR).

هل بياناتك الشخصية وبياناتك محمية بشكل سليم؟

يقدم لكم خبراء الخصوصية في شركة MKB Juristen المساعدة في اتفاقيات معالجة البيانات، وفترات الاحتفاظ بها، والاستجابة المناسبة لحالات اختراق البيانات. اطلعوا على خبراتنا في مجال الخصوصية وحماية البيانات ، أو احجزوا استشارة مجانية .