مخطط انسيابي للاستجابة لخرق البيانات (مهلة 72 ساعة في GDPR)
مخطط مسارات للاستجابة لخرق البيانات الشخصية: الاحتواء، واختبار الخطر على الأفراد، وقرار إخطار السلطة الرقابية خلال 72 ساعة، وقيد الواقعة في سجل الخروقات.
كيف تعمل
سمِّ الأدوار وقناة الإبلاغ
استبدل المسارات الخمسة بالأدوار الموجودة لديك فعلاً. كثير من المؤسسات الصغيرة لا يوجد فيها مسؤول لحماية البيانات فتدمج ذلك المسار في الشؤون القانونية أو لدى مسؤول الخصوصية، وبعضها يضيف مسار مستشار خارجي أو شركة تأمين سيبراني. ثم ضع قناة الإبلاغ الحقيقية في خطوة «الإبلاغ عبر قناة الخروقات»: بريد واحد، ونموذج واحد، ورقم هاتف واحد، وقاعدة تقضي بالإبلاغ عند الاشتباه لا بعد التحقيق.
ثبّت جهاتك الرقابية ومواعيدك
عدّل خطوة «تأكيد التزامات الإخطار المنطبقة» لتسمّي الجهة أو الجهات التي تنطبق عليك، وجهتك الرئيسية إن كنت تعمل عبر الحدود، وأي أنظمة قطاعية أو خارج الاتحاد الأوروبي تخضع لها. فلهذه الأنظمة مهل مختلفة، فدوّن كلاً منها بدل افتراض أن 72 ساعة تغطي كل شيء. وأضف كذلك مهل الإخطار التعاقدية للعملاء، وهي غالباً أقصر من المهل النظامية.
دوّن معايير تقييم الخطر
أرفق معاييرك بخطوة «تقييم الشدة والخطر على الأفراد»: نوع البيانات وحساسيتها، وعدد الأفراد والسجلات، ومدى سهولة التعرّف على الأشخاص، وما إذا كانت البيانات مشفّرة أو غير قابلة للاستخدام لسبب آخر، وما إذا كان بين المتأثرين أشخاص في وضع هشّ، وشدة الضرر واحتمال وقوعه. المعايير المكتوبة سلفاً هي ما يجعل القرارين قابلين للدفاع عنهما لاحقاً.
أسنِد القرارين وصلاحية الاعتماد
بيّن على المخطط من يملك «هل يجب إخطار السلطة الرقابية؟» و«هل الخطر على الأفراد مرتفع؟»، ومن يُصرَّح له باعتماد ما يُرسَل إلى الجهة الرقابية، ومن يعتمد صيغة ما يُرسَل إلى الأفراد. وأضف نائباً لكل منهم، لأن الخروقات لا تنتظر انتهاء الإجازات.
ضع مواعيد داخلية داخل الـ72 ساعة
اعمل بالعدّ التنازلي من الموعد النهائي وضع أوقاتاً مستهدفة للخطوات الوسيطة: متى يجب أن يكون التقييم بين يدي مسؤول حماية البيانات، ومتى تصل المسودة إلى الشؤون القانونية، ومتى يُقفل الاعتماد. الموعد النظامي هو الحد الأقصى لا الخطة، وخطوتا الصياغة والاعتماد هما ما يستهلك الساعات فعلاً.
وجّه خطوة السجل إلى سجلك الحقيقي ثم أصدر نسخة معتمدة
اربط «قيد الخرق في السجل» بالسجل الذي تحتفظ به فعلاً، واسرد الحقول التي يجب أن يلتقطها: وقائع الخرق وآثاره والإجراء التصحيحي المتخذ ومبرّر كل قرار إخطار بما في ذلك القرارات السلبية. ثم عمّم المخطط على مسؤول حماية البيانات والشؤون القانونية والأمن والاتصال المؤسسي للاعتماد، واحتفظ بالنسخة المعتمدة، ليكون الإجراء الذي تتدرب عليه هو الإجراء الذي تنشره.
الأسئلة الشائعة
متى تبدأ مهلة الـ72 ساعة للإبلاغ عن الخرق؟
بموجب اللائحة العامة لحماية البيانات في المملكة المتحدة والاتحاد الأوروبي، يجب على المتحكم في البيانات إخطار السلطة الرقابية دون تأخير غير مبرّر، وخلال مدة لا تتجاوز 72 ساعة من علمه بوقوع خرق للبيانات الشخصية متى كان ذلك ممكناً. والعلم يعني بلوغ درجة معقولة من اليقين بأن حادثة أمنية أدت إلى المساس ببيانات شخصية، فتُقبل فترة تحقق أولية قصيرة، لكنك لا تستطيع تأجيل الساعة بإطالة التحقيق. والـ72 ساعة تُحسب بالتقويم لا بأيام العمل: العطل والأعياد داخل النافذة. ولهذا يضع هذا المخطط «تسجيل البلاغ وبدء الخط الزمني» في المقدمة ويوثّق من أبلغ وبماذا ومتى.
ما الفرق بين إخطار الجهة الرقابية وإخطار الأفراد؟
هما اختباران منفصلان بعتبتين مختلفتين، ولهذا يرسمهما المخطط كقرارين لا كقرار واحد. فالسلطة الرقابية يجب إخطارها ما لم يكن من غير المرجّح أن ينشأ عن الخرق خطر على حقوق الأفراد وحرياتهم، أي أن الإخطار هو الأصل عملياً. أما الأفراد المتأثرون فلا يُبلَّغون إلا حين يُرجَّح أن ينشأ عن الخرق خطر مرتفع عليهم، وهناك استثناءات معترف بها، كأن تكون البيانات مشفّرة وغير مفهومة، أو أن تكون قد اتخذت تدابير لاحقة تجعل تحقق الخطر المرتفع غير مرجّح. ولذلك قد يُبلَّغ خرق للجهة الرقابية ولا يُبلَّغ به الأفراد المعنيون أبداً.
هل نوثّق خرقاً قرّرنا عدم الإبلاغ عنه؟
نعم. تُلزم اللائحة المتحكمين بتوثيق كل خرق للبيانات الشخصية، شاملاً الوقائع وآثارها والإجراء التصحيحي المتخذ، بصرف النظر عن الإخطار من عدمه. وعملياً فإن سجل الخرق الذي اخترت عدم الإبلاغ عنه هو الأهم، لأنه الدليل الوحيد على أن القرار كان مُعلَّلاً لا مجرّد اختيار مريح. ولهذا يمرّ فرع «غير واجب» في هذا المخطط عبر «توثيق أسباب عدم الإخطار»، ويلتقي الفرعان معاً عند السجل.
بماذا تختلف هذه العملية عن الاستجابة لحوادث الأمن السيبراني؟
عملية الاستجابة لحوادث الأمن السيبراني تدور حول المهاجم والبيئة التقنية: الكشف والفرز وحفظ الأدلة والاحتواء والاستئصال والتحقق من نظافة الأنظمة واستعادة الخدمة. أما هذه العملية فتدور حول الأشخاص الذين تأثرت بياناتهم والالتزامات المترتبة على ذلك، وتنطلق مع أي خرق للبيانات الشخصية بما فيه ما لا مهاجم فيه إطلاقاً، كرسالة أُرسلت إلى العنوان الخطأ أو نسخة احتياطية غير قابلة للاستعادة. تتقاطع العمليتان عند الاحتواء وعند فرع الإخطار، وفي حادثة سيبرانية تشغّلهما بالتوازي بحيث يملك فريق الأمن المسار التقني ويملك مسؤول حماية البيانات هذا المسار.
ماذا لو كنا معالِجاً للبيانات لا متحكماً فيها؟
المعالِج لا يخطر السلطة الرقابية ولا الأفراد. عليه إخطار المتحكم دون تأخير غير مبرّر بمجرد علمه بخرق للبيانات الشخصية، ثم يتولى المتحكم التقييم وقراري الإخطار. فإن كان هذا وضعك، فاقطع المخطط عند قرار «هل يجب إخطار السلطة الرقابية؟» واستبدله بإخطارك للمتحكم، وراجع عقودك، لأن اتفاقيات المعالجة كثيراً ما تحدّد مهلة داخلية ثابتة أقصر بكثير من مهلة الـ72 ساعة الخاصة بالمتحكم.