لماذا لا يقتصر تسرب البيانات على مشكلة تقنية؟

قد تكتشف شركة أن حسابًا غير مصرح له وصل إلى قاعدة بيانات العملاء، أو أن ملفًا يتضمن معلومات شخصية أُرسل إلى جهة غير مقصودة، أو أن بيانات جُمعت عبر موقع الشركة أصبحت متاحة للغير.

في هذه الحالات، لا يقتصر التعامل مع الحادث على إصلاح النظام أو تغيير كلمات المرور. فقد تنشأ أسئلة قانونية حول طبيعة البيانات، وأساس جمعها واستخدامها، ودور الشركة في معالجتها، والتزاماتها تجاه العملاء والجهات المختصة، بحسب الوقائع والقواعد السارية.

ينظم قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020 جوانب من معالجة البيانات الشخصية إلكترونيًا، وتختلف الالتزامات بحسب طبيعة المعالجة وأدوار الأطراف والنصوص واجبة التطبيق. <Cite refs={["turn837609search11"]}/>

الخطوة الأولى: احتواء الحادث دون إتلاف الأدلة

ينبغي للفريق المختص العمل على الحد من استمرار الوصول غير المصرح به، مع الحفاظ على السجلات الرقمية اللازمة لفهم ما حدث. ويجب توثيق وقت اكتشاف الحادث، والأنظمة المتأثرة، والإجراءات التي اتُخذت، والأشخاص المسؤولين عن التعامل معه.

ومن الأفضل تجنب حذف السجلات أو إعادة تهيئة الأنظمة قبل تقييم أثر ذلك على التحقيق الفني. كما ينبغي قصر الوصول إلى المعلومات المتأثرة على الأشخاص الذين يحتاجون إليها لمعالجة الحادث.

الخطوة الثانية: تحديد البيانات والأطراف المتأثرة

لا بد من تحديد نوع البيانات التي ربما تعرضت للوصول أو الإفشاء، مثل بيانات الاتصال أو معلومات الحساب أو المستندات التي قد تتضمن تفاصيل أكثر حساسية. ويجب التمييز بين الاشتباه الأولي في حدوث اختراق وبين واقعة ثبتت أدلتها.

بعد ذلك، تراجع الشركة كيفية جمع البيانات، والغرض من استخدامها، والجهات التي حصلت عليها أو عالجتها نيابة عنها، والعقود والسياسات ذات الصلة. وقد تكون هناك أدوار مختلفة للشركة ومقدم الخدمة التقني أو الطرف الذي يعالج البيانات لحسابها.

الخطوة الثالثة: مراجعة الالتزامات القانونية والإخطارات

لا ينبغي افتراض أن كل حادث تقني يؤدي تلقائيًا إلى التزام واحد ثابت بالإخطار، أو أن جميع الحالات تخضع للمدة والإجراء نفسيهما. يجب مراجعة القانون واللوائح والقرارات ذات الصلة، وطبيعة الحادث، وصفة الجهة المعنية، وأي التزامات تعاقدية أو تنظيمية أخرى.

وقد تتطلب بعض الحالات التواصل مع الجهات المختصة أو الأشخاص المتأثرين وفقًا للقواعد المنطبقة. لذلك يجب توثيق أساس القرار، سواء كان بالإخطار أو باتخاذ إجراء آخر، وعدم الاعتماد على تقدير تقني منفرد دون مراجعة قانونية عند الحاجة.

الخطوة الرابعة: مراجعة العقود مع مزودي الخدمات

إذا كانت البيانات مخزنة لدى مزود خدمات سحابية أو شركة تقنية أو مركز اتصال خارجي، فيجب مراجعة الاتفاقيات المتعلقة بالأمن والسرية، والإبلاغ عن الحوادث، وتوزيع المسؤوليات، والمساعدة في التحقيق، واستعادة البيانات أو حذفها.

ومن المهم التحقق مما إذا كانت العقود تحدد قناة اتصال واضحة، ومسؤوليات كل طرف عند وقوع حادث، وكيفية حفظ السجلات وتوفيرها عند الضرورة.

ما الذي يجب توثيقه بعد الحادث؟

• التسلسل الزمني لاكتشاف الحادث والاستجابة له.

• الأنظمة والبيانات التي تأثرت أو يُشتبه في تأثرها.

• نتائج التحقيق الفني وحدود ما أمكن التحقق منه.

• قرارات الشركة وأسبابها والإجراءات التصحيحية.

• المراسلات مع مزودي الخدمات والجهات ذات الصلة.

• خطة منع تكرار الحادث ومراجعة صلاحيات الوصول.

ويجب ألا يتضمن التقرير استنتاجات غير مثبتة، أو أن يجزم بعدم تأثر البيانات قبل اكتمال الفحص المناسب.

كيف تستعد الشركة قبل وقوع المشكلة؟

ينبغي تعيين مسؤوليات واضحة للاستجابة للحوادث، ومراجعة صلاحيات الوصول، وتحديث سياسات الاحتفاظ بالبيانات، وتقييم العقود مع الموردين، وتدريب العاملين على الإبلاغ عن الأخطاء الأمنية. كما يساعد اختبار خطة الاستجابة دوريًا على اكتشاف الثغرات الإجرائية قبل وقوع حادث فعلي.

تواصل مع مكتب أساس القانونية

إذا واجهت شركتك حادثًا يتعلق ببيانات العملاء، فإن المراجعة القانونية المبكرة تساعد على تقييم الالتزامات، وتنظيم التوثيق، ومراجعة العقود والإخطارات المحتملة وفقًا للوقائع.

مكتب أساس القانونية

الأستاذ أحمد محمد السكري المحامي بالاستئناف العالي ومجلس الدولة

الهاتف: 00201099722996

البريد الإلكتروني: info@asaslegalfirm.com

العنوان: مكرم عبيد تقاطع مصطفى النحاس مدينة نصر القاهرة