قواعد الإخطار بخرق البيانات لخدمات مشاركة الملفات

المادة 33 من GDPR تُتيح للمتحكمين 72 ساعة من إدراك خرق بيانات شخصية لإخطار السلطة الإشرافية المختصة، ما لم يكن الخرق مرجّحاً ألا ينتج مخاطر على الأشخاص الطبيعيين. المادة 34 تُلزم بالإخطار الإضافي لأصحاب البيانات المتضررين حين تكون المخاطرة عالية، دون تأخير لا مبرر له. لمنصات مشاركة الملفات، قد يعني الخرق رابط تنزيل مُسرَّب عبر السجلات، أو حاوية S3 مُهيَّأة خطأً، أو حساب مشرف مُخترَق، أو جهاز مفقود يحتفظ بذواكر مؤقتة غير مشفرة. تجاوز نافذة الـ72 ساعة بدون مبرر يُعرّضك لغرامات المادة 83(4) تصل إلى 2% من الإيرادات العالمية.

ما يُعدّ "خرقاً لبيانات شخصية"

المادة 4(12) تُعرّفه بأنه خرق أمني يُفضي إلى تدمير عرضي أو غير مشروع أو خسارة أو تغيير أو إفصاح غير مصرح به أو وصول إلى بيانات شخصية. توجيهات EDPB 9/2022 (اعتُمدت أكتوبر 2022، خلفاً لـWP250) تُصنّف الخروقات إلى سرية (إفصاح أو وصول غير مصرح به) ونزاهة (تعديل غير مصرح به) وتوافر (خسارة أو تدمير). رابط نقل ملف مُشارَك عن طريق الخطأ على تويتر العام: خرق سرية. برمجيات فدية تُشفّر قاعدة بيانات النقل: خرق توافر. مطّلع داخلي يُعدّل ملفات PDF للفواتير قبل التسليم: خرق نزاهة. الثلاثة تُفعّل تحليل المادة 33.

متى تبدأ ساعة الـ72

تبدأ الساعة حين "يُدرك" المتحكم — حين يتوفر قدر معقول من اليقين بوقوع حادثة أمنية أفضت إلى اختراق. وقت التحقيق قبل الوصول إلى يقين معقول لا يُحسب في الساعة، لكن لا يجوز تأخير التحقيق للتلاعب في الساعة. أصدرت ICO وCNIL كلتاهما غرامات على متحكمين بسبب فجوات تحقيق مفرطة. القاعدة العملية: 24 ساعة من الإشارة الأولى (تنبيه SIEM أو تقرير موظف أو إخطار خارجي) إلى قرار الإدراك. إذا احتجت وقتاً أطول، وثّق السبب. إخطار المعالجين للمتحكمين منفصل — عادةً 24-48 ساعة بموجب اتفاقية معالجة البيانات.

الخروقات التي لا تستلزم إخطاراً

المادة 33(1) تستثني الخروقات المرجّح ألا تنتج مخاطر على الحقوق والحريات. يُقرّر المتحكم ذلك بناءً على تقييم مخاطر. توجيهات EDPB 9/2022 تُقدّم أمثلة: بيانات مشفرة مسروقة حيث التشفير قوي والمفتاح لم يُخترق (لا خطر إفصاح)، وانقطاع توافر لحظي مع استعادة سريعة وبدون تلف للبيانات. خدمة نقل ملفات تستخدم تشفير AES-256-GCM من جانب العميل وفقدت نصاً مشفراً للسرقة لا تملك خرق إفصاح لأن السارق يحتفظ بكتل عديمة الفائدة. وثّق التقييم — الجهات التنظيمية تريد رؤية المنطق لا الخلاصة فحسب.

محتوى إخطار المادة 33(3)

يجب أن يتضمن الإخطار للسلطة الإشرافية: طبيعة الخرق بما فيها فئات وعدد أصحاب البيانات والسجلات المتأثرة تقريباً، واسم ووسيلة تواصل مسؤول حماية البيانات أو جهة اتصال أخرى، والعواقب المرجّحة، والتدابير المتخذة أو المقترحة لمعالجة الخرق وتخفيف آثاره. إذا لم تستوفِ جميع الحقائق خلال 72 ساعة، تُجيز المادة 33(4) الإخطار على مراحل. قدّم إخطاراً أولياً بما لديك، صنّفه مبدئياً، وأكمله بمجرى التحقيق. معظم سلطات حماية البيانات (CNIL وICO وBfDI) تُوفّر بوابات إلكترونية بنماذج هيكلية.

إخطار أصحاب البيانات بموجب المادة 34

حين يكون الخرق مرجّحاً أن ينتج مخاطر عالية على الأفراد، تُلزم المادة 34 بإخطارهم مباشرةً بلغة واضحة وسهلة. الاستثناءات في المادة 34(3): البيانات كانت مشفرة (بما يكفي لجعلها غير مفهومة)، أو التدابير اللاحقة تجعل المخاطرة العالية مستبعدة، أو الإخطار الفردي يستلزم جهداً غير متناسب (يحلّ محله إشعار عام). لتسريب ملفات HR غير مشفرة، الإخطار المباشر إلزامي. لتسريب نص مشفر بمفاتيح سليمة، الإخطار عادةً غير مطلوب — أشر إلى المادة 34(3)(أ).

بناء دليل استجابة للخرق قابل للتطبيق

دليل التشغيل الفعّال يغطي: (1) مصادر الكشف (تنبيهات SIEM وتقارير المستخدمين والإخطارات الخارجية) ومسارات التصعيد؛ (2) قائمة تحقق الفرز لتصنيف الخطورة؛ (3) خطوات الاحتواء (إلغاء المفاتيح وحجب عناوين IP وعزل الأنظمة)؛ (4) الحفاظ على الأدلة (صور الأقراص وتصدير السجلات) للتحليل الجنائي والاستفسارات التنظيمية؛ (5) شجرة قرار الإخطار المرتبطة بمعايير المادة 33؛ (6) قوالب التواصل لسلطة حماية البيانات وأصحاب البيانات والعملاء والعام؛ (7) مراجعة ما بعد الحادثة مع الدروس الموثّقة. راجع الدليل ربعياً واختبره سنوياً بتمرين طاولة.

الأدلة التي ستطلبها جهة تنظيمية

CNIL وICO وBfDI تطرح أسئلة متسقة بعد الخرق: الجدول الزمني للكشف والاستجابة ونطاق البيانات المتأثرة والتدابير التقنية والتنظيمية قبل الخرق والتدابير المتخذة بعده والتواصل مع الأشخاص وما إذا كان بالإمكان منع الخرق. احتفظ بهذه الوثائق: سجلات SIEM حول نافذة الحادثة وسجلات تغييرات الأنظمة المتأثرة وسجلات الوصول التي تُظهر النشاط الشاذ وتوثيق الوضع الأمني (ISO 27001 SoA وتقييم أثر حماية البيانات) وتحليل شامل بعد الوقوع. تفرض الجهات التنظيمية غرامات قاسية حين تجد تسجيلاً ناقصاً — إنه يُشير إلى ضعف أمني عام.

إخطارات المعالج للمتحكم

إذا كانت خدمة نقل الملفات لديك معالجاً، المادة 33(2) تُلزمك بإخطار المتحكم "دون تأخير لا مبرر له" بعد الإدراك. معظم اتفاقيات معالجة البيانات تُحدد 24-48 ساعة. يجب أن يُعطي إخطار المعالج للمتحكم ما يكفيه لتقديم إخطار المادة 33(1) بنفسه: ما الذي حدث ومتى وما نطاقه وفئات البيانات المتأثرة والاستجابة الأولية. المتحكم يقدّم بعدها الإخطار التنظيمي. اتفاقية معالجة بيانات تؤجل إخطار المعالج لما يتجاوز 48 ساعة أو تشترط مطالبة المتحكم قبل الإخطار غير ممتثلة.

تنسيق الخرق عبر الحدود

للمتحكمين متعددي الجنسيات، حدّد السلطة الإشرافية الرائدة بموجب المادة 56 (سلطة المقر الرئيسي). قدّم للرائدة التي تُنسّق مع السلطات المعنية عبر آلية المحطة الواحدة. للمتحكمين غير الأوروبيين بدون مقر في الاتحاد الأوروبي لكن يُقدّمون سلعاً أو خدمات للمقيمين الأوروبيين، قدّم لكل سلطة معنية حيث يقيم الأشخاص المتضررون. يصبح هذا مُعقّداً بسرعة — فكّر في تعيين ممثل بموجب المادة 27 يُمركز الاتصالات. احتفظ بقائمة حالية لسلطات حماية البيانات وبواباتها الإلكترونية للخرق في الدليل.

المعالجة وخطر الغرامات اللاحقة

الإخطار لا يعني الإغلاق. المادة 83(2) تُحدد عوامل الغرامات بما فيها درجة مسؤولية المتحكم والتدابير الوقائية المتخذة والتعاون. المعالجة بعد الخرق — تحسين التشفير وضوابط الوصول ومراجعة تقييم أثر حماية البيانات وتدريب الموظفين — تُخفّض الغرامات مباشرةً. يستشهد توجيه CNIL 2023 بشأن تنفيذ الخرق بأمثلة حيث خُفِّضت الغرامات إلى النصف للمتحكمين الذين أثبتوا معالجة سريعة وشفافية. الخدمات ذات الضوابط المعمارية القوية منذ البداية (تشفير من جانب العميل واحتفاظ قصير واتفاقيات معالجة بيانات موثقة) — نهج HexaTransfer — تُحدّ من سطح الخرق ومن التعرض للغرامات معاً.

جدول امتثال الـ72 ساعة

الساعة 0: استلام إشارة الخرق. الساعة 4: اكتمال الفرز الأولي وتعيين قائد الحادثة. الساعة 12: اكتمال تقييم النطاق واتخاذ قرار أولي بموجب المادة 33. الساعة 24: إخطار المعالجين للمتحكمين (إن انطبق). الساعة 48: مراجعة مسودة إخطار المادة 33 من مسؤول حماية البيانات والجهة القانونية. الساعة 72: تقديم الإخطار للسلطة الرائدة. اليوم 5-7: إرسال إخطارات أصحاب البيانات بموجب المادة 34. اليوم 30: نشر مراجعة ما بعد الحادثة داخلياً. اليوم 90: اكتمال خطة المعالجة وتوثيقها.

قدّم مبكراً وبانتظام واحتفظ بمسار الأوراق نظيفاً. جرّبها على hexatransfer.com — مجاني، بدون حساب، حتى 10 جيجابايت.