Compliance · · 3 min read
المجلس الأوروبي لحماية البيانات يقترح نموذجاً موحداً على مستوى الاتحاد الأوروبي للإبلاغ عن خروقات البيانات
من شأن نموذج أوروبي مشترك أن يوحّد الطريقة التي تُبلّغ بها المؤسسات عن خروقات البيانات الشخصية، فيما لا يزال الجدول الزمني لتطبيقه غير محسوم بعد انتهاء المشاورة.
وافق المجلس الأوروبي لحماية البيانات على الإصدار 1.0 من نموذج مشترك للإبلاغ عن خروقات البيانات الشخصية. والمقترح مطروح للتشاور العام حتى 5 أغسطس 2026، وبعد ذلك يُتوقع أن يقرر المجلس الأوروبي لحماية البيانات متى ستبدأ سلطات الرقابة الوطنية في استخدامه عملياً، وفقاً لـ Aisa International.
تهدف المبادرة إلى استبدال صيغ الإبلاغ المختلفة التي تستخدمها سلطات حماية البيانات في الدول الأعضاء في الاتحاد الأوروبي. فقد واجهت المؤسسات حتى الآن هياكل ومتطلبات متباينة عند الإخطار بالخروقات، بما في ذلك عند التعامل مع مكتب التشيك لحماية البيانات الشخصية. ومن شأن نموذج مشترك أن يمنح المتحكمين إطاراً واحداً لعرض تفاصيل الحادث.
النموذج شامل. فهو يطلب من المؤسسات وصف ما حدث، ومتى حدث، ومن تأثر به، وكيف جرى تقييم المخاطر، وما الخطوات التي اتُّخذت استجابة لذلك. ويتمثل الهدف المعلن في جعل العملية أكثر اتساقاً وأسهل في التعامل معها، ولا سيما بالنسبة إلى المؤسسات الأصغر التي قد لا تملك فرقاً قانونية متخصصة. وفي الوقت نفسه، يعني مستوى التفاصيل المطلوب أن الشركات ستحتاج إلى سجلات موثوقة للحوادث وإمكانية سريعة للوصول إلى المعلومات التقنية والقانونية.
ما الذي يغطيه النموذج المقترح
تنقسم الوثيقة إلى سبعة مجالات عامة. ويتعلق الأول بحالة الإرسال: إذ يجب على المؤسسة أن تحدد ما إذا كانت تقدم بلاغاً أولياً، أو تحدّث بلاغاً سابقاً، أو تسحب إخطاراً سابقاً.
ويسجل القسم الثاني هوية المؤسسة ودورها. ويشمل القطاع الاقتصادي المعني، باستخدام تصنيفات من A إلى V، فضلاً عن نوع المؤسسة المعنية. كما يطلب النموذج من المتحكمين تحديد المعالجين وأي متحكمين مشتركين مرتبطين بالحادث.
ويطلب قسم التسلسل الزمني تاريخ ووقت وقوع الخرق واكتشافه. وإذا قُدم الإخطار بعد فترة الـ72 ساعة القانونية، فيجب على المؤسسة أن تشرح سبب التأخير. وهذا يجعل جودة تسجيل الحوادث داخلياً مهمة على نحو خاص، لأن مهلة الإبلاغ تعتمد على توقيت الاكتشاف وتقييم المؤسسة لالتزاماتها.
ثم يطلب النموذج المقترح من المؤسسات تصنيف طبيعة الخرق. فعليها أن تبيّن ما إذا كانت السرية أو السلامة أو الإتاحة قد تعرضت للخطر، وأن تحدد ما إذا كان الفاعل الخبيث داخلياً أو خارجياً، حيثما كان ذلك معلوماً.
ويركز جزء آخر على الأشخاص والمعلومات المتأثرة. فعلى المؤسسات تحديد الفئات المعنية من أصحاب البيانات، مثل الموظفين أو العملاء أو الأطفال أو الأشخاص المستضعفين، وتقديم عدد السجلات المعنية. وعندما لا تكون الأرقام مؤكدة بعد، يتيح النموذج تقديم بلاغ أولي يستند إلى تقديرات. ويمكن لاحقاً تعديل ذلك البلاغ من خلال إخطار لاحق.
الأدلة والمخاطر والحوادث العابرة للحدود
يشترط قسم تقييم المخاطر تقديم شرح لكيفية تقدير المؤسسة للآثار المحتملة على الأفراد. كما يطلب معلومات عن وسائل الحماية القائمة بالفعل، بما في ذلك تدابير مثل التشفير والمصادقة متعددة العوامل.
ويتناول المجال الأخير الحوادث التي تشمل أكثر من دولة واحدة في المنطقة الاقتصادية الأوروبية، فضلاً عن الوثائق الداعمة. وتشمل الأمثلة التي حددتها Aisa International تقييمات المخاطر، والرسائل المرسلة إلى الأفراد المتأثرين، ورسائل التصيد الاحتيالي، ومذكرات برامج الفدية. وتعني هذه المتطلبات أن الإخطار لا يقتصر على وصف موجز للحدث؛ فقد تتوقع السلطات أيضاً مواد تُظهر كيف حققت المؤسسة فيه واستجابت له.
وقد تظل المسؤولية على عاتق متحكم البيانات حتى عندما يقع الخرق لدى مقدم خدمة خارجي. ويعكس اشتراط النموذج المقترح تسجيل المعالجين والمتحكمين المشتركين هذا التوزيع للأدوار. ولا يمكن لشركة أن تفترض أن إسناد معالجة البيانات إلى جهة خارجية يعفيها من واجباتها الخاصة بالإبلاغ.
ويقر النموذج أيضاً بأن المتحكم قد لا يعرف العدد الدقيق للأشخاص المتأثرين خلال 72 ساعة. ويمكن تقديم إخطار غير مكتمل باستخدام التقديرات المتاحة، يتبعه تقديم معلومات إضافية بمجرد أن يسفر التحقيق عن أرقام أكثر ثباتاً. ويوفر ذلك مساراً للمؤسسات للوفاء بالمهلة الأولية من دون انتظار استكمال كل الحقائق.
لا يوجد موعد للتطبيق بعد
الموعد النهائي للمشاورة هو 5 أغسطس 2026. وإلى أن يحدد المجلس الأوروبي لحماية البيانات الخطوات التالية، لا تحدد المقالة موعداً نهائياً يصبح فيه النموذج المشترك إلزامياً على السلطات الوطنية أو المؤسسات. ولذلك يتاح للشركات وقت لدراسة كيفية تسجيل إجراءات الاستجابة للخروقات لديها للمعلومات التي يطلبها النموذج المقترح.
وتقول Aisa International إنها لا تستكمل إخطارات الخروقات للعملاء، ولا تحتفظ بسجلات يدوية للبيانات المسربة، ولا تطابق تقارير معاملات أمناء الحفظ. وتصف الشركة دورها بأنه الإشراف الاستراتيجي على الامتثال، وتقول إن التحقيق التقني والإبلاغ ينبغي أن يتولاهما مستشارون متخصصون في أمن المعلومات والشؤون القانونية.
ويعرض الناشر النموذج المقترح باعتباره جزءاً من تحول أوسع نحو رقابة أكثر تنظيماً على المخاطر الرقمية. وبالنسبة إلى المؤسسات، يتمثل الأثر العملي في أن الاستعداد للخروقات لا يمكن أن يعتمد حصراً على عمل مرتجل أثناء الأزمة. فقد تكون هناك حاجة إلى جداول زمنية دقيقة، ومسؤولية واضحة عن المعالجين، وتقييمات مخاطر موثقة، وأدلة محفوظة، إذا مضى نهج الإبلاغ المشترك قدماً.
وتذكر مقالة Aisa International أن معلوماتها عامة وليست مشورة مخصصة، وتحذر من أن القوانين قد تتغير. وتوصي بالتماس إرشادات حديثة من مستشارين مؤهلين ومصادر حكومية رسمية قبل الاعتماد على المقترح في حالة محددة.