اختراق البيانات الشخصية | تسريب «الملفات التعريفية للحياة» لنحو 430 ألف شخص من ديو (Duo)، هل يتغير هيكل مخاطر مسؤولية الشركات؟

كما بقيت نحو 300 ألف معلومة محفوظة رغم وجوب إتلافها بعد انتهاء العقود، وتسربت هذه المعلومات أيضا.

يجمع قطاع خدمات التوفيق للزواج معلومات متنوعة لإجراء المطابقة بين الأعضاء، نظرا إلى طبيعة خدماته.

وعلى خلاف الخدمات الإلكترونية المعتادة، تستخدم فيه معلومات تتجاوز التحقق من الهوية لتشمل البيئة المعيشية للفرد وقيمه الشخصية.

تنص المادة 29 من قانون حماية البيانات الشخصية على وجوب اتخاذ معالج البيانات الشخصية تدابير حماية تقنية وإدارية لمنع تسريب البيانات الشخصية.

وتشمل هذه التدابير إدارة صلاحيات الوصول، وإعداد إجراءات المصادقة، وتطبيق التشفير.

وتأكد في هذه الحادثة عدم تحديد حد لعدد محاولات المصادقة الفاشلة عند تسجيل الدخول، فضلا عن قصور التحكم في الوصول إلى قاعدة البيانات.

كما تبين عدم كفاية مستوى التشفير المطبق على كلمات المرور وأرقام تسجيل المقيمين.

تنص المادة 34 من قانون حماية البيانات الشخصية على وجوب إخطار الشركة لأصحاب البيانات عند تسريب بياناتهم الشخصية، وإبلاغ الجهة الرقابية خلال 72 ساعة إذا تجاوز التسريب حدا معينا.

غير أنه تأكد في هذه الحادثة عدم تقديم البلاغ خلال المدة المحددة رغم العلم بوقوع التسريب، كما تأخر إخطار أصحاب البيانات.

تحظر المادة 24-2 من قانون حماية البيانات الشخصية، من حيث المبدأ، جمع أرقام تسجيل المقيمين ومعالجتها، ولا تجيز ذلك استثناء إلا عند وجود أساس صريح في القانون.

وأشير إلى أن جمع هذه المعلومات وحفظها في مجال الوساطة للزواج يشكل مشكلة، لعدم وجود أساس قانوني واضح لجمع أرقام تسجيل المقيمين.

ويوضح ذلك أن جميع البيانات قد تتحول إلى مصدر لمخاطر قانونية إذا لم تنفذ إجراءات الإتلاف فعليا، بصرف النظر عن تحديد مدة الاحتفاظ بها.

تفرض في البداية جزاءات إدارية، مثل الغرامات المالية عن المخالفات الإدارية والغرامات الإدارية، ثم يتبعها عادة تقديم مطالبات بالتعويض عن الضرر. ومع اقتران ذلك بالإضرار بصورة الشركة وفقدان العملاء، يتسع الحجم الفعلي للخسائر.

قد تتسع المخاطر بعد المرحلة 2 بسرعة، لا سيما عندما تشمل البيانات الحساسة وبيانات الملفات التعريفية كما في هذه الحادثة.

وقد يؤثر التأخر في الإخطار بالتسريب أو ثبوت قصور نظام الإدارة الداخلي في نطاق المسؤولية المدنية، فضلا عن مقدار الغرامة المالية عن المخالفة الإدارية.

وبناء عليه، ينبغي فهم حوادث اختراق البيانات الشخصية باعتبارها ذات بنية تنشأ فيها المخاطر الإدارية والمدنية والتجارية بصورة متتابعة.

تتميز حوادث اختراق البيانات الشخصية بأن نطاق مسؤولية الشركة يتغير بحسب مدى إنشاء نظام الإدارة الوقائي قبل وقوع الحادث، أكثر من تغيره بحسب الاستجابة اللاحقة.

كما قد تنشأ الجزاءات الإدارية، والتعويض عن الضرر، ومخاطر السمعة في الوقت نفسه عند وقوع التسريب، مما يستلزم مراجعة قانونية شاملة.

تقدم شركة دايريون للمحاماة استشارات قانونية عملية بشأن بنية معالجة البيانات الشخصية في الشركات بأكملها، استنادا إلى خبرتها في حماية البيانات الشخصية، والامتثال المتعلق بالبيانات، والاستجابة لمنازعات الشركات.