فهم المتطلبات التنظيمية للإبلاغ عن اختراق البيانات في أيرلندا

الإخطار للأفراد المتضررين

وتفرض المادة 34 من الناتج المحلي الإجمالي التزاماً ثانياً منفصلاً: إذا كان من المحتمل أن يؤدي الخرق إلى مخاطر كبيرة ] على حقوق وحريات الأشخاص الطبيعيين، يجب على المراقب أن يبلغها إلى موضوع البيانات المتأثرة دون تأخير لا مبرر له، ويجب أن يكون هذا البلاغ بلغة واضحة وواضحة وأن يصف طبيعة الإخلال، والعواقب المحتملة، والتدابير المتخذة أو المقترحة للتصدي له.

ويُقيَّم الخطر الشديد على أساس مدى خطورة الأثر المحتمل، الذي يعتمد على عوامل مثل نوع البيانات المعنية (الفئات الخاصة، والبيانات المالية، وبيانات الموقع)، وسهولة تحديد الهوية، وسياق التجهيز، ووجود ضمانات (مثل التشفير)، ويجب على المتحكم أن يجري تقييما موثقا للمخاطر بالنسبة لكل خرق.

وهناك ثلاثة استثناءات قانونية لا يلزم فيها الاتصال بالأفراد:

1. وقد نفذ المراقب تدابير حماية تقنية وتنظيمية مناسبة، مثل التشفير، مما يجعل البيانات غير قابلة للكشف بالنسبة للأشخاص غير المأذون بهم.
2. وقد اتخذ المراقب تدابير لاحقة تكفل عدم احتمال حدوث الخطر الكبير.
3. وسيشمل ذلك بذل جهود غير متناسبة، وفي هذه الحالات، يجب أن يكون هناك اتصال عام أو تدبير بديل مماثل يسترشد به فعلياً في مواضيع البيانات.

وحتى إذا كان أحد هذه الاستثناءات ينطبق، يجب على المراقب أن يوثق الحجج وأن يكون قادراً، إذا ما طعن في ذلك لاحقاً، على إثبات أن الاستثناء قد استُشهد به على النحو المناسب.

الوثائق وحفظ السجلات

وتقتضي المادة 33(5) من المتحكمين توثيق أي خرق للبيانات الشخصية، بغض النظر عما إذا كان قد أُخطروا ] إلى إدارة الشؤون السياسية. ويجب أن تتضمن الوثائق الوقائع المتعلقة بالخرق وآثاره والإجراءات العلاجية المتخذة، وهذا السجل الداخلي بمثابة دليل على الامتثال ويمكن أن تفحصه إدارة تنسيق السياسات أثناء التحقيق.

وتتوقع إدارة الشؤون السياسية من المنظمات أن تحتفظ بسجل خرق يتضمن على الأقل:

• تاريخ وتوقيت الاكتشاف والإخطار (إن وجد).
• وصف الخرق وفئات البيانات ومواضيع البيانات المعنية.
• تقييم المخاطر والأساس المنطقي لقرار الإخطار أو عدم الإخطار.
• التدابير المتخذة لاحتواء وإصلاحها.
• إجراءات المتابعة لمنع تكرار حدوث ذلك.

ولا تقتصر الوثائق السليمة على شرط قانوني فحسب بل هي أيضا أداة حاسمة لإثبات المساءلة، وفي حالة مراجعة الحسابات أو تقديم شكوى، يمكن أن يؤدي سجل المخالفات المحتفظ به جيدا إلى الحد بدرجة كبيرة من خطر اتخاذ إجراءات الإنفاذ.

معايير تقييم المخاطر

(أ) تحديد ما إذا كان الإخلال يشكل خطراً أو خطراً كبيراً يتطلب تقييماً منظماً وموثقاً، وتوصي المبادئ التوجيهية المتعلقة بمكافحة الفساد بأن تنظر في العوامل التالية:

• Type of breach:] confidentiality, integrity, or availability breach.
• Nature of the personal data:] special categories, criminal convictions data, financial information, identifiers, etc.
• Ease of identification:] whether the data is pseudonymised, anonymised, or in plain text.
• Severity of consequences:] potential for identity theft, fraud, discrimination, reputational damage, financial loss, or physical harm.
• Specific characteristics of the data subjects:] children, vulnerable adults, employees, etc.
• عدد المواد التي تتأثر بالبيانات.]
• وجود تدابير تقنية وتنظيمية تقلل من المخاطر (مثل التشفير القوي مع مفاتيح مخزنة بشكل منفصل).

ويجب إجراء التقييم على أساس كل حالة على حدة، وقد ذكرت إدارة الشؤون السياسية أنها تتوقع من المتحكمين أن يرتكبوا على جانب الحذر: فإذا كان هناك أي شك في أن الانتهاك يحتمل أن يؤدي إلى مخاطر، فينبغي إخطار إدارة الشؤون السياسية، وأن يتم توثيق التعليل الداخلي.

الخطوات المتخذة لضمان الامتثال

ويعد بناء إطار قوي للاستجابة للحوادث أكثر السبل فعالية للوفاء بالموعد النهائي المحدد بـ 72 ساعة واتخاذ قرارات إخطارية قابلة للدفاع، وينبغي للمنظمات أن تنفذ التدابير التالية:

وضع خطة للتصدي للحوادث

وينبغي أن تحدد خطة الاستجابة للحوادث الأدوار والمسؤوليات، وبروتوكولات الاتصالات، ومسارات التصعيد، وعملية تدريجية لتحديد الانتهاكات واحتواءها وتقييمها والإبلاغ عنها، ويجب اختبار الخطة من خلال عمليات منتظمة لمسح الجداول وتحديثها في ضوء الدروس المستفادة.

تعيين موظف لحماية البيانات

وبموجب المادة 37 من الناتج المحلي الإجمالي، يتعين على العديد من المنظمات في أيرلندا تعيين موظف فني مختص، وحتى في الحالات التي لا تكون إلزامية، يؤدي وجود موظف مختص بالخصوصية إلى تحسين قدرة الرد على الانتهاكات، ويعمل مكتب المدعي العام بوصفه نقطة الاتصال بين إدارة عمليات حفظ السلام ومواضيع البيانات ويكفل معالجة الانتهاكات وفقا للمتطلبات القانونية.

توفير التدريب للموظفين

ويجب تدريب الموظفين على الاعتراف بالانتهاكات المحتملة، ومعرفة كيفية الإبلاغ عنها داخليا، وتتصاعد الانتهاكات بسبب تأخر الموظفين في الإبلاغ عن المشكلة أو محاولة إصلاحها بأنفسهم، ويقلل التدريب السنوي، الذي يعززه التحفيز وحملات التوعية، من الوقت اللازم للكشف.

الاحتفاظ بمخزون الأصول

معرفة البيانات الشخصية التي تملكها، حيث تخزن، ومن لديه إمكانية الوصول إليها، أمر أساسي لتقييم نطاق الخرق بسرعة، ويساعد جرد آخر للبيانات على تقدير عدد السجلات المتضررة وتحديد فئات البيانات التي يمكن أن تتعرض للخطر.

تنفيذ الضمانات التقنية

فالتشفير في مكان الراحة وفي المرور العابر، والضوابط القوية على الدخول، والتوثيق المتعدد الأطراف، والتصحيح المنتظم، قد يقلل من احتمال حدوث خرق، ويمكن أن يقلل أيضا من مستوى المخاطر إذا حدث خرق، مثلا إذا تم تشفير البيانات المسروقة بخرفورية قوية ولم يُعرَض مفتاح التشفير للخطر، فإن الخرق قد يعتبر غير محتمل أن يؤدي إلى خطر على الأفراد، مما قد يتجنب الحاجة إلى إبلاغ البيانات.

إجراء مراجعة الحسابات المنتظمة واختبارات التغلغل

ويحدد الاختبار الأمني الاستباقي أوجه الضعف قبل أن يتمكن المهاجمون من استغلالها، كما يولد دليلا على الامتثال للمادة 32 (أمن التجهيز)، التي قد تنظر فيها إدارة تنسيق السياسات أثناء التحقيق، وقد تركز إدارة الشؤون السياسية الأيرلندية بشكل متزايد على المساءلة الاستباقية بدلا من الإنفاذ التفاعلي.

استعراض واستكمال إجراءات الإخطار باختراق

The law and best practices evolved - Organisations should review their breach notification procedures at least annually, or after any significant incident, to incorporate new guidance from the DPC and EDPB, changes in technology, and lessons from enforcement actions.

العقوبات على عدم الامتثال

وينص الناتج المحلي الإجمالي على درجتين من الغرامات الإدارية، حيث إن المستوى الأدنى، الذي يصل إلى 10 ملايين يورو أو 2 في المائة من إجمالي الدوران السنوي (أيهما أعلى)، ينطبق على انتهاكات الالتزامات المتعلقة بالإخطار بالانتهاك (المادتان 33 و34)، من بين أمور أخرى، ويستلزم المستوى الأعلى، الذي يصل إلى 20 مليون يورو أو 4 في المائة من إجمالي الدوران العالمي السنوي، تطبيق مبادئ وحقوق حماية البيانات الأساسية، وفي آيرلندا، فإن لدى إدارة تنسيق البرامج سلطة فرض غرامات مؤقتة.

وقد أظهرت إدارة الشؤون السياسية استعدادها لفرض غرامات كبيرة على حالات فشل الإخطار بالانتهاك، وتبين حالات الإنفاذ الأخيرة أنه حتى لو لم يكن الانتهاك الأساسي خطأ المراقب، فإن عدم الإخطار في الوقت المناسب قد يؤدي إلى فرض عقوبة كبيرة، فعلى سبيل المثال، في عام 2022، فرضت إدارة مكافحة الفساد غرامة على شركة متعددة الجنسيات لإخطارها في وقت غير مناسب بانتهاك وقع في عام 2019، وعكست الغرامة التأخير وعدم وجود إجراءات كافية لإدارة الإخلال.

كما يعرض عدم الامتثال المنظمات للمقاضاة من جانب أشخاص من البيانات قد يلتمسون تعويضاً عن الأضرار المادية أو غير المادية بموجب المادة 82 من الناتج المحلي الإجمالي. وأصبحت الدعاوى القضائية المتعلقة بالفئة المتصلة بانتهاكات البيانات أكثر شيوعاً في أيرلندا، مما يضيف مخاطر مالية وسمعية تتجاوز الغرامة التنظيمية.

التنفيذ والتوجيه مؤخرا

نشر مكتب مكافحة الإرهاب تحديثات منتظمة للأخبار وإجراءات إنفاذ على موقعه على الإنترنت، بعد صفحة إخطارات خرق مكتب مكافحة الإرهاب، يمكن أن تساعد المنظمات على البقاء على علم بآخر التوقعات، بالإضافة إلى أن المبادئ التوجيهية لمكتب خدمات الطوارئ توفر نهجاً متناسقاً في جميع أنحاء الاتحاد الأوروبي، لكن إدارة مكافحة الإرهاب قد تصدر توجيهاتها التكميلية الخاصة بشأن قطاعات محددة أو بشأن تفسير المخاطر العالية في السياق الأيرلندي.

ومن الجدير بالذكر أن إدارة الشؤون السياسية قد أكدت أهمية " مواعيد الإشعار " ، بل إن تأخير ساعات قليلة بعد 72 ساعة، دون سبب وجيه، يمكن أن يؤدي إلى الإنفاذ، كما تتوقع إدارة الشؤون السياسية أن يتم الإخطار الأولي، حتى وإن لم يكن كاملا، في أقرب وقت ممكن وأن تقدم المعلومات المطلوبة على مراحل بدلا من انتظار إجراء تحقيق كامل قبل الاتصال بلجنة مكافحة الإرهاب.