الإبلاغ عن خروقات البيانات وفق GDPR: متى يجب الإبلاغ خلال 72 ساعة

خرق البيانات الشخصية هو خرق أمني يؤدي إلى الإتلاف أو الفقدان أو التعديل العرضي أو غير المشروع للبيانات الشخصية، أو الإفصاح غير المصرح به عنها أو الوصول إليها. ويشمل ذلك رسالة بريد إلكتروني أُرسلت إلى الشخص الخطأ بقدر ما يشمل الهجوم السيبراني.

أبلغ السلطة خلال 72 ساعة، ما لم يكن من غير المرجح أن يسبب الخرق خطرًا

تُلزم المادة 33 المتحكم بإخطار السلطة الرقابية دون تأخير غير مبرر، وخلال 72 ساعة من علمه بالخرق متى أمكن ذلك، ما لم يكن من غير المرجح أن يترتب عليه خطر على حقوق الأفراد وحرياتهم. وإذا تأخرت في الإخطار، فعليك تبرير التأخير.

يجب على المعالجين إخطار المتحكم دون تأخير غير مبرر بعد علمهم بالخرق (المادة 33(2)).

ما يتضمنه الإخطار

إذا لم تتوفر لديك جميع المعلومات بعد، يجوز لك تقديمها على مراحل (المادة 33(4)).

• طبيعة الخرق، بما في ذلك فئات الأفراد والسجلات المعنية وعددها التقريبي؛
• اسم مسؤول حماية البيانات أو نقطة الاتصال الأخرى وبيانات الاتصال به؛
• العواقب المحتملة للخرق؛
• التدابير المتخذة أو المقترحة لمعالجته والتخفيف من آثاره.

أبلغ الأفراد عندما يكون الخطر مرتفعًا

إذا كان من المرجح أن يؤدي الخرق إلى خطر مرتفع على الأفراد، فيجب عليك أيضًا إبلاغهم دون تأخير غير مبرر، بلغة واضحة وبسيطة (المادة 34). ولا يلزم ذلك إذا كانت البيانات مشفّرة وغير مفهومة للمتلقي، أو إذا أزالت التدابير اللاحقة الخطر المرتفع، أو إذا كان الإبلاغ الفردي يتطلب جهدًا غير متناسب، وفي هذه الحالة يُستعاض عنه بإعلان عام.

سجّل كل خرق

تُلزمك المادة 33(5) بتوثيق كل خرق، بما في ذلك الخروقات التي تقرر عدم الإبلاغ عنها: الوقائع والآثار والإجراءات التصحيحية. ويُثبت السجل للسلطة أنك قيّمت كل حالة.

في إستونيا، يتم الإبلاغ عن الخروقات إلى هيئة حماية البيانات (AKI). وتتضمن عُدّة GDPR الخاصة بنا إجراءً للتعامل مع الخروقات بمهلة الـ 72 ساعة، ونموذج إخطار، وسجلًا للخروقات.