📌 > - إخطار التسريب يتضمن بنودًا محددة بموجب القانون. يجب أن يحدد ما وما هو مقدار التسريب ومتى، بالإضافة إلى قناة استقبال الإخطارات، وإلا يمكن المطالبة بذلك. > - "الإبلاغ" نوعان. الإبلاغ الذي يقدمه صاحب العمل إلى لجنة حماية المستهلك، والإبلاغ الذي يقدمه الضحية إلى مركز بلاغات انتهاكات الخصوصية هما إجراءان مختلفان. > - لا تنتهي الأمر بالإبلاغ فقط. يجب أن تتضمن طلبات الحذف ووقف المعالجة حتى تتوقف الرسائل النصية فعليًا.
جدول المحتويات 1. سؤال بدأ برسالة نصية 2. ثلاثة أشياء مفقودة في الإخطار 3. التمييز بين نوعين من "الإبلاغ" 4. كيف انتقلت القائمة؟ 5. اختيار ما يكتب في نموذج الإبلاغ 6. سبب تضمين الحذف ووقف المعالجة معًا 7. الرد الذي وصل بعد أربعة أسابيع 8. ماذا تفعل إذا تلقيت إخطارًا بتسريب معلومات شخصية
أنا وكيل إداري يقع مكتبه في منطقة يونسو، إنشيون. أقدم هنا قصة من بين القصص التي واجهتها أثناء العمل.
استقبلت استفسارات تتعلق بالمعلومات الشخصية في السابق بشكل رئيسي من مسؤولي الشركات. الآن الوضع معكوس. أصبح من الشائع جدًا أن يسأل الأفراد المتضررين "إلى أين وكيف يجب عليّ الإبلاغ عن هذا؟". هذا التأثير ناتج عن التغييرات في النظام، ولكن أيضًا بسبب أن الناس بدأوا يشعرون بمدى تسرب معلوماتهم.
بدأ الأمر أيضًا بهذه القصة. كانت رسالة نصية قصيرة.
1. سؤال بدأ برسالة نصية كانت الموكلة امرأة في أوائل الثلاثينيات من عمرها تربي طفلين في سن المدرسة الابتدائية. كان الاتصال الأولي عبر البريد الإلكتروني، مع أربع لقطات شاشة مرفقة.
ثلاث من اللقطات الأربع كانت رسائل إعلانية. دروس خصوصية، ومعسكر إنجليزي، وإعلان عن ورشة عمل لمدرسة لم يسبق لها أن سمعت بها. كانت كل رسالة تستخدم اسم طفلها بدقة. لم تكن "أمي السيدة ○○" بل "أمي السيدة ○○، الصف الثالث" وحتى الصف الدراسي كان صحيحًا.
كانت اللقطة المتبقية هي الوثيقة المثيرة للمشاكل. كانت رسالة إخطار أرسلها مركز تدريس محلي أغلق أبوابه قبل أربعة أشهر. كان هناك سطر واحد ملحقًا بفقرتين تعلن عن إغلاق. ذكرت أن هناك دليلًا على تسريب معلومات الأعضاء إلى الخارج.
هذا السطر كان كل شيء.
قالت إنها تجاهلت الإخطار في البداية. كان إغلاق مركز التدريس هو ما لفت انتباهها أولاً، والسطر السفلي بدا وكأنه صيغة رسمية. ومع ذلك، بعد حوالي شهرين، بدأت الرسائل في الوصول. في البداية، كانت رسالة واحدة كل شهر أو شهرين، ولكن مؤخرًا، وصل أربعة إلى خمس رسائل في الأسبوع.
لقد اتخذت إجراءات بنفسها. اتصلت بالرقم المذكور في الرسالة النصية وسألت من أين عرفوا رقمها. أجاب وكيل الدعم ببساطة "من خلال الشركاء" ولم يذكر أي من الشركاء. ضغطت على رفض الاستقبال، لكنها وصلت من رقم آخر. وفي هذه الأثناء، زادت الرسائل التي تحتوي على اسم طفلها.
هذا ما كتبته في نهاية بريدها الإلكتروني: "أنا قلقة لأن رقمي قد تم تسريبه، لكنني قلقة بشكل خاص لأن اسم طفلي وعمره الدراسي لا يزالان منتشرين."
2. ثلاثة أشياء مفقودة في الإخطار تم تحديد موعد استشارة في يوم الجمعة من الأسبوع التالي. قبل ذلك، راجعت الإخطار.
ينص "قانون حماية المعلومات الشخصية" على أن يجب على معالج المعلومات إخطار صاحب المعلومات عند حدوث تسريب للمعلومات الشخصية. كما أنه يحدد في القانون العناصر التي يجب تضمينها في هذا الإخطار. العناصر المتسربة، وتوقيت التسريب وكيفية حدوثه، والطرق التي يمكن لصاحب المعلومات من خلالها تقليل الضرر، وإجراءات رد فعل المعالج وإجراءات إنقاذ الضحية، وإدارة الاتصال وجهات الاتصال للإبلاغ عن الضرر واستشارته.
كانت ثلاثة من هذه العناصر مفقودة في الإخطار الذي تلقت الموكلة. ما الذي تم تسريبه، ومتى وكيف تم تسريبه، وأين يجب الإبلاغ؟
هذا التحقق مهم لأنه نقطة البداية لجميع المستندات التي سأستخدمها لاحقًا. اعتمادًا على ما إذا كانت العناصر المتسربة هي الاسم ورقم الهاتف فقط، أم العنوان والمدرسة أيضًا، يختلف محتوى الإبلاغ. بدون معرفة توقيت التسريب، لا يمكن ربط الرسائل التي وصلت لاحقًا.
لذلك، تم تحديد المستند الأول على أنه طلب استكمال الإخطار. هذا مستند قصير ورسمي يطلب ملء العناصر المفقودة. يتضمن المادة القانونية ذات الصلة، ويعدد العناصر المفقودة بأرقام، ويحدد الموعد النهائي للرد.
هناك سبب عملي وراء إرسال هذا المستند أولاً. عندما يرد صاحب العمل، يتم تسجيل تفاصيل كيفية حدوث التسريب بكلماته. إذا لم يرد، فإن حقيقة عدم الرد نفسها تسجل كدليل. يمكن استخدام أي من هاتين النتيجتين في الخطوة التالية.
3. التمييز بين نوعَي "الإبلاغ" في الاستشارة التي جرت يوم الجمعة، كان أول ما تم تسويته هو كلمة "الإبلاغ".
المعلومات التي بحث عنها ذلك الشخص على الإنترنت كانت مختلطة. بعض المقالات قالت عليه أن يقدم شكوى إلى لجنة حماية المعلومات الشخصية، وبعضها الآخر قالت عليه أن يذهب إلى مركز الإبلاغ عن انتهاكات الخصوصية. وبعضها الآخر قالت عليه أن يتقدم بطلب تسوية نزاع. كان هناك ارتباك حول ما إذا كانت هذه الأشياء الثلاثة هي نفسها أم مختلفة.
إنها إجراءات مختلفة. إذا تم ترتيبها بالترتيب، فهي كالتالي:
- التقرير الذي يقدمه صاحب العمل: في حالة تجاوز التسرب حجمًا معينًا أو احتواء معلومات شخصية حساسة أو معلومات تعريفية فريدة، يكون لدى معالج البيانات الشخصية التزام بالإبلاغ إلى لجنة حماية المعلومات الشخصية أو مؤسسة متخصصة. هذا التزام من صاحب العمل وليس إجراءً يقوم به الضحية.
- الشكوى التي يقدمها الضحية: إذا اعتقد أن حقوقه أو مصالحه المتعلقة بمعلوماته الشخصية قد انتهكت، فيمكنه تقديم شكوى إلى مركز الإبلاغ عن انتهاكات الخصوصية. تؤدي القضايا المستلمة إلى التحقيق والتوصية بالتصحيح، وإذا لزم الأمر، إلى الإجراءات.
- تسوية النزاع: إنها إجراء لتسوية الخلافات بين الأطراف، مثل المطالبة بالتعويض عن الأضرار. الطرف الآخر هو "شخص" صاحب عمل، وإذا كان النزاع يدور حول أموال، فإن الأمر ينتقل إلى هذا المجال.
كتابة وتقديم نماذج الإبلاغ والشكاوى إلى السلطات الإدارية هو عملنا. كان الغرض من هذه القضية هو إيقاف النصوص والقضاء على القوائم، لذلك كان ينتمي إلى الفئة الأولى.
سألته مرة أخرى عن هدفه. كان الجواب واضحًا. لم يكن يريد المال، بل أراد أن تختفي القائمة التي تحمل اسم طفله.
عندما يكون الهدف واضحًا، تكون المستندات واضحة أيضًا.
4. كيف انتقلت القائمة؟ في يوم الثلاثاء من الأسبوع التالي، ورد رد من جانب صاحب العمل. كان أسرع من المتوقع.
كان بريدًا إلكترونيًا قصيرًا أرسله الشخص الذي كان يتولى إدارة الأكاديمية أثناء الإغلاق. كان المحتوى كالتالي: أثناء عملية التخلص من الأكاديمية، تم ترك الحساب المستخدم لإدارة الطلاب دون تغيير، وهناك دليل على أن الموظف السابق الذي لديه حق الوصول إلى هذا الحساب قام بتنزيل القائمة ونقلها إلى مكان آخر. العناصر المتسربة هي اسم الطالب، والصف الدراسي، واسم الوصي، ورقم هاتف الوصي. يُعتقد أن الوقت كان بين أسبوعين قبل الإغلاق.
هناك شيء لفت انتباهي. بصرف النظر عن حقيقة أن الأكاديمية قد أغلقت، يجب التخلص من المعلومات الشخصية دون تأخير بعد انتهاء فترة الاحتفاظ بها أو تحقيق الغرض من المعالجة. من حيث المبدأ، لا يوجد سبب للاحتفاظ بمعلومات الطلاب بعد إغلاق الأكاديمية. ومع ذلك، ظلت القائمة في البرنامج.
بعبارة أخرى، كانت هناك طبقتان في هذه القضية. واحدة هي التسرب الذي قام به شخص غير مصرح له بأخذ القائمة، والأخرى هي مشكلة إدارة المعلومات التي كان يجب التخلص منها. قررنا أن نكتب هذين الجانبين بشكل منفصل في نموذج الإبلاغ. إذا كتبناها معًا، فسيتم قراءتها فقط على أنها "حادثة سرقة من قبل الموظف"، مما يمنح صاحب العمل فرصة للتهرب من مسؤولية الإدارة.
كما أصبح بريد الإرسال هذا نفسه مادة مهمة. كانت مكتوبة فيه تفاصيل التسرب، والعناصر، والوقت، من كلام صاحب العمل. هذا يكشف سبب إرسالنا طلبًا إضافيًا للإخطار أولاً.
5. اختيار ما يكتب في نموذج الإبلاغ الجزء الأكثر استهلاكًا للوقت في كتابة نموذج الإبلاغ لم يكن تلميع الجمل، بل اختيار ما يجب حذفه.
كان لديه الكثير لقوله. كان يتحدث عن مدى إزعاج النصوص، وإلى أي مدى كان يشعر بخيبة أمل من الأكاديمية، وماذا قال طفله عندما رأى النص الذي يحمل اسمه. كل هذا كان صحيحًا، ولكن إذا تم تضمين كل شيء في نموذج الإبلاغ، فسيتم تشويه الصورة العامة للقضية. ما يجب على الجانب الذي يقوم بالتحقيق أن يراه هو الحقائق وليس المشاعر.
لذلك، قمنا بتنظيمها في ثلاثة مجالات:
أولاً، ما الذي تسرب، ومتى، وكيف؟ قمنا بنقل العناصر والوقت والظروف المذكورة في رد صاحب العمل، وقمنا بإرفاق البريد الإلكتروني كمادة.
ثانيًا، ما هي الالتزامات التي لم يتم الوفاء بها؟ قمنا بتدوين كل من عدم وجود عناصر الإخطار القانوني، وعدم التخلص من المعلومات بعد الإغلاق، وعدم إجراء إدارة الوصول، بشكل منفصل. كان من الممكن وصف كل عنصر ببضعة أسطر فقط.
ثالثًا، هل ظهرت نتائج التسرب بالفعل؟ كان هذا هو الجزء الأكثر قوة في هذه القضية. حقيقة أن رسائل إعلانية دقيقة تحمل اسم الطفل والصف الدراسي جاءت من عدة شركات، تُظهر أن القائمة لم تنتشر في مكان واحد، بل انتشرت في أماكن متعددة. قمنا بإنشاء جدول زمني بالرسائل التي تلقاها، بناءً على رقم التعريف الدولي للمرسل وتاريخ الاستلام. كان هناك اثنان وعشرون رسالة على مدار ثمانية أشهر.
عندما يتم إنشاؤه في شكل جدول، يتغير الطابع. "تلقي رسائل متواصلة" يصبح "اثنان وعشرون رسالة من ثماني شركات على مدار ثمانية أشهر".
هنا، أحدث ذلك الشخص بعض الارتباك الصغير. أثناء تنظيم المواد، قام عن طريق الخطأ بحذف ثلاث رسائل. عندما تلقينا مكالمة هاتفية، كان صوته متوترًا للغاية. لحسن الحظ، كانت لا تزال موجودة في وظيفة تخزين الرسائل في شركة الاتصالات، لذلك تمكنا من استعادتها. بعد ذلك، بدأ في التقاط لقطات شاشة لكل رسالة جديدة وتخزينها بشكل منفصل.
٦. سبب الجمع بين الحذف ووقف المعالجة هل ستتوقف الرسائل بمجرد تقديم الطلب؟ لا.
التقديم يؤدي إلى التحقيق والتصحيح، لكنه يستغرق وقتاً. في هذه الأثناء، لا تزال القوائم موجودة في أنظمة الإرسال الخاصة بالشركات. لذلك، بالإضافة إلى التقديم، قررنا مطالبة الشركات التي أرسلت الرسائل باتخاذ إجراءين معاً.
تنص "قانون حماية البيانات الشخصية" على أن صاحب الحق في البيانات الشخصية لديه الحق في طلب الاطلاع على بياناته الشخصية وتصحيحها وحذفها ووقف معالجتها. يمكن استخدام هذا الحق ليس فقط في المكان الذي تم فيه تقديم المعلومات الأصلية، ولكن أيضاً في المكان الذي يمتلكه ويعالجه حالياً.
- طلب الاطلاع: للتحقق من العناصر التي تحتوي عليها شركتي، ومن أين حصلت عليها.
- طلب الحذف: للمطالبة بالحذف إذا لم يكن هناك أساس للاحتفاظ بها.
- طلب وقف المعالجة: للمطالبة بوقف الإرسال حتى قبل الحذف.
هناك سبب لترتيب الأمور بهذه الطريقة. إذا طُلب الحذف فقط، فإن الشركة تستغرق وقتاً في قول "قيد المراجعة" بينما الرسائل تستمر في المجيء. عند إضافة وقف المعالجة، يتم توفير أساس لوقف الإرسال خلال تلك الفترة. عندما يسبق طلب الاطلاع، تضطر الشركة للإجابة عن مكان استلامها للقائمة، وهذا الجواب يصبح خيطاً لتتبع مسار التوزيع.
تم إرسال طلبات مماثلة إلى ثماني شركات، مع التأكد من وجود أرقام هواتف المرسلة في ست منها. كان المحتوى متماثلاً، مع اختلاف أسماء الشركات وسجل الرسائل المستلمة. أما الشركتان المتبقيتان، فقد كان أرقام هواتف المرسلة أرقام وكالات إرسال عبر الإنترنت، مما يجعل تحديد صاحب العمل أمراً صعباً، وقد تم تسجيل هذه الحقيقة في الطلب.
تم أيضاً تقديم إشعار إضافي. هذه الطلبات لها مواعيد نهائية للرد، وإذا لم يتم الرد عليها أو تم رفضها، فيجب تقديم سبب لذلك. لذلك، طلبنا منهم عدم التخلص من الردود وتجميعها. أي مكان لم يستجب يعتبر دليلاً إضافياً.
٧. الردود التي وصلت بعد ثمانية أسابيع أول اتصال ورد بعد تقديم الطلب كان سؤالاً للتحقق من الحقائق. طُلب تزويدنا بالفترة الزمنية التي تم فيها استلام الرسائل وعدد الشركات والنسخة الأصلية لرسالة البريد الإلكتروني الخاصة بالرد من الشركة. بفضل تنظيمها في جدول، تمكنا من الرد في فترة ما بعد الظهر من ذلك اليوم.
كانت ردود أفعال الشركات متباينة. أبلغت أربع من الشركات الست بأنه تم إتمام الحذف. ذكر اثنان منهم مكان استلامهم للقائمة أيضاً، وكلاهما يشير إلى نفس الوسيط. أجابت شركة واحدة فقط "تم التزويد بشكل قانوني من قبل شريك". لم يرد المكان الأخير.
تم تقديم حقيقة ظهور نفس الوسيط مرتين كدليل إضافي. أظهرت أن القائمة لم يتم الحصول عليها من قبل أماكن مختلفة، بل انتشرت عبر مكان واحد.
تقلصت الرسائل بشكل ملحوظ بعد مرور ستة أسابيع من التقديم. لم تتوقف تماماً. توقفت رسائل الشركات التي استجابت لطلب وقف المعالجة، بينما لم يرد المكان الذي لم يرد عليه. تم إرسال طلب آخر بشكل منفصل إلى هذا المكان.
تبقى قول أحد المتحدثين في آخر مكالمة. قال إن الرسائل لم تختف تماماً، لكنه الآن أقل خوفاً عندما تصل رسالة، لأنه يعرف ماذا يفعل. التقاط صورة، وتسجيل التاريخ، وإرسال الطلب.
نتائج الإجراءات الإدارية ليست دائماً نظيفة. ومع ذلك، فإن الفرق بين معرفة ما حدث وما يمكنك فعله بعد ذلك هو كبير.
٨. إذا تلقيت إشعاراً بتسرب البيانات الشخصية ① تحقق أولاً مما إذا كانت جميع العناصر القانونية موجودة في الإشعار. يجب أن يتضمن العناصر المتسربة، والتوقيت والظروف، وإجراءات المعالج، وإجراءات التعويض عن الأضرار، وقنوات الإبلاغ والاستشارة. إذا كان هناك أي عناصر مفقودة، يمكنك المطالبة بإكمالها، وهذا الرد سيصبح دليلاً مستقبلياً.
② ميّز بين "التقديم" و"التقديم". التقديم الذي يقدمه صاحب العمل إلى لجنة حماية المستهلك، والتقديم الذي يقدمه الضحية إلى مركز الإبلاغ عن انتهاكات البيانات الشخصية هما إجراءان مختلفان. النزاعات المالية مثل التعويض عن الأضرار تقع ضمن نطاق التسوية القضائية أو الدعاوى القضائية.
③ قم بتنظيم الحقائق بناءً على جدول وليس بناءً على المشاعر. إنشاء قائمة بأرقام هواتف المرسلة، وتواريخ الاستلام، وعناصر البيانات الشخصية الواردة في الرسائل سيحول "إزعاج" إلى "ثمانية موردين في ثمانية أشهر".
④ قم بتضمين طلبات الاطلاع والحذف ووقف المعالجة مع التقديم. التقديم وحده لا يوقف القوائم المنتشرة بالفعل على الفور. كتابة الثلاثة معاً يوفر أساساً لوقف الإرسال خلال فترة التحقيق.
⑤ لا تتخلص من الردود، بل اجمعها. حقيقة عدم الاستجابة، وحقيقة عدم القدرة على تقديم دليل هي أيضاً أدلة.
⑥ حتى لو كانت الشركة قد توقفت عن العمل، فإن مسؤوليتها لا تختفي. يجب التخلص من البيانات بشكل فوري عند انتهاء الغرض من المعالجة، وهذا المبدأ ينطبق حتى بعد التوقف عن العمل.
قد تختلف الإجراءات والجهات التي يجب الإبلاغ إليها اعتماداً على حجم التسرب أو العناصر المتضمنة، وقد تختلف أحكام المؤسسات حسب القضية. من الضروري التحقق من ذلك مع الجهة المعنية قبل التقديم.
تم إعادة بناء هذا المقال بناءً على أمثلة استشارية حقيقية، والشخصيات والأسماء التجارية والمواقع ليست مرتبطة بأي فرد أو حدث معين.
