ما المقصود بخرق البيانات الشخصية وفق القانون المصري؟
خرق البيانات الشخصية هو كل وصول غير مشروع إلى بياناتك الشخصية أو الإفصاح عنها أو تعديلها أو إتلافها دون إذن مسبق. وقد ينجم ذلك عن هجوم إلكتروني، أو خطأ بشري من أحد الموظفين، أو عطل تقني لدى الجهة المتحكمة في بياناتك.
ومن أبرز الأمثلة ذات الصلة بالمقيمين الأجانب في مصر:
- اختراق قاعدة بيانات عملاء أحد البنوك بما يكشف تفاصيلك المالية
- تسريب سجلاتك الطبية من قِبل مستشفى
- إفصاح صاحب عمل عن بيانات جواز سفرك بصورة غير مقصودة
- تعرّض شركة اتصالات لوصول غير مصرّح به إلى بيانات المشتركين
قاعدة الإخطار خلال 72 ساعة
تُعدّ المادة السابعة من القانون رقم 151 لسنة 2020 من أكثر الأحكام أهمية من الناحية التشغيلية، إذ توجب:
- على المتحكمين والمعالجين إخطار مركز حماية البيانات الشخصية في غضون 72 ساعة من لحظة علمهم بوقوع الخرق
- أن يكون الإخطار فورياً دون أي تأخير في حال تعلّق الخرق بـالأمن القومي
- أن يلتزم المركز بدوره بإجراءات الإخطار والتصعيد المقررة
تتوافق هذه القاعدة مع المعايير الدولية كاللائحة الأوروبية العامة لحماية البيانات (GDPR)، مما يجعلها مألوفة لمن سبق له الإقامة في أوروبا.
الالتزامات المفروضة على المنظمات للوقاية من الخروقات
تُحدد المادتان 13 و4 التزامات صريحة على الجهات المتعاملة مع بياناتك للحفاظ على مستوى أمني رفيع، وتشمل هذه الالتزامات:
- تطبيق سياسات وإجراءات أمنية مصمَّمة لمنع وقوع الخروقات
- ضمان أن تكون البيانات دقيقة وسليمة وآمنة في جميع الأوقات
- تعيين مسؤول حماية بيانات (DPO) مؤهَّل يتولى الإشراف على الامتثال ورصد المخالفات
- تطبيق تدابير أمنية مُعززة عند التعامل مع البيانات الشخصية الحساسة
تداعيات عملية للمقيمين الأجانب: يحق لك قبل مشاركة أي بيانات حساسة مع شركة مصرية أن تستفسر عمّا إذا كانت قد عيّنت مسؤول حماية بيانات مُسجَّلاً، وعن التدابير الأمنية المعتمدة لديها.
دور مسؤول حماية البيانات
بموجب المادة الثامنة، يتعين على كل شخص اعتباري يعمل بوصفه متحكماً أو معالجاً تعيين مسؤول حماية بيانات (DPO)، على أن يكون مُسجَّلاً لدى مركز حماية البيانات الشخصية. وتشمل مهام مسؤول حماية البيانات:
- الإشراف على الامتثال للقانون ولوائحه التنفيذية
- مراقبة إجراءات التعامل الداخلي مع البيانات
- تلقّي الطلبات المقدَّمة من أصحاب البيانات، بما فيها الشكاوى المتعلقة بالخروقات
إذا كنت تعتقد أن بياناتك قد تعرّضت للاختراق، فإن مسؤول حماية البيانات في الجهة المعنية هو جهة الاتصال الأولى التي ينبغي التواصل معها.
الخطوات الواجب اتخاذها عند تعرّض بياناتك للخرق في مصر
إذا كنت تشك أو أُبلغت بأن بياناتك الشخصية طالها خرق ما، فاتخذ الخطوات التالية:
- تواصل مع مسؤول حماية البيانات في الجهة المعنية كتابياً، وطالب بتأكيد وقوع الخرق وتفاصيل البيانات المتأثرة.
- وثّق كل شيء: احتفظ بجميع المراسلات ورسائل البريد الإلكتروني والإشعارات التي تتلقّاها.
- تقدّم بشكوى إلى مركز حماية البيانات الشخصية إذا أخفقت الجهة المعنية في الاستجابة أو تدارك الضرر.
- راقب حساباتك المالية عن كثب بحثاً عن أي مؤشرات على الاحتيال أو سرقة الهوية.
- استشر محامياً مصرياً إذا لحق بك ضرر مالي أو ضرر بالسمعة جرّاء ذلك الخرق.
الأدلة الرقمية والإجراءات القانونية
تؤكد المادة الحادية عشرة أن الأدلة الرقمية المستمدة من البيانات الشخصية تتمتع بالقوة الإثباتية ذاتها للمحررات الورقية في الإجراءات القانونية، شريطة استيفاء المعايير التقنية التي تحددها اللائحة التنفيذية. ويعني ذلك:
- أن لقطات الشاشة والمراسلات الرقمية وسجلات البيانات تصلح دليلاً في الشكاوى والدعاوى القضائية
- أن الاحتفاظ بسجلات رقمية لأي إشعار بخرق أو استجابة من الجهة المعنية يُعزز مركزك القانوني
الالتزامات الأمنية المتعلقة بالبيانات الحساسة
تخضع الجهات التي تتعامل مع البيانات الشخصية الحساسة — كالبيانات الصحية والمالية والبيومترية — لالتزامات أكثر صرامة بموجب المادة الثالثة عشرة، إذ يتعين عليها:
- تطبيق سياسات أمنية خاصة تتجاوز التدابير المعتادة لحماية البيانات
- ضمان تدريب جميع الموظفين المعنيين وإلزامهم بمتطلبات الامتثال
- الحصول على ترخيص ساري المفعول من مركز حماية البيانات الشخصية
نصائح عملية للمقيمين الأجانب
- سجّل بياناتك الاتصالية بدقة لدى الجهات المختلفة حتى يتسنى إخطارك في الوقت المناسب عند وقوع أي خرق
- استخدم كلمات مرور قوية وفريدة للخدمات الإلكترونية المصرية، بما فيها منصات البنوك والبوابات الحكومية
- كن يقظاً تجاه رسائل التصيد الاحتيالي التي تدّعي صدورها عن بنوك أو جهات حكومية مصرية في أعقاب أي خرق يحظى بتغطية إعلامية واسعة
- احتفظ بنسخ من جميع نماذج الموافقة وعقود البيانات التي أبرمتها مع الجهات المصرية