يبدأ اختراق البيانات الشخصية ساعةً تنظيمية لا تتوقف لأجل عطلات نهاية الأسبوع أو الأعياد أو توافر المسؤولين التنفيذيين. وبموجب المادة 33 من GDPR لديك 72 ساعة من لحظة العلم لإخطار السلطة الإشرافية. وتحدد القاعدة 7 من DPDPA، والمادة 26B من PDPA، والقرار 15/2024 من LGPD نوافذ زمنية مماثلة.

يقسّم هذا الدليل التشغيلي الـ72 ساعة إلى خمس مراحل مسماة — الاكتشاف، الاحتواء، التقييم، التوثيق، التقديم — مع مخرجات ملموسة عند كل بوابة. استخدمه كدليل تشغيلي: عندما يكون هناك أمر مشتعل لا تريد أن تكون منشغلًا بكتابة العملية. بل تريد تنفيذها.

تنص المادة 33 على "في موعد لا يتجاوز 72 ساعة بعد العلم به." العلم هو عندما يكون لدى المتحكم درجة معقولة من اليقين بأن حادثًا أمنيًا قد وقع وأن بيانات شخصية معنية به. وهو ليس:

• اللحظة التي وقع فيها الحادث فعليًا.
• اللحظة التي انطلق فيها تنبيه آلي.
• اللحظة التي بدأ فيها أول محلل التحقيق.
• اللحظة التي أبلغ فيها مورّد عن حادث متعلق بمعالِج فرعي — لكن الساعة تبدأ عادةً عندما تتوفر لديك معلومات كافية لتقييم أن بيانات المتحكم ضمن النطاق.

تسمح إرشادات EDPB رقم 9/2022 بشأن الإخطار باختراق البيانات الشخصية بفترة تحقيق قصيرة للوصول إلى العلم، لكن ينبغي أن تكون تلك الفترة وجيزة — مسألة ساعات لا أيام.

الهدف: تأكيد وقوع حادث، والحفاظ على الأدلة الجنائية الرقمية، وتفعيل فريق الاستجابة.

• فرز الإشارة. هل كان التنبيه حقيقيًا؟ إصابة نظام كشف التسلل، أو تصدير مشبوه، أو إفصاح من مورّد، أو بلاغ من عميل.
• الحفاظ على سلامة الأدلة الجنائية الرقمية. التقط نسخة لحظية للأنظمة المتأثرة، وجمّد السجلات، ولا تطفئ الجهاز إذا كانت آثار الذاكرة ذات أهمية.
• افتح ملف الحالة. أصدر معرّف حادث. كل إجراء من هنا فصاعدًا يُسجَّل مقابله.
• فعّل غرفة العمليات. DPO، ومسؤول أمن المعلومات/رئيس الأمن، والمستشار القانوني، والاتصالات، وقائد حوادث معيّن.
• حدّد المعالِج / المعالِج الفرعي المسؤول إذا نشأ الحادث من جهة خارجية؛ وتواصل مع جهة الاتصال المعنية بالاستجابة للحوادث لديه.

المُخرَج عند T+6h: ملخص حادث من صفحة واحدة — ماذا حدث، ومتى، وأي أنظمة، وأي فئات بيانات قد تكون مشمولة، وما هو المجهول المعروف.

الهدف: وقف النزيف، وعزل الأنظمة المتأثرة، وإخطار الأطراف الخارجية ذات الحساسية الزمنية.

• أوقف عمليات التسريب الجارية. دوّر بيانات الاعتماد، وألغِ رموز OAuth، وأنهِ الجلسات، واحجب حركة المرور الخارجة.
• اعزل الأنظمة المتأثرة مع الحفاظ على الأدلة.
• إخطارات CERT-In / القطاعية. الهند: CERT-In خلال 6 ساعات للحوادث المعيّنة. القطاعية في الولايات المتحدة: HHS OCR (HIPAA)، وFTC، والمدّعون العامون للولايات.
• استعِن بمستشار خارجي إذا كان التعرّض الجوهري محتملاً — فالامتياز القانوني يُرسّخ على أفضل وجه مبكرًا.
• أبلغ شركة التأمين السيبراني وفقًا لمتطلبات الإخطار في الوثيقة (غالبًا خلال 48 ساعة؛ ويتيح بعض شركات التأمين خطوطًا ساخنة على مدار الساعة).
• ابدأ عمل تحديد الضحايا — فئات أصحاب البيانات، والحجم التقريبي، والانتشار الجغرافي.

المُخرَج عند T+24h: تأكيد الاحتواء؛ بيان نطاق أولي.

الهدف: تحديد حجم الضرر المحتمل ومداه — فهذا يحرّك كل قرار لاحق.

• فئات البيانات الشخصية المتأثرة. معرّفات؟ بيانات اتصال؟ مالية؟ فئة خاصة (المادة 9 من GDPR)؟ بيانات أطفال؟
• الحجم. عدد السجلات الدقيق إن كان معلومًا؛ وإلا فتقدير مُعلَّل.
• أصحاب البيانات المتأثرون. موظفون، عملاء، جهات اتصال للموردين، مستخدمون نهائيون؟ في أي ولايات قضائية؟
• احتمالية الضرر وشدّته. استخدم تأطير المادة 33(3)(c) — سرقة الهوية، والاحتيال، والخسارة المالية، والضرر بالسمعة، والتمييز، وفقدان سرية الكتمان المهني.
• طبّق عتبات الإخطار. GDPR: أخطر السلطة الإشرافية ما لم يكن "من غير المرجّح أن يؤدي إلى خطر على حقوق وحريات الأشخاص الطبيعيين." LGPD: إخطار ANPD للانتهاكات التي قد تتسبب في "خطر أو ضرر ذي صلة." PDPA-SG: 500 فرد فأكثر أو ضرر جسيم.
• اتّخذ القرار على جانب الجهة التنظيمية. السلطة الإشرافية الرئيسة لانتهاكات GDPR العابرة للحدود. عدة جهات تنظيمية إذا كانت المعالجة تتجاوز المناطق.

المُخرَج عند T+48h: تقييم خطر الضرر؛ ومصفوفة قرار الإخطار؛ ونموذج إخطار مبدئي مُعبَّأ.

الهدف: بناء الوثيقة التي ستقدّمها، وإغلاق السجل الداخلي، وإحاطة أصحاب المصلحة.

• مجموعة محتوى المادة 33(3) لتقديم الإخطار إلى السلطة الإشرافية:
  1. وصف الانتهاك (الطبيعة، والفئات، والعدد التقريبي لأصحاب البيانات والسجلات).
  2. اسم وجهة اتصال DPO أو جهة اتصال أخرى.
  3. العواقب المحتملة للانتهاك.
  4. التدابير المتّخذة أو المقترحة لمعالجة الانتهاك والتخفيف من الآثار السلبية المحتملة.
• السجل الداخلي بموجب المادة 33(5). حتى لو لم تُخطر، وثّق الانتهاك داخليًا؛ فالسلطات الإشرافية تطلب هذه السجلات في عمليات التدقيق.
• إحاطة الإدارة العليا. الرئيس التنفيذي، ومجلس الإدارة، ولجنة التدقيق وفقًا لسياسة الاستجابة للحوادث لديك.
• وضع خطة الاتصالات في صيغتها النهائية. نموذج التواصل مع العملاء، والأسئلة الشائعة، ونقاط الحديث التنفيذية، ومراقبة وسائل التواصل الاجتماعي في وضع الاستعداد.
• التنسيق مع المعالِج الفرعي. حيث نشأ الانتهاك من المنبع، واءم رسائل الإخطار وتوقيتها.

المُخرَج عند T+72h: إخطار جاهز للتقديم؛ وسجل داخلي مكتمل.

الهدف: إخطار الجهات التنظيمية ضمن النافذة القانونية والتواصل مع أصحاب البيانات حيثما كان مطلوبًا.

• تقديم الإخطار إلى السلطة الإشرافية عبر البوابة الرسمية (لدى معظم سلطات حماية البيانات في الاتحاد الأوروبي نماذج ويب؛ وتستخدم ICO نموذجًا إلكترونيًا؛ وتستخدم ANPD بروتوكولًا إلكترونيًا). احفظ الإيصال — فهو الإثبات الوحيد للتوقيت.
• التقديمات متعددة الولايات القضائية. حيث تكون لديك عدة سلطات إشرافية رئيسة (وهو نادر)، تُطبَّق آلية الشبّاك الواحد؛ وإلا فأخطر كل سلطة مختصة على حدة.
• التواصل مع أصحاب البيانات إذا كان الخطر مرتفعًا (المادة 34): لغة واضحة وبسيطة، واسم وجهة اتصال DPO، والعواقب المحتملة، وتدابير التخفيف، والنصائح.
• بيان عام إذا كان جوهريًا للمستثمرين أو بموجب القواعد القطاعية (نموذج SEC 8-K، أو الإبلاغ على نمط SAR).
• اجتماع داخلي شامل قبل الإعلان العام للتحكم في السردية.

المُخرَج عند T+72h+: إقرار باستلام التقديم؛ وإرسال التواصلات مع أصحاب البيانات (أو قرار موثّق بعدم التواصل)؛ وجدولة مراجعة لاحقة للحادث خلال 14 يومًا.

• قائد الحوادث — يتولى الإيقاع، ويعلن انتقالات المراحل، ويصعّد العوائق.
• DPO / مسؤول الخصوصية — يتولى قرار الإخطار إلى الجهة التنظيمية ومحتواه.
• مسؤول أمن المعلومات / قائد الأمن — يتولى الاحتواء، والأدلة الجنائية الرقمية، وتحليل السبب الجذري.
• المستشار العام / المستشار الخارجي — يتولى الامتياز القانوني، ومراجعة الاتصالات، واستراتيجية التعامل مع الجهة التنظيمية.
• الاتصالات — تتولى الرسائل الخارجية، والمراقبة على وسائل التواصل الاجتماعي، والاستجابة الصحفية.
• الرئيس التنفيذي / القيادة العليا — تتولى القرارات المتعلقة بالسمعة، والاعتذارات الموجّهة للعملاء، والالتزامات اللاحقة للحادث.

أكثر إخفاقات المؤسسات شيوعًا هو عدم وضوح المسؤولية بين DPO والمستشار العام بشأن التقديم الفعلي للإخطار إلى الجهة التنظيمية. احسم هذا مسبقًا — تعتمد معظم الفرق على صياغة DPO تحت امتياز المستشار القانوني، مع كون DPO جهة الاتصال المسمّاة في التقديم نفسه.

تُلزم المادة 34 من GDPR بالتواصل مع أصحاب البيانات عند وجود خطر مرتفع على الحقوق والحريات. والمعيار أعلى من عتبة الإخطار إلى السلطة الإشرافية. أمثلة تستوجب الإخطار:

• تفاصيل حسابات مالية غير مشفّرة، ومعرّفات تُستخدم للمصادقة.
• بيانات الفئة الخاصة (الصحية، والجينية، والبيومترية، والسياسية، والدينية).
• معلومات تتيح سرقة الهوية أو الاحتيال المالي.
• بيانات الأطفال ذات أي حساسية ذات معنى.

تورد المادة 34(3) ثلاثة استثناءات من التواصل المباشر: التشفير الذي يجعل البيانات غير مفهومة للأشخاص غير المصرّح لهم، أو التدابير التي تزيل الخطر المرتفع، أو الجهد غير المتناسب الذي يمكن استبداله بالتواصل العام.

محتوى الإخطار (المادة 34(2)): طبيعة الانتهاك، واسم وجهة اتصال DPO، والعواقب المحتملة، والتدابير المتّخذة. بلغة بسيطة.

• بدء العدّاد في اللحظة الخاطئة. تدقّق السلطات الإشرافية في متى تحقق "العلم". إذا كان فريق الاستجابة للحوادث لديك يحقّق لمدة 5 أيام قبل إعلان الحادث، فإن تلك الفجوة تبدو كتأخير.
• التقليل من تقدير النطاق. أسرع طريقة لفقدان حسن نية الجهة التنظيمية هي الإبلاغ المنقوص للأرقام الأولية ثم تعديلها بشكل كبير نحو الأعلى.
• عدم وجود تقييم موثّق. إذا قررت عدم الإخطار، فلا تزال المادة 33(5) تتطلب سجلًا داخليًا للانتهاك ومسوّغاته.
• إخطار السلطة الإشرافية الخاطئة. لا تنطبق آلية الشبّاك الواحد إلا على المعالجة العابرة للحدود بموجب GDPR. أما المعالجة المحلية فقط فيجب إخطار السلطة الإشرافية المحلية بها — لا سلطتك الرئيسة.
• التواصل مع العملاء قبل التقديم إلى الجهة التنظيمية. الترتيب مهم عمليًا: تعتبره الجهات التنظيمية تعاملًا بحسن نية، أما العملاء فلا يكترثون أيهما جاء أولاً.
• نسيان نافذة CERT-In ذات الست ساعات الخاصة بالهند. كثيرًا ما تغفلها الفرق العالمية غير المطّلعة على الطبقة القطاعية الهندية.
• عدم الحفاظ على الأدلة الجنائية الرقمية. إطفاء مضيف مخترَق قد يدمّر مؤشرات البرمجيات الخبيثة المقيمة في الذاكرة.