مهلة الإبلاغ عن تسريب البيانات

المهلة تبدأ من لحظة علمك بالحادثة. حدّد متى علمت، وأين يقيم المتأثرون، لتظهر لك مهلة كل جهة رقابية.

متى علمت بالحادثة؟

المهلة تبدأ من لحظة علمك، لا من لحظة الاختراق.

أين يقيم الأشخاص المتأثرون؟

اختر كل ما ينطبق — الغالب أن تكون أكثر من جهة.

هل يُرجَّح أن يلحق الضرر بالأشخاص المعنيين؟

بيانات تعريف، عناوين، أرقام هواتف، تواريخ ميلاد — تكفي لمحاولات احتيال موجّهة.

التزاماتك

حدّد وقت العلم والجهات المعنية.

الحساب داخل متصفّحك؛ لا تُرسل تفاصيل الحادثة إلى أي خادم.

ما الذي يجب أن يتضمّنه الإشعار؟

وصف الحادثة وكيف وقعت.
فئات الأشخاص المتأثرين وعددهم التقريبي.
تقدير العواقب المحتملة.
ما اتُّخذ من إجراءات للاحتواء ومنع التكرار.

هذه أداة تنظيمية للمهل والالتزامات، وليست استشارة قانونية. النصوص المرجعية: النظام الأوروبي (المادتان ٣٣ و٣٤)، ونظام حماية البيانات الشخصية السعودي ولائحته التنفيذية (المادة ٢٤)، والقانون التونسي ٢٠٠٤-٦٣.

ثلاثة أنظمة، وثلاث إجابات مختلفة

أغلب الشركات تعرف نظامًا واحدًا — نظام البلد الذي سُجّلت فيه. ونادرًا ما يكون هو النظام الوحيد الذي يُلزمها.

النظام الأوروبي — المادتان ٣٣ و٣٤

٧٢ ساعة لإشعار السلطة الرقابية من لحظة العلم. وإن كان الخطر على الأشخاص مرتفعًا، تُلزمك المادة ٣٤ بإبلاغهم هم أيضًا دون تأخير. والإشعار المتأخر جائز بشرط بيان سبب التأخير.

النظام السعودي — المادة ٢٤ من اللائحة

٧٢ ساعة لإشعار سدايا، دون حدّ أدنى لجسامة الحادثة: لا يجوز أن تقرّر أن التسريب أصغر من أن يُبلَّغ عنه. ويُبلَّغ الأشخاص متى كان الضرر محتملًا.

تونس — القانون ٢٠٠٤-٦٣

لا يفرض إشعارًا بخرق البيانات خلال مدة محدّدة. فالنص أقدم من النظام الأوروبي ولم يُضِف هذا الالتزام. والأداة تقول ذلك بدل أن تخترع مهلة.

الفخّ الترابي

الشركة التونسية أو السعودية التي تحتفظ ببيانات مقيمين في الاتحاد الأوروبي تدخل في نطاق النظام الأوروبي مهما كان مقرّها. و«نحن لسنا في أوروبا» لا تُعفي من شيء.

متى تحتاجها

في يوم الحادثة نفسه، لمعرفة من تُبلغ وقبل متى
إعداد خطة استجابة قبل الحاجة إليها
التحقّق مما إذا كان فرع خارجي يُدخلك في نظام آخر
ضبط اجتماع الأزمة على مواعيد محدّدة بدل الانطباعات

أسئلة شائعة

من أي لحظة تبدأ المهلة بالضبط؟

من لحظة العلم، لا من لحظة الاختراق. اختراق وقع في مارس واكتُشف في أغسطس تبدأ مهلته في أغسطس. والمعيار قدر معقول من اليقين بأن حادثة أمنية مسّت بيانات شخصية: تنبيه غير مُتحقَّق منه لا يكفي، وتأكيد تقني يكفي.

ماذا يحدث إن تجاوزت الـ٧٢ ساعة؟

النظام الأوروبي ينصّ صراحة على الإشعار المتأخر، على أن يُرفَق ببيان أسباب التأخير. وأسوأ الخيارات ألّا تُبلغ أصلًا ثم تعلم الجهة الرقابية من طريق آخر، فتتحوّل الحادثة إلى مخالفة.

هل يجب إبلاغ العملاء أنفسهم؟

في النظام الأوروبي، فقط إذا كان الخطر عليهم مرتفعًا (المادة ٣٤). واجتماع الاسم والعنوان والهاتف وتاريخ الميلاد يكفي عادةً لبناء عمليات احتيال موجّهة، وهو ما يرجّح الإبلاغ. أما في النظام السعودي فمتى كان الضرر محتملًا. وإن خلصت إلى عدم الحاجة، فوثّق تعليلك: هو ما سيُطلب منك.

وإن لم تُمسّ البيانات البنكية؟

هذا يقلّل خطر الاحتيال المباشر، لا الالتزام بإشعار الجهة الرقابية. فمجموعة بيانات الهوية والتواصل تبقى صالحة لتصيّد مُقنع، يذكر فيه المهاجم عنوانك الحقيقي وطلباتك الحقيقية.

هل تُرسَل تفاصيل الحادثة إلى أي مكان؟

لا. كل الحساب داخل متصفّحك، ولا يغادر أي تفصيل جهازك.

أداة تنظيمية للمهل والالتزامات، وليست استشارة قانونية. النصوص المرجعية: النظام الأوروبي (المادتان ٣٣ و٣٤)، ونظام حماية البيانات الشخصية السعودي ولائحته التنفيذية (المادة ٢٤)، والقانون التونسي ٢٠٠٤-٦٣.

للشركات

هل تستطيع اليوم أن تقول أي بيانات لديك وأين هي؟

أغلب الفرق تُنفق أول يوم من الحادثة في الإجابة عن هذا السؤال. نحن نرسم مسارات البيانات، ونُجهّز الرصد، ونؤتمت سجلّ التدقيق — حتى يبدأ العدّ التنازلي ومعك إجابات لا تحقيق.

تحدّث إلينا خدماتنا

أدوات مجانية