غرامات تصل إلى 10% من إجمالي المبيعات في حالات التسريب المتكرر والواسع بسوء نية أو إهمال جسيم... تخفيفات تصل إلى 40% للاستثمارات الوقائية
إلزامية قرار مجلس الإدارة والإخطار عند تعيين أو تغيير أو إلغاء مسؤول حماية البيانات... فترة إرشادية حتى نهاية 2027
إخطار المتضررين في غضون 72 ساعة عند الاشتباه بارتفاع احتمالية التسريب... برامج الفدية وتزييف البيانات وتشويهها ضمن متطلبات الإبلاغ
![رئيسة لجنة حماية البيانات الشخصية سونغ كيونغ-هي تقرع جرس الجلسة خلال اجتماع اللجنة الكامل رقم 11 لعام 2026 الذي عُقد صباح يوم 10 بحضور المبنى الحكومي بسيول في جونغرو-غو، سيول.[الصورة=لجنة حماية البيانات الشخصية]](https://image.ajunews.com/content/image/2026/09/10/20260910110754402736.jpg)
تدخل القوانين المعدّلة وقوانين التنفيذ لحماية البيانات الشخصية حيز النفاذ اعتبارًا من 11 من الشهر الحالي، بهدف تعزيز مسؤولية الشركات عن حوادث تسريب البيانات الشخصية وتشجيع الاستثمار الوقائي المسبق. وفي حالات التسريب المتكرر للبيانات الشخصية بسوء نية أو إهمال جسيم، أو في حالة حدوث أضرار واسعة تؤثر على 10 ملايين شخص فأكثر، يجوز فرض غرامات إدارية تصل إلى 10% من إجمالي المبيعات السنوية.
تُعزز أيضًا صلاحيات ومسؤوليات مسؤول حماية البيانات الشخصية، وتُعتمد آلية جديدة تقضي بإخطار المتضررين بإمكانية حدوث التسريب حتى قبل تأكيده نهائيًا إذا كانت هناك أسباب معقولة للاعتقاد بارتفاع احتمالية التسريب.
أعلنت لجنة حماية البيانات الشخصية في 10 من الشهر الحالي أن القانون المعدّل وقوانين التنفيذ ذات الصلة والقرارات الإدارية ذات الصلة ستدخل حيز النفاذ اعتبارًا من 11 من الشهر الحالي. يركز هذا التعديل على تعزيز الجزاءات اللاحقة على حوادث تسريب البيانات الشخصية، مع عكس استثمارات الشركات الوقائية المسبقة في حسابات الغرامات الإدارية.
أولًا، تزداد مستويات الغرامات الإدارية المفروضة على انتهاكات حماية البيانات الشخصية المتكررة أو الخطيرة. يشمل ذلك حالات تكرار الانتهاكات خلال 3 سنوات بسوء نية أو إهمال جسيم، والحالات التي تسبب أضرارًا واسعة تؤثر على 10 ملايين شخص فأكثر بسوء نية أو إهمال جسيم، وحالات حدوث تسريب للبيانات بسبب عدم الامتثال لأوامر التصحيح. تُحسب الغرامات الإدارية بناءً على محتوى ودرجة الانتهاك والظروف المحيطة وحجم الأضرار، ويجوز أن تصل إلى 10% من إجمالي المبيعات السنوية.
في المقابل، تُمنح الشركات التي استثمرت مسبقًا في حماية البيانات الشخصية تخفيفات على الغرامات الإدارية. يأخذ الحساب في الاعتبار حجم واستمرارية الاستثمار في الميزانيات والموارد البشرية والمعدات والأجهزة المتعلقة بحماية البيانات، ومستوى نظام الحماية الذي يشمل الرئيس التنفيذي ومسؤول حماية البيانات والعاملين المتخصصين، والتدابير الأمنية المعززة التي تتجاوز الالتزامات القانونية، ويجوز تخفيف الغرامة بما يصل إلى 40% من المبلغ الأساسي.
يرتفع أيضًا معدل الإضافة للانتهاكات المتكررة. بدلًا من معدلات الإضافة الحالية التي تبلغ 15% للمرة الأولى و30% للمرات اللاحقة، ستُعدّل المعدلات إلى 20% للمرة الأولى و40% للمرة الثانية و80% للمرات الثلاث فأكثر. في حالة عدم الإخطار أو الإبلاغ عن التسريب في الموعد القانوني المحدد وعدم اتخاذ التدابير اللازمة لمنع توسع الأضرار، يجوز زيادة الغرامة بما يصل إلى 30%.
يُعتبر الاستجابة السريعة بعد الحادثة أيضًا عاملًا للتخفيف. في حالة إنشاء نظام للتعامل مع الحوادث مسبقًا والقيام بالكشف المبكر والإخطار والإبلاغ واتخاذ التدابير لمنع توسع الأضرار عند حدوث الحادثة، يجوز تخفيف الغرامة بما يصل إلى 40%. يجوز أيضًا تخفيف الغرامة الموضوعة بما يصل إلى 50% إضافية مع الأخذ في الاعتبار محتوى الانتهاك وحجم الأضرار، وقد تُلغى الغرامة تمامًا في حالة الانتهاكات البسيطة للشركات الصغيرة والمتوسطة إذا تم تصحيح الانتهاك بعد الحصول على دعم تقني.
تُعزز أيضًا صلاحيات ومسؤوليات مسؤول حماية البيانات الشخصية. يجب على الشركات والمؤسسات المُلزمة بتعيين مسؤول متخصص عند تعيينه أو تغييره أو إلغاء تعيينه أن تحصل على قرار من مجلس الإدارة وتُخطر لجنة حماية البيانات الشخصية. تشمل الفئات المستهدفة الشركات التي يتجاوز حجم مبيعاتها أو دخلها السنوي 180 مليار وون والتي تعالج البيانات الشخصية لـ 1 مليون شخص فأكثر أو البيانات الحساسة والمعرّفات الفريدة لـ 50 ألف شخص فأكثر، والجامعات بحد أدنى 20 ألف طالب مسجل، والمستشفيات الشاملة المتخصصة، وسلطات تشغيل الأنظمة العامة الرئيسية.
بعد نفاذ القانون، عند حدوث حالة تستدعي تعيين أو تغيير أو إلغاء تعيين مسؤول حماية البيانات، يجب الإخطار في غضون 6 أشهر من تاريخ حدوث السبب. أما مسؤولو حماية البيانات الذين تم تعيينهم قبل نفاذ القانون فيجب عليهم الإخطار في غضون 6 أشهر من تاريخ نفاذ القانون 11 من الشهر الحالي، دون الحاجة إلى قرار إضافي من مجلس الإدارة.
ستُجري لجنة حماية البيانات الشخصية فترة إرشادية حتى 31 ديسمبر 2027 لضمان استقرار النظام الجديد، وخلال هذه الفترة لن تُفرض عقوبات إدارية على عدم تعيين مسؤول حماية البيانات أو نقص المؤهلات أو عدم الامتثال لمتطلبات قرار مجلس الإدارة أو الإهمال في الإخطار.
تُعتمد آلية جديدة للإخطار بإمكانية حدوث تسريب للبيانات الشخصية. حتى لو لم يتم تأكيد التسريب بشكل نهائي، في حالة الاعتقاد المعقول بارتفاع احتمالية التسريب على أسس موضوعية، يجب إخطار المتضررين. في حالات مثل الاشتباه بالتسريب بسبب الدخول غير القانوني للأنظمة لكن يصعب تحديد المتضررين، أو حالات تأكيد بيع بعض البيانات الشخصية بشكل غير قانوني مما يرفع احتمالية تسريب بيانات متضررين آخرين، يجب الإخطار في غضون 72 ساعة من علم الشركة بهذه الحقائق.
تتسع نطاق الإبلاغ والإخطار أيضًا. بدلًا من الفئات الحالية المتمثلة في الفقدان والسرقة والتسريب، تُضاف فئات التزييف والتحريف والتشويه. بناءً على ذلك، تُدرج حالات تشويه البيانات الشخصية الناتجة عن برامج الفدية ضمن نطاق الإبلاغ والإخطار. تُضاف أيضًا إلى بنود الإخطار الإجراءات القانونية للتعويض والمساعدة مثل المطالبة بالتعويض وتسوية النزاعات، كما تُوضح تدابير منع توسع الأضرار عند التسريب مثل استرجاع واحذف البيانات الشخصية.
غير أن متطلبات اعتماد شهادة نظام إدارة حماية البيانات الشخصية للمؤسسات الحكومية والخاصة الرئيسية لمعالجة البيانات تُؤجل إلى 1 يوليو 2027 لإتاحة وقت كافٍ للشركات والمؤسسات لتوفير الميزانيات اللازمة. ستُعدّل قوانين التنفيذ ذات الصلة قبل تاريخ النفاذ.
قالت رئيسة لجنة حماية البيانات الشخصية سونغ كيونغ-هي: "نتوقع أن يؤدي نفاذ القوانين المعدلة إلى تأسيس حماية بيانات شخصية موجهة نحو الوقاية المسبقة وتعزيز نظام الإدارة الأمنية، كما نتوقع تحولًا في المفاهيم بحيث يُنظر إلى الاستثمار في حماية البيانات الشخصية لا كـ'تكلفة' بل كـ'استثمار استباقي' لكسب ثقة العملاء وتوسيع أرباح المؤسسة".
* تمت ترجمة هذا المقال تلقائيًا بواسطة الذكاء الاصطناعي.