نظام حماية البيانات الشخصية يركز على الوقاية مع غرامات تصل إلى 10% من المبيعات للانتهاكات المتكررة والخطيرة

مدير مكتب هيئة حماية البيانات: "التدابير اللاحقة وحدها غير كافية... إعادة تصميم هياكل الحوافز للشركات"

إمكانية تخفيف الغرامات بنسبة تزيد على 80% عند الاستثمار المسبق والاستجابة السريعة بعد الحادث

توضيح معايير الإخطار قبل تأكيد التسرب... تعزيز مسؤولية الرئيس التنفيذي ومجلس الإدارة

• مدير مكتب هيئة حماية البيانات: "التدابير اللاحقة وحدها غير كافية... إعادة تصميم هياكل الحوافز للشركات"

• إمكانية تخفيف الغرامات بنسبة تزيد على 80% عند الاستثمار المسبق والاستجابة السريعة بعد الحادث

• توضيح معايير الإخطار قبل تأكيد التسرب... تعزيز مسؤولية الرئيس التنفيذي ومجلس الإدارة

يانغ تشونغ-سام، مدير مكتب هيئة حماية البيانات الشخصية، يعلن في 10 سبتمبر بمقر حكومة سيول بمنطقة جونغرو عن دخول المرسوم التنفيذي لقانون حماية البيانات الشخصية حيز التنفيذ من 11 سبتمبر، الذي يفرض غرامات تصل إلى 10% من إجمالي المبيعات على الانتهاكات المتكررة والخطيرة للبيانات الشخصية [الصورة: مراسلة آن سين-هاي]

يدخل قانون حماية البيانات الشخصية المعدّل، المعزّز لنظام الحماية الموجه نحو الوقاية المسبقة، حيز التنفيذ في 11 سبتمبر. يعزز القانون الجديد العقوبات على الانتهاكات الخطيرة، مع منح حوافز للشركات على الاستثمار الاستباقي والاستجابة السريعة للحوادث، كما يشدد على مسؤوليات الرئيس التنفيذي ومجلس الإدارة في حماية البيانات الشخصية.

يتضمن هذا التعديل، إلى جانب تعزيز العقوبات، هياكل حوافز قوية لدفع الشركات للاستثمار الاستباقي والاستجابة السريعة. وكآلية تحفيزية لجذب الاستثمار في حماية البيانات الشخصية، يمكن تخفيف الغرامات بنسبة تصل إلى 80% للشركات التي تستثمر بكفاءة في الوقاية المسبقة والاستجابة بعد الحادث.

أكد يانغ تشونغ-سام، مدير مكتب هيئة حماية البيانات الشخصية، خلال إحاطة صحفية عُقدت في مقر حكومة سيول في 10 سبتمبر، أن "جوهر هذا التعديل القانوني هو تحول نموذجي في سياسة حماية البيانات الشخصية من التركيز على العقوبات اللاحقة إلى التركيز على الوقاية المسبقة". وأوضح أن الهدف هو جعل حماية البيانات الشخصية استثماراً استباقياً يعزز ثقة العملاء وقيمة الشركة، بدلاً من أن تكون مجرد تكلفة يتحملها الشركة بعد وقوع الحادث.

رفع التعديل الجديد الحد الأقصى للغرامات المفروضة على الانتهاكات المتكررة والخطيرة للبيانات الشخصية من 3% من إجمالي المبيعات السابق إلى 10% كحد أقصى. يشمل ذلك الحالات التي يتم فيها تكرار أفعال الانتهاك بقصد أو إهمال جسيم، أو التي تسبب أضراراً واسعة النطاق تطول 10 ملايين شخص أو أكثر، أو الحالات التي يحدث فيها تسرب نتيجة عدم الامتثال لأوامر الإصلاح.

أوضح يانغ أنه حتى في حالة عدم تكرار الحادث، إذا تم إثبات القصد أو الإهمال الجسيم وتضررت فئة تزيد على 10 ملايين شخص، قد تُطبّق الغرامة القصوى البالغة 10%. وأشار إلى أن هذه الشروط ليست متراكمة بل تُعتبر كل واحدة منها سبباً مستقلاً للتشديد.

على الطرف الآخر، تُخفف الغرامات بنسبة تصل إلى 40% للشركات التي تستثمر بشكل كافٍ مسبقاً وتطبق أنظمة إدارة قوية لحماية البيانات الشخصية. ينطبق هذا على الشركات التي تكتشف بسرعة أي علامات غير طبيعية بعد وقوع الحادث وتخطر أصحاب البيانات والسلطات المختصة، وتعمل بنشاط على منع انتشار الأضرار وتحسين نقاط الضعف.

أولت هيئة حماية البيانات الشخصية وزناً كبيراً للآليات التي تحفز الاستثمار الوقائي والاستجابة السريعة للحوادث، جنباً إلى جنب مع تعزيز العقوبات. وعندما تستوفي الشركة متطلبات الاستثمار المسبق والاستجابة السريعة بعد الحادث معاً، يمكن أن يرتفع معدل التخفيف إلى 80%. وتعكس هذه الإجراءات الاعتراف بأن العقوبات اللاحقة وحدها غير كافية للحد من تسرب البيانات الشخصية، والرغبة في توجيه الشركات نحو تطوير أنظمة الحماية في الأوقات العادية والاستجابة السريعة والشفافة عند وقوع الحوادث.

غير أنه لا تتناسب درجة التخفيف بالضرورة مع حجم الاستثمار. ستنظر هيئة حماية البيانات الشخصية بشكل شامل إلى حجم الاستثمار واستمراريته وتحديد أصول البيانات الشخصية والمخاطر المرتبطة بها ومستوى التدابير الأمنية والدور الذي يلعبه كبير مسؤولي البيانات والرئيس التنفيذي عند تحديد مستوى التخفيف. وقال يانغ: "بما أن الخصائص تختلف من قطاع إلى آخر، من الصعب تحديد استثمارات حماية البيانات الشخصية برقم موحد محدد".

تتسع أيضاً مسؤوليات الإدارة. ينص التعديل الجديد على تعيين صاحب العمل أو الممثل القانوني للشركة كمسؤول الإدارة النهائي لمعالجة وحماية البيانات الشخصية. يجب على كبير مسؤولي البيانات أن يقدم تقارير للرئيس التنفيذي أو مجلس الإدارة حول وضع حماية البيانات الشخصية والمخاطر الرئيسية والمجالات التي تتطلب تحسيناً، كما يجب على الإدارة توفير الميزانية والموارد البشرية اللازمة. يرفع هذا حماية البيانات الشخصية من مجرد مسؤولية قسم تشغيلي إلى قضية تتخذها الإدارة العليا كقرار استراتيجي رئيسي.

وبناءً على ذلك، ستتسارع الجداول الزمنية لإخطار الشركات بوقوع تسرب البيانات الشخصية. في المستقبل، لن يكون من الضروري التأكد النهائي من وقوع التسرب، بل يجب توفر دلائل موضوعية تشير بقوة إلى احتمالية حدوث تسرب.

أوردت هيئة حماية البيانات الشخصية أمثلة تشمل اكتشاف معلومات على الإنترنت المظلم تتطابق مع البنية الفعلية لقاعدة البيانات، أو تأكيد حدوث اختراق لكن لم يتم تحديد حجم الضرر بعد.

أوضح يانغ قائلاً: "لا نعني بذلك الإخطار بناءً على مجرد شكوك غامضة حول وجود نقاط ضعف أو آثار، بل يجب أن تكون هناك دلائل موضوعية واضحة تستدعي الشك".

ستخضع التزامات كبير مسؤولي البيانات بالإبلاغ لفترة توجيهية حتى ديسمبر من العام القادم. يبلغ عدد الجهات المستهدفة المطلوب عليها تعيين كبير مسؤول بيانات متخصص حالياً حوالي 600 إلى 700 جهة. وفي سياق الانتقادات بشأن ما إذا كانت فترة التوجيه التي تزيد على عام طويلة جداً، أوضح يانغ: "بما أن المهلة المقررة للإبلاغ تبدأ من تاريخ الدخول حيز التنفيذ وتمتد لمدة ستة أشهر، فإن حالات الانتهاك الفعلية ستبدأ عملياً من مارس من العام القادم وما بعده، لذلك رأينا ضرورة تمديد فترة التوجيه حتى نهاية العام".

* تمت ترجمة هذا المقال تلقائيًا بواسطة الذكاء الاصطناعي.