قد تعرف بالتسريب من رسالة تحذير، أو من اتصالات احتيالية تتضمن بيانات لا يعرفها إلا مقدم الخدمة، أو من نشر ملف يحوي الهوية والعنوان والحساب. في هذه اللحظة لا يكفي تغيير كلمة المرور؛ ينبغي حفظ الدليل، وتقليل الضرر، وتحديد جهة التحكم، ثم اختيار مسار الشكوى والتعويض.
ما المقصود بالتسريب نظامًا؟
يتعامل نظام حماية البيانات الشخصية مع تسرب البيانات أو تلفها أو الوصول غير المشروع إليها. وتلزم المادة التاسعة عشرة جهة التحكم باتخاذ الإجراءات والوسائل التنظيمية والإدارية والتقنية اللازمة للمحافظة على البيانات، بما في ذلك عند نقلها.
وتقضي المادة العشرون بإشعار الجهة المختصة فور العلم بالحادث، وتحدد اللائحة حالات إشعار صاحب البيانات. وإذا كان الحادث قد يرتب ضررًا جسيمًا على بيانات الشخص أو عليه، يجب إشعاره فورًا. عدم تلقي إشعار لا يعني وحده ثبوت المخالفة، لكنه سؤال مهم في التحقيق.
متى يثبت حق التعويض؟
المادة الأربعون واضحة: لمن لحقه ضرر نتيجة مخالفة النظام أو اللوائح حق المطالبة أمام المحكمة المختصة بالتعويض عن الضرر المادي أو المعنوي بما يتناسب مع حجمه. إذن لا يكفي مجرد القلق العام؛ يجب ربط مخالفة محددة بضرر واقعي، مع إثبات علاقة السببية.
الضرر المادي
قد يشمل مبالغ سحبت احتياليًا، أو كلفة استبدال وسائل حماية، أو خسارة عمل مثبتة بسبب نشر بيانات مهنية سرية. وإذا نتج عن الحادث تحويل بنكي غير مصرح به، يجب فتح مسار اعتراض مصرفي بالتوازي وعدم انتظار نتيجة شكوى الخصوصية.
الضرر المعنوي
قد يتمثل في انتهاك الخصوصية أو التشهير أو القلق الجدي الناتج عن نشر بيانات حساسة. تقديره قضائي ويحتاج عرضًا متزنًا للواقعة وأثرها، لا أرقامًا جزافية.
الدليل الذي ينبغي جمعه خلال الساعات الأولى
- رسالة الإشعار كاملة وترويساتها وتاريخ استلامها.
- لقطات موثقة للرابط أو الملف المنشور مع حفظ المصدر.
- المراسلات مع جهة التحكم ورقم الشكوى.
- سجل محاولات الدخول والتنبيهات البنكية والاتصالات الاحتيالية.
- الفواتير أو التحويلات أو التقارير التي تثبت الضرر.
- بيان يشرح من كان يملك البيانات ولماذا ترجح صلته بالحادث.
لا تنشر البيانات المسربة مجددًا بغرض الإثبات؛ احجب بيانات الغير واحتفظ بنسخة آمنة. وإذا كان النزاع مع جهة عامة، فقد يحتاج المسار إلى تحليل مختلف عن الطعن في قرار إداري، لأن الشكوى التنظيمية والتعويض القضائي لهما وظائف مختلفة.
حقوق صاحب البيانات قبل التعويض
المادة الرابعة تمنح صاحب البيانات حقوق العلم والوصول والحصول على نسخة وتصحيح البيانات أو تحديثها وطلب إتلاف ما انتهت الحاجة إليه ضمن الضوابط. يمكن استخدام هذه الحقوق لفهم نطاق البيانات والحصول على إجابة رسمية، مع عدم طلب ما يكشف بيانات أشخاص آخرين أو يضر بتحقيق أمني.
أما المادة الخامسة عشرة فتقيد الإفصاح بحالات محددة، منها الموافقة أو متطلبات جهات عامة أو حماية السلامة وفق النص. وجود البيانات لدى شركة متعاقدة لا يعفي جهة التحكم؛ فالمادة الثامنة تلزمها باختيار جهة معالجة توفر الضمانات والتحقق من التزامها.
خطوات الشكوى العملية
- أرسل بلاغًا لجهة التحكم يحدد البيانات والتاريخ والأثر، واطلب رقمًا مرجعيًا.
- اطلب بيان التدابير التي اتخذت وحالة إشعار الجهة المختصة، بالقدر الذي يسمح به النظام.
- أوقف البطاقات أو كلمات المرور المتأثرة، ولا تؤخر تقليل الضرر.
- قدم شكوى إلى الجهة المختصة عبر القنوات الرسمية عند عدم المعالجة أو وجود مخالفة.
- جهز ملف التعويض مستقلًا: المخالفة، الضرر، السببية، والمبلغ المطلوب.
إذا ترتبت فواتير بعد إلغاء خدمة أو رسوم غير مصرح بها، حافظ على أرقام الاعتراض. ومثل أي خصم مالي محل نزاع، لا يكفي كشف الحساب بلا شرح للرابط بين التسريب والعملية.
ماذا لو استغل شخص البيانات في انتحال الهوية؟
افصل بين مسؤولية جهة التحكم عن التسريب ومسؤولية المحتال عن الاستخدام. قدم بلاغًا عن الجريمة، واطلب إيقاف الحسابات، وراجع خطوات بلاغ انتحال الهوية الرقمية. لا تنتظر انتهاء أحد المسارين لبدء الآخر إذا كان الضرر مستمرًا.
تحليل مؤسسي موثوق
يعكس النص الرسمي للنظام نهجًا من ثلاث طبقات: الوقاية في المادة 19، الإشعار والاستجابة في المادة 20، وجبر الضرر في المادة 40. لذلك يقوى الملف عندما يشرح الخلل في كل طبقة بدل الاكتفاء بعبارة «تم تسريب بياناتي».
أسئلة شائعة
هل كل تسريب يوجب تعويضًا؟
حق المطالبة يرتبط بضرر نتج عن مخالفة. حجم البيانات وحساسيتها وانتشارها والتدابير المتخذة كلها عوامل مهمة.
هل أستطيع طلب تعويض معنوي؟
نعم، المادة 40 تشمل المادي والمعنوي بما يتناسب مع حجم الضرر، مع ضرورة الإثبات.
هل أحذف الرسائل الاحتيالية؟
لا قبل توثيقها وحفظ بيانات المصدر؛ ثم احظر المرسل واتخذ إجراءات الأمان.
من أختصم إذا كان التسريب لدى مزود خارجي؟
تحتاج مراجعة أدوار جهة التحكم والمعالجة والعقود والسبب الفني، ولا يفترض الخصم من اسم واحد ظاهر.
الخلاصة
ابدأ بحماية الحسابات، ثم أنشئ سجلًا زمنيًا للحادث، واطلب إجابة رسمية، وافصل بين الشكوى التنظيمية والتعويض والبلاغ الجنائي. الدليل المبكر هو ما يحول الضرر الرقمي إلى مطالبة قابلة للإثبات.
تنبيه: المحتوى معلوماتي عام ولا يعد استشارة قانونية خاصة أو ضمانًا للتعويض.