كيف تتعامل هيئة حماية خصوصية المستهلك في كاليفورنيا (CPRA) مع المعلومات الشخصية الحساسة؟

تُعدّ البيانات الشخصية رصيدًا بالغ الأهمية للشركات على مستوى العالم. فباستخدامها بفعالية، يُمكن للبيانات الشخصية أن تزيد إيرادات الشركة عشرة أضعاف، وتضمن استهداف المستخدمين الأكثر احتمالًا للتحوّل إلى عملاء فعليين. لذا، ليس من الخطأ القول إنّ الوصول إلى البيانات الشخصية قد أحدث نقلة نوعية في عالم الأعمال، إذ يُتيح للشركات فهم عملائها الحاليين والمحتملين بشكل أفضل.

مع ذلك، لطالما كانت هناك مخاوف أخلاقية بشأن حجم ونطاق البيانات الشخصية المتاحة للشركات. بعض البيانات الشخصية أكثر حساسية من غيرها، لذا يجب تقييد استخدامها بشكل صارم لحماية الأفراد من الاستغلال. قد يتعلق هذا النوع من البيانات بأكثر خصائصهم أو سماتهم الفطرية حساسية، أو قد تكون معلومات قد تؤدي، في حال وقوعها في الأيدي الخطأ، إلى خسائر أو أضرار جسيمة.

هذا أحد العوامل العديدة التي دفعت الدول في جميع أنحاء العالم إلى صياغة data privacy القوانين التي تصنف أنواعاً معينة من البيانات الشخصية على أنها بيانات شخصية حساسة وتوفر لها حماية إضافية.

يحلّ قانون حقوق الخصوصية في كاليفورنيا ( CPRA ) محلّ قانون خصوصية المستهلك في كاليفورنيا ( CCPA )، والذي سيدخل حيز التنفيذ في 1 يناير 2023. يضمن قانون حقوق الخصوصية في كاليفورنيا حماية كافية للمستهلكين في كاليفورنيا من خلال استحداث فئة جديدة من البيانات تُسمى "المعلومات الشخصية الحساسة". وتستدعي جميع البيانات ضمن هذه الفئة حمايةً مُعززة من الشركات التي تجمع معلومات شخصية عن عملائها، أو تخزنها، أو تعالجها، أو تفصح عنها، أو تنقلها.

تابع القراءة لمعرفة المزيد عن المعلومات الشخصية الحساسة، بما في ذلك الحل الأمثل للمؤسسات التي ترغب في التعامل مع جمع المعلومات الشخصية الحساسة:

ما هي المعلومات الشخصية الحساسة؟

إذن، ما هي المعلومات الشخصية الحساسة تحديدًا؟ حدد قانون خصوصية المستهلك في كاليفورنيا (CCPA) ماهية المعلومات الشخصية. ويستند قانون حماية خصوصية المستهلك في كاليفورنيا (CPRA) إلى هذا التعريف بإضافة فئة فرعية هي المعلومات الشخصية الحساسة. ووفقًا لتعريف قانون حماية خصوصية المستهلك في كاليفورنيا، تُعتبر المعلومات الشخصية التي تكشف أيًا من التفاصيل التالية عن مستهلك فردي معلومات شخصية حساسة:

• المعرفات الصادرة عن الحكومة
  • الضمان الاجتماعي،
  • رخصة السائق،
  • بطاقة هوية حكومية، أو
  • رقم جواز السفر.
• الشؤون المالية
  • تسجيل الدخول إلى الحساب.
  • الحساب المالي بالإضافة إلى أي رمز أمان أو رمز وصول أو كلمة مرور أو بيانات اعتماد مطلوبة تسمح بالوصول إلى الحساب.
  • رقم بطاقة الخصم أو بطاقة الائتمان بالإضافة إلى أي رمز أمان أو رمز وصول أو كلمة مرور أو بيانات اعتماد مطلوبة.
• تحديد الموقع الجغرافي
  • تحديد الموقع الجغرافي الدقيق للمستهلك، بما في ذلك العنوان والرمز البريدي والمدينة.
• العرق والدين والانتماء النقابي
  • الأصل العرقي أو الإثني،
  • الجنسية أو وضع الهجرة،
  • المعتقدات الدينية أو الفلسفية، أو
  • عضوية النقابة.
• الاتصالات
  • محتويات الاتصالات الخاصة بالمستهلك،
  • إلا إذا كانت الشركة هي الجهة المقصودة لتلقي الرسالة.
• علم الوراثة
  • البيانات الجينية للمستهلك.
• القياسات الحيوية
  • المعلومات البيومترية التي يمكنها تحديد هوية المستهلك بشكل فريد.
• صحة
  • المعلومات الشخصية التي يتم جمعها وتحليلها فيما يتعلق بصحة المستهلك.
• التوجه الجنسي
  • المعلومات الشخصية التي يتم جمعها وتحليلها فيما يتعلق بالحياة الجنسية للمستهلك أو توجهه الجنسي.

هذا التعريف الأوسع للمصطلح يعني أن المنظمة التي قد تقوم بجمع أي من هذين الأمرين سيتعين عليها الآن الامتثال للأحكام التي يشترط قانون حماية خصوصية المستهلك في كاليفورنيا (CPRA) عليها الالتزام بها.

الالتزامات المتعلقة بالمعلومات الشخصية الحساسة بموجب قانون حماية خصوصية المستهلك في كاليفورنيا

تُعدّ المعلومات الشخصية الحساسة فئةً جديدةً تماماً من البيانات التي أنشأها قانون حماية خصوصية المستهلك في كاليفورنيا (CPRA). ويأتي ذلك انطلاقاً من مبدأ ضرورة توفير حماية مُعززة لبعض أنواع البيانات على الإنترنت، مثل المعلومات المالية أو البيومترية للمستخدم. وتستوحي هذه الفئة الجديدة من المعلومات الشخصية من "الفئات الخاصة من البيانات الشخصية" المذكورة في اللائحة العامة لحماية البيانات ( GDPR ).

يُفصّل قانون حماية خصوصية المستهلك في كاليفورنيا (CPRA) واجبات الشركات التي تجمع معلومات شخصية حساسة للمستهلكين. وتشمل هذه الواجبات والمسؤوليات ما يلي:

• الإفصاح للمستهلك عند نقطة التحصيل أو قبلها:
  • فئات المعلومات الشخصية الحساسة التي سيتم جمعها،
  • الأغراض التي يتم جمعها من أجلها،
  • سواء تم بيع تلك المعلومات أو مشاركتها، و
  • المدة الزمنية التي تعتزم الشركة الاحتفاظ فيها بالمعلومات الشخصية الحساسة للمستهلكين، بما في ذلك المعايير المستخدمة لتحديد تلك الفترة.
• يجب الإفصاح للمستهلك في إشعار الخصوصية:
  • قائمة بفئات المعلومات الشخصية الحساسة التي جمعتها عن المستهلكين خلال الاثني عشر شهرًا الماضية،
  • قائمة بفئات المعلومات الشخصية الحساسة التي باعتها أو شاركتها عن المستهلكين أو كشفت عنها لأغراض تجارية خلال الاثني عشر شهرًا الماضية،
  • فئات المصادر التي يتم من خلالها جمع المعلومات الشخصية الحساسة للمستهلكين،
  • الغرض التجاري أو العملي من جمع أو بيع أو مشاركة المعلومات الشخصية الحساسة للمستهلكين،
  • فئات الجهات الخارجية التي تفصح لها الشركة عن المعلومات الشخصية الحساسة للمستهلكين.
• اتخاذ إجراءات وممارسات أمنية معقولة تتناسب مع طبيعة المعلومات الشخصية الحساسة لحمايتها من الوصول غير المصرح به أو غير القانوني أو التدمير أو الاستخدام أو التعديل أو الإفصاح بموجب قانون حماية خصوصية المستهلك في كاليفورنيا (CPRA)؛
• توفير طريقتين أو أكثر مخصصة للمستهلكين لتقديم طلبات الوصول إلى المعلومات الشخصية الحساسة أو حذفها أو تصحيحها، وتلبية طلباتهم في غضون 45 يومًا؛
• توفير رابطين واضحين وبارزين على الصفحات الرئيسية لموقع الشركة على الإنترنت، بعنوان:
  • " لا تبيع أو تشارك معلوماتي الشخصية "، وهو ما يُمكّن المستهلك، أو الشخص المخول من قبل المستهلك، من إلغاء الاشتراك في بيع أو مشاركة معلومات المستهلك الشخصية، بما في ذلك معلوماته الشخصية الحساسة.
  • "تقييد استخدام معلوماتي الشخصية الحساسة"، والذي يمكّن المستهلك، أو الشخص المخوّل من قبل المستهلك، من تقييد استخدام أو الكشف عن معلومات المستهلك الشخصية الحساسة فقط للمهام التالية:
    • الاستخدام الضروري بشكل معقول لأداء الخدمات أو توفير السلع للمستهلك العادي.
    • المساعدة في ضمان الأمن والنزاهة.
    • الاستخدام قصير المدى والعابر، مثل الإعلانات غير الشخصية القائمة على تفاعل المستهلك مع النشاط التجاري في الوقت الفعلي - ومع ذلك، من المهم ملاحظة أنه لا يمكن مشاركة المعلومات الشخصية الحساسة للمستهلك مع أي طرف ثالث آخر ولا استخدامها لبناء ملفات تعريف أو تغيير تجربة المستهلك خارج تفاعله مع النشاط التجاري في الوقت الفعلي.
    • تقديم الخدمات نيابة عن الشركة، والتي تشمل صيانة أو خدمة حسابات المستخدمين، وتقديم خدمة العملاء، ومعالجة الطلبات وإتمام المعاملات، والتحقق من معلومات العملاء، ومعالجة المدفوعات، وتقديم التمويل، والخدمات التحليلية، والتخزين، أو الخدمات المماثلة نيابة عن الشركة.
    • للحفاظ على جودة وسلامة المنتجات/الخدمات التي تقدمها الشركة والتحقق منها، أو لتحسين/تطوير/تعزيز قدرات المنتجات.
• تُعفى الشركة من القيام بذلك إذا سمحت للمستهلكين بإلغاء الاشتراك في بيع أو مشاركة معلوماتهم الشخصية والحد من استخدام معلوماتهم الشخصية الحساسة من خلال إشارة تفضيل إلغاء الاشتراك العالمية التي يتم إرسالها بموافقة المستهلك بواسطة منصة أو تقنية أو آلية.
• يتعين على الشركات إخطار المستهلكين قبل استخدام معلوماتهم الشخصية الحساسة أو الكشف عنها لمزود خدمة أو متعاقد لأي أغراض إضافية محددة، كما يجب عليها إبلاغهم بحقهم في تقييد استخدام معلوماتهم الشخصية الحساسة أو الكشف عنها. ويجوز للمستهلكين الموافقة على استخدام معلوماتهم الشخصية الحساسة أو الكشف عنها لأغراض إضافية إذا كانوا قد مارسوا حقهم في تقييد استخدامها.
• الانتظار لمدة 12 شهرًا على الأقل قبل إعادة مطالبة المستهلك بالموافقة على بيع أو مشاركة معلوماته الشخصية الحساسة أو استخدام معلوماته الشخصية الحساسة والإفصاح عنها لأغراض إضافية.

Sensitive Data Intelligence خطوتك الأولى لإدارة المعلومات الشخصية الحساسة

نظراً لمدى اتساع تعريف المعلومات الشخصية الحساسة بموجب قانون حماية خصوصية المستهلك في كاليفورنيا، فمن المرجح أن تجد الشركات نفسها في حيرة من أمرها لتحديد ما إذا كانت تجمع أي بيانات من هذا القبيل.

تُعدّ إدارة كيفية جمع الشركات للمعلومات الشخصية الحساسة وتخزينها وتأمينها وصيانتها عملية طويلة وشاقة. لذا، يُعدّ الحل الآلي ضرورة حتمية لضمان تنفيذ هذه العملية بفعالية وكفاءة.

مع Securiti بفضل حلول البيانات الحساسة (SDI) من [اسم الشركة]، تستطيع المؤسسة فحص أصول بياناتها واكتشاف وتصنيف جميع المعلومات الشخصية والحساسة. علاوة على ذلك، يمكن تنظيم هذه البيانات المكتشفة بشكل منظم في فهرس لتمكين الفرق من الاستفادة من البيانات الوصفية لأغراض الأمن والخصوصية والامتثال.

تستخدم SDI تقنيات التعلم الآلي والتعرف على الأنماط، مما يساعد في تحديد المعلومات الشخصية والحساسة مثل المعرفات الحكومية والمالية والعرقية. ويمكنها بعد ذلك تصنيفها وفقًا لذلك عن طريق استيراد التصنيفات من مركز أمان Microsoft وتطبيقها على Box وNFS وSMB وغيرها من أصول البيانات غير المهيكلة .

تعتبر هذه التصنيفات الحساسة ضرورية لضمان تطبيق سياسات الأمان التي تمنع أي نوع من تسريبات البيانات.

يمكن للمؤسسة إرفاق بيانات وصفية إضافية بكل ملف حساس، مثل فئة البيانات الشخصية، والغرض من معالجتها، وفترة الاحتفاظ بها. بالإضافة إلى ذلك، تُمكّن مخططات بيانات الأفراد من تلبية طلبات حماية البيانات، وإخطارات الاختراق، وتقارير الموافقة بدقة وفي الوقت المناسب.

وأخيرًا، تُمكّن البنية التحتية لأمن البيانات (SDI) المؤسسة من تحديد نقاط الضعف في بيئتها بناءً على عناصر مثل عناصر البيانات المحددة، ومواقع البيانات، ومواقع المستخدمين. ويمكن استخدام هذه المعلومات لاتخاذ الإجراءات التصحيحية أو الوقائية اللازمة للتخفيف من مخاطر الأمن والخصوصية أو القضاء عليها.

كيف Securiti يمكن المساعدة

يتطلب قانون حماية خصوصية المستهلك في كاليفورنيا (CPRA)، شأنه شأن أي قانون آخر مهم لحماية الخصوصية، من المؤسسات تغييرًا جذريًا في طريقة جمعها للمعلومات الشخصية أو الحساسة للمستخدمين. إن حجم البيانات الهائل يجعل هذه المهمة تبدو شاقة لأي مؤسسة ما لم تلجأ إلى الأتمتة الروبوتية.

هذا هو المكان Securiti قد يثبت أنه خيار قابل للتطبيق.

Securiti 's Sensitive Data Intelligence تُعدّ (SDI) وسيلةً موثوقةً للغاية لبدء إدارة المعلومات الشخصية الحساسة في المؤسسة. باستخدام SDI، يمكنك تفعيل إدارة إشعارات الخصوصية لأتمتة عملية إدارة المعلومات الشخصية الحساسة في مؤسستك. privacy policy بما يتوافق مع متطلبات قانون حماية خصوصية المستهلك في كاليفورنيا (CPRA) مع تزويدك بمئات القوالب الجاهزة المصممة خصيصًا لتلبية احتياجاتك الفريدة.

يساعد حل data mapping الآلي في الحفاظ على فهرس محدث لجميع أصول البيانات والبيانات الحساسة، إلى جانب البيانات الوصفية مثل الغرض من الجمع وفترة الاحتفاظ وغيرها من التفاصيل.

بالإضافة إلى ذلك، يمكنك تصور خرائط البيانات للحصول على رؤى في الوقت الفعلي حول أنماط البيانات الرئيسية، وبدء عمليات تقييم الأثر على الخصوصية، ومراقبة المخاطر في الوقت الفعلي المتعلقة بأنشطة معالجة البيانات الخاصة بك.

اطلب عرضًا تجريبيًا اليوم لترى كيف Securiti يمكن لمنتجاتنا أن تساعد جهودك في الامتثال لقانون حماية خصوصية المستهلك في كاليفورنيا (CPRA) اليوم.