اكتشاف البيانات وفقًا للائحة العامة لحماية البيانات: خطوة نحو الامتثال لقانون حماية البيانات الشخصية

ستناقش هذه المدونة أهمية حلول اكتشاف البيانات في ضوء لائحة حماية البيانات البرازيلية Lei Geral de Proteção de Dados Pessoais ( LGPD ) والامتثال لها.

الحاجة المتزايدة لأداة اكتشاف البيانات

نظراً لما توفره الخدمات السحابية من مزايا أفضل من حيث الراحة والتكنولوجيا وقابلية التوسع والتكلفة مقارنةً بالخدمات التقليدية، تتجه المزيد من الشركات إلى نقل بياناتها المهمة إلى السحابة. ولتوضيح ذلك، تشير تقارير Flexera لعام 2021 حول حالة السحابة إلى أن 97% من المؤسسات تتبنى استراتيجية السحابة المتعددة.

إن الطبيعة المتباينة للبيانات، إلى جانب بيئات الحوسبة السحابية الديناميكية، تجعل المؤسسات غير قادرة على الحصول على رؤية سلسة لبياناتها أو مقاييسها الرئيسية.

ثم تتوزع البيانات نفسها على أصول بيانات مختلفة في أنظمة منظمة وغير منظمة. فبعض البيانات موجودة في جداول وأعمدة منظمة، بينما يوجد بعضها الآخر في رسائل البريد الإلكتروني، ومجلدات الملفات غير المحمية، وجداول البيانات، وما إلى ذلك. إن النقص الحاد في رؤية هذه البيانات لا يخلق ثغرات للتهديدات الأمنية المحتملة فحسب، بل يؤدي أيضًا إلى الإخلال بالامتثال.

فعلى سبيل المثال، يُعدّ تنفيذ طلبات الوصول إلى بيانات الأفراد (DSAR) أمراً شبه عالمي وإلزامي في معظم البلدان. data privacy اللوائح والقوانين. إذا لم تكن المنظمة على دراية بمكان وجود بيانات مستخدم معين في أنظمتها، فإنها ستفشل في الالتزام بطلب الوصول إلى البيانات الشخصية، وفي النهاية، لن تتمكن من تحقيق الامتثال.

ومن أهم النقاط التي سلطت عليها الرابطة الدولية لمحترفي الخصوصية الضوء من تقريرها السنوي للحوكمة لعام 2019 الصادر عن الرابطة الدولية لمحترفي الخصوصية وشركة إرنست ويونغ، هي: "أكثر من نصف المشاركين (56٪) ذكروا أن "تحديد موقع البيانات الشخصية غير المهيكلة" هو أصعب مشكلة في الاستجابة لطلبات الوصول إلى بيانات الأفراد (بما في ذلك طلبات الوصول والحذف والتصحيح)."

يمكن أن تساعد عملية اكتشاف البيانات المؤسسات في تحديد البيانات وفهرستها ورسم خرائط لها. وهذا يمكّنها أيضاً من تقييم مستوى حساسيتها، وتحديد السمات الخاضعة للتنظيم، والاحتفاظ بسجل لأنشطة معالجة البيانات.

يُعد اكتشاف البيانات أمراً بالغ الأهمية للامتثال لقانون حماية البيانات العامة (LGPD).

قانون حماية البيانات الشخصية البرازيلي (LGPD) هو قانون حماية البيانات في البرازيل، وقد دخل حيز التنفيذ في 18 سبتمبر 2020، ويُشار إليه بأنه النسخة البرازيلية من اللائحة العامة لحماية البيانات ( GDPR ) الصادرة عن الاتحاد الأوروبي. يتشارك قانون حماية البيانات الشخصية البرازيلي (LGPD) العديد من السمات مع اللائحة العامة لحماية البيانات (GDPR) الصادرة عن الاتحاد الأوروبي، ولكنه يتضمن أيضًا لوائح إضافية تجعله معيارًا أكثر شمولًا وصرامة لحماية الخصوصية.

يتضمن قانون حماية البيانات العامة (LGPD) 65 مادة موزعة على 10 فصول. وللامتثال لهذا القانون، يجب على المؤسسات مراعاة ما يلي:

متطلبات قانون حماية البيانات الشخصية (LGPD) لمعالجة البيانات الشخصية

بموجب الفصل الثاني، القسم الأول، والمادة 7 من قانون حماية البيانات العامة (LGPD)، يُلزم القانون المنظمات بتنفيذ عمليات معالجة البيانات فقط إذا استوفت أيًا من الأسس القانونية التالية:

1. تم الحصول على موافقة صاحب البيانات.
2. يجب على مراقب البيانات الامتثال لمتطلبات قانونية أو تنظيمية.
3. عندما تكون معالجة البيانات مطلوبة من قبل الإدارة العامة لتنفيذ السياسات العامة المنصوص عليها في اللوائح أو المستندة إلى الاتفاقيات أو العقود أو الأدوات المماثلة.
4. لأغراض البحث من قبل الكيانات البحثية، شريطة الحفاظ على إخفاء هوية البيانات كلما أمكن ذلك.
5. عندما يطلب صاحب البيانات معالجة البيانات لتنفيذ أي إجراءات تمهيدية تتعلق بعقد أو بتنفيذ العقد نفسه الذي يكون صاحب البيانات طرفًا فيه.
6. لممارسة الحقوق في الإجراءات الإدارية أو القضائية أو التحكيمية
7. لحماية حياة أو سلامة طرف ثالث أو صاحب البيانات
8. لحماية الصحة، حصراً في إجراء يتم تنفيذه من قبل متخصصين في الرعاية الصحية أو كيانات أو خدمات أو سلطات صحية.
9. عند الضرورة لتحقيق المصالح المشروعة لطرف ثالث أو جهة تحكم، شريطة ألا ينتهك ذلك الحقوق الأساسية لصاحب البيانات.
10. لحماية الائتمان وفقًا للقانون المعمول به.

حقوق أصحاب البيانات بموجب قانون حماية البيانات العامة (LGPD)

يُمكّن قانون حماية البيانات العامة (LGPD) الأفراد من التحكم بشكل أفضل في بياناتهم من خلال ممارسة تسعة حقوق خاصة بهم ضد المؤسسات العامة والخاصة. كما يُحدد قانون حماية البيانات العامة (GDPR) حقوقًا للأفراد تُشابه في جوهرها حقوق قانون حماية البيانات العامة (LGPD)، باستثناء بعض الحالات.

بموجب قانون حماية البيانات الشخصية (LGPD)، تشمل حقوق أصحاب البيانات الحق التالي:

• للتأكد من وجود معالجة للبيانات الشخصية
• أن يتم إعلامك بمعالجة البيانات الشخصية
• للوصول إلى البيانات الشخصية
• لتصحيح البيانات الشخصية غير الصحيحة أو القديمة
• إخفاء هوية أي بيانات شخصية زائدة أو غير ضرورية تتم معالجتها بشكل لا يتوافق مع اللوائح، أو حظرها أو حذفها.
• نقل البيانات الشخصية إلى مزود خدمة تابع لجهة خارجية عبر طلب صريح (قابلية نقل البيانات).
• لطلب حذف البيانات الشخصية التي تم جمعها باستخدام الموافقة، بعد انتهاء الغرض من المعالجة الذي تم الحصول على الموافقة من أجله.
• لطلب معلومات عن الأطراف الثالثة العامة والخاصة التي تم مشاركة البيانات الشخصية معها.
• أن يتم إبلاغك بإمكانية رفض الموافقة على جمع ومعالجة البيانات الشخصية وعواقب هذا الرفض.
• لطلب إلغاء الموافقة المقدمة سابقاً لمعالجة البيانات الشخصية لغرض معين.

الشفافية والمساءلة في مجال حماية البيانات العامة

بموجب المادة 6 من الفصل الأول ، يشترط قانون حماية البيانات العامة (LGPD) أن تتم جميع أنشطة معالجة البيانات بحسن نية وفقًا للمبادئ المنصوص عليها.

وفقًا للمادة 6 (VI)، يُنص على مبدأ الشفافية باعتباره "ضمانًا للأفراد المعنيين ببياناتهم بمعلومات واضحة ودقيقة وسهلة الوصول حول تنفيذ عمليات المعالجة والجهات المعنية بها، مع مراعاة السرية التجارية والصناعية". ويتعزز هذا الشرط بموجب المادة 9 التي تحدد المعلومات الواجب تقديمها للفرد المعني ببياناته، والمتعلقة بسبب جمع بياناته الشخصية ومعالجتها. ويشمل ذلك معلومات حول الغرض من المعالجة ونوعها ومدتها، وما إذا كانت المعالجة شرطًا لتوفير منتج أو خدمة أو لممارسة حق من الحقوق.

وفقًا للمادة 6(X)، يشمل ذلك مبدأ المساءلة الذي يُعرَّف بأنه "إثبات، من قِبَل وكيل معالجة البيانات، اعتماد تدابير فعالة وقادرة على إثبات الامتثال لقواعد حماية البيانات الشخصية، بما في ذلك فعالية هذه التدابير". ويتعزز هذا الشرط بموجب المادة 37 التي تلزم المتحكمين والمعالجين بالاحتفاظ بسجلات لأنشطة المعالجة الخاصة بهم، والمادة 38 التي تلزم المتحكمين بإجراء وتوثيق تقييمات أثر حماية البيانات لأنواع معينة من المعالجة.

تنص المادة 50 من قانون حماية البيانات الشخصية (LGPD) على ضرورة قيام جهات التحكم والمعالجة، سواء بشكل جماعي أو فردي، بوضع قواعد وممارسات لحوكمة البيانات بما يتوافق مع القانون. ويجب أن تُصاغ هذه القواعد والممارسات بما يتناسب مع أنشطة المعالجة وجرد البيانات الشخصية للمؤسسة، وأن تراعي طبيعة ونطاق وغرض واحتمالية وخطورة المخاطر والفوائد المترتبة على معالجة البيانات الشخصية المُجمعة. كما يجب أن تُظهر هذه القواعد والممارسات فعالية برنامج حوكمة البيانات الخاص بالمؤسسة مقارنةً بأفضل الممارسات أو مدونات السلوك، والتي تُعزز، بشكل مستقل، الامتثال لأحكام قانون حماية البيانات الشخصية (LGPD).

أمن البيانات وحوكمتها وفقًا لقانون حماية البيانات العامة (LGPD)

بموجب القسم الأول من الفصل السابع من قانون حماية البيانات الشخصية (LGPD)، تُقدّم إرشاداتٍ بشأن ممارسات الأمن التي يجب على المؤسسات تطبيقها لحماية البيانات وسلامتها. وبموجب هذا القانون، يتعين على المؤسسات اتخاذ تدابير أمنية وتقنية وإدارية فعّالة لحماية البيانات الشخصية من الوصول غير المصرح به، ومن حالات التدمير أو الفقدان أو التغيير أو الإفشاء العرضي أو غير القانوني، أو أي نوع من المعالجة غير السليمة أو غير القانونية. وتشمل بعض التدابير والإرشادات الأمنية ما يلي:

• ضوابط وصول صارمة وتقليل الامتيازات المفرطة
• نشر أنظمة المصادقة للوصول إلى السجلات؛
• استخدام التشفير وغيره من التدابير المكافئة لتأمين البيانات من الاختراق؛
• في حالة حدوث أي خرق، يجب على المنظمة إخطار الهيئة التنظيمية LGPD، Autoridade Nacional de Proteção de Dados (ANPD)، وصاحب البيانات المتأثر؛
• ينبغي أن يوضح إشعار الاختراق مدى خطورة الاختراق.

لكي تتمكن المنظمات من الامتثال للوائح المذكورة أعلاه بموجب قانون حماية البيانات العامة (LGPD)، يجب عليها تطبيق أفضل ممارسات اكتشاف البيانات واتباعها.

ممارسات اكتشاف البيانات وفقًا لقانون حماية البيانات العامة (LGPD)

• تتطلب الخطوة الأولى نحو الامتثال فهمًا دقيقًا لمواقع البيانات في مختلف أصول البيانات. لذا، من الضروري أولًا إنشاء فهرس موحد لجميع أصول البيانات، سواءً كانت بيانات ظل أو بيانات أصلية، عبر بنية PaaS التحتية، والأنظمة المحلية، وتطبيقات SaaS، أو الحوسبة السحابية فائقة التوسع.
• ينبغي بعد ذلك فحص أصول البيانات بحثًا عن البيانات الوصفية ذات الصلة وتصنيفها ضمن فئات مناسبة، مثل البيانات الوصفية للأعمال أو البيانات الوصفية الأمنية. قد تتضمن هذه البيانات الوصفية تفاصيل المورّد، والإصدار، وحالة أمان أصل البيانات، وما إلى ذلك.
• بعد تحديد أصول البيانات وفهرستها، تتمثل الخطوة التالية في مسح البيانات الموجودة وتحديد البيانات الشخصية والبيانات الحساسة . يجب أن تكون عملية اكتشاف البيانات فعّالة بما يكفي لإجراء مسح شامل للبيانات المنظمة وغير المنظمة، وتصنيف البيانات المحددة وفقًا لعناصرها ذات الصلة، مثل المعلومات الصحية، والمعلومات الشخصية، والمعلومات الحساسة، والمعلومات المالية، على سبيل المثال لا الحصر. كما يُساعد تصنيف البيانات مسؤولي النظام على ربط البيانات بأصحابها أو الجهات المعنية بها.
• يحتاج مسؤول النظام بعد ذلك إلى تطبيق سياسات وأمن وتصنيف البيانات بناءً على الخصوصية، وتصنيف البيانات وفقًا لمستوى حساسيتها، وحالة المخاطر، والغرض من المعالجة، وما إلى ذلك.

يأخذ نظام اكتشاف البيانات الشامل جميع هذه المعايير في الاعتبار، كما يُمكّن المسؤولين من:

• ربط البيانات المنظمة وغير المنظمة بشكل فعال بأصحاب البيانات، مما يسمح لهم بتلبية طلبات DSR.
• يكشف عن نقاط الضعف الأمنية وأي أخطاء في التكوين حتى يتمكن المسؤولون من ضمان ضوابط وصول صارمة وتشفير البيانات وغيرها من التدابير الأمنية المكافئة.
• توثيق جميع أنشطة معالجة البيانات وسجلاتها والاحتفاظ بسجل محدّث لها.
• الامتثال للوائح الأمن والخصوصية الأخرى التي يفرضها برنامج حماية البيانات الحكومية.

كيف Securiti هل يمكنك المساعدة؟

Securiti تُمكّن المؤسسات من إجراء عمليات مسح عميقة لاكتشاف البيانات عبر بيئاتها ذات الحجم البيتابايت باستخدام حل PrivacyOps المدعوم بالذكاء الاصطناعي، وضمان الامتثال لقانون حماية البيانات العامة (LGPD) ولوائح حماية البيانات العالمية الأخرى.

• قم بإجراء عمليات مسح بيانات معمقة عبر بيئات محلية، وبيئات هجينة، وبيئات متعددة السحابات.
• قم بنشر أكثر من 200 موصل أصلي لاكتشاف أصول البيانات وفهرستها بكفاءة.
• استخدم المئات من سمات البيانات الشخصية والحساسة المدمجة والعشرات من السمات الجاهزة للاستخدام.
• تحديد وتصنيف مئات السمات الخاصة بلوائح الخصوصية الإقليمية، مثل LGPD و GDPR و CCPA وما إلى ذلك.

احجز عرضًا تجريبيًا الآن لمزيد من المعلومات.

الأسئلة الشائعة (FAQs)

بعض الأسئلة الأكثر شيوعاً هي كالتالي: