ما هو الاحتفاظ بالبيانات؟: أفضل الممارسات والفوائد والأمثلة

أصبح الاحتفاظ بالبيانات مفهوماً بالغ الأهمية في المشهد المتطور باستمرار والقائم على البيانات، حيث تستمر البيانات في الانتقال عبر الحدود. وبدون تطبيق سياسة فعّالة للاحتفاظ بالبيانات، سيصبح المشهد فوضوياً، مما يؤدي إلى انتهاك القانون، وعدم القدرة على الوصول إلى المعلومات التاريخية، وتفاقم خطر إساءة استخدام البيانات الحساسة أو كشفها .

يُمكّن الاحتفاظ بالبيانات المؤسسات من تخزين البيانات وإدارتها واستخدامها لأغراض متنوعة، بما في ذلك الاستخبارات المؤسسية وضمان الامتثال القانوني. ومع ذلك، في ظل العصر الحديث data privacy بموجب القوانين، لا يُسمح للمنظمات بالاحتفاظ بالبيانات الشخصية لفترة أطول من اللازم لتحقيق الأغراض التي جُمعت من أجلها في البداية.

Data privacy تُلزم القوانين المؤسسات بوضع إجراءات لمحو البيانات في الوقت المناسب، وضمان أمن البيانات أثناء الاحتفاظ بها، وتحديد فترات الاحتفاظ بدقة، وضمان الشفافية في إجراءات معالجة البيانات، وإعطاء الأولوية لحق الفرد في الخصوصية. ويمكن تحقيق ذلك من خلال وضع سياسة واضحة ومحددة للاحتفاظ بالبيانات .

سيتناول هذا الدليل عالم الاحتفاظ بالبيانات متعدد الأوجه، ويتعمق في أهميته وأفضل الممارسات وكيف يؤثر على عصرنا القائم على البيانات.

ما هو الاحتفاظ بالبيانات؟

الاحتفاظ بالبيانات هو عملية تخزينها لفترة زمنية محددة امتثالاً للقوانين، ودعماً لاحتياجات العمل، وتمكيناً من استخلاص رؤى مستندة إلى البيانات. يضمن الاحتفاظ بالبيانات الحفاظ على المعلومات آمنة ومتاحة للاستخدام المقصود مع الالتزام بقوانين الخصوصية وحماية البيانات .

تتضمن عملية الاحتفاظ بالبيانات وضع سياسات واضحة تحدد كيفية تخزينها ومعالجتها بناءً على قيمتها والمتطلبات القانونية. ويشمل ذلك تحديد البيانات وتصنيفها، وتحديد فترات الاحتفاظ بها، وتنفيذ عمليات التخزين والحذف. يعزز هذا النهج المنظم الإدارة الفعالة للبيانات من خلال ضمان الاحتفاظ بها عند الحاجة والتخلص منها عند انتفاء الحاجة إليها للأغراض التي جُمعت من أجلها في الأصل.

ما هي سياسة الاحتفاظ بالبيانات ولماذا هي مهمة؟

تحدد سياسة الاحتفاظ بالبيانات المدد الزمنية والمعايير والإجراءات اللازمة للاحتفاظ بمختلف فئات البيانات، مع مراعاة الاحتياجات التشغيلية والتجارية والقانونية والتنظيمية. وتساعد هذه السياسة المؤسسات على إدارة دورة حياة بياناتها، وضمان الامتثال، والحد من المخاطر المرتبطة بالاحتفاظ بالبيانات لفترة أطول من اللازم.

ما الذي يجب تضمينه في سياسة الاحتفاظ بالبيانات؟

قد تتضمن سياسة الاحتفاظ بالبيانات ما يلي:

• فئات البيانات - ما هي البيانات التي تجمعها (البيانات المالية أو القانونية أو الصحية أو الشخصية)، ولماذا تجمعها، وأين يتم تخزينها.
• الأدوار والمسؤوليات – تحديد الجهة المسؤولة عن تنفيذ السياسة والإشراف عليها. يجب على مالكي البيانات تحديد مدة الاحتفاظ بالبيانات؛ ويجب على أمناء البيانات ضمان توافق تخزين البيانات مع السياسة، ويجب على مسؤولي الامتثال مراقبة الامتثال للمتطلبات القانونية والتنظيمية.
• تصنيف البيانات - تحديد فئات البيانات، مثل البيانات السرية (على سبيل المثال، البيانات الشخصية، الأسرار التجارية)، والبيانات التشغيلية (على سبيل المثال، جداول الموظفين، والتقارير الداخلية)، والبيانات الأرشيفية (على سبيل المثال، السجلات المالية التاريخية) وتحديد فترات الاحتفاظ لكل فئة.
• فترات الاحتفاظ - مواصفات المدة التي ستحتفظ فيها بأنواع البيانات المختلفة ولأي سبب.
• التخزين والتخلص من البيانات - حدد مكان تخزين البيانات والأساليب الآمنة المستخدمة لتدمير البيانات بعد انتهاء فترة الاحتفاظ بها.
• ضوابط الوصول - من يمكنه الوصول إلى البيانات والتخلص منها عند الحاجة.
• القوانين السارية – تفاصيل حول القوانين ومعايير الصناعة التي تنطبق على البيانات التي تجمعها، وكيف تضمن مؤسستك الامتثال لها. وضّح كيف تتوافق السياسة مع معايير اللائحة العامة لحماية البيانات (GDPR) أو قانون خصوصية المستهلك في كاليفورنيا (CCPA) أو قانون ساربينز-أوكسلي (SOX).
• ممارسات المعالجة - نظرة عامة على كيفية التخلص من البيانات والتعامل مع طلبات حذف المستخدم - وهو شرط شائع في معظم لوائح الخصوصية.
• الاستثناءات والإعفاءات – تحديد الحالات التي يجوز فيها الاحتفاظ بالبيانات لفترة أطول من الفترة المعتادة، مثل التقاضي المستمر والتحقيقات وما إلى ذلك.

فوائد سياسة الاحتفاظ بالبيانات

توفر سياسة الاحتفاظ بالبيانات المحددة جيداً العديد من الفوائد للمؤسسات:

• الامتثال القانوني : يساعد المؤسسات على الامتثال لقوانين الاحتفاظ بالبيانات وتجنب العقوبات والتعقيدات القانونية الأخرى.
• انخفاض تكاليف التخزين : يعمل على تبسيط إدارة البيانات وتقليل تكاليف التخزين عن طريق الاحتفاظ فقط بالبيانات الضرورية للمعالجة.
• تحسين أمن البيانات : يقلل من مخاطر اختراق البيانات من خلال ضمان الحفاظ على البيانات الحساسة آمنة والتخلص منها بشكل مسؤول.
• استرجاع البيانات بكفاءة : فهو يوفر الوقت والموارد من خلال تبسيط تحديد البيانات المهمة والوصول إليها عند الحاجة.
• رؤى تاريخية : يمكن للمؤسسات تحليل البيانات المحفوظة للحصول على رؤى تاريخية لتحسين عملية صنع القرار والتخطيط.
• تبسيط سير العمل : تعمل السياسة الواضحة على تبسيط إجراءات إدارة البيانات وتقليل الفوضى، مما يعزز الفعالية التشغيلية الشاملة.
• يخفف من التعقيدات القانونية : فهو يقلل من احتمالية الاحتفاظ ببيانات قديمة أو غير ضرورية، والتي قد تصبح مشكلة في حالة رفع دعوى قضائية.
• بناء ثقة العملاء : تُظهر سياسة الاحتفاظ بالبيانات المحددة جيدًا التزام المؤسسة بالتعامل مع البيانات بمسؤولية، مما يعزز ثقة العملاء وسمعتها.

متطلبات الامتثال للاحتفاظ بالبيانات

تختلف متطلبات الامتثال باختلاف القوانين الفيدرالية وقوانين الولايات والقوانين الدولية التي تحدد فترات الاحتفاظ بكل لائحة. إليك نظرة عامة:

قانون قابلية نقل التأمين الصحي والمساءلة (HIPAA) وقانون ساربينز-أوكسلي (SOX)

في الولايات المتحدة، يتضمن قانون قابلية نقل التأمين الصحي والمساءلة (HIPAA) وقانون ساربينز-أوكسلي (SOX) متطلبات محددة للاحتفاظ بالبيانات.

ينص قانون نقل التأمين الصحي والمساءلة (HIPAA) على إلزام مؤسسات الرعاية الصحية بالاحتفاظ بالمعلومات الصحية المحمية (PHI) لمدة ست سنوات على الأقل. تبدأ فترة الاحتفاظ من تاريخ إنشاء البيانات أو تاريخ آخر استخدام لها. كما يُلزم قانون HIPAA المؤسسات بتوفير تخزين آمن للبيانات، وضوابط للوصول إليها، وبروتوكولات للتخلص منها، وذلك لحماية خصوصية وأمن السجلات الطبية للمرضى.

بموجب قانون ساربينز-أوكسلي (SOX)، تتعلق متطلبات الاحتفاظ بالبيانات بالسجلات والوثائق المالية. ويتعين على الشركات المساهمة العامة الاحتفاظ بالسجلات المالية، بما في ذلك وثائق المحاسبة والتدقيق، لمدة سبع سنوات على الأقل. ويُعدّ الاحتفاظ بالبيانات بموجب قانون ساربينز-أوكسلي أمرًا بالغ الأهمية للشفافية والمساءلة المالية، إذ يضمن احتفاظ المؤسسات بسجلات مالية دقيقة لأغراض التدقيق والامتثال.

اللائحة العامة لحماية البيانات (GDPR) للاتحاد الأوروبي

يشترط نظام حماية البيانات العامة (GDPR) على المؤسسات الاحتفاظ بالبيانات الشخصية لفترة لا تتجاوز المدة اللازمة لتحقيق الأغراض التي جُمعت من أجلها. ويجب أن يكون لدى المؤسسات سياسة واضحة للاحتفاظ بالبيانات، وأن تكون قادرة على إثبات التزامها بهذه السياسة. إضافةً إلى ذلك، يشترط نظام حماية البيانات العامة (GDPR) على المؤسسات حذف البيانات الشخصية أو إتلافها بشكل آمن عند انتفاء الحاجة إليها.

قانون خصوصية المستهلك في كاليفورنيا (CCPA) وقانون حقوق الخصوصية في كاليفورنيا (CPRA)

ينص قانون خصوصية المستهلك في كاليفورنيا ( CCPA )، الذي عُدِّل لاحقًا بموجب قانون حقوق الخصوصية في كاليفورنيا (CPRA) ، على إلزام المؤسسات بالإفصاح عن سياسة الاحتفاظ بالبيانات والفئات المحددة للمعلومات الشخصية التي تجمعها وتستخدمها وتحتفظ بها. كما يجب على المؤسسات منح المستهلكين الحق في طلب حذف معلوماتهم الشخصية، والامتثال لهذه الطلبات خلال فترة زمنية محددة.

السياسات الداخلية

قد تضع المؤسسات إرشاداتها الخاصة للاحتفاظ بالبيانات لضمان الاحتفاظ بها للمدة الزمنية المناسبة ثم مسحها عندما لا تعود هناك حاجة إليها.

الالتزامات التعاقدية

قد تُفرض التزامات تعاقدية على المنظمات التي تتعامل مع العملاء أو الشركاء أو الموردين.

معوقات تطبيق سياسات ناجحة للاحتفاظ بالبيانات

يُمثل الالتزام بسياسات الاحتفاظ بالبيانات تحديات فريدة للمؤسسات. وقد تختلف هذه الصعوبات باختلاف القطاع ونوع البيانات والإطار التنظيمي. فيما يلي بعض التحديات الشائعة:

بيئة تنظيمية متنوعة

تتسم لوائح الاحتفاظ بالبيانات بالتعقيد وتختلف باختلاف القطاعات والدول. وقد يمثل التعامل مع هذه البيئة التنظيمية المعقدة تحديًا للمؤسسات، لا سيما إذا كانت تعمل على الصعيد الدولي. لذا، يجب عليها البقاء على اطلاع دائم بتعديلات التشريعات والتأكد من توافق سياساتها مع القوانين المحلية والدولية.

انتشار البيانات

تُنتج المؤسسات تدفقًا مستمرًا من البيانات، مما يجعل إدارة وتخزين هذه الكمية الهائلة من البيانات أمرًا بالغ الصعوبة. وتعتمد لوائح الاحتفاظ بالبيانات الفعّالة على القدرة على تحديد البيانات وتصنيفها وفقًا لقيمتها وحساسيتها.

تطور التكنولوجيا

قد تواجه المؤسسات صعوبة في الحفاظ على ممارسات الاحتفاظ بالبيانات الحالية نظرًا لتطور هذه الممارسات بالتزامن مع التطور السريع للتكنولوجيا. وقد تحتاج المؤسسات إلى تحديث سياساتها وهيكلها استجابةً لظهور تنسيقات بيانات جديدة، وقنوات اتصال، وتقنيات تخزين متطورة.

ضمان أمن البيانات

يجب على المؤسسات إعطاء الأولوية لضرورة الاحتفاظ بالبيانات بشكل آمن للوفاء بالمتطلبات القانونية، والتأكد من سهولة الوصول إليها عند الحاجة. ويتطلب أمن البيانات تطبيق إجراءات أمنية قوية لحماية البيانات الحساسة من الوصول غير المصرح به والتهديدات الأمنية المستجدة.

إدارة دورة حياة البيانات

قد تكون إدارة دورة حياة البيانات الكاملة عملية معقدة، بدءًا من إنشاء البيانات وحتى التخلص منها. لذا، يجب على المؤسسات وضع إجراءات قوية لإنشاء البيانات وتخزينها والوصول إليها وحذفها.

التكاليف والموارد

قد تتطلب سياسات الاحتفاظ بالبيانات الفعالة موارد كبيرة لتنفيذها وإدارتها. وهذا يشمل تدريب الموظفين، ومراقبة الامتثال، والاستثمار في الأدوات الحديثة.

الأنظمة والبيانات القديمة

لا تزال معظم المؤسسات تستخدم أنظمة بيانات وأدوات إدارة بيانات قديمة، مما يصعب دمجها مع أدوات وتقنيات إدارة البيانات الحديثة. ويُعدّ الانتقال من هذه الأنظمة مع الحفاظ على الامتثال للمعايير أمرًا بالغ الصعوبة.

كيفية إنشاء سياسة الاحتفاظ بالبيانات

يُعدّ وضع سياسة للاحتفاظ بالبيانات أمرًا بالغ الأهمية للمؤسسات لضمان الامتثال السريع، وإدارة البيانات بكفاءة، وضمان أفضل الممارسات لحماية data privacy وأمنها. إليك دليلًا تفصيليًا لمساعدتك في وضع سياسة للاحتفاظ بالبيانات:

تحديد المتطلبات القانونية والتنظيمية

ابدأ بتحديد المعايير القانونية والتنظيمية الخاصة التي تنطبق على مؤسستك. وهذا يشمل data privacy التشريعات والقواعد الخاصة بكل قطاع والإجراءات المتعلقة بإخطار الأطراف المعنية بانتهاكات البيانات. تحديد فئات البيانات التي يجب الاحتفاظ بها والأطر الزمنية لذلك.

إنشاء جرد للبيانات

قم بإجراء تدقيق شامل للبيانات التي تجمعها مؤسستك وتخزنها. بمجرد تحديد البيانات، قم بتصنيف أنواعها، مثل بيانات العملاء، والسجلات المالية، ومعلومات الموارد البشرية، وما إلى ذلك.

تحديد فئات البيانات

صنّف البيانات وفقًا لأهميتها وحساسيتها واحتياجاتها القانونية والتنظيمية. حدّد الفئات على أنها بيانات "حرجة" و"حساسة" و"غير أساسية"، وما إلى ذلك.

تحديد فترات الاحتفاظ

حدد فترات الاحتفاظ المناسبة لكل فئة من فئات البيانات بناءً على المتطلبات القانونية واحتياجات العمل ومعايير الصناعة. قد يلزم الاحتفاظ ببعض البيانات لعدة سنوات، بينما قد تكون فترات الاحتفاظ ببيانات أخرى أقصر.

إجراءات معالجة البيانات

حدد بوضوح كيفية التعامل مع البيانات في كل مرحلة من مراحل دورة حياتها، بدءًا من جمعها وحتى التخلص منها. وينبغي أن يشمل ذلك سياسات النسخ الاحتياطي للبيانات ، والتشفير، وضوابط الوصول، والتخزين.

إتلاف البيانات

ضع إجراءات آمنة لإتلاف البيانات لضمان التخلص منها بشكل مناسب عند انتهاء فترة الاحتفاظ بها. قد يشمل ذلك إتلاف البيانات الرقمية بشكل آمن أو تمزيق المستندات الورقية.

الوصول والاسترجاع

وضع بروتوكولات تسمح للأفراد المصرح لهم بالوصول إلى البيانات واسترجاعها عند الحاجة لأغراض تشغيلية أو قانونية أو غيرها.

التدريب والتعليم

تنفيذ برامج التدريب والتوعية لضمان إطلاع جميع الموظفين على سياسة الاحتفاظ بالبيانات وأدوارهم في الالتزام بها.

التدقيق والمراقبة المنتظمة

قم بتطوير آلية لإجراء تدقيق وتقييم دوري للامتثال لسياسات الاحتفاظ بالبيانات لضمان اتباع الإرشادات بشكل صحيح.

تحديث السياسة

قم بمراجعة سياسة الاحتفاظ بالبيانات بشكل دوري للتأكد من امتثالها لمعايير الصناعة والالتزامات التنظيمية المتطورة.

إن وضع سياسة للاحتفاظ بالبيانات عملية مستمرة تتطلب تخطيطًا دقيقًا وتحديثًا منتظمًا لمواكبة متطلبات العمل والقانون المتطورة.

عزز برنامج الاحتفاظ بالبيانات الخاص بك مع Securiti

Securiti هو رائد في Data Command Center ، وهي منصة مركزية تُمكّن من الاستخدام الآمن للبيانات والذكاء الاصطناعي. وتستفيد من ذكاء البيانات السياقي والأتمتة لتوحيد ضوابط البيانات عبر الأمن والخصوصية والامتثال والحوكمة من خلال منصة واحدة متكاملة تمامًا.

تعتمد الشركات العالمية الكبرى على Securiti 's Data Command Center لأغراض أمن البيانات والخصوصية والحوكمة والامتثال. Securiti وقد تم الاعتراف بها كـ "مورد رائع في أمن البيانات" من قبل غارتنر ، و "قائد موجة إدارة الخصوصية" من قبل فورستر ، و "الشركة الناشئة الأكثر ابتكارًا" من قبل RSA .

Securiti يمكن أن يساعد في وضع سياسة للاحتفاظ بالبيانات من خلال تمكين المؤسسات من:

• اكتشف أصول البيانات وقم ببناء جرد للبيانات؛
• تصنيف فئات البيانات - تنظيم مجموعات البيانات المتنوعة بناءً على معايير محددة مسبقًا؛
• تطبيق التصنيفات من خلال السياسات - أتمتة عملية وضع العلامات على البيانات بناءً على قواعد محددة مسبقًا؛
• حدد سياسة الاحتفاظ بالبيانات بناءً على نوع البيانات؛
• تحديد البيانات التي تم الاحتفاظ بها بما يتجاوز سياسات الاحتفاظ بالبيانات؛
• اتخذ الإجراء المناسب - التنبيه، إرسال بريد إلكتروني، حذف البيانات، عزلها، أو تمديد فترة الاحتفاظ بها.

اطلب عرضًا توضيحيًا لتشاهد بنفسك Securiti أثناء العمل.

الأسئلة الشائعة