المادة 32 من GDPR: أمن المعالجة بندًا بندًا، وما يقابلها عربيًا

المادة 32 من اللائحة العامة لحماية البيانات الأوروبية (GDPR) هي المادة التي تُسأل عنها المؤسسة بعد الحادثة، لا المادة التي تُعرض في العرض الترويجي. نصها لا يذكر جدار حماية ولا منتجًا ولا شهادة، بل يضع معيارًا واحدًا: تدابير تقنية وتنظيمية ملائمة لمستوى المخاطر، ثم يعطي أربعة أمثلة على ما يمكن أن تكون عليه. هذا الدليل يقرأ المادة بندًا بندًا، ويحوّل كل بند منها إلى ضابط قابل للتنفيذ والقياس، ثم يقارنه بما يقابله في نظام حماية البيانات الشخصية السعودي ومرسوم حماية البيانات الإماراتي، لأن القارئ العربي يعمل غالبًا تحت نظامين في الوقت نفسه: عميل أوروبي يطلب الامتثال، وجهة تنظيمية محلية تسأله عن الضوابط الوطنية.

ما تقوله المادة 32 نصًا، وما لا تقوله

عنوان المادة هو أمن المعالجة، ويبدأ نصها بشرط لا يُقرأ عادة: على جهة التحكم والمعالج أن ينفذا تدابير تقنية وتنظيمية ملائمة تضمن مستوى أمنيًا يتناسب مع المخاطر، مع مراعاة حالة التقنية، وتكاليف التنفيذ، وطبيعة المعالجة ونطاقها وسياقها وأغراضها، واحتمالات المخاطر وشدتها على حقوق الأشخاص الطبيعيين وحرياتهم. هذه ليست مقدمة إنشائية، بل خمسة معايير يُقاس بها الاختيار: التقنية المتاحة اليوم، والتكلفة، وطبيعة البيانات، والسياق، ومستوى الخطر.

ثم تأتي البنود الأربعة، وهي أمثلة لا حصر، بدليل عبارة على سبيل المثال لا الحصر وبحسب ما يكون ملائمًا:

• (أ) إخفاء هوية البيانات الشخصية وتشفيرها.
• (ب) القدرة على ضمان استمرار السرية والسلامة والتوافر والمرونة لأنظمة المعالجة وخدماتها.
• (ج) القدرة على استعادة توافر البيانات الشخصية والوصول إليها في الوقت المناسب عند وقوع حادث مادي أو تقني.
• (د) عملية لاختبار وتقييم فعالية التدابير التقنية والتنظيمية بشكل منتظم، للتثبت من أمن المعالجة.

الفقرة الثانية تحدّد ما يُقاس عليه الأمن الملائم: المخاطر الناتجة عن المعالجة نفسها، وتحديدًا التلف أو الفقد أو التغيير أو الإفصاح غير المصرح به أو الوصول غير المصرح به، سواء وقع ذلك بشكل عرضي أو غير مشروع، وسواء كانت البيانات في النقل أو في التخزين أو قيد المعالجة.

الفقرة الثالثة تفتح بابًا يُساء استخدامه كثيرًا: الالتزام بمدونة سلوك معتمدة وفق المادة 40، أو بآلية شهادة معتمدة وفق المادة 42، يجوز استخدامه كعنصر لإثبات الامتثال للفقرة الأولى. عنصر لا دليل كافٍ، ولا حصانة. الشهادة تُخفف عبء الإثبات ولا تنقل المسؤولية عن الجهة التي تحملها.

الفقرة الرابعة هي الأكثر إهمالًا في الممارسة: على جهة التحكم والمعالج أن يتخذا الخطوات اللازمة لضمان ألا يعالج أي شخص طبيعي يعمل تحت سلطتهما، وله وصول إلى البيانات الشخصية، هذه البيانات إلا بناءً على تعليمات جهة التحكم، إلا إذا كان ملزمًا بذلك بموجب قانون الاتحاد أو قانون دولة عضو. أي أن الموظف والدعم الفني والمقاول والمتعهد الفرعي كلهم داخل النص، لا خارجه.

المعيار هو الملاءمة لا الاكتمال

أكثر ما يُسأل عنه المسؤول عن الامتثال ليس هل عندكم تشفير، بل لماذا هذه التدابير تحديدًا لهذه المعالجة. المادة لا تطلب أعلى مستوى أمن ممكن، بل المستوى الملائم للخطر؛ وهذا يعني أن المؤسسة مطالبة بحجة مكتوبة تربط كل ضابط بمخاطر محدّدة، لا بقائمة تُنسخ من الإنترنت.

ولهذا فإن الخطأ الأول ليس نقص الأدوات، بل غياب السجل الذي يشرح الاختيار: تقييم مخاطر بتاريخ، وقائمة أصول، وقرار يقول إن هذه المعالجة تحتوي بيانات صحية أو مالية، ولذلك اختير التشفير وإخفاء الهوية وسجل تدقيق مركزي، وإن معالجة أخرى منخفضة الخطر اكتفت بضوابط وصول أساسية. حين يقع الحادث ويُطلب هذا السجل، لا يُقبل في مكانه شهادة ولا عرض بيع.

الخطأ الثاني معاكس تمامًا: مؤسسة اشترت كل شيء ولم تكتب شيئًا، فصارت تملك أدوات بلا أدلة. المادة 32 تُقاس بأدلة قابلة للتاريخ والفحص: تقرير اختبار بتاريخ، وسجل استعادة نسخة احتياطية بمدة محددة، وسجل تغييرات على إعدادات التشفير، وسجل وصول إلى البيانات.

الفقرة (أ): إخفاء الهوية والتشفير، والفرق الذي يُسقط الملف

إخفاء الهوية في النص ليس إخفاءً تامًا. اللائحة تعرّفه في المادة 4 بأنه معالجة تجعل نسبة البيانات إلى شخص محدّد غير ممكنة دون استخدام معلومات إضافية، شرط أن تُحفظ هذه المعلومات الإضافية منفصلة وتخضع لتدابير تقنية وتنظيمية تمنع إعادة الربط. النتيجة العملية: البيانات المخفاة هويتها تبقى بيانات شخصية، ويبقى كل التزام في اللائحة قائمًا بشأنها، لكن خطرها ينخفض، وهذا هو مكسبها الحقيقي.

الخطأ المتكرر هو معرّف مستعار يُخزَّن في الجدول نفسه مع مفتاح الربط، أو معرّف مبني على البريد الإلكتروني بعملية تجزئة بلا ملح، وهو ما يجعل إعادة التوليد ممكنة بأي قاموس بريد. إخفاء الهوية الصحيح يفصل المفتاح في نظام آخر، ويُقيّد الوصول إليه، ويُسجّل كل استخدام له.

التشفير يُطلب في ثلاث حالات على الأقل: أثناء النقل، وفي التخزين، وفي النسخ الاحتياطية. والنسخ الاحتياطية هي الحالة التي تُنسى أكثر من غيرها، فحادثة سرقة شريط أو قرص نسخ احتياطي غير مشفّر تُنتج نفس أثر اختراق قاعدة البيانات في نظر الجهة التنظيمية.

والأهم أن التشفير بلا إدارة مفاتيح ليس تدبيرًا أمنيًا بل تأجيل للحادثة. المفتاح الذي يعيش في المستودع نفسه، أو في ملف إعدادات يقرأه كل من لديه وصول إلى الخادم، يلغي أثر التشفير عمليًا. المطلوب سجل يحدد من يملك المفتاح، وأين يُخزَّن، وكيف يُدوّر، ومن استخدمه ومتى، وما الإجراء عند الاشتباه في تسريبه. أما بيانات البطاقات فالتوكنة، أي استبدال الرقم برمز لا قيمة له خارج نظام معين، أبلغ أثرًا من التشفير وحده، لأنها تُخرج المؤسسة من نطاق الاحتفاظ بالرقم أصلًا.

الفقرة (ب): أربع كلمات ليست مترادفة

البند (ب) يجمع السرية والسلامة والتوافر والمرونة في جملة واحدة، وكثير من السياسات المكتوبة بالعربية تترجمها إلى الحفاظ على أمن البيانات ثم لا تقول شيئًا. كل كلمة منها عائلة ضوابط مختلفة، وفشلها يظهر بدليل مختلف:

• السرية: من يستطيع قراءة البيانات؟ الضوابط هنا هي التحكم في الوصول، وأقل صلاحية ممكنة، والتشفير، ومنع تسرب البيانات، وتسجيل الوصول. دليلها سجل صلاحيات محدّث ومراجَع، لا سياسة موقّعة.
• السلامة: هل يمكن تغيير البيانات دون أن يُلاحظ؟ الضوابط هنا هي إدارة التغيير، وصلاحيات الكتابة المقيّدة، والتوقيعات أو التجزئة للتحقق، ومراقبة سلامة الملفات الحساسة. دليلها سجل تغييرات قابل للمراجعة.
• التوافر: هل تبقى الخدمة تعمل؟ الضوابط هي السعة، والتكرار الجغرافي، والنسخ الاحتياطي، وخطط التعافي. دليلها أرقام زمن التعطل الفعلي، لا نسبة مئوية في عرض تسويقي.
• المرونة: هل تبقى الخدمة تعمل تحت الضغط أو الهجوم؟ هذه ليست نسخة أخرى من التوافر، بل اختبار مختلف: كيف تتصرف المنصة عند هجوم حجب خدمة، أو عند فقد منطقة كاملة، أو عند تعطل مورد مشترك. دليلها تمرين فشل مُدار بنتيجة موثقة.

عمليًا، الافتراق بين هذه الأربع هو ما يحدد الأولوية في الميزانية. مؤسسة فقدت السرية تحتاج احتواءً وإبلاغًا؛ ومؤسسة فقدت التوافر تحتاج استعادة؛ ومؤسسة فقدت السلامة تحتاج تحقيقًا في مصدر التغيير. خلطها في بند واحد يجعل خطة الاستجابة واحدة للثلاثة، وهذا هو الخطأ الذي يظهر في الحوادث الحقيقية.

الفقرة (ج): القدرة على الاستعادة، لا وجود نسخة احتياطية

النص لا يقول خذ نسخًا احتياطية، بل يقول القدرة على استعادة التوافر والوصول في الوقت المناسب. الفرق بين العبارتين هو الفرق بين ملف مضغوط على قرص وآخر مرة جُرّبت فيها استعادته فعليًا وبأي مدة وبأي نتيجة.

الأسئلة التي تُطرح في التقييم أربعة: ما هدف زمن الاستعادة المقبول لهذه الخدمة؟ وما هدف فقد البيانات المقبول، أي كم ساعة عمل يمكن أن تضيع؟ وهل جُرّبت الاستعادة في بيئة منفصلة أم على الورق؟ وكم استغرقت فعليًا؟ المؤسسة التي لا تملك أجوبة موثقة لا تستطيع إثبات البند (ج)، ولو كانت تملك عشر نسخ.

وفي سياق برامج الفدية تحديدًا، صارت النسخة المتصلة بالشبكة جزءًا من المشكلة لا من الحل، لأن المهاجم يشفّرها مع الأصل. لذلك يُضاف شرط ثالث: نسخة غير قابلة للتعديل أو غير متصلة، ونسخة خارج الموقع، مع اختبار استعادة دوري. القاعدة العملية المتعارف عليها، وهي ثلاث نسخ على وسيطين مختلفين واحدة منها خارج الموقع، مفيدة كبداية، لكنها لا تعني شيئًا دون سجل اختبار.

الحادث المادي داخل في النص أيضًا: حريق في غرفة الخوادم، أو فيضان، أو سرقة جهاز محمول. لذلك يجب أن يكون التشفير حاضرًا في النسخ الاحتياطية نفسها، وإلا تحوّلت الاستعادة إلى تسريب مؤجل.

الفقرة (د): الاختبار المنتظم، وثلاثة أنواع لا تُغني إحداها عن الأخرى

البند (د) يطلب عملية لا حدثًا. أي أن الاختبار يجب أن يكون دورة متكررة بتاريخ ومالك ونطاق ونتيجة، لا تقريرًا أُعدّ مرة لأجل عميل. وفي الممارسة هناك ثلاثة أنواع مختلفة يُخلط بينها باستمرار:

فحص الثغرات: آلي، متكرر، واسع، يكشف عن ثغرات معروفة في الأنظمة والإعدادات. قيمته في التكرار والتغطية، وضعفه أنه لا يرى منطق العمل ولا سلاسل الاستغلال المركّبة.

اختبار الاختراق: يدوي ومنهجي، بنطاق مكتوب وتفويض مسبق، يحاول استغلال السلاسل التي لا يراها الفحص الآلي، كالانتقال من حساب منخفض الصلاحية إلى قاعدة البيانات، أو تجاوز ضوابط المصادقة في واجهة برمجية. قيمته في العمق، وضعفه في أنه لقطة زمنية: تقرير عمره سنتان لا يقول شيئًا عن اليوم.

مراجعة فعالية الضوابط: ليست اختبارًا تقنيًا بل تدقيق على العملية: هل رُوجعت الصلاحيات هذا الربع؟ هل قرأ أحد سجلات التنبيه؟ هل نُفّذت إدارة التغيير على قواعد الإنتاج؟ هذه المراجعة هي التي تكشف الضوابط الموجودة على الورق والغائبة عن التشغيل.

المادة تطلب الثلاثة ضمنًا: الاختبار، أي الفحص واختبار الاختراق، والتقييم بمعنى هل النتيجة مقبولة، والتقييم المستمر للفعالية بمعنى هل ما زال الضابط يعمل بعد ستة أشهر. ومن هنا تأتي أهمية إعادة الاختبار بعد الإصلاح: الثغرة التي أُغلقت بلا إعادة اختبار تبقى بندًا مفتوحًا في نظر أي مدقق.

وتنبيه ضروري في هذا البند: لا يجوز اختبار أي نظام لا تملكه أو لا تملك تفويضًا كتابيًا صريحًا باختباره. الاختبار بلا تفويض ليس امتثالًا ولا خدمة، بل مخالفة قانونية قائمة بذاتها. وهذا هو الفرق بين ما تفعله فرق الاختبار المحترفة وما يعرضه الوسطاء.

الفقرة الرابعة: من يعمل تحت سلطتك

النص هنا قصير وخطره كبير. الموظف الذي يملك وصولًا إداريًا، وفريق الدعم الخارجي، والمقاول الذي يصل إلى قاعدة البيانات لأجل ترحيل بيانات، والمتعهد الفرعي لمزود الخدمة السحابية، كلهم أشخاص يعملون تحت سلطة جهة التحكم أو المعالج، ويجب أن يكون معالجتهم للبيانات بأمر مكتوب.

الترجمة العملية أربعة أشياء: تعليمات مكتوبة تحدد ما يجوز وما لا يجوز، وأقل صلاحية ممكنة بحيث لا يصل الموظف إلى ما لا تحتاجه وظيفته، وتسجيل لعمليات الوصول الإدارية بحيث يمكن معرفة من فعل ماذا، وإنهاء وصول فوري عند ترك العمل أو تغيير الدور. الحساب المشترك بين عدة أشخاص ينسف العنصر الثالث بالكامل، لأنه يجعل السجل بلا معنى.

من النص إلى الضابط: خريطة معيارية بلا أخطاء ترقيم

المادة لا تفرض معيارًا بعينه، وهذا ما يجعل الخريطة المعيارية ضرورة لا ترفًا: بها يُثبت أن الضوابط المختارة تغطي البنود الأربعة، وبها تُقارن المتطلبات المحلية بالمتطلبات الأوروبية دون عمل مزدوج. والمعيار الأكثر استخدامًا هنا هو ISO/IEC 27001 بنسخته لعام 2022، وهو المعيار الذي تُخطئ فيه كثير من الملخصات العربية حتى اليوم.

النسخة الحالية تضم 93 ضابطًا في أربعة محاور: 37 ضابطًا تنظيميًا، و8 ضوابط بشرية، و14 ضابطًا ماديًا، و34 ضابطًا تقنيًا، بينها أحد عشر ضابطًا جديدًا. أما النسخة السابقة لعام 2013 فكانت 114 ضابطًا في 14 مجالًا، وهي التي تظهر في القوالب القديمة بترقيم من نوع A.12.4.1 وA.13.1.1. تقديم خريطة بالترقيم القديم في 2026 ليس خطأ شكليًا: المدقق سيسأل عن الضوابط الجديدة، وأهمها للسياق الحالي أمن الخدمات السحابية، والجاهزية التقنية لاستمرارية العمل، وإدارة الإعدادات، وحذف المعلومات، وإخفاء البيانات، ومنع تسربها، ومراقبة الأنشطة.

ولأجل المادة 32 تحديدًا، الضوابط التقنية التي تُذكر عادة في الخريطة هي: استخدام التشفير، والنسخ الاحتياطي للمعلومات، وإدارة الثغرات التقنية، ومراقبة الأنشطة وتسجيلها، وتكرار مرافق المعالجة، ومنع تسرب البيانات، وإخفاء البيانات. والمهم أن تُقرأ الخريطة على أنها غطاء وربط، لا على أنها إثبات امتثال: وثيقة بيان القابلية للتطبيق تشرح لماذا أُدرج ضابط وما الذي يبرر استبعاد آخر، وهي وثيقة قرار لا وثيقة نسخ.

السعودية: المادة 19 واللائحة التنفيذية والضوابط الوطنية

نظام حماية البيانات الشخصية السعودي لا يستخدم عبارة المادة 32، لكنه يصل إلى النتيجة نفسها من طريقين. المادة 19 من النظام تُلزم جهة التحكم باتخاذ ما يلزم من إجراءات ووسائل تنظيمية وإدارية وتقنية تضمن المحافظة على البيانات الشخصية، بما في ذلك عند نقلها، وذلك وفق الأحكام والضوابط التي تحددها اللوائح.

واللائحة التنفيذية توسّع هذا في المادة الثالثة والعشرين، مادة أمن المعلومات، فتطلب من جهة التحكم التدابير التنظيمية والإدارية والتقنية اللازمة لضمان أمن البيانات الشخصية وخصوصية أصحابها، وتُلزمها بأمرين: تطبيق التدابير الأمنية والتقنية الضرورية للحد من المخاطر الأمنية لتسرب البيانات الشخصية، والالتزام بالضوابط والمعايير والقواعد الصادرة عن الهيئة الوطنية للأمن السيبراني، أو بمعايير وممارسات الأمن السيبراني المعترف بها إن لم تكن جهة التحكم ملزمة بتطبيق ضوابط الهيئة.

هذا السطر الثاني هو الجسر العملي بين الامتثال الأوروبي والامتثال المحلي: البديل المذكور في اللائحة هو معايير معترف بها، ومن أبرزها ISO/IEC 27001. أي أن المؤسسة السعودية التي تبني خريطة واحدة للمادة 32 وخريطة للضوابط الوطنية تستطيع أن تُظهر للجهتين الوثيقة نفسها، بدل أن تُنشئ ملفين لا يتحدثان.

أما الضوابط الوطنية فهي الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، ونسختها السارية ECC-2:2024 التي حلّت محل ECC-1:2018. تتكون من أربعة مكونات رئيسية و28 مكونًا فرعيًا وأكثر من مائة ضابط أساسي مع ضوابط فرعية، موزعة على الحوكمة والدفاع والمرونة والأمن السيبراني للأطراف الثالثة والحوسبة السحابية. ونطاقها محدد بوضوح: الجهات الحكومية في المملكة وشركاتها وكياناتها التابعة داخل المملكة وخارجها، وكل كيانات القطاع الخاص التي تملك البنية التحتية الوطنية الحساسة أو تشغلها أو تستضيفها، والالتزام بها مستمر بموجب المادة العاشرة من نظام الهيئة والأمر السامي رقم 57231 بتاريخ 10/11/1439هـ، بينما تُشجّع الهيئة بقية الجهات على الاستفادة منها.

وفيها أيضًا ما يهم البند (ج) والبند (د) من المادة 32: ضوابط النسخ الاحتياطي والاستعادة، وضوابط التشفير التي تُحال إلى المعايير الوطنية للتشفير، وضوابط إدارة الثغرات واختبار الاختراق، وضوابط استمرارية العمل. أما بيئات السحابة فلها وثيقة مستقلة، وهي CCC-2:2024 التي حلّت محل CCC-1:2020 وتتفرع عن الضوابط الأساسية وتكمّلها، وتُلزم المشترك بحد أدنى في التشفير يشمل الخوارزميات والمفاتيح والأجهزة، وفق المستوى المتقدم في المعايير الوطنية للتشفير.

ومن الناحية الزمنية، تُلزم اللائحة التنفيذية جهة التحكم بإشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من وقت علمها بحادثة تسرب البيانات الشخصية إذا كان من شأنها الإضرار بالبيانات أو بصاحبها أو التعارض مع حقوقه أو مصالحه، مع تحديد ما يجب أن يتضمنه الإشعار. والنتيجة العملية أن البند (د) ليس ترفًا: من لا يملك مراقبة وسجلات لا يستطيع أن يقول متى علم بالحادثة، وبذلك يفقد القدرة على الوفاء بالمدة نفسها.

الإمارات: المادة 20 تكرر بنية المادة 32 حرفيًا

المرسوم بقانون اتحادي رقم 45 لسنة 2021 في شأن حماية البيانات الشخصية يضم مادة أمنية قريبة جدًا من النص الأوروبي، وهي المادة 20 بعنوان أمن البيانات الشخصية. وهي تُلزم جهة التحكم والمعالج بتطوير واتخاذ تدابير تقنية وتنظيمية مناسبة تضمن أعلى معيار للأمن المعلوماتي الملائم للمخاطر المتصلة بالمعالجة، وفق أفضل الممارسات والمعايير الدولية، وتشمل: تشفير البيانات الشخصية وتطبيق إخفاء الهوية؛ وتدابير تضمن استمرار سرية أنظمة المعالجة وخدماتها وسلامتها ودقتها ومرونتها؛ وتدابير تضمن الاسترجاع والوصول في الوقت المناسب عند أي عطل فعلي أو تقني؛ وتدابير تضمن اختبار وتقييم فعالية التدابير التقنية والتنظيمية بشكل متصل.

وتضيف الفقرة الثانية معايير التقييم نفسها تقريبًا: مخاطر المعالجة بما فيها التلف والفقد والتغيير العرضي أو غير القانوني والإفصاح أو الوصول، وتكاليف المعالجة وطبيعتها ونطاقها وأغراضها. أما المادة السابعة فتضع الالتزام العام على جهة التحكم باتخاذ تدابير تقنية وتنظيمية مناسبة لحماية البيانات والحفاظ على سريتها وخصوصيتها.

وفي هذا موضع تصحيح متكرر في المواد العربية المتداولة: كثير من الملخصات تنسب التزام الأمن إلى المادة 21، وهي في المرسوم مادة تقييم أثر حماية البيانات الشخصية، بينما مادة الأمن هي المادة 20. من يبني ملف امتثال على الترقيم الخطأ يبدأ من الوثيقة الخطأ، وهذا يظهر سريعًا عند أول طلب من الجهة المختصة.

العقوبة والإبلاغ: لماذا تُقرأ المادة 32 مع المادتين 33 و83

المادة 32 لا تُقرأ وحدها. فالمادة 33 تُلزم جهة التحكم، في حالة حدوث خرق للبيانات الشخصية، بإبلاغ السلطة الإشرافية المختصة دون تأخير غير مبرر، وحيثما كان ممكنًا في موعد لا يتجاوز 72 ساعة من علمها بالخرق، إلا إذا كان الخرق غير مرجّح أن يُنتج خطرًا على حقوق الأشخاص وحرياتهم. وإذا تجاوز الإبلاغ 72 ساعة، وجب أن تصحبه أسباب التأخير. ويحدد النص ما يجب أن يتضمنه الإبلاغ كحد أدنى: طبيعة الخرق والفئات والأعداد التقريبية للمعنيين والسجلات، وبيانات الاتصال بالمسؤول عن حماية البيانات، والنتائج المحتملة، والتدابير المتخذة أو المقترحة. وتُلزم الفقرة الخامسة بتوثيق كل خرق، بحقائقه وآثاره والإجراءات التصحيحية، توثيقًا يمكّن السلطة من التحقق من الامتثال.

أما العقوبة فتُحددها المادة 83/4: مخالفة التزامات جهة التحكم والمعالج بموجب المواد 8 و11 و25 إلى 39 و42 و43 تُعاقب بغرامة إدارية تصل إلى 10 ملايين يورو، أو في حالة المؤسسة إلى 2% من إجمالي رقم أعمالها السنوي العالمي للسنة المالية السابقة، أيهما أعلى. أي أن مخالفة المادة 32 تقع في الشريحة الأولى لا الثانية، وهذا يفسر نمط القرارات: غرامات أصغر عدديًا من الشريحة الثانية، لكنها أكثر عددًا، لأن إثبات غياب التدابير الملائمة أسهل من إثبات انتهاك مبدأ آخر.

والمثال الذي يستحق القراءة قرار صادر عن السلطة الإسبانية ونُشر في 2025: انتهى التحقيق إلى انتهاك المادة 32 بسبب غياب تدابير أمنية كافية أتاح الإضرار ببيانات صحية لأكثر من 400 شخص، وجاءت العقوبة 20 ألف يورو. الرسالة ليست في المبلغ، بل في أن الملف لم يكن بحاجة إلى اختراق معقد: غياب التشفير أو التحكم في الوصول يكفي لقيام المخالفة، ويُقاس الضرر بعدد المعنيين وطبيعة البيانات.

الأدلة الستة التي يطلبها المدقق

إذا أُعيدت صياغة المادة 32 في شكل ما يُطلب فعليًا في التقييم، فهي ستة ملفات، وكلها وثائق قرار لا وثائق شراء:

• سجل أنشطة المعالجة: ما البيانات، ولماذا، وأين، ومن يصل إليها، وأي أنظمة طرف ثالث تمر بها. هذا السجل هو الذي يحدد نطاق كل شيء آخر.
• تقييم مخاطر بتاريخ ومالك: يربط كل معالجة بمستوى خطر، ويبرر اختيار الضوابط. بدونه لا يمكن إثبات الملاءمة.
• سجل التشفير وإدارة المفاتيح: ما المشفّر وأين، وما الخوارزميات، وأين المفاتيح، ومن يملكها، ومتى دُوّرت.
• تقرير اختبار استعادة: بتاريخ ومدة ونطاق ونتيجة، وليس شهادة بأن النسخ الاحتياطي يعمل.
• تقارير الاختبار وإعادة الاختبار: نطاق مكتوب وتفويض، ونتائج، وما أُصلح، وما لم يُصلح ولماذا قبل البقاء مفتوحًا.
• سجل الحوادث وسجل الوصول الإداري: من فعل ماذا ومتى، وكيف احتُوي الحادث، وما الذي تغيّر بعده. وسجل الحوادث هو أيضًا الأساس الوحيد للوفاء بمتطلب التوثيق في المادة 33.

ويُضاف إليها ملف تعاقدي: عقود المعالجين والمتعهدين الفرعيين، لأن المسؤولية تجاه صاحب البيانات لا تنتقل بعقد، ولا تُقاس بثقة. المؤسسة مسؤولة عن اختيار معالج يقدم ضمانات كافية، وعن أن يكون العقد نفسه قابلًا للفحص.

أخطاء متكررة تُسقط الملف

• تشفير بلا إدارة مفاتيح: المفتاح في المستودع ذاته يجعل التشفير شكليًا.
• نسخة احتياطية لم تُستعد قط: وجودها دليل على النية، وفشل استعادتها دليل على غياب القدرة التي يطلبها البند (ج).
• سياسة موقّعة بلا تنفيذ: السياسة تثبت أن أحدًا كتب، ولا تثبت أن أحدًا يعمل. الدليل هو السجل والتاريخ.
• اختبار اختراق بلا نطاق مكتوب: تقرير بلا نطاق لا يمكن الدفاع عنه، ويضع المختبِر والمختبَر في موضع قانوني سيئ.
• سجل معالجة قديم: سجل لا يعرف النظام السحابي الجديد الذي دخل الخدمة قبل ستة أشهر لا يمثل الواقع.
• خلط إخفاء الهوية بالإخفاء التام: البيانات مجهولة جملة تُقال كثيرًا وتُثبت قليلًا؛ المطلوب إثبات أن الربط غير ممكن عمليًا.
• إبلاغ متأخر بلا سبب مكتوب: 72 ساعة قابلة للتجاوز فقط بسبب موثق، لا بسبب انشغال الفريق.

خطة ثلاثين يومًا لتنفيذ ما تطلبه المادة

الأسبوع الأول: حصر أنشطة المعالجة فعليًا، بما في ذلك الأنظمة التي دخلت الخدمة بلا تسجيل، وتحديد البيانات الحساسة وأماكن وجودها. المخرج: سجل معالجة محدّث ومالك لكل بند.

الأسبوع الثاني: تقييم مخاطر مبسّط لكل معالجة، مع قرار مكتوب بالضوابط المختارة وأسبابها. المخرج: مصفوفة خطر إلى ضابط، مربوطة ببنود المادة 32 الأربعة.

الأسبوع الثالث: جرد التشفير والمفاتيح والنسخ الاحتياطية، وإغلاق الفجوات العاجلة: نسخة غير متصلة، ومفتاح خارج المستودع، وتسجيل وصول إداري مركزي. المخرج: سجل تشفير وسجل نسخ، وأول اختبار استعادة موثق.

الأسبوع الرابع: تشغيل دورة الاختبار: فحص ثغرات مكتمل، واختبار اختراق بنطاق مكتوب إن كان الخطر يبرره، ومراجعة صلاحيات، ثم كتابة دورة متكررة بمالك وتاريخ. المخرج: تقويم اختبار سنوي مع إعادة اختبار بعد كل إصلاح.

حدود هذا العمل، وما لا يعنيه

ما ورد أعلاه وصف لضوابط تُنفَّذ في بيئة تملكها المؤسسة أو تملك تفويضًا كتابيًا صريحًا بشأنها. لا يشمل اختبار أنظمة طرف ثالث، ولا محاولة الوصول إلى بيانات لا يملكها القارئ، ولا أي عمل يجري بلا تفويض من مالك النظام: التفويض المكتوب هو الفرق بين اختبار أمني وجريمة، وهو أيضًا أول ما يُطلب في أي نزاع.

ولا يعني هذا الدليل ضمان امتثال ولا ضمان نجاح في أي إجراء تنظيمي: الامتثال يقاس بحسب المعالجة والمخاطر والسياق، وهو حكم تصدره الجهة المختصة لا قائمة تُنسخ. ويمكن قراءة نطاق الخدمات المرتبطة بهذا الموضوع في التحليل الجنائي الرقمي وفي صفحة الخدمات، ولمزيد من الأدلة العملية بالعربية يمكن تصفح مدونة الأمان الرقمي، وللتواصل حول تقييم بيئة مؤسسة بعينها هناك صفحة التواصل.

خلاصة قابلة للتنفيذ

• المادة 32 معيار ملاءمة لا قائمة أدوات: اربط كل ضابط بمخاطر موثقة، واكتب سبب اختياره.
• البنود الأربعة مختلفة: إخفاء الهوية والتشفير، ثم السرية والسلامة والتوافر والمرونة، ثم الاستعادة، ثم الاختبار. لكل بند دليل مختلف.
• التشفير بلا إدارة مفاتيح، والنسخة الاحتياطية بلا اختبار استعادة، والشهادة بلا سجل: ثلاثة أشكال للامتثال الشكلي تنكشف في أول حادثة.
• في السعودية والإمارات النتيجة واحدة من طريق مختلف: نظام سعودي يربط الأمن بالضوابط الوطنية، ومادة إماراتية (20) تكرر بنية المادة 32 حرفيًا.
• الإبلاغ خلال 72 ساعة يجعل المراقبة والسجلات شرطًا للامتثال نفسه، لا إضافة تقنية.