تسريب بيانات العملاء من شركة أو تطبيق.. من يتحمل المسؤولية قانونيًا؟
قد يكتشف العملاء أن أرقام هواتفهم أو عناوين بريدهم الإلكتروني أو بياناتهم الشخصية أصبحت متداولة خارج الجهة التي قدموا إليها معلوماتهم، أو يتلقون رسائل احتيالية يبدو أن مرسليها يعرفون تفاصيل عن معاملاتهم. وفي هذه الحالات، يثور سؤال مهم: هل تتحمل الشركة أو التطبيق مسؤولية تسريب البيانات، وما حقوق الشخص الذي تضرر من استخدام معلوماته؟
أصبحت حماية البيانات الشخصية من الملفات القانونية المهمة مع توسع الخدمات الرقمية والتعاملات الإلكترونية. وفي مصر، ينظم قانون حماية البيانات الشخصية رقم 151 لسنة 2020 الإطار القانوني لمعالجة البيانات الشخصية في نطاقه، كما صدرت لائحته التنفيذية بقرار وزير الاتصالات وتكنولوجيا المعلومات رقم 816 لسنة 2025. وتظل معرفة الالتزامات التي تنطبق على كل جهة مرتبطة بطبيعة البيانات ونشاط الجهة والضوابط القانونية ذات الصلة.
ما الذي يُعد بيانات شخصية؟
تشمل البيانات الشخصية المعلومات التي تتعلق بشخص محدد أو يمكن التعرف عليه بصورة مباشرة أو غير مباشرة، وفق التعريفات القانونية ذات الصلة. وقد تشمل الاسم ورقم الهاتف وعنوان البريد الإلكتروني وبعض بيانات المعاملات أو غيرها من المعلومات التي يمكن ربطها بشخص معين.
ولا تكون جميع البيانات متساوية من حيث الحساسية أو المخاطر؛ فبعض المعلومات قد تسبب إزعاجًا محدودًا عند تسريبها، بينما قد تؤدي معلومات أخرى إلى مخاطر أكبر، مثل الاحتيال أو انتحال الهوية أو استهداف الشخص برسائل مصممة بناءً على بياناته الخاصة.
كما أن وجود البيانات لدى شركة لا يعني أنها تستطيع استخدامها لأي غرض. فجمع البيانات ومعالجتها وتخزينها ومشاركتها تخضع للضوابط القانونية التي تنطبق على الحالة، بما يشمل الغرض من المعالجة والأساس القانوني والالتزامات المرتبطة بحماية المعلومات.
هل تتحمل الشركة المسؤولية عن كل تسريب؟
لا يمكن الجزم بأن الشركة مسؤولة قانونيًا عن كل واقعة تسريب بمجرد ظهور بيانات مرتبطة بعملائها على الإنترنت. إذ يتعين فحص كيفية حصول الغير على البيانات، وما إذا كان التسريب ناتجًا عن اختراق أو خطأ داخلي أو مشاركة غير مشروعة أو مصدر آخر، فضلًا عن مدى التزام الجهة بالضوابط القانونية والأمنية المطلوبة.
وقد تترتب مسؤولية على الجهة إذا ثبت إخلالها بالتزامات تنطبق عليها، لكن تحديد ذلك يحتاج إلى أدلة وتحقيق وفحص فني، وليس مجرد افتراض. كذلك، لا يعني وقوع الاختراق بالضرورة أن الجهة تعمدت تسريب البيانات؛ فقد تكون هناك جريمة ارتكبها طرف خارجي، مع ضرورة فحص مدى اتخاذ التدابير المناسبة لحماية المعلومات.
ومن المهم التمييز بين المسؤولية القانونية للشركة، والمسؤولية المحتملة للشخص الذي استولى على البيانات أو نشرها، والضرر الذي لحق بالعميل. فقد تكون هناك أطراف متعددة وأفعال مختلفة في الواقعة نفسها.
ما حقوق الشخص المتضرر؟
تعتمد الحقوق والإجراءات المتاحة على طبيعة البيانات، والجهة التي عالجتها، والظروف التي وقع فيها التسريب. لكن من الخطوات العملية المفيدة أن يطلب الشخص من الجهة المعنية توضيحًا بشأن الواقعة، وأن يحتفظ بأي إخطار وصل إليه، وأن يوثق الرسائل أو المعاملات التي تشير إلى إساءة استخدام معلوماته.
ويمكنه أيضًا اتخاذ إجراءات لحماية حساباته، مثل تغيير كلمات المرور إذا كانت معرضة للخطر، وتفعيل المصادقة متعددة العوامل حيثما كانت متاحة، ومراجعة الأنشطة غير المعتادة. وإذا ظهرت معاملات مالية لم يجرها، فعليه التواصل فورًا مع البنك أو مقدم الخدمة المعني واتباع الإجراءات الرسمية للاعتراض.
وإذا اشتبه الشخص في وجود مخالفة لقواعد حماية البيانات، فقد يكون من المناسب طلب المشورة القانونية أو مراجعة الجهة المختصة وفقًا للإجراءات المعمول بها. ويجب ألا يفترض أن كل تسريب يمنحه تلقائيًا تعويضًا بمبلغ محدد؛ فالتعويض والمسؤولية يتطلبان بحث الأساس القانوني والضرر وعلاقة السببية وغيرها من العناصر ذات الصلة.
ما الأدلة التي ينبغي الاحتفاظ بها؟
من المفيد الاحتفاظ بإشعارات الشركة، ورسائل البريد الإلكتروني، والرسائل التي وصلت بعد التسريب، وأي بلاغات رسمية أو أرقام متابعة. وإذا ظهرت بيانات الشخص في منشور أو موقع إلكتروني، فيمكن توثيق الرابط وتاريخ الاطلاع ولقطات الشاشة، مع تجنب إعادة نشر البيانات الحساسة على نحو يزيد انتشارها.
ولا ينبغي للشخص أن يحاول اختراق أنظمة الشركة أو حسابات الآخرين للحصول على دليل. كما يجب الحذر من الجهات التي تدعي أنها تستطيع حذف البيانات المسربة مقابل مبلغ مالي، خصوصًا إذا طلبت كلمات مرور أو رموز تحقق أو بيانات مالية.
وكلما كانت الأدلة مرتبة زمنيًا وواضحة المصدر، أصبح من الأسهل شرح الواقعة للجهة المختصة أو للمحامي، وتحديد ما إذا كانت هناك حاجة إلى فحص فني إضافي.
ما واجبات الشركات والتطبيقات؟
ينبغي للجهات التي تتعامل مع البيانات الشخصية أن تحدد أغراض جمعها واستخدامها، وأن تلتزم بالضوابط القانونية المنطبقة عليها، وأن تتخذ تدابير مناسبة لحماية المعلومات من الوصول أو الاستخدام غير المصرح به. كما ينبغي مراجعة صلاحيات الموظفين، وتحديث الأنظمة، وتدريب العاملين على التعامل الآمن مع البيانات، ووضع إجراءات للاستجابة للحوادث.
ولا يقتصر الامتثال على تركيب برنامج أمني؛ فحماية البيانات تشمل كذلك تنظيم الوصول إلى المعلومات، والاحتفاظ بها بالقدر اللازم، ومراجعة الجهات التي تتلقى البيانات، وتحديد المسؤوليات الداخلية. وقد يؤدي ضعف الإجراءات التنظيمية إلى زيادة المخاطر حتى لو كانت الشركة تستخدم أدوات تقنية حديثة.
وتزداد أهمية هذه المسائل مع دخول اللائحة التنفيذية لقانون حماية البيانات الشخصية حيز التنظيم العملي، إذ تساعد القواعد التفصيلية على تحديد الالتزامات والإجراءات بحسب طبيعة المعالجة والجهة المعنية.
كيف يتجنب العملاء إساءة استخدام بياناتهم؟
لا يستطيع المستخدم منع كل صور التسريب، لكنه يستطيع تقليل المخاطر من خلال عدم تقديم معلومات لا يحتاجها التعاقد، ومراجعة أذونات التطبيقات، واستخدام كلمات مرور مختلفة، وعدم مشاركة رموز التحقق مع أي شخص. كما ينبغي التأكد من أن الموقع الذي يقدم إليه بياناته هو الموقع الصحيح، وتجنب إدخال المعلومات الحساسة عبر روابط مجهولة تصل في رسائل غير متوقعة.
وعند التعامل مع أي شركة، من المفيد مراجعة سياسة الخصوصية وفهم البيانات التي تجمعها والأغراض التي تستخدمها من أجلها. ولا تعني الموافقة العامة على سياسة ما أن الجهة معفاة من الالتزامات القانونية؛ فمدى صحة المعالجة يظل مرتبطًا بالقواعد التي تنطبق على الحالة.
