باختصار: خرق البيانات هو انتهاك للأمن تضيع بسببه بيانات شخصية، أو تتغير، أو تقع في أيدٍ خاطئة. ويجب على الجهة المسؤولة عن المعالجة (Verantwortlicher) من حيث المبدأ أن تبلّغ عنه سلطة الرقابة (Aufsichtsbehörde) دون تأخير، وإن أمكن خلال 72 ساعة. ومهمتك أنت كعنصر أمن أن تبلّغ عنه داخليًا فورًا.
خرق البيانات لا يحدث في مراكز البيانات فقط. ففي خدمة الحراسة يكفي ملف فيه بيانات زوار نُسي في القطار، أو هاتف خدمة عليه صور من الموقع يضيع أثناء الدورية، أو مقطع فيديو يُرسل بالبريد الإلكتروني إلى العنوان الخطأ. وفي لحظة كهذه يهمك قبل كل شيء أمر واحد: لا تُخفِ الأمر، بل بلّغ فورًا. وفي الامتحان يُسأل: ما هو خرق البيانات، وما المهلة السارية، ومن يبلّغ.
ما هو خرق البيانات
تتحدث اللائحة العامة لحماية البيانات (DSGVO) عن انتهاك حماية البيانات الشخصية. ووفق Art. 4 Nr. 12 DSGVO هو انتهاك للأمن يؤدي إلى إتلاف البيانات أو فقدانها أو تغييرها أو الكشف عنها دون إذن، أو إلى الوصول إليها دون إذن. ولا يهم إن حدث ذلك سهوًا أو عمدًا.
أمثلة من خدمة الحراسة:
- اختفى سجل الحراسة (Wachbuch) أو قائمة الزوار.
- سُرق حاسوب محمول أو هاتف خدمة عليه بيانات شخصية.
- أُرسل بريد إلكتروني فيه جدول المناوبات مع أرقام هواتف خاصة إلى قائمة توزيع خارجية.
- تمكّن شخص مجهول من الوصول إلى نظام الفيديو عبر كلمة مرور ضعيفة. هنا فشلت التدابير التقنية والتنظيمية.
- تعطّل القرص الصلب لجهاز التسجيل، وضاعت مقاطع فيديو محفوظة كأدلة دون إمكانية استعادتها.
والنقطة الأخيرة تُحسب أيضًا: ليست السرقة والكشف وحدهما، بل فقدان إمكانية الوصول إلى البيانات أيضًا قد يكون خرقًا للبيانات.
ما ينص عليه القانون
الإبلاغ إلى سلطة الرقابة (Art. 33 DSGVO)
يجب على الجهة المسؤولة أن تبلّغ سلطة الرقابة المختصة بالخرق دون تأخير، وإن أمكن خلال 72 ساعة من علمها به. ولا يسقط ذلك إلا إذا كان من المرجح ألا يؤدي الخرق إلى أي خطر على الأشخاص المعنيين. وإذا بلّغت لاحقًا، فعليها أن تبرر التأخير. ويتضمن البلاغ على الأقل نوع الخرق، والعدد التقريبي للأشخاص المعنيين وللسجلات، وجهة اتصال، والعواقب المحتملة، والتدابير المتخذة. ويجوز تقديم المعلومات لاحقًا على مراحل.
وفوق ذلك يجب توثيق كل خرق داخليًا، حتى لو لم يُبلَّغ عنه.
إخطار الأشخاص المعنيين (Art. 34 DSGVO)
إذا كان من المرجح وجود خطر كبير على الأشخاص المعنيين، يجب على الجهة المسؤولة أن تُخطرهم هم أيضًا دون تأخير. ويكون ذلك مثلًا عندما تقع نسخ من بطاقات الهوية، أو بيانات صحية، أو رموز دخول إلى مساكن خاصة في أيدٍ خاطئة. ولا يلزم الإخطار مثلًا إذا كانت البيانات مشفّرة بشكل آمن.
إذا كان صاحب عملك معالجًا بالتكليف
إذا كانت شركة الأمن تعمل معالجًا بالتكليف (Auftragsverarbeiter) لحساب عميل، مثلًا عند تشغيل نظام الفيديو الخاص به، فإنها لا تبلّغ السلطة بالخرق بنفسها. بل يجب أن تُعلم العميل بصفته الجهة المسؤولة دون تأخير (Art. 33 Abs. 2 DSGVO). ثم يقرر العميل بشأن الإبلاغ.
على مستوى الاتحاد الأوروبي تجري مفاوضات حول تخفيف واجب الإبلاغ. فقد اقترحت المفوضية الأوروبية في نوفمبر 2025، فيما يُسمّى الحزمة الرقمية الشاملة (Digital Omnibus)، ألا يُبلَّغ إلا عن الخروقات التي يُرجَّح أن تنطوي على خطر كبير، وأن تُمدَّد المهلة إلى 96 ساعة. هذا اقتراح، وليس قانونًا ساريًا. وفي الامتحان وفي العمل تسري مهلة 72 ساعة.
ما الذي يجب عليك فعله كعنصر أمن
- بلّغ داخليًا فورًا: إدارة العمليات أو مركز التحكم أو جهة الاتصال المحددة في تعليمات الخدمة (Dienstanweisung). لا تنتظر حتى نهاية المناوبة.
- دوّن الوقائع: ماذا حدث، ومتى، وأين، وأي بيانات معنية، ومن يعلم بالأمر.
- حدّ من الضرر بقدر ما يُسمح لك: مثلًا اطلب حظر هاتف الخدمة، أو أغلق النافذة المفتوحة في مركز التحكم، أو اطلب ممن وجد الملف أن يعيده.
- لا تتصل بالسلطة بنفسك ولا تعطِ أي معلومات للأشخاص المعنيين أو للصحافة. هذا من شأن الجهة المسؤولة.
- لا تتستر على شيء: لا تغيّر أي قيود لاحقًا، ولا تمحُ أي آثار.
تبدأ مهلة 72 ساعة من علم الجهة المسؤولة. وكل ساعة يبقى فيها البلاغ عندك تنقص من الوقت المتاح لصاحب عملك.
حالة من العمل اليومي
تعمل في خدمة الدوريات (Revierdienst) وتتولى 30 موقعًا. بعد توقف للتزود بالوقود تلاحظ أن الملف الذي فيه مستندات المواقع لم يعد على المقعد المجاور للسائق. وفيه رموز الإنذار، وأرقام المفاتيح، وأرقام هواتف جهات الاتصال لدى العملاء.
هذا خرق للبيانات ينطوي على خطر كبير، لأن هذه المستندات تفتح الأبواب. تتصل فورًا بمركز التحكم، وتشرح الوضع، وتعود إلى محطة الوقود. وتعمل إدارة العمليات على تغيير رموز الإنذار وتحذير العملاء، وتُشرك مسؤول حماية البيانات. ويفحص صاحب عملك ما إذا كان هو نفسه الجهة المسؤولة أو يجب عليه إعلام عملائه. وفي تقريرك تكتب بموضوعية ما حدث. ومن يكتم فقدانًا كهذا خوفًا من المشكلات، يحوّل خطأً إلى إخلال جسيم بالواجب.
أخطاء شائعة في الامتحان
- المهلة 72 ساعة من العلم بالخرق، لا من وقوع الخرق نفسه، وليست 72 ساعة عمل.
- الجهة المسؤولة هي التي يجب أن تبلّغ. والمعالج بالتكليف يُعلم الجهة المسؤولة، وعنصر الأمن يُعلم صاحب عمله.
- ليس كل خرق يجب الإبلاغ عنه، لكن كل خرق يجب توثيقه.
- لا يُخطَر الأشخاص المعنيون إلا عند وجود خطر كبير مرجَّح.
- فقدان البيانات دون سرقة، مثلًا بسبب عطل، قد يكون أيضًا خرقًا للبيانات.
أسئلة تدريبية: خرق البيانات: ما الذي يجب على عنصر الأمن فعله
6 أسئلة حول: خرق البيانات: ما الذي يجب على عنصر الأمن فعله. كما في امتحان غرفة الصناعة والتجارة (IHK) تكون إجابة واحدة أو إجابتان صحيحتين، والعدد مذكور فوق كل سؤال.
Innerhalb welcher Frist muss der Verantwortliche eine meldepflichtige Datenpanne der Aufsichtsbehörde melden?خلال أي مهلة يجب على الجهة المسؤولة أن تبلّغ سلطة الرقابة بخرق بيانات يجب الإبلاغ عنه؟
Welche Vorfälle sind eine Datenpanne im Sinne der DSGVO?أي الحوادث تُعدّ خرقًا للبيانات بمعنى DSGVO؟
Du stellst fest, dass die Besucherliste der letzten Woche nicht mehr in der Pforte liegt. Was ist deine erste Aufgabe?تلاحظ أن قائمة زوار الأسبوع الماضي لم تعد موجودة في البوابة. ما مهمتك الأولى؟
Ein Sicherheitsunternehmen betreibt als Auftragsverarbeiter die Videoanlage eines Kunden. Dort tritt eine Datenpanne auf. Was muss das Sicherheitsunternehmen tun?شركة أمن تشغّل، بصفتها معالجًا بالتكليف، نظام الفيديو لدى عميل. ووقع هناك خرق للبيانات. ماذا يجب على شركة الأمن أن تفعل؟
Wann müssen die betroffenen Personen selbst über eine Datenpanne benachrichtigt werden?متى يجب إخطار الأشخاص المعنيين أنفسهم بخرق البيانات؟
Welche Aussagen zur Dokumentation und Meldung sind richtig?أي العبارات المتعلقة بالتوثيق والإبلاغ صحيحة؟
مزيد من الأسئلة حول «خرق البيانات: ما الذي يجب على عنصر الأمن فعله» وحول مجال قانون حماية البيانات كله تجدها في التدريب على هذا المجال، ومجمّعة في صفحة أسئلة الامتحان في قانون حماية البيانات.
نص Art. 33 DSGVO كاملًا (gesetze-im-internet.de) · آخر تحديث 06.11.2026. هذا الشرح حول «خرق البيانات: ما الذي يجب على عنصر الأمن فعله» لا يغني عن الاستشارة القانونية، والمعتمد هو النص الحالي للقانون.