حتى بعد مرور سنوات عديدة على تنفيذ قانون حماية البيانات العامة (LGPD) في البرازيل، لا تزال العديد من الشركات تخالف اللوائح. اللائحة العامة لحماية البيانات (LGPD)، التي دخلت حيز التنفيذ في سبتمبر 2020، أُنشئت بهدف حماية البيانات الشخصية للمواطنين البرازيليين، ووضع قواعد واضحة حول كيفية جمع الشركات لهذه المعلومات وتخزينها ومعالجتها. ومع ذلك، على الرغم من مرور الوقت، فإن العديد من الشركات تقدمت قليلاً في تنفيذ المعيار.
مؤخرًا، كثفت الهيئة الوطنية لحماية البيانات (ANPD) الرقابة على الشركات التي لا تمتلك مسؤول بيانات، المعروف أيضًا باسم مسؤول حماية البيانات (DPO). غياب مسؤول حماية البيانات هو أحد الانتهاكات الرئيسية التي تم تحديدها، حيث أن هذا المهني ضروري لضمان امتثال الشركة لقانون حماية البيانات الشخصية. يعمل مسؤول حماية البيانات كوسيط بين الشركة ومالكي البيانات والوكالة الوطنية لحماية البيانات، وهو مسؤول عن مراقبة الامتثال لسياسات حماية البيانات وتوجيه المنظمة حول أفضل الممارسات.
وهذه البيانات قد تكون فقط "قمة الجبل الجليدي". في الواقع، لا أحد يعرف عدد الشركات التي لم تلتزم بعد بالمعيار. لا يوجد مسح رسمي موحد يجمع الأرقام الدقيقة لجميع الشركات غير الملتزمة بقانون حماية البيانات العامة (LGPD). تشير الأبحاث المستقلة إلى أن النسبة العامة قد تتراوح بين 60٪ و70٪ من الشركات البرازيلية، خاصة بين الشركات الصغيرة والمتوسطة. في حالة الكبار، الرقم هو أيضًا أعلى، حيث يمكن أن يصل إلى 80٪.
لماذا يشكل غياب مسؤول حماية البيانات فرقًا؟
في عام 2024، من المؤكد أن البرازيل تجاوزت عدد 700 مليون هجمة من قبل مجرمي الإنترنت. يُقدّر أن يحدث حوالي 1400 عملية احتيال في الدقيقة، وبالطبع، الشركات هي الأهداف الرئيسية للمجرمين. جرائم مثل برامج الفدية - التي غالبًا ما تصبح البيانات فيها "رهائن" ولمنع نشرها عبر الإنترنت، يتعين على الشركات دفع مبلغ مالي كبير، أصبحت شائعة. لكن إلى متى ستتحمل النظام - الضحايا وشركات التأمين - هذا الحجم الكبير من الهجمات؟
لا يمكن الإجابة على هذا السؤال بطريقة مناسبة، خاصة عندما يتوقف الضحايا أنفسهم عن اتخاذ الإجراءات اللازمة لحماية المعلومات. نقص محترف متخصص في حماية البيانات أو، في بعض الحالات، عندما يتراكم المسؤول المفترض عن المجال العديد من المهام لدرجة أنه لا يستطيع أداء هذه الوظيفة بشكل مرضٍ، يزيد من تفاقم هذه الحالة.
من الواضح أن تعيين مسؤول بمفرده لا يحل جميع تحديات الامتثال، ولكنه يظهر أن الشركة ملتزمة بوضع مجموعة من الممارسات المتوافقة مع اللائحة العامة لحماية البيانات. ومع ذلك، فإن نقص الأولوية هذا لا يعكس فقط إمكانية العقوبات، بل أيضًا مخاطر حقيقية لوقوع حوادث أمنية، والتي ستؤدي إلى خسائر كبيرة. الغرامات المطبقة من قبل ANPD هي جزء فقط من المشكلة، حيث أن الخسائر غير الملموسة، مثل ثقة السوق، قد تكون أكثر إيلامًا. في هذا السياق، يُعتبر التدقيق الأكثر كثافة إجراءً ضروريًا لتعزيز آليات الامتثال للقانون وتشجيع المؤسسات على وضع خصوصية أصحاب البيانات على رأس الأولويات.
تعيين مسؤول حماية البيانات أو الاستعانة بمصادر خارجية؟
توظيف مسؤول حماية البيانات بدوام كامل قد يكون مهمة معقدة، حيث لا تتوفر دائمًا الطلب أو الاهتمام بتخصيص موارد داخلية لهذا الطلب.
في هذا الصدد، يُعتبر التعاقد الخارجي حلاً للشركات التي ترغب في الامتثال للقوانين بشكل فعال، لكنها لا تمتلك بنية تحتية كبيرة أو موارد للحفاظ على فريق متعدد التخصصات يركز على حماية البيانات. عندما تلجأ شركة إلى مزود خدمة متخصص، فإنها تحصل على وصول إلى محترفين يمتلكون خبرة أكبر في التعامل مع متطلبات قانون حماية البيانات الشخصية في قطاعات السوق المختلفة. بالإضافة إلى ذلك، يبدأ المسؤول الخارجي في اعتبار حماية البيانات شيئًا متكاملًا مع الاستراتيجية، بدلاً من أن تكون مشكلة مؤقتة تتلقى الاهتمام فقط عند وصول إشعار أو حدوث تسرب.
يساهم ذلك في إنشاء عمليات قوية دون الحاجة إلى استثمار كبير في التوظيف والتدريب والاحتفاظ بالمواهب. تجاوز تفويض مسؤول البيانات مجرد تعيين شخص من الخارج. عادةً ما يقدم المزود استشارات مستمرة، ويقوم بأنشطة رسم الخرائط وتحليل المخاطر، ويساعد في إعداد السياسات الداخلية، ويقوم بتدريب الفرق، ويراقب تطور التشريعات واللوائح الخاصة بـ ANPD.
بالإضافة إلى ذلك، هناك ميزة الاعتماد على فريق يمتلك خبرة في الحالات العملية، مما يقلل من منحنى التعلم ويساعد على منع الحوادث التي قد تؤدي إلى غرامات أو أضرار للسمعة.
إلى أي مدى تصل مسؤولية مسؤول حماية البيانات الخارجي؟
من المهم أن نبرز أن التعاقد الخارجي لا يعفي المنظمة من مسؤولياتها القانونية. الفكرة هي أن تلتزم الشركة بضمان أمان البيانات التي تجمعها وتعالجها، حيث يوضح التشريع البرازيلي أن المسؤولية عن الحوادث لا تقع فقط على المسؤول، بل على المؤسسة ككل.
ما تقوم به الاستعانة بمصادر خارجية هو تقديم دعم محترف يفهم الطرق اللازمة للحفاظ على المنظمة متوافقة مع اللائحة العامة لحماية البيانات (LGPD). ممارسة تفويض هذا النوع من المهام لشريك خارجي أصبحت متبعة بالفعل في دول أخرى، حيث أصبحت حماية البيانات نقطة حاسمة في إدارة المخاطر والحوكمة المؤسسية. الاتحاد الأوروبي، على سبيل المثال، مع اللائحة العامة لحماية البيانات، يتطلب من العديد من الشركات تعيين مسؤول حماية البيانات. هناك، اختارت العديد من الشركات الاستعانة بمصادر خارجية للخدمة من خلال التعاقد مع استشارات متخصصة، مما أدى إلىخبرةداخل المنزل، دون الحاجة لإنشاء قسم كامل لذلك.
المسؤول، وفقًا للتشريعات، يجب أن يكون لديه استقلالية للإبلاغ عن الأخطاء واقتراح التحسينات، وتوصي المبادئ التوجيهية الدولية بأن يكون المهني حراً من الضغوط الداخلية التي تحد من قدرته على الرقابة. تقوم الشركات الاستشارية التي تقدم هذه الخدمة بوضع عقود ومنهجيات عمل تضمن هذا النوع من الاستقلالية، مع الحفاظ على تواصل شفاف مع المديرين وتحديد معايير واضحة للحوكمة.
هذه الآلية تحمي كل من الشركة والمهني نفسه، الذي يحتاج إلى حرية الإشارة إلى الثغرات الأمنية حتى لو كان ذلك يتعارض مع الممارسات المعتمدة داخل قطاع أو قسم معين.
تصعيد الرقابة من قبل ANPD هو إشارة إلى أن مشهد التسامح يتجه نحو موقف أكثر حزمًا، ومن يختار عدم التعامل مع هذه المشكلة الآن قد يواجه عواقب أشد في مستقبل ليس ببعيد.
بالنسبة للشركات التي ترغب في مسار أكثر أمانًا، فإن التعاقد الخارجي هو خيار قادر على موازنة التكلفة والكفاءة والموثوقية. مع هذا النوع من الشراكة، من الممكن تصحيح الثغرات في البيئة الداخلية وهيكلة روتين الامتثال الذي سيحمي الشركة من العقوبات ومن المخاطر المرتبطة بعدم الشفافية والأمان فيما يتعلق بالبيانات الشخصية التي تقع تحت مسؤوليتها.
