خرق البيانات المعلن ببريد إلكتروني: المسار المكتوب

خرافة · لو كان الأمر جديا، لما أرسلوا مجرد بريد. أمحوه.

الخرافة: “لا رسالة مسجلة، لا مشكلة حقيقية” الصفحة الرسمية للاتحاد تقول العكس بالضبط: حين يحمل الخرق مخاطر جدية، وجب على الشركة أن تعلمكم مباشرة. والبريد المتحفظ ليس إشارة ضعيفة، هو القناة التي تنص عليها القواعد. ومحوه يعني إلقاء الورقة رقم 1 من ملف فتح نفسه الآن.

“the data controller (the person or body handling your personal data) must report it to the national data protection authority. The data controller must also inform you directly if there are serious risks related to your personal data or privacy due to the breach.”

ترجمة غير رسمية: هذه الرسالة التزام قانوني موجه إليكم. والالتزام القانوني يُحفظ في الملف، لا يُرمى في السلة.

خرافة · هم يتحدثون عن “حادثة داخلية”، لا عن اختراق: وهذا ليس خرقا حقيقيا.

الخرافة: “الخرق يعني بالضرورة مخترقين” اللائحة تعرف خرق البيانات الشخصية تعريفا أوسع بكثير من فيلم سرقة: التدمير، أو الفقدان، أو التغيير، أو الكشف غير المأذون، أو الوصول غير المأذون، عرضا كان أو بغير مشروعية. وحاسوب محمول نُسي في قطار يدخل في التعريف. وكلمة “حادثة” لا تُخرج أحدا من النص.

“‘personal data breach’ means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;”

ترجمة غير رسمية: لا حاجة إلى مخترقين بأقنعة. خطأ داخلي، أو فقدان، أو وصول زائد: التعريف يشمل ذلك كله، والالتزامات التي تلحقه تسري.

خرافة · كان عليهم أن يحذروني أنا في غضون 72 ساعة: مهلة فائتة، وتعويض تلقائي.

الخرافة: “72 ساعة لتحذيري، وإلا الجائزة الكبرى” الساعات الـ72 في المادة 33 تقيس الإبلاغ إلى السلطة الرقابية، لا البريد الموجه إليكم. والنص لا ينص على أي تعويض تلقائي: فالإبلاغ المتأخر إلى السلطة يستدعي أسبابا، لا شيكا. وبناء مطلبكم على المهلة الخطأ يسلم الشركة أسهل جواب في العالم: “هذه المهلة لا تخصكم”، وستكون على حق.

“Where the notification to the supervisory authority is not made within 72 hours, it shall be accompanied by reasons for the delay.”

ترجمة غير رسمية: حتى حين يتأخرون نحو السلطة، فالجزاء المكتوب تبرير يُقدَّم، لا مبلغ يسقط من السماء. وورقتكم الحقيقية في مكان آخر: مضمون التحذير، والشكوى في بلدكم.

خرافة · التحقيق جار: ولا يجوز لهم أن يقولوا لي أكثر، فالسرية تحكم.

الخرافة: “لا يستطيعون قول شيء، إنه سري” اللائحة قد حكمت سلفا بين التحفظ وإعلامكم: فالإبلاغ الموجه إليكم يصف طبيعة الخرق، بلغة واضحة وبسيطة، ويحتوي على الأقل نقطة الاتصال، والنتائج المرجحة، والتدابير المتخذة. وهذه القائمة هي الحد الأدنى القانوني، لا منّة بعد أزمة. والشركة التي تحتج بالسرية لتفريغها تتلو سياستها الداخلية، لا النص.

“2. The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language the nature of the personal data breach and contain at least the information and measures referred to in points (b), (c) and (d) of Article 33(3).”

ترجمة غير رسمية: المضمون الأدنى للتحذير تحدده اللائحة نفسها. والغائب يمكن المطالبة به، ولا تستطيع الشركة أن تحتج عليكم بتحقيقها هي.

خرافة · الموضوع تقني، والمصطلحات لا مهرب منها: وعلي أنا أن ألحق.

الخرافة: “الخرق لا يُشرح إلا بالمصطلحات” “In clear and plain language”: خمس كلمات من اللائحة، موضوعة هناك بالضبط، في المادة التي تصف بريد التحذير. والوضوح ليس مجهودا أسلوبيا متروكا لحسن نية الشركة، هو مقتضى قانوني على شكل الرسالة. والنص غير المفهوم ليس نصا مطابقا، وتستطيعون أن تطلبوا نسخة مقروءة.

“The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language the nature of the personal data breach”

ترجمة غير رسمية: أن يكونوا مفهومين عملهم، وأن تكونوا مهندسين ليس عملكم. والقانون يفرض وضوح الرسالة بقدر ما يفرض مضمونها.

خرافة · لا بريد شخصي = انتهاك، وانتهى الأمر. وهي تطالب بتعويض فوري.

الخرافة: “لا بريد لي، إذن انتهاك مؤكد” النص يفصّل، بالحرف الواضح، الحالات التي لا يكون فيها الإبلاغ الفردي مقتضى: تدابير حماية كالتشفير المطبق على البيانات المصابة، أو إبلاغ علني بالفعالية نفسها حين يقتضي الكتاب إلى كل شخص جهدا غير متناسب. والسخط على استثناء مكتوب يكلفكم الحجة التالية. والسؤال الصحيح ليس “لماذا لا أنا؟”، بل “أيصح الاستثناء؟”، ولهذا السؤال قاض.

“3. The communication to the data subject referred to in paragraph 1 shall not be required if any of the following conditions are met: (a) the controller has implemented appropriate technical and organisational protection measures, and those measures were applied to the personal data affected by the personal data breach, in particular those that render the personal data unintelligible to any person who is not authorised to access it, such as encryption;”

ترجمة غير رسمية: البيانات المشفرة على وجه سليم قد تعفي من البريد الفردي. والاستثناء موجود، ودقيق، وقابل للتحقق: ومعرفة ذلك قبل كتابة الرسالة أفضل.

خرافة · إذا كتبوا أنها كانت مشفرة، فالأمر منته: ولا أحد يستطيع أن يتحقق.

الخرافة: “بيانهم الصحافي يقوم مقام الإثبات” البيان إقرار، لا تحقق. ومع ذلك فسلطة حماية البيانات الوطنية قد أُخبرت سلفا: فالإبلاغ مستحق لها بمجرد وقوع الخرق. وهي تعرف الملف، وتستطيع أن تقابل البيان بالوقائع، وأن تقتضي الإبلاغ الفردي إذا كان الخطر مرتفعا. والتخلي لأن الشركة أعلنت براءة نفسها هو أن يُحسب المدعى عليه كاتبا للمحكمة.

“the data controller (the person or body handling your personal data) must report it to the national data protection authority.”

ترجمة غير رسمية: سلطة بلدكم في الصورة سلفا، بحكم الالتزام. وما تقوله الشركة للجمهور يجب أن تكون قادرة على إثباته لمن يملك سلطة التحقق.

خرافة · بلا ضرر مثبت ومقدَّر، لا شكوى مقبولة. سأنتظر حتى أخسر مالا.

الخرافة: “للشكوى لا بد أولا من فاتورة” شرط الدخول ليس ضررا، هو رأي مسبب: أنكم تعدون أن حقوقكم لم تُحترم، وتستطيعون الشكوى مباشرة إلى سلطتكم الوطنية، التي تحقق وتجيب في غضون ثلاثة أشهر. وانتظار السرقة قبل التبليغ عن الباب المفتوح يقلب الترتيب: فالشكوى موجودة بالضبط ليُدرس الملف قبل أن تسوء الأمور.

“If you think your data protection rights have not been respected, you can make a complaint directly to your national data protection authority which will investigate your complaint and give you a response within 3 months.”

ترجمة غير رسمية: “if you think” يكفي. ولا ضرر يُثبت قبل عبور باب السلطة.

خرافة · ملفات كهذه لا تمضي إلى شيء بلا محام أو دعوى جماعية. أنا أمتنع.

الخرافة: “لا يتصدى للخرق غير جيش من المحامين” الشكوى إلى السلطة ليست دعوى قضائية: هي إجراء إداري تبدأونه بأنفسكم، والنص يلزم السلطة بأن تبقيكم على علم بسير الأمر وبالنتيجة، بما في ذلك إمكان التظلم القضائي بعد ذلك. والمحكمة تبقى خيارا، لا شرطا مسبقا أبدا. والملف الذي في يدكم، وفيه البريد الغامض، يكفي للبدء.

“2. The supervisory authority with which the complaint has been lodged shall inform the complainant on the progress and the outcome of the complaint including the possibility of a judicial remedy pursuant to Article 78.”

ترجمة غير رسمية: متى قُدمت الشكوى، عملت السلطة وأفادتكم. ولم تلتزموا بأي أتعاب، ولا بمحام، ولا بمحاكمة.