قوانين حماية البيانات في الخليج والتخلص من الأجهزة: دليل لكل دولة

الأجهزة المستبعدة من أكثر مصادر تسريب البيانات التي يُغفل عنها. فاللابتوب المباع، أو هاتف إيجار مُعاد، أو سيرفر خارج الخدمة، قد يحمل بيانات شخصية لسنوات. وأصبح لدى كل دولة خليجية قانون لحماية البيانات يتوقع حماية البيانات الشخصية حتى التخلص الآمن منها.

هذا الدليل معلومات عامة وليس استشارة قانونية. يجب أن يؤكد فريقكم القانوني أو فريق الامتثال القواعد المنطبقة على مؤسستكم.

القوانين باختصار

ماذا تعني هذه القوانين للتخلص من الأجهزة

• الحماية حتى النهاية: تشترط القوانين تدابير تقنية مناسبة لحماية البيانات الشخصية، ولا ينتهي هذا الالتزام عند إطفاء الجهاز للمرة الأخيرة.
• الإتلاف عند انتهاء الحاجة: تلزم عدة قوانين، منها نظام حماية البيانات الشخصية السعودي، بإتلاف البيانات الشخصية عند انتهاء الغرض منها، وإخراج الجهاز من الخدمة هو تلك اللحظة تحديداً.
• المعالجون ومزوّدو الخدمة: مزوّد ITAD الذي يتعامل مع أجهزتك يتعامل مع بياناتك، ويجب أن تغطي العقود الأمان وسلسلة الحيازة ومعايير الإتلاف.
• مخاطر التسريب: البيانات المستعادة من جهاز تم التخلص منه قد تُعد تسريباً للبيانات الشخصية، مع التزامات إبلاغ وعقوبات.

قواعد قطاعية إضافية

تواجه البنوك وشركات التأمين ومقدمو الرعاية الصحية ومشغلو الاتصالات والجهات الحكومية غالباً قواعد إضافية من جهاتها الرقابية، مثل متطلبات البنوك المركزية أو ضوابط الأمن السيبراني الوطنية. وفي السعودية، تنطبق الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني على كثير من الجهات، وتشمل التخلص الآمن من أصول المعلومات.

قائمة امتثال عملية

1. ضمّن التخلص من الأجهزة في سياسات حماية البيانات وأمن المعلومات. راجع مخطط سياسة التخلص من الأصول التقنية.
2. استخدم مزوّداً يتلف البيانات وفق معيار معترف به مثل NIST SP 800-88.
3. اطلب شهادات إتلاف على مستوى الرقم التسلسلي.
4. استخدم الإتلاف في الموقع حين لا يجوز أن تغادر البيانات مقرك.
5. احفظ السجلات مع سجل الأصول.