ما المقصود بخصوصية البيانات؟

تجمع الشركات بانتظام بيانات المستخدمين، مثل العنوان والبيانات الحيوية وأرقام بطاقات الائتمان. بالنسبة للمؤسسات العاملة في اقتصاد البيانات هذا، فإن دعم خصوصية البيانات يعني اتخاذ خطوات مثل الحصول على موافقة المستخدم قبل معالجة البيانات، وحماية البيانات من سوء الاستخدام، وتمكين المستخدمين من إدارة بياناتهم بفعالية.

لدى العديد من المؤسسات التزام قانوني تجاه دعم حقوق خصوصية البيانات بموجب قوانين مثل اللائحة العامة لحماية البيانات (GDPR). حتى في حالة عدم وجود تشريع رسمي لخصوصية البيانات، قد تستفيد المؤسسات من تبني استخدام تدابير الخصوصية. يمكن لنفس الممارسات والأدوات التي تحمي خصوصية المستخدم أن تدافع عن البيانات والأنظمة الحساسة من المخترقين الخبيثين.

خصوصية البيانات وأمن البيانات تخصصان منفصلان، لكنهما مرتبطان. كلاهما عنصران أساسيان في استراتيجية إدارة البيانات الأوسع نطاقًا لأي شركة.

تركز خصوصية البيانات على الحقوق الفردية لأصحاب البيانات، أي المستخدمين الذين يمتلكون البيانات. بالنسبة إلى المؤسسات، فإن ممارسة خصوصية البيانات هي مسألة تنفيذ سياسات وعمليات تسمح للمستخدمين بالتحكم في بياناتهم وفقًا للوائح خصوصية البيانات ذات الصلة.

يركز أمن البيانات على حماية البيانات من الوصول غير المصرح به وسوء الاستخدام. بالنسبة إلى المؤسسات، فإن ممارسة أمن البيانات هي إلى حد كبير مسألة نشر عناصر التحكم لمنع المخترقين والتهديدات الداخلية من العبث بالبيانات.

يعزز أمن البيانات خصوصية البيانات من خلال ضمان أن الأشخاص المناسبين فقط هم من يمكنهم الوصول إلى البيانات الشخصية للأسباب الصحيحة. تعزز خصوصية البيانات أمن البيانات من خلال تحديد "الأشخاص المناسبين" و "الأسباب الصحيحة" لأي مجموعة من البيانات.

في العديد من المؤسسات، يتم الإشراف على خصوصية البيانات من قبل فريق متعدد التخصصات يضم ممثلين من الإدارة القانونية وإدارات الامتثال وتكنولوجيا المعلومات والأمن السيبراني. تقوم هذه الفرق بصياغة سياسات إدارة البيانات التي تحكم كيفية جمع مؤسساتهم للبيانات الشخصية واستخدامها وحمايتها في ضوء حقوق خصوصية المستخدمين. كما تصمم عمليات للمستخدمين لممارسة حقوقهم وتنفيذ عناصر التحكم الفنية لتأمين البيانات.

يمكن للمؤسسات استخدام مجموعة متنوعة من أُطر عمل خصوصية البيانات لتوجيه سياسات خصوصية البيانات الخاصة بها، بما في ذلك إطار عمل الخصوصية الصادر عن المعهد الوطني للمعايير والتكنولوجيا (NIST)¹ ومبادئ الممارسة العادلة للمعلومات.² علاوة على ذلك، تعتمد تفاصيل الإستراتيجية الخاصة بإدارة البيانات لأي مؤسسة بشكل كبير على قوانين الخصوصية التي يجب على الشركة الامتثال لها، إن وجدت.

ومع ذلك، هناك بعض مبادئ خصوصية البيانات العامة التي تظهر في معظم أُطر العمل واللوائح التنظيمية. هذه المبادئ توجه السياسات والعمليات وعناصر التحكم المتعلقة بخصوصية البيانات لدى العديد من المؤسسات.

تجمع المؤسسات متوسطة الحجم اليوم كمية هائلة من بيانات المستهلكين. تقع على عاتق المؤسسة مسؤولية ضمان خصوصية هذه البيانات - ليس من منطلق طيبة قلوبهم، ولكن من باب الامتثال التنظيمي والوضع الأمني والميزة التنافسية.

تعترف مؤسسات مثل الأمم المتحدة³ بالخصوصية كحق أساسي من حقوق الإنسان، وقد تبنت العديد من الدول لوائح الخصوصية التي تكرس هذا الحق في القانون. تأتي معظم هذه اللوائح مع عقوبات قاسية لعدم الامتثال.

تُعد اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) أحد أكثر قوانين خصوصية البيانات شمولاً في العالم. فهي تضع قواعد صارمة يجب على أي شركة - داخل أو خارج أوروبا - اتباعها عند معالجة بيانات المقيمين في الاتحاد الأوروبي. يمكن تغريم المخالفين بغرامة تصل إلى 20 مليون يورو أو 4% من الإيرادات العالمية للشركة.

وتطبّق الدول خارج الاتحاد الأوروبي متطلبات تنظيمية مماثلة، بما في ذلك اللائحة العامة لحماية البيانات في المملكة المتحدة، وقانون حماية المعلومات الشخصية والوثائق الإلكترونية في كندا (PIPEDA)، وقانون حماية البيانات الشخصية الرقمية في الهند.

ليس لدى الولايات المتحدة أي قوانين فيدرالية لحماية البيانات تتمتع بالشمولية التي تتمتع بها اللائحة العامة لحماية البيانات، ولكن لديها بعض التشريعات الأكثر استهدافًا. قانون حماية خصوصية الأطفال على الإنترنت (COPPA) يضع قواعد لجمع ومعالجة البيانات الشخصية للأطفال دون سن 13 عامًا. يغطي قانون إخضاع التأمين الصحي لقابلية النقل والمساءلة (HIPAA) كيفية تعامل مؤسسات الرعاية الصحية ذات الصلة مع المعلومات الصحية الشخصية.

يمكن أن تكون العقوبات بموجب هذه القوانين كبيرة. في عام 2022، على سبيل المثال، تم تغريم شركة Epic Games رقماً قياسياً قدره 275 مليون دولار أمريكي بسبب انتهاكات قانون حماية خصوصية الأطفال على الإنترنت (COPPA).⁴

يوجد في الولايات المتحدة أيضًا لوائح خصوصية على مستوى الولاية مثل California Consumer Privacy Act (CCPA)، والذي يمنح المستهلكين في كاليفورنيا مزيدًا من التحكم في كيفية معالجة بياناتهم وتوقيت معالجتها. في حين أن California Consumer Privacy Act (CCPA) (قانون خصوصية المستهلك في كاليفورنيا) ربما يكون هو أكثر قوانين الخصوصية شهرة على مستوى الولاية، إلا أنه كان نواة لقوانين أخرى، مثل قانون حماية بيانات المستهلك في فرجينيا (VCDPA) وقانون الخصوصية في كولورادو (CPA).

تجمع المؤسسات اليوم كميات هائلة من معلومات التعريف الشخصية (PII)، مثل أرقام الضمان الاجتماعي للمستخدمين وتفاصيلهم المصرفية. تُعد هذه البيانات هدفًا للمخترقين، الذين قد يستخدمونها لسرقة الهوية أو سرقة الأموال أو بيعها على الشبكة الخفية.

بالإضافة إلى ذلك، فإن الشركات لديها بيانات حساسة خاصة بها قد يسعى المخترقون وراءها، مثل الملكية الفكرية أو البيانات المالية.

بحسب تقرير تكلفة اختراق أمن البيانات 2023 الصادر عن IBM، فإن متوسط تكلفة اختراق أمن البيانات على الشركة يصل إلى 4.45 مليون دولار أمريكي. تساهم العديد من العوامل في هذا الثمن، بما في ذلك فرص الأعمال التجارية الضائعة بسبب فترة التعطل وتكاليف اكتشاف اختراق أمن البيانات ومعالجته.

يمكن للعديد من الأدوات التي تدعم خصوصية البيانات أن تُقلل أيضًا من خطر الاختراقات وتُعزز وضع الأمن السيبراني العام. على سبيل المثال، تُساعد حلول إدارة الهوية والوصول (IAM) التي تمنع الوصول غير المصرح به في إيقاف المخترقين إلى جانب تطبيق سياسات الخصوصية. غالبًا ما تتمكن أدوات أمن البيانات من اكتشاف الأنشطة المشبوهة التي قد تُشير إلى احتمالية وجود هجوم إلكتروني قيد التنفيذ، مما يُمكّن فريق الاستجابة للحوادث من العمل بشكل أسرع.

وبالمثل، يمكن للموظفين والمستهلكين الدفاع عن أنفسهم ضد بعضٍ من أخطر هجمات الهندسة الاجتماعية باتباع أفضل ممارسات حماية البيانات. غالبًا ما يتصفح المحتالون تطبيقات التواصل الاجتماعي بحثًا عن بيانات شخصية يمكنهم استخدامها في حيل اختراق البريد الإلكتروني للشركات (BEC) والتصيد الاحتيالي. من خلال تقليل مشاركة المعلومات وإغلاق حساباتهم، يمكن للمستخدمين قطع الطريق على المحتالين من مصدرٍ قويٍّ للذخيرة.

إن احترام حقوق خصوصية المستخدمين قد يمنح المؤسسة في بعض الأحيان ميزة تنافسية.

قد يفقد المستهلكون الثقة في الشركات التي لا تحمي بياناتهم الشخصية بشكل كاف. على سبيل المثال، تعرضت سمعة فيسبوك لضربة كبيرة في أعقاب فضيحة Cambridge Analytica.⁵ غالباً ما يكون المستهلكون أقل استعداداً لمشاركة بياناتهم القيمة مع الشركات التي فشلت في احترام الخصوصية في الماضي.

وعلى العكس من ذلك، فإن الشركات التي تتمتع بسمعة طيبة في حماية خصوصية البيانات قد يكون من الأسهل عليها الحصول على بيانات المستخدمين والاستفادة منها.

علاوة على ذلك، في الاقتصاد العالمي المترابط، غالباً ما تتدفق البيانات بين المؤسسات. قد ترسل مؤسسة ما البيانات الشخصية التي تجمعها إلى قاعدة بيانات سحابية للتخزين أو شركة استشارية للمعالجة. يمكن أن يساعد اعتماد مبادئ وممارسات خصوصية البيانات المؤسسات على حماية بيانات المستخدم من إساءة الاستخدام حتى عند مشاركة هذه البيانات مع جهات خارجية. بموجب بعض اللوائح، مثل اللائحة العامة لحماية البيانات (GDPR)، تكون المؤسسة مسؤولة قانوناً عن ضمان الحفاظ على أمن البيانات بواسطة البائعين ومقدمي الخدمات التابعين لها.

أخيرًا، قد تُشكّل تقنيات الذكاء الاصطناعي التوليدي الجديدة تحديات كبيرة تتعلق بخصوصية البيانات. فأي بيانات حساسة تُغذّى بها هذه الأنظمة قد تُصبح جزءًا من بيانات تدريب الأداة، وقد لا تتمكن المؤسسة من التحكم في كيفية استخدامها. على سبيل المثال، سرّب مهندسو سامسونج، دون قصد، مصدر رمز برمجي خاص عن طريق إدخاله في ChatGPT لتحسينه.⁶

بالإضافة إلى ذلك، إذا لم تحصل المؤسسة على إذن من المستخدمين لتشغيل بياناتهم من خلال الذكاء الاصطناعي التوليدي، فقد يشكل ذلك انتهاكًا للخصوصية بموجب لوائح معينة.

يمكن لسياسات وعناصر التحكم في خصوصية البيانات الرسمية أن تساعد المؤسسات على اعتماد أدوات الذكاء الاصطناعي هذه وغيرها من التقنيات الجديدة دون خرق القانون أو فقدان ثقة المستخدم أو تسريب معلومات حساسة عن طريق الخطأ.