تدريب حماية البيانات وفق DSGVO للعاملين — التدريب الأساسي وفق القانون الألماني

هذا التدريب مخصص للعمل في ألمانيا. وهو ترجمة للدورة الألمانية؛ والمرجع هو اللوائح الألمانية وتعليمات منشأتك.

15 وحدات · حوالي 53 دقيقة · اختبار نهائي من 20 أسئلة، يلزم 14 إجابات صحيحة للنجاح · شهادة مشاركة بصيغة PDF

موضوع هذه الدورة

كل من يسجّل في المنشأة بيانات العملاء، أو يقرأ طلبات التوظيف، أو يحتسب الرواتب، أو يكتب رسائل بريد إلكتروني فحسب، يعالج بيانات شخصية — وبذلك يقف في قلب Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي).

لا حاجة للتسجيل. نسأل عن اسمك وبريدك الإلكتروني فقط قبل الاختبار النهائي – من أجل شهادتك فقط. يتم حفظ تقدمك في هذا المتصفح. يمكنك التوقف في أي وقت والمتابعة لاحقًا.

الوحدة 1 من 15

ما الموضوع — وما الذي ليست عليه هذه الدورة

كل من يتعامل في المنشأة مع أسماء أو عناوين أو رسائل بريد إلكتروني أو رواتب أو إجازات مرضية يعالج بيانات شخصية — على المكتب، على الهاتف، في المستودع، في العمل من المنزل. لذلك لا تسري Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) على قسم تقنية المعلومات وحده، بل على كل شخص يعمل بمثل هذه البيانات. تشترط المادة 32 الفقرة 4 من DSGVO ألا يعالج العاملون البيانات الشخصية إلا بناءً على تعليمات؛ وتذكر المادة 39 الفقرة 1 الحرف b من DSGVO توعية العاملين وتدريبهم صراحةً كمهمة من مهام حماية البيانات. هذه الدورة هي هذا التدريب.

ما الذي تتعلمه هنا: أين تسري DSGVO، وما هي البيانات الشخصية، وأي البيانات محمية بشكل خاص، ووفق أي مبادئ تجوز المعالجة، وما حقوق الأشخاص المعنيين، ومن يحمل أي دور، وأي تدابير حماية تهم في عملك اليومي، وكيف تتعرف على خرق حماية البيانات وتبلغ عنه، وما الذي يهدد عند المخالفات — وكيف تقرر في حالة الطوارئ.

ما الذي تقدمه هذه الدورة: الجزء العام والقانوني من تدريب حماية البيانات، مع إثبات للمحتويات والتاريخ والنتيجة.

ما الذي لا تقدمه: قواعد منشأتك. من هو مسؤول حماية البيانات أو جهة الاتصال لديك، وكيف يبدو مسار الإبلاغ عندك عند وقوع خرق، وأي قاعدة لكلمات المرور وأي مهل محو تسري — هذا لا تعرفه إلا شركتك. لذلك توجد الوحدة «الإجراءات في منشأتنا». كما لا تحل الدورة محل سياسة الخصوصية ولا سجل أنشطة المعالجة ولا الاستشارة القانونية في الحالة الفردية. هذه الدورة ترجمة عربية لدورتنا الألمانية؛ وهي تشرح القانون الألماني للعاملين في ألمانيا — وعند الشك تسري النسخة الألمانية.

للتذكر

حماية البيانات ليست مهمة «قسم تقنية المعلومات» ولا «مسؤول حماية البيانات». معظم حالات خرق حماية البيانات تنشأ في مكان العمل: رسالة بريد إلكتروني إلى مستلم خاطئ، شاشة مفتوحة، ملف في المقصف. وهنا بالضبط تبدأ هذه الدورة.

الوحدة 2 من 15

الإطار القانوني في مكان واحد — DSGVO وBDSG

مجموعتان من القواعد تتشابكان. من رآهما مرة في سياقهما، فهم بقية الدورة أسرع.

أين تسري DSGVO — مادياً (المادة 2)

تسري DSGVO على كل معالجة آلية كلياً أو جزئياً — أي في كل مكان يدخل فيه حاسوب أو هاتف ذكي أو خادم. لكنها تسري أيضاً بدون حاسوب بمجرد أن تكون البيانات الشخصية مخزنة أو مُعدّة للتخزين في نظام ملفات: في مجلد، في فهرس بطاقات، في أرشيف منظم. ولا تشملها الملاحظات المتفرقة غير المرتبة بلا نظام — ولا الأنشطة الخاصة والعائلية البحتة (المادة 2 الفقرة 2 الحرف c)، مثل دفتر العناوين الخاص في المنزل.

أين تسري DSGVO — إقليمياً (المادة 3)

• للمسؤول عن المعالجة أو معالج البيانات بالتكليف منشأة في الاتحاد الأوروبي — عندها تسري DSGVO بغض النظر عن مكان معالجة البيانات فعلياً.
• يقع مقر المسؤول عن المعالجة خارج الاتحاد الأوروبي، لكنه يعرض على أشخاص في الاتحاد الأوروبي سلعاً أو خدمات أو يراقب سلوكهم — عندها تسري أيضاً (مبدأ مكان السوق).

أمثلة: شركة ألمانية تخزن بيانات عملاء — تسري DSGVO. شركة أمريكية تبيع في ألمانيا وتخزن لذلك بيانات مستخدمين — تسري DSGVO. شركة أمريكية تعالج حصراً بيانات أشخاص في الولايات المتحدة دون صلة بالاتحاد الأوروبي — لا تسري DSGVO.

للتذكر

الحاسم ليس الجنسية («مواطن الاتحاد الأوروبي»)، بل ما إذا كان الشخص موجوداً في الاتحاد أو كان المسؤول عن المعالجة مقيماً هنا. وأيضاً: الورق ليس معفى من حماية البيانات — ملف الموظف في الخزانة يخضع لـ DSGVO تماماً كما يخضع لها الملف على الخادم.

الوحدة 3 من 15

البيانات الشخصية والمعالجة

تدور حماية البيانات حول البيانات الشخصية. وهي وفق المادة 4 البند 1 من Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) كل المعلومات التي تتعلق بـشخص طبيعي محدد الهوية أو يمكن تحديد هويته. الحاسم ليس ما إذا كانت المعلومة «سرية» أو «خاصة»، بل ما إذا كان يمكن بها التعرف على إنسان — بشكل مباشر أو غير مباشر.

أمثلة: الاسم الأول واسم العائلة، تاريخ الميلاد، العمر، العنوان، عنوان البريد الإلكتروني، رقم الهاتف، بيانات الحساب المصرفي، الرقم الوظيفي، رقم الضمان الاجتماعي، رقم الهوية، رقم لوحة السيارة، عنوان IP، بيانات الموقع، الصور، الصوت، بصمة الإصبع، سجل الطلبات، لون الشعر والعينين. وحتى عنوان العمل vorname.nachname@firma.de هو بيان شخصي — فالشخص يمكن التعرف عليه بوضوح.

التعرف غير المباشر: «المرأة الشقراء من قسم شؤون الموظفين» — إذا كانت تعمل هناك امرأة شقراء واحدة فقط، فهذا بيان شخصي حتى بدون اسم. وينطبق الأمر نفسه على الأسماء المستعارة (الرقم الوظيفي، رقم العميل) ما دام يوجد في مكان ما مفتاح يقود إلى الشخص (المادة 4 البند 5). فقط البيانات المجهولة فعلاً، التي لم يعد بإمكان أحد تحديد الشخص من خلالها، تخرج من نطاق DSGVO. أما بيانات الأشخاص الاعتباريين (شركة Müller GmbH بصفتها هذه) فليست محمية — لكن بيانات جهات الاتصال فيها محمية.

ما معنى «المعالجة» (المادة 4 البند 2)

عملياً كل تعامل مع البيانات الشخصية هو معالجة: الجمع، التسجيل، الترتيب، التخزين، التعديل، القراءة، الاستعلام، الاستخدام، النقل، المطابقة، التقييد، المحو، الإتلاف.

للتذكر

مجرد الاطلاع هو معالجة. من يفتح ملفاً لا يخصه، يعالج بيانات دون تعليمات — وهذه بالفعل مخالفة، حتى لو لم «يحدث» شيء.

الوحدة 4 من 15

الفئات الخاصة من البيانات الشخصية

بعض البيانات يمكن أن تلحق بالإنسان ضرراً خاصاً إذا وقعت في الأيدي الخطأ: فقد تؤدي إلى التمييز أو الإقصاء أو الاضطهاد. لذلك تضعها المادة 9 الفقرة 1 من Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) تحت حظر مبدئي للمعالجة — ولا تجوز المعالجة إلا في الاستثناءات الضيقة الواردة في المادة 9 الفقرة 2، مثل الموافقة الصريحة أو عندما يقتضيها قانون العمل والضمان الاجتماعي (§ 26 الفقرة 3 من Bundesdatenschutzgesetz، BDSG، القانون الاتحادي الألماني لحماية البيانات؛ مثلاً الإجازة المرضية لاستمرار دفع الأجر).

الفئات الخاصة وفق المادة 9 الفقرة 1:

• الأصل العرقي أو الإثني
• الآراء السياسية (مثل الانتماء الحزبي)
• المعتقدات الدينية أو الفلسفية
• الانتماء النقابي
• البيانات الجينية
• البيانات البيومترية لغرض التعرف الفريد على الهوية (مسح بصمة الإصبع، التعرف على الوجه)
• البيانات الصحية (التشخيصات، أيام المرض، الإعاقة الشديدة، الحمل)
• البيانات المتعلقة بالحياة الجنسية أو التوجه الجنسي

رقم الضمان الاجتماعي إذن ليس بياناً من بيانات المادة 9 — لكنه معرّف حساس يجب مع ذلك حمايته بعناية. وبالعكس، صورة جواز السفر العادية ليست بيومترية تلقائياً؛ فهي لا تصبح بيومترية بمعنى المادة 9 إلا عندما تُستخرج منها بإجراءات تقنية سمة للتعرف الفريد على الهوية.

في عملك اليومي

أيام المرض، الشهادات الطبية، بطاقة الإعاقة الشديدة، الانتماء الديني (خانة ضريبة الكنيسة في كشف الراتب): هذه البيانات تخص فقط الأشخاص الذين يحتاجونها لأداء مهامهم — لا في دردشة الفريق، ولا في الأرشيف المفتوح، ولا في الحديث في الممر.

الوحدة 5 من 15

مبادئ المعالجة

المادة 5 من Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) هي البوصلة. كل معالجة في المنشأة يجب أن تُقاس بهذه المبادئ السبعة — وسلطات الرقابة تدقق بالضبط وفق هذه القائمة.

ما معنى ذلك بالنسبة لك

أنت لا تقرر في الأسس القانونية ومهل المحو — لكنك تطبق المبادئ كل يوم. من يعيد استخدام البيانات «على عجل» لغرض آخر، أو يستعلم عن أكثر مما يلزم، أو يحتفظ بسجلات قديمة من باب الراحة، يخالف المادة 5 حتى دون نية سيئة.

للتذكر

الغرض، الكمية، المدة. لماذا أحتاج هذا البيان؟ هل أحتاج فعلاً كل ما فيه؟ كم من الوقت يجوز لي الاحتفاظ به؟ من يطرح هذه الأسئلة الثلاثة فقد فهم المادة 5.

الوحدة 6 من 15

الأسس القانونية — متى يجوز معالجة البيانات

يسري في حماية البيانات حظر مع الاحتفاظ بإمكانية الإذن: لا يجوز معالجة البيانات الشخصية إلا إذا انطبق أحد الأسس القانونية المذكورة في المادة 6 الفقرة 1 من Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي). وهي ستة — الأحرف من a إلى f.

الموافقة — الأساس الأضعف

يجب أن تُمنح الموافقة طوعاً وعن علم وبشكل لا لبس فيه وللغرض المحدد (المادة 7). وهي قابلة للسحب في أي وقت — ويجب أن يكون السحب بسهولة المنح نفسها. لذلك فهي في المنشأة غالباً الاختيار الخاطئ: ما يلزم لتنفيذ العقد لا يحتاج إلى موافقة؛ ومن يعتمد على الموافقة يجب أن يكون قادراً على التعايش مع سحبها.

بيانات العاملين — § 26 BDSG

يسري على بيانات العاملين، إلى جانب المادة 6 الفقرة 1 الحرف b، التنظيم الوطني في § 26 من Bundesdatenschutzgesetz (BDSG، القانون الاتحادي الألماني لحماية البيانات): المعالجة جائزة إذا كانت ضرورية لإنشاء علاقة العمل أو تنفيذها أو إنهائها — كشف الرواتب، تسجيل أوقات العمل، تخطيط الإجازات، إثباتات المؤهلات. ولا تكون موافقة العاملين طوعية إلا إذا لم يتهددهم أي ضرر (§ 26 الفقرة 2)؛ لذلك فهي الاستثناء لا القاعدة.

في عملك اليومي

لست أنت من يحدد الأساس القانوني — بل يفعل ذلك المسؤول عن المعالجة ويثبته في سجل أنشطة المعالجة. لكن عليك أن تعرف: لا معالجة بلا أساس. من يريد استخدام بيانات العملاء لغرض جديد يسأل قبل ذلك — لا بعده.

الوحدة 7 من 15

حقوق الأشخاص المعنيين

تمنح Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) كل شخص تُعالَج بياناته حقوقاً قابلة للإنفاذ. يستطيع عميل أو متقدم لوظيفة أو زميل المطالبة بها — بالبريد الإلكتروني أو بالرسالة أو بالهاتف، وحتى دون شكل محدد. والطلب لا يصل إلى مسؤول حماية البيانات، بل إلى من يرد على الهاتف في تلك اللحظة.

المهلة: شهر واحد

المادة 12 الفقرة 3 من DSGVO: يجب الرد على الطلبات دون تأخير، وفي موعد أقصاه شهر واحد من الاستلام. وفي الطلبات المعقدة أو الكثيرة يمكن تمديد المهلة شهرين إضافيين — وعندها يجب إبلاغ الشخص بذلك خلال الشهر الأول. والاطلاع مجاني (المادة 12 الفقرة 5). من يفوّت المهلة يخاطر بشكوى لدى سلطة الرقابة (المادة 77) وبغرامة إدارية.

ما تفعله عندما يصلك طلب

1. لا ترد بنفسك — ولا تسلّم بيانات عبر الهاتف قبل التحقق من الهوية.
2. دوّن تاريخ الاستلام. مهلة الشهر تبدأ من الاستلام، لا من الإحالة.
3. أحِله فوراً إلى الجهة المختصة (مسؤول حماية البيانات، الإدارة، جهة الاتصال المعيّنة — وحدة «الإجراءات في منشأتنا»).

للتذكر

طلب الشخص المعني ليس شكوى ولا هجوماً. إنه حق. والخطأ لا يكمن تقريباً أبداً في الرد — بل في أن الطلب يبقى ثلاثة أسابيع في صندوق بريد.

الوحدة 8 من 15

الأدوار — المسؤول عن المعالجة، معالج البيانات بالتكليف، مسؤول حماية البيانات

أربعة مصطلحات ترتّب من المسؤول عن ماذا في حماية البيانات.

مثال: تكلّف شركة Müller مكتب رواتب بكشف الرواتب. المسؤول عن المعالجة هو شركة Müller، ومعالج البيانات بالتكليف هو مكتب الرواتب، والأشخاص المعنيون هم العاملون. ووفق المادة 28 الفقرة 3 من Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) يلزم لذلك عقد مكتوب للمعالجة بالتكليف — وبدونه يكون تمرير البيانات غير جائز. ويبقى المسؤول عن المعالجة مسؤولاً عن كل ما يفعله مقدم الخدمة (المادة 24).

مسؤول حماية البيانات (DSB)

وفق § 38 الفقرة 1 من Bundesdatenschutzgesetz (BDSG، القانون الاتحادي الألماني لحماية البيانات) يجب على الشركة تعيين مسؤول حماية بيانات إذا كان 20 شخصاً على الأقل في العادة يعملون باستمرار في المعالجة الآلية للبيانات الشخصية — وبغض النظر عن العدد إذا جرت معالجات عالية المخاطر بوجه خاص (المادة 37 من DSGVO، § 38 BDSG). مسؤول حماية البيانات يُعلم ويقدم المشورة، ويراقب الامتثال، وهو جهة الاتصال للعاملين والأشخاص المعنيين وسلطة الرقابة (المادة 39). وهو في مهمته غير خاضع للتعليمات ولا يجوز الإضرار به بسبب أدائها (المادة 38 الفقرة 3). وهو لا يقرر — ولا يتحمل المسؤولية بدلاً من الإدارة.

المهام داخل المنشأة

• الإدارة: تضع القواعد، وتوفر الوسائل، وتتحمل المسؤولية التنظيمية (المادة 24).
• المديرون: يطبقون القواعد في الفريق، ويراقبون، ويدرّبون، ويدعمون مسؤول حماية البيانات.
• العاملون: يعالجون بناءً على التعليمات فقط (المادة 29، المادة 32 الفقرة 4)، ويلتزمون بالقواعد الداخلية والقانونية، ويبلّغون عن خروقات حماية البيانات والمخالفات فوراً إلى المدير أو مسؤول حماية البيانات.

للتذكر

المسؤول هو الشركة، لا مسؤول حماية البيانات. مسؤول حماية البيانات يقدم المشورة ويراقب — وهو جهة اتصالك عندما تكون غير متأكد، لا الشخص الذي يُشار إليه بالإصبع عند الشك.

الوحدة 9 من 15

التدابير التقنية والتنظيمية (TOM)

TOM اختصار لـ التدابير التقنية والتنظيمية (technische und organisatorische Maßnahmen). تُلزم المادة 32 من Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) المسؤولين عن المعالجة ومعالجي البيانات بالتكليف بضمان مستوى حماية يتناسب مع المخاطر — وتذكر صراحةً إخفاء الهوية بالأسماء المستعارة والتشفير، وتأمين سرية الأنظمة وسلامتها وتوافرها ومرونتها، وقابلية الاستعادة بعد حادث (النسخ الاحتياطي)، والمراجعة المنتظمة للفعالية.

ما هو بين يديك

معظم التدابير التقنية والتنظيمية لا تعمل إلا إذا طبقتها أنت:

• اقفل الشاشة بمجرد مغادرة مكانك — حتى «لوهلة»، وحتى لو لم يكن في الغرفة سوى زملاء. ليس كل زميل يجوز له رؤية كل شيء.
• كلمات المرور: طويلة، فريدة لكل خدمة، لا تُسلَّم أبداً، لا على ورقة ملصقة على الشاشة، ولا في دردشة الفريق. مدير كلمات المرور مسموح ومرغوب إذا أجازته المنشأة.
• المكتب النظيف: مستندات الموظفين وقوائم العملاء والمطبوعات تُحفظ مقفلة في المساء؛ لا تستخدم الطابعة مكاناً للتخزين.
• وسائط التخزين والورق التي تحتوي بيانات شخصية لا تُلقى في القمامة العادية — بل في آلة التمزيق أو حاوية حماية البيانات.
• استخدم صلاحيات الوصول كما مُنحت: ما تستطيع رؤيته لا يجوز لك تلقائياً الاطلاع عليه (المادة 32 الفقرة 4).
• لا أجهزة خاصة ولا خدمات سحابية ولا تطبيقات مراسلة لبيانات الشركة، إلا إذا أجازتها المنشأة صراحةً.

للتذكر

أغلى جدار حماية لا ينفع إذا كان ملف الموظف مفتوحاً في غرفة الاجتماعات. اسأل نفسك في كل مكان عمل: أين توجد تدابيرنا التقنية والتنظيمية، وأيها يخصني — وهل ألتزم بها اليوم؟

الوحدة 10 من 15

خروقات حماية البيانات — التعرف عليها والإبلاغ عنها وتوثيقها

يقع خرق حماية البيانات — تسميه Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) «انتهاك حماية البيانات الشخصية» (المادة 4 البند 12) — عندما تُكشف بيانات شخصية أو تُغيَّر أو تُتلف أو تُفقد دون تصريح أو عندما يحصل غير المصرح لهم على الوصول إليها. والنية لا دور لها. معظم الخروقات أخطاء غير مقصودة.

حالات نموذجية:

• رسالة جماعية إلى جميع العملاء، والعناوين في حقل «إلى» بدلاً من «نسخة مخفية (BCC)»
• رسالة بريد إلكتروني تحتوي كشف الرواتب أو عرضاً تصل إلى المستلم الخاطئ
• ملفات الموظفين تُترك في المقصف وتُقرأ
• حاسوب محمول أو هاتف ذكي يحتوي بيانات عملاء يُسرق، ذاكرة USB تُفقد
• برنامج فدية يشفّر الخادم — فقدان التوافر أيضاً خرق
• في المتجر الإلكتروني يرى زائر بيانات العميل الذي سجل دخوله قبله
• قسم تقنية المعلومات يمحو عن طريق الخطأ جميع العملاء من نظام CRM دون نسخة احتياطية

المهل

تبدأ الساعات الـ 72 من العلم بالخرق داخل الشركة — لا من اللحظة التي يعلم فيها مسؤول حماية البيانات به. من يحتفظ بخرق لنفسه ثلاثة أيام يكون قد استهلك مهلة الشركة بالفعل. وما إذا كان يجب الإبلاغ لا يقرره الشخص الذي وقع له الخطأ، بل المسؤول عن المعالجة بعد تقييم الخطر.

ما تفعله — بهذا الترتيب

1. أبلغ فوراً — مسؤول حماية البيانات أو المدير، في اليوم نفسه، حتى عند عدم التأكد مما إذا كان خرقاً «حقاً».
2. حدّ من الضرر قدر الإمكان: اطلب من المستلم الخاطئ المحو، اطلب حظر الجهاز، غيّر بيانات الدخول.
3. دوّن ما حدث: ماذا، متى، أي بيانات، كم شخصاً، من أُبلغ.
4. لا تتستر، ولا «تُصلح» بنفسك، ولا تتصل بالأشخاص المعنيين من تلقاء نفسك — المسؤول عن المعالجة هو من ينسق ذلك.

للتذكر

الخرق المبلَّغ عنه إجراء يُعالَج. والخرق المكتوم مخالفة ثانية — وهي أغلى من الأولى (المادة 83 الفقرة 4).

الوحدة 11 من 15

حماية البيانات في العمل اليومي — البريد الإلكتروني والتصيد والعمل من المنزل والأجهزة المحمولة

الأحكام موجودة في المادة 5 والمادة 32 من Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) — أما المخالفات فتقع في صندوق بريدك، وعلى هاتفك، وعلى طاولة المطبخ في العمل من المنزل. ست حالات تخص الجميع تقريباً.

البريد الإلكتروني

• تحقق من المستلم قبل الإرسال — الإكمال التلقائي يقترح بسهولة «Müller» الخاطئ. الإرسال إلى مستلم خاطئ مع بيانات شخصية هو خرق لحماية البيانات (المادة 4 البند 12).
• قوائم التوزيع في «نسخة مخفية (BCC)»، وليس أبداً في «إلى» أو «نسخة (CC)»، إذا لم يكن المستلمون بحاجة إلى معرفة بعضهم البعض.
• شفّر المرفقات التي تحتوي على بيانات حساسة أو أرسلها عبر مسار تبادل معتمد؛ وكلمة المرور عبر قناة منفصلة.
• لا إعادة توجيه لرسائل البريد الإلكتروني الخاصة بالعمل إلى صناديق بريد خاصة.

التصيد والهندسة الاجتماعية

لا يحتاج المهاجمون إلى تقنية إذا فتح لهم إنسان الباب. الحالة النموذجية: رسالة بريد إلكتروني من «الإدارة» تطلب بشكل عاجل قائمة رواتب أو تحويلاً مالياً؛ «قسم تقنية المعلومات» يطلب كلمة مرورك؛ رابط يقود إلى صفحة تسجيل دخول تشبه الصفحة الحقيقية. علامات التعرف: ضغط الوقت، السرية، قناة غير معتادة، عنوان مرسل مختلف، أخطاء إملائية، وجهة الرابط لا تطابق النص. والصحيح دائماً: لا تنقر، لا ترسل شيئاً، استفسر عبر قناة معروفة (رقم الهاتف من الدليل، وليس من الرسالة) وأبلغ قسم تقنية المعلومات أو مسؤول حماية البيانات (DSB) عن الرسالة. لا أحد جاد يسألك يوماً عن كلمة مرورك.

العمل من المنزل والعمل المتنقل

• أجهزة الشركة فقط أو الأجهزة المعتمدة صراحةً؛ استخدم VPN.
• ضع الشاشة بحيث لا يستطيع شركاء السكن والزوار القراءة معك؛ قفل الشاشة في المنزل أيضاً.
• تجنب المطبوعات؛ وعند الضرورة احفظها مغلقة وأتلفها في المنشأة، لا في قمامة المنزل.
• لا تُجرِ المكالمات الهاتفية السرية في القطار أو المقهى أو المكتب المفتوح.

الأجهزة المحمولة ووسائط التخزين

الحاسوب المحمول، الهاتف الذكي، ذاكرة USB: مشفّرة، برمز قفل، وليست أبداً دون رقابة في السيارة أو القطار. أبلغ عن الفقدان فوراً — الجهاز المشفّر خرق يُوثَّق، وغير المشفّر خرق يجب الإبلاغ عنه.

الهاتف والزوار

على الهاتف لا معلومات عن العملاء أو الزملاء لمجهولين — ولا حتى «رقم التحويلة فقط» أو «هل هو مريض اليوم». يُرافَق الزوار؛ وتُخلى الشاشات والسبورات والمطبوعات في غرفة الاجتماعات مسبقاً.

للتذكر

الثواني الثلاث قبل النقر على «إرسال» هي أرخص تدبير لحماية البيانات على الإطلاق. المستلم، المرفق، النسخة المخفية (BCC).

الوحدة 12 من 15

المسؤولية والغرامات الإدارية

لمخالفات حماية البيانات عواقب — على الشركة وعلى الشخص الذي تسبب فيها.

الغرامات الإدارية (المادة 83)

يمكن لسلطات الرقابة فرض غرامات إدارية على مستويين وفق Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي):

ويسري في كل حالة المبلغ الأعلى. ويتحدد المقدار بحسب نوع المخالفة وجسامتها ومدتها، والعمد أو الإهمال، والتعاون مع السلطة، وما إذا كانت المخالفة قد أُبلغ عنها ذاتياً (المادة 83 الفقرة 2). وإلى جانب ذلك يمكن للسلطة حظر عمليات معالجة (المادة 58 الفقرة 2).

التعويض (المادة 82)

لكل شخص لحقه ضرر بسبب مخالفة الحق في التعويض — المادي والمعنوي. والضرر المعنوي يعني: حتى فقدان السيطرة على البيانات الشخصية، أو القلق من إساءة الاستخدام أو الفضح، قد يستوجب التعويض. والمطالَب هو المسؤول عن المعالجة، وفي ظروف معينة معالج البيانات بالتكليف أيضاً.

من يتحمل المسؤولية داخل الشركة؟

• الشركة بصفتها المسؤول عن المعالجة تتحمل الغرامة الإدارية والتعويض. والإدارة مسؤولة عن التنظيم: القواعد، الوسائل، الرقابة، التدريب (المادة 24).
• مسؤول حماية البيانات يقدم المشورة ويراقب — ولا يتحمل المسؤولية بدلاً من الإدارة (المادتان 38 و39).
• العاملون يتحملون المسؤولية في نطاق مسؤوليتهم المباشر: مخالفة التعليمات قد تؤدي إلى إنذار وفصل؛ وعند الإهمال الجسيم أو العمد تُطرح المشاركة في تحمل الضرر. ومن يعالج بيانات شخصية دون تصريح بقصد الإثراء أو الإضرار بشخص ما يرتكب جريمة وفق § 42 الفقرة 2 من Bundesdatenschutzgesetz (BDSG، القانون الاتحادي الألماني لحماية البيانات) — بعقوبة سجن تصل إلى سنتين؛ ومن ينقل بيانات أشخاص كثيرين دون تصريح على نحو احترافي، حتى ثلاث سنوات (§ 42 الفقرة 1 BDSG).

للتذكر

ملايين اليوروهات تدفعها الشركة. أما مكان العمل فيفقده الشخص الذي أخذ ملف شؤون الموظفين إلى المنزل أو أعطى «الزميل من قسم تقنية المعلومات» كلمة المرور. وكلاهما يمكن تجنبه — بما ورد في هذه الدورة.

الوحدة 13 من 15

حالة عملية: قائمة الرواتب تذهب إلى مستلم خاطئ

الوضع: يوم الجمعة، الساعة 16:40. ترسل السيدة K. من قسم شؤون الموظفين قائمة الرواتب الشهرية كمرفق Excel إلى مكتب الرواتب. وضع الإكمال التلقائي بدلاً من lohn@steuerberater-mueller.de العنوان info@mueller-elektrotechnik.de — وهو عميل. تحتوي القائمة على الأسماء، الرواتب الإجمالية، فئات الضريبة، الانتماء الديني (ضريبة الكنيسة)، ولدى شخصين ملاحظة «إعانة بدل المرض». تلاحظ السيدة K. الخطأ في الساعة 16:55.

مسار القرار

1. هل هذا خرق لحماية البيانات؟ نعم. كُشفت بيانات شخصية لجهة غير مخولة (المادة 4 البند 12 من Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي)). وكون الأمر سهواً وكون المستلم عميلاً جاداً لا يغير من ذلك شيئاً. وكون القائمة تحتوي على بيانات المادة 9 (الدين، الصحة) يرفع درجة الخطر.

2. ماذا تفعل السيدة K. فوراً — وماذا لا تفعل؟

3. من يقرر بشأن الإبلاغ إلى سلطة الرقابة؟ المسؤول عن المعالجة — عملياً الإدارة مع مسؤول حماية البيانات (DSB). تبدأ مهلة 72 ساعة (المادة 33) من الجمعة الساعة 16:55، أي حتى الاثنين الساعة 16:55. وعطلة نهاية الأسبوع محسوبة. وهنا يُرجَّح جداً أن الإبلاغ ضروري: بيانات الرواتب والدين والصحة تعني خطراً على الأشخاص المعنيين؛ وتأكيد المحو من المستلم قد يخفض الخطر، لكنه لا يلغي الفحص.

4. هل يجب إبلاغ العاملين؟ وفق المادة 34 عند خطر مرتفع مرجَّح — وهذا هنا قابل للتبرير تماماً، لأن بيانات الرواتب والصحة معنية ولأن المستلم يعرف بعض الزملاء شخصياً. والقرار يتخذه المسؤول عن المعالجة، ويتم الإبلاغ بشكل منسّق، لا عبر السيدة K. في الممر.

5. التوثيق. تُدوَّن الحادثة وفق المادة 33 الفقرة 5 في سجل حالات خرق حماية البيانات — حتى لو تبين في النهاية أن الإبلاغ لم يكن ضرورياً. ويتم تقييمها: فحص الإكمال التلقائي للعناوين الخارجية، وجعل تشفير قائمة الرواتب إلزامياً.

ما الذي حسم الحالة

ليس الخطأ — فهو يقع لكل إنسان. ما حسم الحالة هو رد الفعل في الساعة 16:55: الإبلاغ بدلاً من الاثنين. لو انتظرت السيدة K. عطلة نهاية الأسبوع، لاستُهلكت 64 ساعة من أصل 72 قبل أن يعلم المسؤول عن المعالجة أصلاً أن عليه اتخاذ قرار.

الوحدة 14 من 15

الإجراءات في منشأتنا

هذه الوحدة تملؤها منشأتك. ينتهي هنا الجزء العام من هذا التدريب — وما يأتي الآن لا تعرفه إلا شركتك.

هذه البيانات تنتمي إلى هنا:

للإدارة

مسار الإبلاغ عند خرق حماية البيانات هو أهم بند في هذه القائمة — وهو الذي يبقى غير واضح في أغلب الأحيان. تبدأ مهلة 72 ساعة من المادة 33 من DSGVO من لحظة العلم داخل الشركة. ومن لا يعرف بمن يتصل مساء الجمعة يستهلك عطلة نهاية الأسبوع — لا إهمالاً، بل لأن أحداً لم يخبره.

الوحدة 15 من 15

إثبات التدريب

في الختام، ما الذي يجعل هذا التدريب إثباتاً.

لماذا إثبات أصلاً: تلزم المادة 5 الفقرة 2 من Datenschutz-Grundverordnung (DSGVO، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي) المسؤولَ عن المعالجة بأن يكون قادراً على إثبات الالتزام بالمبادئ؛ وتشترط المادة 24 إثبات التدابير المناسبة. وتدريب العاملين هو أحد هذه التدابير — تنظيمي، جزء من التدابير التقنية والتنظيمية (TOM) — وتذكر المادة 39 التوعية والتدريب صراحةً. وسلطة الرقابة التي تفحص بعد خرق لحماية البيانات تسأل أولاً: هل كان العاملون مدرَّبين؟ أروني ذلك.

التكرار: لا تحدد DSGVO مهلة ثابتة. وتتوقع سلطات الرقابة وجهات إصدار الشهادات تدريباً منتظماً — عملياً سنوياً، وكذلك قبل أول معالجة عند التوظيف الجديد، وعند تغيير النشاط، وبعد خرق لحماية البيانات في المنشأة، وعند تغير الأحكام.

دائرة المشاركين: كل من يتعامل مع بيانات شخصية — أي عملياً جميع العاملين بمن فيهم المديرون والمتدربون والعمال المؤقتون والعاملون عبر شركات التشغيل المؤقت؛ وفي حالة مقدمي الخدمات الخارجيين ينظم ذلك العقد وفق المادة 28.

التوثيق: تحمل شهادة مشاركتك الاسم والدورة والتاريخ والنتيجة وقائمة المواضيع الكاملة ورقم شهادة يمكن التحقق منه عبر صفحة التحقق في الأكاديمية. احتفظ بها وسلّم نسخة إلى الجهة التي تمسك سجلات إثباتات حماية البيانات في المنشأة — عادةً مسؤول حماية البيانات (DSB) أو قسم شؤون الموظفين.

ما الذي يجب توثيقه إضافياً: التعهد بالسرية (المعتاد عند التوظيف) والجزء الخاص بالمنشأة من الوحدة «الإجراءات في منشأتنا». وكلاهما معاً فقط — الجزء العام بشهادة، والجزء الخاص بالمنشأة بتوقيع — يشكّل إثبات التدريب الذي تريد سلطة أو مدقق رؤيته.

للتذكر

إثبات لا يجده أحد ليس إثباتاً. احفظ الشهادة، ودوّن التاريخ، وكرر في السنة القادمة — ودرّب الزملاء والزميلات الجدد قبل أول يوم عمل مع بيانات العملاء، لا بعده.

الاختبار النهائي

20 أسئلة، لكل منها إجابة صحيحة واحدة. تحتاج إلى 14 إجابات صحيحة للنجاح (70 %). يتم التقييم على الخادم — لا يوجد مفتاح إجابات في هذه الصفحة.

نتيجتك