ما هو التدقيق؟
تدقيق حماية البيانات هو تقييم مدى مطابقة أنشطة معالجة البيانات الشخصية للتشريعات السارية (اللائحة العامة لحماية البيانات والقوانين الوطنية ونحوها). ويختلف عن تدقيق الأمن السيبراني في أن محوره «المعالجة المشروعة» أكثر من حماية البيانات ذاتها.
لماذا يُجرى؟
الهدف رصد أوجه عدم الامتثال التي تُنشئ غرامات إدارية وخطر سمعة، والتحقق من حماية حقوق أصحاب البيانات.
من يطلبه؟
- المؤسسات التي تعالج البيانات الشخصية بكثافة
- الشركات العاملة في الاتحاد الأوروبي أو التي تقدّم خدمات له بموجب لائحة GDPR
- شركات التكنولوجيا التي تقدّم خدماتها بصفة معالج للبيانات
- الموردون الذين يطلب عملاؤهم ضمانات لحماية البيانات
- المؤسسات التي تنشئ ISO/IEC 27701
معايير التدقيق
المعيار هو تشريع حماية البيانات المعمول به (KVKK وGDPR) إلى جانب معيار نظام إدارة الخصوصية مثل ISO/IEC 27701 إن وُجد. وتُضاف أيضًا اللوائح القطاعية وشروط معالجة البيانات الواردة في عقود العملاء.
نطاق التدقيق
- جرد البيانات الشخصية وسجل أنشطة المعالجة
- الأساس القانوني لأنشطة المعالجة
- إشعارات الخصوصية وإدارة الموافقة الصريحة
- عمليات ممارسة حقوق صاحب البيانات وآجال الاستجابة
- تقليل البيانات ومدد الاحتفاظ
- سياسة الإتلاف وسجلات الإتلاف الفعلية
- اتفاقيات معالجة البيانات وإدارة المعالجين الفرعيين
- نقل البيانات إلى خارج البلاد وأسسه القانونية
- عمليات المعالجة التي تتطلب تقييم أثر حماية البيانات (DPIA)
- مدى كفاية التدابير التقنية والإدارية
- عمليات اكتشاف خرق البيانات والإبلاغ عنه وحفظ سجلاته
- توعية الموظفين وتعهدات السرية
- تعيين شخص اتصال أو مسؤول حماية بيانات
المعايير ذات الصلة
- آيزو/آي إي سي 27701
- آيزو/آي إي سي 27001
- ISO/IEC 29134
- ISO 19011
عملية التدقيق
- 1اختيار المعيار المطبَّقيُحدَّد المعيار أو المخطط أو التشريع الذي يُجرى التدقيق بموجبه؛ وفي التدقيقات الموضوعية يحدّد اختيار المعيار معنى النتيجة مباشرةً.
- 2تقييم المخاطر والنطاقتُحدَّد مجالات الخطورة بحسب نشاط المنشأة وموقعها الجغرافي؛ ويُخطَّط عدد أيام التدقيق تبعًا لذلك.
- 3مراجعة الوثائق والسجلاتتُفحص السياسات والإجراءات والتصاريح وسجلات القياس ونتائج التدقيقات السابقة.
- 4التدقيق الميدانيتُجال المناطق المعنية؛ وتُجرى قياسات وملاحظات وفحوص سجلات خاصة بالموضوع.
- 5مقابلات العاملينإذا اقتضى الموضوع، تُجرى مقابلات سرية مع العاملين بمعزل عن الإدارة؛ وتُقارن الإفادات بالسجلات.
- 6تقييم الامتثال القانونييُتحقق من الامتثال للتشريعات السارية على نحو منفصل؛ وعدم المطابقة القانونية هي أشدّ فئات النتائج في كل مخطط.
- 7الإبلاغ عن النتائجتُصنَّف النتائج بحسب درجة الأهمية وتُجمَع في تقرير.
- 8الإجراء التصحيحي والمتابعةتُستلم خطة إجراءات تصحيحية؛ وتُتابَع حتى الإغلاق ضمن المدة التي يقرّرها المخطط.
النتائج
أخطر النتائج هي المعالجة دون أساس قانوني، وعدم إتلاف البيانات المنتهية الصلاحية، وغياب عملية الإبلاغ عن الخرق. وتحمل هذه الأمور خطر عقوبة إدارية مباشرة.
تقرير التدقيق
- بيانات جهة التدقيق والمدقّق والجهة الخاضعة للتدقيق
- المعيار أو المخطط أو التشريع المطبَّق
- تاريخ التدقيق ومدته ونطاقه
- نتائج مراجعة الوثائق والسجلات
- الملاحظات الميدانية ونتائج القياس
- نتائج مقابلات العاملين إن أُجريت
- تقييم الامتثال القانوني
- النتائج ودرجات أهميتها والأدلة
- خطة الإجراءات التصحيحية والمهل
حدود المخرجات
تدقيق حماية البيانات تقييم تقني وإجرائي؛ وليس رأيًا قانونيًا. أما تفسير التشريع والتقييم الملزم بشأن مشروعية عملية المعالجة فهو من اختصاص الجهة الرقابية المختصة. وتقرير التدقيق ليس شهادة امتثال ولا وثيقة توفر حماية أمام الجهة الرقابية.
الاعتماد
يختلف الاعتماد باختلاف نوع التدقيق. فتدقيقات الطرف الثالث التي تستند إليها شهادة نظم الإدارة تُجرى وفق ISO/IEC 17021-1، وتلك التي تستند إليها شهادة المنتج وفق ISO/IEC 17065، وهذه النطاقات خاضعة للاعتماد. أما تدقيقات الطرف الأول والثاني والتدقيقات الخاضعة لقواعد مالك المخطط (مثل SMETA وamfori BSCI) فليست ضمن الشهادات المعتمدة؛ وتُجرى وفق إرشادات ISO 19011 وتنتج تقريرًا. وتمتلك EUROLAB اعتمادًا معترفًا به دوليًا وفق ISO/IEC 17021-1 وISO/IEC 17065 من جهات موقِّعة على اتفاقية IAF؛ ويُؤكَّد كتابةً في مرحلة عرض السعر أي تدقيق يمكن تقديمه ضمن النطاق المعتمد.
النطاق والصلاحياتعمليات تدقيق ذات صلة
الأسئلة الشائعة
هل يثبت اجتياز التدقيق امتثالي لقانون KVKK؟
لا. فالامتثال يخضع لتقييم الجهة المختصة. ويوفر التدقيق تأكيدًا داخليًا بأن العمليات اللازمة للامتثال قائمة وفعّالة؛ ويمكن اعتباره مؤشرًا على حسن النية والعناية في أي تحقيق محتمل.
هل أحتاج إلى تدقيق حماية بيانات إذا كنت أحمل بالفعل شهادة ISO/IEC 27001؟
قد تحتاج. فمعيار ISO/IEC 27001 يركّز على أمن المعلومات؛ ولا ينظر فيما إذا كانت البيانات تُعالَج بشكل قانوني. وإشعارات الخصوصية والموافقة الصريحة ومدة الاحتفاظ وحقوق صاحب البيانات ليست ضمن نطاق 27001. أما بالنسبة للجانب المتعلق بالخصوصية، فإن ISO/IEC 27701 إطار أكثر مباشرة.
هل أحصل على شهادة نتيجة هذا التدقيق؟
يعتمد ذلك على الإطار الذي يُجرى التدقيق بموجبه. فإذا أُجري ضمن مخطط شهادات معتمد، فقد يُفضي إلى شهادة؛ أما مخرج التدقيق الذي يُجرى بناءً على طلب العميل أو لأغراض تقييم داخلي فهو تقرير.
هل يُفحص الامتثال القانوني أيضًا؟
نعم، وفي كل تدقيق مواضيعي، يُعدّ عدم الامتثال القانوني أشدّ فئات النتائج خطورة. ومهما كان نظام الإدارة جيد البناء، فإن أيّ مخالفة للتشريعات النافذة، إن اكتُشفت، تُبلَّغ بالأولوية القصوى.