انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

ما هو قانون POPIA؟ قانون حماية المعلومات الشخصية في جنوب أفريقيا

قانون POPIA، قانون حماية المعلومات الشخصية رقم 4 لسنة 2013 في جنوب أفريقيا (Protection of Personal Information Act 4 of 2013): من يخضع له، والضمانات الأمنية، والإخطار بالاختراقات، والعقوبات.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

قانون POPIA، أي قانون حماية المعلومات الشخصية رقم 4 لسنة 2013 (Protection of Personal Information Act 4 of 2013)، هو قانون حماية البيانات في جنوب أفريقيا. يحدد ثمانية شروط للمعالجة المشروعة للبيانات الشخصية من قِبل الهيئات العامة والخاصة، ويشترط تطبيق ضمانات أمنية والإبلاغ عن الاختراقات الأمنية، وتتولى هيئة تنظيم المعلومات (Information Regulator) إنفاذه. وقد دخل معظم القانون حيز التنفيذ في 1 يوليو 2020، مع مهلة سنة واحدة، حتى 30 يونيو 2021، لمواءمة المعالجة القائمة مع أحكامه. يلخّص هذا الدليل القانون والإرشادات المنشورة الصادرة عن الهيئة، ويبيّن المواضع التي تفيد فيها أدلة العمليات الأمنية.

على من ينطبق قانون POPIA؟

ينطبق قانون POPIA على معالجة البيانات الشخصية المدرجة في سجل، التي يجريها الطرف المسؤول أو تُجرى لحسابه، بوسائل آلية أو غير آلية. والطرف المسؤول هو هيئة عامة أو خاصة، أو أي شخص آخر، يحدد غرض المعالجة ووسائلها. ويسري القانون عندما يكون الطرف المسؤول متوطنًا في جنوب أفريقيا، أو غير متوطن فيها لكنه يستخدم وسائل آلية أو غير آلية داخل جنوب أفريقيا، ما لم تُستخدم تلك الوسائل لمجرد تمرير البيانات الشخصية عبر البلاد.
1.البيانات الشخصية هي المعلومات المتعلقة بشخص طبيعي حي يمكن التعرف عليه، وكذلك، حيثما ينطبق ذلك، بشخص اعتباري قائم يمكن التعرف عليه، ولذلك يمكن أن تشمل المعلومات المتعلقة بالشركات أيضًا.
2.يعالج المشغّل البيانات الشخصية لحساب الطرف المسؤول بموجب عقد أو تفويض، دون أن يخضع لسلطته المباشرة.
3.إذا نص قانون آخر على شروط أوسع نطاقًا للمعالجة المشروعة، فإن الغلبة تكون لتلك الشروط.

ما الشروط الثمانية للمعالجة المشروعة؟

تسرد المادة 4 من قانون POPIA ثمانية شروط تنطبق على كل معالجة يجريها الطرف المسؤول أو تُجرى لحسابه. وتبيّن المواد من 8 إلى 25 ما يتطلبه كل شرط.
1.المساءلة: يضمن الطرف المسؤول استيفاء الشروط.
2.تقييد المعالجة: تكون المعالجة مشروعة ومقتصرة على الحد الأدنى، بموافقة أو بمسوّغ آخر، وتُجمع المعلومات عمومًا من صاحب البيانات مباشرة.
3.تحديد الغرض: تُجمع المعلومات لغرض محدد، ولا يُحتفظ بالسجلات مدة أطول من اللازم، مع مراعاة الاستثناءات الواردة في القانون.
4.تقييد المعالجة اللاحقة: يجب أن تكون المعالجة اللاحقة متوافقة مع غرض الجمع.
5.جودة المعلومات: تُتخذ خطوات معقولة وممكنة عمليًا لإبقاء المعلومات كاملة ودقيقة وغير مضللة ومحدّثة عند الضرورة.
6.الانفتاح: تُوثَّق المعالجة، ويُبلَّغ أصحاب البيانات عند جمع معلوماتهم.
7.الضمانات الأمنية: تُحمى سلامة المعلومات وسريتها، ويُخطَر بالاختراقات الأمنية.
8.مشاركة صاحب البيانات: يمكن لأصحاب البيانات الوصول إلى معلوماتهم وطلب تصحيحها.

ما الذي يتطلبه قانون POPIA لأمن المعلومات؟

تُلزم المادة 19 الطرف المسؤول بتأمين سلامة البيانات الشخصية التي في حوزته أو تحت سيطرته وسريتها، من خلال تدابير تقنية وتنظيمية مناسبة ومعقولة. ويجب أن تمنع هذه التدابير فقدان البيانات الشخصية أو تلفها أو إتلافها دون تصريح، والوصول إليها أو معالجتها بصورة غير مشروعة. ويجب على الطرف المسؤول أن يراعي على النحو الواجب ممارسات أمن المعلومات وإجراءاته المقبولة عمومًا، بما في ذلك ما تشترطه قواعد القطاع أو القواعد المهنية.
1.تحديد جميع المخاطر الداخلية والخارجية المتوقعة على نحو معقول التي تهدد البيانات الشخصية التي يحتفظ بها أو يتحكم فيها.
2.إنشاء ضمانات مناسبة ضد المخاطر المحددة والمحافظة عليها.
3.التحقق بانتظام من تطبيق الضمانات تطبيقًا فعّالًا.
4.تحديث الضمانات باستمرار استجابةً للمخاطر أو أوجه القصور الجديدة.
5.استخدام عقد مكتوب لإلزام أي مشغّل بالمحافظة على التدابير الأمنية نفسها. ويجب على المشغّل إخطار الطرف المسؤول فورًا إذا توافرت لديه أسباب معقولة للاعتقاد بأن شخصًا غير مصرح له قد وصل إلى البيانات الشخصية أو حصل عليها.

متى يجب الإبلاغ عن الاختراق الأمني بموجب قانون POPIA؟

بموجب المادة 22، إذا توافرت أسباب معقولة للاعتقاد بأن شخصًا غير مصرح له قد وصل إلى البيانات الشخصية أو حصل عليها، يجب على الطرف المسؤول إخطار هيئة تنظيم المعلومات (Information Regulator) وأصحاب البيانات المتأثرين. ويجب أن يتم الإخطار في أقرب وقت ممكن على نحو معقول بعد اكتشاف الاختراق، مع مراعاة الاحتياجات المشروعة لجهات إنفاذ القانون أو التدابير اللازمة على نحو معقول لتحديد نطاقه واستعادة سلامة نظام المعلومات. ولا يجوز تأخير إخطار أصحاب البيانات إلا إذا قررت هيئة عامة مسؤولة عن التحقيق في الجرائم، أو هيئة تنظيم المعلومات، أن الإخطار سيعرقل تحقيقًا جنائيًا.
1.أخطروا أصحاب البيانات كتابيًا: بالبريد، أو بالبريد الإلكتروني، أو في موضع بارز على موقعكم الإلكتروني، أو في وسائل الإعلام الإخبارية، أو وفق ما توجّه به هيئة تنظيم المعلومات.
2.قدّموا معلومات كافية تمكّن أصحاب البيانات من حماية أنفسهم: العواقب المحتملة، والتدابير التي اتخذتموها أو تعتزمون اتخاذها، وما ينبغي لهم فعله، وهوية الشخص غير المصرح له إن كانت معروفة.
3.يشرح الدليل الإرشادي خطوة بخطوة الصادر عن هيئة تنظيم المعلومات كيفية الإبلاغ عن الاختراق الأمني عبر eServices Portal الخاصة بها. ويجب أن تكون المؤسسة ومسؤولو المعلومات (Information Officers) لديها مسجلين فيها، ويطلب النموذج تفاصيل الحادث، وكيفية إخطار أصحاب البيانات، والأثر، والإجراءات التصحيحية المتخذة.
4.يمكن رفع المستندات الداعمة، مثل تقارير التحقيق الداخلي ونتائج التحليل الجنائي، مع البلاغ.

ما مهام مسؤول المعلومات؟

لكل هيئة عامة وخاصة مسؤول معلومات (Information Officer). وبموجب المادة 55، يشجّع مسؤول المعلومات على الامتثال لشروط المعالجة المشروعة، ويتعامل مع الطلبات المقدمة بموجب قانون POPIA، ويتعاون مع هيئة تنظيم المعلومات في التحقيقات. ولا يجوز لمسؤولي المعلومات مباشرة مهامهم إلا بعد أن يسجّلهم الطرف المسؤول لدى الهيئة، ويتم ذلك عبر eServices Portal الخاصة بها. وتضيف إرشادات الهيئة مهامًا بموجب لوائح POPIA، منها إطار للامتثال وتقييم للأثر على البيانات الشخصية.

ما العقوبات المنصوص عليها في قانون POPIA؟

يجوز لهيئة تنظيم المعلومات (Information Regulator) أن تُصدر إشعار مخالفة يتضمن غرامة إدارية تصل إلى 10 ملايين راند. وعند تحديد المبلغ، تشمل العوامل التي يجب عليها مراعاتها عدد أصحاب البيانات المتأثرين، واحتمال وقوع ضرر أو ضيق جسيم، وأي تقصير في إجراء تقييم للمخاطر أو في تطبيق سياسات وإجراءات وممارسات سليمة لحماية البيانات الشخصية. وتترتب على بعض الجرائم، مثل عرقلة عمل الهيئة أو عدم الامتثال لإشعار إنفاذ، غرامة أو السجن مدة تصل إلى 10 سنوات أو كلتا العقوبتين. ويجوز أيضًا لصاحب البيانات، أو للهيئة بناءً على طلب صاحب البيانات، رفع دعوى مدنية للمطالبة بالتعويض.

هل يجوز نقل البيانات الشخصية إلى خارج جنوب أفريقيا؟

بموجب المادة 72، لا يجوز للطرف المسؤول نقل البيانات الشخصية إلى طرف ثالث في بلد أجنبي إلا على الأسس التي يحددها القانون. ومنها أن يكون المتلقي ملزمًا بقانون أو بقواعد مؤسسية ملزمة أو باتفاق ملزم يوفر مستوى كافيًا من الحماية، أو موافقة صاحب البيانات، أو أن يكون النقل ضروريًا لعقد مبرم مع صاحب البيانات. تحققوا من هذه الأسس قبل توجيه السجلات أو البيانات الأمنية التي تتضمن بيانات شخصية إلى خدمات خارج جنوب أفريقيا.

كيف تدعم Vigilbase العمل على متطلبات POPIA

لا تجعل Vigilbase المؤسسة ممتثلة لقانون POPIA، ولا تحل محل مسؤول المعلومات (Information Officer) لديكم. بل تساعدكم على تشغيل بعض الضمانات الأمنية التي تصفها المادة 19، وعلى إنتاج أدلة على مراقبتها والتحقق منها. يلخّص هذا الدليل القانون والإرشادات المنشورة الصادرة عن هيئة تنظيم المعلومات (Information Regulator). وهو ليس استشارة قانونية: فمسؤول المعلومات ومستشاروكم القانونيون هم من يقررون ما يتطلبه قانون POPIA من مؤسستكم.
1.يربط Vigilbase OS أدوات الأمان التي تدفعون مقابلها بالفعل، ويحفظ سجلاتها وأحداثها قابلة للتدقيق والاستعلام في مكان واحد، مما يساعدكم على تحديد المخاطر والتحقق من أن الضمانات تعمل.
2.يحقق وكيل Vigil في الحوادث عالية الخطورة، ويسجّل كل تحقيق الأدلة والإجراءات المتخذة ونتيجة التحقق. ويساعد هذا السجل مسؤول المعلومات (Information Officer) لديكم على جمع الوقائع التي يحتاجها بلاغ الاختراق الأمني.
3.تشغّل خدمة Managed Cloudflare ضوابط WAF وDDoS والروبوتات وDNS ضمن النطاق المتفق عليه، مع الاحتفاظ بالإعدادات وسجل التغييرات وملاحظات الحوادث للمراجعة.
4.تُحدَّد مدة الاحتفاظ الافتراضية لكل مجموعة بيانات، وتتراوح عادةً بين 30 و90 يومًا. وإذا كان عليكم الاحتفاظ بالسجلات مدة أطول، فحددوا مكان ذلك الأرشيف قبل التوحيد.

أبرز النقاط

✓ينظّم قانون POPIA (القانون رقم 4 لسنة 2013) كيفية معالجة الهيئات العامة والخاصة للبيانات الشخصية في جنوب أفريقيا، وتتولى هيئة تنظيم المعلومات (Information Regulator) إنفاذه.
✓تشترط المادة 19 ضمانات تقنية وتنظيمية مناسبة ومعقولة يُتحقق منها بانتظام وتُحدَّث باستمرار.
✓يجب الإبلاغ عن الاختراقات الأمنية إلى هيئة تنظيم المعلومات وأصحاب البيانات المتأثرين في أقرب وقت ممكن على نحو معقول بعد اكتشافها.
✓يجب تسجيل مسؤولي المعلومات (Information Officers) لدى هيئة تنظيم المعلومات قبل مباشرة مهامهم.
✓تساعدكم Vigilbase على تشغيل الضمانات الأمنية وتوثيقها بالأدلة؛ ولا تمنح شهادة امتثال.

المصادر

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

SOC مُدار

اعرف المزيد

خدمات Cloudflare المُدارة

اعرف المزيد

Vigilbase OS

اعرف المزيد

Managed Cloudflare في جنوب أفريقيا

اعرف المزيد

Cloudflare Enterprise في جنوب أفريقيا

اعرف المزيد

الأسئلة الشائعة

ما هو قانون POPIA؟

قانون POPIA هو قانون حماية المعلومات الشخصية رقم 4 لسنة 2013 (Protection of Personal Information Act 4 of 2013)، وهو قانون حماية البيانات في جنوب أفريقيا. يحدد شروط المعالجة المشروعة للبيانات الشخصية من قِبل الهيئات العامة والخاصة، ويمنح أصحاب البيانات حقوقًا على معلوماتهم، وأنشأ هيئة تنظيم المعلومات (Information Regulator) لإنفاذه.الخصوصية والتعامل مع البيانات

هل POPI Act هو نفسه POPIA؟

نعم. كلٌّ من POPIA وPOPI Act اسم مختصر لقانون حماية المعلومات الشخصية رقم 4 لسنة 2013 (Protection of Personal Information Act 4 of 2013).

من يتولى إنفاذ قانون POPIA؟

هيئة تنظيم المعلومات (Information Regulator) في جنوب أفريقيا، وهي هيئة مستقلة أُنشئت بموجب المادة 39 من قانون POPIA. وهي مسؤولة أمام الجمعية الوطنية، وتتولى أيضًا إنفاذ قانون تعزيز الوصول إلى المعلومات (PAIA).

متى دخل قانون POPIA حيز التنفيذ؟

دخلت المواد التي أنشأت هيئة تنظيم المعلومات (Information Regulator) حيز التنفيذ في 11 أبريل 2014. ودخل معظم القانون، بما في ذلك شروط المعالجة المشروعة، حيز التنفيذ في 1 يوليو 2020، وكان على المعالجة القائمة أن تتوافق معه خلال سنة واحدة، أي بحلول 30 يونيو 2021.

خلال أي مدة يجب الإبلاغ عن الاختراق الأمني بموجب قانون POPIA؟

في أقرب وقت ممكن على نحو معقول بعد اكتشافه. فإذا توافرت أسباب معقولة للاعتقاد بأن شخصًا غير مصرح له قد وصل إلى البيانات الشخصية أو حصل عليها، يجب على الطرف المسؤول إخطار هيئة تنظيم المعلومات (Information Regulator) وأصحاب البيانات المتأثرين.لا يجوز تأخير إخطار أصحاب البيانات إلا إذا قررت هيئة عامة مسؤولة عن التحقيق في الجرائم، أو هيئة تنظيم المعلومات، أن الإخطار سيعرقل تحقيقًا جنائيًا.مسؤوليات العمليات الأمنيةما الذي يفعله SIEM

ما عقوبات مخالفة قانون POPIA؟

يجوز لهيئة تنظيم المعلومات (Information Regulator) فرض غرامة إدارية تصل إلى 10 ملايين راند. وتترتب على بعض الجرائم، مثل عدم الامتثال لإشعار إنفاذ، غرامة أو السجن مدة تصل إلى 10 سنوات أو كلتا العقوبتين.

هل تستطيع Vigilbase أن تجعلنا ممتثلين لقانون POPIA؟

لا. تساعدكم Vigilbase على تشغيل الضمانات الأمنية وتوثيقها بالأدلة: تبقى السجلات المرتبطة قابلة للاستعلام، وتسجّل التحقيقات الأدلة والإجراءات والتحقق، وتحتفظ خدمة Managed Cloudflare بسجل التغييرات وملاحظات الحوادث. ويقرر مسؤول المعلومات (Information Officer) لديكم ومستشاروكم القانونيون ما يتطلبه قانون POPIA منكم.ابدأ مع Vigilbase OSوثائق الأمان في مركز الثقة

مواضيع ذات صلة

أساسيات الأمن

ما SIEM؟

أساسيات الأمن

ما SOC؟

الامتثال والحوكمة

أي مستوى من Managed Cloudflare ينبغي لفريق الخدمات المالية شراؤه؟

الامتثال والحوكمة

قانون حماية البيانات النيجيري

الامتثال والحوكمة

قانون حماية البيانات الكيني

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم