خصوصية البيانات وحماية بيانات العملاء: ماذا تحتاج شركتك أن تعرف

لماذا أصبح هذا أهم من ذي قبل

قبل بضع سنوات، ربما كانت شركة صغيرة في الكويت لا تجمع عن عملائها شيئاً يُذكر سوى رقم هاتف للتوصيل. لم يعد الأمر كذلك. نماذج التسجيل، والطلب عبر واتساب، وبرامج الولاء، وتطبيقات التوصيل، والدفع عبر KNET، كلها تجمع بهدوء أسماء وعناوين وسجلات طلبات وبيانات دفع - وغالباً عبر عدة أدوات مختلفة أُضيفت كل واحدة منها لسبب مختلف ولم تُصمَّم أصلاً للعمل معاً بأمان.

لا يحتاج شيء من هذا إلى عنوان صحفي عن اختراق بيانات ليصبح مشكلة حقيقية. جدول بيانات لأرقام هواتف عملاء تم مشاركته على نطاق أوسع قليلاً مما ينبغي، أو لقطة شاشة لعملية دفع باقية في بريد الدعم، أو حساب مسؤول لم يُغيَّر رمزه منذ سنتين - هذه هي الطرق الاعتيادية التي تتسرب بها بيانات العملاء فعلياً، وهي أيضاً الأسهل إصلاحاً بمجرد معرفة أين تُنظر.

ما الذي يُعتبر فعلياً "بيانات عملاء"

من السهل تصوّر "البيانات الحساسة" على أنها تفاصيل الدفع فقط، لكن النطاق أوسع من ذلك. أي شيء يحدد هوية شخص معين، بمفرده أو بدمجه مع عناصر أخرى، يُحتسب:

• الأسماء وأرقام الهواتف والبريد الإلكتروني وعناوين التوصيل أو الفوترة.
• سجل الطلبات وسلوك الشراء المرتبط بعميل يمكن تحديد هويته.
• بيانات الدفع - حتى رقم البطاقة المُقنَّع جزئياً أو رمز الدفع (token) يُعتبر بياناً يستحق الحماية.
• البطاقة المدنية أو نسخ الهوية المُجمَّعة للتحقق من التوصيل أو التحقق من العمر.
• سجلات الدردشة والدعم، بما في ذلك أي شيء يُشارَك عبر صندوق وارد واتساب للأعمال.
• بيانات الجهاز والموقع التي يجمعها تطبيق جوال، حتى عندما لا تكون مرتبطة باسم مباشرة.

الإطار القانوني في الكويت: ما المطبَّق فعلياً اليوم

لا تملك الكويت بعد قانوناً شاملاً موحداً لحماية البيانات على غرار اللائحة الأوروبية GDPR. بدلاً من ذلك، تأتي التزامات الشركات حالياً من عدة مصادر مختلفة:

• قانون التجارة الإلكترونية (القانون رقم 20 لسنة 2014) - يغطي خصوصية البيانات في المعاملات الإلكترونية، ويُلزم الشركات بحماية دقة وسلامة البيانات الشخصية المُجمَّعة عبر الإنترنت.
• قانون مكافحة جرائم تقنية المعلومات (القانون رقم 63 لسنة 2015) - يُجرّم الوصول غير المشروع للبيانات والعبث بها، وينطبق مباشرة في حال تعرّض بيانات العملاء للاختراق أو سوء الاستخدام.
• لائحة CITRA لحماية البيانات - صادرة عن الهيئة العامة للاتصالات وتقنية المعلومات، وموجّهة أصلاً لمزوّدي خدمات الاتصالات والخدمات الرقمية المرخّصة. تشترط الحصول على الموافقة بلغة واضحة، بالعربية والإنجليزية معاً، قبل معالجة البيانات الشخصية؛ وتشترط الإفصاح عن أي نقل للبيانات الشخصية إلى دولة أجنبية بذكر اسم تلك الدولة؛ وتشترط إبلاغ CITRA والأفراد المتأثرين خلال 24 ساعة من العلم بأي اختراق للبيانات.

العقوبات وراء هذه القوانين ليست رمزية: يمكن أن تصل مخالفات قانون التجارة الإلكترونية إلى السجن لمدة ثلاث سنوات وغرامات تبدأ من 5,000 دينار كويتي، بينما تتراوح عقوبات قانون مكافحة جرائم تقنية المعلومات بين ستة أشهر وعشر سنوات سجناً مع غرامات تتراوح بين 500 و20,000 دينار كويتي بحسب خطورة المخالفة.

هذه معلومات عامة وليست استشارة قانونية - ما إذا كانت لائحة CITRA تنطبق على نشاطك التجاري تحديداً، وكيف تتقاطع هذه القوانين مع وضعك الخاص، سؤال يستحق طرحه على محامٍ، خصوصاً أن المشهد القانوني لحماية البيانات في الكويت لا يزال يتطور.

بيانات الدفع: ما لا يجب أن تخزّنه أبداً بنفسك

هذا هو أكبر مجال خطر على الإطلاق، وهو أيضاً الأسهل ضبطاً ببساطة عبر عدم لمسه. كما أوضحنا في دليل تكامل KNET، فإن بوابة دفع مُدمجة بشكل صحيح تعني أن أنظمتك لا ترى - ولا تحتاج إلى تخزين - رقم بطاقة العميل الكامل أو رمز CVV أو الرقم السري لـ KNET.

• اترك التعامل مع بيانات الدفع وترميزها لبوابة متوافقة مع معيار PCI DSS (مثل KNET أو معالج بطاقات) - يجب ألا تحتفظ قاعدة بياناتك إلا برمز (token) أو آخر أربعة أرقام مُقنَّعة، وليس ببيانات البطاقة الخام أبداً.
• تحقق من أن سجلات الأخطاء وأدوات التحليل لا تلتقط عن طريق الخطأ نماذج الإدخال الكاملة، بما فيها حقول الدفع، بنص واضح غير مشفّر.
• لا تقبل أو تخزّن أبداً لقطة شاشة لبطاقة، أو إيصال KNET بتفاصيله الكاملة، أو الرقم السري للعميل عبر واتساب أو البريد الإلكتروني - إذا كان هذا يحدث حالياً في صندوق دعم، فمن المفيد إصلاحه فوراً.

جمع ما تحتاجه فعلياً فقط

أبسط طريقة لتقليل المخاطر هي عدم جمع بيانات لا يوجد لها استخدام حقيقي. يجب أن يكون لكل حقل في نموذج التسجيل أو الدفع سبب واضح لوجوده:

• لا تطلب رقم البطاقة المدنية فقط لإرسال نشرة تسويقية - هذا المستوى من التفاصيل يجب أن يقتصر على ما هو مطلوب فعلاً، مثل التحقق من العمر أو التوصيل المنظَّم.
• اجعل الحقول اختيارية عندما تكون كذلك فعلاً، بدلاً من إجبار كل عميل على تعبئة كل شيء "احتياطاً" لاستخدامه لاحقاً.
• راجع ما يحتاجه تطبيق الجوال فعلياً من صلاحيات الموقع أو جهات الاتصال، بدلاً من طلب صلاحيات واسعة بشكل افتراضي.
• ضع عادة للاحتفاظ بالبيانات: بيانات العملاء القديمة التي لم تعد تخدم غرضاً تجارياً هي عبء في قاعدة بياناتك، لا أصل.

تأمين ما تخزّنه بالفعل

بعض جمع بيانات العملاء لا مفر منه - وبمجرد امتلاكها، تصبح طريقة تأمينها بنفس أهمية طريقة جمعها.

• شفّر البيانات أثناء النقل عبر HTTPS في كل مكان، وهو ما نتناوله بتفصيل أكبر في دليل أداء وأمان المواقع، وشفّر الحقول الحساسة أثناء التخزين في قاعدة البيانات.
• استخدم صلاحيات الوصول القائمة على الأدوار في لوحات التحكم الإدارية بحيث يرى الموظفون فقط بيانات العملاء ذات الصلة بعملهم - موظف الدعم لا يحتاج نفس مستوى الرؤية الذي يحتاجه موظف المالية. تتناول دراسة حالة لوحة تحكم Shopora كيف تُبنى صلاحيات الأدوار في نظام كهذا.
• تأكد من أن النسخ الاحتياطية مشفّرة أيضاً - النسخة الاحتياطية هي نسخة كاملة من بيانات عملائك، وتستحق نفس الحماية التي تحصل عليها قاعدة البيانات الحيّة.
• غيّر بيانات اعتماد المسؤولين ومفاتيح API بشكل دوري، خصوصاً لأي حساب لديه صلاحية الوصول إلى سجلات العملاء، وأزل الصلاحيات فوراً عند مغادرة أي موظف للفريق.

إذا حدث خطأ ما: الإبلاغ عن الاختراق

تشترط لائحة CITRA إبلاغ الهيئة والأفراد المتأثرين خلال 24 ساعة من العلم بأي اختراق، بالنسبة للجهات التي تشملها اللائحة - وهي مهلة ضيقة يصعب جداً الالتزام بها دون وجود خطة جاهزة مسبقاً قبل وقوع أي حادث.

حتى عندما يكون الالتزام القانوني الصارم غير واضح لشركة معينة، فإن إبلاغ العملاء المتأثرين بسرعة وصدق هو ما يحدّ فعلياً من الضرر - سواء على الأفراد المتأثرين أو على سمعة الشركة. معرفة مسبقاً من يقيّم نطاق الحادث، ومن يقرر الإبلاغ، وكيف سيتم التواصل فعلياً مع العملاء، أمر يستحق تحديده مرة واحدة وبهدوء، بدلاً من اكتشافه لأول مرة أثناء حادث فعلي.

قائمة تحقق عملية قبل إطلاق نموذج أو ميزة جديدة

• هل يحتاج هذا الحقل أو هذه الميزة فعلياً إلى جمع هذه البيانات، أم أننا نطلبها "احتياطاً" فقط؟
• هل تمر بيانات الدفع عبر بوابة متوافقة مع PCI DSS دون أن تلمس خوادمنا أو سجلاتنا مطلقاً؟
• هل البيانات مشفّرة أثناء النقل وأثناء التخزين على حد سواء؟
• من داخل الشركة يمكنه فعلياً رؤية هذه البيانات، وهل هذا الوصول مقتصر على من يحتاجه فعلاً؟
• هل لدينا خطة محددة، حتى لو كانت بسيطة، لما يحدث إذا تعرّضت هذه البيانات للتسريب؟
• هل معلومات الخصوصية لدينا متوفرة باللغتين العربية والإنجليزية؟

لا يتطلب شيء من هذا برنامج امتثال ضخماً لضبطه بشكل صحيح - يتطلب التعامل مع بيانات العملاء كشيء يُتخذ بشأنه قرار واعٍ، لا كشيء يتراكم فقط كأثر جانبي لتشغيل النشاط التجاري.