مسؤولة حماية البيانات بفودافون مصر: لا يكفي أن نعرف البيانات.. يجب أن نعرف أين تُخزن ومن يصل إليها

أكدت دينا مصطفى، مسؤول  حماية البيانات والخصوصية بشركة فودافون مصر، أن حماية البيانات الشخصية أصبحت جزءًا أساسيًا من عملية التحول الرقمي داخل الشركات، خاصة مع التوسع في استخدام خدمات الحوسبة السحابية (Cloud Services) ونقل البيانات بين الأنظمة والدول المختلفة.

جاء ذلك خلال مشاركتها في فعاليات Tech Invest 6، حيث استعرضت تجربة فودافون مصر في التعامل مع متطلبات قانون حماية البيانات الشخصية، والآليات التي تعتمد عليها الشركة لضمان الالتزام بالضوابط التنظيمية وحماية بيانات العملاء.

وقالت مصطفى إن توجه الشركات حاليًا يتمثل في إدارة كميات ضخمة من البيانات والاستفادة من خدمات الحوسبة السحابية، وهو ما يضع فرق حماية البيانات أمام مسؤولية كبيرة تتمثل في تسهيل استخدام هذه الخدمات، مع ضمان الالتزام بالقانون والضوابط المنظمة.

وأوضحت أن فريق حماية البيانات في فودافون مصر يعمل على مساعدة قطاعات الشركة المختلفة في فهم المتطلبات القانونية وتحويلها إلى إجراءات عملية يمكن تطبيقها، بما يضمن أن تكون عمليات التعامل مع البيانات متوافقة مع القواعد والضوابط.

وأشارت مصطفى إلى أن أحد الإجراءات المهمة التي يتم اتباعها عند وجود طلب لنقل أو مشاركة بيانات معينة هو إجراء Transfer Impact Assessment، موضحة أن هذه العملية تبدأ بتحديد طبيعة البيانات التي سيتم نقلها، والجهة أو الشركة التي ستتعامل معها، والغرض من استخدام البيانات، وكذلك تحديد الدولة التي سيتم نقل البيانات إليها.

وأضافت أن عملية التقييم تتضمن دراسة المخاطر المرتبطة بنقل البيانات، إلى جانب التأكد من وجود الإجراءات والضوابط الأمنية المناسبة لحماية البيانات طوال دورة التعامل معها.

وأوضحت أن الشركة تعمل على بناء ما يمكن وصفه بـ Data Store/Data Map يوضح أماكن وجود البيانات، والدول التي يتم تخزينها أو نقلها إليها، والجهات التي يمكنها الوصول إلى هذه البيانات، بما يساعد فرق حماية البيانات والأمن السيبراني على اتخاذ قرارات أكثر دقة بشأن كيفية حماية المعلومات.

وأكدت أن معرفة مكان البيانات أصبحت أمرًا بالغ الأهمية، خاصة في بيئات الحوسبة السحابية التي قد يتم فيها توزيع البيانات على أكثر من نظام أو مركز بيانات وفي أكثر من دولة.

وأشارت مصطفى إلى أن جزءًا أساسيًا من منظومة حماية البيانات يرتبط بالاتفاقيات والعقود المبرمة مع الشركات التي تتعامل مع البيانات، موضحة أن وجود Data Processing Agreement (DPA) يمثل أحد العناصر المهمة لتنظيم العلاقة بين الشركة والجهة التي تقوم بمعالجة البيانات.

وأضافت أن هذه الاتفاقيات تتضمن القواعد والالتزامات الخاصة بمعالجة البيانات، بما يضمن وضوح مسؤوليات كل طرف، ويضع إطارًا قانونيًا للتعامل مع البيانات وحمايتها.

وأكدت أن الامتثال لا يجب أن يكون مجرد إجراء يتم بعد التعاقد، وإنما يجب أن يبدأ بشكل استباقي، من خلال دراسة المخاطر والبيانات والجهات التي سيتم التعامل معها قبل بدء عملية المعالجة أو النقل.

وشددت مصطفى على أن أحد الأسئلة الرئيسية التي يجب أن تكون الشركات قادرة على الإجابة عنها هو: أين توجد بيانات العميل؟

وقالت إن الأمر لا يتوقف فقط على معرفة أن البيانات موجودة لدى الشركة، وإنما يجب معرفة الدولة أو الدول التي يتم تخزين البيانات فيها، وكيف يتم نقلها، ومن لديه صلاحية الوصول إليها، وما إذا كان العميل قادرًا على ممارسة حقوقه المتعلقة ببياناته.

وضربت مثالًا بضرورة قدرة الشركة على التعامل مع طلبات العملاء المتعلقة ببياناتهم، سواء طلب معرفة البيانات المسجلة عنه، أو الحصول عليها، أو تصحيحها أو ممارسة أي من الحقوق التي يتيحها القانون، حتى في حالة وجود هذه البيانات على أنظمة أو خدمات سحابية خارج الدولة.

وأكدت أن هذا الأمر يتطلب تعاونًا بين الفرق القانونية والتقنية والأمن السيبراني، مشيرة إلى أن حماية البيانات لم تعد مسؤولية قانونية فقط، وإنما أصبحت قضية تقنية وتشغيلية أيضًا.

وقالت مصطفى إن التعامل الفعال مع حماية البيانات يتطلب أن يمتلك العاملون فهمًا مشتركًا للجانبين القانوني والتقني، موضحة أن الشخص المسؤول عن حماية البيانات لا يمكنه الاكتفاء بالمعرفة القانونية فقط، كما أن المعرفة التقنية وحدها لا تكفي.

وأضافت أن فرق العمل تحتاج إلى التدريب المستمر لفهم كيفية تطبيق المتطلبات القانونية داخل الأنظمة التقنية، وكيفية ترجمة النصوص القانونية إلى إجراءات وضوابط قابلة للتنفيذ.

وأشارت إلى أن فودافون مصر تعمل منذ فترة على الاستعداد لتطبيق متطلبات قانون حماية البيانات، من خلال دراسة التفاصيل المختلفة والتدريب والاستعداد للمتطلبات التنظيمية، مؤكدة أهمية الاستفادة من الخبرات وتبادل المعرفة بين الشركات والجهات العاملة في القطاع.

وفيما يتعلق بالمؤهلات المناسبة لشغل منصب مسؤول حماية البيانات (DPO)، أوضحت مصطفى أن القانون لا يشترط بالضرورة أن يكون مسؤول حماية البيانات حاصلًا على خلفية قانونية فقط.

وقالت إن هناك أكثر من خلفية مهنية يمكن أن تؤهل الشخص لهذا الدور، من بينها القانون، أو التدقيق (Audit)، أو الالتزام (Compliance)، أو التكنولوجيا، مشيرة إلى أن الأهم هو امتلاك الشخص القدرة على فهم طبيعة عمل الشركة والبيانات التي تتعامل معها، إلى جانب الاستعداد للتعلم والتطوير.

وأكدت أن مسؤول حماية البيانات الناجح يجب أن يكون قادرًا على الربط بين الجوانب القانونية والتقنية والتشغيلية، وألا ينظر إلى دوره من زاوية واحدة فقط.

وأضافت أن من أهم المهارات المطلوبة القدرة على فهم طبيعة الشركة ونموذج أعمالها، ومعرفة كيفية مساعدة القطاعات المختلفة على الالتزام بالقانون دون تعطيل العمليات أو تعقيد الإجراءات.

واختتمت دينا مصطفى بالتأكيد على أن بناء منظومة فعالة لحماية البيانات يحتاج إلى التدريب والمعرفة والتعاون بين مختلف التخصصات، إلى جانب وجود تواصل مستمر بين مسؤولي حماية البيانات والفرق القانونية والتقنية والأمن السيبراني، وكذلك التعاون مع مركز حماية البيانات الشخصية، بما يساعد الشركات على الوصول إلى أفضل ممارسات الامتثال وحماية بيانات العملاء.