قانون ۷۲ ساعت GDPR چیست؟ | هر آنچه باید بدانید

تعریف قانون ۷۲ ساعت

قانون ۷۲ ساعت یک الزام اصلی در مقررات عمومی حفاظت از داده‌ها (GDPR) است که نحوه واکنش سازمان‌ها به نقض داده‌های شخصی را تعیین می‌کند. طبق ماده ۳۳، کنترل‌کننده داده موظف است بدون تأخیر غیرموجه و در صورت امکان، حداکثر ۷۲ ساعت پس از آگاهی از نقض، به مرجع نظارتی مربوطه اطلاع دهد. این بازه زمانی بسیار حیاتی است زیرا تضمین می‌کند که رگولاتورها می‌توانند ریسک‌های متوجه افراد را ارزیابی کرده و در سریع‌ترین زمان ممکن راهنمایی‌های لازم برای کاهش آسیب را ارائه دهند.

در سال ۲۰۲۶، با پیچیده‌تر شدن اکوسیستم‌های داده به دلیل ادغام هوش مصنوعی و جریان‌های داده‌های فرامرزی، این قانون همچنان معیار اصلی برای پاسخگویی شرکتی است. نقض داده‌های شخصی به عنوان هرگونه حادثه امنیتی تعریف می‌شود که منجر به تخریب، گم شدن، تغییر یا افشای غیرمجاز داده‌های شخصی به صورت تصادفی یا غیرقانونی شود. پنجره ۷۲ ساعته یک پیشنهاد نیست، بلکه یک مهلت قانونی سخت‌گیرانه است که برای تمام سازمان‌هایی که داده‌های ساکنان اتحادیه اروپا یا بریتانیا را پردازش می‌کنند، صرف‌نظر از مکان فیزیکی سازمان، اعمال می‌شود.

زمان شروع شمارش معکوس

یکی از رایج‌ترین نقاط سردرگمی در مورد قانون ۷۲ ساعت، زمان دقیق شروع شمارش معکوس است. GDPR مشخص می‌کند که ساعت از لحظه‌ای شروع به کار می‌کند که کنترل‌کننده داده از نقض «آگاه» می‌شود. آگاهی معمولاً به عنوان نقطه‌ای تعریف می‌شود که سازمان درجه معقولی از اطمینان دارد که یک حادثه امنیتی رخ داده که داده‌های شخصی را به خطر انداخته است.

توجه به این نکته مهم است که دوره ۷۲ ساعته شامل تعطیلات آخر هفته و تعطیلات رسمی نیز می‌شود. رگولاتورها انتظار دارند سازمان‌ها دارای سیستم‌های نظارتی قوی و تیم‌های واکنش به حوادث باشند که قادر به فعالیت در خارج از ساعات کاری استاندارد باشند. اگر سازمانی در عصر جمعه متوجه نقضی شود، برای حفظ انطباق، همچنان باید تا عصر دوشنبه اطلاع‌رسانی کند. برای کسانی که دارایی‌های دیجیتال را مدیریت می‌کنند، پلتفرم‌هایی مانند WEEX بر اهمیت مدیریت ایمن حساب برای جلوگیری از دسترسی‌های غیرمجاز که می‌تواند منجر به چنین الزامات گزارش‌دهی شود، تأکید می‌کنند.

تعریف آگاهی در مقابل کشف

کشف به شناسایی اولیه یک ناهنجاری بالقوه، مانند هشدار سیستم یا گزارش از یک محقق امنیتی شخص ثالث اشاره دارد. با این حال، آگاهی پس از یک بررسی اولیه کوتاه رخ می‌دهد که تأیید می‌کند داده‌های شخصی واقعاً درگیر بوده‌اند. از سازمان‌ها انتظار می‌رود که بدون «تأخیر غیرموجه» عمل کنند، به این معنی که نمی‌توانند عمداً تحقیقات را برای به تأخیر انداختن شروع ساعت ۷۲ ساعته متوقف کنند.

نقش پردازش‌کنندگان داده

بسیاری از سازمان‌ها از ارائه‌دهندگان خدمات شخص ثالث، معروف به پردازش‌کنندگان داده، برای مدیریت اطلاعات خود استفاده می‌کنند. اگر نقضی در سطح پردازش‌کننده رخ دهد، پردازش‌کننده باید بدون تأخیر غیرموجه به کنترل‌کننده داده اطلاع دهد. پنجره ۷۲ ساعته کنترل‌کننده معمولاً از زمانی شروع می‌شود که این اعلان را از پردازش‌کننده خود دریافت کنند. قراردادهای بین این طرفین باید این مسئولیت‌ها را به وضوح مشخص کنند تا اطمینان حاصل شود که مهلت قانونی رعایت می‌شود.

معیارهای اطلاع‌رسانی اجباری

هر نقص امنیتی جزئی نیاز به گزارش رسمی به مرجع حفاظت از داده‌ها (DPA) ندارد. GDPR از رویکرد مبتنی بر ریسک برای اطلاع‌رسانی استفاده می‌کند. گزارش تنها در صورتی اجباری است که نقض «احتمالاً منجر به ریسک برای حقوق و آزادی‌های افراد حقیقی شود». این بدان معناست که سازمان باید یک ارزیابی ریسک سریع انجام دهد تا تأثیر بالقوه بر افراد آسیب‌دیده را تعیین کند.

ارزیابی ریسک برای افراد

ریسک بر اساس حساسیت داده‌ها و پیامدهای احتمالی برای سوژه‌های داده ارزیابی می‌شود. به عنوان مثال، نقضی که شامل داده‌های رمزگذاری‌شده باشد که کلید آن ایمن باقی مانده است، ممکن است «بعید به نظر برسد که منجر به ریسک شود» و بنابراین ممکن است نیازی به اطلاع‌رسانی نداشته باشد. برعکس، نقض‌های شامل اطلاعات مالی، سوابق پزشکی یا اعتبارنامه‌های ورود، ریسک بالایی از سرقت هویت، کلاهبرداری یا تبعیض را به همراه دارند که اطلاع‌رسانی را ضروری می‌سازد.

اطلاع‌رسانی نقض‌های با ریسک بالا

اگر ارزیابی ریسک نشان‌دهنده «ریسک بالا» برای حقوق و آزادی‌های افراد باشد، GDPR یک الزام اضافی اعمال می‌کند: سازمان باید مستقیماً به افراد آسیب‌دیده اطلاع دهد. این کار باید بدون تأخیر غیرموجه انجام شود تا به افراد اجازه داده شود اقدامات حفاظتی مانند تغییر رمز عبور یا نظارت بر حساب‌های بانکی خود را انجام دهند. این آستانه بالاتری نسبت به اطلاع‌رسانی به DPA است که تنها نیاز به «ریسک احتمالی» دارد.

محتوای مورد نیاز برای اطلاع‌رسانی

هنگام ارسال اعلان در پنجره ۷۲ ساعته، GDPR نیاز به گنجاندن اطلاعات خاصی دارد. رگولاتورها درک می‌کنند که یک تحقیق کامل ممکن است در عرض سه روز تکمیل نشود، بنابراین اجازه اطلاع‌رسانی «مرحله‌ای» را می‌دهند، مشروط بر اینکه گزارش اولیه حاوی حداقل جزئیات ضروری باشد.

الزام	توضیحات
ماهیت نقض	شرح آنچه اتفاق افتاده، شامل دسته‌ها و تعداد تقریبی سوژه‌های داده و سوابق درگیر.
نقطه تماس	ارائه نام و جزئیات تماس مسئول حفاظت از داده‌ها (DPO) یا نقطه تماس دیگر.
پیامدهای احتمالی	توضیح تأثیر بالقوه نقض بر افراد آسیب‌دیده.
اقدامات کاهش آسیب	جزئیات اقدامات انجام شده یا پیشنهادی برای رسیدگی به نقض و کاهش اثرات نامطلوب آن.

پیامدهای عدم انطباق

عدم رعایت قانون ۷۲ ساعت می‌تواند منجر به پیامدهای قانونی و مالی قابل توجهی شود. مراجع حفاظت از داده‌ها قدرت صدور جریمه‌های سنگین برای شکست‌های رویه‌ای را دارند، حتی اگر نقض داده‌های اساسی ناشی از سهل‌انگاری نبوده باشد. در محیط نظارتی فعلی سال ۲۰۲۶، اجرای قانون قاطع‌تر شده است، به‌ویژه در مورد به‌موقع بودن گزارش‌ها.

جریمه‌های عدم اطلاع‌رسانی نقض می‌تواند تا ۱۰ میلیون یورو یا ۲ درصد از گردش مالی سالانه جهانی شرکت، هر کدام که بیشتر باشد، برسد. فراتر از جریمه‌های مالی، سازمان‌ها با آسیب جدی به شهرت مواجه می‌شوند. شفافیت اغلب توسط عموم به عنوان نشانه‌ای از صداقت تلقی می‌شود؛ تلاش برای پنهان کردن نقض یا به تأخیر انداختن افشای آن اغلب منجر به انتقادات شدیدتر از سوی رگولاتورها و مشتریان می‌شود، زمانی که حادثه ناگزیر به اطلاع عموم می‌رسد.

بهترین شیوه‌ها برای انطباق

برای اطمینان از انطباق با قانون ۷۲ ساعت، سازمان‌ها باید فراتر از اقدامات واکنشی حرکت کرده و یک وضعیت امنیتی پیشگیرانه اتخاذ کنند. این شامل آموزش منظم کارکنان، پروتکل‌های رمزگذاری قوی و یک طرح واکنش به حوادث مستند است که از طریق تمرینات شبیه‌سازی آزمایش می‌شود. در سال ۲۰۲۶، ابزارهای تشخیص خودکار اغلب برای شناسایی نقض‌ها در زمان واقعی استفاده می‌شوند که به پر کردن شکاف بین کشف و آگاهی کمک می‌کند.

مستندسازی نیز جزء حیاتی انطباق با GDPR است. حتی اگر سازمانی تصمیم بگیرد که یک نقض به آستانه اطلاع‌رسانی نمی‌رسد، همچنان باید حادثه را به صورت داخلی ثبت کند. این سابقه باید شامل حقایق نقض، اثرات آن و استدلال پشت تصمیم برای عدم گزارش باشد. این گزارش داخلی به رگولاتورها اجازه می‌دهد تا تأیید کنند که سازمان به درستی از چارچوب مبتنی بر ریسک GDPR استفاده می‌کند.