قانون LGPD والأمن السيبراني: الالتزامات ومهلة الإبلاغ عن الحوادث وقائمة تحقق
قانون LGPD (القانون رقم 13.709/2018) هو القانون البرازيلي العام لحماية البيانات الشخصية. وهو تشريع برازيلي قائم بذاته، بهيئة رقابية خاصة به ونظام عقوبات خاص به — لا نسخة محلية من أي قانون أجنبي، ولا يجوز افتراض أن الامتثال لقانون آخر يعني الامتثال له.
والجزء الذي يثير أكبر قدر من الالتباس في العمل الأمني اليومي ليس في القانون نفسه — بل في اللائحة. فمنذ قرار CD/ANPD رقم 15، الصادر في 24 نيسان/أبريل 2024، تحوّلت «المهلة المعقولة» الواردة في المادة 48 إلى رقم محدّد: ثلاثة أيام عمل. فإن كان المرجع الذي تستند إليه لا يذكر هذا القرار، فهو يصف نظامًا لم يعد ساريًا.
ما يلي هو النظام النافذ، مُتحقَّقًا منه مادةً مادة في المصدر الرسمي. وهو ليس استشارة قانونية — بل خريطة تتيح لك أن تحاور إدارتك القانونية وأنت تعرف عمّا يدور الحديث.
ما الذي يفرضه LGPD في أمن المعلومات (المواد 46 إلى 49)
الفصل السابع من القانون قصير ومباشر:
- المادة 46. اتخاذ «تدابير أمنية، تقنية وإدارية، قادرة على حماية البيانات الشخصية من الوصول غير المصرّح به ومن حالات الإتلاف أو الفقدان أو التعديل أو الإفشاء العَرَضية أو غير المشروعة، أو أي شكل من أشكال المعالجة غير الملائمة أو غير المشروعة». وتشترط الفقرة 2 مراعاتها «منذ مرحلة تصميم المنتج أو الخدمة وحتى تنفيذها» — أي الخصوصية بالتصميم بقوة القانون.
- المادة 47. يسري الالتزام «حتى بعد انتهاء» المعالجة. فقاعدة البيانات المعطَّلة ليست قاعدة غير محميّة.
- المادة 49. يجب أن تُبنى الأنظمة «على نحو يستوفي متطلبات الأمن ومعايير الممارسات الجيدة والحوكمة».
وتفصيلان يمرّان عادةً دون انتباه:
لا توجد قائمة قانونية بضوابط إلزامية. تنص المادة 46، الفقرة 1، على أن الهيئة الوطنية لحماية البيانات (ANPD) يجوز لها أن تضع معايير تقنية دنيا — وهي حتى الآن لم تُثبّت كتالوجًا ملزمًا. فالمعيار هو الملاءمة: تدابير متناسبة مع طبيعة البيانات وحجمها والمخاطر وحالة التقنية.
غياب التدابير يولّد مسؤولية مدنية مباشرة. تنص المادة 44، الفقرة الوحيدة: «يتحمّل الأضرار الناجمة عن انتهاك أمن البيانات المتحكّمُ أو المعالجُ الذي تسبّب في الضرر بامتناعه عن اتخاذ التدابير الأمنية المنصوص عليها في المادة 46 من هذا القانون». وهذا يسري بمعزل عن أي عقوبة إدارية.
وعلى مستوى المبادئ (المادة 6)، تسند ثلاثة بنود هذا كله: الأمن (البند VII)، والوقاية (البند VIII)، والمساءلة وتقديم الحساب (البند X). والبند X هو الأشدّ: عليك أن تُثبت اتخاذ التدابير وفعاليتها. فمن دون دليل مسجَّل، لا وجود للضابط من منظور تنظيمي.
ما هي حادثة الأمن — ومتى تصير واجبة الإبلاغ
يعرّف القرار 15/2024 حادثةَ الأمن بأنها «أي حدث سلبي مؤكَّد يتصل بانتهاك خصائص السرية والسلامة والتوافر والأصالة لأمن البيانات الشخصية» (المادة 3، البند XII).
وثلاث نتائج عملية، وفق التوجيهات التي نشرتها ANPD نفسها:
- الثغرة ليست حادثة. فمجرد وجود خلل لا يُفعّل شيئًا. أما استغلاله فقد يفعل.
- عدم التوافر محسوب. الأمر لا يقتصر على التسريب. فبرمجية الفدية التي تُعطّل الوصول إلى بيانات المرضى حادثةٌ، حتى بلا إخراج للبيانات.
- البيانات المُخفاة الهوية غير محسوبة. فالحادثة التي تشمل بيانات مُخفاة الهوية فقط، أو لا تتعلق بشخص طبيعي محدَّد أو قابل للتحديد، لا تستوجب الإبلاغ.
وبعد تأكيد الحادثة، يصير السؤال التالي: هل يمكن أن تسبّب خطرًا أو ضررًا ذا شأن؟ ترسي المادة 5 اختبارًا تراكميًا — إذ ينبغي أن تكون الحادثة قادرة على المساس الجوهري بمصالح أصحاب البيانات وحقوقهم الأساسية، وأن تشمل في الوقت نفسه واحدًا على الأقل من هذه المعايير الستة:
- بيانات شخصية حسّاسة؛
- بيانات أطفال أو مراهقين أو كبار سن؛
- بيانات مالية؛
- بيانات المصادقة في الأنظمة؛
- بيانات مشمولة بسرية قانونية أو قضائية أو مهنية؛
- بيانات على نطاق واسع.
وتضرب الفقرة 1 أمثلة على معنى «المساس الجوهري»: منع ممارسة الحقوق أو استخدام خدمة، أو التسبّب بأضرار مادية أو معنوية مثل التمييز، والمساس بالسلامة الجسدية أو بالصورة أو بالسمعة، والاحتيال المالي، أو سرقة الهوية. وتوضّح الفقرة 2 أن «النطاق الواسع» يُقاس بعدد أصحاب البيانات وحجم البيانات ومدّة المعالجة وتكرارها وامتدادها الجغرافي.
وانتبه إلى المعيار الرابع: قاعدة تسجيل دخول وكلمات مرور مكشوفة تستوفي بالفعل النصف الثاني من الاختبار. ويبقى تقييم النصف الأول — وبيانات الاعتماد المسرَّبة تفتح الطريق عادةً إلى الاحتيال وسرقة الهوية تحديدًا، وهما المثالان المذكوران في الفقرة 1.
المهل والقناة ومضمون البلاغ
إلى ANPD — المادة 6
ثلاثة أيام عمل، تُحتسب من علم المتحكّم بأن الحادثة أصابت بيانات شخصية (المادة 6، الفقرة 1) — لا من تاريخ الحادثة، ولا من انتهاء التحقيق. والسبت والأحد والعطل الرسمية لا تُحتسب. ولوكلاء المعالجة صغار الحجم المهلة مضاعفة (الفقرة 8)، لكن مع تحفّظ كثيرًا ما يُنسى: بموجب المادة 14، البند II، من قرار CD/ANPD رقم 2/2022، لا تنطبق المهلة المضاعفة عند وجود مساس محتمل بالسلامة الجسدية أو المعنوية لأصحاب البيانات أو بالأمن القومي — ففي هذه الحالات تسري الأيام الثلاثة نفسها كسائر الوكلاء.
ويُقدَّم البلاغ عبر الإيداع الإلكتروني في نظام SEI!ANPD، تحت نوع الإجراء «ANPD – Comunicados de Incidentes»، ويجب أن يقدّمه مسؤول حماية البيانات (Encarregado) — مع وثيقة تثبت صفته — أو ممثل مفوَّض. ومن دون هذا الإثبات ضمن المهلة نفسها، يجوز لـ ANPD أن تفتح تلقائيًا إجراء تحقيق في الحادثة.
وتُعدّد الفقرة 2 اثنتي عشرة معلومة إلزامية:
- طبيعة البيانات المتأثّرة وفئتها؛
- عدد أصحاب البيانات المتأثّرين، مع تمييز الأطفال والمراهقين وكبار السن؛
- التدابير التقنية والأمنية المتّخذة قبل الحادثة وبعدها؛
- المخاطر والآثار الممكنة على أصحاب البيانات؛
- أسباب التأخير، إن وُجد؛
- تدابير عكس الآثار أو التخفيف منها؛
- تاريخ الوقوع (متى أمكن تحديده) وتاريخ العلم بها؛
- بيانات مسؤول حماية البيانات أو من يمثّل المتحكّم؛
- تعريف المتحكّم، وإقرار صغر الحجم إن انطبق؛
- تعريف المعالج، عند الاقتضاء؛
- وصف الحادثة، بما في ذلك السبب الرئيس إن أمكن تحديده؛
- إجمالي أصحاب البيانات الذين تُعالَج بياناتهم في الأنشطة المتأثّرة.
وإن لم يتوفّر لديك كل ذلك خلال ثلاثة أيام عمل، فهناك البلاغ الأوّلي، يُستكمَل ببيان مسبَّب خلال عشرين يوم عمل كحد أقصى (الفقرة 3)، عبر عريضة لاحقة في الإجراء نفسه. وANPD واضحة في أسئلتها الشائعة: البلاغ الأوّلي غير كافٍ للوفاء بالتزام المادة 48، ولا بدّ من استكماله ضمن المهلة.
إلى صاحب البيانات — المادة 9
الإبلاغ إلى ANPD وحدها لا يكفي. تسجّل ANPD نفسها أن المادة 48 «لا تُستوفى بمجرد إبلاغ الهيئة بحادثة الأمن»: فعند وجود خطر أو ضرر ذي شأن، يجب بالضرورة على المتحكّم أن يبلّغ أصحاب البيانات المتأثّرين أيضًا. إنهما التزامان، لا واحد.
والمهلة نفسها: ثلاثة أيام عمل من العلم — ومضاعفة كذلك لوكلاء المعالجة صغار الحجم (المادة 9، الفقرة 6). أما المضمون فمختلف — سبعة بنود، منها طبيعة البيانات المتأثّرة وفئتها، والتدابير الأمنية المستخدَمة، والمخاطر والآثار الممكنة، وتدابير التخفيف، وتاريخ العلم، وجهة اتصال للحصول على معلومات (وبيانات مسؤول حماية البيانات، عند الاقتضاء).
والشكل لا يقلّ أهمية عن المضمون:
- لغة بسيطة وسهلة الفهم؛
- مباشرة وفردية كلما أمكن تحديد أصحاب البيانات — هاتفًا أو بريدًا إلكترونيًا أو رسالة إلكترونية أو خطابًا؛
- وإن تعذّر ذلك، النشر عبر القنوات المتاحة (الموقع، والتطبيق، وشبكات التواصل)، بعرض مباشر وسهل، ولمدة ثلاثة أشهر على الأقل؛
- وإقرار يُضاف إلى الإجراء بأن البلاغ تمّ، مع بيان الوسائل المستخدَمة، خلال ثلاثة أيام عمل من انتهاء المهلة كحد أقصى (الفقرة 4).
وتضيف الفقرة 5 حافزًا ملموسًا: إدراج توصيات تساعد صاحب البيانات على التخفيف من الآثار قد يُعدّ ممارسة جيدة لأغراض تقدير العقوبة (المادة 52، الفقرة 1، البند IX، من LGPD).
وماذا لو كنت المعالج؟
الالتزام القانوني بالإبلاغ يقع على المتحكّم. وعند وقوع حادثة، على المعالج إبلاغه دون تأخير غير مبرَّر وتزويده بكل المعلومات اللازمة للبلاغ — وANPD توصي صراحةً بأن تُحدَّد هذه الالتزامات بين المتحكّم والمعالج في العقد. وترجمة ذلك إلى مهل: ساعة الأيام الثلاثة لدى المتحكّم لا تنتظر المورّد، ولذلك يجب أن تكون مهلة المعالج أقصر من مهلتك بكثير.
السجل الذي لا يحتفظ به أحد تقريبًا (المادة 10)
هذا هو أكثر التزامات اللائحة تجاهلًا: على المتحكّم أن يحتفظ بسجل لكل حادثة أمنية — بما فيها تلك التي قرّر عدم الإبلاغ عنها — لمدة لا تقل عن خمس سنوات.
ويجب أن يتضمّن السجل، كحدّ أدنى: تاريخ العلم؛ ووصفًا عامًا للظروف؛ وطبيعة البيانات المتأثّرة وفئتها؛ وعدد أصحاب البيانات المتأثّرين؛ وتقييم المخاطر والأضرار الممكنة؛ وتدابير التصحيح والتخفيف؛ وشكل البلاغ ومضمونه، إن وقع؛ وأسباب عدم الإبلاغ، عند الاقتضاء.
بعبارة أخرى: قرار عدم الإبلاغ ينبغي أن يكون موثَّقًا وقابلًا للدفاع عنه. وهذا السجل هو ما ستطلبه ANPD إن فتحت إجراء تحقيق — ولها أن تطلب في أي وقت سجل عمليات المعالجة (المادة 37)، وتقرير أثر حماية البيانات (المادة 38)، وتقرير معالجة الحادثة.
دور مسؤول حماية البيانات
تُلزم المادة 41 من LGPD المتحكّمَ بتعيين مسؤول لحماية البيانات والإعلان العلني عن هويته وبيانات التواصل معه، «ويُفضَّل أن يكون ذلك على الموقع الإلكتروني». وقد فصّل قرار CD/ANPD رقم 18، الصادر في 16 تموز/يوليو 2024، هذه الوظيفة:
- يجوز أن يكون شخصًا طبيعيًا (من الملاك الوظيفي أو من خارجه) أو شخصًا اعتباريًا، ويتطلّب التعيين قرارًا رسميًا مكتوبًا ومؤرَّخًا وموقَّعًا، يصف أشكال العمل والأنشطة — وهي وثيقة يجوز لـ ANPD طلبها في أي وقت؛
- على وكيل المعالجة أن يوفّر الموارد (البشرية والتقنية والإدارية)، وأن يضمن الاستقلال التقني والوصول المباشر إلى أعلى مستوى في التسلسل الإداري؛
- ويجب أن يكون منخرطًا في تسجيل الحوادث والإبلاغ عنها، وفي تسجيل عمليات المعالجة، وفي تقرير أثر حماية البيانات، وفي آليات الرقابة الداخلية، وفي الأدوات التعاقدية؛
- ويقوم تضارب المصالح حين يجمع بين وظائف تقرّر وسائل المعالجة وغاياتها — ورئاسة تقنية المعلومات أو الموارد البشرية أو المالية أو الصحة هي الحالات الكلاسيكية التي تذكرها ANPD، والتضارب الثابت قد يستوجب عقوبة؛
- ونقطة مريحة: مسؤول حماية البيانات ليس هو المسؤول أمام ANPD عن امتثال المعالجة. فالمسؤول هو المتحكّم.
ويجوز إعفاء وكلاء المعالجة صغار الحجم من التعيين (قرار CD/ANPD رقم 2/2022)، إلا إذا نفّذوا معالجة عالية المخاطر، أو تجاوزت إيراداتهم الإجمالية حدود اللائحة، أو انتموا إلى مجموعة اقتصادية تتجاوزها. وحتى مع الإعفاء، يبقى واجبًا الاحتفاظ بقناة تواصل مع صاحب البيانات.
وعمليًا: مسؤول حماية البيانات هو من يقدّم العريضة إلى ANPD. فإن لم يكن حاضرًا في خطة الاستجابة للحوادث لديك، فخطتك لا تعمل في اليوم الأول.
العقوبات: ما الذي يمكن أن تطبّقه ANPD (المادة 52)
القيم الصحيحة، مأخوذة مباشرة من النص القانوني:
| العقوبة | التفصيل |
|---|---|
| إنذار | مع مهلة لاتخاذ تدابير تصحيحية |
| غرامة بسيطة | حتى 2% من إيرادات الشخص الاعتباري الخاص أو المجموعة أو التكتّل في البرازيل، في سنته المالية الأخيرة، باستثناء الضرائب، وبحدّ إجمالي أقصاه 50,000,000.00 ريال برازيلي عن كل مخالفة |
| غرامة يومية | مع مراعاة الحدّ الإجمالي نفسه |
| إشهار المخالفة | بعد التحقّق منها وتأكيدها |
| حجب البيانات | حتى تسوية الوضع |
| إتلاف البيانات | المتعلقة بالمخالفة |
| تعليق جزئي لقاعدة البيانات | حتى 6 أشهر، قابلة للتمديد مدةً مماثلة |
| تعليق نشاط المعالجة | حتى 6 أشهر، قابلة للتمديد |
| حظر جزئي أو كلي | لأنشطة المعالجة |
ولا يجوز تطبيق العقوبات الثلاث الأخيرة (التعليق الجزئي، وتعليق النشاط، والحظر) إلا بعد أن تكون قد فُرضت في الحالة الملموسة نفسها واحدةٌ على الأقل من عقوبات الغرامة أو الإشهار أو الحجب أو الإتلاف (المادة 52، الفقرة 6).
وتقدير العقوبة لا يقلّ أهمية عن سقفها. فـالفقرة 1 من المادة 52 تُوجب مراعاة معايير من بينها: جسامة المخالفة وطبيعتها، وحسن النية، والتعاون، والتبنّي المتكرّر لآليات داخلية قادرة على تقليل الضرر، وسياسة الممارسات الجيدة والحوكمة، والمبادرة السريعة إلى التدابير التصحيحية. ويصنّف قرار CD/ANPD رقم 4/2023 المخالفات إلى خفيفة ومتوسطة وجسيمة، ويحدّد منهجية احتساب الغرامة البسيطة. وأثناء سير الإجراء، يجوز لـ ANPD أيضًا أن تأمر بتدابير وقائية فورية وأن تفرض غرامة يومية لضمان تنفيذها (المادة 15 من القرار 15/2024).
وأكثر التفاصيل أهمية لمن يعمل في الأمن يقع في المادة 48، الفقرة 3: عند تقدير الجسامة، تقيّم ANPD «الإثبات المحتمل لاتخاذ تدابير تقنية ملائمة تجعل البيانات الشخصية المتأثّرة غير مفهومة للأطراف غير المصرَّح لها». فالتشفير المنفَّذ جيدًا ليس مجرد نظافة تقنية — بل ظرف مخفِّف منصوص عليه في القانون.
ويجدر تسجيل التغيير المؤسسي الأخير: فقد أضاف القانون رقم 15.352، الصادر في 25 شباط/فبراير 2026 (تحويلًا للمرسوم المؤقت 1.317/2025) المادة 55-A إلى LGPD، وأنشأ الوكالة الوطنية لحماية البيانات (ANPD) هيئةً عامة ذات طبيعة خاصة تابعة لوزارة العدل والأمن العام، باستقلال وظيفي وتقني وقراري وإداري ومالي، وذمّة مالية خاصة، ومقر في العاصمة الاتحادية. وأنشأ القانون نفسه سلك تنظيم حماية البيانات والرقابة عليها. وعمليًا: الاختصار نفسه، بعضلات رقابية أقوى.
تدابير تقنية ملموسة
يُنظّم دليل ANPD الإرشادي لأمن المعلومات (المكتوب لوكلاء المعالجة صغار الحجم، لكنه مفيد لأي حجم) التدابيرَ إلى إدارية وتقنية. وبمقاطعة الدليل مع ما تفرض المادة 48 أن تكون قادرًا على الإجابة عنه خلال ثلاثة أيام عمل:
التشفير. أثناء النقل، TLS/HTTPS في كل شيء — بما في ذلك التكاملات الداخلية والبريد الحامل لبيانات الموارد البشرية أو الصحة. وأثناء السكون، تشفير الحقول الحسّاسة والنسخ الاحتياطية. وتذكّر المادة 48، الفقرة 3: إن كانت البيانات المسرّبة غير مفهومة، تنخفض الجسامة.
التحكّم بالوصول. تفكّك ANPD الضبط إلى ثلاث وظائف: المصادقة (من يصل)، والتخويل (ماذا يستطيع أن يفعل)، والتدقيق (ماذا فُعل). وعمليًا: أقلّ امتياز (need to know)، والمصادقة متعددة العوامل (MFA) في الأنظمة التي تحوي بيانات شخصية، وسياسة لتعقيد كلمات المرور، وتغيير كلمات المرور الافتراضية للمورّدين، ومنع الحسابات أو كلمات المرور المشتركة — وهو ما تسمّيه ANPD «ناقلًا حرجًا للثغرات».
مسار التدقيق. سجّل عمليات المصادقة وحالات فشلها، والوصول إلى البيانات الشخصية، وتغييرات الصلاحيات، وعمليات التصدير، والعمليات الإدارية. والاختبار بسيط: هل تستطيع أن تقول، خلال ثلاثة أيام عمل، كم صاحب بيانات تأثّر، وأي فئات بيانات، وما السبب الرئيس؟ فإن كان الجواب يتوقف على تنقيب أثري في سجلّات التطبيق، فالحادثة كلّفتك مهلتك أصلًا.
الاحتفاظ والإتلاف. جمع ما يلزم فقط (المادة 6، البند III) وإتلاف ما لم تعد له غاية نشطة يقلّصان سطح الحادثة التالية وعدد المتأثّرين بها. أضف إلى ذلك التخلّص الآمن من الوسائط.
نسخ احتياطي صامد أمام برمجيات الفدية. توصية ANPD صريحة: نسخ احتياطية منتظمة وكاملة، في موقع مختلف عن التخزين الأساسي، وغير متزامنة آنيًا — كي لا تُستنسخ عملية التشفير التي ينفّذها المهاجم.
إدارة الثغرات. أنظمة وتطبيقات محدَّثة، ورقع أمنية مطبَّقة، وتقسية (تعطيل الخدمات غير الضرورية، وتبديل كل كلمات المرور الافتراضية، والمراجعة المستمرة لما هو مكشوف على الإنترنت)، وبرنامج مضاد للبرمجيات الخبيثة مثبَّت ومحدَّث — مع توجيه صريح للمستخدمين بعدم تعطيل إعدادات الأمان. ويستشهد دليل ANPD ببحث أجراه CERT.br بالتعاون مع Cetic.br: إبقاء كل شيء محدَّثًا، وإجراء التقسية، وتحسين التعريف والمصادقة (بما في ذلك عدم إعادة استخدام كلمات المرور) هي من بين أعلى ثلاثة تدابير أثرًا.
المورّدون. يجب أن يتضمّن العقد مع المعالج بندًا لأمن المعلومات، وأدوارًا محدَّدة للمتحكّم والمعالج، ومهلة إخطار داخلية متوافقة مع أيامك الثلاثة.
قائمة تحقق عملية
قبل (وضع دائم)
- مسؤول حماية بيانات معيَّن، وبيانات تواصله منشورة على الموقع، بلا تضارب مصالح، وله وصول مباشر إلى الإدارة العليا
- سجل عمليات المعالجة (المادة 37) محدَّث — فمنه يُستخرج «إجمالي أصحاب البيانات» في البند 12
- خريطة لمواضع البيانات الحسّاسة والمالية وبيانات المصادقة وبيانات الأطفال والمراهقين وكبار السن
- سياسة مكتوبة لأمن المعلومات، مع مراجعة دورية
- المصادقة متعددة العوامل، وأقلّ امتياز، ومراجعة دورية للصلاحيات
- تشفير أثناء النقل وأثناء السكون، مع إدارة للمفاتيح
- مسار تدقيق للمصادقة والوصول والتعديل والتصدير — بمدة احتفاظ متوافقة مع السنوات الخمس في المادة 10
- نسخ احتياطي مُختبَر، غير متصل أو بنسخة غير متزامنة
- بنود أمنية ومهلة إخطار في العقود مع المعالجين
- تدريب وقناة داخلية للإبلاغ عن الحوادث والثغرات
أثناء (أيام العمل الثلاثة الأولى)
- تأكيد وقوع حدث سلبي وأن بيانات شخصية تأثّرت — من هنا تبدأ الساعة
- الاحتواء وحفظ الأدلة (لا تمسح السجلّات بحجة «تنظيف» البيئة)
- تطبيق اختبار المادة 5: هل يمسّ الحقوق جوهريًا ويشمل واحدًا من المعايير الستة؟
- تفعيل مسؤول حماية البيانات وجمع الحقول الاثني عشر في المادة 6، الفقرة 2
- تقديم العريضة في SEI!ANPD مع إثبات التمثيل — بلاغًا أوّليًا إن لزم
- إبلاغ أصحاب البيانات بلغة بسيطة، وبشكل فردي، مع توصيات للتخفيف
- إن تعذّر تحديدهم جميعًا، النشر في قناة واسعة الانتشار والإبقاء عليه 3 أشهر
بعد
- استكمال البلاغ خلال 20 يوم عمل كحد أقصى، ببيان مسبَّب
- ضمّ إقرار الإبلاغ إلى أصحاب البيانات إلى ملف الإجراء
- تسجيل الحادثة ببنود المادة 10 الثمانية — حتى لو قرّرت عدم الإبلاغ
- مراجعة لاحقة بالسبب الجذري وتدابير تصحيحية موثَّقة (لها وزن مباشر في تقدير العقوبة)
- إعادة تقييم تقرير أثر حماية البيانات والضوابط المتأثّرة
أين تساعد المنصة — وأين لا تساعد
الأداة لا تحلّ محل برنامج الحوكمة، ولا تعيّن مسؤول حماية بياناتك، ولا تقدّم العريضة إلى ANPD نيابةً عنك. ما تستطيعه هو تقصير المسافة بين «اكتشفنا شيئًا» و«لدينا الحقول الاثنا عشر مملوءة». وفي OODA Intelligence، المكوّنات التي تلامس هذا المسار هي:
- Audit & Compliance — أكثر من 50 نوعًا من الأحداث (المصادقة، والوصول إلى البيانات، وتغييرات الإعدادات، والحوادث)، ومدة احتفاظ قابلة للضبط، وسلسلة تجزئة للسلامة، وتصدير غير قابل للتعديل (WORM).
- Users & Access — تحكّم بالوصول حسب الدور لكل وحدة وإجراء، ومصادقة متعددة العوامل (TOTP وWebAuthn والرسائل القصيرة)، وتسجيل دخول موحّد SAML 2.0/OIDC، ومراجعات دورية للصلاحيات.
- Incident Management — دورة حياة للاستجابة بخط زمني غير قابل للتعديل ومرفقات مشفّرة، وهي مفيدة لإنتاج سجل المادة 10.
- العزل لكل مؤسسة وتشفير الحقول الحسّاسة، وفق صفحة LGPD لدينا.
أما الباقي — رسم خريطة المعالجات، والأسس القانونية، والعقود مع المعالجين، وقرار الإبلاغ من عدمه — فيبقى عملًا بشريًا.
المصادر الرسمية
كل مادة ومهلة وقيمة وردت هنا جرى التحقق منها في النص الرسمي:
- القانون رقم 13.709/2018 (LGPD) — Planalto
- القانون رقم 15.352/2026 — إنشاء الوكالة الوطنية لحماية البيانات (المادة 55-A من LGPD)
- قرار CD/ANPD رقم 15/2024 — لائحة الإبلاغ عن حوادث الأمن (الجريدة الرسمية)
- قرار CD/ANPD رقم 18/2024 — لائحة عمل مسؤول حماية البيانات (الجريدة الرسمية)
- قرار CD/ANPD رقم 2/2022 — لائحة وكلاء المعالجة صغار الحجم (الجريدة الرسمية)
- قرار CD/ANPD رقم 4/2023 — لائحة تقدير العقوبات الإدارية وتطبيقها
- ANPD — الإبلاغ عن حوادث الأمن (الإجراء والأسئلة الشائعة)
- ANPD — الدليل الإرشادي لأمن المعلومات لوكلاء المعالجة صغار الحجم
- ANPD — الدليل الإرشادي لعمل مسؤول حماية البيانات
- ANPD — اللوائح المنشورة (القائمة الرسمية)
