وراء غرامة 10٪ من الإيرادات: تنظيم البيانات، قد دخلت بالفعل في مستوى مجلس الإدارة

سؤال الذكاء الاصطناعي · كيف يعيد تصوّر مسؤولية مجلس الإدارة إعادة تشكيل سلسلة قرارات حماية البيانات؟

10 مارس 2026، أُجريت مراجعة جديدة لقانون حماية المعلومات الشخصية في كوريا الجنوبية.

هذه التعديلات ليست مجرد تعديل مؤسسي عزل، بل تأتي في سياق محدد جدًا — ففي السنوات الأخيرة، شهدت كوريا الجنوبية استمرار وقوع حوادث تسريب بيانات واسعة النطاق، تشمل قطاعات المالية والاتصالات والتجارة الإلكترونية وغيرها، مع تصاعد وتيرة تطبيقات الرقابة والتنفيذ. في ظل هذا الضغط الواقعي، أصبح النظام القائم الذي يركز على الامتثال أكثر صعوبة في تلبية توقعات الرقابة.

وفي هذا السياق، برزت تغيّر مهم جدًا في التشريع الجديد: لم يقتصر الأمر على تعزيز الرقابة عبر “إضافة المزيد من الالتزامات”، بل بدأ في معالجة مشكلة أعمق — كيف تتعامل الشركات مع مخاطر البيانات.

من جهة، تم نقل القواعد إلى الأمام. من خلال إدخال آلية تتطلب الإبلاغ عند بلوغ معايير المخاطر القانونية، لم يعد الامتثال يبدأ من “وقوع الحادث”، بل يُنقل إلى مرحلة التعرف على المخاطر؛ ومن جهة أخرى، تم رفع المسؤولية. عبر تعزيز مسؤولية المسؤولين عن الشركات، وإدخال غرامة تصل إلى 10% من الإيرادات ذات الصلة، ودمج مسؤول حماية المعلومات الشخصية في إطار قرارات وتقارير مجلس الإدارة، أُدمج حماية البيانات رسميًا في إطار حوكمة الشركات.

إذا نظرنا إلى هذه التغييرات النظامية جنبًا إلى جنب مع سلسلة من قضايا التنفيذ النموذجية الأخيرة، سنكتشف تحولًا أكثر أهمية من مجرد تشديد الرقابة: جوهر الاهتمام الرقابي يتحول من “هل الشركات ملتزمة بالفعل” إلى “هل يوجد داخل الشركة من يقيّم مخاطر البيانات ويتحمل العواقب”.

قبل وبعد التعديلات، استمرت حوادث تسريب البيانات في الظهور بشكل متكرر في كوريا. فبعض المؤسسات المالية سجلت أرقام الهوية الوطنية بشكل واضح في سجلاتها، مما أدى إلى تسريب معلومات ملايين المستخدمين؛ وهناك علامات تجارية تعرضت للاختراق بسبب ضعف آليات التحكم في الوصول والمصادقة، مما سمح للمهاجمين بالوصول المباشر إلى بيانات العملاء؛ وأخرى من شركات المنصات، بسبب نقص التدابير الأمنية الأساسية، تسببت في تسريبات أوسع نطاقًا.

هذه الحوادث تحمل تصنيفًا مشتركًا على السطح — “تم الهجوم”. لكن، إذا تتبعنا منطق الرقابة، سنكتشف أن المشكلة ليست في الهجوم ذاته.

المشكلة الحقيقية تكمن في أن الشركات تفتقر إلى أدنى قدرات تقييم المخاطر في المراحل الحاسمة. ما البيانات التي تحتاج إلى حماية عالية، وأي ثغرات هيكلية في الأنظمة، وهل يمكن التعرف على السلوك غير الطبيعي بسرعة — هذه الأسئلة التي ينبغي أن تُعالج باستمرار في العمليات اليومية، غالبًا تكون غائبة في العديد من الحالات.

وبالتالي، فإن ما تكشفه هذه القضايا ليس مجرد حوادث أمنية فردية، بل خلل منهجي في التعرف على المخاطر، والرقابة الداخلية، وآليات الاستجابة.

من ناحية تصميم النظام، فإن التغيير الأكثر وضوحًا هو نقل الالتزام بالإبلاغ إلى الأمام.

في معظم النطاقات القانونية، لا تزال المنطقية الأساسية للامتثال للبيانات تدور حول وقوع الحادث. فبمجرد تأكيد التسريب، يتعين على الشركات الإبلاغ خلال فترة زمنية محددة للجهات الرقابية والمستخدمين. وهو نموذج استجابة بعد وقوع الحادث.

أما التعديل في كوريا، فقد كسر هذا التسلسل الزمني عمدًا.

وفقًا للمادة 34 المعدلة، في حال توافر شروط معينة، حتى لو لم يُؤكد وقوع تسريب، طالما أن هناك خطرًا يفي بالمعايير القانونية، يتعين على الشركات بدء عملية الإبلاغ. هذا يعني أن الشركات لم تعد تستطيع تأجيل القرار بناءً على “عدم وقوع الحادث بعد”، بل يتعين عليها إصدار حكم في ظل حالة عدم اليقين.

وفي الوقت ذاته، لم تعد الإشعارات مجرد إبلاغ عما حدث. بل يتعين على الشركات توضيح الإجراءات القانونية التي يمكن للمستخدمين اتخاذها، بما في ذلك التعويضات، والتعويضات القانونية، وطرق حل النزاعات. وهكذا، تحولت عملية الإبلاغ من مجرد إفصاح عن المعلومات إلى إجراء امتثالي يحمل تبعات قانونية.

لكن، إذا فسرنا ذلك على أنه مجرد نقل للالتزام إلى الأمام، فسيظل الأمر على السطح. الأهم من ذلك، أن هذا التغيير يضغط على الشركات لتطوير قدرة — لاتخاذ قرار في ظل حالة عدم اليقين — قبل اكتمال تقييم المخاطر.

مقارنة بنقل الالتزام إلى الأمام، فإن ما يستحق التركيز أكثر هو تغيير هيكل المسؤولية.

لم تفرض التعديلات بشكل مباشر غرامات أو مسؤوليات جنائية على مالكي الشركات أو ممثليها، لكن من خلال سلسلة من الترتيبات النظامية، تم دمج مسؤولية حماية البيانات بشكل واضح في هيكل حوكمة الشركة. لم يعد مديرو الشركات أو الممثلون مجرد تعبيرات مجازية عن المسؤولية النهائية، بل يتعين عليهم من خلال تخصيص الموارد، وبناء الأنظمة، تحمل مسؤولية فعلية عن فاعلية التدابير الأمنية. بالإضافة إلى ذلك، تم دمج مسؤول حماية المعلومات الشخصية في إطار قرارات وتقارير مجلس الإدارة، ويجب أن يُتابع تعيينه، وتغييره، وأداء مهامه بشكل مستمر على مستوى الحوكمة.

في ظل هذا النظام، أصبح من الصعب فهم الامتثال للبيانات كمهمة يمكن أن تنجزها وحدة واحدة، أو أن تكون مسؤولية قسم معين فقط.

فالبيانات تُعالج بشكل طبيعي عبر تصميم المنتج، والهندسة التقنية، وعمليات التشغيل، واتخاذ القرارات التجارية، وحتى التعاون الخارجي، وتوزع مخاطرها بشكل غير مركزي، على طول سلسلة العمليات. لذلك، فإن الامتثال للبيانات لا ينبغي أن يُنظر إليه على أنه مهمة تقتصر على قسم الشؤون القانونية أو الامتثال أو التقنية فقط، بل كعمل شامل يتطلب استثمار موارد، وقيادة من قبل مختصين، وتنسيقًا بين عدة أقسام.

في الماضي، كان يُنظر إلى هذا العمل غالبًا على أنه وظيفة قسم واحد، بسبب نقص الوعي من الإدارة بأهميته وطبيعته، وليس لأنه من المفترض أن يُنجز بشكل مستقل. ولهذا، عندما يتم نقل الالتزام بالإبلاغ، وتقييم المخاطر في ظل حالة عدم اليقين، ويبدأ استثمار الموارد في أن يصبح عامل تقييم رقابي، فإن هذه المشكلات تتجه حتمًا إلى مستوى الإدارة العليا.

الغرامة التي تصل إلى 10% من الإيرادات، بلا شك، هي الجزء الأكثر إثارة في التعديلات الحالية. لكن، إذا اكتفينا بملاحظة أن العقوبات أصبحت أشد، فإننا قد نغفل عن وظيفتها الحقيقية.

فالقواعد المعدلة تربط الغرامات العالية بحالات محددة، مثل تكرار المخالفات الجسيمة، أو تسريب بيانات على نطاق واسع نتيجة إهمال أو سوء قصد، أو تكرار الحوادث دون تنفيذ إجراءات تصحيحية. كما تنص على أنه يمكن تخفيف العقوبة إذا استثمرت الشركة موارد كافية في حماية البيانات، بما يشمل الموظفين، والميزانية، والتدابير التقنية.

وهذا يخلق نوعًا من التقييم الأكثر دقة، حيث لم تعد الرقابة تقتصر على نتائج الحادث، بل تتجه إلى السؤال: هل اتخذت الشركة قرارات معقولة قبل وقوع النتائج، وخصصت الموارد اللازمة لذلك؟

وفي هذا السياق، تتفاعل العقوبات مع الهيكل المسؤول، حيث لم تعد مجرد عقوبة على النتائج، بل تفرض على عملية اتخاذ القرار — من الذي اتخذ القرار، وما مدى استناده إلى أدلة كافية.

بعبارة أخرى، فإن توجيه العقوبة يتحول من التركيز على النتائج إلى التركيز على عملية اتخاذ القرار.

عند النظر إلى هذه التغييرات مجتمعة، نرى تحولًا أعمق.

فالتعديلات الحالية لا تقتصر على رفع معايير الامتثال، بل تغير من طريقة تعامل الشركات مع قضايا البيانات. لم تعد حماية البيانات مجرد مسألة امتثال يجب تلبيته، بل أصبحت قضية تشغيلية تتطلب تقييمًا مستمرًا، واستثمارًا دائمًا في الموارد.

الشركات لم تعد تواجه فقط القواعد، بل عليها أن تتخذ قرارات في ظل غموض القواعد، وعدم وضوح المخاطر، وتحديد من يتحمل المسؤولية عن تلك القرارات. وفي هذه العملية، تبدأ مخاطر البيانات في أن تصبح جزءًا من المنطق التشغيلي اليومي للشركة. فهي لم تعد مجرد استجابة بعدية، بل أصبحت متقدمة على العمليات، تتطلب تقييمًا مستمرًا، وتوازنًا، وإدارة.

وبالتالي، فإن “من المسؤول” ليس سؤالًا إضافيًا يُطرح، بل هو نتيجة طبيعية لنقل المسؤولية إلى الأمام — فعندما يصبح تقييم المخاطر جزءًا من العمليات اليومية، فإن المسؤولية لا يمكن أن تظل حكرًا على التنفيذ، بل يجب أن تقع على عاتق الإدارة التي تمتلك الموارد وصلاحية اتخاذ القرارات.

وهذا التغيير له تأثير حقيقي على الشركات التي تعمل خارج الوطن.

فالعديد من الشركات — خاصة تلك التي تعمل خارج بلدها — تفتقر إلى آليات داخلية منظمة، وموارد ثابتة، ودعم متخصص. وغالبًا ما تكون مسؤولية الامتثال للبيانات موزعة بين فرق الشؤون القانونية، والتقنية، والمنتجات، والأمن، وتتصرف بشكل مستقل، وتواجه مخاطر بشكل مؤقت، ثم تتجمع ردود الفعل بعد وقوع الحوادث. كانت هذه الحالة ممكنة في الماضي، لكنها أصبحت الآن أكثر صعوبة في ظل المنطق الرقابي الحالي.

لأن السؤال الذي يُطرح الآن، لم يعد فقط “هل توجد أنظمة” أو “هل الوثائق مكتملة”، بل هل يمكن للشركة التعرف على المخاطر بسرعة، وتكوين حكم، وتحويل تلك الأحكام إلى نتائج مقبولة من قبل الجهات الرقابية. بالنسبة لمعظم الشركات التي تعمل خارج الوطن، فإن هذه ليست مهارة يمكن اكتسابها بشكل طبيعي وسريع من خلال التجربة الذاتية.

المسألة الأساسية، إذن، انتقلت — لم تعد المشكلة فقط في مدى اهتمام الشركة، بل في كيفية تحويل هذا الاهتمام إلى نظام مستدام. كيف يمكن تحديد المخاطر ذات الأولوية، وكيفية رفع القضايا إلى الإدارة، وكيفية التنسيق بين الأعمال، والتقنية، والامتثال، وكيفية الحفاظ على اتساق الأحكام وشفافيتها في ظل تغير القواعد.

من خلال الممارسة، الشركات التي تستطيع بناء هذه القدرات بسرعة غالبًا ما تعتمد على أطر خبرة أكثر نضجًا، وتعيد هيكلة أنظمتها بشكل منهجي، لتحول المسؤوليات الموزعة، والحدود غير الواضحة، والاستجابات المتأخرة، إلى نظام حوكمة مستدام.

وبالتالي، فإن الأثر الحقيقي لهذا التغيير لا يكمن في مدى التزام الشركات، بل في مدى قدرتها على سد فجوة هذه القدرات، وتحقيق مسؤولية حقيقية في الهيكل التنظيمي.

وهذا الاتجاه يظهر أيضًا في الصين، حيث يتطور نظام مسؤول حماية المعلومات الشخصية، ويهدف إلى تركيز المسؤولية في مستويات ذات موارد وقدرات تنظيمية أكبر. تختلف التفاصيل بين النظم، لكن المنطق يتجه نحو التوحيد.

بالنسبة للشركات، فإن السؤال الحقيقي الذي يطرحه هذا التغيير هو:

هل يوجد داخل الشركة من يملك القدرة على تقييم المخاطر، وتحمل العواقب، قبل وقوعها، في ظل غموض القواعد وعدم وضوح المخاطر؟

إذا لم يمكن الإجابة على هذا السؤال، فإن الامتثال ذاته لم يعد يمثل حدودًا حقيقية للمخاطر. فالمسألة الحاسمة هي قدرة الشركة على اتخاذ قرارات في ظل حالة عدم اليقين، وما إذا كانت تلك القرارات موضوعة في المستويات الصحيحة من المسؤولية.