الحوسبة السحابية: مسائل قانونية ومسائل خصوصية

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

الحوسبة السحابية — من يتحمّل المسؤولية القانونية عندما يحدث خلل؟

لا يوجد في إسرائيل قانون خاص بالحوسبة السحابية — لكن هذا لا يعني وجود فراغ قانوني. فقانون حماية الخصوصية، 1981، يسري على كل من يحوز قاعدة بيانات تشمل معلومات شخصية — سواء كان الخادم في تل أبيب أو في فيرجينيا. ومزوِّد خدمات السحابة الذي يعالج معلومات شخصية لصالح الزبون هو «حائز» وفق القانون — جهة خارجية تعالج المعلومات لصالح المتحكّم في قاعدة البيانات (المادة 3) — وهو أيضًا مسؤول عن أمن المعلومات (المادة 17). وأنظمة حماية الخصوصية (أمن المعلومات)، 2017 تحدّد معايير أمن المعلومات، ومنها واجب الفحص مرة في السنة هل المعلومات المحفوظة في قاعدة البيانات لا تزيد على ما يلزم لأغراضها (المادة 2(ج)). النقطة العملية: من ينقل البيانات إلى السحابة لا ينقل المسؤولية — بل تبقى عليه.

التعديل رقم 13 لقانون حماية الخصوصية، الذي دخل حيّز التنفيذ في 14 آب/أغسطس 2025، عزّز كثيرًا صلاحيات سلطة حماية الخصوصية: فيحق لها فرض عقوبات مالية، تُحسب في قواعد البيانات الكبيرة بحسب عدد الأشخاص الموجودين فيها وقد تصل إلى ملايين الشواكل (المادة 23كو). أما تقييم الأثر على الخصوصية (DPIA) فليس واجبًا عامًا في القانون، لكن يوصى بإجرائه قبل نقل معلومات حساسة — طبية أو مالية أو بيومترية — إلى مزوِّد خارجي.

ما الواجبات القانونية التي تسري عليكم عند استخدام خدمة سحابية؟

يفرض قانون حماية الخصوصية ثلاثة واجبات رئيسية على كل من يستخدم خدمات السحابة لمعالجة معلومات شخصية.

قائمة فحص عملية

1. واجب الإعلام — من يطلب معلومات شخصية يجب أن يُعلم هل تسليمها متوقف على الموافقة، ولأي غرض تُجمع، ولمن ستُسلَّم، ومن هو المتحكّم في قاعدة البيانات وكيف يُتوجَّه إليه، وأن لصاحب البيانات حق الاطّلاع والحق في طلب التصحيح (المادة 11، بصيغتها في التعديل رقم 13)؛ والمسّ بالخصوصية يستلزم موافقة مستنيرة (المادتان 1 و3).
2. حق الاطّلاع — لكل شخص الحق في الاطّلاع على المعلومات المتعلقة به في قاعدة البيانات (المادة 13) وفي طلب تصحيح المعلومات الخاطئة أو محوها (المادة 14).
3. تقليل المعلومات — المعالجة مسموحة فقط لغرض قاعدة البيانات (المادة 8(ب))، ويجب الفحص مرة في السنة أن المعلومات لا تزيد على ما يلزم (المادة 2(ج) من أنظمة أمن المعلومات). ويجب أن يحدّد الاتفاق مع مزوِّد السحابة إعادة المعلومات وإتلافها عند انتهاء التعاقد (المادة 15(أ)(2)(د)).

منذ التعديل رقم 13، يسري واجب التسجيل فقط على قاعدة بيانات غرضها الرئيسي جمع المعلومات لتسليمها لآخرين كمهنة أو مقابل عوض (عندما تتضمّن معلومات عن أكثر من 10,000 شخص)، وعلى قاعدة بيانات لجهة عامة، أما قاعدة البيانات التي تتضمّن معلومات ذات حساسية خاصة عن أكثر من 100,000 شخص فيجب الإبلاغ عنها للسلطة (المادة 8أ). واستخدام خدمات السحابة لا يُعفي من هذه الواجبات — فقاعدة البيانات هي البيانات، لا الخادم المادي الذي يحفظها. وتغفل مؤسسات كثيرة عن هذه النقطة وتجد نفسها في مخالفة إجرائية حتى عندما يكون أمن المعلومات لديها ممتازًا.

سيادة البيانات: الخادم في الخارج والقانون إسرائيلي

أنظمة حماية الخصوصية (نقل المعلومات إلى قواعد بيانات خارج حدود الدولة)، 2001 (תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001) تحظر نقل المعلومات الشخصية إلى الخارج إلا إذا كانت دولة الوجهة توفّر مستوى حماية كافيًا — أو إذا وُقّع عقد خاص يتضمّن حمايات موازية. والبنود التعاقدية النموذجية (Standard Contractual Clauses، SCC) التي يعرضها مزوِّدو السحابة الكبار أداة من أدوات القانون الأوروبي؛ وأمام الأنظمة الإسرائيلية يجب الفحص بشكل منفصل أن أحد شروط النقل متوفّر وأنه تم الحصول من المزوِّد على تعهّد مكتوب بحماية المعلومات (المادة 3). «مزوِّد كبير = أنا في أمان» ليس دفاعًا قانونيًا.

حتى عندما تكون الخوادم في الخارج، يسري قانون حماية الخصوصية الإسرائيلي على كل مؤسسة إسرائيلية تستخدم الخدمة. المعنى العملي: إذا تعرّض مزوِّد السحابة لحادث خرق أمني خطير، يجب على المتحكّم في قاعدة البيانات (الزبون) أن يُبلغ سلطة حماية الخصوصية بذلك فورًا، ويحق للسلطة أن تأمره بإبلاغ أصحاب البيانات (المادة 11(د)). ويجب أن يُلزم الاتفاقُ المزوِّدَ بإبلاغ الزبون عن كل حادث خرق أمني (المادة 15(أ)(2)(ح)). والفحص المسبق (due diligence) قبل توقيع عقد سحابي يشمل: فحص شهادة SOC 2 Type II أو ISO 27001 لدى المزوِّد، وفحص سياسته في الإبلاغ عن الاختراقات (breach notification)، والتحقق من أن اتفاق DPA يستوفي متطلبات إسرائيل.

اتفاق معالجة البيانات (DPA)

كل اتفاق بين مصلحة تجارية ومزوِّد خدمات سحابة يعالج معلومات شخصية يجب أن يتضمّن اتفاق معالجة بيانات (Data Processing Agreement، DPA). ويجب أن يتضمّن اتفاق DPA: الغرض الدقيق من المعالجة، وتعليمات المعالجة (processing instructions)، وضمانات الأمن من جانب المزوِّد، وطريقة التعامل مع طلبات الوصول من أصحاب البيانات، وما يحدث للبيانات عند انتهاء التعاقد. واتفاق DPA ليس مستندًا شكليًا فقط — بل هو الأداة التي تُثبت بها المؤسسة أنها اتخذت تدابير حذر معقولة.

في الواقع، «تقبل» شركات كثيرة شروط السحابة الموحّدة لدى غوغل أو AWS أو مايكروسوفت دون أن تفحص هل يستوفي اتفاق DPA الخاص بها المتطلبات الإسرائيلية. الأسئلة التي يُستحسن طرحها: هل يتيح اتفاق DPA للمزوِّد استخدام البيانات لتطوير منتجات؟ هل هناك تقييد على موقع الخوادم؟ ما الجدول الزمني لإعادة البيانات عند انتهاء العقد؟ والمادة 15 من أنظمة أمن المعلومات تفصّل المواضيع التي يجب أن ترد في الاتفاق مع جهة خارجية تحصل على وصول إلى قاعدة البيانات — وهي نقطة المرجع الملزِمة.

ما وسائل الأمان التي يجب اتخاذها وفق أنظمة أمن المعلومات لسنة 2017؟

تحدّد أنظمة حماية الخصوصية (أمن المعلومات)، 2017 مستويات أمن — أساسي، ومتوسط، ومرتفع، وإلى جانبها قاعدة بيانات يديرها فرد. وقاعدة البيانات التي تتضمّن معلومات حساسة (مثلًا طبية أو مالية أو جنائية) تكون كقاعدة عامة في المستوى المتوسط على الأقل، وفي المستوى المرتفع عندما تتضمّن معلومات عن 100,000 شخص فأكثر أو أكثر من 100 صاحب صلاحية وصول (الملحقان الأول والثاني). وفي كل مستوى، يجب أن يتم نقل المعلومات في شبكة عامة أو عبر الإنترنت بتشفير متعارف عليه (المادة 14(ب))؛ والتشفير أثناء التخزين أيضًا ممارسة موصى بها للمزوِّد الذي يعالج معلومات حساسة. ومعيار ISO/IEC 27001، الشائع بين مزوِّدي السحابة الدوليين، يوفّر إطارًا متعارفًا عليه لإدارة أمن المعلومات ويشكّل مؤشرًا على أن المزوِّد يتعامل مع الأمن بجدية.

واجب تعيين مسؤول أمن المعلومات منصوص عليه في المادة 17ب من القانون — مثلًا لجهة عامة، ولبنك، ولمتحكّم في خمس قواعد بيانات ملزَمة بالتسجيل أو بالإبلاغ — وفي قاعدة البيانات ذات مستوى الأمن المرتفع يُشترط مسح مخاطر واختبارات اختراق مرة كل 18 شهرًا على الأقل (المادة 5(ج)–(د) من الأنظمة). وعندما تنتقل مصلحة تجارية إلى بيئة سحابية، فهي لا تخرج من هذه الواجبات — بل عليها أن تتأكد من أن اتفاق DPA مع مزوِّد السحابة يغطيها صراحةً، بما في ذلك اختبارات الاختراق الدورية (penetration testing) وتقارير SOC.

مثال: أي مستوى أمن يسري على قاعدة بيانات في السحابة؟

عيادة تخزّن في السحابة ملفات طبية لـ120,000 مريض.

1. المعلومات الطبية مدرجة في البند 1(3)(ب) في الملحق الأول لأنظمة أمن المعلومات.
2. قاعدة بيانات كهذه تتضمّن معلومات عن 100,000 شخص فأكثر تخضع لمستوى الأمن المرتفع (الملحق الثاني، البند (1)).
3. المعنى: مسح مخاطر واختبارات اختراق مرة كل 18 شهرًا على الأقل (المادة 5(ج)–(د))؛ وتوثيق آلي للوصول يُحفظ 24 شهرًا على الأقل (المادة 10)؛ وتدقيق مرة كل 24 شهرًا على الأقل (المادة 16(أ))؛ ومناقشة دورية لكل حادث خرق أمني، مرة كل ربع سنة على الأقل (المادة 11(ج)).
4. مزوِّد السحابة، بصفته حائزًا، ملزَم هو أيضًا بالواجبات الواردة في الأنظمة، باستثناء المادتين 2 و15(أ) (المادة 19(أ))، ويجب أن يحدّد الاتفاق معه طريقة تطبيقها (المادة 15(أ)(2)(هـ)).

اختراق البيانات في السحابة: من يجب عليه الإبلاغ، ولمن؟

واجب الإبلاغ منصوص عليه في المادة 11(د) من أنظمة أمن المعلومات: عند وقوع حادث خرق أمني خطير يجب إبلاغ سلطة حماية الخصوصية فورًا وإطلاعها على الخطوات التي اتُّخذت، ويحق للسلطة أن تأمر أيضًا بإبلاغ أصحاب البيانات الذين قد يتضرّرون. و«حادث الخرق الأمني الخطير» معرَّف بحسب مستوى الأمن: في قاعدة بيانات ذات مستوى مرتفع — كل استخدام للمعلومات دون إذن أو مسّ بسلامتها؛ وفي قاعدة بيانات ذات مستوى متوسط — حادث كهذا يتعلق بجزء جوهري من قاعدة البيانات (المادة 1). ويُستحسن أن يُحدَّد مسبقًا في الاتفاق مع مزوِّد السحابة خلال كم من الوقت يُبلغكم بالحادث.

القاعدة العملية: إذا أبلغكم مزوِّد السحابة باختراق — فقد بدأت الساعة تعدّ الدقائق. لا تنتظروا حتى تفحصوا «ما الضرر بالضبط» قبل أن تتواصلوا مع محامٍ. فالواجب في المادة 11(د) هو إبلاغ السلطة «فورًا»، لا عند انتهاء الاستيضاح.

معلومات العاملين في السحابة: ما الذي يجب معرفته

عندما تنقل مصلحة تجارية إلى السحابة معلومات عن العاملين — قسائم الراتب، والمعلومات الطبية، وتقييمات الأداء — فإنها تدخل مجالًا يلتقي فيه قانون حماية الخصوصية وقوانين العمل. ووفق قانون حماية الخصوصية، يحق للعامل أن يعرف ما المحفوظ عنه وأن يطلب الوصول إليه. وواجب الإعلام الوارد في المادة 11 يسري أيضًا تجاه العاملين: عند طلب معلومات شخصية منهم يجب ذكر الغرض الذي تُجمع لأجله ولمن ستُسلَّم.

في الواقع، يضيف معظم المشغِّلين إلى عقد العمل بندًا عن استخدام الأدوات الرقمية. وهذا لا يكفي وحده. وعند الانتقال إلى منصّة سحابية جديدة، يُستحسن تحديث سياسة الخصوصية للعاملين والتأكد من أن اتفاق DPA يغطي أيضًا قيود استخدام معلومات العاملين. والمعلومات عن العاملين التي تُحفظ بعد انقضاء فترة الحاجة إليها — مثل علامات المقابلات بعد التوظيف، أو المعلومات الطبية بعد انتهاء التشغيل — قد تكون «معلومات زائدة» كان يجب كشفها في الفحص السنوي (المادة 2(ج))، حتى دون أي حادث خرق أمني.