القانون 25-11 في الجزائر: خمسة أيام للتبليغ عن تسرب البيانات، فهل ستكتشفونه أصلًا؟

Yamoa Solutions · الأمن السيبراني · نوفمبر 2026

تخيّلوا مساء يوم الجمعة. موقع مؤسستكم يعمل كالمعتاد، والعملاء يجرون طلباتهم، ولا أحد يشعر بالقلق. لكن منذ ثلاثة أسابيع، هناك من ينسخ قاعدة بيانات عملائكم بهدوء: الأسماء وأرقام الهواتف والعناوين وسجلات الشراء. لم يلاحظ أحد ذلك. لا تنبيه، ولا رسالة ابتزاز، ولا شيء.

اسألوا أنفسكم الآن السؤال الذي يفرضه عليكم قانون حماية البيانات في الجزائر منذ يوليو 2025: متى ستعرفون بوقوع انتهاك للبيانات، ومن سيُبلغ السلطة المختصة ضمن الأجل المحدد؟

لم يعد هذا احتمالًا نظريًا. فوفق تقديرات نقلتها Kaspersky، تعرضت الجزائر لأكثر من 70 مليون هجوم سيبراني في عام 2024. ومنذ صدور القانون 25-11، لم يعد بوسع المؤسسة التي تعالج بيانات شخصية الاكتفاء بالأمل في أن كل شيء على ما يرام.

ما الذي تغيّر؟ في دقيقتين

يعدّل القانون رقم 25-11 المؤرخ في 24 يوليو 2025 ويتمّم القانون 18-07 المؤرخ في 10 يونيو 2018، الذي ينظّم معالجة البيانات ذات الطابع الشخصي. إليكم أبرز ما ينبغي معرفته:

• تعيين مسؤول عن حماية البيانات (DPO) إلزامي بالنسبة إلى مسؤولي المعالجة والهيئات العمومية المعنية. وقد أصدرت الوكالة الوطنية لحماية المعطيات ذات الطابع الشخصي (ANPDP) بالفعل مداولة أولية تحدد شروط التعيين ومهام المسؤول.
• يجب التبليغ عن انتهاكات البيانات إلى ANPDP خلال خمسة أيام.
• تُطلب تحليلات للأثر في حالات المعالجة ذات المخاطر العالية.
• أُضيفت مفاهيم جديدة إلى القانون، منها البيانات البيومترية والتنميط والاستعارة في إخفاء الهوية وانتهاك البيانات.
• تخضع عمليات نقل البيانات إلى خارج الجزائر لضوابط وضمانات.

ويُضاف إلى ذلك مبدأ أقره القانون 18-07 أصلًا: تخضع كل معالجة للبيانات الشخصية لتصريح مسبق لدى ANPDP أو لترخيصها، حسب الحالة.

انتهاك البيانات: ما المقصود به ومن المعني؟

يتصور كثير من المسؤولين أن انتهاك البيانات يعني اختراقًا صاخبًا. لكن النطاق أوسع عمليًا: فأي حادث يكشف بيانات شخصية أو يتسبب في فقدانها أو تعديلها أو جعلها غير متاحة دون تصريح قد يثير مسألة التبليغ. وقد أُدرج مصطلح «انتهاك البيانات» ضمن تعريفات القانون؛ يُرجى الرجوع إلى النص لمعرفة الصياغة القانونية الدقيقة.

ومن الحالات الشائعة:

• إرسال ملف العملاء عن طريق الخطأ إلى مستلم غير مقصود؛
• فقدان حاسوب محمول أو هاتف عمل أو سرقته من دون تشفير؛
• قيام برمجية فدية بتشفير قاعدة بيانات تحتوي على بيانات العملاء أو الموظفين؛
• كشف قاعدة بيانات على الإنترنت عن طريق الخطأ؛
• احتفاظ موظف سابق بصلاحيات الدخول ونسخه للملفات.

من المعني؟ ينظّم القانون 18-07 معالجة البيانات الشخصية لدى الهيئات العمومية والخاصة على حد سواء. فإذا كانت مؤسستكم تحتفظ ببيانات عن أشخاص طبيعيين (عملاء أو مرضى أو تلاميذ أو موظفين أو مترشحين أو مشتركين)، فمن المرجح جدًا أن تكونوا ضمن نطاقه. أما البيانات المتعلقة بالدفاع والأمن الوطنيين فتخضع لنظام خاص.

التحدي الحقيقي ليس التبليغ، بل اكتشاف الحادث

لا تستطيع المؤسسة الإبلاغ إلا عما تعلم بوقوعه. والمعرفة تتطلب توفير وسائل لرؤية ما يحدث قبل وقوع الحادث.

إذا كنتم تديرون مؤسسة، فاطرحوا على فرقكم هذا الأسبوع ثلاثة أسئلة مباشرة:

1. من يتلقى التنبيه عند حدوث أمر غير معتاد في أنظمتنا، حتى في الثالثة صباحًا يوم السبت؟
2. من يقرر أن الحادث يتعلق ببيانات شخصية، وبناءً على أي معايير؟
3. من يُعدّ التبليغ ويرسله، وما المعلومات التي يتضمنها، وكم يستغرق ذلك؟

إذا كانت الإجابات غير واضحة، فستمر الأيام الخمسة بسرعة. ينبغي تأكيد نقطة بدء الأجل والمعلومات المطلوبة في التبليغ مع مستشاركم القانوني، لكن يجب أن تتوقعهما إجراءاتكم الداخلية مسبقًا.

لمسؤولي تقنية المعلومات: تحويل القانون إلى متطلبات تقنية

وهناك جانب تنظيمي ينبغي عدم إغفاله: تؤكد ANPDP على استقلالية مسؤول حماية البيانات، وعلى عدم تكليفه بمهام تتعارض مع حماية البيانات. إن تعيين مدير تقنية المعلومات مسؤولًا عن حماية البيانات يعني مطالبته بمراقبة الأنظمة التي يديرها بنفسه. وهذه مسألة تستحق دراسة جادة.

ثغرات قد تحوّل حادثًا إلى انتهاك للبيانات

تتكرر أنواع الثغرات نفسها في تدقيقات الويب وواجهات API والشبكات. وقد تكون أي واحدة منها كافية لطرح واجب التبليغ:

• أنظمة إدارة المحتوى والإضافات غير المحدّثة (وخاصة WordPress): قد تمنح إضافة ضعيفة الوصول إلى قاعدة البيانات.
• واجهات API التي تفتقر إلى ضوابط صارمة للتحكم في الوصول: قد يتمكن مستخدم من قراءة بيانات عميل آخر بمجرد تغيير معرّف في الطلب. ومن دون تسجيل الأحداث، قد لا يلاحظ أحد ذلك.
• نسخ احتياطية وملفات تصدير منسية على خادم الويب (مثل ملفات `.sql` و`.zip`): يمكن تنزيلها ممن يعرف عنوانها.
• واجهات الإدارة المكشوفة على الإنترنت، مثل لوحات الإدارة وأدوات إدارة قواعد البيانات.
• حسابات إدارية بلا مصادقة متعددة العوامل وبكلمات مرور يعاد استخدامها في مواقع أخرى.
• أسرار محفوظة في الشيفرة البرمجية أو المستودعات، مثل مفاتيح API وكلمات مرور قواعد البيانات.
• عدم تحصين Active Directory بما يكفي: انطلاقًا من حساب واحد مخترق، قد يتمكن المهاجم من الوصول إلى صلاحيات مسؤول النطاق، وبالتالي إلى جميع البيانات.

والقاسم المشترك هو أن المؤسسة لا تكتشف الأمر في كثير من هذه الحالات إلا عندما يخبرها طرف آخر.

الكشف عمليًا: ما الذي نسجّله وما الذي نراقبه؟

يعتمد الكشف بالنسبة إلى مسؤول تقنية المعلومات على أمرين: جمع السجلات المناسبة ومعرفة الحالات غير الطبيعية التي تستوجب تنبيهًا.

ثلاث قواعد عملية:

1. اجمعوا السجلات بعيدًا عن الأجهزة الخاضعة للمراقبة. قد يبدأ المهاجم الذي يسيطر على خادم بمحو سجلاته المحلية. وتتيح أدوات مفتوحة المصدر مثل Wazuh وGraylog ومجموعة ELK تجميع السجلات دون تكاليف تراخيص مرتفعة.
2. زامنوا ساعات الأنظمة باستخدام NTP. وإلا فستصبح إعادة بناء التسلسل الزمني للحادث أمرًا معقدًا.
3. ابدؤوا على نطاق صغير. خمس أو ستة تنبيهات تتم متابعتها فعلًا أفضل من مئتين يتجاهلها الجميع. ويجب أن يكون لكل تنبيه مسؤول وإجراء مرتبط به.

مثال على تسلسل الاستجابة خلال خمسة أيام

فيما يلي نموذج إجراء يمكن تكييفه مع مؤسستكم. أكّدوا مع مستشاركم القانوني وANPDP نقطة بدء الأجل بدقة والمعلومات المطلوبة في التبليغ.

1. الساعة صفر: الاكتشاف والتقييم. يصل تنبيه. هل تأكد وقوع الحادث؟ هل توجد بيانات شخصية معنية؟ افتحوا سجلًا للحادث فورًا: من فعل ماذا ومتى؟
2. الساعات الأولى: الاحتواء. اعزلوا الأجهزة والحسابات المتأثرة، وألغوا صلاحيات الدخول والأسرار التي يُشتبه في اختراقها. لا تطفئوا ولا تمحوا ما قد يشكل دليلًا: احتفظوا بالسجلات، وبنسخة من الأنظمة المعنية إن أمكن.
3. اليوم الأول: الإبلاغ داخليًا. أبلغوا الإدارة ومسؤول حماية البيانات والمستشار القانوني، وعيّنوا مسؤولًا واحدًا لإدارة الأزمة.
4. اليومان الأول والثاني: قياس الأثر. ما البيانات المعنية؟ وكم عدد الأشخاص؟ وما مدى حساسيتها (الهوية أو الصحة أو البيانات البيومترية أو المالية)؟ هل ثبت انكشافها أم أنه محتمل فقط؟ توفر خريطة البيانات المعدّة مسبقًا وقتًا ثمينًا هنا.
5. من اليوم الثاني إلى الرابع: إعداد التبليغ. يتضمن عادةً طبيعة الانتهاك وفئات البيانات والأشخاص المتأثرين والنتائج المحتملة والتدابير المتخذة وبيانات الاتصال بمسؤول حماية البيانات. قيّموا أيضًا ما إذا كان ينبغي إبلاغ الأشخاص المعنيين.
6. قبل انتهاء الأجل: أبلغوا ANPDP واحتفظوا بما يثبت إرسال التبليغ.
7. بعد ذلك: المعالجة والتوثيق. حدّدوا السبب الجذري، ونفّذوا الإصلاحات، وسجّلوا الدروس المستفادة وحدّثوا الإجراء.

وماذا عن القطاع العام؟

يحدد المرسوم الرئاسي رقم 26-07 المؤرخ في 7 يناير 2026، والمنشور في الجريدة الرسمية يوم 21 يناير، تنظيم وسير هياكل الأمن السيبراني لدى المؤسسات والإدارات والهيئات العمومية. وينبغي أن يكون لكل مؤسسة هيكل مخصص تابع مباشرة لمسؤولها الأول، يتولى تنسيق أعمال الأمن السيبراني وحماية البيانات.

ومن المعقول أن تتوقع المؤسسات التي تعمل مع القطاع العام أن تطلب هذه الهياكل من مزودي الخدمات إثباتًا ملموسًا لممارساتهم الأمنية.

أسئلة يطرحها المسؤولون كثيرًا

«نحن مؤسسة صغيرة. هل ينطبق علينا القانون؟» وجود البيانات الشخصية، لا حجم المؤسسة، هو ما يجعل المعالجة خاضعة للقانون. فالمتجر الإلكتروني أو المكتب المهني أو العيادة أو المدرسة التي تحتفظ ببيانات العملاء أو المرضى أو التلاميذ أو الموظفين معنية بذلك.

«موقعنا مستضاف في الخارج، أو نستخدم خدمات سحابية أجنبية. هل هذه مشكلة؟» ليس بالضرورة، لكن القانون ينظّم نقل البيانات إلى خارج الجزائر. ابدؤوا بتحديد البيانات التي تُنقل والوجهة: البريد الإلكتروني وإدارة العملاء والتسويق عبر البريد والتحليلات والاستضافة. ثم تحققوا من الشروط المطبقة لدى ANPDP أو مستشار قانوني.

«يتولى مزود خدمة إدارة موقعنا. من المسؤول عند تسرب البيانات؟» من حيث المبدأ، يظل مسؤول المعالجة ملزمًا بحماية البيانات الشخصية حتى عندما يعهد بالجانب التقني إلى طرف آخر. نظّموا العلاقة بعقد يحدد التدابير الأمنية وآجال الإبلاغ عن الحوادث وحق التدقيق.

«هل يكفي برنامج مضاد للفيروسات وجدار ناري؟» لا. فهما يصدّان بعض الهجمات، لكنهما لا يخبرانكم بما حدث عندما ينجح أحدها في المرور. ويجعل القانون الكشف والاستجابة مهمين بقدر الوقاية.

«من أين نبدأ بميزانية محدودة؟» ثلاث خطوات تغطي نسبة كبيرة من السيناريوهات المعتادة: تفعيل المصادقة متعددة العوامل للبريد الإلكتروني والحسابات الإدارية، واختبار النسخ الاحتياطية غير المتصلة بالإنترنت، وتجميع سجلات الموقع وأنظمة الدخول مركزيًا.

قائمة تحقق: ما الذي ينبغي فعله خلال الثلاثين يومًا المقبلة؟

1. عيّنوا مسؤولًا عن حماية البيانات وحددوا مهامه رسميًا وأبلغوا ANPDP ببيانات الاتصال الخاصة به.
2. ارسموا خريطة للبيانات: ما البيانات الشخصية التي تحتفظون بها؟ وأين تُخزّن؟ ومن يستطيع الوصول إليها؟ وما أدوات السحابة وSaaS المستخدمة؟
3. فعّلوا السجلات واجمعوها مركزيًا من الأنظمة المكشوفة (الموقع وواجهة API وقاعدة البيانات وVPN وخدمات الدليل)، وحددوا عددًا من التنبيهات البسيطة والمفيدة.
4. اكتبوا إجراءً للاستجابة للحوادث: من يفعل ماذا وبأي ترتيب، مع تجهيز نموذج للتبليغ. ثم أجروا تمرينًا مكتبيًا لمدة ساعة.
5. أمّنوا الأساسيات: المصادقة متعددة العوامل للبريد الإلكتروني والحسابات الإدارية، وتثبيت التحديثات الأمنية، واختبار النسخ الاحتياطية غير المتصلة.
6. اطلبوا تدقيق الأنظمة المكشوفة: يوضح اختبار اختراق الويب وواجهات API ما يستطيع المهاجم رؤيته فعليًا قبل أن يكتشفه بنفسه.

في الختام

لا يطلب القانون 25-11 الكمال. بل يطلب السيطرة على الوضع: أن تعرفوا ما البيانات التي تملكونها وأين توجد ومن يستطيع الوصول إليها، وأن تتمكنوا من اكتشاف الخلل عند وقوعه.

في Yamoa Solutions، نجري تدقيقات تقنية (اختبارات اختراق الويب وتطبيقات الهاتف وواجهات API والشبكات، ومراجعة Active Directory والتحليل الجنائي الرقمي) وتقييمات تنظيمية (تحليل المخاطر وخطط استمرارية الأعمال والتعافي من الكوارث وISO 27001). تواصلوا معنا لتقييم تعرضكم التقني وقدرتكم على كشف الحوادث.

هذه المقالة لأغراض التوعية فقط ولا تشكل استشارة قانونية. يُرجى الرجوع إلى النصوص الرسمية المنشورة في الجريدة الرسمية واستشارة مختص قانوني عند الحاجة.