كان صباح يوم ثلاثاء عادياً لا يختلف عن سواه. كانت سارة مالك، المسؤولة الإدارية في شركة لوجستيات متوسطة الحجم في برمنغهام، قد أنهت للتو فنجان قهوتها الثاني، حين انحنى مديرها ديفيد من مكتبه المجاور نحوها.

"سارة، هل يمكنك إرسال قائمة جهات اتصال الموظفين إلى بريا في قسم الموارد البشرية؟ تحتاجها لإرسال دعوات فعالية بناء الفريق."

أومأت سارة برأسها، وفتحت بريدها الإلكتروني، وبحثت عن آخر نسخة من القائمة التي تذكر أنها أرسلتها قبل أشهر. وجدتها بسرعة — جدول بيانات بعنوان Staff_Contacts_FULL_v3.xlsx. دون أن تفتحه للتحقق من محتوياته، أعادت توجيهه إلى بريا وعادت إلى مهام صباحها.

بسيط. تم. أو هكذا اعتقدت.

بعد عشرين دقيقة، ظهرت بريا عند مكتب سارة وعلى وجهها نظرة حيرة وقلق.

"سارة... هذا الجدول يحتوي على أكثر بكثير من الأسماء وعناوين البريد الإلكتروني. فيه عناوين منازل الموظفين، وتواريخ ميلادهم، وأرقام التأمين الوطني، وفئات الرواتب، وملاحظات طبية من مراجعات الموارد البشرية. أنا كنت أحتاج فقط الأسماء الأولى وعناوين البريد الإلكتروني الخاصة بالعمل. هل قصدت فعلاً إرسال كل هذا؟"

شعرت سارة بانقباض في معدتها. فتحت الملف. كانت بريا محقة تماماً. على مدار أشهر من التحديثات، تحولت "قائمة جهات الاتصال" إلى شيء أكثر حساسية بكثير — سجل كامل لبيانات الموظفين. لقد أرسلت سارة المعلومات الشخصية لـ 47 موظفاً إلى شخص لم تكن تحتاج شرعياً سوى حقلين من البيانات فحسب.

لم يكن ذلك عن سوء نية. ولم يكن اختراقاً إلكترونياً. كان انتهاكاً هادئاً وعرضياً للائحة حماية البيانات العامة (GDPR) — وقد حدث في أقل من ستين ثانية.

أخبرت سارة مديرها ديفيد على الفور، فبدا عليه الجدية. "نحتاج إلى الإبلاغ عن هذا لمسؤول حماية البيانات،" قال. "بموجب GDPR، لدينا 72 ساعة لتقييم ما إذا كان يجب الإبلاغ عن هذا لهيئة ICO. لا تحذف أي شيء — نحتاج إلى توثيق ما حدث بالضبط."

قامت مسؤولة حماية البيانات في الشركة، جانيت، وهي سيدة هادئة ومنهجية، بإرشاد سارة خلال ما حدث خطأ. لم تكن المشكلة الجوهرية في النية السيئة — بل كانت فشلاً في تطبيق مبدأ تقليل البيانات: أي مشاركة الحد الأدنى الضروري من البيانات الشخصية لغرض محدد وشرعي.

"GDPR ليست مخصصة فقط للقراصنة وانتهاكات البيانات الكبرى،" شرحت جانيت بصبر. "إنها تنطبق في كل مرة تتعامل فيها مع المعلومات الشخصية لشخص ما — سواء أرسلتها بالبريد الإلكتروني، أو خزّنتها، أو طبعتها، أو شاركتها. كل موظف كانت بياناته في ذلك الجدول له حقوق. له حق معرفة كيف تُستخدم معلوماته، وحق توقع أن تُحمى."

تعلمت سارة أن البيانات الشخصية تشمل أكثر بكثير مما يفترضه معظم الناس: الأسماء المقترنة بالعناوين، والمعلومات الصحية، والتفاصيل المالية، وأرقام الهوية — كلها محمية بموجب GDPR. والمسؤولية عن حمايتها لا تقع على عاتق قسم تكنولوجيا المعلومات وحده. كل موظف يتعامل مع البيانات هو مسؤول عنها، بالتزامات قانونية وأخلاقية حقيقية.

أشارت جانيت أيضاً إلى مشكلة ثانية: كان الجدول موجوداً في صندوق البريد الوارد لسارة — غير مؤمَّن، وغير مصنَّف، ويمكن لأي شخص قد يتمكن من الوصول إلى حسابها الاطلاع عليه. يجب تخزين الملفات الحساسة التي تحتوي على بيانات شخصية في أنظمة آمنة محكومة بصلاحيات وصول، لا أن تظل عائمة في سلاسل رسائل البريد الإلكتروني.

لحسن الحظ، لأن بريا أبلغت عن الأمر فوراً ولم تُمرَّر البيانات لأحد آخر، تم احتواء الحادثة. وبعد تقييم داخلي شامل، خلصت الشركة إلى أن الحادثة لا تستوفي عتبة الإبلاغ الإلزامي لهيئة ICO — غير أنها سُجّلت كحادثة اقتراب من خطأ داخلياً، وطُلب من سارة إتمام تدريب تذكيري في حماية البيانات.

في تلك المساء، جلست سارة بهدوء عند مكتبها. فكّرت في الـ 47 زميلاً الذين وصلت عناوين منازلهم وملاحظاتهم الطبية ومعلومات رواتبهم لمكان لا يجب أن تكون فيه، ولو للحظات. لم يكن أيٌّ منهم يعلم بما حدث. لقد وثقوا بالشركة — ومن خلالها بأشخاص من أمثال سارة — لحماية معلوماتهم الخاصة بعناية.

عقدت سارة العزم على ألا تعيد توجيه ملف دون فتحه أولاً، وألا تشارك بيانات أكثر مما طُلب منها، وألا تفترض أبداً أن "مجرد كونه بريداً إلكترونياً داخلياً" يجعله آمناً.

أدركت الآن أن خصوصية البيانات ليست مشكلة تقنية. إنها عادة — عادة نوت بناءها قراراً واعياً في كل مرة.