تقول Optus إنها بحاجة إلى الاحتفاظ ببيانات الهوية لمدة ست سنوات. لكن هل فعلت ذلك حقًا؟

من بين الأسئلة العديدة التي أثارها تسريب بيانات Optus – خبراء الأمن السيبراني واثقون من أنه لم يكن اختراقًا ، ولكن قد يتعين أن تقرر المحكمة ذلك – هو سبب تخزين الشركة الكثير من المعلومات الشخصية لفترة طويلة.

كان لدى Optus حاجة مشروعة لجمع تلك البيانات – للتحقق من أن العملاء كانوا أشخاصًا حقيقيين وربما لاسترداد أي ديون لاحقًا. يُعرف هذا بمتطلبات “اعرف عميلك” (أو “اعرف عميلك”).

لكن السبب الذي يجعل حوالي 4 ملايين عميل سابق إلى جانب 5.8 مليون عميل حالي يقلقون الآن بشأن رخص القيادة وأرقام جوازات السفر وأرقام الرعاية الطبية التي ينتهي بها المطاف في أيدي المجرمين يرجع إلى بقاء Optus عليها لمدة ست سنوات.

قالت Optus إنها مطلوبة قانونًا للقيام بذلك.

يشترط قانون حماية المستهلك في قطاع الاتصالات ، وهو رمز الممارسة الصناعية الذي تشرف عليه هيئة الاتصالات والإعلام الأسترالية ، تزويد العملاء (أو العملاء السابقين) بمعلومات الفوترة “لمدة تصل إلى ست سنوات قبل تاريخ طلب المعلومات”.

ولكن يجب أن يكون اسمك وعنوانك ورقم حسابك المرجعي هو كل ما تحتاجه لهذا الغرض ، وليس جواز سفرك أو رخصة القيادة أو تفاصيل الرعاية الطبية. إذا احتاج إلى تأكيد هويتك ، يمكنه ببساطة طلب المستندات مرة أخرى.

الشرط القانوني الوحيد الواضح بالنسبة لها للاحتفاظ “بالمعلومات لأغراض تحديد الهوية” يأتي من قانون الاتصالات السلكية واللاسلكية (الاعتراض والوصول) لعام 1979 ، والذي يتطلب الاحتفاظ بمعلومات التعريف والبيانات الوصفية لمدة عامين (لمساعدة وكالات إنفاذ القانون والاستخبارات).

اقرأ المزيد: ماذا يعني خرق بيانات Optus بالنسبة لك وكيف يمكنك حماية نفسك؟ دليل خطوة بخطوة

هل يوجد حد؟

تكمن المشكلة الكبرى في قوانين الاحتفاظ بالبيانات الأسترالية في أنه لا يوجد حد فعليًا للمدة التي يمكن للشركة الاحتفاظ بها بالبيانات الشخصية.

ينص قانون الخصوصية الفيدرالي فقط على أنه يجب تدمير المعلومات “حيث لم يعد الكيان بحاجة إلى المعلومات لأي غرض يمكن من أجله استخدام المعلومات أو الكشف عنها من قبل الكيان”.

هذا مطلب فضفاض. يمكن للشركة نظريًا أن تجادل بأنها “بحاجة” إلى الاحتفاظ بمعلومات العميل لأي شيء – مثل الدفاع ضد دعوى مدنية في المحكمة ، أو كجزء من سجلات الشركة ، أو للتسويق. هذا هو الحال بشكل خاص عندما نوافق على تلك الاستخدامات عندما نقوم بالتسجيل للحصول على الخدمات ، هناك ممارسة أخرى يسمح بها قانون الخصوصية.

هذا ضعف خطير في قوانين الخصوصية لدينا. بيانات المستهلك هي عمل تجاري ضخم. تقوم الشركات بجمع – والاحتفاظ – بمعلومات شخصية أكثر بكثير مما تحتاج إليه بدون غرض تجاري أو قانوني مشروع حقًا.

أسمي هذا الاتجاه “جمع مفرط”. إنه يحول الشركات إلى حقول ذهبية للقراصنة. بمجرد سرقة المعلومات الشخصية ، غالبًا ما يكون هناك القليل من السلطات التي يمكن أن تفعلها.

قراءة المزيد: ما هو الشيء المشترك بين TikTok و Bunnings و eBay و Netflix؟ كلهم جامعون مفرطون

حان الوقت للجدية بشأن خصوصية البيانات

تحتاج أستراليا إلى أن تكون أكثر جدية بشأن جمع البيانات غير الضرورية والاحتفاظ بها. مع تزايد تداخل التكنولوجيا في حياتنا اليومية ، تطرح حماية البيانات الشخصية تحديات هائلة.

كان ينبغي توضيح الحاجة إلى اليقظة للحكومة الفيدرالية في عام 2020 ، عندما تم اختراق موقع myGov الخاص بها.

تم توفير أسماء المستخدمين وكلمات المرور لآلاف الحسابات للبيع على الويب المظلم. يمكن لأي شخص يشتري هذه التفاصيل الوصول إلى ميديكير وسنترلينك والخطة الوطنية للتأمين ضد الإعاقة وسجلات مكتب الضرائب.

قوانين الخصوصية ضعيفة للغاية من حيث الالتزامات والعقوبات. تبلغ الغرامات المفروضة على “التدخل الجاد في الخصوصية” 444000 دولار للأفراد و 2.2 مليون دولار للشركات – وهي بالكاد كافية لشركة بحجم Optus لتجلس وتنتبه. كما أنها لا توفر الراحة للمتضررين.

هناك حاجة إلى إجراء تشريعي لتوضيح المعلومات التي يمكن للشركات جمعها ، وكيف يمكنهم جمعها ، وما الذي يمكنهم فعله بها.

اقرأ المزيد: يدعي مخترق Optus أنهم حذفوا البيانات. إليك ما يريد الخبراء أن تعرفه

فرص للعمل

هناك فرصتان واضحتان أمام الحكومة الفيدرالية للعمل.

الأول هو ردها على التوصيات الناشئة عن المراجعة المستمرة من قبل المدعي العام لقانون الخصوصية (والتي لم تقدم بعد تقريرها النهائي). ومن المفارقات أن Optus قدمت طلبًا للمراجعة التي اقترحت بالفعل إضعاف حماية الخصوصية.

والثاني هو ما يفعله مع خطة العمل الوطنية لأمن البيانات التي يتم تطويرها من قبل وزارة الشؤون الداخلية.

يبدو أن القصد من هذه الخطة هو التعامل مع البيانات كأصل وطني. إذا كان الأمر كذلك ، فيجب أن تعزز السياسات والتشريعات المتعلقة بالأمن ، وتضمن معرفة الأستراليين بحقوقهم ومسؤولياتهم ، وتضمن استجابات متسقة للجرائم الإلكترونية.

نحن بحاجة إلى فحص كل شركة – ليس فقط Optus ، وليس فقط بعد الحقيقة – وطرح أسئلة حول جمع البيانات الخاصة بهم. لماذا يحتاجون إلى معرفة الأشياء؟ ما هي المعلومات التي يحتفظون بها ، وإلى متى ولماذا؟

بدون اتخاذ إجراء ، فإن الخرق التالي من هذا النوع يكون مسألة وقت وليس إذا.

طلبنا من Optus توضيح الأسباب التي تجعلها تحتاج إلى الاحتفاظ ببيانات التعريف لمدة ست سنوات ولكننا لم نتلق أي رد.