من 1 نوفمبر، تعامل كوريا تسجيل دخول البائعين معاملة تسجيل دخول الموظفين

افتح اليوم معايير أمن المعلومات الشخصية الكورية على بوابة القوانين الوطنية، ولن تجد عبارة "مرة كل شهر" في الفقرة 2 من المادة 8. لكن هذا لا يعني أن المراجعة الشهرية لسجلات الوصول يمكن أن تتوقف الآن. فالنص المعدَّل أُدرج في متن الإعلان أولاً، أما تاريخ بدء تطبيقه فحُدّد على حدة في الأحكام الانتقالية.

يعني هذا كل جهة تعالج البيانات الشخصية لمستخدمين في كوريا: سوقاً إلكترونية تستقبل بائعين كوريين، أو خدمة حجز يدخل شركاؤها في كوريا إلى لوحة التحكم، أو منتج SaaS يسجّل عملاؤه من الشركات الكورية الدخول إلى وحدة الإدارة. عدّلت لجنة حماية المعلومات الشخصية في كوريا (PIPC) هذا الإعلان في 31 أكتوبر 2025. بعض التعديلات، مثل تخفيف شرط العزل عن الإنترنت، سرى في اليوم نفسه. أما سبعة أحكام تحتاج إلى استعداد فقد أُرجئت عاماً، ويذكر دليل اللجنة أن موعد سريانها هو 1 نوفمبر 2026.

إن كان بائعون أو تجار أو شركاء يسجّلون الدخول إلى شاشات الإدارة لديك، فمن 1 نوفمبر يجب أن تُعامَل حساباتهم معاملة حسابات الموظفين: صلاحيات بقدر الحاجة فقط، وقفل الحساب بعد عدد من محاولات الدخول الفاشلة، ومصادقة إضافية عند الدخول من الخارج، وسجلات وصول محفوظة. وإن كان موظفوك وحدهم من يسجّلون الدخول، فالعمل في الغالب هو مراجعة خطة الإدارة الداخلية. وفي الحالتين يبقى النص القديم سارياً حتى ذلك اليوم، فتُجرى المراجعة الشهرية لشهر أكتوبر كما كانت.

أربعة مصطلحات يدور حولها التعديل

• المتحكم في المعلومات الشخصية (قانون حماية المعلومات الشخصية الكوري، المادة 2 البند 5): الشركة أو الشخص الذي يدير ملفات بيانات شخصية لأغراض العمل.
• القائم على معالجة المعلومات الشخصية (المادة 28 الفقرة 1): الموظفون والعاملون المنتدَبون والعاملون بدوام جزئي وغيرهم ممن يعالجون البيانات تحت توجيه المتحكم وإشرافه.
• صاحب البيانات (المادة 2 البند 3): الشخص الذي تدل عليه البيانات، مثل العضو المسجَّل.
• منفّذ المهام الخارجي: تسمية نستخدمها في هذا المقال وليست مصطلحاً قانونياً. نقصد بها من ليس قائماً على المعالجة لدى المتحكم، لكنه يسجّل الدخول إلى نظامه لأداء عمل، وأوضح مثال عليه البائع في السوق الإلكترونية.

معظم هذا التعديل يغيّر الفئة التي يشملها كل حكم. وللإعلان قوة قانونية لأن المادة 29 من القانون تفرض تدابير الأمان، والفقرة 3 من المادة 30 من اللائحة التنفيذية تفوّض اللجنة بإصدار المعايير التفصيلية. لذلك فمخالفة الإعلان مخالفة للمادة 29.

لماذا يكتب الدليل 1 نوفمبر

تنص المادة 1 من الأحكام الانتقالية في الإعلان رقم 2025-9 على أن الأحكام السبعة تسري "بعد سنة من تاريخ الإصدار". إذا نُقل التاريخ سنة كاملة حرفياً فالنتيجة 31 أكتوبر، وهناك مدوّنة كورية كتبت 30 أكتوبر. أما دليل اللجنة المنشور في 28 نوفمبر 2025، وهو ملف من 196 صفحة، فكتب بجوار كل واحد من الأحكام السبعة "يسري من 1 نوفمبر 2026". ويتفق ذلك مع طريقة حساب المدد دون احتساب اليوم الأول: فتعديل القانون الصادر في 10 مارس 2026 بعبارة "يسري بعد انقضاء ستة أشهر من الإصدار" مسجَّل على بوابة القوانين بتاريخ سريان 11 سبتمبر لا 10 سبتمبر. نتبع في هذا المقال تاريخ الجهة المُصدِرة. الفرق بين القراءات يوم أو يومان. أنهِ الاستعداد للنص الجديد بحلول 30 أكتوبر، وواصل المراجعة الشهرية حتى دورة أكتوبر، فلا تبقى ثغرة أياً كانت القراءة.

الأحكام السبعة قبل التعديل وبعده

الحكم	حتى 31 أكتوبر	من 1 نوفمبر	عملياً
المادة 4 الفقرة 1 البندان 12 و13 (خطة الإدارة الداخلية)	16 بنداً، ولا شيء عن الطباعة والنسخ والإتلاف	18 بنداً: أُضيفت تدابير الأمان عند الطباعة والنسخ (البند 12) وإتلاف البيانات الشخصية (البند 13)، وأصبحت البنود القديمة من 12 إلى 16 هي البنود من 14 إلى 18	الواجبات الموجودة أصلاً في المادتين 12 و13 تدخل الآن في الخطة أيضاً
المادة 5 الفقرة 1 (صلاحيات الوصول)	تُمنح أدنى الصلاحيات "للقائمين على المعالجة فقط"	حُذفت عبارة "للقائمين على المعالجة فقط"، وبقي شرط الحد الأدنى	الحسابات الممنوحة لغير الموظفين تحصل أيضاً على القوائم والإجراءات التي يحتاجها عملها فقط
المادة 5 الفقرة 6 (فشل الدخول)	لا يدخل إلا القائمون على المعالجة أو أصحاب البيانات المخوَّلون، ويُقيَّد الوصول بعد تكرار الفشل	لا يدخل إلا "من له صلاحية مشروعة"	كل حساب يسجّل الدخول، ومنه حسابات البائعين، يحتاج إلى قفل
المادة 6 الفقرة 2 (الدخول من الخارج)	على القائم على المعالجة الداخل من الخارج استخدام شهادة أو رمز أمان أو كلمة مرور لمرة واحدة أو ما يماثلها	تشمل كل من له صلاحية وصول مشروعة، باستثناء أصحاب البيانات	البائع أو الشريك الذي يفتح شاشة الإدارة من الخارج يحتاج إلى أكثر من كلمة مرور، أما دخول العضو إلى حسابه فمستثنى
المادة 8 الفقرة 1 (حفظ السجلات)	تُحفظ سجلات وصول القائمين على المعالجة سنة على الأقل	تُحفظ سجلات كل من دخل النظام، باستثناء أصحاب البيانات، سنة على الأقل	سجلات حسابات البائعين تُحفظ أيضاً، وشروط الحفظ لسنتين لم تتغير
المادة 8 الفقرة 2 (مراجعة السجلات)	مراجعة مرة كل شهر على الأقل، والتحقق من سبب كل تنزيل	تُحدَّد دورة مراجعة سجلات القائمين على المعالجة وتنزيلاتهم وطريقتها وإجراءات المتابعة في الخطة الداخلية ثم تُنفَّذ	تختفي عبارتا "مرة كل شهر" و"التحقق من سبب التنزيل"، وتتبع المراجعة خطتك وتظل مقصورة على الموظفين

وتُحفظ السجلات سنتين على الأقل، قبل التعديل وبعده، إذا كان النظام يضم بيانات 50,000 صاحب بيانات أو أكثر، أو يعالج معلومات تعريف فريدة (مثل رقم التسجيل المدني أو رقم جواز السفر) أو بيانات حساسة، أو يعود إلى مشغّل اتصالات أساسي مسجَّل أو مُبلِّغ.

وتشمل فقرتا المادة 8 فئتين مختلفتين عن قصد. يوضح البيان الصحفي للجنة أن سجلات بائعي الأسواق الإلكترونية تُحفظ، بينما تقتصر المراجعة والمتابعة على القائمين على المعالجة مراعاةً للظروف الواقعية. فالبائع الذي ليس من القائمين على المعالجة لديك يجب تسجيل نشاطه، لكن لا تلزم مراجعته دورياً. غير أن من يُسمّى "شريكاً" وهو يعمل فعلياً تحت توجيهك قد يُعدّ قائماً على المعالجة، وعندها تشمله المراجعة.

الثغرة التي يسدّها التعديل

كانت معظم الواجبات القديمة تسمّي "القائمين على معالجة المعلومات الشخصية"، أي من هم تحت إشراف المتحكم. والبائع في السوق الإلكترونية ليس موظفاً لدى المنصة، لكنه يسجّل الدخول ليطّلع على اسم المشتري وعنوانه ورقم هاتفه، فكان خارج تلك الواجبات. ويقرّ البيان الصحفي بذلك، ويذكر أن المنصات الكبيرة كانت توفر بعض هذه الوظائف للبائعين عبر مدونات سلوك طوعية. والسبب الرسمي للتعديل هو منع غير المخوَّلين، وإتاحة تتبّع من فعل ماذا من السجلات المحفوظة إذا أُسيء استخدام البيانات أو تسرّبت. وأُلغيت المراجعة الشهرية لأنها انتُقدت بأنها شكلية. واجب المراجعة باقٍ، والذي انتقل إليك هو مسؤولية تحديد ما يُراجَع وكيف.

ما الذي يجب بناؤه

قسّم الحسابات إلى ثلاثة أنواع. من دون هذا الحقل في نموذج المستخدم لا يمكنك أن تقرر أي قاعدة تنطبق على أي حساب.

نوع الحساب	أدنى صلاحية	القفل	مصادقة إضافية من الخارج	حفظ السجلات	مراجعة السجلات
الموظفون (القائمون على المعالجة)	نعم	نعم	نعم	نعم	نعم
منفّذو المهام الخارجيون (بائعون ليسوا من القائمين على المعالجة)	من 1 نوفمبر	من 1 نوفمبر	من 1 نوفمبر	من 1 نوفمبر	غير لازمة (حفظ فقط)
الأعضاء (أصحاب البيانات)	لا ينطبق	نعم، منذ ما قبل التعديل	مستثنى	مستثنى	مستثنى

الصلاحيات حسب القائمة والإجراء. يطلب الدليل تفصيل الصلاحيات حتى مستوى العرض والإدخال والحذف والتعديل والتنزيل والطباعة، وإعطاء من يكفيه العرض صلاحية العرض وحدها. والإعداد الافتراضي المعقول للبائع هو "عرض الحقول اللازمة لشحن طلباته فقط"، على أن يكون التنزيل والبحث الجماعي صلاحيات تُمنح منفصلة. وتُحفظ سجلات منح الصلاحيات وتغييرها وسحبها ثلاث سنوات (المادة 5 الفقرة 3).

القفل بعد فشل الدخول. تحدد العتبة بنفسك وفق طبيعة النظام ونتيجة تحليل المخاطر. وقبل فك القفل تحقّق أولاً من أن صاحب الحساب هو المستخدم المشروع. ويضيف قسم الأسئلة الشائعة في الدليل أن تأخير المحاولة أو CAPTCHA وحدهما لا يكفيان، وأن الحساب يجب أن يُقفَل بعد عدد محدد من المحاولات الفاشلة.

المصادقة الإضافية للدخول من الخارج. يصفها الدليل بأنها طريقة يصعب على الآخرين سرقتها أو تزويرها، مثل كلمة مرور لمرة واحدة فوق كلمة المرور العادية. وأخفّ ما يمكن بناؤه عادةً هو TOTP من تطبيق مصادقة يولّد رمزاً جديداً كل 30 ثانية. أبلغ البائعين بطريقة التسجيل قبل تفعيل الميزة، وإلا تراكمت الاستفسارات في الصباح الأول.

سجلات الوصول. الحقول الخمسة الإلزامية هي: المعرّف، والتاريخ والوقت، ومعلومات موقع الدخول، وصاحب البيانات الذي عولجت بياناته، والمهمة المنفَّذة. ويذكر قسم الأسئلة الشائعة أن تسجيل الدخول والخروج ومحاولات الدخول الفاشلة تُسجَّل أيضاً. لا يوجد شكل مفروض، ويمكن كتابة سطر لبائع هكذا:

{"actor_id":"S-10293","actor_type":"seller","ts":"2026-11-02T10:15:03+09:00",
 "src_ip":"203.0.113.24","subject":"order:20261102-000123","action":"view_shipping_contact"}

سجّل نوع الحساب (actor_type) دائماً، لأن سجلات البائعين يكفي حفظها أما سجلات الموظفين فتجب مراجعتها أيضاً. واحمِ السجلات من العبث بنسخ احتياطية في تخزين منفصل، أو وسائط تُكتب مرة واحدة (WORM)، أو رموز مصادقة الرسائل والتواقيع الإلكترونية محفوظة في مكان آخر، وقيّد من يستطيع تعديل السجلات أو حذفها.

اكتب قواعد المراجعة في الخطة الداخلية. يطلب جدول الدليل تحديد أربعة أمور: الدورة (من الوقت الفعلي حتى كل ربع سنة، مع مراعاة العطلات الطويلة)، والطريقة (آلية أو بنص برمجي أو يدوية)، والمعايير (دخول بلا صلاحية، تنزيل كميات كبيرة في وقت قصير، استعلامات مفرطة، نشاط خارج ساعات العمل)، والمتابعة (تقرير، إخطار، طلب توضيح، استرداد أو إتلاف). ويريد الدليل أن يتولى المراجعةَ فريقٌ غير الفريق الذي يعالج البيانات. وفي فريق صغير جداً، افصل على الأقل بين من يراجع والحساب الذي يُراجَع.

العقوبات عند المخالفة

بموجب القانون النافذ منذ 11 سبتمبر 2026، قد يؤدي عدم اتخاذ تدابير الأمان الإلزامية إلى غرامة إدارية تصل إلى 30 مليون وون حتى دون أي تسريب (المادة 75 الفقرة 2 البند 5). وإذا فُقدت البيانات أو سُرقت أو تسرّبت أو زُوّرت أو عُدّلت أو أُتلفت، فقد تبلغ الغرامة 3% من إجمالي الإيرادات، أو 2 مليار وون إذا تعذّر حساب الإيرادات (المادة 64-2 الفقرة 1 البند 9). وترتفع إلى 10% أو 5 مليارات وون عند تكرار المخالفة خلال ثلاث سنوات عمداً أو بإهمال جسيم، أو المخالفة عمداً أو بإهمال جسيم مع تضرر 10 ملايين شخص أو أكثر، أو التسريب الناتج عن تجاهل أمر تصحيحي (المادة 64-2 الفقرة 2).

الجزء الذي يستحق قراءة ثانية هو الاستثناء في المادة 64-2 الفقرة 1 البند 9: لا تُفرض الغرامة إذا كان المتحكم قد اتخذ جميع تدابير الأمان. ومن 1 نوفمبر تصبح المصادقة الإضافية وسجلات الوصول على حسابات البائعين جزءاً من هذا الإثبات. أما حساب بائع مخترَق يخلو من الاثنين فيجعل التمسك بالاستثناء صعباً. ولا تُفرض الغرامة والغرامة الإدارية معاً على الفعل نفسه (المادة 76). يقتصر هذا المقال على الحدود القصوى المنصوص عليها قانوناً.

قبل 30 أكتوبر

1. أجرِ مراجعة أكتوبر الشهرية وفق القاعدة القديمة ودوّن نتيجتها، ومنها أسباب التنزيل.
2. اجمع كل الحسابات التي تصل إلى شاشات الإدارة وصنّفها إلى موظفين ومنفّذي مهام خارجيين وأعضاء. إن لم يوجد أي منفّذ مهام خارجي فعملك أقل بكثير.
3. ضع جدول صلاحيات لمنفّذي المهام الخارجيين، مع تعطيل التنزيل افتراضياً.
4. أضف القفل والمصادقة الإضافية إلى تسجيل دخولهم، وأعلن التغيير قبل تفعيله.
5. تأكد من أن سجلاتهم تحمل الحقول الخمسة، واضبط مدة حفظ السجلات على سنة أو سنتين حسب شروطك.
6. أعدّ مراجعة خطة الإدارة الداخلية واحصل على الموافقة عليها: البندان 12 و13، وإعادة الترقيم، وقواعد المراجعة وفق المادة 8 الفقرة 2، ومعايير صلاحيات منفّذي المهام الخارجيين.
7. حدّد الآن موعد أول مراجعة في نوفمبر. لا تُعدّ الخطة "منفَّذة" إلا بعد إجراء المراجعة فعلاً.
8. على مشغّلي الأنظمة العامة أيضاً إجراء فحص للثغرات واختبار اختراق خارجي لكل نظام عام مرة في السنة على الأقل اعتباراً من 1 يناير 2027 (المادة 18).

ما لم يُحسم بعد

• تاريخ السريان يتبع الدليل. تنص الأحكام الانتقالية على "بعد سنة من تاريخ الإصدار"، وهناك تحليل يذكر 30 أكتوبر، ولم نجد حكماً قضائياً أو تفسيراً من وزارة التشريع الحكومي الكورية. ويكتفي البيان الصحفي بعبارة "إرجاء لمدة عام" دون تاريخ.
• لم يُحدَّد من يُعدّ "صاحب صلاحية وصول مشروعة" إلا بمثال "بائعو الأسواق الإلكترونية وغيرهم". أما أصحاب الامتياز ومراكز الاتصال الخارجية وموظفو الشركاء فيتوقف الأمر على العقد وعلى من يوجّه من.
• لم يُنصّ صراحة على ما إذا كان حفظ سجل تغييرات الصلاحيات ثلاث سنوات (المادة 5 الفقرة 3) يشمل حسابات منفّذي المهام الخارجيين. ننصح بحفظه.
• لا يشرح الدليل كيف تطبّق المنشأة الصغيرة المعفاة من الخطة الداخلية الفقرة 2 من المادة 8. ونرى أن قاعدة مراجعة مكتوبة ولو كانت قصيرة هي الخيار الأسلم.
• حتى 1 نوفمبر يطلب الدليل نفسه الرجوع أولاً إلى طبعة أكتوبر 2024 فيما يخص الأحكام المُرجأة.
• هذا المقال ليس استشارة قانونية. في حالتك الخاصة، اسأل مركز دعم التفسير القانوني التابع للجنة (+82-2-2100-3043، باللغة الكورية) أو مستشاراً قانونياً.

تتبّع تسجيل دخول بائع واحد من أوله إلى آخره

أحضر قائمة الحسابات التي تصل إلى وحدة الإدارة وبنية الجدول الذي تُكتب فيه سجلات الوصول، ويكفي هذان الأمران لبدء الجلسة الأولى. في تطوير الواجهة الخلفية لدى Weple نتتبّع في تلك الجلسة تسجيل دخول واحداً لبائع: بأي دور دخل، وماذا فتح، وكم حقلاً من الحقول الخمسة الإلزامية سُجّل فعلاً. مسار دخول بلا قفل أو سطر سجل بلا نوع حساب يظهر عادة هنا مباشرة، ثم نرتّب ما يجب إغلاقه قبل 1 نوفمبر. طريقة تقسيم العمل واحتسابه موضّحة في صفحة الأسعار. أما كيف يُحدَّد سقف غرامة التسريب فتناولناه في إن كنت تقدّم خدمة في كوريا، هذا ما تغيّر منذ 11 سبتمبر 2026. وإن لم يكن لديك بائع يسجّل الدخول أصلاً، نبدأ بمسودة قواعد المراجعة لخطتك الداخلية.

المصادر

فُتحت جميع المصادر الأولية وتُحقّق منها مباشرة في 26 سبتمبر 2026. وأُخذت نصوص الإعلانات والقانون من واجهة API العامة لبوابة القوانين الوطنية الكورية وقوبلت مادةً مادة.

• مركز المعلومات القانونية الوطني الكوري، معايير أمن المعلومات الشخصية، إعلان اللجنة رقم 2023-6 (ساري منذ 2023-09-22، بالكورية). النص القديم للأحكام المُرجأة.
• مركز المعلومات القانونية الوطني الكوري، إعلان اللجنة رقم 2025-9 (صدر 2025-10-31، بالكورية). المادة 1 من الأحكام الانتقالية، وأسباب التعديل، والنص الجديد.
• مركز المعلومات القانونية الوطني الكوري، إعلان اللجنة رقم 2026-9 (صدر 2026-07-01، النافذ حالياً، بالكورية). المواد 12 و13 و15 و18، والأحكام الانتقالية لتاريخ 2027-01-01.
• لجنة حماية المعلومات الشخصية، دليل معايير أمن المعلومات الشخصية (نوفمبر 2025)، ملف PDF من 196 صفحة نُشر في 2025-11-28 (بالكورية). عبارة السريان من 1 نوفمبر 2026، وشرح ما يخص البائعين، وجدول المراجعة، والأسئلة الشائعة.
• بيان صحفي للجنة، إصلاح العزل الشامل عن الإنترنت يدخل حيز التنفيذ الكامل، نُشر في 2025-10-31 (بالكورية). ثغرة البائعين، ومدونات السلوك الطوعية، وسبب قصر الفقرة 2 من المادة 8 على القائمين على المعالجة.
• مركز المعلومات القانونية الوطني الكوري، قانون حماية المعلومات الشخصية رقم 21445 (ساري منذ 2026-09-11) ولائحته التنفيذية (بالكورية). المواد 2 و28 و29 و64-2 و75 و76، والمادة 30 الفقرة 3 من اللائحة.
• نشرة Kim & Chang، سريان المعايير المعدَّلة (2025-11-05، بالكورية). مقابلة مضمون التعديل. مصدر ثانوي.
• IntoTheSec، تدوينة عن سريان المعايير المعدَّلة (2025-11-13، بالكورية). مثال على تحليل يذكر 30 أكتوبر 2026. مصدر ثانوي.

إذا أعلنت اللجنة تاريخاً أو شرحاً جديداً، فسنعدّل هذا المقال ونذكر تاريخ التعديل.