سياسة خصوصية منشورة على الموقع. هذا ما تقدّمه معظم المنشآت حين تُسأل عن التزامها بنظام حماية البيانات الشخصية. في يوليو 2026 بدأت سدايا تسأل سؤالًا مختلفًا: أرِنا الأدلة.
فقد بدأت الهيئة السعودية للبيانات والذكاء الاصطناعي تعميم «نموذج التحقق من الامتثال» على جهات التحكم المسجلة لديها، وهو نموذج يحدد المعلومات والأدلة التي على المنشأة تقديمها لإثبات التزامها بالنظام، ويغطي جمع البيانات ومعالجتها وتخزينها، والسياسات والأنظمة والضوابط الموضوعة لحمايتها. ويطلب النموذج إثبات وجود إطار حوكمة، ومسوّغ نظامي واضح للمعالجة، وإدارة فعّالة للأطراف الثالثة، وسياسات محددة للاحتفاظ والإتلاف، وآليات تمكّن أصحاب البيانات من ممارسة حقوقهم، إضافة إلى نقل البيانات خارج المملكة والاستجابة للحوادث وتعيين مسؤول حماية البيانات.
الفرق بين المنشأة المستعدة وغير المستعدة هنا ليس في النوايا، بل في الأوراق.
من الإصدار إلى التحقق
صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم (م/19)، ثم عُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 1444/9/5هـ، وشمل التعديل تعريفات جوهرية مثل الإتلاف والإفصاح والبيانات الحساسة وصاحب البيانات الشخصية.
ثم نشرت سدايا اللائحة التنفيذية ولائحة نقل البيانات الشخصية خارج المملكة في 7 سبتمبر 2023، قبل أسبوع من نفاذ النظام في 14 سبتمبر 2023. وأُعطيت الجهات مهلة سنة انتهت في 14 سبتمبر 2024، وبانتهائها أصبح الالتزام واجبًا على كل جهة عامة أو خاصة تعالج بيانات شخصية في المملكة.
هذه ثلاث مراحل: إصدار، ثم تهيئة، ثم تحقق. نحن اليوم في الثالثة.
على من يسري النظام؟
النظام لا يخص شركات التقنية وحدها. أي جهة تحتفظ ببيانات موظفين أو عملاء أو مراجعين تدخل في نطاقه: العيادة، والمدرسة، ومكتب المحاماة، ومتجر التجزئة الإلكتروني، والجهة الحكومية.
ويشمل نطاقه تنظيم كيفية جمع المنشآت — المحلية والدولية — للبيانات الشخصية للأفراد المقيمين داخل المملكة ومعالجتها وتخزينها ونقلها. أي أن الشركة التي تخدم عملاء سعوديين من الخارج ليست خارج الدائرة. ويخرج من النطاق الاستخدام الفردي أو العائلي البحت الذي لا يتجاوز صاحبه.
حقوق الأفراد: خمسة حقوق وزر واحد
يمنح النظام صاحب البيانات الشخصية حزمة حقوق يمكن تلخيصها في:
حق العلم: أن يعرف المسوّغ النظامي لجمع بياناته والغرض منه قبل الجمع لا بعده.
حق الوصول: أن يطّلع على بياناته لدى الجهة.
حق الحصول على نسخة: بصيغة واضحة ومقروءة.
حق التصحيح: تعديل ما هو غير دقيق أو ناقص أو غير محدّث.
حق الإتلاف: طلب إتلاف البيانات التي لم تعد لازمة للغرض الذي جُمعت من أجله.
ويضاف إليها ما يقلب موازين التصميم التقني في كثير من المنصات: حق سحب الموافقة. فموافقة صاحب البيانات ليست توقيعًا نهائيًا، بل إذنًا قابلًا للسحب في أي وقت. ومن لا يملك في نظامه زرًّا للسحب، لا يملك موافقة صحيحة أصلًا.
أما الزر الثقيل على الجهات فهو المدة. إذ تلزم اللوائح جهة التحكم بالرد على طلبات أصحاب البيانات خلال 30 يومًا، قابلة للتمديد 30 يومًا أخرى إذا تطلّب الطلب جهدًا إضافيًا غير معتاد أو تعددت الطلبات من الشخص نفسه. وهذه مدة أقصر مما تمنحه لائحة الاتحاد الأوروبي، وهو ما يغفل عنه من نسخ سياساته عن قوالب أوروبية.
التزامات الجهات: ما الذي يُطلب إثباته فعليًا
١. مسوّغ نظامي لكل معالجة. الموافقة ليست المسوّغ الوحيد، لكنها لا تُفترض. والقاعدة أن البيانات تُجمع من صاحبها مباشرة وتُعالج للغرض الذي جُمعت له، مع استثناءات محددة في النظام.
٢. سياسة خصوصية معلنة قبل الجمع. تبيّن الغرض، ومحتوى البيانات المطلوبة، وطريقة الجمع والحفظ والمعالجة والإتلاف، وحقوق صاحب البيانات وكيفية ممارستها.
٣. سجل أنشطة المعالجة. وثيقة حيّة تُحدَّث دوريًا، لا ملفًا يُنشأ ليلة المراجعة.
٤. تقييم الأثر على الخصوصية. يُجرى قبل البدء بالمعالجة في الحالات التي يُحتمل أن تنطوي على مخاطر عالية على خصوصية أصحاب البيانات، ويحدد المخاطر وسبل معالجتها.
٥. مسؤول حماية البيانات الشخصية عند وجوبه. ويكون التعيين إلزاميًا في حالات منها أن تكون الجهة جهة عامة، أو أن تكون معالجة البيانات على نطاق واسع — خصوصًا البيانات الحساسة — نشاطًا أساسيًا لها، مع إبلاغ سدايا ببيانات التواصل مع المسؤول عبر المنصة الوطنية وتمكين أصحاب البيانات من الوصول إليه بسهولة.
٦. ضبط العلاقة مع جهات المعالجة. جهة التحكم مسؤولة عن التحقق من التزام من يعالج البيانات نيابة عنها، والعقد هو أداة هذا الضبط. ومن سلّم بيانات عملائه لمزوّد خدمة بعقد لا يذكر الخصوصية، سلّمها بلا غطاء.
٧. التسجيل في المنصة الوطنية لحوكمة البيانات. ويتأكد الالتزام بالتسجيل تحديدًا على الجهات العامة، ومن يعالج بيانات حساسة، أو ينقل البيانات خارج المملكة، أو يتعامل مع بيانات الأطفال والفئات الضعيفة. وتحصل الجهة على شهادة صالحة لخمس سنوات تُجدَّد وفق المتطلبات.
٨. سياسة احتفاظ وإتلاف. فحفظ البيانات «للاحتياط» بعد انتهاء الغرض مخالفة، لا احتياطًا.
72 ساعة: الرقم الذي يجب أن يعرفه فريق التقنية
عند وقوع تسرب أو اختراق للبيانات الشخصية، على جهة التحكم إبلاغ سدايا خلال 72 ساعة من علمها بالواقعة، وإبلاغ أصحاب البيانات دون تأخير غير مبرر.
ثلاثة أيام ليست وقتًا كافيًا لبناء إجراء من الصفر. الجهات التي تلتزم بهذه المدة هي التي كتبت خطة الاستجابة قبل الحادثة، وحدّدت من يبلّغ ومن يوقّع ومن يتحدث.
نقل البيانات خارج المملكة
نقل البيانات إلى خارج المملكة جائز، لكنه مشروط. ولهذا أُفردت له لائحة مستقلة إلى جانب اللائحة التنفيذية، تشترط ألا يمسّ النقل الأمن الوطني أو المصالح الحيوية للمملكة، وأن يتوافر مستوى ملائم لحماية البيانات في الجهة المنقولة إليها، مع تقييم للمخاطر في الحالات التي تستوجبه.
الأثر العملي: أي اشتراك في خدمة سحابية أو أداة تسويق أو نظام موارد بشرية تُخزَّن بياناته خارج المملكة هو عملية نقل بيانات، ويحتاج إلى أساس موثّق، لا إلى ضغطة زر عند التسجيل.
العقوبات: لماذا صار الرقم مهمًا
يفرّق النظام بين مستويات المخالفة. فالإفصاح عن البيانات الحساسة أو إتاحتها بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية تصل عقوبته إلى السجن، بينما تعالَج المخالفات الأخرى بالإنذار أو الغرامة المالية، مع مضاعفتها في حال التكرار.
والرقم الذي يتداوله المستشارون اليوم هو الغرامة التي تصل إلى خمسة ملايين ريال، مع مسؤولية جزائية في حالات معينة، وهي التبعة المحتملة لأي فجوة تظهر أثناء استيفاء نموذج التحقق من الامتثال.
من أين تبدأ هذا الأسبوع
إذا كنت مسؤولًا في منشأة ولم تبدأ بعد، فهذه أول خمس خطوات بترتيب الأثر:
أحصِ بياناتك. ما البيانات الشخصية التي بحوزتك، وأين تُخزَّن، ومن يصل إليها، ولماذا؟ من دون هذا الجرد، بقية الخطوات كتابة إنشائية.
اربط كل نشاط بمسوّغه. وإن كان المسوّغ موافقة، فاسأل: أين سجل الموافقة؟ وهل يمكن سحبه؟
تحقق من وضعك في المنصة الوطنية. هل أنت مُلزَم بالتسجيل؟ ومن ممثلك المفوّض؟ وهل بيانات التواصل محدّثة؟
اكتب إجراء الاستجابة للحوادث. بمدة 72 ساعة مكتوبة فيه، وأسماء لا مسميات.
راجع عقود المورّدين. كل جهة تعالج بياناتك نيابة عنك تحتاج بندًا واضحًا، وكل نقل خارج المملكة يحتاج أساسًا موثّقًا.
الخلاصة
تغيّر السؤال. لم يعد: هل لديك سياسة خصوصية؟ بل: أثبت كيف تعمل.
حقوق الأفراد في هذا النظام ليست شعارات — لها مدد ومسارات؛ والتزامات الجهات ليست مبادئ عامة — لها مستندات تُطلب وتُراجع. والمنشأة التي تجمع أدلتها اليوم تحوّل مراجعة سدايا إلى إجراء إداري روتيني. أما التي تنتظر وصول النموذج لتبدأ، فستكتشف أن أصعب ما في الامتثال ليس فهمه، بل إثباته بأثر رجعي.
0 تعليقات