نُشر في:
دخل نظام حماية البيانات الشخصية السعودي حيز النفاذ في 14 سبتمبر 2023، بعد 720 يوماً من نشره في الجريدة الرسمية وفق المادة (الثالثة والأربعين) المعدلة، ومُنحت الجهات سنة من تاريخ النفاذ لتعديل أوضاعها. ومعنى ذلك أن الشركات اليوم في مرحلة الالتزام الكامل، وأن السؤال لم يعد «هل ينطبق علينا؟» بل «هل نستطيع إثبات امتثالنا إذا طُلب منا؟».
صدر النظام بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وعُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بوصفها الجهة المختصة. نقدّم هنا قائمة تحقق من 12 بنداً مستندة إلى نص النظام ولائحته التنفيذية، يمكن لفريق الامتثال أو التقنية أو الشؤون القانونية استخدامها لتقييم الوضع الراهن.
هل ينطبق النظام على منشأتك؟
يطبَّق النظام على أي معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة، بما في ذلك معالجة جهة خارج المملكة لبيانات أفراد مقيمين فيها (المادة الثانية). والمعالجة مفهوم واسع يشمل الجمع والتخزين والتحديث والاستعمال والإفصاح والنقل والإتلاف. ولا يُستثنى إلا معالجة الفرد للبيانات لأغراض شخصية أو عائلية ما دام لم ينشرها أو يفصح عنها للغير. لذلك فإن كل شركة لديها موظفون أو عملاء أو موردون أفراد هي في الغالب «جهة تحكم» بالمعنى النظامي.
قائمة التحقق: 12 بنداً للامتثال لنظام حماية البيانات الشخصية السعودي
1) حصر البيانات وسجل أنشطة المعالجة
ابدأ بخريطة لما تجمعه من بيانات، ومن أين، ولأي غرض، وأين تُخزَّن، ومن يطلع عليها. وتلزم المادة (الحادية والثلاثون) من النظام والمادة (الثالثة والثلاثون) من اللائحة بالاحتفاظ بسجل مكتوب ودقيق لأنشطة المعالجة طوال مدة المعالجة وخمس سنوات بعد انتهائها، يتضمن حداً أدنى منها: بيانات جهة التحكم ومسؤول حماية البيانات، والأغراض، وفئات البيانات وأصحابها، ومدد الاحتفاظ، والجهات التي يُفصح لها، ووصف عمليات النقل خارج المملكة ومسوغاتها، والتدابير الأمنية.
2) تحديد المسوغ النظامي لكل نشاط
الأصل أن المعالجة تحتاج موافقة صاحب البيانات (المادة الخامسة)، مع استثناءات في المادة (السادسة)، منها أن تكون المعالجة بمقتضى نظام آخر أو تنفيذاً لاتفاق سابق يكون صاحب البيانات طرفاً فيه، أو ضرورية لمصالح مشروعة لجهة التحكم بشرط ألا تخل بحقوق صاحب البيانات وألا تكون البيانات حساسة. وإذا اعتمدت على المصلحة المشروعة، فاللائحة (المادة السادسة عشرة) تلزمك بإجراء تقويم موثق قبل المعالجة يوازن بين مصلحتك وحقوق الأفراد.
3) سلامة الموافقة
- أن تصدر بإرادة حرة دون طرق مضللة، ولأغراض واضحة ومحددة، ومن كامل الأهلية، وموثّقة بما يتيح التحقق منها، ومستقلة لكل غرض (اللائحة، المادة الحادية عشرة).
- أن تكون صريحة إذا تضمنت المعالجة بيانات حساسة أو ائتمانية أو قرارات مبنية كلياً على المعالجة الآلية.
- ألا تُجعل شرطاً لتقديم خدمة لا علاقة لها بالمعالجة (المادة السابعة من النظام)، وأن يتاح الرجوع عنها في أي وقت (المادة الخامسة).
4) سياسة الخصوصية والإشعار عند الجمع
يجب اعتماد سياسة خصوصية متاحة عند جمع البيانات تبين الغرض والمحتوى وطريقة الجمع والحفظ والمعالجة والإتلاف والحقوق وكيفية ممارستها (المادة الثانية عشرة). وتفصّل المادة (الرابعة) من اللائحة ما يجب إبلاغه للفرد عند الجمع، ومنه بيانات التواصل مع مسؤول حماية البيانات، ومدة الاحتفاظ، وكيفية العدول عن الموافقة. وإذا جُمعت البيانات من غير صاحبها، فيجب إبلاغه خلال مدة لا تتجاوز 30 يوماً ما لم تنطبق الاستثناءات.
5) آلية لاستقبال طلبات أصحاب البيانات
للفرد حق العلم، والوصول إلى بياناته، والحصول عليها بصيغة مقروءة وواضحة، وطلب تصحيحها، وطلب إتلاف ما انتهت الحاجة إليه (المادة الرابعة). وتشترط اللائحة تنفيذ الطلبات خلال مدة لا تتجاوز 30 يوماً، مع إمكان التمديد في حالات محددة. جهّز نموذجاً وقناة واضحة ومسؤولاً عن المتابعة.
6) الحد الأدنى من البيانات والاحتفاظ والإتلاف
يجب أن يقتصر محتوى البيانات على الحد الأدنى اللازم للغرض (المادة الحادية عشرة)، وأن تُتلف دون تأخير بعد انتهاء الغرض، إلا إذا أُزيل ما يحدد هوية صاحبها، أو وُجد مسوغ نظامي يوجب الاحتفاظ بها مدة محددة، أو كانت متصلة بقضية منظورة (المادة الثامنة عشرة). ضع جدولاً لمدد الاحتفاظ لكل فئة من البيانات.
7) عقود جهات المعالجة
عند الاستعانة بمزود خدمة يعالج البيانات نيابة عنك (سحابة، رواتب، تسويق، مركز اتصال)، تلزم المادة (الثامنة) من النظام باختيار جهة توفر ضمانات كافية والتحقق من التزامها. وتحدد المادة (السابعة عشرة) من اللائحة ما يجب أن يتضمنه الاتفاق، ومنه: الغرض، وفئات البيانات، ومدة المعالجة، والتزام المعالج بإشعارك بأي تسرب دون تأخير غير مبرر، وبيان ما إذا كان خاضعاً لأنظمة دول أخرى، وتحديد جهات المعالجة الفرعية واشتراط موافقتك المسبقة عليها.
8) أمن المعلومات
تلزم المادة (التاسعة عشرة) من النظام والمادة (الثالثة والعشرون) من اللائحة باتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة، والالتزام بضوابط الهيئة الوطنية للأمن السيبراني ومعاييرها ذات الصلة، أو بأفضل الممارسات المتعارف عليها إن لم تكن المنشأة ملزمة بتلك الضوابط.
9) خطة الاستجابة لتسرب البيانات خلال 72 ساعة
تُشعر جهة التحكم سدايا خلال مدة لا تتجاوز 72 ساعة من علمها بحادثة تسرب إذا كان من شأنها الإضرار بالبيانات أو بأصحابها أو التعارض مع حقوقهم، مع وصف الحادثة والفئات والأعداد المتأثرة والمخاطر والتدابير المتخذة. وتُشعر الأفراد المعنيين دون تأخير غير مبرر بلغة واضحة إذا كان التسرب قد يضر بهم (اللائحة، المادة الرابعة والعشرون). احتفظ بنسخ من الإشعارات وبتوثيق للإجراءات التصحيحية.
10) تقويم الأثر على حماية البيانات
يلزم إعداد تقويم مكتوب وموثق للآثار والمخاطر في حالات منها: معالجة البيانات الحساسة، أو ربط مجموعات بيانات من مصادر مختلفة، أو المعالجة الواسعة أو المتكررة لبيانات ناقصي الأهلية، أو المراقبة المستمرة، أو استخدام تقنيات ناشئة، أو القرارات الآلية، أو المنتجات التي قد تُلحق ضرراً جسيماً بالخصوصية (اللائحة، المادة الخامسة والعشرون).
11) مسؤول حماية البيانات الشخصية
يجب تعيين مسؤول لحماية البيانات إذا كانت جهة التحكم جهة عامة تعالج بيانات على نطاق واسع، أو كانت أنشطتها الأساسية تقوم على مراقبة منتظمة وممنهجة للأفراد، أو على معالجة بيانات حساسة (اللائحة، المادة الثانية والثلاثون). ويجوز أن يكون موظفاً أو متعاقداً خارجياً، وقد أصدرت سدايا قواعد تعيين مسؤول حماية البيانات الشخصية التي تحدد متطلبات التأهيل والمهام.
12) التسويق المباشر ونقل البيانات خارج المملكة
- لا ترسل مواد دعائية عبر وسائل الاتصال الشخصية إلا بموافقة المتلقي، مع آلية سهلة لإيقافها لا تقل سهولة عن طريقة الحصول على الموافقة، وذكر اسم الجهة المرسلة بوضوح (المادة الخامسة والعشرون من النظام، والمادة التاسعة والعشرون من اللائحة).
- إذا كانت البيانات تُستضاف أو يُطلع عليها خارج المملكة، فذلك نقل أو إفصاح يخضع للمادة (التاسعة والعشرين) من النظام ولائحة نقل البيانات الشخصية إلى خارج المملكة، وسنفرد له مقالاً مستقلاً.
- لا تصوّر الوثائق الرسمية التي تحدد الهوية أو تنسخها إلا تنفيذاً لنظام أو بطلب جهة عامة مختصة (المادة الثامنة والعشرون).
جدول مختصر: ما الدليل الذي يثبت امتثالك؟
| البند | الدليل المتوقع |
|---|---|
| سجل أنشطة المعالجة | سجل مكتوب محدّث لكل نشاط |
| المسوغ النظامي | مصفوفة مسوغات + تقويم المصلحة المشروعة عند الاعتماد عليها |
| الموافقة | سجلات بوقت الموافقة ووسيلتها ونطاقها |
| الشفافية | سياسة خصوصية منشورة وإشعارات جمع |
| الحقوق | إجراء مكتوب وسجل للطلبات ومدد الرد |
| جهات المعالجة | عقود أو ملاحق حماية بيانات |
| التسرب | خطة استجابة وسجل حوادث |
| تقويم الأثر | تقارير موثقة للحالات الواجبة |
| مسؤول حماية البيانات | قرار تعيين ووصف مهام عند الوجوب |
العقوبات والمسؤولية
- إفصاح عن بيانات حساسة أو نشرها خلافاً للنظام بقصد الإضرار أو تحقيق منفعة شخصية: سجن لا يزيد على سنتين وغرامة لا تزيد على 3 ملايين ريال أو إحداهما (المادة الخامسة والثلاثون).
- سائر المخالفات من الأشخاص الطبيعيين والاعتباريين الخاصة: إنذار أو غرامة لا تزيد على 5 ملايين ريال، تجوز مضاعفتها عند التكرار حتى ضعف الحد الأقصى (المادة السادسة والثلاثون).
- حق المتضرر في المطالبة بالتعويض عن الضرر المادي أو المعنوي أمام المحكمة المختصة (المادة الأربعون)، وجواز نشر ملخص القرار على نفقة المخالف (المادة الثامنة والثلاثون).
أسئلة شائعة
هل تحتاج الشركات الصغيرة إلى الامتثال؟
النظام لا يستثني المنشآت بحسب حجمها؛ فالمعيار هو معالجة بيانات شخصية لأفراد. لكن بعض الالتزامات، كتعيين مسؤول حماية البيانات وتقويم الأثر، مرتبطة بطبيعة المعالجة لا بكل منشأة.
هل تكفي سياسة الخصوصية المنشورة على الموقع؟
لا؛ فهي بند واحد من القائمة. الامتثال يتطلب سجلات ومسوغات وعقوداً وإجراءات أمنية وخطة تسرب يمكن إثباتها.
ما الفرق بين جهة التحكم وجهة المعالجة؟
جهة التحكم تحدد الغرض من المعالجة وكيفيتها، وجهة المعالجة تعالج البيانات لمصلحتها ونيابة عنها. ومسؤولية جهة التحكم لا تنتقل بإسناد المعالجة إلى غيرها (المادة الثامنة).
هل البيانات الائتمانية بيانات حساسة؟
أُخرجت البيانات الائتمانية من تعريف البيانات الحساسة بتعديل 1444هـ، لكنها ما زالت تحتاج موافقة صريحة وفق المادة (الرابعة والعشرين) من النظام والمادة (الحادية عشرة) من اللائحة.
كيف يمكن أن نساعد؟
يساعد فريق شركة البرهان للمحاماة الشركات على إجراء تقييم فجوات وفق هذه القائمة، وصياغة سياسات الخصوصية وعقود جهات المعالجة وإجراءات الحقوق والتسرب، ضمن خدمات الاتصالات وتقنية المعلومات وبرامج الحوكمة والامتثال. لتحديد نطاق العمل يمكنكم التواصل معنا.
المعلومات الواردة عامة ولا تُغني عن استشارة قانونية تراعي وقائع حالتك.
للاستشارة في هذا المجال: الاتصالات وتقنية المعلومات – البرهان للمحاماة
