انتقل نظام حماية البيانات الشخصية من مرحلة التوعية والمهلة إلى الإنفاذ الفعلي. ولمعظم الجهات التي تعالج بيانات شخصية لأفراد في المملكة، أصبح السؤال: هل تصمد الضوابط لديها أمام التدقيق؟ فالهيئة السعودية للبيانات والذكاء الاصطناعي، عبر مكتب البيانات التابع لها، تتوقع حوكمة موثقة ومطبقة ومدعومة بالأدلة.

في المرحلة الأولى تعاملت جهات كثيرة مع النظام كمهمة سياسات: إشعار خصوصية يُنشر، ولجنة تُشكَّل، وورشة عمل تُعقد. أما الإنفاذ فيرفع مستوى المطلوب. إذ يمكن لجهة تنظيمية أو صاحب بيانات أن يطلب منك إثبات البيانات الشخصية التي تحتفظ بها، وسبب ذلك، وكيف تحميها، ومدى سرعة تصرفك إذا تسربت.

العمل محدود وله ترتيب طبيعي، وكل إجراء من الإجراءات الخمسة التالية يمهد لما بعده. والإرشادات هنا عامة عن قصد، لأن التزاماتك الدقيقة تعتمد على قطاعك وبياناتك وأي جهة تنظيمية قطاعية فوق النظام. فاعتبرها إطارًا للبداية، لا استشارة قانونية.

1. ارسم خريطة بياناتك الشخصية وابنِ سجل أنشطة المعالجة #

ابدأ بجرد منظم: كل فئة من البيانات الشخصية التي تجمعها، والأنظمة والأطراف الخارجية التي تحتفظ بها، ومكان تخزينها فعليًا، ومدة الاحتفاظ بها. هذا هو سجل أنشطة المعالجة، وتكاد كل التزامات النظام الأخرى تعود إليه.

ما الذي يحتويه السجل المفيد #

لكل نشاط معالجة، دوّن الغرض، وفئات أصحاب البيانات والبيانات، والجهات المستقبلة (ومنها المعالجون وعمليات النقل خارج الحدود)، ومدة الاحتفاظ، وملاحظة مختصرة عن التدابير الأمنية. واهتم أكثر بالبيانات الحساسة وبأي نقل خارج المملكة، لأن التوقعات بشأنهما أعلى. وعيّن للسجل مالكًا، وحدّثه مع كل نظام أو مورد أو تدفق بيانات جديد.

2. تأكد من الأساس النظامي وحدّث إشعارات الخصوصية #

كل نشاط في السجل يحتاج إلى سبب يمكن الدفاع عنه. حدّد الأساس النظامي لكل منها: موافقة صاحب البيانات، أو تنفيذ عقد، أو التزام نظامي، أو أساس آخر مسموح به. وحين تعتمد على الموافقة، تأكد أنها أُعطيت بحرية، وكانت محددة، ومسجلة بطريقة تستطيع إبرازها لاحقًا.

اجعل الإشعارات مطابقة لما تفعله #

إشعار الخصوصية هو الصورة العلنية لأساسك النظامي، فيجب أن يصف ممارستك الحقيقية لا قالبًا عامًا. راجع كل نقطة تجمع فيها بيانات شخصية (المواقع والتطبيقات والنماذج ومكاتب الاستقبال)، وتأكد أن الإشعار يذكر من أنت، وما الذي تجمعه، ولماذا، وعلى أي أساس، ومع من تشاركه، وكيف يمارس الناس حقوقهم. والإشعار الذي يناقض سجل المعالجة ثغرة يسهل على أي أحد ملاحظتها.

3. أنشئ آلية لطلبات أصحاب البيانات #

يمنح النظام الأفراد حقوقًا على بياناتهم، منها الوصول إليها، وتصحيحها، وحذفها أو سحب الموافقة في حالات محددة. ومع الإنفاذ ستصل هذه الطلبات، والجهة التي لا تستطيع الرد عليها بانتظام معرضة للمخاطر مهما بدت سياساتها جيدة.

صمّم سير العمل قبل أول طلب #

خصّص قناة واحدة لاستقبال الطلبات، وطريقة للتحقق من هوية مقدم الطلب، ومسارًا داخليًا يوصل كل طلب إلى من يستطيع تنفيذه. وحدّد مستويات خدمة تتيح لك الرد ضمن المدد التي يتوقعها النظام، وسجّل كل طلب ونتيجته. وخريطة البيانات في الخطوة الأولى هي ما يجعل ذلك ممكنًا، لأنها تخبر فريقك أين يبحث.

4. استعد لاكتشاف التسرب والإبلاغ عنه #

أصبح تسرب البيانات الشخصية حدثًا تنظيميًا إضافة إلى كونه حدثًا أمنيًا. تحتاج إلى وسيلة لاكتشاف احتمال تسرب بيانات شخصية، وطريقة لتقييم خطورته وأثره على المتأثرين، وإجراء مُختبَر لإشعار الجهة المختصة، وأصحاب البيانات عند الاقتضاء. وبحسب اللائحة التنفيذية، يجب إشعار الجهة المختصة خلال 72 ساعة من العلم بتسرب قد يضر بأصحاب البيانات.

تدرّب على الاستجابة #

صمّم إجراء التسرب قبل أن تحتاج إليه. حدّد من يقرر أن الحادثة تسرب يستوجب الإشعار، وما المعلومات المطلوبة، وأي نموذج ستستخدم. واربطه بقدرتك على الاستجابة للحوادث والتحقيق الجنائي، ليسير الاحتواء والتحقيق والإشعار معًا. وتمرين مكتبي قصير على سيناريو واقعي يكشف الثغرات بتكلفة أقل بكثير من حادثة حقيقية.

5. درّب الموظفين وأحكِم التعامل مع الأطراف الخارجية #

معظم البيانات الشخصية يتعامل معها الموظفون والموردون، لا فريق الخصوصية. ويثبت الامتثال حين يعرف الموظفون البيانات الشخصية، ويفهمون التزاماتهم، ويعرفون كيف يصعّدون طلبًا أو اشتباهًا بتسرب. والتدريب القائم على الأدوار، المحدَّث بانتظام بالعربية والإنجليزية، هو ما يحوّل السياسة إلى سلوك يومي.

وسّع الضوابط إلى المعالجين #

الجهات التي تحتفظ بالبيانات أو تعالجها نيابة عنك تحمل جزءًا من مخاطرك. تأكد أن عقودك معها تتضمن التزامات حماية البيانات، وتعهدات أمنية، وواجبات الإبلاغ عن التسرب، وقيودًا على النقل اللاحق. واحتفظ بقائمة محدّثة بالمعالجين في سجل المعالجة، وطبّق عناية واجبة مناسبة قبل التعاقد مع أي معالج جديد. فأنت تبقى مسؤولًا عمّا يفعلونه ببياناتك.

من أين تبدأ #

إذا بدا البرنامج كبيرًا، فابدأ بالخطوات التي تخفض أكثر المخاطر بأقل جهد:

  • ارسم خريطة أولى، ولو غير مكتملة، لأكبر مجموعات بياناتك الشخصية وأكثرها حساسية.
  • حدّد أي نقل للبيانات خارج المملكة، وتأكد أنك تستطيع تبريره.
  • انشر إشعارات الخصوصية أو صحّحها في أكثر قنواتك العلنية استخدامًا.
  • خصّص قناة واحدة لطلبات أصحاب البيانات وعيّن لها مالكًا.
  • اتفق على من يعلن التسرب الذي يستوجب الإشعار، وكيف ستتواصل مع الجهة المختصة.

هذه الخطوات وحدها لا تحقق الامتثال الكامل، لكن بقية البرنامج تُبنى عليها، وهي تمنحك دليلًا على التقدم بينما يستمر العمل الأعمق.

الأسئلة الشائعة #

هل ينطبق نظام حماية البيانات الشخصية علينا إذا كنا شركة صغيرة؟

ينطبق النظام على معالجة البيانات الشخصية للأفراد في المملكة، لا على حجم الشركة. قد تكون بيانات الجهة الصغيرة أقل، لكن الالتزامات الأساسية في الأساس النظامي والشفافية والأمن وحقوق أصحاب البيانات تبقى قائمة. حدّد نطاق برنامجك وفق البيانات التي لديك فعلًا، ووثّق أسبابك.

ما أهم أمر واحد ينبغي ضبطه أولًا؟

سجل دقيق لأنشطة المعالجة. فالرد على الطلبات، وتقييم التسرب، وتبرير النقل، كلها تعتمد على معرفة البيانات الشخصية التي لديك ومكانها. ابدأ به، وسيصبح الباقي أسهل بكثير.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.