نظام حماية البيانات الشخصية: ما الذي يلزم المنشأة التي تحتفظ ببيانات عملائها؟

إذا كانت منشأتك تحتفظ ببيانات شخصية عن أفراد في المملكة — عملاء أو موظفين أو جهات اتصال لدى موردين أو نماذج تواصل — فنظام حماية البيانات الشخصية ينطبق عليك الآن. فقد أصبح النظام نافذاً في ١٤ سبتمبر ٢٠٢٣، وانتهت في ١٤ سبتمبر ٢٠٢٤ مهلة السنة التي منحها المرسوم الملكي لجهات التحكم لتعديل أوضاعها. ولم تعد هناك مرحلة انتقالية مفتوحة يُخطَّط على أساسها.

النفاذ ومهلة السنة: نظام حماية البيانات الشخصية، المرسوم الملكي رقم (م/١٩) وتاريخ ٩/٢/١٤٤٣هـ وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ٥/٩/١٤٤٤هـ — النص المحدَّث، هيئة الخبراء بمجلس الوزراء. التاريخان كما تذكرهما الجهة المختصة: الهيئة السعودية للبيانات والذكاء الاصطناعي، دليل نظام حماية البيانات الشخصية لجهات التحكم والمعالجة.

المادة الثانية من النظام واسعة عن قصد. فهو يُطبَّق على أي عملية معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة كانت، وكذلك على معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة بأي وسيلة كانت من أي جهة خارج المملكة. والاستثناء الوحيد هو قيام الفرد بمعالجة البيانات الشخصية لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي، ما دام أنه لم ينشرها أو يفصح عنها للغير.

نظام حماية البيانات الشخصية، المرسوم الملكي رقم (م/١٩) وتاريخ ٩/٢/١٤٤٣هـ وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ٥/٩/١٤٤٤هـ — النص المحدَّث، هيئة الخبراء بمجلس الوزراء.

فلا حدّ إيرادات هنا ولا حدّ لعدد الموظفين. موزّع صغير لديه قائمة عملاء مشمول بالأحكام نفسها التي يُشمَل بها مصرف، والمورد في الخارج الذي يعالج بيانات أفراد يقيمون هنا مشمول كذلك.

• سياسة خصوصية تُعتمد وتُتاح لأصحاب البيانات قبل جمع بياناتهم، وتتضمن ما نصّ عليه النظام من محتويات.
• إحاطة الأفراد عند الجمع بالمسوّغ النظامي أو العملي والغرض من الجمع، وبما إذا كانت بياناتهم ستُنقل أو يُفصَح عنها أو تُعالَج خارج المملكة.
• تمكين أصحاب البيانات من حقوقهم — العلم، والوصول، والحصول على بياناتهم بصيغة واضحة ومقروءة، وتصحيحها أو استكمالها، وطلب إتلافها — خلال ثلاثين يوماً دون تأخير، مع جواز التمديد ثلاثين يوماً إضافية إذا تطلب التنفيذ جهداً غير متوقع أو غير معتاد أو تعددت الطلبات، بشرط إشعار صاحب البيانات مسبقاً بالتمديد ومبرراته.
• سجل مكتوب لأنشطة معالجة البيانات الشخصية، دقيق ومحدَّث، يُتاح للجهة المختصة عند طلبها، ويُحتفظ به طوال استمرار المعالجة إضافة إلى خمس سنوات من تاريخ انتهاء النشاط. وله ثمانية محتويات كحد أدنى، منها مدد الاحتفاظ لكل فئة بيانات، ووصف لعمليات النقل إلى خارج المملكة بمسوّغاتها النظامية والجهات المنقولة إليها.
• تقويم أثر مكتوب وموثَّق عند معالجة البيانات الحساسة؛ أو جمع أو مقارنة أو ربط مجموعتين أو أكثر من البيانات من مصادر مختلفة؛ أو إذا تضمّن نشاطك — على نطاق واسع أو بصورة متكررة — معالجة بيانات ناقصي أو عديمي الأهلية، أو معالجة تتطلب بطبيعتها مراقبة مستمرة، أو استخدام تقنيات ناشئة، أو قرارات مبنية على المعالجة الآلية؛ أو تقديم منتج أو خدمة يُحتمل أن تشكّل أضراراً جسيمة على الخصوصية.
• تدابير أمنية متوافقة مع الضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني، أو مع أفضل الممارسات المتعارف عليها إن لم تكن تلك الضوابط ملزمة لك.
• إتلاف البيانات الشخصية دون تأخير متى انتهى الغرض الذي جُمعت من أجله — بما في ذلك النسخ الاحتياطية — مع ما نصّ عليه النظام من استثناءات لمدد الاحتفاظ النظامية والدعاوى المنظورة أمام جهة قضائية.

الحقوق ومدة الثلاثين يوماً: اللائحة التنفيذية لنظام حماية البيانات الشخصية، قرار رئيس الهيئة السعودية للبيانات والذكاء الاصطناعي رقم (١٥١٦) وتاريخ ١٩/٢/١٤٤٥هـ — النص في أم القرى. (المادة الثالثة) ونظام حماية البيانات الشخصية، المرسوم الملكي رقم (م/١٩) وتاريخ ٩/٢/١٤٤٣هـ وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ٥/٩/١٤٤٤هـ — النص المحدَّث، هيئة الخبراء بمجلس الوزراء. (المادة الرابعة). السجلات: اللائحة التنفيذية لنظام حماية البيانات الشخصية، قرار رئيس الهيئة السعودية للبيانات والذكاء الاصطناعي رقم (١٥١٦) وتاريخ ١٩/٢/١٤٤٥هـ — النص في أم القرى. (المادة الثالثة والثلاثون). تقويم الأثر: اللائحة التنفيذية لنظام حماية البيانات الشخصية، قرار رئيس الهيئة السعودية للبيانات والذكاء الاصطناعي رقم (١٥١٦) وتاريخ ١٩/٢/١٤٤٥هـ — النص في أم القرى. (المادة الخامسة والعشرون). الأمن: اللائحة التنفيذية لنظام حماية البيانات الشخصية، قرار رئيس الهيئة السعودية للبيانات والذكاء الاصطناعي رقم (١٥١٦) وتاريخ ١٩/٢/١٤٤٥هـ — النص في أم القرى. (المادة الثالثة والعشرون). الإتلاف: نظام حماية البيانات الشخصية، المرسوم الملكي رقم (م/١٩) وتاريخ ٩/٢/١٤٤٣هـ وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ٥/٩/١٤٤٤هـ — النص المحدَّث، هيئة الخبراء بمجلس الوزراء. (المادة الثامنة عشرة) واللائحة التنفيذية لنظام حماية البيانات الشخصية، قرار رئيس الهيئة السعودية للبيانات والذكاء الاصطناعي رقم (١٥١٦) وتاريخ ١٩/٢/١٤٤٥هـ — النص في أم القرى. (المادة الثامنة). سياسة الخصوصية والإحاطة عند الجمع: نظام حماية البيانات الشخصية، المرسوم الملكي رقم (م/١٩) وتاريخ ٩/٢/١٤٤٣هـ وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ٥/٩/١٤٤٤هـ — النص المحدَّث، هيئة الخبراء بمجلس الوزراء. (المادتان الثانية عشرة والثالثة عشرة).

في ثلاث حالات فقط، وهي أضيق مما يُتداول عادة. يلزم التعيين إذا كانت جهة التحكم جهة عامة تقدم خدمات تتضمن معالجة بيانات شخصية على نطاق واسع؛ أو إذا قامت الأنشطة الأساسية لجهة التحكم على عمليات معالجة تتطلب بطبيعتها مراقبة منتظمة وممنهجة لأصحاب البيانات؛ أو إذا قامت الأنشطة الأساسية على معالجة بيانات شخصية حساسة. ويجوز أن يكون المسؤول موظفاً لديك أو متعاقداً خارجياً.

اللائحة التنفيذية لنظام حماية البيانات الشخصية، قرار رئيس الهيئة السعودية للبيانات والذكاء الاصطناعي رقم (١٥١٦) وتاريخ ١٩/٢/١٤٤٥هـ — النص في أم القرى. (المادة الثانية والثلاثون).

إشعار الجهة المختصة خلال مدة لا تتجاوز ٧٢ ساعة من وقت العلم بالحادثة، إذا كان من شأنها الإضرار بالبيانات الشخصية أو بصاحبها أو التعارض مع حقوقه أو مصالحه. وللإشعار خمسة محتويات لازمة: وصف الحادثة بوقتها وتاريخها وكيفية وقوعها ووقت العلم بها؛ وفئات أصحاب البيانات المعنيين وأعدادهم الفعلية أو التقريبية ونوع البيانات؛ ووصف المخاطر والإجراءات المتخذة والتدابير المستقبلية لمنع التكرار؛ وبيان ما إذا كان أصحاب البيانات قد أُشعروا أو سيُشعرون؛ وبيانات التواصل معك أو مع مسؤول حماية البيانات لديك.

اللائحة التنفيذية لنظام حماية البيانات الشخصية، قرار رئيس الهيئة السعودية للبيانات والذكاء الاصطناعي رقم (١٥١٦) وتاريخ ١٩/٢/١٤٤٥هـ — النص في أم القرى. (المادة الرابعة والعشرون).

وإن تعذّر تقديم أي من هذه البيانات خلال ٧٢ ساعة، فتُقدَّم في أقرب وقت ممكن مع إرفاق مبررات التأخير. ويجب الاحتفاظ بنسخة من التقارير المقدَّمة وتوثيق التدابير التصحيحية. ويُشعَر أصحاب البيانات أنفسهم دون تأخير غير مبرر إذا كانت الحادثة تضرّ ببياناتهم أو تتعارض مع حقوقهم أو مصالحهم.

اللائحة التنفيذية لنظام حماية البيانات الشخصية، قرار رئيس الهيئة السعودية للبيانات والذكاء الاصطناعي رقم (١٥١٦) وتاريخ ١٩/٢/١٤٤٥هـ — النص في أم القرى. (المادة الرابعة والعشرون).

الأرجح لا، وهنا يتقادم كثير مما يُنشر من إرشادات. كان النظام يُلزم في الأصل جميع جهات التحكم بالتسجيل في بوابة إلكترونية، ويجيز رسماً سنوياً لا يتجاوز مائة ألف ريال. تلك هي المادة الثانية والثلاثون، وقد أُلغيت بالكامل بالمرسوم الملكي رقم (م/١٤٨). فلم تعد قائمة، ولم يعد ذلك الرسم قائماً.

نظام حماية البيانات الشخصية، المرسوم الملكي رقم (م/١٩) وتاريخ ٩/٢/١٤٤٣هـ وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ٥/٩/١٤٤٤هـ — النص المحدَّث، هيئة الخبراء بمجلس الوزراء. — المادة الثانية والثلاثون: «ألغيت هذه المادة وذلك بموجب المرسوم الملكي رقم (م/١٤٨) وتاريخ ١٤٤٤/٩/٥هـ».

وما حلّ محلها أضيق منها. فاللائحة التنفيذية تترك للجهة المختصة إصدار قواعد التسجيل وتحديد جهات التحكم الملزمة به، وقواعد السجل الوطني لجهات التحكم داخل المملكة تجعل التسجيل في المنصة الوطنية لحوكمة البيانات إلزامياً في أربع حالات فقط: أن تكون جهة التحكم جهة عامة؛ أو أن يقوم نشاطها الأساسي على معالجة البيانات الشخصية؛ أو أن تعالج بيانات حساسة؛ أو أن يعالج فرد بيانات شخصية لأغراض تتجاوز الاستخدام الشخصي أو العائلي.

اللائحة التنفيذية لنظام حماية البيانات الشخصية، قرار رئيس الهيئة السعودية للبيانات والذكاء الاصطناعي رقم (١٥١٦) وتاريخ ١٩/٢/١٤٤٥هـ — النص في أم القرى. (المادة الرابعة والثلاثون)؛ الهيئة السعودية للبيانات والذكاء الاصطناعي، قواعد السجل الوطني لجهات التحكم داخل المملكة (المادة الثانية).

نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارجها جائز للأغراض التي حددتها المادة التاسعة والعشرون، وبثلاثة شروط: ألا يخلّ ذلك بالأمن الوطني أو المصالح الحيوية للمملكة؛ وأن يتوافر خارج المملكة مستوى حماية لا يقل عمّا يقرره النظام، وفق تقييم تجريه الجهة المختصة؛ وأن يقتصر النقل على الحد الأدنى اللازم من البيانات. واللائحة النافذة اليوم هي الصادرة بالقرار رقم (١٨٤٠) والمنشورة في ١ سبتمبر ٢٠٢٤، وقد حلّت محل لائحة ٢٠٢٣، فما كُتب على أساس النص الأقدم صار متقادماً.

نظام حماية البيانات الشخصية، المرسوم الملكي رقم (م/١٩) وتاريخ ٩/٢/١٤٤٣هـ وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ٥/٩/١٤٤٤هـ — النص المحدَّث، هيئة الخبراء بمجلس الوزراء. (المادة التاسعة والعشرون)؛ لائحة نقل البيانات الشخصية إلى خارج المملكة، قرار رئيس الهيئة رقم (١٨٤٠) وتاريخ ٢٧/٢/١٤٤٦هـ، المنشورة في ١ سبتمبر ٢٠٢٤ — النص في أم القرى.

وحين تعتمد على إعفاء من شرط مستوى الحماية أو شرط الحد الأدنى، وجب أن يقوم النقل على ضمانات مناسبة — بنود تعاقدية معيارية، أو قواعد مشتركة ملزمة، أو شهادة من جهة مرخّصة من الجهة المختصة — وأن يُجرى تقييم لمخاطر النقل قبل النقل، وقبل أي نقل مستمر أو واسع النطاق لبيانات حساسة. وتظل عمليات النقل اللاحقة من الجهة المستقبِلة خاضعة للنظام.

لائحة نقل البيانات الشخصية إلى خارج المملكة، قرار رئيس الهيئة رقم (١٨٤٠) وتاريخ ٢٧/٢/١٤٤٦هـ، المنشورة في ١ سبتمبر ٢٠٢٤ — النص في أم القرى. (المواد الرابعة والخامسة والسابعة).

وهذا عملياً سؤال عن أنظمتك البرمجية أكثر منه سؤالاً عن عقودك. فكل أداة سحابية تحتفظ باسم عميل هي عملية نقل، ومكانها سجل أنشطة المعالجة بمسوّغها النظامي معلَناً.

هناك مساران. الأول جزائي: من أفصح عن بيانات حساسة أو نشرها مخالفاً أحكام النظام، بقصد الإضرار بصاحب البيانات أو بقصد تحقيق منفعة شخصية، يُعاقب بالسجن مدة لا تزيد على سنتين وبغرامة لا تزيد على ثلاثة ملايين ريال، أو بإحدى هاتين العقوبتين، وتختص النيابة العامة بالتحقيق والادعاء أمام المحكمة المختصة.

نظام حماية البيانات الشخصية، المرسوم الملكي رقم (م/١٩) وتاريخ ٩/٢/١٤٤٣هـ وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ٥/٩/١٤٤٤هـ — النص المحدَّث، هيئة الخبراء بمجلس الوزراء. (المادة الخامسة والثلاثون بعد التعديل).

وما عدا ذلك إداري: كل شخصية طبيعية أو اعتبارية خاصة مشمولة بالنظام خالفت أياً من أحكامه أو لوائحه تُعاقب بالإنذار أو بغرامة لا تزيد على خمسة ملايين ريال، تقررها لجنة لا يقل عدد أعضائها عن ثلاثة يعيّنها رئيس الجهة المختصة، بحسب نوع المخالفة وجسامتها ومدى تأثيرها. وفي المسارين يجوز مضاعفة الغرامة عند التكرار ولو تجاوزت الحد الأقصى، على ألا تتجاوز ضعفه. ويحق التظلم من قرار اللجنة أمام المحكمة المختصة.

نظام حماية البيانات الشخصية، المرسوم الملكي رقم (م/١٩) وتاريخ ٩/٢/١٤٤٣هـ وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ٥/٩/١٤٤٤هـ — النص المحدَّث، هيئة الخبراء بمجلس الوزراء. (المادتان الخامسة والثلاثون والسادسة والثلاثون).

السياسة يمكن أن تُكتب في مساء واحد. أما الالتزامات التي يُلمس أثرها فهي خصائص في الأنظمة التي تشغّلها: إتلاف البيانات عند انتهاء الغرض يعني أن شيئاً ما يجب أن يعرف متى انتهى؛ والرد على طلب وصول خلال ثلاثين يوماً يعني أن أحداً يستطيع أن يجد كل نسخة من بيانات شخص واحد؛ وسجل أنشطة المعالجة لا يكون دقيقاً إلا إذا كان يُحدَّث حيث تتغير المعالجة. وإذا كانت بيانات عملائك موزّعة على أربعة أنظمة وجدول بيانات، فلا شيء من هذا قابل للإجابة، ولا تُصلحه سياسة مهما كُتبت.

وسياسة الخصوصية لدينا مكتوبة بالمنطق نفسه، وهي مثال معقول على المعيار: تصف ما يفعله الكود فعلاً، متحققاً منه في الكود، لا ما يقوله قالب جاهز. وإن كنت تحاول تحديد ما ينبغي أن يتغير في أنظمتك، أخبرنا بما تشغّله، أو ابدأ من كيف نتعامل مع التكامل، فمنه غالباً تأتي النسخ المتعددة للعميل الواحد.