التقنيات والشركاء
تقنيات ننفّذها ضمن هذه الخدمة
01
ما نظام حماية البيانات الشخصية PDPL؟
نظام حماية البيانات الشخصية (PDPL) هو الإطار السعودي لحماية البيانات الشخصية وتنظيم معالجتها. وتوضح اللائحة التنفيذية والقواعد ذات الصلة متطلبات إضافية. وتُعد الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) الجهة المختصة المحددة في النظام والمواد الرسمية. ينبغي مراجعة النصوص والإرشادات الحالية، لأن الانطباق والأدوار والالتزامات تعتمد على الوقائع مثل غرض المعالجة وصفة الشخص ومكان المنشأة ونوع النشاط.
يتناول النظام مفاهيم مثل المتحكم والمعالج والبيانات الشخصية والمعالجة والبيانات الحساسة. يحدد المتحكم أغراض المعالجة ووسائلها، بينما يعالج المعالج البيانات نيابة عنه وفق التعليمات والترتيبات المنطبقة. وقد تتغير الأدوار بين الخدمات؛ لذا لا يكفي الاعتماد على التسمية في العقد. يحتاج برنامج الخصوصية إلى سجل واضح للقرارات والمسؤوليات والممارسات الفعلية، لا إلى نصوص سياسات فقط.
العمل على النظام ليس إعداد وثيقة لمرة واحدة. فالمنتجات الجديدة والموردون والتحليلات وأنظمة الموظفين ونقل البيانات وتغيير الأغراض قد تؤثر في التقييم القانوني والمخاطر. ينبغي إشراك المستشار القانوني عند تفسير الأساس النظامي أو النقل أو الإشعار. يساعد التقييم الأمني والخصوصي في تنظيم الأدلة والضوابط، لكنه لا يحل محل المشورة القانونية أو التفسير الرسمي.
02
من يحتاج إلى مراعاة النظام؟
ينبغي لكل جهة تتعامل مع بيانات شخصية مراجعة أنشطتها في ضوء النظام واللوائح الحالية، بما يشمل الجهات السعودية وغيرها متى انطبقت الأحكام على المعالجة. تختلف مسؤوليات المتحكم والمعالج والجهات العامة والخاصة. ويجب تحليل كل نشاط على حدة: بيانات العملاء والموظفين والموردين والزوار، والأغراض والمستلمون ومواقع المعالجة.
لا تفترض المجموعة أن إشعار الخصوصية المركزي أو السجل العالمي يغطي كل كيان سعودي. حدد من يقرر أغراض كل معالجة، ومن يعمل كمعالج، ومن يستقبل طلبات أصحاب البيانات أو بلاغات الحوادث. وإذا فرض منظم قطاعي متطلبات إضافية، فاربطها بمتطلبات النظام بدلاً من اعتبار أحدهما بديلاً عن الآخر.
03
خطوات عملية للتطبيق
ابدأ بالحوكمة: عيّن المسؤولين عن الأعمال والخصوصية والمراجعة القانونية ومسارات التصعيد. اتفق على طريقة موحدة لحصر أنشطة المعالجة في الإدارات. راجع الأنظمة والنماذج والعقود وتدفقات البيانات وقواعد الاحتفاظ وسجلات الموردين والنقل الدولي، ثم قابل أصحاب العمليات للتحقق؛ فالمراجعة المكتبية وحدها قد تفوّت أنظمة غير موثقة أو مشاركة غير رسمية.
أنشئ أو حدّث سجل أنشطة معالجة البيانات (RoPA) بالحقول المطلوبة في القواعد المنطبقة وبصيغة يستطيع أصحاب العمليات صيانتها. اربط فئات الأشخاص والبيانات والأغراض وقنوات الجمع والوصول والمستلمين والمعالجين والاحتفاظ والضمانات بالنظام أو العملية والمسؤول عنها. إذا بقيت معلومة غير مؤكدة، سجّل ذلك وخطة التحقق بدلاً من افتراض إجابة.
افحص المعالجات الأعلى خطراً لتحديد الحاجة إلى تقييم أثر حماية البيانات (DPIA) متى تطلبت القواعد ذلك أو اقتضته إدارة المخاطر. وثّق المعالجة وضرورتها والمخاطر على الأفراد والضمانات والمسائل المتبقية، وأشرك القانون والأعمال. راجع إشعارات الخصوصية مقابل الجمع والاستخدام الفعليين، واجعلها مفهومة ومحدثة عند تغير المعالجة.
جهّز إجراءات طلبات الحقوق والاحتفاظ والحذف ومتابعة الموردين وتصعيد حوادث الأمن والخصوصية. تعتمد واجبات الإبلاغ عن الخرق ومواعيده على النصوص المنطبقة ووقائع الحادث والقواعد الحالية. ضع تصعيداً داخلياً سريعاً وقيّم واجب الإشعار مع المستشار القانوني؛ ولا تفترض مهلة عامة من دون تحقق. اختبر الإجراءات بتمرين واحتفظ بسجل القرارات والأدلة.
04
المخرجات والمدة التقديرية
قد تشمل الأعمال المحددة جرد المعالجة وسجل RoPA وخرائط تدفق البيانات وتحليل الأدوار والانطباق وفحص تقييمات الأثر ومراجعة الإشعارات وسجل الفجوات وخطة العمل وإجراءات الحوادث وطلبات الحقوق. ينبغي ربط المخرجات بمسؤولين وأدلة. القوالب وحدها لا تثبت أن الإجراء يعمل؛ المهم اعتماده والتحقق منه مع فرق الأعمال.
قد يستغرق التشخيص الأولي لنطاق صغير وموثق جيداً أسابيع، بينما قد يحتاج الكيان الكبير أو شبكة الموردين المعقدة إلى مراحل أطول. يتوقف الوقت على سهولة الاكتشاف وتوفر أصحاب العمليات والمراجعة القانونية وعدد الأنظمة. المدة تقديرية وليست ضمان امتثال. اتفق على الأولويات وراجع النطاق إذا كشف الحصر عن أنشطة إضافية.
05
المصادر الرسمية
راجع بوابة سدايا الرسمية للنظام واللوائح وإرشادات سجل أنشطة المعالجة والخرق: https://dgp.sdaia.gov.sa/ . وتتوفر خدمة الإبلاغ عن خرق البيانات عبر https://dgp.sdaia.gov.sa/wps/portal/pdp/services/personaldatabreachnotification/ . تحقّق من الانطباق وشروط الإبلاغ الدقيقة قبل اتخاذ القرار.
إجابات عملية
الأسئلة الشائعة
من الجهة المختصة بنظام حماية البيانات الشخصية؟
سدايا هي الجهة المحددة في النظام والمواد الرسمية ذات الصلة بإطار PDPL. استخدم بوابتها والقواعد المنشورة للحصول على الإرشاد المعتمد. وقد تفرض الجهات المنظمة للقطاعات متطلبات أخرى على مؤسسات معينة؛ لذا اربطها بالتحليل القانوني ولا تعتبر مصدراً واحداً شاملاً لكل الالتزامات.
ما الذي ينبغي أن يتضمنه سجل أنشطة المعالجة؟
ينبغي أن يعكس سجل المعالجة الحقول المطلوبة في القواعد المنطبقة وأن يصف ما يحدث فعلياً بطريقة يمكن للمسؤولين تحديثها. ويربط عادة الأغراض وفئات البيانات والأشخاص والمستلمين والمعالجين والاحتفاظ والضمانات بالأنظمة والمسؤولين. تحقق من الحقول الإلزامية في النص الرسمي الحالي؛ فالقالب العام لا يثبت الامتثال وحده.
متى يلزم إعداد تقييم أثر الخصوصية؟
تعتمد الحاجة إلى تقييم الأثر على النظام واللوائح وطبيعة المعالجة ومخاطرها على الأفراد. افحص الأنشطة وفق المعايير الرسمية الحالية ووثّق سبب القرار. ينبغي أن يصف التقييم المعالجة والمخاطر والضمانات والمسائل المتبقية. اطلب مراجعة قانونية عند غموض الحد الذي يستوجب التقييم أو التشاور.
ما المهلة المتاحة للإبلاغ عن خرق البيانات؟
لا تفترض مهلة دون مراجعة النص الحالي ووقائع الحادث. فقد يعتمد واجب الإبلاغ على طبيعة الخرق وشدته وأثره على الأفراد والمعايير المنطبقة. صعّد داخلياً بسرعة واحفظ الأدلة وقيّم الاحتواء، ثم تحقّق مع مسؤولي الخصوصية والقانون من وجوب الإبلاغ وموعده وفق الإجراءات المعتمدة.
هل ينطبق النظام على شركة خارج المملكة؟
يتوقف الانطباق الإقليمي على نص النظام وأنشطة المعالجة وعلاقة الجهة بالأفراد في المملكة. لا تحسم المسألة من بلد التأسيس وحده. احصر الأطراف والأغراض والعمليات الفعلية، وراجع النص الرسمي الحالي، واستعن بمستشار مؤهل لتحديد انطباق الأحكام على الحالة العابرة للحدود. وثّق الوقائع التي بُني عليها القرار.