الأمن والامتثال·السوق السعودي
نظام حماية البيانات الشخصية السعودي: ماذا يلزم موقعك وتطبيقك؟
النظام صار واجب التطبيق وهيئة سدايا تصدر قرارات فعلية. دليل عملي لأصحاب المواقع والتطبيقات: الموافقة، مدة الاحتفاظ بالبيانات، نقلها خارج المملكة، والاستعداد للحوادث.
الخلاصة قبل أن تقرأ
- ١النظام واجب التطبيق بالكامل منذ 14 سبتمبر 2024، وسدايا بدأت تصدر قرارات فعلية بحق المخالفين.
- ٢ينطبق على كل جهة تعالج بيانات أشخاص داخل المملكة، حتى لو كان مقرها خارجها.
- ٣ابدأ بخريطة للبيانات التي تجمعها: من أين تأتي، وأين تُخزَّن، ومن يصل إليها.
محتوى المقال
كان كثيرون يتعاملون مع نظام حماية البيانات الشخصية كأنه مشروع مؤجل. هذا لم يعد صحيحاً: النظام واجب التطبيق بالكامل منذ 14 سبتمبر 2024، وأعلنت سدايا في مطلع 2026 أنها أصدرت 48 قراراً بحق جهات مخالفة، ثم بدأت تعميم نموذج للتحقق من الامتثال على الجهات المسجلة.
من يشمله النظام؟
يشمل أي جهة تعالج بيانات شخصية لأفراد داخل المملكة، ولا يهم أين يقع مقرها. متجر إلكتروني يسجّل أسماء العملاء وجوالاتهم، وتطبيق حجز يجمع مواقعهم، وكاميرا مراقبة تسجّل وجوه الزوار، كلها تعالج بيانات شخصية.
ما الذي تراجعه في موقعك أو تطبيقك؟
- الموافقة: نماذج التواصل والتسجيل توضح ما الذي تجمعه ولماذا، ولا تجمع أكثر مما تحتاج.
- سياسة الخصوصية: مكتوبة بالعربية وبلغة واضحة، وتذكر مدة الاحتفاظ بالبيانات وحقوق أصحابها.
- حقوق الأفراد: آلية فعلية للاطلاع على البيانات وتصحيحها وطلب إتلافها.
- الأطراف الخارجية: كل خدمة تمرّر إليها البيانات (استضافة، بريد، تحليلات، بوابة دفع) تحتاج مراجعة وعقداً.
- الأمان: اتصال مشفّر، وصلاحيات محدودة للوحة الإدارة، وتحقق بخطوتين.
نقل البيانات خارج المملكة
نقل البيانات الشخصية خارج المملكة مقيّد بشروط وضوابط تحددها اللائحة. لذلك عند اختيار استضافة أو خدمة سحابية اسأل: أين ستُخزَّن بيانات عملائي فعلياً، وأين تُحفظ النسخ الاحتياطية؟
خطة تبدأ بها هذا الأسبوع
- ارسم خريطة للبيانات: ما الذي تجمعه، ومن أين، وأين يُخزَّن، ومن يطّلع عليه.
- احذف ما لا تحتاجه، وحدد مدة احتفاظ لما تبقى.
- حدّث سياسة الخصوصية ونماذج جمع البيانات.
- جهّز خطة للتعامل مع التسريب: من يُبلَّغ، وخلال كم من الوقت، ومن يقود الاستجابة.
- حدد من يتولى حماية البيانات في منشأتك، وتحقق من لزوم تسجيلك جهةَ تحكم لدى سدايا.
أسئلة شائعة
هل ينطبق النظام على منشأة صغيرة؟
من حيث المبدأ نعم، فالنظام يرتبط بمعالجة البيانات الشخصية لا بحجم المنشأة. تختلف الالتزامات التفصيلية، كالتسجيل وتعيين مسؤول حماية البيانات، بحسب طبيعة نشاطك وحجم المعالجة، فتأكد منها من سدايا.
هل تسجيلات كاميرات المراقبة تدخل ضمن النظام؟
التسجيلات التي تُظهر أشخاصاً قد تُعد بيانات شخصية. حدد الغرض من التسجيل ومدة حفظه ومن يصل إليه، وراجع الأنظمة ذات الصلة بشأن التنبيه للزوار.
