نظام حماية البيانات الشخصية PDPLSaudi PDPL

وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي، وتُعرف باسم سدايا. وينطبق على أي جهة تعالج بيانات أشخاص داخل المملكة، سواء كانت الجهة سعودية أو أجنبية ولا مكتب لها هنا. فالمعيار مكان الشخص لا مكان الشركة.

ليش أهتم بالنظام السعودي وأنا شركتي خارج المملكة؟

وهذا سوء فهم شائع ومكلف. فكثيرون يظنون أن النظام يلاحق مكان الشركة، والحقيقة أنه يلاحق مكان الشخص.

فإن كان بين عملائك أشخاص داخل السعودية، فالنظام ينطبق عليك ولو كان خادمك في أيرلندا وفريقك في القاهرة وشركتك مسجّلة في دبي. فالمعيار أن البيانات تخصّ شخصاً هنا، لا أن تكون معالجتها هنا.

وهذا ليس استثناءً سعودياً، بل صار القاعدة العالمية. فالنظام الأوروبي يفعل الشيء نفسه، وكذلك معظم الأنظمة الحديثة. والسبب واضح: لو كان المعيار مكان الخادم، لنقلت كل شركة خوادمها إلى دولة بلا قواعد وانتهى الأمر.

فالنتيجة العملية أنك قد تخضع لعدة أنظمة في وقت واحد. فتطبيق سعودي يخدم مقيمين ومسافرين ومستخدمين في الخليج وأوروبا يقع تحت أكثر من مظلة، وعليه أن يلتزم بالأشد في كل نقطة تختلف فيها.

التواريخ التي تهمّ

وصدر النظام بالمرسوم الملكي رقم م/١٩ في ٩ صفر ١٤٤٣، الموافق ١٦ سبتمبر ٢٠٢١. ثم عُدّل بالمرسوم الملكي رقم م/١٤٨ في ٢٠٢٣. ودخل حيز النفاذ في ١٤ سبتمبر ٢٠٢٣، ومُنحت الجهات سنة تصحيحية انتهت في ١٤ سبتمبر ٢٠٢٤. فالإنفاذ الكامل قائم منذ ذلك التاريخ.

وهذا التاريخ الأخير هو ما يهمّك عملياً. فكل ما كُتب عن النظام قبل سبتمبر ٢٠٢٤ كان يتحدّث عن مهلة، وما بعده يتحدّث عن التزام.

الأفكار نفسها في لباس سعودي

وإن قرأت موضوع مبادئ الخصوصية فستجد الأفكار الست هنا كما هي: أساس نظامي للمعالجة، وحدّ أدنى للبيانات المجموعة، وغرض محدّد، ومدّة احتفاظ، وحقوق لصاحب البيانات، وأمن يحمي ما جمعته. والاختلاف في التفاصيل لا في المبدأ.

وثلاثة تفاصيل تستحق أن تعرفها لأنها تفرّق السعودية عن غيرها:

• الموافقة هي الأساس الافتراضي للمعالجة. وهذا أضيق من نهج أوروبا الذي يعطي «المصلحة المشروعة» مساحة أوسع.
• البيانات الحساسة تُعامل بحماية مشدّدة، وتشمل الأصل العرقي والمعتقد الديني والبيانات الصحية والائتمانية والبيانات الحيوية.
• نقل البيانات خارج المملكة مقيّد، ويحتاج تقييم مخاطر موثّقاً وضمانات معتمدة.

وتنبيه للعاملين في الفنتك تحديداً: البيانات الائتمانية حساسة بنصّ النظام. فأي شركة تمويل أو تقسيط تتعامل مع بيانات حساسة من يومها الأول، لا عند التوسّع.

فخّ الموافقة

ولأن الموافقة هي الأساس الافتراضي، صارت أكثر ما يخطئ فيه الناس. فالموافقة التي يعتدّ بها تكون صريحة، ومحدّدة الغرض، وحرّة، وقابلة للسحب في أي وقت.

وأربع ممارسات شائعة تكسر واحداً من هذه الشروط: المربّع المؤشّر سلفاً، والموافقة الواحدة على عشرة أغراض مجموعة في سطر، وربط الخدمة بموافقة لا تحتاجها الخدمة، وإخفاء السحب في مكان لا يجده أحد. فإن كان تسجيل المستخدم في تطبيقك يجمع موافقة على التسويق مع موافقة على تنفيذ العملية، فأنت أمام مشكلة واحدة تنتج عنها مشكلتان.

والعلاج تقنيّ بسيط ومملّ: سجّل كل موافقة بغرضها، وبوقتها، وبنصّ ما وافق عليه المستخدم فعلاً. فسؤال «على ماذا وافق هذا الشخص وفي أي تاريخ؟» يُسأل حين يكون الجواب مطلوباً فوراً.

ثلاثة التزامات تنساها الفرق التقنية

وأولها التسجيل. فجهة التحكّم تسجّل نفسها على منصّة حوكمة البيانات الوطنية، وهو إجراء إداري لا علاقة له بجودة الكود، ومع ذلك يُسأل عنه أولاً.

وثانيها تقييم أثر حماية البيانات. فقبل أي معالجة عالية الخطورة يُعدّ تقييم مكتوب. والتقييم في القطاع المالي ليس استثناءً بل قاعدة.

وثالثها تعيين مسؤول لحماية البيانات إن انطبقت المعايير على جهتك. وهو شخص باسمه ومسؤوليته، لا عنوان بريد مشترك.

ما يستطيع صاحب البيانات أن يطلبه

ويستطيع الشخص أن يعرف ما لديك عنه، وأن يحصل على نسخة منه، وأن يطلب تصحيحه، وأن يطلب إتلافه إذا لم يبقَ للاحتفاظ سبب. وسحب الموافقة حقّ أيضاً، وهو يوقف المعالجة التي بُنيت عليها.

والأثر التقني لهذه الحقوق أنك تحتاج أن تعرف أين تعيش بيانات شخص واحد. وهذا سهل في نظام واحد، وصعب حين تكون البيانات موزّعة على قاعدة بيانات، ومستودع تحليلات، وسجلّات، وثلاث نسخ احتياطية، وشركة تسويق. فمن يبني اليوم يستطيع أن يخطّط لهذا مسبقاً، ومن ورث نظاماً قديماً يدفع الثمن مرتين.

اثنتان وسبعون ساعة

وإن حدث تسرّب لبيانات شخصية أو تلف لها أو وصول غير مشروع إليها، فأنت تُشعر سدايا خلال اثنتين وسبعين ساعة من علمك بالحادثة. وهذه المهلة نصّت عليها المادة الرابعة والعشرون من اللائحة التنفيذية، لا النظام نفسه.

ولا يوجد حدّ أدنى لجسامة الحادثة. فليس لك أن تقرّر أن التسرّب صغير فتصمت. وتُقدّم الإشعارات عبر منصّة حوكمة البيانات الوطنية على dgp.sdaia.gov.sa.

وتُشعر صاحب البيانات نفسه أيضاً إن كان التسرّب يضرّ ببياناته أو يمسّ حقوقه أو مصالحه.

العقوبات

ونصّت المادة الخامسة والثلاثون على السجن مدة لا تزيد على سنتين وغرامة لا تزيد على ثلاثة ملايين ريال، أو إحداهما، على من أفصح عن بيانات حساسة أو نشرها مخالفاً النظام بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية. فهذه عقوبة جزائية على شخص، لا غرامة إدارية على شركة.

وأما المخالفات الأخرى فعقوبتها إنذار أو غرامة تصل إلى خمسة ملايين ريال، ويجوز مضاعفتها في حالة العود.

وحتى مطلع ٢٠٢٦ أصدرت سدايا عشرات قرارات الإنفاذ بحق جهات مخالفة. فالنظام ليس نصاً نائماً.

ولقطاع المال طبقة إضافية

ولا يُغني هذا النظام عن قواعد القطاع. فالبنك المركزي السعودي يفرض على الجهات المالية التزاماته الخاصة في حماية البيانات وأمن المعلومات، وهي تعمل فوق النظام لا بدلاً منه. فإن كنت في شركة فنتك سعودية فأنت تحت الاثنين معاً، وحين يتعارضان تتّبع الأشدّ.