حتى أكتوبر 2026، نظام حماية البيانات الشخصية (PDPL) ولائحته التنفيذية نافذان، والجهة المختصة بالإشراف عليهما هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). سياسة الخصوصية هي الجزء السهل؛ العمل الحقيقي في البنية التي خلفها. هذه قائمة التحقق التي أعمل بها مع المؤسس قبل الإطلاق، سواء بنى تطبيقه بفريقه أو عبر شركة برمجة تطبيقات. وهي إرشادات هندسية وليست استشارة قانونية؛ فاعرض الأسس النظامية والعقود على محامٍ مرخّص في المملكة.
هل يسري نظام حماية البيانات الشخصية على تطبيقي إذا كانت شركتي خارج السعودية؟
نعم، فيما يخص البيانات الشخصية للأفراد المقيمين في المملكة. إذ تطبّق المادة الثانية من النظام أحكامه على أي معالجة تتم في المملكة، «بما في ذلك معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة بأي وسيلة كانت من أي جهة خارج المملكة».
العبرة بصاحب البيانات، لا بمكان تسجيل الشركة ولا بموقع الخوادم؛ فمنصة برمجيات تُقدَّم كخدمة (SaaS) مسجلة في الإمارات ولديها مستخدمون في السعودية تدخل بياناتهم في النطاق. ومعظم الالتزامات على «جهة التحكم» التي تحدد الغرض من المعالجة وكيفيتها، لكن المادة السابعة عشرة من اللائحة التنفيذية تعامل «جهة المعالجة» التي تخالف تعليمات جهة التحكم معاملة جهة التحكم، وتحمّلها المسؤولية مباشرة. وهذا يهم كل شركة برمجة تشغّل تطبيقاً لعميل سعودي.
أما العقوبات، فتجيز المادة السادسة والثلاثون من النظام الإنذار أو غرامة لا تزيد على 5 ملايين ريال، وتجوز مضاعفتها عند تكرار المخالفة. ومن أفصح عن بيانات حساسة أو نشرها مخالفاً النظام بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية، يُعاقب بالسجن مدة لا تزيد على سنتين وبغرامة لا تزيد على 3 ملايين ريال، أو بإحداهما (المادة الخامسة والثلاثون من النظام). ويجوز نشر ملخص القرار على نفقة المخالف، وهذا ما يقلقني أكثر من الغرامة.
ماذا يتطلب الامتثال لنظام حماية البيانات الشخصية من الناحية الهندسية؟
أحد عشر ضابطاً: الالتزام، والضابط الهندسي الذي يحققه، ومسؤول واحد يُحاسَب عليه. والأرقام هي أرقام المواد في النظام وفي اللائحة التنفيذية.
| الالتزام (المصدر) | الضابط الهندسي | المسؤول |
|---|---|---|
| الموافقة والأساس النظامي (النظام 5 و6 و7؛ اللائحة 11 و12) | سجل موافقة لكل غرض يحفظ الوقت والوسيلة، وسحب الموافقة بسهولة منحها | مدير المنتج |
| الإبلاغ عند الجمع (النظام 12 و13؛ اللائحة 4) | سياسة خصوصية قبل الجمع، وإشعارات بالغرض ومدة الاحتفاظ وأي نقل إلى الخارج | مدير المنتج |
| الحد الأدنى من البيانات (النظام 11؛ اللائحة 19) | خريطة بيانات على مستوى الحقل تربط كل حقل بغرض | مالك البيانات |
| الاحتفاظ والإتلاف (النظام 18؛ اللائحة 8) | مدة احتفاظ لكل فئة بيانات، وحذف مجدول أو إخفاء للهوية يشمل النسخ الاحتياطية | قائد تطوير الواجهة الخلفية |
| حقوق صاحب البيانات (النظام 4؛ اللائحة 3 و6 و10) | نظام تذاكر للطلبات، وتحقق من الهوية، ومهلة 30 يوماً، وتصدير بصيغة شائعة | قائد الدعم |
| أمن المعلومات (النظام 19؛ اللائحة 23) | ضوابط الهيئة الوطنية للأمن السيبراني إن كانت ملزمة لك، وإلا فمعيار معترف به | قائد الأمن |
| الإشعار بالتسرب (النظام 20؛ اللائحة 24) | رصد، وتوثيق وقت العلم، وإشعار سدايا خلال 72 ساعة، وإشعار المستخدمين | قائد الأمن |
| تقويم الأثر (النظام 22؛ اللائحة 25) | تقويم مكتوب قبل إطلاق أي معالجة تستوجبه | مسؤول حماية البيانات |
| سجل أنشطة المعالجة (النظام 31؛ اللائحة 33) | سجل حيّ لأنشطة المعالجة يُحفظ 5 سنوات بعد انتهاء كل نشاط | مسؤول حماية البيانات |
| جهات المعالجة (النظام 8؛ اللائحة 17) | البنود التعاقدية المطلوبة، وموافقة على المتعاقدين من الباطن، ومراجعة دورية | المؤسس |
| النقل إلى خارج المملكة (النظام 29؛ لائحة النقل) | خريطة تدفق البيانات، والضمانات، وتقويم مخاطر النقل، ومفتاح إيقاف لكل تدفق | مهندس معمارية الأنظمة |
أضف كل سطر إلى وثيقة المتطلبات (SRS) مع معايير قبول واضحة؛ فتصميم الضوابط من البداية أوفر بكثير من إضافتها لاحقاً، لذا أدرجها في النطاق قبل أن تسأل أي شركة برمجة عن تكلفة إنشاء التطبيق. وقد شرحت الطريقة في دليل كتابة وثيقة المتطلبات.
كيف نبني الموافقة وتقليل البيانات والإتلاف داخل المنتج؟
الموافقة سجلٌّ يُثبَت، لا مربع اختيار: أثبت من وافق، وعلى أي غرض، ومتى، وكيف، واجعل سحب الموافقة بسهولة منحها أو أسهل.
تشترط المادة الحادية عشرة من اللائحة التنفيذية موافقة قابلة للتحقق لاحقاً، موثقة بوقتها ووسيلتها، ومستقلة لكل غرض، وموافقة صريحة للبيانات الحساسة والائتمانية والقرارات المتخذة بالمعالجة الآلية وحدها. وتمنع المادة السابعة من النظام جعل الموافقة شرطاً لتقديم الخدمة إلا إذا كانت الخدمة متصلة مباشرة بتلك المعالجة.
ما أبحث عنه في الشيفرة البرمجية:
- سجل للأغراض، وجدول موافقات مفتاحه المستخدم والغرض وإصدار سياسة الخصوصية، مع الأوقات والوسيلة.
- خريطة بيانات على مستوى الحقل؛ فالمادة التاسعة عشرة من اللائحة التنفيذية تقصر الجمع على ما يحتاجه كل غرض، وتذكر خرائط البيانات وسيلةً للإثبات. والحقل الذي لا غرض له يُحذف من قاعدة البيانات.
- مدة احتفاظ لكل فئة بيانات تنفذها مهام مجدولة؛ فالمادة الثامنة من اللائحة التنفيذية توجب الإتلاف، بما في ذلك النسخ الاحتياطية ومع مراعاة المتطلبات النظامية ذات العلاقة، عند طلب صاحب البيانات، أو انتهاء الغرض، أو سحب الموافقة إن كانت الأساس الوحيد، أو العلم بأن البيانات تُعالَج بطريقة مخالفة للنظام. ومفاتيح تشفير قابلة للإتلاف لكل مستخدم تجعل ذلك ممكناً في النسخ الاحتياطية.
- بيانات مُخفاة الهوية أو اصطناعية خارج بيئة الإنتاج. فالبيانات لا تخرج من وصف البيانات الشخصية إلا إذا تعذّر التعرف على أصحابها نهائياً (المادة التاسعة من اللائحة التنفيذية)، أما البيانات المرمّزة التي يمكن ربطها بأصحابها بمفتاح محفوظ على حدة فلا تخرج منه.
كيف نلبي طلبات أصحاب البيانات خلال 30 يوماً؟
تعامل مع كل طلب كتذكرة مهلتها 30 يوماً. وتسمح المادة الثالثة من اللائحة التنفيذية بتمديد واحد لا يزيد على 30 يوماً إضافية، إذا تطلب التنفيذ جهداً غير معتاد أو تعددت طلبات الشخص نفسه، بشرط إشعاره مسبقاً بالتمديد ومبرراته.
وتمنح المادة الرابعة من النظام حق العلم، والوصول، والحصول على نسخة مقروءة، والتصحيح، وطلب الإتلاف. تحقق من هوية مقدم الطلب، ووثّق كل الطلبات بما فيها الشفهية، ووفّر الوسائل التي تذكرها المادة العاشرة من اللائحة التنفيذية، مثل البريد الإلكتروني والرسائل النصية والتطبيق. ويجوز عدم معالجة الطلب المتكرر دون مبرر أو الذي يتطلب جهداً غير عادي، على أن يكون ذلك مسبباً ويُشعَر به صاحب البيانات.
الفخ الهندسي هنا هو التشعب: بيانات المستخدم موزعة بين قاعدة البيانات الرئيسية، والتحليلات، ومنصة إدارة علاقات العملاء (CRM)، ومنصة الدعم، والسجلات، وأدوات SaaS. ابنِ خدمة داخلية واحدة تعرف كل مخزن، ثم مهام تصدير وحذف تصل إلى كل مخزن، بما في ذلك المزودون. وإذا وقّع المزود نموذج «جهة تحكم إلى جهة معالجة» من البنود التعاقدية القياسية لسدايا، فعليه أن يحيل إليك أي طلب يتلقاه خلال 48 ساعة. والتصحيح يتشعب كذلك؛ فالمادة السابعة من اللائحة التنفيذية توجب إشعار الجهات التي أُفصح لها سابقاً عن البيانات دون تأخير. جرّب المسار كاملاً قبل الإطلاق.
ماذا يجب أن يحدث خلال 72 ساعة من العلم بتسرب البيانات؟
إذا كان من شأن التسرب الإضرار بالبيانات أو بأصحابها، فعليك إشعار سدايا خلال 72 ساعة من وقت علمك بالحادثة، وإشعار المتضررين دون تأخير غير مبرر (المادة الرابعة والعشرون من اللائحة التنفيذية). والساعة تبدأ من لحظة العلم، فالرصد هو ما يحدد التزامك بالمهلة.
وتعريف تسرب البيانات الشخصية في المادة الأولى من اللائحة التنفيذية واسع: أي حادثة تؤدي إلى الإفصاح عن البيانات الشخصية أو تلفها أو الوصول غير المشروع إليها، بقصد أو بغير قصد؛ وحاوية تخزين تُركت مفتوحة للعامة قد تدخل في ذلك. وتوفر منصة حوكمة البيانات الوطنية التابعة لسدايا خدمة للإشعار عن حوادث التسرب. وهذه خطة الاستجابة التي أعتمدها:
- الساعة صفر: افتح بلاغ حادثة، وسجّل وقت العلم، وعيّن قائداً واحداً للحادثة.
- الاحتواء: ألغِ المفاتيح المكشوفة، وأغلق مصدر الانكشاف، واحفظ السجلات.
- تحديد النطاق: فئات البيانات، والعدد التقريبي للمتأثرين، والخدمات التقنية المتأثرة.
- تقدير الضرر: قرّر هل يمكن أن تسبب الحادثة ضرراً، ودوّن أسبابك.
- إشعار سدايا قبل انقضاء 72 ساعة: ماذا حدث ومتى، ومتى علمت، وفئات البيانات وأعداد المتأثرين، والمخاطر، والإجراءات المتخذة والمخطط لها، وهل أُشعر أصحاب البيانات، وبيانات التواصل. وما لم يتوفر يُقدَّم في أقرب وقت ممكن مع مبررات التأخير.
- إشعار المستخدمين بلغة مبسطة وواضحة: ماذا حدث، وما المخاطر، وماذا فعلت، وما الذي ينبغي لهم فعله؛ وبالعربية أولاً للمستخدمين في السعودية.
- الإغلاق: احتفظ بنسخ مما قدمته وبأدلة الإجراءات التصحيحية.
والمادة السابعة عشرة من اللائحة التنفيذية توجب أن يتضمن العقد التزام جهة المعالجة بإشعارك بالتسرب دون تأخير غير مبرر، ونموذج «جهة تحكم إلى جهة معالجة» في البنود التعاقدية القياسية لسدايا أشد: 24 ساعة ليُشعرك المزود، ثم 48 ساعة لا 72 لتُشعر أنت سدايا. صمّم خطتك على المهلة الأقصر، وأي التزام بالإبلاغ للهيئة الوطنية للأمن السيبراني مستقل عن ذلك.
متى نحتاج إلى تقويم الأثر ومسؤول حماية البيانات والتسجيل لدى سدايا؟
لكلٍّ منها محفزاته؛ فراجع الثلاثة قبل الإطلاق.
تقويم الأثر على حماية البيانات (DPIA)
توجب المادة الخامسة والعشرون من اللائحة التنفيذية تقويماً مكتوباً إذا كنت تعالج بيانات حساسة؛ أو تجمع أو تقارن أو تربط مجموعتين أو أكثر من البيانات الشخصية من مصادر مختلفة؛ أو تقدم منتجاً يُحتمل أن يُلحق أضراراً جسيمة بالخصوصية؛ أو كان نشاطك يتضمن، على نطاق واسع أو بصورة متكررة، معالجة بيانات ناقصي الأهلية أو عديميها، أو مراقبة مستمرة لأصحاب البيانات، أو تقنيات ناشئة، أو قرارات مبنية على المعالجة الآلية. وتوفر منصة حوكمة البيانات الوطنية خدمة باسم «تقييم الأثر على الخصوصية».
مسؤول حماية البيانات الشخصية (DPO)
توجب المادة الثانية والثلاثون من اللائحة التنفيذية تعيين مسؤول أو أكثر إذا كنت جهة عامة تعالج البيانات على نطاق واسع، أو كانت أنشطتك الأساسية تتطلب مراقبة منتظمة وممنهجة لأصحاب البيانات، أو قائمة على معالجة بيانات حساسة. ويجوز أن يكون المسؤول أحد مسؤولي جهة التحكم أو موظفاً لديها أو متعاقداً خارجياً. والمنتجات المبنية على التتبع المستمر للموقع أو تحليل سلوك المستخدمين ينبغي أن تفترض أن محفز المراقبة ينطبق عليها.
التسجيل في السجل الوطني لجهات التحكم
توجب القواعد المنظمة للسجل الوطني لجهات التحكم داخل المملكة التسجيل في منصة حوكمة البيانات الوطنية إذا كانت جهة التحكم جهة عامة، أو كان نشاطها الرئيسي قائماً على معالجة البيانات الشخصية، أو كانت تعالج بيانات حساسة. وتنص القواعد على أن الجهة المختصة ستصدر قواعد التسجيل لجهات التحكم خارج المملكة.
هل يمكننا الاستعانة بمزودين أو خوادم أو مهندسين خارج المملكة؟
نعم، لكن كل تدفق للبيانات يحتاج مساراً نظامياً وفق المادة التاسعة والعشرين من النظام ولائحة نقل البيانات الشخصية إلى خارج المملكة (الإصدار 2.0، أغسطس 2024).
مثال افتراضي: تطبيق توصيل سعودي يستطيع فريق دعمه في الخارج فتح ملفات العملاء. لا تُنسخ أي بيانات إلى الخارج، لكن دليل سدايا الاسترشادي لتقويم مخاطر النقل (فبراير 2025، وهو غير ملزم) يعدّ الوصول عن بعد من صور النقل، ويطلب تحديد الدولة التي تُخزَّن فيها البيانات بدقة، بما في ذلك النسخ الاحتياطية. والمسار باختصار:
- الغرض والشروط: غرض تنص عليه المادة التاسعة والعشرون أو تضيفه لائحة النقل، مثل عمليات المعالجة المركزية أو تقديم خدمة لصاحب البيانات؛ وألا يمس النقل الأمن الوطني أو مصالح المملكة الحيوية؛ وتوفر مستوى حماية مناسب لدى الجهة المستقبِلة؛ والاقتصار على الحد الأدنى من البيانات. وتنص لائحة النقل على أن تنشر سدايا قائمة بالدول والمنظمات التي توفر حماية مناسبة.
- الإعفاءات: وإلا فإحدى خمس حالات إعفاء، ترتبط كل منها بضمانات مثل البنود التعاقدية القياسية، أو القواعد المشتركة الملزمة، أو شهادة الاعتماد.
- تقويم المخاطر: قبل النقل وفق حالات الإعفاء تلك، وقبل نقل البيانات الحساسة بصفة مستمرة أو على نطاق واسع (المادة السابعة من لائحة النقل).
- التوقف عند الإخفاق: إذا لم تُطبَّق الضمانات أو رأت سدايا أنها غير كافية، فأوقف النقل وأشعر الجهات التي نُقلت إليها البيانات (المادة السادسة من لائحة النقل).
وتأتي البنود التعاقدية القياسية لسدايا (الإصدار 1.0، سبتمبر 2024) في أربعة نماذج: جهة تحكم إلى جهة تحكم، وجهة تحكم إلى جهة معالجة، وجهة معالجة إلى جهة معالجة، وجهة معالجة إلى جهة تحكم. وتعريفها للنقل يشمل «منح حق الوصول».
واختيار جهات المعالجة فوق ذلك كله: فالمادة الثامنة من النظام تقصر التعامل على جهات معالجة توفر الضمانات اللازمة، والمادة السابعة عشرة من اللائحة التنفيذية تحدد بنود العقد، من الإشعار بالتسرب وخضوع جهة المعالجة لأنظمة دول أخرى إلى المتعاقدين من الباطن الذين توافق عليهم مسبقاً. وقد جمعت بقية بنود العقد في قائمة ما قبل التوقيع مع شركة برمجة.
والبنية التي أريدها خلف ذلك: خريطة تدفق بيانات تشمل السجلات وأدوات تتبع الأخطاء وحزم التحليلات وواجهات برمجة تطبيقات الذكاء الاصطناعي؛ وبيانات اصطناعية أو مرمّزة خارج الإنتاج؛ ووصولاً مؤقتاً ومسجلاً عبر وسيط للمهندسين في الخارج؛ وتثبيت البيانات الحساسة في منطقة استضافة واحدة؛ ومفتاحاً يوقف أي تدفق عابر للحدود دون إيقاف المنتج.
هل يجب استضافة بيانات التطبيق داخل السعودية؟
حتى أكتوبر 2026، لا أعرف قاعدة منشورة واحدة تُلزم كل شركة ناشئة خاصة بالاستضافة داخل المملكة. عملاؤك وبياناتك وقطاعك هي التي تحسم الأمر، وكثيراً ما يأتي الشرط الأشد عبر عقد العميل.
الاعتقاد بأن الهيئة الوطنية للأمن السيبراني تشترط الاستضافة داخل المملكة لم يعد دقيقاً. إذ تطبَّق الضوابط الأساسية للأمن السيبراني (ECC-2:2024) على الجهات الحكومية والجهات والشركات التابعة لها، وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. ويدرج جدول التحديثات فيها ضمن المحذوفات الضابط الذي كان ينص على أن تكون استضافة معلومات الجهة وتخزينها داخل المملكة، لأن ضوابط توطين البيانات نُقلت إلى مكتب إدارة البيانات الوطنية (NDMO) في سدايا، وعلى الجهات الرجوع إليه قبل اتخاذ أي إجراء. كما حذفت ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) الضوابط الفرعية المقابلة التي كانت تشترط تقديم الخدمات السحابية من داخل المملكة؛ وهي تُلزم مقدمي الخدمات السحابية الذين يخدمون جهات حكومية أو مشغلي بنى تحتية حساسة، لا من يقتصر على خدمة الأفراد وشركات القطاع الخاص التي لا تملك بنى تحتية حساسة.
عوامل القرار عندي:
- من عملاؤك؟ الوزارات ومشغلو البنى التحتية الحساسة يُدخلون ضوابط الهيئة الوطنية للأمن السيبراني، وغالباً شروط الاستضافة، في العقد.
- ما البيانات التي تحتفظ بها؟ في البيانات الصحية والائتمانية تحيل اللائحة التنفيذية إلى جهات تنظيمية قطاعية، مثل وزارة الصحة والبنك المركزي السعودي.
- هل تستطيع استيفاء قواعد النقل؟ إذا كان كل تدفق خارجي يحتاج ضمانات وتقويم مخاطر، فقد تكون منطقة استضافة داخل المملكة أبسط.
- هل تناول مكتب إدارة البيانات الوطنية حالتك؟ نصوص الهيئة الوطنية للأمن السيبراني تحيل أسئلة التوطين إليه، فتحقّق قبل أن تلتزم.
هذه القواعد تغيرت في 2024 و2025، فدوّن قرار الاستضافة مع تاريخه وأسبابه.