امتثال لنظام حماية البيانات الشخصية، مطبّق في عملياتك اليومية

هو النظام الأساسي لحماية البيانات الشخصية في المملكة، وتنشر الجهات المختصة ومنها سدايا نصوصه الرسمية ولوائحه التنفيذية.

هو الإطار الذي يحدد سجلات البيانات ومسؤوليها، ومسارات الطلبات، وضوابط المعالجين، وقواعد التصنيف، والتدابير التقنية ضمن العمل اليومي.

لا. يشمل النظام كل معالجة للبيانات الشخصية المتعلقة بأفراد في المملكة، بما فيها المعالجة التي تجريها جهات خارجها، أياً كان مكان تسجيل الشركة.

لا. يتشاركان في مواضيع مثل الجرد والحقوق والمعالجين والأمن، لكنهما نظامان مختلفان.

دخل نظام حماية البيانات الشخصية حيز النفاذ في 14 سبتمبر 2023. وقد صدر بالمرسوم الملكي رقم (م/19) عام 1443هـ، وعُدّل بالمرسوم الملكي رقم (م/148) عام 1444هـ. ومُنحت جهات التحكم فترة تصحيحية مدتها سنة لم تفرض خلالها سدايا عقوبات، وانتهت في 14 سبتمبر 2024. ومنذ ذلك التاريخ أصبح النظام ولائحته التنفيذية نافذين بالكامل.

يُعاقب على المخالفات الإدارية بالإنذار أو بغرامة لا تزيد على 5 ملايين ريال، ويجوز مضاعفتها عند التكرار حتى 10 ملايين ريال. أما الإفصاح عن البيانات الحساسة أو نشرها بقصد الإضرار أو تحقيق منفعة شخصية، فعقوبته السجن مدة لا تزيد على سنتين، أو غرامة لا تزيد على 3 ملايين ريال، أو هما معاً، مع جواز مصادرة المتحصلات ونشر ملخص الحكم.

يجب إشعار سدايا خلال 72 ساعة من العلم بالحادثة، متى كان من شأنها الإضرار بالبيانات الشخصية أو بأصحابها. ويتضمن الإشعار وصف الحادثة، والمتأثرين، والسجلات المعنية، والمخاطر، والإجراءات المتخذة. وإذا نقصت بعض المعلومات فتُستكمل في أقرب وقت مع بيان سبب التأخير. ويُبلَّغ أصحاب البيانات المتأثرون دون تأخير غير مبرر وبلغة مبسطة.

توجب اللائحة التنفيذية تعيين مسؤول حماية البيانات في ثلاث حالات: أن تكون جهة التحكم جهة عامة تعالج بيانات شخصية على نطاق واسع، أو أن تتطلب أنشطتها الأساسية مراقبة منتظمة ومستمرة للأفراد، أو أن تقوم أنشطتها الأساسية على معالجة بيانات حساسة. ويجوز أن يكون المسؤول موظفاً لدى الجهة أو متعاقداً من خارجها، وقد أصدرت سدايا قواعد خاصة بتعيينه.

على جهة التحكم الرد خلال 30 يوماً. ويجوز تمديد المهلة 30 يوماً أخرى إذا تطلب تنفيذ الطلب جهداً غير معتاد أو تعددت الطلبات في وقت واحد، بشرط إبلاغ صاحب البيانات مسبقاً بالتمديد وسببه. وتسري المهلة نفسها على طلبات الوصول إلى البيانات والحصول على نسخة منها وتصحيحها وإتلافها.

يلزم التسجيل في السجل الوطني لجهات التحكم عبر المنصة إذا كانت الجهة جهة عامة، أو كان نشاطها الرئيس معالجة البيانات الشخصية، أو كانت تعالج بيانات حساسة. وتعيّن جهات القطاع الخاص مفوضاً يتولى التسجيل، وتصدر للجهة المسجلة شهادة تُجدَّد قبل انتهائها. وتُستخدم المنصة نفسها لتقديم إشعارات حوادث تسرب البيانات.

نعم، وفق النظام ولائحة نقل البيانات الشخصية إلى خارج المملكة. ويُشترط ألا يمس النقل الأمن الوطني، وأن تكون الوجهة ذات مستوى حماية مناسب أو أن يستند النقل إلى ضمانات مثل البنود التعاقدية المعيارية الصادرة عن سدايا أو القواعد المؤسسية الملزمة، وأن يقتصر على الحد الأدنى من البيانات. ويلزم تقييم المخاطر عند الاستناد إلى الضمانات أو نقل بيانات حساسة بصفة مستمرة أو واسعة.

يجعل النظام السعودي الموافقة أصلاً للمعالجة، ويمنع الاستناد إلى المصلحة المشروعة في البيانات الحساسة. ويضيف عقوبات جزائية على إفشاء البيانات الحساسة، ويحدد سقف الغرامة بخمسة ملايين ريال قابلة للمضاعفة عند التكرار بدلاً من نسبة من الإيرادات، ويشترط التسجيل لدى سدايا، وله بنوده التعاقدية وتقييمات مخاطر النقل الخاصة به. ويتفق النظامان في مهلة 72 ساعة للإبلاغ عن الحوادث وفي مهلة شهر تقريباً للرد على الطلبات، غير أن النظام السعودي يسمح بتمديدها 30 يوماً فقط، بينما تسمح اللائحة الأوروبية بتمديدها شهرين إضافيين.