القاعدة باختصار
يجيز نظام حماية البيانات الشخصية نقل البيانات الشخصية أو الإفصاح عنها خارج المملكة لأغراض محددة وبشروط. وتحدد لائحة نقل البيانات الشخصية إلى خارج المملكة، التي عدّلتها الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) في 1 سبتمبر 2024م، كيفية ذلك. ويحتاج كل نقل إلى غرض، وآلية، وتوثيق.
إذا كانت جهتك تستخدم منطقة سحابية في الخارج، أو أداة SaaS مستضافة خارج المملكة، أو مورداً أجنبياً للتحقق من الهوية، أو ترفع تقارير إلى شركة أم في الخارج، فأنت تنقل بيانات شخصية.
شروط تنطبق على كل نقل
- ألا يمس النقل الأمن الوطني للمملكة أو مصالحها الحيوية.
- أن يحقق غرضاً يجيزه النظام، كتنفيذ التزام يكون صاحب البيانات طرفاً فيه.
- أن يقتصر على الحد الأدنى من البيانات الشخصية اللازمة للغرض، إلا إذا استندت إلى إحدى الضمانات المناسبة أدناه، فهي تُعفي من هذا القيد.
آليات النقل
الكفاية
يجوز النقل إلى الدول والجهات التي تقيّم سدايا أنها توفر مستوى كافياً من حماية البيانات الشخصية. ومتى توفرت الكفاية فهي أبسط الطرق.
الضمانات المناسبة
إذا لم تتوفر الكفاية، تعترف اللائحة بثلاث ضمانات مناسبة:
- البنود التعاقدية القياسية. نشرت سدايا أربع صيغ منها: من جهة التحكم إلى جهة المعالجة، ومن جهة التحكم إلى جهة التحكم، ومن جهة المعالجة إلى جهة التحكم، ومن جهة المعالجة إلى جهة المعالجة. وأي تعديل على البنود يُبطلها، ولا يجوز أن يتعارض معها باقي العقد.
- القواعد المؤسسية الملزمة. قواعد تعتمدها مجموعة شركات متعددة الجنسيات للنقل بين كياناتها.
- شهادة الاعتماد الصادرة للجهة المتلقية.
الاستثناءات
تجيز اللائحة كذلك عدداً محدوداً من حالات النقل دون كفاية أو ضمانات. تعامل معها كاستثناءات ضيقة لا كأساس دائم، ووثّق سبب انطباق كل منها.
متى يلزم تقييم مخاطر النقل
يلزمك إجراء تقييم للمخاطر حين:
- تنقل البيانات الشخصية استناداً إلى إحدى الضمانات المناسبة؛ أو
- تنقل بيانات حساسة إلى خارج المملكة بصورة مستمرة أو واسعة النطاق.
والبيانات الحساسة في النظام تشمل البيانات الائتمانية والصحية والحيوية والوراثية وبيانات الموقع وغيرها. فشركة التقنية المالية التي ترسل بيانات ائتمانية إلى خدمة تقييم في الخارج، أو صور التحقق الحيوي إلى مورد أجنبي للتحقق من الهوية، تحتاج إلى هذا التقييم.
ويغطي التقييم المفيد الغرض والأساس النظامي، وفئات البيانات وأصحابها، والوجهة وبيئتها النظامية، والضمانات المطبّقة، والأثر المحتمل على أصحاب البيانات، والتدابير التي تحدّ منه.
المتطلبات القطاعية تأتي فوق ذلك
نظام حماية البيانات الشخصية هو الحد الأدنى لا الحد الأعلى.
- المؤسسات المالية الخاضعة لإشراف البنك المركزي السعودي تلتزم أيضاً بمتطلبات الإسناد والحوسبة السحابية الصادرة عنه، ومنها الحصول على الموافقة متى اشترطتها القواعد، قبل نقل البيانات إلى مزوّد خدمة مُسندة أو سحابية.
- البيانات الحكومية تخضع لقواعد إدارة البيانات الوطنية وتصنيفها الصادرة عن مكتب إدارة البيانات الوطنية لدى سدايا.
- الضوابط الأساسية للأمن السيبراني لم تعد تنص على متطلب الاستضافة مباشرة منذ الإصدار ECC-2:2024، فأصبحت قواعد البيانات هذه هي المرجع. اطّلع على ما الذي تغيّر في الإصدار ECC-2:2024.
ابدأ بالمتطلب القطاعي، فالنقل الذي يجيزه النظام قد يحتاج مع ذلك إلى موافقة جهتك التنظيمية.
مسار قرار يمكنك توثيقه
- ارسم مسار البيانات. أي بيانات، وعن مَن، وإلى أي جهة، وفي أي دولة، ولأي غرض.
- صنّف البيانات. هل فيها بيانات حساسة؟ طبّق قواعد تصنيف البيانات لديك.
- تحقق من المتطلبات القطاعية. البنك المركزي، أو مكتب إدارة البيانات الوطنية، أو أي جهة تنظيمية أخرى معنية.
- قلّل البيانات. أرسل ما يحتاجه الغرض فقط، أو أخفِ الهوية أو رمّز البيانات قبل النقل.
- اختر الآلية. الكفاية أولاً، ثم الضمانات المناسبة، ثم الاستثناء الموثّق.
- وقّع صيغة البنود التعاقدية المناسبة دون تعديل، أو تحقق من القواعد المؤسسية الملزمة أو شهادة الاعتماد.
- أجرِ تقييم المخاطر متى اشترطته اللائحة.
- وثّق النقل. حدّث سجل أنشطة المعالجة وإشعار الخصوصية.
- راجع عند كل تغيير. مورد جديد أو منطقة استضافة أو فئة بيانات أو غرض جديد يعيدك إلى أول المسار.
حالات شائعة
| الحالة | المسار المعتاد |
|---|---|
| أداة لإدارة العملاء أو الدعم مستضافة في الخارج، والمورد جهة معالجة لصالحك | بنود تعاقدية قياسية من جهة التحكم إلى جهة المعالجة مع تقييم للمخاطر؛ وعلى الجهات الخاضعة لإشراف البنك المركزي التحقق من متطلبات الإسناد أولاً |
| رفع بيانات العملاء إلى شركة أم في الخارج | قواعد مؤسسية ملزمة داخل المجموعة، أو بنود تعاقدية من جهة التحكم إلى جهة التحكم |
| مورد للتحقق من الهوية يعالج بيانات حيوية في الخارج | بنود من جهة التحكم إلى جهة المعالجة مع تقييم للمخاطر، لأن البيانات الحيوية حساسة |
| تشغيل بيئة الإنتاج في منطقة سحابية خارج المملكة | للجهات الخاضعة لإشراف البنك المركزي: موافقة الإسناد والحوسبة السحابية أولاً، والاستضافة في منطقة داخل المملكة تلغي النقل من الأساس |
| مورد خارجي يستعين بمعالج من الباطن | بنود من جهة المعالجة إلى جهة المعالجة، مع موافقتك المسبقة على المعالج من الباطن |
أين تتعثر الجهات
- غياب حصر لعمليات النقل، فلا يعرف أحد أي أدوات SaaS تحتفظ ببيانات شخصية في الخارج.
- تعديل البنود التعاقدية القياسية لتناسب نموذج عقد المورد، وهو ما يُبطلها.
- نقل بيانات حساسة إلى الخارج بصورة مستمرة دون تقييم مخاطر موثّق.
- الاستناد إلى استثناء في نقل دائم ومتكرر.
- إشعارات خصوصية لا تذكر النقل إلى خارج المملكة.
ترسم ليمـاز مسارات البيانات، وتصنّفها، وتضع آليات النقل والعقود والتقييمات اللازمة. تعرّف على خدمة الامتثال لنظام حماية البيانات الشخصية، واقرأ دليلنا عن اللائحة التنفيذية لنظام حماية البيانات الشخصية.