اللائحة التنفيذية لنظام حماية البيانات الشخصية: الالتزامات التي تغفل عنها الشركات

النظام واللوائح والجدول الزمني

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ (16 سبتمبر 2021م)، وعُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ (27 مارس 2023م). ودخل النظام حيز النفاذ في 14 سبتمبر 2023م، ومُنحت الجهات مهلة عام للالتزام، فبدأ التطبيق الفعلي في 14 سبتمبر 2024م. والجهة المختصة هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

وتحمل لائحتان معظم التفاصيل التشغيلية:

• اللائحة التنفيذية لنظام حماية البيانات الشخصية، الصادرة في سبتمبر 2023م؛
• لائحة نقل البيانات الشخصية إلى خارج المملكة، التي عدّلتها سدايا عام 2024م.

وأصدرت سدايا كذلك أدلة إرشادية لتعيين مسؤول حماية البيانات الشخصية، وسياسات الخصوصية، وإتلاف البيانات، وإخفاء الهوية والترميز، وحالات الإفصاح. فإذا كان النظام يحدد ما الذي تحميه، فاللوائح تحدد السرعة والتكرار والسجلات المطلوبة.

طلبات أصحاب البيانات: 30 يوماً

يمنح النظام صاحب البيانات الحق في العلم، والوصول إلى بياناته، والحصول على نسخة منها بصيغة مقروءة، وتصحيحها، وإتلافها، والعدول عن موافقته.

وتحدد اللائحة التنفيذية المهلة: عليك الرد خلال 30 يوماً، ويجوز التمديد مرة واحدة لمدة مماثلة إذا تطلّب الطلب جهداً غير متوقع أو غير اعتيادي، أو إذا تعددت الطلبات من الشخص نفسه.

ويعني ذلك عملياً:

• قناة واحدة لاستقبال الطلبات لكل علامة تجارية، مع التحقق من هوية مقدّم الطلب قبل تسليم أي بيانات؛
• سجل للطلبات يوثّق تاريخ الاستلام والموعد النهائي والمسؤول والنتيجة؛
• إجراء بحث يشمل كل نظام يحتفظ ببيانات شخصية، ومنها النسخ الاحتياطية وأنظمة إدارة العملاء وأدوات الدعم والموردون.

إدارة الطلبات عبر بريد إلكتروني مشترك هي أكثر أسباب الإخفاق شيوعاً، فتفوت المهل ولا يستطيع أحد إثبات تاريخ وصول الطلب.

سجل أنشطة المعالجة

على جهة التحكم أن تحتفظ بسجل لأنشطة المعالجة طوال مدة المعالجة، ولمدة خمس سنوات بعد انتهائها. ويصف السجل كل نشاط معالجة: الغرض منه، وفئات البيانات الشخصية وأصحابها، والجهات التي تتلقاها، وأي نقل إلى خارج المملكة، ومدة الاحتفاظ، والتدابير التنظيمية والإدارية والتقنية التي تحمي البيانات.

تكتب معظم الجهات هذا السجل مرة واحدة لملف الامتثال ثم لا تحدّثه. الأفضل أن تربطه بإجراءات التغيير لديك: فلا يُطلق منتج أو يُعتمد مورد أو مسار بيانات جديد قبل أن يظهر في السجل.

متى يكون تقييم الأثر إلزامياً

يلزم إجراء تقييم أثر حماية البيانات الشخصية قبل أي معالجة تتضمن أياً مما يلي:

• البيانات الحساسة؛
• جمع مجموعتين أو أكثر من البيانات الشخصية من مصادر مختلفة أو مقارنتها أو ربطها؛
• المعالجة المنهجية واسعة النطاق لبيانات ناقصي الأهلية أو عديميها؛
• المراقبة المستمرة لأصحاب البيانات؛
• استخدام تقنيات جديدة؛
• اتخاذ قرارات تعتمد كلياً على المعالجة الآلية؛
• تقديم منتج أو خدمة يُرجّح أن تُلحق ضرراً جسيماً بخصوصية أصحاب البيانات.

ويعدّ النظام البيانات الائتمانية من البيانات الحساسة، إلى جانب البيانات الصحية والحيوية والوراثية وبيانات الموقع وغيرها. فقرارات الائتمان لدى جهة التمويل، والتسجيل الآلي لدى شركة التقنية المالية، ونموذج كشف الاحتيال الذي يربط بيانات الجهاز والموقع والعمليات، كلها تستوفي حالة واحدة على الأقل. أجرِ التقييم قبل الإطلاق، لا بعد أول شكوى.

المصلحة المشروعة مشروطة

يجيز النظام المعالجة لتحقيق مصلحة مشروعة لجهة التحكم، لكن اللائحة التنفيذية تقيّدها بشروط. فعليك توثيق تقييم للمصلحة المشروعة يوازن بين مصلحتك وحقوق صاحب البيانات ومصالحه، ولا يجوز الاستناد إليها لمعالجة البيانات الحساسة.

والخطأ الشائع هو التعامل مع المصلحة المشروعة كأساس افتراضي لكل ما لا تغطيه الموافقة. كل استخدام يحتاج إلى تقييم مستقل محفوظ.

جهات المعالجة والمعالجون من الباطن

يجب أن يتضمن عقدك مع كل جهة معالجة البنود التي تشترطها اللائحة، ومنها التزام جهة المعالجة بإبلاغك عن أي تسرّب دون تأخير غير مبرر. ولا يجوز لجهة المعالجة التعاقد مع معالج من الباطن إلا بموافقتك المسبقة، وعليها أن تحدد أي طرف آخر يتلقى البيانات. وتبقى أنت المسؤول عن التحقق من التزام جهات المعالجة.

وفي شركة التقنية المالية المعتادة، يشمل ذلك مزوّد الخدمات السحابية، ومورد التحقق من الهوية، ومزوّد الرسائل، ومنصة الدعم، وأدوات التحليل.

التسويق المباشر يحتاج إلى موافقة

تتطلب معالجة البيانات الشخصية لأغراض الإعلان أو التسويق المباشر موافقة صاحبها، مع إتاحة وسيلة سهلة للعدول عنها في أي وقت. والموافقة المدمجة في الشروط والأحكام لا تفي بهذا الشرط. اجعل موافقة التسويق مستقلة، وموثّقة، وقابلة للسحب.

الإشعار بالتسرّب: 72 ساعة

أبلغ سدايا عبر المنصة الوطنية لحوكمة البيانات خلال 72 ساعة من علمك بأي تسرّب قد يُلحق ضرراً بأصحاب البيانات أو يتعارض مع حقوقهم أو مصالحهم، وأبلغ أصحاب البيانات المتأثرين دون تأخير غير مبرر. وتبدأ المهلة من لحظة العلم بالحادثة، لا من انتهاء التحقيق.

مسؤول حماية البيانات الشخصية

يلزم تعيين مسؤول لحماية البيانات الشخصية إذا كانت الجهة جهة عامة تقدّم خدمات تتضمن معالجة واسعة النطاق، أو إذا كانت أنشطتها الأساسية تتضمن مراقبة منتظمة ومنهجية للأفراد، أو إذا كانت أنشطتها الأساسية تقوم على معالجة البيانات الحساسة. ويجوز أن يكون المسؤول موظفاً لديها أو متعاقداً من خارجها.

ولأن البيانات الائتمانية حساسة، فعلى جهات التمويل وشركات التقنية المالية القائمة على الائتمان أن تخطط لتعيين مسؤول حماية بيانات.

العقوبات

يُعاقب من أفصح عن بيانات حساسة أو نشرها بالمخالفة لأحكام النظام، بقصد الإضرار أو تحقيق منفعة شخصية، بالسجن مدة لا تزيد على سنتين، أو بغرامة لا تزيد على ثلاثة ملايين ريال، أو بهما معاً. وتُعاقب المخالفات الأخرى بالإنذار أو بغرامة لا تزيد على خمسة ملايين ريال، ويجوز مضاعفة الغرامة عند تكرار المخالفة. ويحق للمتضرر المطالبة بالتعويض عن الضرر المادي أو المعنوي.

قائمة تحقق للائحة التنفيذية

تبني ليمـاز برامج الامتثال لنظام حماية البيانات الشخصية كأنظمة تشغيل لا كمجموعات وثائق: جرد البيانات، ومسارات الحقوق، وتقييمات الأثر، وضوابط جهات المعالجة، والتدابير التقنية. تعرّف على خدمة الامتثال لنظام حماية البيانات الشخصية.