قائمة التحقق للامتثال لنظام حماية البيانات الشخصية للجهات السعودية

النظام باختصار

صدر نظام حماية البيانات الشخصية في المملكة العربية السعودية بالمرسوم الملكي رقم (م/19) عام 2021 وعُدّل عام 2023. ودخل حيز النفاذ في 14 سبتمبر 2023، وبعد مهلة تصحيحية مدتها عام أصبح نافذًا بالكامل في 14 سبتمبر 2024. والهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) هي الجهة المختصة، وتدعمه لوائح تنفيذية ولائحة منفصلة لنقل البيانات الشخصية خارج المملكة.

ينطبق النظام على أي معالجة لبيانات شخصية تتعلق بأفراد في المملكة، بما في ذلك المعالجة من جهات خارجها. وهو ليس تمرينًا لكتابة المستندات: بل يتطلب عمليات عاملة وأدلة على أنها تعمل.

قائمة التحقق

استخدم ما يلي نقطة انطلاق منظمة. ويجب أن يكون لكل بند مالك وأدلة.

• جرد البيانات — اعرف البيانات الشخصية التي تحتفظ بها، وأين، ولماذا، ولكم من الوقت، ومن يستطيع الوصول إليها.
• سجلات المعالجة — احتفظ بسجلات لأنشطة المعالجة تغطي الأغراض والفئات والمستلمين والنقل والاحتفاظ.
• الأساس النظامي — حدد أساسًا نظاميًا لكل نشاط معالجة. فالموافقة أحد الأسس، ويعترف النظام أيضًا بأسس أخرى مثل الضرورة التعاقدية والالتزام النظامي.
• إدارة الموافقة — حيثما تستند إلى الموافقة، اجعلها صريحة ومسجلة وسحبها سهلًا بقدر منحها.
• إشعار الخصوصية — انشر إشعارًا واضحًا يشرح الأغراض والأساس النظامي والمستلمين والاحتفاظ والحقوق قبل جمع البيانات.
• تقليل البيانات والاحتفاظ — اجمع ما هو ضروري فقط وأتلف البيانات عندما لا تعود مطلوبة.
• حقوق أصحاب البيانات — شغّل عمليات للتعامل مع طلبات العلم والوصول والحصول على نسخة والتصحيح والإتلاف ضمن المدد المطلوبة.
• التدابير الأمنية — طبّق ضوابط تنظيمية وتقنية تتناسب مع حساسية البيانات.
• عقود جهات المعالجة — تأكد من التزام مقدمي الخدمات الذين يعالجون البيانات نيابة عنك بالتزامات وإشراف مناسبين.
• الاستجابة للتسربات — اكتشف وقيّم وأبلغ سدايا خلال 72 ساعة حيثما يلزم، وأبلغ الأفراد المتأثرين حيث قد يلحقهم ضرر من التسرب.
• النقل خارج المملكة — قيّم كل نقل خارج المملكة وفق لائحة النقل، ووثّق الأساس والضمانات.
• مسؤول حماية البيانات — عيّنه حيث تشترط اللوائح ذلك، وامنح الدور وصولًا وصلاحيات حقيقية.
• التسجيل — سجّل في المنصة الوطنية لحوكمة البيانات التابعة لسدايا حيث تشترط اللوائح ذلك لجهتك.
• التدريب — تأكد من أن الموظفين الذين يتعاملون مع البيانات الشخصية يفهمون التزاماتهم.

البيانات الحساسة تحتاج إلى عناية إضافية

يعامل النظام فئات معينة — منها البيانات الصحية والوراثية والائتمانية والدينية والحيوية والبيانات التي تكشف الأصل العرقي — بوصفها حساسة. وتخضع معالجتها لشروط أشد، وقد يترتب على الإفصاح غير المصرح به عنها عقوبات جزائية. حدد البيانات الحساسة في جردك أولًا، وطبّق عليها أشد الضوابط.

العقوبات

ويجوز للمحاكم أيضًا الأمر بمصادرة العائدات، وقد تُنشر الأحكام. وبعيدًا عن العقوبات، يحمل التسرب العلني تكلفة كبيرة على السمعة لدى العملاء والجهات التنظيمية.

أين تتعثر الجهات عادةً

• جرد بيانات يغطي الأنظمة لكنه يغفل جداول البيانات والبريد الإلكتروني والمجلدات المشتركة.
• إشعارات خصوصية مكتوبة للنظام لا للأشخاص الذين يقرؤونها.
• غياب عملية عاملة لطلبات أصحاب البيانات — حتى يصل أول طلب.
• خدمات سحابية وSaaS تنقل البيانات إلى الخارج دون تقييم.
• خطط استجابة للتسربات لا تتضمن قرار الإبلاغ خلال 72 ساعة.
• قوائم تسويقية بُنيت دون أساس مسجل.

كيف يتكامل النظام مع التزاماتك الأخرى

يقف نظام حماية البيانات الشخصية إلى جانب المتطلبات القطاعية من جهات مثل ساما، والأطر الوطنية مثل ضوابط الأمن السيبراني للبيانات ومعايير مكتب إدارة البيانات الوطنية. وبرنامج موحد — جرد بيانات واحد، ونظام تصنيف واحد، ومجموعة ضوابط واحدة مربوطة بكل التزام — أكثر استدامة بكثير من مشاريع منفصلة لكل منها.

الأسئلة الشائعة

فريق التحرير في NAZZTECكتبه وراجعه ممارسون من NAZZTEC. هذه الإحاطة إرشادات عامة وليست مشورة قانونية.