نظام حماية البيانات الشخصية يسري على كل منشأة تعالج بيانات أفراد في المملكة — عملاء أو موظفين أو مورّدين — أيًا كان حجمها ونشاطها، والإشراف عليه للهيئة السعودية للبيانات والذكاء الاصطناعي. والمعالجة بمعناها في النظام واسعة: الجمع والحفظ والاستخدام والمشاركة والإتلاف، فقاعدة عملاء بسيطة أو ملفات موظفين تكفي لدخول المنشأة في نطاقه. المطلوب عمليًا خمسة أعمدة: سجل معالجة، وأساس نظامي لكل معالجة، وسياسة خصوصية دقيقة، وإجراءات لحقوق أصحاب البيانات، وترتيبات للحوادث والنقل خارج المملكة.
البداية الصحيحة: سجل المعالجة لا السياسة
الخطأ الشائع أن تبدأ المنشأة بصياغة سياسة خصوصية منقولة عن نموذج. السياسة وصف لما يحدث فعلًا، فلا يمكن كتابتها قبل معرفته. سجل المعالجة هو الجرد الذي يجيب عن الأسئلة الأربعة عن كل عملية: ما البيانات التي تُجمع، ولأي غرض، وأين تُحفظ ولأي مدة، ومن يصل إليها داخل المنشأة وخارجها. المنشأة التي تُكمل هذا السجل تكتشف عادة بيانات تُجمع بلا غرض، وصلاحيات وصول أوسع من الحاجة، ومددًا للاحتفاظ بلا مبرر — وهذه وحدها مكاسب امتثال قبل أي وثيقة.
الأساس النظامي لكل معالجة
كل معالجة تحتاج أساسًا معتبرًا: موافقة صريحة موثّقة قابلة للسحب، أو تنفيذ عقد مع صاحب البيانات، أو مصلحة مشروعة ضمن حدود النظام، أو التزام نظامي على المنشأة. الاعتماد على الموافقة وحدها في كل شيء خيار هش؛ فالموافقة تُسحب، والمعالجة التي يمكن إسنادها إلى تنفيذ العقد أو إلى التزام نظامي أثبت. تحديد الأساس لكل غرض — وتدوينه في السجل — هو ما يُسأل عنه عند أي فحص.
حقوق أصحاب البيانات والتعامل مع الحوادث
للأفراد حقوق مقررة: العلم بما يُجمع عنهم، وطلب الاطلاع عليه وتصحيحه وإتلافه ضمن أحكام النظام. والمطلوب من المنشأة إجراء داخلي موثّق: قناة استقبال معلنة، ومسؤول محدد، ومدد رد، وسجل بالطلبات وما انتهت إليه. وينطبق المنطق نفسه على حوادث تسرب البيانات: خطة مكتوبة تحدد من يقيّم الحادثة، ومتى تُبلَّغ الجهة المختصة وأصحاب البيانات وفق أحكام النظام، وكيف تُوثَّق الواقعة والمعالجة. الارتجال وقت الحادثة يضاعف أثرها النظامي.
ويستحق مقدّمو الخدمات انتباهًا خاصًا. المنشأة تبقى مسؤولة عن البيانات التي يعالجها غيرها نيابة عنها — مزوّد استضافة، أو منصة رواتب، أو شركة تسويق — ولهذا يحتاج كل تعاقد من هذا النوع بنودًا مكتوبة تحدد نطاق المعالجة والتزامات الحماية ومصير البيانات عند انتهاء العقد. وينسحب الأمر على نقل البيانات خارج المملكة، فهو مقيد بضوابط النظام وتُفحص شروطه قبل النقل لا بعده.
قائمة فحص عملية
- سجل معالجة مكتمل يغطي العمليات كلها، يُراجع دوريًا وعند كل نشاط جديد.
- أساس نظامي مدوَّن لكل غرض معالجة، وصيغ موافقة موثّقة حيث تلزم.
- سياسة خصوصية تطابق الواقع الفعلي، معلنة قبل جمع البيانات.
- إجراء موثّق لطلبات أصحاب البيانات: قناة، ومسؤول، ومدد، وسجل.
- خطة مكتوبة لحوادث التسرب والإبلاغ عنها.
- عقود مع مقدّمي الخدمات الذين يعالجون البيانات نيابة عن المنشأة تتضمن التزامات الحماية.
- مراجعة عمليات نقل البيانات خارج المملكة على ضوابط النظام قبل النقل.
- تعريف العاملين المتعاملين مع البيانات بالتزاماتهم، وتقييد الوصول بالحاجة الفعلية.
الترتيب العملي للمنشأة التي تبدأ الآن: جرد المعالجة أولًا، ثم إسناد كل غرض إلى أساسه، ثم كتابة السياسة والإجراءات على ما ثبت في الجرد، ثم عقود المعالجين والنقل، وأخيرًا التدريب والمراجعة الدورية. الامتثال الذي يصمد أمام الفحص هو المطبَّق الموثّق لا النص المحفوظ في ملف، والمنشأة التي تعالج بيانات بكثافة تحتاج مطابقة عملياتها على النظام مطابقة موثّقة قبل أن يطرح السؤال عليها من جهة خارجية.
