نظام حماية البيانات الشخصية: التزام الشركات والغرامات
أصبح الالتزام بحماية البيانات الشخصية جزء أساسي من مسؤولية الشركات العاملة في السوق السعودي، خاصة مع توسع الاعتماد على المنصات الرقمية وقواعد بيانات العملاء والموظفين. يحدد نظام حماية البيانات الشخصية الإطار النظامي لجمع بيانات الأفراد واستخدامها وتخزينها ومشاركتها، بما يضمن عدم التعامل معها خارج الأغراض والمسوغات النظامية المسموح بها. لا يقتصر التزام الشركات على الحصول على الموافقات اللازمة، بل يشمل توضيح أغراض المعالجة، وتمكين أصحاب البيانات من ممارسة حقوقهم، وتطبيق التدابير التنظيمية والتقنية لحمايتها، والإبلاغ عن حوادث التسرب وفق المدد المحددة.
في المقابل، يترتب على مخالفة أحكام النظام واللوائح مسؤولية قد تصل إلى غرامات مالية قدرها خمسة ملايين ريال، مع عقوبات أشد لبعض المخالفات المتعلقة بالبيانات الحساسة. لذلك، تحتاج الشركات إلى مراجعة ممارساتها وسياساتها الداخلية لضمان الامتثال وتقليل المخاطر القانونية والتشغيلية.
ما هو نظام حماية البيانات الشخصية ومن يشمل؟
يمثل نظام حماية البيانات الشخصية السعودي الإطار القانوني الذي يضبط كيفية جمع معلومات الأفراد واستخدامها وحفظها ومشاركتها، ويهدف إلى حماية خصوصيتهم وتنظيم تعامل الجهات المختلفة مع بياناتهم. ولا يقتصر نطاقه على الشركات السعودية أو المؤسسات الكبيرة، بل يشمل الجهات العامة والخاصة والأشخاص الاعتباريين والطبيعيين الذين يقومون بإجراء عمليات معالجة للبيانات الشخصية ضمن النطاق الذي حدده النظام.
يطبق النظام على المعالجة التي تتم داخل المملكة، كما يمتد إلى الجهات الموجودة خارجها إذا كانت تعالج بيانات أشخاص مقيمين في السعودية. يشمل ذلك بيانات العملاء والموظفين والموردين وغيرهم متى أمكن تحديد هويتهم بصورة مباشرة أو غير مباشرة. ولا يستثنى من أحكامه سوى المعالجة التي يقوم بها الفرد لأغراض شخصية أو عائلية بحتة، بشرط عدم نشر البيانات أو الإفصاح عنها للغير. بذلك، لا يرتبط الالتزام بمجال نشاط الشركة بقدر ارتباطه بطبيعة البيانات التي تتعامل معها وطريقة معالجتها.
– الصدور والنفاذ وانتهاء المدة الانتقالية
صدر نظام حماية البيانات الشخصية بموجب المرسوم الملكي رقم (م/19) بتاريخ 9 صفر 1443هـ، الموافق 16 سبتمبر 2021م، ثم تم تعديله بموجب المرسوم الملكي رقم (م/148) بتاريخ 5 رمضان 1444هـ، الموافق 27 مارس 2023م. وبدأ سريان النظام في 14 سبتمبر 2023م، مع منح الجهات الخاضعة له مهلة انتقالية مدتها سنة لتوفيق أوضاعها مع المتطلبات النظامية، انتهت في 14 سبتمبر 2024م.
خلال هذه الفترة كان على الشركات مراجعة سياسات الخصوصية وإجراءات جمع البيانات وتخزينها، وتحديد الأدوار والمسؤوليات المرتبطة بمعالجتها، وتجهيز الضوابط اللازمة لحمايتها. وانتهاء المهلة يعني أن الشركات المشمولة لم تعد تملك فترة انتقالية عامة لتأجيل الامتثال، وأصبحت مطالبة بتطبيق الأحكام ذات الصلة بنشاطها. كما يجب الانتباه إلى أن الالتزام لا يقتصر على نص النظام وحده، بل يشمل لائحته التنفيذية وتنظيم نقل البيانات الشخصية خارج المملكة.
– البيانات الشخصية مقابل البيانات الحساسة – تعرف على الفرق بينهما
يفرق النظام بين البيانات الشخصية والبيانات الحساسة بحسب طبيعة المعلومات ومدى ارتباطها بالجوانب الخاصة بحياة الفرد. البيانات الشخصية تشمل كل معلومة يمكن أن تكشف هوية شخص بصورة مباشرة أو غير مباشرة، مثل الاسم ورقم الهوية ورقم الهاتف والعنوان والصور والبيانات البنكية. توضح المادة التاسعة والمادة السادسة عشر أنه لصاحب البيانات الشخصية الحق في الوصول إلى البيانات الشخصية المتوفرة لدى جهة التحكم دون التأثير على حقوق الغير. كما يحق له أيضا وفقا للمادة السادسة عشر الحصول على نسخة من بياناته الشخصية بصياغة واضحة.
أما البيانات الحساسة، فتضم فئات أكثر خصوصية، مثل المعلومات الصحية والوراثية والبيانات الائتمانية والجنائية والأمنية، والبيانات المرتبطة بالأصل العرقي أو القبلي والمعتقدات الدينية أو السياسية، والسمات الحيوية وبيانات الموقع. يترتب على هذا التصنيف اختلاف في متطلبات المعالجة ومستوى الحماية؛ إذ تخضع البيانات الحساسة لضوابط أكثر تشددا، ولا يجوز التعامل معها باعتبارها مجرد بيانات اتصال أو معلومات إدارية عادية. تظهر أهمية ذلك للشركات عند تصميم نماذج التسجيل وملفات الموظفين وقواعد بيانات العملاء؛ فجمع معلومة صحية أو ائتمانية، يستلزم الانتباه إلى طبيعتها الحساسة والغرض النظامي من معالجتها والضمانات المطلوبة لحمايتها. كما يحق وفقا للمادة السادسة عشر
– جهة التحكم وجهة المعالجة: أيهما شركتك؟
يتحدد وصف الشركة في نظام حماية البيانات الشخصية وفق الدور الذي تؤديه في عملية معالجة البيانات، وليس وفق حجمها أو طبيعة نشاطها. فإذا كانت الشركة هي التي تقرر سبب جمع البيانات وكيفية استخدامها، فإنها تعد جهة تحكم، حتى لو استعانت بمزود خدمة خارجي لتنفيذ المعالجة. أما جهة المعالجة، فهي الطرف الذي يتعامل مع البيانات لحساب جهة التحكم ونيابة عنها، مثل شركة تشغيل أنظمة الموارد البشرية أو مزود خدمات التخزين السحابي الذي يعالج بيانات العملاء وفق تعليمات العميل
قد تختلف صفة الشركة من نشاط إلى آخر؛ فقد تكون جهة تحكم في بيانات موظفيها، وجهة معالجة عندما تقدم خدمة تقنية تتضمن التعامل مع بيانات عملاء شركة أخرى. تتحمل جهة التحكم مسؤولية اختيار معالج يوفر الضمانات اللازمة، ومتابعة التزامه بالتعليمات والمتطلبات النظامية، مع ضرورة تنظيم العلاقة التعاقدية بين الطرفين وتحديد نطاق المعالجة وأغراضها والتدابير الأمنية. لذلك، فإن تحديد الصفة القانونية بدقة هو الخطوة الأولى لتوزيع المسؤوليات وتجنب فجوات الامتثال.
تعرف على التزامات الشركات الأساسية
لا يقتصر الامتثال لنظام حماية البيانات الشخصية السعودي على وضع سياسة خصوصية أو الحصول على موافقة العملاء، بل يتطلب من الشركة تنظيم دورة حياة البيانات منذ جمعها وحتى إتلافها. يبدأ ذلك بتحديد المعلومات التي تحتاج إليها بشكل فعلي، والغرض من استخدامها، والأساس النظامي الذي يسمح بمعالجتها، مع توثيق العمليات والإجراءات المرتبطة بها. كما يجب توفير وسائل تمكن أصحاب البيانات من ممارسة حقوقهم، وتطبيق تدابير إدارية وتقنية تمنع الوصول غير المصرح به أو تسرب المعلومات.
تشمل المسؤوليات أيضا مراجعة عقود مزودي الخدمات، وتحديد صلاحيات الوصول إلى البيانات، والاحتفاظ بسجلات المعالجة وتحديثها عند تغيير أساليب العمل. يختلف نطاق بعض الالتزامات بحسب طبيعة نشاط الشركة وحجم المعالجة والبيانات التي تتعامل معها.
– الموافقة والمسوغات النظامية للمعالجة
لا تشترط أحكام النظام الحصول على موافقة صاحب البيانات في جميع الحالات؛ إذ تسمح بمعالجة البيانات استنادا إلى مسوغات نظامية متعددة، منها الموافقة، أو تنفيذ عقد يكون صاحب البيانات طرف فيه، أو الالتزام بمتطلب نظامي، أو حماية المصالح الحيوية، أو تحقيق مصلحة مشروعة وفق ضوابطها. لذلك، يتعين على الشركة تحديد المسوغ المناسب لكل غرض قبل بدء المعالجة، وعدم استخدام الموافقة باعتبارها أساس عام يغطي جميع الأنشطة. عندما تكون الموافقة هي المسوغ المعتمد، يجب أن تكون واضحة وحرة وموثقة، مع تحديد الغرض منها، والحصول على موافقات مستقلة عند تعدد الأغراض. كما تتطلب معالجة البيانات الحساسة موافقة صريحة عند الاستناد إلى الموافقة، ولا يجوز استخدام المصلحة المشروعة مسوغ لمعالجتها.
– سياسة الخصوصية وسجل أنشطة المعالجة
تحتاج الشركة إلى إعداد سياسة خصوصية واضحة ومتاحة للأفراد قبل جمع بياناتهم أو عند جمعها، توضح فيها هوية جهة التحكم، وأغراض المعالجة، والمسوغ النظامي، وأنواع البيانات، والجهات التي قد تشارك معها، وفترات الاحتفاظ، وحقوق أصحاب البيانات وطرق ممارستها. بجانب هذه السياسة، يجب إعداد سجل داخلي لأنشطة معالجة البيانات وتحديثه باستمرار، بحيث يوثق أغراض المعالجة وفئات البيانات والأشخاص المعنيين والجهات المستلمة وعمليات النقل خارج المملكة وتدابير الحماية المطبقة. الفرق أن سياسة الخصوصية أداة لإعلام الأفراد، بينما سجل المعالجة وثيقة لإثبات امتثال الشركة ومتابعة عملياتها، ويمكن الرجوع إليه عند المراجعة الرقابية
– الاستجابة لطلبات أصحاب البيانات
يجب على الشركة توفير قنوات واضحة تتيح للأفراد ممارسة حقوقهم المتعلقة ببياناتهم الشخصية، مثل طلب الاطلاع عليها أو الحصول على نسخة منها أو تصحيح المعلومات غير الدقيقة أو طلب إتلافها وفق الحالات النظامية. كما يحق لصاحب البيانات سحب موافقته عندما تكون هي المسوغ المعتمد للمعالجة، ما لم يوجد مسوغ نظامي آخر لاستمرارها.
تلتزم جهة التحكم بالتعامل مع الطلبات خلال مدة لا تتجاوز 30 يوم عمل من تاريخ استلامها، مع إمكانية تمديدها في الحالات التي تسمح بها اللائحة، بشرط إخطار صاحب البيانات مسبقا بأسباب التأخير. لذلك، تحتاج الشركات إلى تحديد مسؤول عن استقبال الطلبات والتحقق من هوية مقدميها وتوثيق الإجراءات والردود، بما يضمن عدم تجاوز المدد النظامية.
– التسجيل على منصة حوكمة البيانات الوطنية
يرتبط التسجيل في السجل الوطني لجهات التحكم، المتاح عبر منصة حوكمة البيانات الوطنية (NDGP)، بالتزامات محددة وفق قواعد التسجيل المعتمدة، ولا يعني ذلك أن كل شركة مطالبة بالتسجيل لمجرد تعاملها مع بيانات شخصية. يجب على الشركة التحقق من انطباق معايير التسجيل عليها، وتحديد صفتها كجهة تحكم، ثم استكمال البيانات المطلوبة المتعلقة بنشاطها ومسؤولياتها في معالجة البيانات.
تكمن أهمية التسجيل في تمكين الجهة المختصة من حصر الجهات التي تتولى التحكم في البيانات ومتابعة امتثالها للمتطلبات النظامية. لذلك، ينبغي إدراج التحقق من وجوب التسجيل ضمن خطة الامتثال الداخلية، وعدم الخلط بين التسجيل في السجل الوطني وبين مجرد إنشاء حساب على المنصة أو استخدام خدماتها.
– التعاقد مع مزودي الخدمات ( اتفاقية معالجة البيانات)
عندما تستعين الشركة بمزود خارجي لمعالجة بيانات عملائها أو موظفيها، مثل شركات الاستضافة السحابية أو أنظمة إدارة علاقات العملاء، يجب تنظيم العلاقة بينهما باتفاقية معالجة بيانات واضحة. لا يكفي إدراج بند عام يسمح للمزود بالوصول إلى المعلومات؛ بل ينبغي تحديد طبيعة المعالجة وأغراضها ومدتها وأنواع البيانات، مع توضيح تعليمات جهة التحكم والتزامات المزود المتعلقة بالسرية والأمن وحوادث التسرب والتعامل مع طلبات أصحاب البيانات. كما يجب تنظيم الاستعانة بمعالجين فرعيين، وآلية إعادة البيانات أو إتلافها عند انتهاء الخدمة، وفق المتطلبات النظامية. تساعد هذه الاتفاقية على منع الاستخدام غير المصرح به للبيانات وتحديد مسؤوليات كل طرف، خصوصا عندما يتولى المزود تخزين المعلومات أو تشغيل الأنظمة نيابة عن الشركة.
متى يجب تعيين مسؤول حماية البيانات الشخصية؟
لا يطلب من كل شركة تعيين مسؤول لحماية البيانات الشخصية بصورة تلقائية؛ إذ يرتبط ذلك بطبيعة نشاطها وحجم عمليات المعالجة والمخاطر الناتجة عنها. يكون تعيين المسؤول مطلوب في الحالات التي تحددها اللائحة التنفيذية، ومنها معالجة البيانات الشخصية على نطاق واسع، أو تنفيذ أنشطة تتطلب مراقبة منتظمة وممنهجة لأصحاب البيانات، أو معالجة البيانات الحساسة ضمن الأنشطة الأساسية للجهة. وتتمثل مهمة المسؤول في متابعة الالتزام بأحكام النظام ولوائحه، وتقديم المشورة للإدارة، والتنسيق مع الجهات المختصة، ومتابعة التعامل مع طلبات أصحاب البيانات والحوادث المتعلقة بالخصوصية.
التسويق المباشر والوسائل الترويجية
تخضع الرسائل الإعلانية والعروض الترويجية التي تستهدف الأفراد لضوابط نظام حماية البيانات الشخصية، فلا يجوز للشركة استخدام بيانات العملاء في التسويق المباشر دون الحصول على موافقتهم وفق المتطلبات النظامية. كما تشترط اللائحة الحصول على موافقة المستهدف قبل إرسال المواد الدعائية أو التوعوية إذا لم تكن هناك علاقة تعامل سابقة معه. عند إرسال هذه المواد، يجب توضيح هوية الجهة المرسلة، وتوفير وسيلة سهلة ومجانية تتيح للمتلقي إيقاف استقبال الرسائل، مع التوقف عن إرسالها دون تأخير غير مبرر بمجرد طلبه ذلك.
الإبلاغ عن تسرب البيانات خلال 72 ساعة
إذا تعرضت البيانات الشخصية للتسرب أو التلف أو الوصول غير المشروع، تلتزم جهة التحكم بإشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من وقت علمها بالحادثة، متى كان من شأنها الإضرار بالبيانات أو بصاحبها أو المساس بحقوقه ومصالحه. ويجب أن يتضمن الإشعار تفاصيل الواقعة، وأنواع البيانات المتأثرة، وعدد أصحاب البيانات، والمخاطر المحتملة والإجراءات المتخذة للحد منها. إذا تعذر استكمال بعض المعلومات خلال المهلة، تقدم لاحقا في أقرب وقت مع توضيح أسباب التأخير. كما يجب إشعار أصحاب البيانات المتضررين دون تأخير غير مبرر إذا كانت الحادثة قد تلحق بهم أي ضرر.
نقل البيانات الشخصية خارج المملكة
لا يعني نظام حماية البيانات الشخصية منع الشركات من نقل بيانات العملاء أو الموظفين إلى خارج السعودية، لكنه يضع شروطًا لضمان استمرار حمايتها. ويجب أن يكون النقل مرتبطًا بغرض مشروع، وألا يؤثر على الأمن الوطني أو المصالح الحيوية للمملكة، مع قصر البيانات المنقولة على الحد الأدنى اللازم. كما يتعين على جهة التحكم التحقق من مستوى الحماية في الدولة المستقبلة، أو تطبيق الضمانات المناسبة التي تقررها اللوائح، مثل البنود التعاقدية القياسية أو القواعد المشتركة الملزمة بحسب الحالة. وقد يتطلب النقل إجراء تقييم للمخاطر قبل تنفيذه، خاصة في الحالات المحددة باللائحة.
العقوبات والغرامات
تختلف العقوبة بحسب نوع المخالفة وطبيعتها، ولا تقتصر المسؤولية على الغرامات المالية؛ إذ قد تصل في بعض الحالات إلى السجن. ويوضح الجدول أبرز العقوبات الواردة في النظام:
| نوع المخالفة | العقوبة المقررة |
| الإفصاح عن بيانات حساسة أو نشرها بالمخالفة للنظام بقصد الإضرار بصاحب البيانات أو تحقيق منفعة شخصية. | السجن مدة لا تتجاوز سنتين، وغرامة لا تتجاوز 3 ملايين ريال، أو إحدى العقوبتين. |
| مخالفة أحكام نقل البيانات الشخصية خارج المملكة وفق المادة 29. | السجن مدة لا تتجاوز سنة، وغرامة لا تتجاوز مليون ريال، أو إحدى العقوبتين. |
| مخالفة أخرى لأحكام النظام أو اللوائح لا تندرج ضمن العقوبات الخاصة. | إنذار أو غرامة لا تتجاوز 5 ملايين ريال. |
| تكرار المخالفة. | يجوز مضاعفة الغرامة بما لا يتجاوز ضعف الحد الأعلى المقرر. |
تعرف على قائمة امتثال سريعة للشركات
للتأكد من توافق الشركة مع نظام حماية البيانات الشخصية، يمكن استخدام القائمة التالية كمراجعة أولية:
– جرد البيانات الشخصية التي تجمعها الشركة وتحدد مصادرها.
– توضيح أغراض المعالجة والمسوغات النظامية لكل غرض.
– إعداد سياسة خصوصية واضحة وإتاحتها لأصحاب البيانات.
– الحصول على الموافقات المطلوبة قبل المعالجة أو التسويق المباشر.
– تنظيم صلاحيات الوصول إلى البيانات وتطبيق التدابير الأمنية المناسبة.
– توثيق أنشطة المعالجة والاحتفاظ بسجلات محدثة لها.
– مراجعة عقود مزودي الخدمات الذين يتعاملون مع البيانات.
– وضع إجراءات لاستقبال طلبات أصحاب البيانات والاستجابة لها.
– إعداد خطة للتعامل مع حوادث التسرب والإبلاغ عنها.
– مراجعة ضوابط نقل البيانات خارج المملكة قبل تنفيذها.
تساعد هذه الخطوات على اكتشاف جوانب القصور، لكنها لا تغني عن مراجعة الالتزامات التفصيلية التي تنطبق على نشاط الشركة.
تعرف معنا على أهم الأسئلة الشائعة
1- هل ينطبق نظام حماية البيانات الشخصية على الشركات الصغير والمتاجر الإلكترونية؟
نعم، ينطبق النظام على الشركات الصغيرة والمتاجر الإلكترونية متى كانت تعالج بيانات شخصية في نطاق سريانه، مثل أسماء العملاء وأرقام الهواتف والعناوين وبيانات الطلبات. ولا يشترط أن تكون الشركة كبيرة أو أن تمتلك قاعدة عملاء ضخمة حتى تلتزم بحماية البيانات؛ لكن تختلف المتطلبات العملية بحسب طبيعة المعالجة وحجمها ونوع البيانات المستخدمة.
2- متى يجب على الشركة تعيين مسؤول لحماية البيانات الشخصية؟
يجب تعيين مسؤول في الحالات المحددة باللائحة التنفيذية، ومنها أن تعتمد الأنشطة الأساسية للشركة على مراقبة منتظمة وممنهجة للأفراد، أو على معالجة البيانات الشخصية الحساسة. ويشمل ذلك أيضا الجهات العامة التي تقدم خدمات تتضمن معالجة بيانات على نطاق واسع. ويمكن أن يكون المسؤول موظف بالشركة أو متعاقد خارجي.
3- هل يجوز إرسال رسائل تسويقية للعملاء دون موافقتهم الصريحة؟
الأصل أنه لا يجوز استخدام البيانات الشخصية للتسويق المباشر دون موافقة صاحب البيانات وفق متطلبات النظام واللائحة. ويجب توفير وسيلة سهلة ومجانية لإيقاف الرسائل، والتوقف عن إرسالها عند طلب العميل. لا تعني وجود علاقة سابقة مع العميل إعفاء الشركة تلقائي من متطلبات الموافقة على التسويق المباشر.
4- ما مهلة إبلاغ سدايا عن حادثة تسرب البيانات؟
يجب على جهة التحكم إشعار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا – SDAIA) خلال مدة لا تتجاوز 72 ساعة من وقت علمها بالحادثة، إذا كان التسرب قد يضر بالبيانات الشخصية أو بصاحبها أو يمس حقوقه ومصالحه. وإذا تعذر تقديم جميع التفاصيل خلال المهلة، فعليها استكمالها في أقرب وقت ممكن مع توضيح أسباب التأخير.
5- ما شروط نقل البيانات الشخصية إلى خارج المملكة؟
يجوز نقل البيانات خارج المملكة إذا كان النقل لغرض مشروع ومسموح به بشكل نظامي، بشرط ألا يمس الأمن الوطني أو المصالح الحيوية للمملكة، وألا يقل مستوى حماية البيانات عن المستوى الذي تضمنه الأنظمة السعودية. كما يجب الاقتصار على الحد الأدنى اللازم من البيانات، والالتزام بالضمانات والإجراءات المحددة في لائحة نقل البيانات الشخصية خارج المملكة.
6- هل تحتاج شركتي للتسجيل على منصة حوكمة البيانات الوطنية؟
ليس كل كيان خاص ملزم بالتسجيل لمجرد أنه يجمع بيانات العملاء. وتوجب القواعد التسجيل على جهات التحكم التي ينطبق عليها أحد المعايير المحددة، ومنها أن تكون الجهة عامة، أو يكون نشاطها الأساسي قائم على معالجة البيانات الشخصية، أو تتعامل مع بيانات حساسة. لذلك ينبغي للشركة مراجعة طبيعة نشاطها والبيانات التي تعالجها لتحديد مدى انطباق شرط التسجيل عليها.
7- ما الفرق بين جهة التحكم وجهة المعالجة في المسؤولية؟
جهة التحكم هي التي تحدد الغرض من معالجة البيانات وطريقتها، ولذلك تتحمل مسؤولية تحديد الأساس النظامي للمعالجة وضمان الالتزام بمتطلبات النظام. أما جهة المعالجة فتتعامل مع البيانات نيابة عن جهة التحكم ووفق تعليماتها، مثل شركة تقدم خدمة تخزين أو إدارة بيانات العملاء. وتلتزم جهة المعالجة بدورها بحماية البيانات واتباع التعليمات والإبلاغ عن التسرب، ولا يعفي التعاقد معها جهة التحكم من مسؤولياتها النظامية.
