يُعد نظام حماية البيانات الشخصية أول تشريع سعودي شامل ينظم جمع البيانات الشخصية ومعالجتها، بعد أن دخل حيز التنفيذ الكامل في سبتمبر 2024 تحت إشراف الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). ومع تزايد الاعتماد على البيانات في مختلف القطاعات، أصبح على الشركات العاملة في السعودية أو التي تعالج بيانات مقيمين فيها الالتزام بمتطلبات هذا النظام تحت طائلة عقوبات مالية قد تكون جسيمة. يوضح هذا المقال أبرز التزامات الشركات بموجب نظام حماية البيانات الشخصية.
أولًا: نطاق تطبيق النظام
يسري نظام حماية البيانات الشخصية على جميع الجهات، العامة والخاصة، التي تجمع أو تعالج بيانات شخصية لأفراد داخل المملكة، كما يمتد نطاقه ليشمل الجهات خارج السعودية التي تعالج بيانات مقيمين سعوديين في سياق تقديم سلع أو خدمات لهم، بما يمنح النظام بُعدًا خارج الحدود مشابهًا لما هو معمول به في تشريعات دولية كاللائحة الأوروبية لحماية البيانات.
ثانيًا: المبادئ الأساسية التي يقوم عليها النظام
- الموافقة المسبقة: وجوب الحصول على موافقة صريحة من صاحب البيانات قبل جمعها أو معالجتها، مع استثناءات محددة نظامًا.
- الإشعار والشفافية: إبلاغ صاحب البيانات بالغرض من جمعها والجهات التي قد تُشارك معها.
- تحديد الغرض والتقليل: عدم معالجة البيانات إلا للغرض الذي جُمعت من أجله، وجمع الحد الأدنى الضروري فقط.
- الدقة والحفظ الآمن: ضمان دقة البيانات وتحديثها، وتطبيق تدابير تقنية كافية لحمايتها من الاختراق أو التسريب.
- الإخطار بالاختراق: إبلاغ الجهة المختصة وأصحاب البيانات المتضررين خلال مهلة زمنية قصيرة من اكتشاف أي تسريب جوهري.
ثالثًا: حقوق أصحاب البيانات
يمنح النظام الأفراد مجموعة من الحقوق تجاه بياناتهم الشخصية، تشمل الحق في العلم بمعالجة بياناتهم والغرض منها، والحق في الوصول إلى بياناتهم والحصول على نسخة منها، والحق في طلب تصحيحها أو إتلافها في حالات معينة، والحق في سحب الموافقة على معالجتها متى شاء ذلك، ما لم يوجد أساس نظامي آخر يبرر استمرار المعالجة.
رابعًا: أبرز التزامات الشركات للامتثال
1. تعيين مسؤول حماية بيانات
يُلزم النظام بعض الجهات، بحسب طبيعة وحجم معالجتها للبيانات، بتعيين مسؤول مختص بحماية البيانات يتولى الإشراف على الامتثال والتنسيق مع الهيئة المختصة عند الحاجة.
2. إجراء تقييم أثر حماية البيانات
يتعين على الجهات التي تعالج بيانات حساسة أو بكميات كبيرة إجراء تقييم لأثر هذه المعالجة على خصوصية الأفراد، وتوثيق الإجراءات المتخذة لتقليل المخاطر المحتملة.
3. ضوابط نقل البيانات خارج المملكة
يخضع نقل البيانات الشخصية خارج السعودية لضوابط محددة تضمن توفر مستوى حماية مناسب في الجهة المستقبلة، وقد يتطلب ذلك الحصول على تصريح من الجهة المختصة في حالات معينة.
4. تحديث سياسات الخصوصية والعقود
يتعين على الشركات مراجعة سياسات الخصوصية المعلنة وعقودها مع مزودي الخدمات (معالجي البيانات) لضمان توافقها مع متطلبات النظام، بما في ذلك تضمين بنود واضحة تنظم مسؤولية كل طرف تجاه البيانات المعالجة.
خامسًا: العقوبات المترتبة على المخالفة
يفرض النظام عقوبات متدرجة على المخالفات، تشمل التنبيه والإنذار في الحالات الأقل جسامة، وصولًا إلى غرامات مالية قد تكون كبيرة في حالات الإخلال الجسيم، خصوصًا المتعلقة بتسريب البيانات الحساسة أو نقلها خارج المملكة دون ضوابط، إضافة إلى إمكانية فرض عقوبات جزائية في بعض الحالات الجسيمة المتعلقة بإساءة استخدام البيانات لتحقيق ضرر أو منفعة غير مشروعة.
الأسئلة الشائعة
هل يسري النظام على الشركات الأجنبية التي لا مقر لها في السعودية؟
نعم، إذا كانت هذه الشركات تعالج بيانات شخصية لمقيمين في السعودية في سياق تقديم سلع أو خدمات لهم، فإنها تخضع لأحكام النظام بشكل عام.
هل تحتاج كل شركة لتعيين مسؤول حماية بيانات؟
يرتبط هذا الالتزام بحجم وطبيعة معالجة البيانات لدى الجهة، وتحدد اللوائح التنفيذية الحالات التي يجب فيها تعيين هذا المسؤول.
ما المهلة النظامية للإبلاغ عن اختراق البيانات؟
يُلزم النظام بالإبلاغ عن أي اختراق جوهري خلال مهلة زمنية قصيرة من اكتشافه، ويُنصح بمراجعة اللوائح التنفيذية المحدثة لمعرفة المدة الدقيقة المطبقة حاليًا.
هل يمكن معالجة بيانات الأفراد دون موافقتهم في أي حالة؟
يجيز النظام ذلك في حالات استثنائية محددة، كتنفيذ التزام نظامي أو حماية مصلحة حيوية لصاحب البيانات، لكن الأصل العام يبقى اشتراط الموافقة الصريحة.
ما الجهة المسؤولة عن الإشراف على تطبيق النظام؟
تتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) الإشراف على تطبيق النظام ومتابعة امتثال الجهات له والتعامل مع الشكاوى المتعلقة به.
خاتمة
يفرض نظام حماية البيانات الشخصية على الشركات العاملة في السعودية التزامات جوهرية تمس صميم طريقة تعاملها مع بيانات عملائها وموظفيها، من الحصول على الموافقة إلى تأمين البيانات والإبلاغ عن أي اختراق. ونظرًا لحداثة هذا النظام وتشعب متطلباته التقنية والقانونية، فإن بناء برنامج امتثال متكامل بمساعدة مختصين يُعد استثمارًا ضروريًا لتجنب المخاطر النظامية والمالية.
إذا كانت منشأتك بحاجة لتقييم مدى امتثالها لنظام حماية البيانات الشخصية أو صياغة سياسات الخصوصية والعقود المتوافقة معه، يقدم فريق عدل قاف للمحاماة استشارات متخصصة في هذا المجال لحماية شركتك من المخاطر النظامية.
المصادر والمراجع
- وزارة العدل السعودية – البوابة القانونية
- هيئة الخبراء بمجلس الوزراء – بوابة الأنظمة السعودية
- الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)
