أصبحت البيانات الشخصية جزءًا أساسيًا من عمليات الشركات والمتاجر الإلكترونية في السعودية. فعند تسجيل العميل في موقع، أو إتمام طلب شراء، أو الاشتراك في النشرة البريدية، أو التواصل عبر واتساب، تجمع المنشأة بيانات يمكن أن تخضع لأحكام نظام حماية البيانات الشخصية السعودي.

ولا يقتصر الامتثال على إضافة صفحة بعنوان «سياسة الخصوصية» إلى الموقع؛ بل يتطلب معرفة البيانات التي تُجمع، وتحديد الغرض النظامي من معالجتها، وتنظيم الوصول إليها، وحمايتها، وإدارة طلبات أصحابها، والتعامل الصحيح مع مقدمي الخدمات والحوادث الأمنية.

يوضح هذا الدليل أهم التزامات الشركات والمتاجر وفق نظام حماية البيانات الشخصية، والخطوات العملية التي تساعد على بناء برنامج امتثال يحمي حقوق العملاء ويقلل المخاطر القانونية والتشغيلية.

ما هو نظام حماية البيانات الشخصية السعودي؟

نظام حماية البيانات الشخصية أو Saudi PDPL هو الإطار النظامي الذي ينظم جمع البيانات الشخصية ومعالجتها وحفظها واستخدامها والإفصاح عنها ونقلها وإتلافها داخل المملكة.

ويهدف النظام إلى:

• حماية خصوصية الأفراد.
• تنظيم طرق استخدام البيانات الشخصية.
• منح أصحاب البيانات حقوقًا واضحة.
• إلزام المنشآت بحماية البيانات التي تحتفظ بها.
• الحد من جمع البيانات أو استخدامها دون مسوغ نظامي.
• تنظيم مشاركة البيانات مع الأطراف الأخرى.
• تعزيز الثقة في المعاملات والخدمات الرقمية.

وتتولى الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» الإشراف على تطبيق النظام ولوائحه وفق الاختصاصات النظامية. 

على من يطبق نظام حماية البيانات الشخصية؟

يمتد نطاق نظام حماية البيانات الشخصية السعودي إلى عمليات معالجة البيانات الشخصية التي تتم داخل المملكة، كما يشمل معالجة بيانات الأفراد المقيمين في المملكة متى انطبقت الشروط النظامية، بصرف النظر عن الوسيلة المستخدمة في المعالجة. 

وقد يشمل ذلك:

• الشركات والمؤسسات التجارية.
• المتاجر الإلكترونية.
• التطبيقات والمنصات الرقمية.
• العيادات والمراكز الطبية.
• المدارس والجامعات ومراكز التدريب.
• شركات التسويق والإعلان.
• شركات الموارد البشرية والتوظيف.
• شركات الشحن والتوصيل.
• شركات التقنية والبرمجيات.
• المنصات المالية وشركات التأمين.
• الجهات التي تعالج البيانات لصالح شركات أخرى.
• بعض الجهات الأجنبية التي تعالج بيانات أفراد في السعودية.

ولا يتوقف الالتزام على حجم المنشأة؛ فقد تجمع منشأة صغيرة بيانات حساسة أو كميات كبيرة من بيانات العملاء تجعل مخاطرها مرتفعة رغم محدودية عدد موظفيها.

ما المقصود بالبيانات الشخصية؟

عرّف نظام حماية البيانات الشخصية في مادته الأولى البيانات الشخصية بأنها: كل بيان -مهما كان مصدره أو شكله- من شأنه أن يؤدي إلى معرفة الفرد على وجه التحديد، أو يجعل التعرف عليه ممكنًا بصفة مباشرة أو غير مباشرة.

ومن الأمثلة التي أوردها النظام:

• الاسم.
• رقم الهوية الشخصية.
• العناوين.
• أرقام التواصل.
• أرقام الرخص والسجلات والممتلكات الشخصية.
• أرقام الحسابات البنكية والبطاقات الائتمانية.
• صور الفرد الثابتة أو المتحركة.
• غير ذلك من البيانات ذات الطابع الشخصي.

قد لا تكشف معلومة واحدة هوية الشخص بمفردها، لكنها تصبح بيانات شخصية إذا أمكن ربطها ببيانات أخرى لتحديد هويته.

ما البيانات الشخصية الحساسة؟

عرّفت المادة الأولى من نظام حماية البيانات الشخصية البيانات الحساسة بأنها: كل بيان شخصي يتضمن الإشارة إلى أصل الفرد العرقي أو أصله الإثني، أو معتقده الديني أو الفكري أو السياسي، وكذلك البيانات الأمنية والجنائية، أو بيانات السمات الحيوية التي تحدد الهوية، أو البيانات الوراثية، أو البيانات الصحية، والبيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما. وتحظى هذه البيانات بدرجة أعلى من الحماية بسبب خطورة إساءة استخدامها أو الإفصاح عنها.

وبذلك تشمل البيانات الحساسة وفق النظام:

• البيانات التي تشير إلى أصل الفرد العرقي أو أصله الإثني.
• البيانات التي تشير إلى معتقد الفرد الديني أو الفكري أو السياسي.
• البيانات الأمنية والجنائية.
• بيانات السمات الحيوية التي تحدد الهوية.
• البيانات الوراثية.
• البيانات الصحية.
• البيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما.

لذلك تحتاج المنشأة إلى ضوابط أكثر صرامة قبل جمع البيانات الحساسة أو استخدامها أو مشاركتها، ولا يصح التعامل معها بالطريقة نفسها المتبعة مع بيانات التواصل العامة.

جهة التحكم وجهة المعالجة: ما الفرق؟

من الضروري تحديد دور كل طرف في دورة البيانات.

جهة التحكم

هي الجهة التي تحدد الغرض من معالجة البيانات الشخصية والطريقة التي ستتم بها المعالجة.

فعلى سبيل المثال، يكون المتجر الإلكتروني غالبًا جهة تحكم عندما يقرر:

• البيانات المطلوبة لإنشاء الحساب.
• البيانات اللازمة لتنفيذ الطلب.
• مدة الاحتفاظ بسجل العميل.
• استخدام البيانات في التسويق.
• الجهات التي ستتلقى البيانات.

جهة المعالجة

هي الجهة التي تعالج البيانات لصالح جهة التحكم وبناءً على تعليماتها.

ومن أمثلتها:

• شركة الاستضافة.
• مزود النظام السحابي.
• منصة البريد الإلكتروني.
• شركة إدارة علاقات العملاء CRM.
• شركة تحليل البيانات.
• شركة خدمة العملاء الخارجية.
• مزود الدفع أو الشحن بحسب طبيعة العلاقة ودور كل طرف.

لا يكفي وصف الطرف في العقد بأنه «معالج» أو «مقدم خدمة». العبرة بالدور الفعلي الذي يمارسه والقرارات التي يتخذها بشأن البيانات.

أهم التزامات الشركات وفق نظام حماية البيانات الشخصية

1. تحديد الغرض من جمع البيانات

يجب أن تعرف المنشأة لماذا تجمع كل بيان شخصي، وألا تجمع البيانات احتياطيًا لمجرد احتمال الحاجة إليها مستقبلًا.

أمثلة الأغراض المشروعة والواضحة:

• إنشاء حساب العميل.
• تنفيذ عملية الشراء.
• توصيل المنتج.
• إصدار الفاتورة.
• تقديم الدعم الفني.
• إدارة الضمان والاسترجاع.
• الوفاء بالتزام نظامي.
• إرسال عروض تسويقية وفق الضوابط.
• حماية المنصة من الاحتيال.
• تحسين الخدمة باستخدام بيانات مجمعة أو مجهلة قدر الإمكان.

أما العبارات العامة مثل «نستخدم بياناتك لتحسين تجربتك» فقد لا تكون كافية إذا كانت المنشأة تستخدم البيانات لأغراض متعددة لا يتوقعها العميل.

2. اختيار المسوغ النظامي للمعالجة

ليست الموافقة الأساس الوحيد لمعالجة البيانات الشخصية. فقد تستند المعالجة، بحسب الحالة، إلى:

• موافقة صاحب البيانات.
• تنفيذ اتفاق يكون صاحب البيانات طرفًا فيه.
• الوفاء بالتزام نظامي.
• حماية مصلحة حيوية.
• تحقيق مصلحة مشروعة وفق الضوابط.
• الحالات الأخرى التي يسمح بها النظام.

يجب تحديد الأساس الصحيح لكل نشاط معالجة، بدل وضع مربع موافقة عام يغطي جميع استخدامات البيانات.

فعلى سبيل المثال، قد تحتاج بيانات العنوان لتنفيذ طلب الشراء، بينما قد يتطلب استخدامها في حملة تسويقية مستقلة أساسًا مختلفًا.

3. تقليل البيانات التي يتم جمعها

يلزم أن يقتصر جمع البيانات الشخصية على الحد الأدنى اللازم لتحقيق الغرض المحدد من المعالجة.

إذا كان المتجر يحتاج إلى رقم الهاتف لتنسيق التوصيل، فلا يعني ذلك أنه يحتاج أيضًا إلى:

• رقم الهوية.
• الحالة الاجتماعية.
• جهة العمل.
• تاريخ الميلاد الكامل.
• الموقع المستمر للهاتف.
• صلاحية الوصول إلى جهات الاتصال.

كل حقل في نموذج التسجيل أو الطلب يجب أن يرتبط بحاجة فعلية ومحددة.

4. إبلاغ صاحب البيانات بطريقة واضحة

من حقوق صاحب البيانات أن يعرف:

• المسوغ النظامي لجمع بياناته.
• الغرض من الجمع.
• هوية جهة التحكم وبيانات التواصل معها.
• الجهات التي قد تفصح لها البيانات.
• ما إذا كانت البيانات ستعالج أو تنقل خارج المملكة.
• الآثار المحتملة لعدم تقديم البيانات.
• حقوقه المتعلقة ببياناته الشخصية.

هذه المعلومات ينبغي أن تظهر بلغة واضحة، وليس داخل نص قانوني غامض يصعب على العميل فهمه.

5. إعداد سياسة خصوصية صحيحة

يجب أن تعكس سياسة الخصوصية الممارسات الفعلية للمنشأة، لا أن تكون نسخة من موقع آخر.

يفضل أن تتناول السياسة:

• هوية المنشأة ووسائل التواصل معها.
• أنواع البيانات التي يتم جمعها.
• طرق جمع البيانات.
• أغراض المعالجة.
• المسوغات النظامية المستخدمة.
• ملفات تعريف الارتباط وأدوات التحليل.
• التسويق المباشر.
• الجهات التي قد تتلقى البيانات.
• معالجة البيانات خارج المملكة.
• مدة الاحتفاظ.
• حقوق صاحب البيانات.
• طريقة تقديم الطلبات والشكاوى.
• الإجراءات العامة لحماية البيانات.
• تاريخ آخر تحديث للسياسة.

وجود سياسة خصوصية غير مطابقة للواقع قد يزيد المخاطر؛ لأنها تصبح بيانًا مكتوبًا عن ممارسات لا تنفذها الشركة فعليًا.

6. إدارة الموافقات

عندما تعتمد المعالجة على الموافقة، يجب أن تكون الموافقة صادرة عن إرادة حقيقية ومبنية على معلومات واضحة.

ومن الممارسات التي ينبغي تجنبها:

• وضع الموافقة داخل الشروط دون إبرازها.
• تحديد مربع التسويق مسبقًا.
• ربط خدمة أساسية بموافقة غير ضرورية.
• استخدام موافقة واحدة لأغراض مختلفة.
• جعل سحب الموافقة أصعب من منحها.
• مواصلة التسويق بعد الاعتراض أو إلغاء الاشتراك.

كما تحتاج المنشأة إلى الاحتفاظ بسجل يثبت:

• من وافق.
• على ماذا وافق.
• متى حصلت الموافقة.
• النص الذي ظهر للمستخدم.
• الوسيلة التي استخدمت للحصول عليها.
• تاريخ سحبها إن حدث.

7. تمكين أصحاب البيانات من حقوقهم

يكفل النظام مجموعة من الحقوق لأصحاب البيانات وفقًا للضوابط والاستثناءات النظامية، ومن أبرزها:

• الحق في العلم بكيفية معالجة البيانات.
• الحق في الوصول إلى البيانات.
• الحق في طلب الحصول على نسخة منها.
• الحق في تصحيح البيانات أو إكمالها أو تحديثها.
• الحق في طلب إتلاف البيانات في الحالات النظامية.
• الحق في سحب الموافقة عندما تكون أساس المعالجة.
• تقديم شكوى إلى الجهة المختصة.

وتحتاج المنشأة إلى إجراء داخلي يحدد:

• قناة استقبال الطلب.
• طريقة التحقق من هوية مقدم الطلب.
• الإدارة المسؤولة عن التنفيذ.
• الأنظمة التي سيتم البحث فيها.
• كيفية التعامل مع بيانات أطراف أخرى.
• الحالات التي يجوز فيها رفض الطلب.
• طريقة توثيق الرد والتنفيذ.

ولا يكفي إضافة بريد إلكتروني إلى سياسة الخصوصية إذا لم يكن هناك فريق يتابع الطلبات ويستطيع الوصول إلى جميع الأنظمة التي تحتوي على بيانات العميل.

8. التأكد من دقة البيانات

ينبغي اتخاذ خطوات معقولة للتأكد من أن البيانات المستخدمة:

• صحيحة.
• مكتملة.
• محدثة عند الحاجة.
• مرتبطة بالغرض من المعالجة.

وتزداد أهمية هذا الالتزام عندما تؤثر البيانات في:

• قبول طلب أو رفضه.
• تقييم ائتماني.
• قرار توظيف.
• تقديم علاج.
• استحقاق خدمة.
• تحديد هوية العميل.
• تنفيذ عملية مالية.

وجود آلية تسمح للعميل أو الموظف بتحديث بياناته يقلل القرارات الخاطئة والمنازعات.

9. تحديد مدة الاحتفاظ بالبيانات

لا ينبغي الاحتفاظ بالبيانات الشخصية إلى أجل غير محدد لمجرد أن التخزين الإلكتروني متاح.

يجب إعداد جدول للاحتفاظ يوضح:

• نوع البيانات.
• الغرض من الاحتفاظ بها.
• مدة الاحتفاظ.
• الأساس النظامي للمدة.
• النظام أو الموقع الذي تحفظ فيه.
• الإجراء بعد انتهاء المدة.
• الحالات التي تستدعي وقف الإتلاف، مثل وجود نزاع أو التزام نظامي.

بعد انتهاء الغرض، يجب إتلاف البيانات أو إزالة ما يؤدي إلى معرفة صاحبها وفق المتطلبات النظامية، ما لم يوجد مسوغ مشروع للاحتفاظ بها.

10. حماية البيانات أمنيًا

يتطلب الامتثال اتخاذ تدابير تنظيمية وإدارية وتقنية تتناسب مع طبيعة البيانات وحجم المخاطر.

وقد تشمل هذه التدابير:

• التحكم في صلاحيات الوصول.
• تطبيق مبدأ أقل قدر من الصلاحيات.
• المصادقة متعددة العوامل.
• تشفير البيانات الحساسة.
• حماية النسخ الاحتياطية.
• مراقبة محاولات الدخول.
• تحديث البرامج وسد الثغرات.
• اختبار الأنظمة بصورة دورية.
• منع مشاركة كلمات المرور.
• تنظيم استخدام الأجهزة الشخصية.
• تدريب الموظفين.
• إدارة خروج الموظفين وسحب صلاحياتهم.
• إعداد خطة استجابة للحوادث.
• فحص مقدمي الخدمات الخارجيين.

الأمن السيبراني جزء أساسي من حماية البيانات، لكنه ليس البديل عن الامتثال القانوني؛ فقد يكون النظام مؤمّنًا تقنيًا ومع ذلك تستخدم البيانات لغرض غير مشروع.

11. تنظيم العلاقة مع مقدمي الخدمات

تعتمد المتاجر والشركات على مزودين خارجيين مثل:

• منصات المتاجر.
• بوابات الدفع.
• شركات الشحن.
• شركات التسويق.
• أدوات التحليلات.
• شركات الاستضافة.
• أنظمة المحاسبة.
• منصات خدمة العملاء.
• خدمات التخزين السحابي.

قبل منح مقدم الخدمة إمكانية الوصول إلى البيانات، يجب فحص:

• موقع تخزين البيانات.
• مستوى الحماية.
• الموظفين المصرح لهم.
• الاستعانة بجهات معالجة فرعية.
• مدة الاحتفاظ.
• الإبلاغ عن الحوادث.
• إعادة البيانات أو إتلافها.
• نقل البيانات خارج المملكة.
• التعاون في طلبات أصحاب البيانات.
• التدقيق وإثبات الامتثال.

ويجب أن يتضمن العقد التزامات واضحة بشأن معالجة البيانات؛ فالمنشأة لا تتخلص من مسؤولياتها بمجرد تسليم البيانات إلى مزود تقني.

12. تنظيم نقل البيانات خارج المملكة

قد يحدث نقل البيانات خارج المملكة عند استخدام:

• استضافة أجنبية.
• نظام CRM عالمي.
• منصة بريد إلكتروني.
• أداة تحليلات.
• مركز دعم خارج المملكة.
• شركة أم أو فرع أجنبي.
• نسخ احتياطي في مركز بيانات دولي.

يخضع النقل إلى متطلبات نظامية وضمانات محددة. وقد تستخدم البنود التعاقدية القياسية أو ضمانات أخرى معترفًا بها في الحالات التي تسمح بذلك، بهدف توفير مستوى حماية لا يقل عن الحماية المقررة نظامًا.

لذلك يجب ألا تفترض المنشأة أن مجرد موافقة العميل أو وجود بند عام في سياسة الخصوصية يسمح تلقائيًا بجميع عمليات النقل الدولية.

13. التعامل مع حوادث تسرب البيانات

تسرب البيانات لا يعني فقط اختراق خوادم الشركة، بل قد يشمل:

• إرسال ملف عملاء إلى الشخص الخطأ.
• فقدان جهاز يحتوي على بيانات.
• مشاركة رابط غير محمي.
• ظهور بيانات عميل لحساب آخر.
• وصول موظف غير مصرح له.
• سرقة كلمة مرور.
• نشر بيانات حساسة.
• إصابة الأنظمة ببرمجيات فدية.
• ترك مستندات ورقية مكشوفة.
• تسرب البيانات لدى مقدم خدمة.

تحتاج المنشأة إلى خطة تحدد:

1. كيفية اكتشاف الحادث.
2. احتواء التسرب.
3. حفظ الأدلة.
4. تقييم نوع البيانات المتأثرة.
5. تحديد عدد الأشخاص المتضررين.
6. قياس الضرر المحتمل.
7. إخطار الإدارات القانونية والتقنية.
8. تحديد وجوب إبلاغ الجهة المختصة.
9. تحديد وجوب إخطار أصحاب البيانات.
10. توثيق القرار والإجراءات التصحيحية.

تتيح سدايا الإبلاغ عن حادثة تسرب البيانات الشخصية خلال مدة لا تتجاوز 72 ساعة من العلم بها إذا كان من شأنها الإضرار بالبيانات أو بصاحبها أو التعارض مع حقوقه أو مصالحه، وفق الضوابط ذات الصلة.

14. تقييم الأثر على حماية البيانات

قد تستلزم عمليات المعالجة مرتفعة المخاطر إجراء تقييم لتأثيرها في حماية البيانات قبل إطلاق المشروع.

ومن أمثلة الحالات التي تستدعي اهتمامًا أكبر:

• معالجة بيانات حساسة على نطاق واسع.
• استخدام البيانات الحيوية.
• المراقبة المنتظمة للأفراد.
• القرارات الآلية المؤثرة.
• تتبع المواقع الجغرافية.
• الجمع بين قواعد بيانات متعددة.
• إدخال تقنية جديدة.
• إنشاء ملفات تفصيلية عن سلوك العملاء.
• معالجة بيانات الأطفال أو الفئات الأكثر عرضة للمخاطر.

يساعد تقييم الأثر في تحديد المخاطر مبكرًا، وتعديل تصميم المنتج أو النظام قبل جمع البيانات فعليًا.

15. تعيين مسؤول حماية البيانات عند انطباق المتطلبات

لا يجب تعيين مسؤول حماية البيانات في كل منشأة بصورة تلقائية، وإنما يحدد ذلك وفق الحالات والمعايير النظامية.

وتشمل مهامه عادة:

• متابعة الالتزام.
• تقديم المشورة للإدارة.
• مراجعة سياسات الخصوصية.
• الإشراف على طلبات أصحاب البيانات.
• متابعة حوادث التسرب.
• التعاون مع الجهة المختصة.
• رفع مستوى الوعي.
• مراجعة تقييمات الأثر.
• تقديم تقارير دورية للإدارة.

وقد أصدرت سدايا قواعد توضح الحالات التي تستلزم تعيين مسؤول لحماية البيانات والحد الأدنى لمتطلبات تعيينه.

وينبغي أن يتمتع المسؤول بالاستقلال المناسب والموارد اللازمة، وألا يكون دوره مجرد مسمى وظيفي دون صلاحيات فعلية.

متطلبات مهمة للمتاجر الإلكترونية

بيانات إنشاء الحساب

لا تجعل إنشاء الحساب شرطًا إذا كان يمكن تنفيذ الطلب كزائر، إلا إذا كانت هناك حاجة تجارية أو تشغيلية مبررة.

وإذا كان الحساب ضروريًا، اجمع الحد الأدنى من البيانات فقط.

بيانات الدفع

يفضل تقليل تعامل المتجر المباشر مع بيانات البطاقات، واستخدام مزودي دفع مرخصين ومؤهلين، مع توضيح دور كل طرف في معالجة البيانات.

بيانات الشحن

لا تُشارك بيانات العميل مع شركة الشحن إلا بالقدر اللازم لإتمام التوصيل، مع وجود تنظيم تعاقدي لاستخدام البيانات وحمايتها.

الرسائل التسويقية

تنفيذ العميل لعملية شراء لا يعني بالضرورة موافقته على جميع الرسائل التسويقية المستقبلية. يجب تنظيم الموافقات، وتوفير وسيلة فعالة لإلغاء الاشتراك، والاحتفاظ بقوائم الاعتراض.

ملفات تعريف الارتباط

تحتاج المنشأة إلى حصر ملفات تعريف الارتباط المستخدمة، مثل:

• الملفات الضرورية.
• ملفات الأداء.
• أدوات التحليل.
• ملفات الإعلانات.
• أدوات إعادة الاستهداف.
• إضافات منصات التواصل.

ويجب أن تعكس نافذة إدارة ملفات الارتباط الأدوات الموجودة فعليًا في الموقع، لا أن تكون تصميمًا شكليًا يسمح بتشغيل جميع الأدوات قبل اختيار المستخدم.

حسابات التواصل وواتساب

بيانات العملاء التي تصل عبر واتساب أو منصات التواصل تظل بيانات شخصية. لذلك يجب تنظيم:

• من يستطيع الدخول إلى الحساب.
• استخدام الأجهزة الشخصية.
• تحميل المحادثات.
• مدة الاحتفاظ.
• نقل البيانات إلى نظام CRM.
• حذف الصلاحيات عند مغادرة الموظف.
• مشاركة المحادثات داخل فرق العمل.

عقوبات مخالفة نظام حماية البيانات الشخصية

قد تترتب على المخالفات عقوبات تختلف بحسب نوع المخالفة وجسامتها وتكرارها وآثارها.

وفي غير الحالات الخاصة المنصوص عليها نظامًا، قد تصل الغرامة إلى خمسة ملايين ريال، مع إمكان مضاعفتها عند تكرار المخالفة وفق الضوابط. كما يحق لمن لحقه ضرر المطالبة بالتعويض عن الضرر المادي أو المعنوي.

وفي حالة الإفصاح عن البيانات الحساسة أو نشرها بالمخالفة للنظام، مع توافر القصد المحدد نظامًا، قد تصل العقوبة إلى السجن لمدة سنتين وغرامة ثلاثة ملايين ريال أو إحدى العقوبتين.

ولا تقتصر آثار المخالفة على العقوبة، بل قد تشمل:

• فقدان ثقة العملاء.
• مطالبات بالتعويض.
• تعطيل أنظمة أو عمليات.
• تكلفة التحقيق ومعالجة الحادث.
• مراجعة العقود مع الشركاء.
• الإضرار بسمعة العلامة.
• فقدان فرص تعاقدية تتطلب إثبات الامتثال.

قائمة امتثال نظام حماية البيانات الشخصية

حوكمة البيانات

• حددنا الإدارات والأنظمة التي تجمع البيانات.
• عيّنا المسؤوليات الداخلية بوضوح.
• قيّمنا الحاجة إلى مسؤول حماية بيانات.
• اعتمدنا سياسات وإجراءات مكتوبة.
• ندرب الموظفين بصورة دورية.

حصر البيانات

• نعرف أنواع البيانات التي نجمعها.
• نعرف مصدر كل نوع من البيانات.
• حددنا أغراض المعالجة.
• حددنا المسوغ النظامي لكل غرض.
• نعرف أين تحفظ البيانات.
• حددنا من يستطيع الوصول إليها.
• حصرنا الجهات التي نشارك البيانات معها.
• حددنا البيانات التي تعالج خارج المملكة.

المواقع والمتاجر الإلكترونية

• سياسة الخصوصية محدثة ومطابقة للواقع.
• نماذج التسجيل لا تجمع بيانات زائدة.
• موافقات التسويق منفصلة وواضحة.
• توجد وسيلة سهلة لإلغاء الاشتراك.
• ملفات تعريف الارتباط مصنفة.
• أدوات التحليل والإعلانات مدرجة في التقييم.
• إعدادات الموقع لا تشغل الأدوات غير الضرورية دون الأساس المناسب.

العقود

• راجعنا عقود مزودي الاستضافة.
• راجعنا منصات الدفع والشحن.
• حددنا التزامات جهات المعالجة.
• نظمنا الإبلاغ عن التسرب.
• نظمنا الاستعانة بجهات معالجة فرعية.
• عالجنا إعادة البيانات وإتلافها.
• راجعنا عمليات النقل خارج المملكة.

حقوق أصحاب البيانات

• توجد قناة لاستقبال الطلبات.
• توجد آلية للتحقق من الهوية.
• حددنا المسؤول عن الرد.
• نستطيع البحث في جميع الأنظمة.
• نوثق الطلبات والإجراءات المتخذة.
• توجد آلية للتصحيح والإتلاف وسحب الموافقة.

الأمن والحوادث

• الصلاحيات محددة حسب الوظيفة.
• نستخدم المصادقة متعددة العوامل.
• نراجع الحسابات غير المستخدمة.
• البيانات الحساسة محمية.
• النسخ الاحتياطية آمنة.
• توجد خطة للاستجابة للحوادث.
• الفريق يعرف متى وكيف يصعّد الحادث.
• نستطيع تقييم وجوب الإبلاغ خلال المدة النظامية.

أخطاء شائعة في امتثال الشركات والمتاجر

من أبرز الأخطاء:

• نسخ سياسة خصوصية من موقع آخر.
• الاعتقاد أن الموافقة تصلح لجميع الأغراض.
• جمع معلومات أكثر من الحاجة.
• تشغيل أدوات التتبع دون حصرها.
• عدم معرفة مكان تخزين البيانات.
• مشاركة قاعدة العملاء مع وكالة تسويق دون ضوابط.
• الاحتفاظ بالبيانات دون مدة محددة.
• ترك صلاحيات الموظفين السابقين مفعلة.
• الاعتماد على مزود الخدمة دون مراجعة عقده.
• نقل البيانات إلى نظام سحابي أجنبي دون تقييم.
• عدم وجود إجراء لطلبات أصحاب البيانات.
• تجاهل البيانات الموجودة في البريد وواتساب والملفات الورقية.
• اعتبار سياسة الخصوصية وحدها برنامج امتثال كامل.
• عدم إشراك الإدارة القانونية قبل إطلاق خدمة رقمية جديدة.
• إبلاغ الحوادث بصورة متأخرة بسبب غياب خطة واضحة.

كيف تساعدك ركائز الخبرة في امتثال حماية البيانات؟

لا يبدأ الامتثال بصياغة سياسة الخصوصية، بل بفهم دورة البيانات داخل المنشأة وتحديد الفجوات القانونية والتعاقدية والتشغيلية.

تقدم ركائز الخبرة خدمات قانونية تشمل:

• تقييم الامتثال لنظام حماية البيانات الشخصية.
• إجراء Gap Assessment لممارسات الخصوصية.
• إعداد سجل أنشطة معالجة البيانات.
• إعداد ومراجعة سياسة الخصوصية.
• مراجعة إشعارات جمع البيانات.
• صياغة نماذج الموافقة.
• إعداد سياسة الاحتفاظ والإتلاف.
• إعداد إجراءات حقوق أصحاب البيانات.
• مراجعة عقود جهات المعالجة.
• صياغة اتفاقيات معالجة البيانات DPA.
• مراجعة نقل البيانات خارج المملكة.
• إعداد الإجراءات القانونية لحوادث التسرب.
• مراجعة ملفات تعريف الارتباط والتسويق الإلكتروني.
• تقديم الاستشارات المتعلقة بمسؤول حماية البيانات.
• مراجعة مشاريع التجارة الإلكترونية والتطبيقات.
• تدريب الفرق القانونية والتسويقية والتقنية.
• تحديث الوثائق عند تغير الأنظمة أو ممارسات المنشأة.

ابدأ مراجعة امتثال منشأتك قبل وقوع المخالفة

كل نموذج تسجيل، ورسالة تسويقية، وأداة تحليل، ونظام سحابي، ومقدم خدمة يمكن أن يشكل جزءًا من دورة معالجة البيانات الشخصية.

لذلك لا تنتظر وقوع تسرب أو تلقي شكوى لتكتشف أن سياسة الخصوصية لا تعكس الواقع، أو أن الشركة تشارك البيانات مع جهات لم تتم مراجعة عقودها، أو أنها لا تستطيع تنفيذ طلبات العملاء.

اطلب مراجعة امتثال الخصوصية من ركائز الخبرة للحصول على تقييم واضح لممارسات جمع البيانات واستخدامها وحفظها ومشاركتها، وخطة قانونية عملية تساعد منشأتك على الامتثال لنظام حماية البيانات الشخصية السعودي.

للتواصل والاستفسار:

اتصال وواتساب: 920032504
البريد الإلكتروني: info@rakaizlaw.com

خبرتنا القانونية ركيزتك لحماية أعمالك وبيانات عملائك.

الأسئلة الشائعة حول نظام حماية البيانات الشخصية

هل ينطبق النظام على المتاجر الصغيرة؟

قد ينطبق النظام على المتجر بصرف النظر عن حجمه متى كان يجمع أو يعالج بيانات شخصية مشمولة بأحكامه. حجم المتجر قد يؤثر في طبيعة المخاطر والضوابط المناسبة، لكنه لا يلغي الالتزامات الأساسية.

هل تكفي سياسة الخصوصية لتحقيق الامتثال؟

لا. سياسة الخصوصية جزء من الامتثال، لكن يلزم أيضًا تنظيم الموافقات والاحتفاظ والأمن والعقود وطلبات أصحاب البيانات وحوادث التسرب ونقل البيانات.

هل تحتاج الشركة إلى موافقة العميل في جميع الحالات؟

ليست الموافقة المسوغ الوحيد للمعالجة. قد تقوم المعالجة على تنفيذ عقد أو الوفاء بالتزام نظامي أو غير ذلك من المسوغات المقررة، بحسب طبيعة العملية وشروطها.

هل يمكن استخدام بيانات العملاء في التسويق؟

يمكن ذلك عند وجود مسوغ مناسب والالتزام بمتطلبات التسويق والشفافية وإدارة الموافقات والاعتراض وإلغاء الاشتراك بحسب الحالة.

هل تخزين البيانات على خدمة سحابية أجنبية يعد نقلًا خارج المملكة؟

قد يمثل معالجة أو نقلًا للبيانات خارج المملكة بحسب موقع التخزين والوصول والبنية المستخدمة. يجب مراجعة الخدمة والعقد ومواقع مراكز البيانات والضمانات النظامية قبل الاعتماد عليها.

متى يجب الإبلاغ عن تسرب البيانات؟

عندما ينطبق معيار الإبلاغ المقرر في النظام واللائحة، يجب التعامل مع الحادث والإبلاغ خلال المدة المحددة. ولهذا ينبغي إجراء تقييم قانوني وفني فور اكتشاف الواقعة.

هل يجب تعيين مسؤول حماية بيانات؟

لا يلزم ذلك جميع المنشآت بصورة مطلقة. يعتمد الالتزام على طبيعة المعالجة وحجمها وانتظامها وفئات البيانات وغيرها من الحالات التي تحددها القواعد ذات الصلة.

ما الفرق بين سياسة الخصوصية واتفاقية معالجة البيانات؟

سياسة الخصوصية توضح لأصحاب البيانات كيفية جمع بياناتهم واستخدامها. أما اتفاقية معالجة البيانات فتنظم العلاقة بين جهة التحكم ومقدم الخدمة أو جهة المعالجة، وتحدد تعليمات المعالجة والحماية والمسؤوليات.