دخل نظام حماية البيانات الشخصية في المملكة حيز التنفيذ في 14 سبتمبر 2023، وكان على الجهات الالتزام به اعتبارًا من 14 سبتمبر 2024، وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). إذا كان تطبيقك أو موقعك يجمع الأسماء أو أرقام الجوال أو البريد الإلكتروني أو الموقع أو الهويات أو بيانات الدفع من أشخاص في السعودية، فالنظام يحكم طريقة تصميمه. تحوّل هذه القائمة النظام إلى مهام عملية للمنتج والتطوير.
على من ينطبق؟
يشمل النظام معالجة البيانات الشخصية داخل المملكة، ومعالجتها خارجها إذا كانت تتعلق بأشخاص مقيمين في السعودية. عمليًا، تقع معظم التطبيقات والمواقع والمتاجر الموجهة للسوق السعودي ضمن نطاقه، حتى لو كانت تديرها شركات من الخارج.
قائمة التحقق
- حصر بياناتك: ما البيانات التي تجمعها كل شاشة ونموذج وتكامل، ولماذا، وأين تُخزن، ومن يطّلع عليها.
- تحديد الأساس النظامي لكل غرض: الموافقة هي الأساس الرئيسي في النظام، ويجب أن يتمكن الشخص من سحبها. لا تدمج موافقة التسويق مع التسجيل.
- نشر إشعار خصوصية واضح بالعربية والإنجليزية عند جمع البيانات، يوضح ما تجمعه ولماذا ومدة الاحتفاظ ومن تشاركه معه.
- جمع ما تحتاجه فقط: كل حقل إضافي يعني مخاطرة إضافية، فاحذف الحقول الاختيارية غير المستخدمة.
- دعم حقوق المستخدم: وفّر طريقة بسيطة للوصول إلى البيانات والحصول على نسخة منها وتصحيحها وإتلافها، وإجراءً داخليًا للرد على الطلبات.
- حماية البيانات: شفّر البيانات أثناء النقل والتخزين، وحدّد صلاحيات المسؤولين حسب الدور، وسجّل الوصول إلى السجلات الحساسة، وأبعد الأسرار عن كود التطبيق.
- الاستعداد للتسرّب: يتطلب النظام إشعار سدايا خلال 72 ساعة من العلم بالحادثة، وإبلاغ المتضررين دون تأخير غير مبرر إذا كان قد يضرهم. حدد الأدوار الآن.
- مراجعة المزودين: مزودو الاستضافة والتحليلات والرسائل والبريد والدفع يعالجون بيانات نيابة عنك، فاستخدم عقودًا تحدد التزاماتهم.
- تحديد مكان استضافة البيانات: لا يُسمح بنقل البيانات خارج المملكة إلا بمستوى حماية مناسب أو ضمانات ملائمة، لذا اختر مناطق الاستضافة بعناية.
- تعيين مسؤول حماية بيانات عند الحاجة، مثل معالجة بيانات حساسة أو مراقبة الأشخاص على نطاق واسع.
- التسجيل عند اللزوم: يلزم كثير من جهات التحكم التسجيل في المنصة الوطنية لحوكمة البيانات لدى سدايا.
- الحذر مع البيانات الحساسة مثل البيانات الصحية والجينية والائتمانية والحيوية، إذ تخضع لقواعد أشد وعقوبات أعلى.
ماذا يحدث عند المخالفة؟
قد تؤدي المخالفات إلى إنذار أو غرامة تصل إلى 5 ملايين ريال، ويجوز للمحكمة مضاعفتها عند التكرار. أما الإفصاح عن البيانات الحساسة بقصد الإضرار فقد يؤدي إلى السجن حتى سنتين وغرامة تصل إلى 3 ملايين ريال.
بناء التطبيق متوافقًا مع النظام من اليوم الأول
تصميم شاشات الموافقة وإشعارات الخصوصية وتصدير البيانات وحذفها من البداية أقل تكلفة بكثير من إضافتها بعد الإطلاق. في مشاريعنا نتفق على متطلبات حماية البيانات، بما فيها مكان الاستضافة، في البداية ونصمم النظام وفقها، من المواقع وتطبيقات الجوال إلى منصات الرعاية الصحية التي تعالج بيانات حساسة. وتغطي خدمات الحوسبة السحابية وDevOps قرارات الاستضافة.
هذه المقالة معلومات عامة وليست استشارة قانونية. لحالتك تحديدًا، استشر محاميًا مؤهلًا وارجع إلى الإرشادات الرسمية لسدايا.
