المادة 18 نظام حماية البيانات المساءلة تفتيش سدايا: الإجراءات الموثقة الفعلية
المادة 18 من نظام حماية البيانات الشخصية الصادر عن هيئة سدايا تنص على أن المتحكم يجب أن يتخذ الإجراءات المناسبة لإثبات امتثاله لأحكام النظام. لكن النص لا يسرد هذه الإجراءات بالتفصيل، ولا يحدد شكلها أو محتواها أو مدة الاحتفاظ بها. هذا الغموض يترك مسؤولي حماية البيانات والمستشارين القانونيين في المؤسسات السعودية أمام سؤال عملي: ما الذي يجب توثيقه بالضبط، وبأي تفاصيل، لإثبات الامتثال عند تفتيش سدايا؟
استناداً إلى تقارير التفتيش وقرارات الإنفاذ الصادرة عن سدايا، يمكن تحديد سبعة إجراءات موثقة يطلبها المفتشون بشكل منتظم عند زيارات التفتيش أو الاستفسارات التنظيمية. هذه الإجراءات ليست مجرد توصيات جيدة، بل هي الأدلة الفعلية التي يبحث عنها المفتشون لتقييم مدى التزام المؤسسة بمبدأ المساءلة. هذا الدليل يحدد كل إجراء، والحد الأدنى من المحتوى المطلوب، ومدة الاحتفاظ المناسبة، ليبني مسؤول حماية البيانات برنامج حوكمة يتوافق مع ما تتحقق منه سدايا فعلياً.
الإجراءات الموثقة السبعة
1. جدول البيانات الشخصية (Data Inventory)
ما هو: سجل شامل لجميع أنواع البيانات الشخصية التي تجمعها المؤسسة أو تعالجها أو تحتفظ بها، مع تصنيفها حسب الحساسية والنوع.
الحد الأدنى من المحتوى:
- نوع البيانات (اسم، رقم هوية، عنوان، بيانات مالية، بيانات صحية، إلخ)
- تصنيف الحساسية (عادية، حساسة بموجب المادة 4 من النظام)
- الغرض من الجمع والمعالجة
- الأساس القانوني للمعالجة (موافقة، عقد، التزام قانوني، إلخ)
- مصدر البيانات (صاحب البيانات مباشرة، طرف ثالث، مصدر عام)
- الجهات التي تشارك معها البيانات (داخلياً أو خارجياً)
- مدة الاحتفاظ المخططة
- موقع التخزين (داخل المملكة أو خارجها)
مدة الاحتفاظ بالسجل: يجب تحديث الجدول كلما تغيرت أنشطة المعالجة، ويُحتفظ بالنسخ السابقة لمدة لا تقل عن ثلاث سنوات لإثبات التطور والتحسين المستمر.
الفجوة الشائعة: كثير من المؤسسات تملك جداول بيانات جزئية تغطي الأنظمة الرئيسية فقط، وتتجاهل البيانات المخزنة في أدوات التعاون، أو الأرشيفات القديمة، أو لدى الموردين. المفتشون يبحثون عن جدول شامل يغطي دورة حياة البيانات الكاملة.
2. سجل أنشطة المعالجة (Processing Register)
ما هو: سجل تفصيلي لكل نشاط معالجة تقوم به المؤسسة، مرتبط بالنظام أو العملية أو المشروع الذي يستخدم البيانات.
الحد الأدنى من المحتوى:
- اسم النشاط أو النظام
- الغرض من المعالجة
- فئات أصحاب البيانات (عملاء، موظفون، موردون، إلخ)
- فئات البيانات المعالجة
- المتلقون أو فئات المتلقين (داخلياً وخارجياً)
- النقل عبر الحدود (إن وجد) والضمانات المطبقة
- المدة المتوقعة للاحتفاظ
- التدابير الأمنية المطبقة
- تاريخ بدء النشاط وتاريخ المراجعة الأخيرة
مدة الاحتفاظ بالسجل: طوال مدة نشاط المعالجة، ولمدة ثلاث سنوات بعد إيقافه.
الفجوة الشائعة: الخلط بين جدول البيانات وسجل المعالجة. الأول يسرد ما تملكه المؤسسة من بيانات، والثاني يوثق كيف تستخدمها. المفتشون يتوقعون رؤية الاثنين معاً، مع روابط واضحة بينهما.
3. سجلات الموافقة (Consent Records)
ما هو: سجل لكل موافقة حصلت عليها المؤسسة من أصحاب البيانات، يثبت أن الموافقة كانت حرة ومحددة ومستنيرة وواضحة.
الحد الأدنى من المحتوى:
- هوية صاحب البيانات (أو معرّف فريد)
- تاريخ ووقت الموافقة
- نص الموافقة أو الإشعار المقدم
- الغرض أو الأغراض المحددة
- القناة التي حصلت عبرها الموافقة (موقع إلكتروني، تطبيق، نموذج ورقي، إلخ)
- أي موافقات منفصلة لأغراض مختلفة
- تاريخ ووقت سحب الموافقة (إن حدث)
مدة الاحتفاظ بالسجل: طوال مدة المعالجة المبنية على الموافقة، ولمدة ثلاث سنوات بعد انتهاء المعالجة أو سحب الموافقة، لإثبات الامتثال في حال الاستفسار أو الشكوى.
الفجوة الشائعة: الاعتماد على نصوص الموافقة العامة في سياسات الخصوصية دون توثيق الموافقة الفعلية لكل فرد. المفتشون يطلبون دليلاً على أن هذا الشخص وافق في هذا التاريخ على هذا الغرض المحدد.
4. سجل الاختراقات والحوادث (Breach Log)
ما هو: سجل لجميع حوادث اختراق البيانات الشخصية أو الوصول غير المصرح به أو الفقدان أو التلف، بغض النظر عما إذا كان الحادث يستوجب الإبلاغ لسدايا أم لا.
الحد الأدنى من المحتوى:
- تاريخ ووقت اكتشاف الحادث
- وصف الحادث وطبيعته
- فئات وعدد أصحاب البيانات المتأثرين (تقديري إن لم يكن دقيقاً)
- فئات وحجم البيانات المتأثرة
- الأثر المحتمل على أصحاب البيانات
- الإجراءات المتخذة للاحتواء والتخفيف
- ما إذا تم الإبلاغ لسدايا (ومتى) ولأصحاب البيانات (ومتى)
- الإجراءات التصحيحية والوقائية المخططة أو المنفذة
- حالة الحادث (مفتوح، مغلق، قيد المعالجة)
مدة الاحتفاظ بالسجل: خمس سنوات على الأقل من تاريخ إغلاق الحادث، لإثبات الامتثال لالتزامات الإبلاغ ولتحليل الاتجاهات.
الفجوة الشائعة: توثيق الحوادث الكبيرة فقط، وإهمال الحوادث الصغيرة أو المحاولات الفاشلة. المفتشون يبحثون عن سجل شامل يظهر نضج برنامج الاستجابة للحوادث، بما في ذلك الحوادث التي لم تستوجب الإبلاغ.
5. تقييمات أثر حماية البيانات (Privacy Impact Assessments)
ما هو: تقييم منهجي للمخاطر التي تشكلها أنشطة المعالجة الجديدة أو المعدلة على حقوق وحريات أصحاب البيانات، خاصة عند استخدام تقنيات جديدة أو معالجة بيانات حساسة على نطاق واسع.
الحد الأدنى من المحتوى:
- وصف نشاط المعالجة والغرض منه
- تقييم الضرورة والتناسب
- تحديد المخاطر على حقوق أصحاب البيانات
- التدابير المخططة للتخفيف من المخاطر
- تقييم المخاطر المتبقية
- الموافقات الداخلية (من الإدارة أو لجنة الخصوصية)
- تاريخ التقييم والمراجعين
مدة الاحتفاظ بالسجل: طوال مدة نشاط المعالجة، ولمدة ثلاث سنوات بعد إيقافه.
الفجوة الشائعة: عدم إجراء تقييمات الأثر إلا عند إطلاق مشاريع تقنية كبيرة، وإهمالها عند تعديل العمليات الحالية أو إضافة أغراض معالجة جديدة. المفتشون يتوقعون رؤية تقييمات أثر لأي تغيير جوهري في المعالجة.
6. اتفاقيات معالجة البيانات (Data Processing Agreements)
ما هو: عقود موثقة مع جميع المعالجين (الموردين أو مقدمي الخدمات الذين يعالجون بيانات شخصية نيابة عن المؤسسة) تحدد التزاماتهم بموجب النظام.
الحد الأدنى من المحتوى:
- موضوع ومدة المعالجة
- طبيعة وغرض المعالجة
- نوع البيانات الشخصية وفئات أصحاب البيانات
- التزامات المعالج وحقوقه
- التزام المعالج بمعالجة البيانات فقط بناءً على تعليمات المتحكم
- التزامات السرية
- التدابير الأمنية المطلوبة
- شروط الاستعانة بمعالج فرعي
- التزامات المساعدة في الاستجابة لطلبات أصحاب البيانات
- الإجراءات عند انتهاء العقد (حذف أو إرجاع البيانات)
- التزامات التدقيق والتفتيش
مدة الاحتفاظ بالسجل: طوال مدة العلاقة مع المعالج، ولمدة خمس سنوات بعد انتهائها.
الفجوة الشائعة: الاعتماد على بنود حماية البيانات العامة في عقود الشراء، دون اتفاقية معالجة منفصلة تغطي جميع الالتزامات المطلوبة بموجب النظام. المفتشون يطلبون اتفاقيات محددة لكل معالج.
7. سجلات التدريب والتوعية (Training Records)
ما هو: سجل لجميع أنشطة التدريب والتوعية المتعلقة بحماية البيانات الشخصية، يثبت أن الموظفين المعنيين يفهمون التزاماتهم.
الحد الأدنى من المحتوى:
- تاريخ ونوع التدريب (تعريفي، دوري، متخصص)
- المحتوى أو الموضوعات المغطاة
- أسماء أو أدوار الحاضرين
- معدل الحضور أو الإكمال
- نتائج الاختبارات أو التقييمات (إن وجدت)
- الجهة المقدمة للتدريب (داخلية أو خارجية)
مدة الاحتفاظ بالسجل: طوال مدة عمل الموظف، ولمدة ثلاث سنوات بعد انتهاء خدمته.
الفجوة الشائعة: الاكتفاء بتدريب تعريفي عام عند التوظيف، دون تدريب دوري أو متخصص للأدوار التي تتعامل مع بيانات حساسة. المفتشون يبحثون عن برنامج توعية مستمر ومستهدف.
ترتيب العمل المنطقي
بناء هذه الإجراءات الموثقة السبعة لا يحدث دفعة واحدة. الترتيب المنطقي يبدأ بفهم ما تملكه المؤسسة، ثم توثيق كيف تستخدمه، ثم بناء الضوابط والأدلة:
- جدول البيانات الشخصية: ابدأ بجرد شامل لجميع البيانات. هذا هو الأساس لكل شيء آخر.
- سجل أنشطة المعالجة: بمجرد معرفة ما تملكه، وثّق كيف تستخدمه في كل نظام وعملية.
- تقييمات أثر حماية البيانات: قيّم المخاطر للأنشطة عالية المخاطر، وحدد التدابير المطلوبة.
- اتفاقيات معالجة البيانات: تأكد من أن جميع الموردين الذين يعالجون بيانات نيابة عنك ملتزمون تعاقدياً.
- سجلات الموافقة: بنِ آلية لتوثيق الموافقات الجديدة، وابدأ في جمع الأدلة للموافقات الحالية حيثما أمكن.
- سجل الاختراقات والحوادث: ضع إجراءات الاستجابة للحوادث، وابدأ في توثيق أي حوادث جديدة فوراً.
- سجلات التدريب والتوعية: نفّذ برنامج توعية منتظم، ووثّق كل نشاط.
هذا الترتيب يبني كل خطوة على سابقتها، ويتيح للمؤسسة إظهار تقدم مستمر حتى لو لم تكتمل جميع الإجراءات بعد.
الفجوات الشائعة عبر المؤسسات
عند مراجعة استعداد المؤسسات السعودية لتفتيش سدايا، تظهر فجوات متكررة:
التوثيق بأثر رجعي: محاولة بناء السجلات قبل التفتيش مباشرة، بدلاً من توثيق الأنشطة بشكل مستمر. المفتشون يلاحظون السجلات التي تبدو مصطنعة أو غير مكتملة.
الفصل بين الإجراءات: الاحتفاظ بالسجلات في أنظمة أو أقسام منفصلة دون روابط واضحة. المفتشون يتوقعون رؤية كيف يرتبط جدول البيانات بسجل المعالجة بتقييمات الأثر.
عدم تحديث السجلات: الاحتفاظ بنسخ قديمة لا تعكس الواقع الحالي. المفتشون يختبرون دقة السجلات بمقارنتها بالأنظمة الفعلية.
التركيز على الشكل دون الجوهر: إنشاء قوالب جميلة دون محتوى حقيقي أو تحليل. المفتشون يبحثون عن أدلة على أن المؤسسة تستخدم هذه السجلات في اتخاذ القرارات، لا أنها تحتفظ بها للامتثال فقط.
كيف نساعد
استشارات الحوكمة والمخاطر التي نقدمها هي أطر الحوكمة والمخاطر والامتثال المصممة وفق المتطلبات التنظيمية السعودية، وتشمل نظام حماية البيانات الشخصية ضمن الأطر المغطاة. خبرة مستمرة في الحوكمة والمخاطر والالتزام، متاحة لفريقكم عند الحاجة.
العملية تبدأ بالتهيئة لفهم بيئتكم والتزاماتكم وأولوياتكم، ثم التخطيط للاتفاق على تركيز الربع والساعات الاستشارية. الاستشارة تشمل مراجعات وإحاطات ودعم للاجتماعات بشكل مستمر، مع تقرير شهري ومراجعة ربعية.
المخرجات تشمل تقرير استشاري شهري، وإحاطات التغييرات التنظيمية، ومستندات مراجعة مع التوصيات، ولوحة وضع الالتزام. الخدمات تشمل رصد التغييرات التنظيمية وأثرها، ومراجعة السياسات والمستندات، والتحضير لاجتماعات الجهات التنظيمية والتدقيق، ومتابعة وضع الالتزام، مع ساعات استشارية شهرية. العقد لمدة 12 شهرًا.
عندما تحتاج مؤسستك إلى بناء الإجراءات الموثقة التي تتحقق منها سدايا فعلياً، أو مراجعة ما لديك قبل التفتيش، أو فهم كيف تترجم المادة 18 إلى ممارسات عملية، نحن هنا لنقدم الخبرة المستمرة التي يحتاجها فريقكم.
