عندما يعتمد المجلس برنامجًا لحماية البيانات الشخصية، فإنه في الغالب يطّلع على سياسة وخطة وعرض تقديمي. أما الوثائق التي يبدأ بها المراجع عادةً فقد لا تكون بين يديه. وتتركز متطلبات جرد البيانات الشخصية في ثلاث وثائق: جرد يربط كل نشاط معالجة بأساس نظامي، وتقييمات للنقل خارج المملكة، وسجلات للموافقة وسحبها.
هذا المقال موجّه لأعضاء المجالس ورؤساء لجان المراجعة في المؤسسات المالية الخاضعة لنظام حماية البيانات الشخصية (PDPL) الصادر في المملكة، والذي تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي. لا يتطلب منكم معرفة تقنية، بل ثلاثة أسئلة وقراءة واعية للإجابات.
لماذا يبدأ الأمر بالجرد
لا يمكن حماية بيانات لا تعرفون أين توجد. الجرد هو الأساس الذي تُبنى عليه بقية الالتزامات: الإشعارات، وحقوق أصحاب البيانات، والإبلاغ عن التسرب، والنقل خارج المملكة. فإذا كان ناقصًا أو قديمًا، ورثت كل وثيقة لاحقة نقصه.
الجرد الجيد ليس جدول بيانات أعدّه قسم واحد. هو سجل لأنشطة المعالجة عبر الإدارات والأنظمة، يبيّن لكل نشاط ما البيانات المعالَجة، ولماذا، وعلى أي أساس نظامي، ومع من تُشارَك، وأين تُنقل.
السؤال الأول: ما أنشطة المعالجة التي تفتقر إلى أساس نظامي؟
اطلبوا من الإدارة قائمة بأنشطة المعالجة مقرونة بالأساس النظامي لكل منها. لا يكفي أن يُقال إن لدينا موافقة العميل. فبعض الأنشطة يقوم على أساس آخر يجيزه النظام ولوائحه التنفيذية، وبعضها لا أساس واضحًا له.
كيف تقرؤون الإجابة
- إجابة قوية: قائمة كاملة، لكل نشاط فيها مالك واضح وأساس مكتوب، مع تاريخ آخر مراجعة.
- إجابة تستدعي الحذر: أساس واحد مكرر على كل الأنشطة دون تمييز.
- إجابة مقلقة: تعذّر ذكر الأساس لأنشطة قائمة منذ سنوات، أو غياب مالك للنشاط.
ما الذي تموّلونه
خصّصوا وقتًا للإدارات لا للتقنية وحدها. فأكثر الفجوات تظهر في الأنشطة التي تنشأ داخل الأعمال، مثل التسويق وإدارة الموردين والموارد البشرية، ولا تظهر في الأنظمة الرئيسية.
السؤال الثاني: ما عمليات النقل عبر الحدود التي تجري دون ضمانات؟
تعتمد مؤسسات مالية كثيرة على مزودي خدمات سحابية وبرمجيات ومراكز دعم خارج المملكة. كل علاقة من هذه قد تعني نقل بيانات شخصية أو إتاحة الوصول إليها من الخارج. وينظّم نظام حماية البيانات الشخصية ولوائحه التنفيذية نقل البيانات خارج المملكة بشروط وضمانات، وعلى المؤسسة أن تثبت أنها قيّمت كل حالة.
اطلبوا من الإدارة:
- قائمة بكل جهة يُنقل إليها أو يُتاح لها الوصول إلى بيانات شخصية خارج المملكة.
- تقييمًا مكتوبًا لكل عملية نقل يبيّن المبرر والضمانات المطبّقة.
- بيان العقود التي تتضمن التزامات حماية بيانات تجاه المزود.
كيف تقرؤون الإجابة
إن جاءتكم القائمة من إدارة المشتريات دون مراجعة من الإدارة القانونية أو إدارة الخصوصية، فاعلموا أنها على الأرجح ناقصة. ومن الإشارات الجيدة أن تتضمن القائمة حالات الوصول عن بُعد لأغراض الدعم، فهي تُغفل كثيرًا.
ما الذي تموّلونه
تقييم النقل خارج المملكة عملية دورية لا مشروع يُنجز مرة واحدة. اسألوا من يملكها، وكيف يُطلب التقييم عند التعاقد مع مزود جديد.
السؤال الثالث: أين توثيق الموافقات؟
حيثما كانت الموافقة هي الأساس، فعلى المؤسسة أن تُثبت أنها حصلت عليها، وأن تتيح لصاحب البيانات سحبها، وأن تعمل بالسحب فعليًا. اطلبوا مثالًا حيًّا: اختاروا عميلًا افتراضيًا، واسألوا متى وُثّقت موافقته، وبأي صيغة، وماذا يحدث إذا سحبها غدًا.
كيف تقرؤون الإجابة
- هل تحتفظ المؤسسة بنص الإشعار الذي عُرض على صاحب البيانات وقت الموافقة؟
- هل يصل سحب الموافقة إلى كل الأنظمة التي تعالج بياناته، أم إلى نظام واحد فقط؟
- هل يوجد سجل بطلبات السحب ومدة الاستجابة لها؟
الفجوة الأكثر شيوعًا هي أن الموافقة تُجمع بإتقان عند البداية، ثم لا يملك أحد مسارًا واضحًا لسحبها.
ما الذي تقيسونه
لا تحتاج المجالس إلى لوحة مؤشرات معقدة. ثلاثة مقاييس تكفي لمتابعة التقدم:
- نسبة أنشطة المعالجة المسجلة التي لها أساس نظامي موثّق ومالك معروف، ويكفي أن تُعرض كاكتمال في الجرد دون رقم مبالغ فيه.
- عدد عمليات النقل خارج المملكة التي لم يكتمل تقييمها بعد.
- عدد طلبات سحب الموافقة المفتوحة ومدى التأخر في معالجتها.
والأهم أن تُعرض هذه المقاييس بصراحة مع الفجوات، فالمجلس الذي يرى الفجوة مبكرًا أقدر على معالجتها من الذي يكتشفها في المراجعة.
ماذا تفعلون إذا ظهرت فجوات
لا تُعدّ الفجوات فشلًا بحد ذاتها. المهم أن تكون معروفة، ولها مالك وخطة وتاريخ. اطلبوا من الإدارة خطة معالجة مرتبة بحسب المخاطر، وقرّروا في المجلس ما يُعالج أولًا. وتأكدوا كذلك من أن مسؤول حماية البيانات، إن وُجد، يرفع تقاريره بما يكفي من الاستقلالية.
كيف نعمل معكم
يبني فريقنا برنامج الالتزام بنظام حماية البيانات الشخصية: حصر البيانات وسجلات المعالجة، والأسس النظامية، وإشعارات الخصوصية، وحقوق أصحاب البيانات، والإبلاغ عن التسرب، ونقل البيانات، ودعم مسؤول حماية البيانات. ويسير العمل في أربع مراحل: الاستكشاف بالمقابلات ورسم خرائط البيانات عبر الإدارات والأنظمة، ثم تقييم الفجوات مقابل النظام ولوائحه التنفيذية، ثم بناء الإشعارات والعمليات والنماذج والضوابط، ثم التشغيل بالتدريب ودعم مسؤول حماية البيانات وأول مراجعة التزام. وتتراوح مدة المشروع بين 8 و12 أسبوعًا.
إن كنتم لا تعرفون هل تحتاجون إلى مسؤول حماية بيانات، فذلك يعتمد على طبيعة المعالجة وحجمها وفق اللوائح التنفيذية. نقيّم ذلك معكم ويمكننا دعم الدور مؤقتًا.
لمناقشة برنامج حماية البيانات الشخصية في مؤسستكم، تواصلوا معنا لنبدأ بمراجعة الأسئلة الثلاثة أعلاه على واقعكم.
