إنفاذ سدايا حماية البيانات الشخصية ٢٠٢٥: أربع أولويات تفتيش جديدة
تشهد دورة التفتيش الحالية لهيئة سدايا — الهيئة السعودية للبيانات والذكاء الاصطناعي — تحولًا واضحًا في أولويات إنفاذ سدايا حماية البيانات الشخصية ٢٠٢٥. بعد مرور أكثر من عامين على دخول نظام حماية البيانات الشخصية ولوائحه التنفيذية حيز التنفيذ الكامل، لم تعد الهيئة تكتفي بمراجعة وجود السياسات والإجراءات الشكلية، بل باتت تفحص بدقة كيفية تطبيق المتحكمين والمعالجين لهذه الإجراءات في الممارسة اليومية.
خلال الأشهر الثلاثة الأولى من ٢٠٢٥، برزت أربعة مجالات محددة تتكرر في استفسارات التفتيش وطلبات الوثائق التي تصدرها الهيئة: توثيق الموافقة وآلياتها، أوقات الاستجابة الفعلية لطلبات حقوق أصحاب البيانات، عقود المعالجين والتحقق من امتثالهم، وآليات نقل البيانات الشخصية عبر الحدود. هذه المجالات الأربعة تمثل الآن محور التركيز الرقابي، وتتطلب من كل متحكم بيانات مراجعة شاملة لبرنامج حماية البيانات الشخصية قبل دورة التفتيش المقبلة.
الأولوية الأولى: توثيق الموافقة وإثبات صحتها
لم يعد كافيًا أن تنص سياسة الخصوصية على أن المؤسسة تحصل على موافقة أصحاب البيانات. تطلب هيئة سدايا الآن أدلة تفصيلية على كيفية الحصول على الموافقة، وتوقيتها، ومحتواها الدقيق، وطريقة تخزينها واسترجاعها.
ما تبحث عنه الهيئة
تركز طلبات التفتيش على عدة عناصر محددة. أولًا، آلية تسجيل الموافقة: هل يتم تسجيل الموافقة إلكترونيًا مع طابع زمني ومعرّف فريد لصاحب البيانات؟ ثانيًا، محتوى الموافقة: هل كان النص المعروض على صاحب البيانات واضحًا ومحددًا بشأن أغراض المعالجة؟ ثالثًا، إمكانية الإثبات: هل يمكن للمؤسسة استرجاع سجل الموافقة لأي صاحب بيانات محدد خلال دقائق؟
الممارسة الشائعة التي تثير قلق الهيئة هي الموافقات المجمّعة أو الغامضة — حين يوافق صاحب البيانات على "معالجة بياناته" دون تحديد واضح للأغراض. وفق نظام حماية البيانات الشخصية، يجب أن تكون الموافقة محددة لكل غرض معالجة.
الفجوات الشائعة
كثير من المؤسسات تحتفظ بنماذج الموافقة الورقية في ملفات متفرقة، أو تعتمد على موافقات شفهية غير موثقة، أو تستخدم موافقات قديمة تم الحصول عليها قبل تحديث إشعارات الخصوصية. هذه الممارسات لا تستوفي معايير الإثبات التي تتطلبها الهيئة.
المؤسسات التي تعالج بيانات حساسة — مثل البيانات الصحية أو المالية أو البيومترية — تواجه تدقيقًا أشد، إذ يتطلب النظام موافقة صريحة لمعالجة هذه الفئات.
الأولوية الثانية: أوقات الاستجابة لحقوق أصحاب البيانات
حدد نظام حماية البيانات الشخصية ولوائحه التنفيذية مهلًا زمنية واضحة للاستجابة لطلبات أصحاب البيانات — الوصول، التصحيح، الحذف، الاعتراض، أو نقل البيانات. الآن، تطلب هيئة سدايا سجلات فعلية لهذه الطلبات وأوقات الاستجابة الحقيقية.
ما تبحث عنه الهيئة
تطلب الهيئة سجلًا كاملًا لجميع طلبات حقوق أصحاب البيانات المستلمة خلال الاثني عشر شهرًا الماضية، يتضمن: تاريخ الاستلام، نوع الطلب، تاريخ الاستجابة، والإجراء المتخذ. كما تفحص الهيئة الحالات التي تجاوزت فيها المؤسسة المهلة النظامية، والأسباب الموثقة لذلك.
المؤسسات التي لا تملك سجلًا منظمًا لهذه الطلبات — أو التي تعالجها بشكل عشوائي عبر البريد الإلكتروني أو المكالمات الهاتفية دون توثيق — تواجه صعوبة في إثبات الامتثال.
الفجوات الشائعة
غياب قناة واضحة ومعلنة لتقديم الطلبات يمثل مشكلة متكررة. كثير من المؤسسات لا تنشر على موقعها الإلكتروني أو في إشعارات الخصوصية كيفية تقديم صاحب البيانات لطلبه، مما يؤدي إلى تشتت الطلبات عبر قنوات متعددة وصعوبة تتبعها.
الفجوة الثانية هي عدم وجود مسار عمل داخلي واضح: من يستلم الطلب؟ من يتحقق من هوية صاحب البيانات؟ من يجمع البيانات من الأنظمة المختلفة؟ من يراجع الطلب قبل الرد؟ غياب هذا المسار يؤدي إلى تأخيرات وعدم اتساق في الاستجابة.
الأولوية الثالثة: عقود المعالجين والتحقق من امتثالهم
يفرض نظام حماية البيانات الشخصية على المتحكم التأكد من أن أي معالج يتعامل معه — سواء كان مزود خدمة سحابية، أو مركز اتصال، أو مزود خدمات تقنية — يلتزم بالنظام ويطبق الضوابط الأمنية المناسبة. لم تعد هيئة سدايا تقبل وجود عقد عام فقط، بل تطلب أدلة على التحقق الفعلي من امتثال المعالج.
ما تبحث عنه الهيئة
تطلب الهيئة قائمة كاملة بجميع المعالجين الذين يتعامل معهم المتحكم، ونسخًا من العقود أو الملاحق التي تحدد التزامات حماية البيانات. تفحص الهيئة ما إذا كانت هذه العقود تتضمن البنود المطلوبة: نطاق المعالجة، مدتها، طبيعة البيانات، الالتزامات الأمنية، حقوق التدقيق، وإجراءات الإبلاغ عن التسرب.
الأهم من ذلك، تطلب الهيئة أدلة على أن المتحكم يمارس حق التدقيق: هل طلب المتحكم من المعالج تقارير امتثال؟ هل أجرى تقييمًا لضوابط الأمن السيبراني لدى المعالج؟ هل راجع سياسات حماية البيانات لدى المعالج؟
الفجوات الشائعة
كثير من المؤسسات توقع عقودًا قياسية مع مزودي الخدمات دون التفاوض على بنود حماية البيانات، أو تقبل شروط الخدمة العامة لمنصات البرمجيات السحابية دون مراجعة تفصيلية. هذا لا يعفي المتحكم من مسؤوليته النظامية.
الفجوة الثانية هي عدم تحديث قائمة المعالجين. المؤسسات التي تعتمد على عشرات الأنظمة والخدمات السحابية غالبًا لا تملك سجلًا محدثًا بجميع المعالجين الذين يصلون إلى البيانات الشخصية، مما يجعل من المستحيل إثبات الامتثال الشامل.
الأولوية الرابعة: آليات نقل البيانات الشخصية عبر الحدود
يخضع نقل البيانات الشخصية خارج المملكة العربية السعودية لضوابط صارمة بموجب نظام حماية البيانات الشخصية. تركز هيئة سدايا الآن على التحقق من أن المؤسسات لا تنقل بيانات دون أساس نظامي، وأنها توثق كل عملية نقل وتقيّم مخاطرها.
ما تبحث عنه الهيئة
تطلب الهيئة حصرًا كاملًا لجميع عمليات نقل البيانات الشخصية عبر الحدود: إلى أين تُنقل البيانات؟ ما نوع البيانات المنقولة؟ ما الغرض من النقل؟ ما الأساس النظامي للنقل — هل هو موافقة صاحب البيانات، أو ضرورة تعاقدية، أو قرار كفاية من الهيئة، أو ضمانات كافية؟
تفحص الهيئة أيضًا ما إذا كانت المؤسسة قد أجرت تقييمًا لمخاطر النقل، خاصة إذا كانت البيانات تُنقل إلى دول لا تملك قوانين حماية بيانات مماثلة.
الفجوات الشائعة
الفجوة الأكثر شيوعًا هي النقل غير المقصود — حين تستخدم المؤسسة خدمة سحابية أو منصة برمجية دون إدراك أن البيانات تُخزن أو تُعالج في خوادم خارج المملكة. كثير من المؤسسات لا تسأل مزودي الخدمات عن موقع الخوادم أو لا تراجع إعدادات التخزين الافتراضية.
الفجوة الثانية هي الاعتماد على موافقة عامة غير محددة. إذا كانت المؤسسة تعتمد على موافقة صاحب البيانات كأساس للنقل، يجب أن تكون هذه الموافقة صريحة ومحددة بشأن النقل — وليس مجرد موافقة عامة على معالجة البيانات.
متى تحتاج المؤسسة إلى مراجعة شاملة لبرنامج حماية البيانات الشخصية؟
إذا كانت مؤسستك تواجه واحدًا أو أكثر من المؤشرات التالية، فقد حان الوقت لمراجعة برنامج حماية البيانات الشخصية قبل دورة التفتيش القادمة:
- لا يمكنك استرجاع سجل موافقة محدد لصاحب بيانات معين خلال دقائق.
- لا تملك سجلًا موحدًا لطلبات حقوق أصحاب البيانات المستلمة خلال العام الماضي.
- لا تملك قائمة محدثة بجميع المعالجين الذين يصلون إلى البيانات الشخصية.
- لا تعرف بدقة أين تُخزن أو تُعالج البيانات الشخصية جغرافيًا.
- لم تراجع عقود المعالجين منذ دخول النظام حيز التنفيذ.
- لا يوجد مسار عمل واضح وموثق للاستجابة لطلبات أصحاب البيانات.
المراجعة الشاملة لا تعني بناء برنامج من الصفر، بل تعني تقييم الفجوات بين ما هو موجود وما تتطلبه أولويات الإنفاذ الحالية، ثم معالجة هذه الفجوات بشكل منهجي.
كيف تبدو النتيجة الجيدة؟
برنامج حماية البيانات الشخصية الذي يستوفي أولويات الإنفاذ الحالية يتميز بعدة خصائص:
القدرة على الإثبات: يمكن للمؤسسة، خلال ساعات، تقديم سجلات موافقة محددة، أو سجل كامل لطلبات أصحاب البيانات، أو قائمة بجميع المعالجين مع عقودهم.
الوضوح الإجرائي: كل موظف معني يعرف دوره في مسار عمل حقوق أصحاب البيانات، أو في تقييم معالج جديد، أو في توثيق موافقة.
التحديث المستمر: سجلات المعالجة، وقوائم المعالجين، وحصر عمليات النقل عبر الحدود تُحدّث بانتظام — وليس فقط عند التحضير للتفتيش.
التكامل مع العمليات: إجراءات حماية البيانات ليست وثائق منفصلة، بل مدمجة في العمليات اليومية — من التعاقد مع مزود خدمة جديد، إلى إطلاق منتج رقمي، إلى الرد على استفسار عميل.
بناء برنامج حماية البيانات الشخصية الذي يعمل يومًا بيوم
نبني برنامج الالتزام بنظام حماية البيانات الشخصية: حصر البيانات وسجلات المعالجة، والأسس النظامية، وإشعارات الخصوصية، وحقوق أصحاب البيانات، والإبلاغ عن التسرب، ونقل البيانات، ودعم مسؤول حماية البيانات.
يبدأ العمل بالاستكشاف: مقابلات ورسم خرائط البيانات عبر الإدارات والأنظمة، ثم التقييم: الفجوات مقابل النظام ولوائحه التنفيذية، يليه البناء: الإشعارات والعمليات والنماذج والضوابط، وأخيرًا التشغيل: التدريب ودعم مسؤول حماية البيانات وأول مراجعة التزام.
المخرجات تشمل سجلات أنشطة المعالجة، وسياسة الخصوصية والإشعارات، ومسار عمل طلبات أصحاب البيانات، وخطة الاستجابة للتسرب والإبلاغ، ونموذج تقييم الأثر على الخصوصية.
البرنامج يغطي حصر البيانات وسجلات المعالجة، وإشعارات الخصوصية والموافقة، وعملية حقوق أصحاب البيانات، وإجراء الإبلاغ عن التسرب، وتقييم نقل البيانات خارج المملكة — وهي المجالات الأربعة التي تركز عليها هيئة سدايا في دورة التفتيش الحالية.
المدة النموذجية للبرنامج من ثمانية إلى اثني عشر أسبوعًا، وهي فترة كافية لإجراء مراجعة شاملة ومعالجة الفجوات الحرجة قبل دورة التفتيش المقبلة.
إذا كنتم بحاجة إلى مراجعة برنامج حماية البيانات الشخصية في مؤسستكم قبل يونيو، تواصلوا معنا.
