نظام PDPL لمديري العمليات
ما يطلبه نظام حماية البيانات الشخصية من الشركة العادية في المملكة العربية السعودية، بالترتيب الذي تنجز به العمل، وفي آخره قائمة تحقق من عشرين سطرًا.
دخل نظام حماية البيانات الشخصية السعودي حيز النفاذ في ، وتتولى SDAIA إنفاذه منذ انتهاء فترة السماح في . وينطبق على أي منشأة تعالج بيانات شخصية في المملكة، أيًا كان حجمها. والعمل المطلوب: حصر للبيانات، وسجلات المعالجة، والإشعارات، وآلية لطلبات الحقوق، وإجراء للتعامل مع التسرب خلال 72 ساعة.
آخر تحديث · 8 دقائق للقراءة
النظام، والتواريخ، والجهة التنظيمية
صدر النظام بالمرسوم الملكي رقم م/19 وتاريخ 9/2/1443هـ، وعُدّل بالمرسوم الملكي رقم م/148 وتاريخ 5/9/1444هـ. ودخل حيز النفاذ في ، وانتهت فترة السماح البالغة سنة واحدة في . والجهة المختصة هي SDAIA.
يشمل النظام أي معالجة لبيانات شخصية في المملكة، ومعالجة البيانات الخاصة بالأشخاص المقيمين في المملكة حين تتم من خارجها. ويذكر دليل SDAIA أنه ينطبق بصرف النظر عن حجم البيانات الشخصية أو نوعها، وهذا يُدخل المنشآت الصغيرة والمتوسطة في نطاقه. والسجلات الورقية تُحتسب كما تُحتسب الأنظمة الإلكترونية.
وللنظام لائحة تنفيذية، ولائحة مستقلة لنقل البيانات الشخصية إلى خارج المملكة. وحين يذكر هذا الدليل ما يتطلبه النظام، فهو ينقل عن الوثائق التي نشرتها SDAIA نفسها.
البيانات الشخصية، والحساسة منها
البيانات الشخصية هي أي معلومة عن شخص يمكنك التعرف عليه: اسم، أو رقم إقامة، أو رقم هاتف، أو وجه في تسجيل كاميرات المراقبة. أما البيانات الحساسة فهي قائمة محددة: الأصل العرقي أو الإثني، والمعتقد الديني أو الفكري أو السياسي، والسوابق الجنائية، وبيانات السمات الحيوية المستخدمة لتحديد الهوية، والبيانات الوراثية، والبيانات الصحية، والبيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما.
وللبيانات الحساسة ثلاث قواعد إضافية. يجب أن تكون الموافقة على معالجتها صريحة. ولا يجوز أن تكون المصلحة المشروعة أساسًا لمعالجتها. ولا يجوز استخدامها في التسويق.
وفي بيئة العمل تظهر في أماكن عادية. تقرير الإجازة المرضية بيانات صحية. وجهاز الحضور بالبصمة يعالج بيانات السمات الحيوية لتحديد هوية الأشخاص. وقد يتضمن فحص ما قبل التوظيف سوابق جنائية.
أين تختبئ البيانات الشخصية في الشركة العادية
غالبًا في أماكن لا يسميها أحد نظامًا: جداول البيانات، وصناديق البريد، والدفاتر الورقية، والهواتف، ومجموعات المحادثة. والحصر الذي لا يذكر إلا نظام ERP ونظام الموارد البشرية يفوته كثير مما يشمله نظام PDPL.
مُرّ على كل عملية تمس شخصًا، قسمًا قسمًا، مع من يؤدون العمل. واسأل: ما الذي يُجمع، ولماذا، وأين يُحفظ، ومن يستطيع الاطلاع عليه، وإلى أين يذهب بعد ذلك. ودوّن الإجابات أولًا بأول. هذا السجل هو الحصر، ومنه تُبنى كل وثيقة لاحقة.
- جدول بيانات الموارد البشرية وفيه أرقام الإقامة والرواتب
- دفتر الزوار في الاستقبال
- تسجيلات كاميرات المراقبة في موقف السيارات
- مجموعة WhatsApp يتبادل فيها المشرفون التقارير الطبية للعمال
- صندوق بريد وكالة التوظيف، والسير الذاتية التي تحولها
- بيانات اتصال الموردين محفوظة على الهاتف الشخصي لأحدهم
- نسخ ممسوحة ضوئيًا من الإقامات وجوازات السفر في مجلد مشترك
كيف يبدو سطر واحد من السجلات
سطر واحد لكل استخدام للبيانات الشخصية. ويذكر دليل SDAIA أن الغرض من الجمع يجب أن يوثق في سجلات أنشطة المعالجة. وبقية السطر هي ما يجعل السجل صالحًا للاستخدام حين يسأل أحد عنه.
النموذج أدناه هو مسير الرواتب، لأن كل صاحب عمل يديره. اكتب سطرًا كهذا لكل استخدام كشفه الحصر، بصياغة واضحة بما يكفي ليتعرف عليها الشخص الذي يؤدي العمل.
| الحقل | مسير الرواتب، كنموذج |
|---|---|
| النشاط | صرف الرواتب الشهرية |
| البيانات الشخصية | الاسم، ورقم الإقامة، والحساب البنكي، والراتب، والحضور |
| أصحاب البيانات | الموظفون |
| الغرض | صرف الرواتب والوفاء بالتزامات صاحب العمل |
| أساس المعالجة | الأساس المعتمد، مكتوبًا مع التعليل |
| مكان الحفظ | نظام الرواتب وبوابة البنك |
| من يستطيع الاطلاع عليها | الموارد البشرية والمالية والبنك |
| تخرج من المملكة | لا، أو يُذكر النقل وضمانته إن خرجت |
| بيانات حساسة | لا توجد، إلا إذا سُجل الحضور بالبصمة |
طلبات الحقوق، والسجل الذي يثبت أنك أجبت
يمكن للأشخاص أن يطلبوا إعلامهم بالمعالجة، والوصول إلى بياناتهم، والحصول على نسخة منها بصيغة مقروءة، وتصحيحها، وإتلافها، وأن يرجعوا عن موافقتهم. ويحتاج كل طلب إلى مسؤول، وتحقق من الهوية، وسجل يثبت أنه أُجيب.
في الشركة التي نادرًا ما يصلها طلب، يتعثر الطلب الأول لأن أحدًا لا يعرف من المسؤول عنه. حدد المسؤول في الإجراء، وأعطِ الاستقبال والموارد البشرية جملة واحدة توضح إلى أين يُرسل الطلب.
السجل قصير: تاريخ الاستلام، ومن طلب، وماذا طلب، وكيف جرى التحقق من الهوية، ومن أجاب، وتاريخ الإغلاق.
التسجيل في المنصة الوطنية لحوكمة البيانات
التسجيل في السجل الوطني لجهات التحكم إلزامي في ثلاث حالات: أن تكون جهة عامة، أو أن يقوم نشاطك الرئيسي على معالجة البيانات الشخصية، أو أن تعالج بيانات حساسة. وتصل مدة شهادة التسجيل إلى خمس سنوات.
المعيار الثالث أوسع مما يتوقعه الناس. فالعيادة والصيدلية والشركة التي تسجل الحضور بالبصمة كلها تعالج بيانات حساسة. طبّق هذه المعايير على الحصر لديك، ودوّن الإجابة والتعليل، ليمكن الدفاع عن القرار لاحقًا.
مسؤول حماية البيانات: ثلاث حالات، ولماذا لا تُحتسب الموارد البشرية وحدها
يلزم وجود مسؤول لحماية البيانات حين تعالج جهة عامة بيانات شخصية على نطاق واسع، أو حين تتطلب الأنشطة الأساسية مراقبة منتظمة ومنهجية للأشخاص، أو حين تقوم الأنشطة الأساسية على بيانات حساسة. والنص صريح في أن معالجة بيانات الموظفين في الموارد البشرية ليست نشاطًا أساسيًا.
ومن أمثلة المراقبة التي تذكرها SDAIA نفسها تتبع الموقع، وملفات تعريف الارتباط، وكاميرات المراقبة. والمعيار هو ما إذا كانت المراقبة نشاطًا أساسيًا، فالشركة التي يقوم عملها على مراقبة الأشخاص حالة مختلفة عن مكتب عند بابه كاميرا.
يمكن أن يكون مسؤول حماية البيانات موظفًا أو متعاقدًا خارجيًا. وأيًا كان اختيارك، دوّن القرار مع المعيار الذي طبقته، لأن السؤال يعود كلما تغير النشاط.
التسرب: 72 ساعة، ومن يبدأ احتسابها
أرسل إشعارًا إلى SDAIA خلال 72 ساعة من علمك بالتسرب، متى كان من شأنه أن يلحق ضررًا بالبيانات أو بصاحبها، أو يتعارض مع حقوقه أو مصالحه. وتبدأ المهلة من لحظة العلم، لا من انتهاء التحقيق، لذلك يجب أن يحدد الإجراء من يقرر وكيف.
حدد دورًا وظيفيًا واحدًا يقدّر ما إذا كان التسرب قد يسبب ضررًا، ونائبًا يتولى ذلك عند غياب شاغله. واذكر المعلومات التي سيحتاجها: ما الذي حدث، وأي بيانات، وبيانات من، وما الذي اتُّخذ حتى الآن. ثم اكتب في الإجراء مسار الإشعار إلى SDAIA، ومن يصوغ ما يُبلَّغ به الأشخاص المتأثرون.
وإن كانت منشأتك تقع أيضًا ضمن نطاق الضوابط الأساسية للأمن السيبراني الصادرة عن NCA، فينبغي أن يحمل إجراء الحوادث نفسه المسارين معًا، بدل أن يعمل فريقان من وثيقتين.
نقل البيانات الشخصية إلى خارج المملكة
يحتاج النقل إلى ضمانة مناسبة: البنود التعاقدية القياسية، أو القواعد المشتركة الملزمة، أو شهادة اعتماد. وفي حالات محددة يلزم تقييم للمخاطر قبل النقل. والبريد الإلكتروني وتخزين الملفات المستضافان خارج المملكة يُعدّان نقلًا.
لدى معظم الشركات عمليات نقل أكثر مما تظن: منصة البريد الإلكتروني، وتخزين الملفات، ونظام CRM، ومكتب دعم لدى مورد في الخارج. أدرج كلًا منها في سجل للنقل مع الضمانة التي يستند إليها. أما ما إذا كان بند تعاقدي بعينه كافيًا، فذلك سؤال لمحاميك.
قائمة التحقق من عشرين سطرًا
عشرون سطرًا، سطر لكل التزام أو سجل، بالترتيب الذي يُنجز به العمل عادةً. والسطر الذي لا تستطيع التأشير عليه هو أول بند في خطتك.
لا تؤشر إلا على ما تستطيع أن تعرضه على SDAIA اليوم، من وثيقة تستطيع فتحها.
- الكيانات القانونية والمواقع المشمولة بالنطاق مكتوبة
- جرى المرور على كل قسم بحثًا عن البيانات الشخصية
- جداول البيانات وصناديق البريد والدفاتر الورقية ومجموعات المحادثة مدرجة في الحصر
- لكل استخدام للبيانات الشخصية سطر في سجلات المعالجة
- كل سطر يذكر غرضه
- كل سطر يذكر أساس المعالجة، مع التعليل
- البيانات الحساسة مدرجة على حدة، مع أساس المعالجة لكل قيد
- لا تُستخدم أي بيانات حساسة في التسويق
- لكل من العملاء والموظفين والزوار إشعار خصوصية
- الإشعارات تطابق ما تذكره السجلات
- إجراء طلبات الحقوق يحدد مسؤولًا
- الاستقبال والموارد البشرية يعرفون إلى أين يرسلون الطلب
- سجل الطلبات موجود، ولو كان فارغًا
- الضوابط الأمنية مربوطة بالبيانات التي تحميها
- إجراء التسرب يحدد من يقدّر الضرر، ونائبه
- مسار الإشعار إلى SDAIA خلال 72 ساعة مكتوب في الإجراء
- جرى التدرب على إجراء التسرب مرة واحدة على الأقل
- كل نقل إلى خارج المملكة مدرج مع ضمانته
- طُبقت معايير التسجيل ودُوّنت الإجابة
- طُبقت معايير مسؤول حماية البيانات ودُوّنت الإجابة
إجابات قصيرة
هل ينطبق نظام PDPL على الشركة الصغيرة؟
نعم. يذكر دليل SDAIA أن النظام ينطبق أيًا كان حجم البيانات الشخصية أو نوعها، فالمنشآت الصغيرة والمتوسطة ضمن نطاقه. الحجم يغير مقدار العمل، لا الالتزام.
هل تُحتسب السجلات الورقية؟
نعم. دفتر الزوار، والسير الذاتية المطبوعة، وملفات الموظفين في خزانة، كلها ضمن النطاق، ومكانها في الحصر إلى جانب الأنظمة الإلكترونية.
لا نحتفظ إلا ببيانات الموظفين. هل نحتاج إلى مسؤول لحماية البيانات؟
ليس لهذا السبب وحده. تنص قواعد SDAIA على أن معالجة بيانات الموظفين في الموارد البشرية ليست نشاطًا أساسيًا. راجع المعايير الثلاثة في هذه الصفحة: المعالجة على نطاق واسع من جهة عامة، والأنشطة الأساسية التي تراقب الأشخاص بانتظام، والأنشطة الأساسية القائمة على بيانات حساسة.
هل بريدنا الإلكتروني السحابي نقل للبيانات؟
نعم، إن كان مستضافًا خارج المملكة. فهو يحتاج إلى ضمانة مناسبة، وفي حالات محددة إلى تقييم للمخاطر أولًا. أدرجه في سجل النقل مع الضمانة التي يستند إليها.
من يرسل الإشعار إلى SDAIA بعد التسرب؟
منشأتك، بصفتها جهة التحكم. وينبغي أن يحدد الإجراء الدور الذي يقدّر ما إذا كان الضرر محتملًا، والشخص الذي يرسل الإشعار، ليُرسل خلال 72 ساعة من العلم بالتسرب.
اقرأ بعد ذلك
الجاهزية لنظام PDPL
الحصر والسجلات والإشعارات والإجراءات، تُبنى معك من بياناتك أنت.
اقرأ المزيددليلشرح NCA ECC-2:2024
الجهة التنظيمية الأخرى: مجموعة ضوابط NCA، وأين تلتقي بنظام PDPL.
اقرأ المزيدITF Cyberتخطيط الاستجابة للحوادث
خطة واحدة للحوادث تحمل مسار SDAIA والاستجابة الأمنية معًا.
اقرأ المزيدITF Cyberأمن الأطراف الثالثة والموردين
المقاولون وجهات المعالجة الذين يتلقون بياناتك الشخصية، يُقيَّمون كتابةً.
اقرأ المزيدITF Digitalأتمتة سير العمل
الموافقات وطلبات الحقوق تُسجل لحظة حدوثها، بدلًا من جدول بيانات.
اقرأ المزيدجزء من نظام واحد
كل قطاع يحفظ سجلاته وفق المعيار نفسه، فيعمل القطاع الثاني الذي تحتاجه بالطريقة التي عمل بها الأول.
مُرّ على قسم واحد هذا الأسبوع
الحصر هو الجزء الذي لا يستطيع أحد غيرك أن يبدأه، وقسم واحد يكفي لترى حجم ما هو موجود. وإن أردت أن نبني الباقي معك، فالمكالمة الأولى تنطلق من تلك الجولة.