الجاهزية لنظام PDPL، مبنية على بياناتك الفعلية
سجل بما تحتفظ به من بيانات شخصية ولماذا، والإشعارات والإجراءات التي يتوقعها النظام، وإجابة عن سؤالي التسجيل ومسؤول حماية البيانات خاصة بمنشأتك.
- النظام
- PDPL، المرسوم الملكي رقم م/19، والمعدل بالمرسوم رقم م/148
- الجهة التنظيمية
- SDAIA
- مطبق منذ
- 14 سبتمبر 2024
- الإشعار بالتسرب
- إلى SDAIA خلال 72 ساعة من العلم به، إن كان الضرر محتملًا
- التغطية
- الرياض والمنطقة الشرقية، ويمكن إجراء المقابلات عن بعد
تتولى SDAIA إنفاذ نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية منذ انتهاء فترة السماح في 14 سبتمبر 2024. وينطبق النظام على أي منشأة تعالج بيانات شخصية في المملكة، أيًا كان حجمها. والجاهزية تعني أن تعرف ما تحتفظ به ولماذا، وأن تستطيع إثبات ذلك: سجلات المعالجة، والإشعارات، وآلية لطلبات الحقوق، وإجراء للتعامل مع التسرب خلال 72 ساعة.
- 01 المكالمة
- 02 النطاق
- 03 القراءة
- 04 السجل
- 05 الوثائق
- 06 الخطة
موقع الجاهزية لنظام PDPL، مبنية على بياناتك الفعلية هو الخطوة 4 من كيف يسير التعاقد. تستلم السجل.
خريطة البيانات أولًا
توجد البيانات الشخصية في أماكن لا يسميها أحد نظامًا.
جدول بيانات الموارد البشرية وفيه أرقام الإقامة. سجل الزوار في الاستقبال. تسجيلات كاميرات المراقبة في موقف السيارات. مجموعة WhatsApp يتبادل فيها مشرفو المواقع الملاحظات الطبية للعمال. صندوق بريد وكالة التوظيف. بيانات اتصال الموردين في الهاتف الشخصي لأحدهم.
مشروع PDPL الذي يبدأ بكتابة سياسة الخصوصية يكتبها عن منشأة لا وجود لها. نبدأ نحن بالمرور على العمليات التي تمس الأشخاص، قسمًا قسمًا، ونكتب ما يُجمع، ولماذا، وإلى أين يذهب، ومن يستطيع الاطلاع عليه. وكل وثيقة بعد ذلك تُبنى من هذا الحصر.
ما يطلبه منك النظام
كل التزام، وما يعنيه في يوم عمل عادي، والسجل الذي يثبت أنك تفي به.
| الالتزام | ما يعنيه في التطبيق | ما تحتفظ به |
|---|---|---|
| غرض وأساس نظامي | لكل استخدام للبيانات الشخصية سبب مذكور وأساس يستند إليه. | سجلات أنشطة المعالجة |
| الشفافية | يُبلَّغ الأشخاص بما تجمعه، ولماذا، وما حقوقهم. | إشعارات الخصوصية، إشعار لكل فئة |
| الحقوق | يمكن للأشخاص أن يطلبوا إعلامهم، والاطلاع على بياناتهم، والحصول على نسخة منها، وتصحيحها، وإتلافها، وأن يرجعوا عن موافقتهم. | إجراء للطلبات وسجل للطلبات |
| البيانات الحساسة | البيانات الصحية والحيوية وبيانات السوابق الجنائية وسائر الفئات المدرجة تحتاج إلى موافقة صريحة حين تكون الموافقة أساس المعالجة، ولا يجوز أن تستند إلى المصلحة المشروعة، ولا أن تُستخدم في التسويق. | سجل للبيانات الحساسة مع أساس كل قيد |
| الأمن | حماية تتناسب مع البيانات المحتفظ بها. | ضوابط مربوطة بالحصر |
| حوادث التسرب | تُبلَّغ SDAIA خلال 72 ساعة من العلم بالتسرب، إن كان من الممكن أن يضر بالبيانات أو بالشخص. | إجراء للتعامل مع التسرب، ومهلته الزمنية مكتوبة فيه |
| النقل إلى خارج المملكة | ضمانات مناسبة، وفي حالات محددة تقييم للمخاطر قبل النقل. | سجل للنقل |
سبع وثائق، تُبنى كل منها من الحصر
حصر البيانات الشخصية
قسمًا قسمًا: ما يُجمع، وممن، وأين يُحفظ، ومن يستطيع الاطلاع عليه.
سجلات أنشطة المعالجة
سطر لكل استخدام للبيانات الشخصية، مع توثيق غرضه كما يتوقع دليل SDAIA.
إشعارات الخصوصية
إشعار لكل فئة لديك فعلًا: العملاء أو المرضى، والموظفون، والزوار.
إجراء طلبات الحقوق وسجلها
من يستلم الطلب، وكيف يُتحقق من الهوية، ومن يجيب عنه، والسجل الذي يثبت أنه أُجيب.
إجراء التعامل مع التسرب
مهلة الـ72 ساعة، والشخص الذي يبدأ احتسابها، والمعلومات التي يحتاجها، ومسار الإبلاغ إلى SDAIA.
سجل النقل
كل تدفق للبيانات الشخصية يغادر المملكة، والضمانة التي يستند إليها كل منها.
مذكرة قرار التسجيل ومسؤول حماية البيانات
معايير SDAIA مطبقة على حصرك، مع كتابة الأسباب ليمكن الدفاع عن الإجابة لاحقًا.
كيف يسير العمل
الحصر هو الخطوة الطويلة. وكل ما بعده صياغة مبنية على ما وجده الحصر.
- 01
الاتفاق على النطاق
أي كيان قانوني، وأي أقسام ومواقع، وأي أنظمة تحتفظ ببيانات شخصية. والمخرج هو بيان النطاق.
- 02
المرور على العمليات
قسمًا قسمًا، مع من يؤدون العمل، بما في ذلك جداول البيانات وصناديق البريد التي لا يدرجها أحد ضمن الأنظمة.
- 03
كتابة السجلات
يتحول الحصر إلى سجلات المعالجة، وسجل البيانات الحساسة، وسجل النقل.
- 04
تطبيق معايير SDAIA
التسجيل في المنصة الوطنية لحوكمة البيانات، وسؤال مسؤول حماية البيانات، يُجاب عنهما بناءً على الحصر.
- 05
صياغة الوثائق
الإشعارات، وإجراء الحقوق، وإجراء التعامل مع التسرب، تُكتب وفق مسار الاعتماد لديك.
- 06
استعراض النتائج
جلسة مع الإدارة وأصحاب الأدوار المحددة، تشمل تمرينًا على إجراء التعامل مع التسرب مع احتساب المهلة.
مجمع عيادات في الخبر
تعاقد نموذجي. مجمع عيادات خاص في الخبر يحتفظ بسجلات المرضى، ويشغّل كاميرات المراقبة في أنحاء المبنى، ويرسل عينات التحاليل إلى مختبر خارجي.
يمر الحصر على الاستقبال والعيادات والصيدلية والموارد البشرية ومقاول تقنية المعلومات. فيجد بيانات المرضى في نظام العيادات، وفي جدول بيانات للمواعيد على مجلد مشترك، وفي نماذج طلب التحاليل المرسلة بالبريد الإلكتروني.
البيانات الصحية بيانات حساسة، ومعالجتها هي النشاط الأساسي للمجمع، لذلك تأتي الإجابة المكتوبة واضحة: التسجيل في المنصة وتعيين مسؤول لحماية البيانات. ويتلقى كل من المختبر ومقاول تقنية المعلومات بيانات المرضى، لذلك يُكتب لكل منهما سؤال عن اتفاقية المعالجة لمحامي المجمع.
يُنقل جدول المواعيد إلى نظام العيادات ويتوقف استخدامه. ويحدد إجراء التعامل مع التسرب من يبدأ احتساب مهلة الـ72 ساعة ومن يتواصل مع SDAIA.
ويحتفظ المجمع بحصر للبيانات الشخصية، وسجلات المعالجة، وإشعارات خصوصية للمرضى والموظفين، وإجراء لطلبات الحقوق، وإجراء للتعامل مع التسرب، ومذكرة قرار التسجيل ومسؤول حماية البيانات.
التسجيل ومسؤول حماية البيانات، بإجابة مكتوبة
تحوّل قواعد SDAIA سؤالين إلى نعم أو لا. نطبق تلك المعايير على حصرك، ونكتب الإجابة مع أسبابها.
التسجيل في المنصة الوطنية لحوكمة البيانات
التسجيل في السجل الوطني لجهات التحكم مطلوب في ثلاث حالات. وتصل مدة الشهادة إلى خمس سنوات.
- أنت جهة عامة
- نشاطك الرئيسي قائم على معالجة البيانات الشخصية
- تعالج بيانات حساسة
تعيين مسؤول لحماية البيانات
يجب تعيين مسؤول لحماية البيانات في ثلاث حالات. ومن أمثلة المراقبة التي تذكرها SDAIA نفسها تتبع الموقع، وملفات تعريف الارتباط، وكاميرات المراقبة. ولا تُعد معالجة بيانات موظفيك في الموارد البشرية نشاطًا أساسيًا. ويمكن أن يكون المسؤول موظفًا أو متعاقدًا خارجيًا.
- جهة عامة تعالج بيانات شخصية على نطاق واسع
- أنشطة أساسية تتطلب مراقبة منتظمة ومنهجية للأشخاص
- أنشطة أساسية تقوم على البيانات الحساسة
حيث يلتقي نظام PDPL مع NCA
لكل من الإطارين جهة تنظيمية مختلفة وموضوع مختلف. تختص NCA بضوابط الأمن السيبراني، وتختص SDAIA بالبيانات الشخصية. ويتقاطعان في حماية البيانات الشخصية وفي التعامل مع التسرب. وإن كنت أيضًا ضمن نطاق ECC، فينبغي أن يحمل إجراء واحد للحوادث المسارين معًا، وأن تظهر الضوابط الأمنية على البيانات الشخصية مرة واحدة في السجلين كليهما.
أسئلة يطرحها المديرون أولًا
نحن شركة صغيرة. هل ينطبق علينا نظام PDPL؟
نعم. ينص دليل SDAIA على أن النظام ينطبق أيًا كان حجم البيانات الشخصية أو نوعها، فالمنشآت الصغيرة والمتوسطة ضمن نطاقه. وما يتغير بتغير الحجم هو مقدار العمل، لا الالتزام.
هل نحتاج إلى مسؤول لحماية البيانات؟
فقط في الحالات الثلاث التي تحددها قواعد SDAIA: جهة عامة تعالج البيانات على نطاق واسع، أو أنشطة أساسية تراقب الأشخاص بصورة منتظمة ومنهجية، أو أنشطة أساسية تقوم على البيانات الحساسة. نطبق هذه المعايير على حصرك ونكتب الإجابة.
بريدنا الإلكتروني وملفاتنا على خدمة سحابية خارج المملكة العربية السعودية. هل هذه مشكلة؟
هذا نقل للبيانات، فيحتاج إلى ضمانة مناسبة، وفي بعض الحالات إلى تقييم للمخاطر أولًا. ندرج كل نقل من هذا النوع والضمانة التي يستند إليها. أما هل يكفي بند تعاقدي بعينه، فذلك سؤال لمحاميك.
ماذا يحدث في أول 72 ساعة من التسرب؟
يقرر شخص ما إن كان التسرب قد يضر بالبيانات أو بالأشخاص المعنيين، أو يتعارض مع حقوقهم أو مصالحهم، فإن كان كذلك تُبلَّغ SDAIA خلال 72 ساعة من العلم به. ويحدد الإجراء ذلك الشخص، والمعلومات التي يحتاجها، ومتى يُبلَّغ الأشخاص المتأثرون.
هل هذه استشارة قانونية؟
لا. إنه العمل التشغيلي: الحصر، والسجلات، والإشعارات، والإجراءات. وحين يحتاج سؤال إلى محامٍ، مثل صياغة اتفاقية معالجة، نقول ذلك ونكتب السؤال لمحاميك.
ما الذي يحدد التكلفة؟
عدد الأقسام والمواقع، وعدد الأنظمة التي تحتفظ ببيانات شخصية، وما إذا كانت البيانات الحساسة ضمن العمل، وعدد عمليات النقل إلى خارج المملكة.
حول العمل على نظام PDPL
نظام PDPL لمديري العمليات
النظام بالترتيب الذي ستنفذ به العمل، مع قائمة تحقق من عشرين سطرًا.
اقرأ المزيدITF Cyberتخطيط الاستجابة للحوادث
خطة واحدة للحوادث تحمل مسار SDAIA والاستجابة الأمنية معًا.
اقرأ المزيدITF Cyberأمن الأطراف الثالثة والموردين
جهات المعالجة والمقاولون الذين يتلقون بياناتك الشخصية، يُقيَّمون كتابةً.
اقرأ المزيدITF Cyberالجاهزية لضوابط NCA ECC
للمنشآت الواقعة ضمن نطاق الإطارين: سجل واحد، وجهتان تنظيميتان.
اقرأ المزيدITF Digitalأتمتة سير العمل
أنظمة تسجل الموافقات وطلبات الحقوق لحظة حدوثها، بدلًا من جدول بيانات.
اقرأ المزيدجزء من نظام واحد
كل قطاع يحفظ سجلاته وفق المعيار نفسه، فيعمل القطاع الثاني الذي تحتاجه بالطريقة التي عمل بها الأول.
ابدأ بقسم واحد
تحدد المكالمة الأولى القسم الذي تتركز فيه البيانات الشخصية أكثر من غيره، وهو عادةً الموارد البشرية أو الاستقبال، ومنه يبدأ الحصر. وكل إشعار وإجراء بعده يُكتب مما تكشفه تلك الجولة.