نظام حماية البيانات الشخصية نظام للخصوصية، لكن معظم ما يتطلبه عملياً يقع على عاتق فريق الأمن. تحوّل هذه القائمة الالتزامات النظامية إلى عمل يمكنك التخطيط له وإثباته.
دخل نظام حماية البيانات الشخصية في المملكة حيز النفاذ في ١٤ سبتمبر ٢٠٢٣، ومُنحت الجهات مهلة عام للامتثال انتهت في ١٤ سبتمبر ٢٠٢٤. وتشرف على النظام الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، تدعمه لائحة تنفيذية ولائحة مستقلة لنقل البيانات الشخصية خارج المملكة.
ينطبق النظام على معالجة البيانات الشخصية داخل المملكة، وعلى المعالجة خارجها المتعلقة بالمقيمين فيها. فإن كنت تحتفظ ببيانات عن عملاء أو مرضى أو موظفين أو زوار لموقعك، فهو ينطبق عليك.
ما يلي ليس استشارة قانونية، وينبغي العمل مع مستشار قانوني في التفسير. إنها القائمة التي نستخدمها لمساعدة المؤسسات على ترجمة النظام إلى ضوابط تصمد حين تطلب سدايا أو عميل أو مدقق دليلاً.
١. اعرف البيانات الشخصية التي تحتفظ بها
- أعدّ خريطة للبيانات: أي الأنظمة تحتفظ ببيانات شخصية، وما فئاتها، وعمّن، وإلى أين تتدفق، بما في ذلك إلى الموردين.
- احتفظ بسجل لأنشطة المعالجة يصف الغرض والأساس النظامي ومدة الاحتفاظ والجهات المستلمة لكل نشاط.
- ميّز البيانات الحساسة على حدة. فالبيانات الصحية والوراثية والائتمانية والحيوية والبيانات الكاشفة عن المعتقد الديني أو الانتماء السياسي تخضع لقواعد أشد.
كل ما في هذه القائمة يعتمد على الخريطة. فلا يمكنك حماية بيانات لم تعثر عليها، ولا تقليلها، ولا حذفها.
٢. اجمع ما تحتاجه فقط، واحتفظ به المدة اللازمة فقط
- تأكد من وجود أساس نظامي وغرض محدد لكل نشاط معالجة.
- احذف من النماذج والأنظمة الحقول التي تجمع بيانات لا تستخدمها أبداً.
- حدد مدد الاحتفاظ، ثم اجعل الحذف يحدث عبر مهام مجدولة أو إجراءات موثقة، لا عبر النوايا الحسنة.
٣. طبّق التدابير الأمنية المناسبة
يتطلب النظام تدابير تنظيمية وإدارية وتقنية تحمي البيانات الشخصية من الوصول أو الإفصاح أو التعديل أو الإتلاف غير المصرح به. وعملياً يعني ذلك:
- ضبط الوصول. وصول قائم على الأدوار، وأقل الصلاحيات، ومصادقة متعددة العوامل للأنظمة التي تحتفظ ببيانات شخصية، ومراجعات دورية للصلاحيات.
- التشفير. أثناء النقل في كل مكان، وأثناء التخزين لقواعد البيانات والنسخ الاحتياطية والحواسيب المحمولة التي تحتفظ ببيانات شخصية.
- السجلات والمراقبة. سجّل من وصل إلى البيانات الشخصية، وأطلق تنبيهات عند الكميات غير المعتادة أو الوصول خارج أوقات العمل.
- منع تسرب البيانات. ضوابط على البريد والرفع عبر الويب والوسائط القابلة للإزالة للفئات الحساسة.
- التطوير الآمن. متطلبات الخصوصية والأمن في المشاريع الجديدة، وبيئات اختبار لا تستخدم بيانات عملاء حقيقية.
- نسخ احتياطية محمية ومختبرة، وخاضعة بدورها لقواعد الاحتفاظ.
إن كنت تطبّق الضوابط الأساسية للأمن السيبراني أو ISO 27001 فمعظم ذلك موجود. وعمل الامتثال للنظام هو ربط تلك الضوابط بالبيانات الشخصية تحديداً وسد الفجوات.
٤. أحكم الرقابة على جهات المعالجة
- اسرد كل مورد يعالج بيانات شخصية نيابة عنك: منصات السحابة، والرواتب، وإدارة العملاء، ومراكز الاتصال، وأدوات التسويق.
- أدرج في كل عقد شروطاً لمعالجة البيانات تغطي الغرض والأمن والسرية والمعالجين من الباطن والحذف عند انتهاء العقد.
- قيّم الموردين قبل التعاقد ودورياً بعده، بما يتناسب مع حساسية البيانات التي يحتفظون بها.
٥. راجع نقل البيانات خارج المملكة
لا يُسمح بنقل البيانات الشخصية خارج المملكة إلا في حالات محددة، وفق الشروط الواردة في لائحة النقل. حدّد كل عملية نقل، بما فيها الأقل وضوحاً، مثل منصة SaaS مستضافة في الخارج أو فريق دعم في دولة أخرى يملك وصولاً عن بُعد. ووثّق لكل منها الأساس والضمانات المطبقة، وانظر هل بات خيار داخل المملكة متاحاً الآن.
٦. استعد للتسرب قبل وقوعه
بموجب اللائحة التنفيذية، يجب إبلاغ سدايا بتسرب البيانات الشخصية خلال ٧٢ ساعة من العلم به، وإخطار الأفراد المتأثرين دون تأخير غير مبرر حين قد يلحق بهم ضرر. والـ ٧٢ ساعة تمضي بسرعة في حادث حقيقي، لذلك:
- أضف خطوات تسرب البيانات الشخصية إلى خطة الاستجابة للحوادث، بمعايير واضحة لبدء احتساب مهلة الإبلاغ.
- حدد من يقرر الإبلاغ، ومن يصوغه، ومن يرفعه.
- جهّز قوالب للجهة التنظيمية وللأفراد.
- تدرّب على ذلك. فتمرين المحاكاة المكتبي بمشاركة الشؤون القانونية والاتصال ومالك البيانات يكشف فجوات لا تكشفها مراجعة الوثائق أبداً.
٧. تعامل مع حقوق أصحاب البيانات كما ينبغي
للأفراد حقوق منها العلم، والوصول إلى بياناتهم، والحصول على نسخة منها، وتصحيحها، وإتلافها. أنشئ قناة واحدة للطلبات، وتحقق من هوية مقدم الطلب، وسجّل كل طلب ورد، وتأكد من أن أنظمتك قادرة فعلاً على العثور على جميع بيانات الشخص الواحد. وعند هذه النقطة تكتشف مؤسسات كثيرة أن خريطة بياناتها لم تكن كاملة.
٨. كن شفافاً
- انشر سياسة خصوصية واضحة تغطي ما تجمعه، ولماذا، ومدة الاحتفاظ، ومع من تشاركه، وكيف يمارس الناس حقوقهم.
- تأكد من أن السياسة تطابق الواقع. فسياسة الخصوصية غير الدقيقة ملاحظة قائمة بذاتها.
٩. حدّد المسؤولية
يتعين على بعض الجهات تعيين مسؤول لحماية البيانات الشخصية، ومنها الجهات العامة والجهات التي تتضمن أنشطتها الأساسية معالجة واسعة النطاق أو مراقبة منتظمة للأفراد أو بيانات حساسة. وحتى إن لم يُشترط عليك ذلك، فلا بد من شخص يملك البرنامج، بخط واضح إلى الإدارة العليا.
١٠. درّب الأشخاص واحتفظ بالأدلة
- درّب الموظفين الذين يتعاملون مع البيانات الشخصية على ما يعنيه النظام لعملهم اليومي، لا على مواده فقط.
- احتفظ بأدلة مؤرخة: السياسات المعتمدة، وسجل المعالجة، وتقييمات الموردين، ومراجعات الصلاحيات، وإتمام التدريب، وتمارين الحوادث.
كلفة الإخفاق
يتيح النظام توجيه إنذارات وفرض غرامات كبيرة قد تصل إلى ٥ ملايين ريال لكثير من المخالفات وتتضاعف عند التكرار، وقد يترتب على الإفصاح غير النظامي عن البيانات الحساسة عقوبات جنائية. لكن الكلفة الأكبر عادة هي الثقة. فالعملاء والمرضى والشركاء في المملكة يسألون على نحو متزايد كيف تُحمى بياناتهم قبل التوقيع.
معظم هذه القائمة أمن جيد معتاد يُطبَّق بعدسة البيانات الشخصية. وإن أردت أن ترى كيف تقف ضوابطك الحالية، فإن تقييم النضج المجاني لدينا نقطة بداية سريعة.