نظام حماية البيانات الشخصية: قائمة تحقق عملية لتطبيقك وموقعك

ما هو نظام حماية البيانات الشخصية، وهل ينطبق على تطبيقك؟

نظام حماية البيانات الشخصية (PDPL) هو النظام السعودي الذي ينظم جمع بيانات الأفراد واستخدامها وحفظها ومشاركتها، وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). دخل حيز النفاذ في 14 سبتمبر 2023، ثم أصبح واجب التطبيق في 14 سبتمبر 2024 بعد فترة انتقالية. إذا كان تطبيقك أو موقعك يجمع اسماً أو رقم جوال أو عنواناً أو بريداً أو سجل طلبات لأشخاص في المملكة، فالنظام يعنيك على الأغلب.

كثير من أصحاب المتاجر والتطبيقات الصغيرة يظنون أن النظام موجه للبنوك وشركات الاتصالات فقط. الواقع أن متجر عطور على الإنترنت، أو تطبيق حجز صالون منزلي، أو نموذج تواصل في موقع عيادة، كلها تعالج بيانات شخصية. الفرق هو حجم المخاطر وحجم الجهد المطلوب، لا وجود الالتزام من عدمه.

الخبر الجيد أن معظم المتطلبات منطقية وتتحول إلى قرارات تصميم بسيطة: لا تجمع ما لا تحتاجه، قل للناس بوضوح ماذا تفعل ببياناتهم، احمِ البيانات جيداً، واسمح لهم بالوصول إليها وتصحيحها وطلب حذفها. هذه القائمة تمشي معك خطوة خطوة. ولفهم الصورة الأوسع في الخليج، اقرأ دليل إقامة البيانات وقوانين الحماية.

الخطوة الأولى: اجرد البيانات التي يجمعها تطبيقك

لا يمكنك حماية ما لا تعرف أنه موجود. قبل أي نص قانوني، اجلس مع تطبيقك وسجّل كل مكان تدخل فيه بيانات شخصية: التسجيل، الطلب، الدفع، نماذج التواصل، المحادثة مع الدعم، الإشعارات، أدوات التحليلات، وحتى ملفات Excel التي يصدّرها موظفوك.

انتبه خصوصاً للبيانات الحساسة: الصحة، والمعلومات الوراثية، والبيانات الائتمانية، والمعتقد، والأصل، وبيانات الأطفال. تطبيقات العيادات والتأمين والتمويل تتعامل معها يومياً، ومتطلباتها أشد، فخطط لها من البداية.

قائمة التحقق الأساسية قبل الإطلاق

هذه القائمة تغطي ما يحتاجه معظم التطبيقات والمتاجر الصغيرة والمتوسطة. مرّ عليها بنداً بنداً، ودوّن ما أنجزته وتاريخه؛ التوثيق نفسه جزء من الالتزام.

1. 1
   حدّد الغرض لكل بيان

   اكتب سبب جمع كل بيان، ولا تستخدمه لغرض آخر غير متوقع دون أساس نظامي أو موافقة جديدة.

2. 2
   حدّد الأساس النظامي

   تنفيذ الطلب يبرر بيانات التوصيل، لكن الرسائل التسويقية تحتاج موافقة منفصلة يستطيع العميل سحبها.

3. 3
   انشر سياسة خصوصية واضحة

   بالعربية أولاً، ظاهرة قبل جمع البيانات، تشرح ماذا تجمع ولماذا ومع من تشاركه وحقوق العميل وطريقة التواصل.

4. 4
   مكّن الحقوق عملياً

   صفحة أو زر لطلب نسخة من البيانات أو تصحيحها أو حذف الحساب، مع مدة رد داخلية محددة.

5. 5
   احمِ البيانات تقنياً

   HTTPS في كل الصفحات، تشفير، كلمات سر قوية أو OTP، صلاحيات للموظفين حسب الحاجة، ونسخ احتياطي.

6. 6
   راجع الجهات الخارجية

   بوابة الدفع، شركة الشحن، مزود الرسائل، أداة التحليلات: اعرف ماذا تستلم كل جهة وأين تعالجه.

7. 7
   جهّز خطة التسريب

   من يكتشف، من يقرر، كيف تبلغ سدايا والمتأثرين عند الحاجة وفي المدة النظامية، وكيف توثق ما حدث.

8. 8
   حدد مدد الحفظ والإتلاف

   لا تحتفظ بالبيانات للأبد. اربط كل نوع بمدة، ثم احذفه أو اجعله مجهول الهوية.

أسهل بيانات تحميها هي البيانات التي لم تجمعها أصلاً.

الموافقة وحقوق العميل: كيف تبدو داخل التطبيق؟

النص القانوني وحده لا يكفي؛ يجب أن تظهر الحقوق في تجربة الاستخدام. العميل السعودي يتوقع وضوحاً بالعربية وخطوات قصيرة، والمراجع يبحث عن دليل أن الحقوق قابلة للتنفيذ فعلاً.

إذا كان تسجيل الدخول برقم الجوال، فاشرح لماذا تحتاج الرقم وكيف ستستخدمه. وإذا كنت تراسل العملاء عبر واتساب، فاحصل على موافقتهم على ذلك وامنحهم طريقة سهلة للإيقاف. التفاصيل في دليل تسويق واتساب الصحيح.

الأمن والتسريبات: ما الحد الأدنى المعقول؟

النظام يطلب منك اتخاذ إجراءات تنظيمية وتقنية مناسبة لحماية البيانات. لا توجد قائمة واحدة تناسب الجميع، لكن هناك أساسيات لا يُعذر أحد بتركها، خاصة في التطبيقات المبنية بسرعة بالذكاء الاصطناعي.

• HTTPS وشهادة SSL على كل الصفحات والواجهات البرمجية دون استثناء.
• تشفير البيانات أثناء النقل وأثناء التخزين، خاصة الحساسة منها.
• صلاحيات حسب الدور: موظف الشحن يرى العنوان لا سجل المدفوعات، والمحاسب لا يحتاج كل شيء.
• لا تحفظ بيانات البطاقات في قاعدة بياناتك؛ دع بوابة الدفع تتعامل معها.
• مفاتيح API خارج الكود وفي إعدادات آمنة، مع تغييرها عند خروج أي شخص من الفريق.
• نسخ احتياطي يومي واختبار الاسترجاع، وسجل تدقيق لمن اطلع على ماذا.

عند وقوع تسريب، الوقت مهم. اللوائح تحدد متى وكيف تبلغ سدايا، ومتى تبلغ الأشخاص المتأثرين. لا تنتظر الحادثة لتقرأ المطلوب: اكتب خطة من صفحة واحدة الآن، وحدد من يتواصل مع من. ولمراجعة أمنية أعمق للتطبيقات المبنية بالذكاء الاصطناعي، استخدم قائمة الأمان للتطبيقات المبنية بالذكاء الاصطناعي.

نقل البيانات خارج المملكة والمزودون الخارجيون

كثير من الأدوات التي يستخدمها أي تطبيق (التحليلات، البريد، الرسائل، الاستضافة) قد تعالج البيانات خارج المملكة. النظام لا يمنع النقل للخارج بشكل مطلق، لكنه يضع له شروطاً وضوابط، وقد عُدّلت لائحة نقل البيانات خارج المملكة في سبتمبر 2024. لذلك اعرف أين تذهب بيانات عملائك قبل أن تربط أي خدمة.

الاستضافة داخل المملكة أو المنطقة ليست شرطاً عاماً على كل تطبيق، لكنها مطلوبة لبعض القطاعات وفئات البيانات، ويفضلها كثير من العملاء والجهات الكبيرة لأنها تبسط أسئلة النقل. التفاصيل في استضافة البيانات داخل السعودية، وتعرف على استضافة فنّان.

كيف تبني تطبيقاً يراعي النظام من البداية مع فنّان؟

إضافة الخصوصية بعد الإطلاق أصعب وأغلى من بنائها من البداية. عندما تصف تطبيقك لـ وكيل فنّان، اذكر متطلبات البيانات صراحة كما تذكر الشاشات والأسعار. الوكيل يبني الجداول والصلاحيات والصفحات بناءً على وصفك، فكلما كان وصفك أدق كانت النتيجة أقرب للالتزام.

بعد البناء، اختبر بنفسك: سجّل حساباً، اطلب الحذف، ادخل بحساب موظفة وتأكد أنها لا ترى ما لا يخصها. ثم اكتب سياسة الخصوصية وفق دليل كتابة سياسة الخصوصية لتطبيق سعودي.

أسئلة شائعة

مصطلحات في هذا المقال