أصبح نظام حماية البيانات الشخصية في المملكة العربية السعودية (PDPL) من أهم الأنظمة التي يجب على كل منشأة تتعامل مع بيانات العملاء أو الموظفين الالتزام بها. صدر النظام بالمرسوم الملكي (م/19) عام 1443هـ وعدل لاحقا، ودخل حيز التنفيذ في سبتمبر 2023م مع مهلة للامتثال انتهت في سبتمبر 2024م. وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).
على من يطبق نظام حماية البيانات الشخصية؟
يطبق النظام على أي معالجة لبيانات شخصية تتعلق بأفراد في المملكة، تقوم بها جهات داخل المملكة أو خارجها، بما في ذلك بيانات المتوفى إذا كانت تؤدي إلى معرفته أو أحد أفراد أسرته. ويستثنى من ذلك استخدام الفرد للبيانات لأغراض شخصية أو عائلية.
ما المقصود بالبيانات الشخصية؟
كل بيان من شأنه أن يؤدي إلى معرفة الفرد على وجه التحديد بشكل مباشر أو غير مباشر، مثل الاسم ورقم الهوية والعنوان ورقم الهاتف والصور والبيانات المالية. أما البيانات الحساسة فتشمل الأصل العرقي والمعتقد الديني والبيانات الصحية والجينية والحيوية والائتمانية والأمنية والجنائية، ولها حماية أعلى.
حقوق صاحب البيانات
- الحق في العلم: بالغرض من جمع بياناته والأساس النظامي لذلك.
- الحق في الوصول: إلى بياناته والحصول على نسخة منها.
- الحق في التصحيح: وتحديث البيانات غير الدقيقة.
- الحق في الإتلاف: عند انتفاء الحاجة إلى البيانات.
- الحق في الرجوع عن الموافقة على المعالجة.
التزامات الشركات في نظام حماية البيانات الشخصية
- جمع البيانات لغرض محدد ومشروع، وبالقدر اللازم فقط.
- الحصول على موافقة صاحب البيانات في الحالات التي يتطلبها النظام.
- إعداد سياسة خصوصية واضحة وإتاحتها لأصحاب البيانات.
- اتخاذ التدابير التنظيمية والتقنية لحماية البيانات.
- الإبلاغ عن تسرب البيانات للجهة المختصة خلال مدة قصيرة حددتها اللائحة، وإبلاغ أصحاب البيانات عند وجود ضرر.
- كذلك الاحتفاظ بسجل لأنشطة المعالجة.
- أيضا تعيين مسؤول حماية بيانات عندما تتطلب اللوائح ذلك.
- إجراء تقييم أثر قبل بدء عمليات المعالجة عالية المخاطر.
نقل البيانات خارج المملكة
وضع النظام ولائحته الخاصة بنقل البيانات خارج المملكة ضوابط صارمة، تتطلب ألا يمس النقل بالأمن الوطني، وأن يتوفر مستوى حماية مناسب في الدولة المستقبلة، أو أن تستخدم ضمانات مناسبة كالبنود التعاقدية المعيارية. وهذا مهم للشركات التي تستخدم خدمات سحابية خارج المملكة.
عقوبات مخالفة نظام حماية البيانات الشخصية
- إفصاح أو نشر بيانات حساسة بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية: السجن مدة لا تزيد على سنتين وغرامة لا تزيد على ثلاثة ملايين ريال، أو بإحداهما.
- مخالفة باقي أحكام النظام: إنذار أو غرامة لا تزيد على خمسة ملايين ريال، ويجوز مضاعفتها في حال التكرار.
- يجوز للمحكمة مصادرة الأموال المتحصلة من المخالفة ونشر ملخص الحكم.
- يحق لصاحب البيانات المطالبة بالتعويض عن الضرر.
خطوات عملية للامتثال
- حصر البيانات الشخصية التي تجمعها المنشأة ومصادرها.
- تحديد الأساس النظامي لكل نشاط معالجة.
- ثم تحديث سياسة الخصوصية ونماذج الموافقة.
- كذلك مراجعة العقود مع مزودي الخدمات ومعالجي البيانات.
- وضع خطة الاستجابة لحوادث التسرب.
- أخيرا تدريب الموظفين.
تعرف على خدمة حماية البيانات والخصوصية في السعودية، واقرأ أيضا الجرائم المعلوماتية في السعودية.
الأسئلة الشائعة حول نظام حماية البيانات الشخصية
هل يطبق النظام على المتاجر الإلكترونية الصغيرة؟
نعم، يطبق على كل جهة تعالج بيانات شخصية بغض النظر عن حجمها، مع مراعاة بعض الاستثناءات والتسهيلات في اللوائح.
هل يجوز إرسال رسائل تسويقية للعملاء؟
يجوز بضوابط، أهمها الحصول على موافقة المتلقي وإتاحة وسيلة سهلة لإيقاف الرسائل.
من الجهة المختصة بتلقي الشكاوى؟
الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بصفتها الجهة المختصة بالإشراف على تطبيق النظام.
مراجع رسمية: للاطلاع على النصوص النظامية المحدثة راجع البوابة الرسمية للأنظمة السعودية (هيئة الخبراء بمجلس الوزراء)، وكذلك وزارة التجارة.
هل تحتاج إلى استشارة قانونية في قضيتك؟
كل قضية لها تفاصيلها الخاصة، وما ورد في هذا المقال معلومات عامة. تواصل مع فريقنا للحصول على استشارة قانونية مجانية، أو اطّلع على خدماتنا القانونية في السعودية، أو تواصل معنا مباشرة.
تنبيه: هذا المقال لأغراض التوعية القانونية العامة ولا يعد استشارة قانونية. الأنظمة واللوائح في المملكة العربية السعودية قابلة للتعديل، لذا ننصح بمراجعة محام مرخّص قبل اتخاذ أي إجراء.
