مكتب حازم المدني محامون و مستشارون قانونيون

نظام حماية البيانات الشخصية في السعودية: خطوة نحو بيئة رقمية آمنة وموثوقة

مع اقتراب موعد دخول نظام حماية البيانات الشخصية حيز النفاذ الكامل في المملكة العربية السعودية، تتخذ المملكة خطوة حيوية نحو حماية حقوق الأفراد في خصوصية بياناتهم، في سياق بيئة رقمية متقدمة ومتسارعة النمو. يعد هذا النظام جزءًا من التزام المملكة برؤية 2030 لتعزيز التحول الرقمي ودعم بيئة آمنة تسهم في رفع مستوى الثقة في التعاملات الرقمية. تم إقرار النظام بموجب المرسوم الملكي رقم (م/19) بتاريخ 9/2/1443 هـ والمعدل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، ويتناول كافة الجوانب القانونية والتشريعية المتعلقة بجمع ومعالجة البيانات الشخصية، مع وضع ضوابط صارمة لضمان الاستخدام المسؤول لهذه البيانات.

حرصاً على تنفيذ أحكام نظام حماية البيانات الشخصية بفعالية، أصدرت الهيئة السعودية للبيانات والذكاء الاصطناعي (ساديا) الإصدار الأول من الدليل الاسترشادي لإعداد وتطوير سياسة الخصوصية برقم 1.0 وتاريخ أغسطس 2024. يهدف هذا الدليل إلى توضيح آليات جمع البيانات الشخصية واستخدامها وحمايتها، بما يتوافق مع أحكام النظام ولائحته التنفيذية.

أولًا: مجال تطبيق النظام

يطبق نظام حماية البيانات الشخصية السعودي على جميع عمليات معالجة البيانات الشخصية المتعلقة بالأفراد داخل المملكة، بغض النظر عن الوسيلة المستخدمة في المعالجة، سواء كانت إلكترونية أو يدوية. ووفقًا للمادة الثانية من النظام، يسري على البيانات الشخصية التي تتولى معالجتها جهات سواء داخل المملكة أو خارجها، شريطة أن يكون للأفراد المعنيين بهذه البيانات تواجد داخل المملكة. وبموجب هذه الأحكام، يتمتع الأفراد بحماية شاملة تشمل البيانات التي قد تكشف عن هويتهم بشكل مباشر أو غير مباشر. كما يشمل النظام بيانات الأفراد المتوفين إذا كانت قد تؤدي إلى تحديد هويتهم أو هوية أحد أفراد أسرهم.

ثانيًا: الأهداف التشريعية لنظام حماية البيانات الشخصية

يهدف النظام إلى تنظيم وضبط عمليات معالجة البيانات الشخصية وضمان خصوصية الأفراد عبر توفير حماية شاملة وشروط واضحة لاستخدام البيانات. ويعكس النظام توجه المملكة لتطبيق أفضل الممارسات العالمية في مجال حماية البيانات، كما يتوافق مع التشريعات الدولية المماثلة مثل اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR). وتُعد الشفافية أساسًا مهمًا في النظام، إذ يلتزم من خلاله مقدمو الخدمات بإبلاغ الأفراد بوضوح عن الأغراض التي ستُستخدم فيها بياناتهم، مع منحهم حقوق الاطلاع والتعديل والحذف.

ثالثًا: المبادئ الأساسية والتزامات الجهات المعالجة

تشمل الالتزامات التي يفرضها النظام على الجهات المعالجة للبيانات الشخصية عدة جوانب أساسية، نُص عليها في اللائحة التنفيذية للنظام، وأبرزها:
• جمع البيانات لأغراض محددة ومشروعة: تنص اللائحة التنفيذية على أنه يجب على الجهات المعالجة جمع البيانات فقط للأغراض التي تم الإفصاح عنها للأفراد، مع منع استخدامها لأغراض غير مصرح بها.
• شفافية الاستخدام: على الجهات المعالجة توفير معلومات واضحة حول كيفية معالجة البيانات الشخصية وأغراض استخدامها. ويشمل ذلك توفير وسائل تواصل فعالة، كالرسائل النصية والبريد الإلكتروني، لتمكين الأفراد من ممارسة حقوقهم المتعلقة ببياناتهم.
• التدابير الأمنية: وفقًا للنظام ولائحته التنفيذية، يجب على الجهات تطبيق تدابير تنظيمية وأمنية تقنية لحماية البيانات من التسرب أو الوصول غير المصرح به، مع الالتزام بتعليمات الهيئة الوطنية للأمن السيبراني.

رابعًا: اعداد وتطوير سياسة الخصوصية

تماشيًا مع احكام النظام ولائحته التنفيذية ولغرض التيسير على ذوي الشأن، أصدرت الهيئة السعودية للبيانات والذكاء الاصطناعي (ساديا)، دليلها الإسترشادي الذي يهدف إلى توضيح آليات جمع البيانات الشخصية واستخدامها وحمايتها، بما يتوافق مع أحكام النظام ولائحته التنفيذية.

بموجب هذا الدليل، فإنه يجب أن تتضمن سياسة الخصوصية التي تضعها الشركة مجموعة من العناصر الأساسية التي تضمن الشفافية والوضوح للعملاء. أبرز هذه العناصر تشمل:
• تعريف البيانات الشخصية: يجب أن تحدد سياسة الخصوصية ما المقصود بالبيانات الشخصية وكيفية جمعها. تشمل البيانات الشخصية عادة الأسماء، العناوين، أرقام الهواتف، والبريد الإلكتروني.
• كيفية جمع البيانات واستخدامها: يجب توضيح الأساليب المستخدمة لجمع البيانات، مثل التسجيلات عبر الإنترنت أو من خلال المعاملات التجارية. كما يجب توضيح الأغراض التي سيتم استخدام البيانات من أجلها، مثل تحسين الخدمة أو إرسال العروض الترويجية.
• حقوق الأفراد: يجب أن تشرح السياسة حقوق الأفراد فيما يتعلق ببياناتهم الشخصية، مثل حق الوصول إلى البيانات، تصحيحها، أو حذفها.
• مدة الاحتفاظ بالبيانات: يجب تحديد المدة التي سيتم خلالها الاحتفاظ بالبيانات الشخصية، وأسباب الاحتفاظ بها لهذه المدة.
• تدابير الأمان: يجب توضيح التدابير الأمنية المتخذة لحماية البيانات الشخصية من الوصول غير المصرح به، أو التلف، أو التلاعب.
• الامتثال للقوانين المحلية والدولية: يجب التأكد من أن سياسة الخصوصية تتوافق مع الأنظمة المحلية مثل نظام حماية البيانات الشخصية السعودي، وكذلك مع أي قوانين دولية قد تنطبق على الشركة.

خامسًا: حقوق الأفراد في النظام

يوفر النظام للأفراد مجموعة شاملة من الحقوق، تتضمن الحق في الوصول إلى بياناتهم الشخصية المتاحة لدى الجهات المعالجة، والحق في طلب تصحيحها في حال كانت غير دقيقة أو غير كاملة. كما يحق للأفراد طلب إتلاف بياناتهم الشخصية إذا لم تعد ضرورية للغرض الذي جمعت من أجله، أو إذا سحبت الموافقة التي أُعطيت سابقًا على معالجتها، وفقًا للائحة التنفيذية. وتحرص اللائحة على ضمان ممارسة الأفراد لحقوقهم دون التأثير على حقوق الآخرين أو تعريض أمنهم للخطر.

سادسًا: العقوبات المترتبة على المخالفات

في حالة انتهاك أحكام النظام، يفرض النظام عقوبات صارمة تصل إلى السجن وغرامات مالية على الجهات المخالفة، مما يعكس التزام المملكة بتطبيق القانون بشكل دقيق وصارم. وتشمل هذه العقوبات مواجهة المخالفات المرتبطة بالتسريب غير المشروع للبيانات الشخصية، أو الوصول غير المصرح به، أو المعالجة التي لا تتماشى مع الأغراض المصرح بها.

سابعًا: دور مكتب المحاماة في تحقيق الامتثال

يعتبر الامتثال لنظام حماية البيانات الشخصية ضرورة لكافة المؤسسات والشركات التي تتعامل مع ولائحته التنفيذية، بما يسهم في وضع استراتيجيات لحماية البيانات.
1. إعداد السياسات الداخلية: نساعد الشركات على تطوير سياسات واضحة لحماية البيانات تتماشى مع المعايير التي حددها النظام، بما في ذلك سياسات جمع البيانات وتخزينها وآلية الإبلاغ في حالة حدوث أي اختراق أو تسرب.
2. التدريب وتوعية الموظفين: نقوم بتقديم برامج تدريبية متخصصة للعاملين في الشركات لتوعيتهم بأهمية حماية البيانات، وشرح كيفية التعامل مع البيانات الشخصية بطريقة تتماشى مع النظام.

ثامنًا: التحديات والفرص التي يوفرها النظام

رغم أن الامتثال لمتطلبات النظام قد يشكل تحديًا لبعض الشركات بسبب التكاليف أو إعادة هيكلة السياسات، إلا أن النظام يقدم فرصًا كبيرة في مجال حماية البيانات والأمن الرقمي. يعزز هذا النظام الثقة في البيئة الرقمية، مما يسهم في جذب الاستثمارات ويمنح الشركات فرصة لتبني ممارسات عالمية رائدة في إدارة البيانات، مما يفتح أمامها آفاق التعاون والشراكات الدولية.

وفي الختام، يمثل اقتراب موعد نفاذ نظام حماية البيانات الشخصية في السعودية بداية عهد جديد لتعزيز الخصوصية وحماية الحقوق الرقمية للأفراد. ويدعو النظام كافة الشركات والمؤسسات إلى الالتزام الكامل بأحكامه لضمان بيئة رقمية آمنة ومتقدمة تسهم في تحقيق أهداف التحول الرقمي وفق رؤية المملكة 2030.