نظام حماية البيانات الشخصية (PDPL) — دليل عملي للشركات

نظام حماية البيانات الشخصية غيّر قواعد التعامل مع بيانات العملاء والموظفين في المملكة. والامتثال ليس بند تقنية معلومات فقط — بل برنامج يمسّ التسويق والموارد البشرية والمشتريات والعمليات.

المبادئ التي يقوم عليها النظام

• الأساس النظامي للمعالجة: لا تُعالَج البيانات إلا بمسوّغ نظامي (موافقة، عقد، مصلحة مشروعة، التزام نظامي...).
• تحديد الغرض: تُجمع لغرض محدّد ومعلن، ولا تُستخدم لغيره.
• تقليل البيانات: اجمع الحد الأدنى اللازم فقط.
• الدقة: بيانات صحيحة ومحدَّثة.
• الاحتفاظ المحدود: مدة محدّدة ثم إتلاف.
• الأمن: ضوابط حماية مناسبة لمستوى الحساسية.
• الشفافية: إشعار خصوصية واضح ومفهوم.
• المساءلة: القدرة على إثبات كل ما سبق.

النقطة الأخيرة هي الأصعب — لأنها تحوّل النية إلى دليل.

المكوّنات الأساسية لبرنامج الامتثال

1. سجل أنشطة المعالجة

حجر الزاوية. لكل نشاط: ما البيانات المُعالَجة، ولمن تعود، والغرض، والأساس النظامي، ومن يصل إليها، وأين تُخزَّن، ومدة الاحتفاظ، وهل تُنقل خارج المملكة، وما ضوابط الحماية.

بلا هذا السجل لا يمكنك الإجابة على أي سؤال آخر بثقة.

2. سياسة الخصوصية وإشعارات جمع البيانات

سياسة داخلية تحكم الممارسة، وإشعار خارجي مفهوم لأصحاب البيانات. الإشعار المكتوب بلغة قانونية معقّدة لا يحقّق الشفافية المطلوبة.

3. إدارة الموافقات

حين تكون الموافقة هي الأساس، يجب أن تكون: صريحة، ومحدّدة الغرض، وقابلة للسحب بسهولة مماثلة لمنحها، وموثّقة (من ومتى وعلى ماذا).

4. حقوق أصحاب البيانات

إجراء معلن ومُوقَّت للتعامل مع طلبات: العلم، الوصول، الحصول على نسخة، التصحيح، والإتلاف. يجب أن يكون هناك مسار داخلي واضح لمن يستقبل الطلب وكيف يُنفَّذ ويُوثَّق.

5. سياسة الاحتفاظ والإتلاف

لكل نوع بيانات مدة محدّدة، وآلية إتلاف آمنة، وسجل بما أُتلف ومتى. الاحتفاظ «إلى الأبد تحسّباً» مخالفة لا احتياط.

6. إدارة المعالجين والأطراف الخارجية

مزوّد الخدمة الذي يعالج بياناتك نيابةً عنك يجب أن يكون مُقيَّداً بعقد يحدّد الغرض والضوابط والالتزامات، مع تقييم قبل التعاقد ومراجعة دورية.

7. النقل خارج المملكة

له شروط وضوابط. وثّق أي نقل: إلى أين، ولماذا، وبأي ضمانات — بما يشمل الخدمات السحابية.

8. إدارة الانتهاكات

إجراء للكشف والتقييم والتصعيد والإبلاغ ضمن المهل المطلوبة، مع سجل حوادث موثّق. الإجراء الذي لم يُختبَر لن يعمل تحت الضغط.

9. الوعي والتدريب

الاختراق الأكثر شيوعاً بشري. يجب أن يعرف موظف خدمة العملاء ما لا يجوز إرساله، وأن يعرف موظف التسويق حدود استخدام قاعدة العملاء.

أخطاء متكررة

• اعتبارها مسؤولية تقنية المعلومات وحدها بينما المخالفات تنشأ في التسويق والموارد البشرية.
• موافقة مدفونة في الشروط والأحكام بدل موافقة صريحة محدّدة.
• جمع بيانات «قد نحتاجها لاحقاً» — مخالفة صريحة لمبدأ التقليل.
• سجل معالجة أُعدّ مرة ولم يُحدَّث بعد إطلاق منتج أو نظام جديد.
• غياب دليل التدريب على سياسة الخصوصية.

كيف تجعل الامتثال قابلاً للإثبات؟

اجعل كل سياسة خصوصية سِجلاً مُداراً: إصدار معتمد، ومراجعة دورية، وتدريب واختبار وإقرار لكل موظف مستهدف، ودليل مرفق بتاريخ صلاحية، وربط بالضوابط ذات الصلة في NCA و ISO 27001. عندها تصبح الإجابة على أي سؤال رقابي استعلاماً لا مشروعاً.

الخلاصة

PDPL لا يطلب الكمال بل المساءلة: أن تعرف بياناتك، وتضبط استخدامها، وتُثبت أنك تفعل ذلك فعلاً — في أي يوم يُسأل فيه.