نظام حماية البيانات الشخصية في السعودية: حقوق الأفراد والتزامات المنشآت

الإطار النظامي

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم (م/19) لعام 1443هـ وعُدّل بالمرسوم (م/148) لعام 1444هـ، ودخل حيز النفاذ في سبتمبر 2023م مع مهلة توفيق أوضاع للمنشآت انتهت في سبتمبر 2024م. وتتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) الإشراف على تطبيقه. وهو أول تنظيم شامل في المملكة يمنح الأفراد حقوقًا محددة على بياناتهم ويحمّل المنشآت التزامات مقابلة.

ما البيانات المشمولة؟

• البيانات الشخصية: كل بيان يؤدي إلى معرفة الفرد بذاته أو مع غيره: الاسم، الهوية، العناوين، الأرقام، الصور، السجلات المصرفية.
• البيانات الحساسة (حماية مشددة): الأصل العرقي، المعتقد الديني أو الفكري، البيانات الأمنية والجنائية، البيانات الصحية، البيانات الوراثية، وبيانات تحديد الموقع الدقيقة ضمن سياقات معينة.
• النطاق: أي معالجة لبيانات شخصية تتم في المملكة، وكذلك معالجة بيانات المقيمين فيها من جهات خارجها.

حقوقك على بياناتك

الحق	مضمونه
العلم	معرفة المسوغ النظامي لجمع بياناتك والغرض منه
الوصول	الاطلاع على بياناتك لدى الجهة والحصول على نسخة منها
التصحيح	طلب تصحيح البيانات غير الدقيقة أو إكمالها أو تحديثها
الإتلاف	طلب إتلاف بياناتك متى انتهى الغرض من جمعها وفق الضوابط
الرجوع عن الموافقة	سحب موافقتك على المعالجة في أي وقت للمعالجات المبنية عليها

متى تكون المعالجة مشروعة؟

الأصل أن معالجة البيانات تتطلب موافقة صاحبها، ولا يجوز جعل الموافقة شرطًا لتقديم خدمة لا تتصل المعالجة بها. وتجوز المعالجة دون موافقة في حالات حددها النظام، منها: تحقيق مصلحة فعلية لصاحب البيانات مع تعذر الاتصال به، أو تنفيذ نظام آخر أو اتفاقية سابقة، أو كون الجهة المعالجة جهة عامة لأغراض أمنية أو قضائية، أو المصلحة المشروعة للجهة بغير البيانات الحساسة وبما لا يمس حقوق صاحب البيانات.

التزامات المنشآت الأساسية

1. سياسة خصوصية واضحة تُتاح لأصحاب البيانات قبل الجمع.
2. مبدأ التقليل: جمع الحد الأدنى اللازم للغرض، وعدم الاحتفاظ بعد انتهائه.
3. سجل نشاطات المعالجة وتقييم أثر المعالجة للعمليات عالية الخطورة.
4. ضوابط أمنية تقنية وتنظيمية تتناسب مع طبيعة البيانات.
5. الإبلاغ عن التسرب: إشعار سدايا خلال المدة المحددة في اللوائح (72 ساعة من العلم) وإشعار صاحب البيانات إذا كان التسرب يضر به.
6. تعيين مسؤول حماية بيانات في الحالات التي تحددها اللوائح.
7. عقود المعالجة: إلزام مقدمي الخدمات الذين يعالجون البيانات نيابة عن المنشأة بالتزامات النظام.

نقل البيانات خارج المملكة

وضع النظام ولوائحه ضوابط لنقل البيانات الشخصية أو الإفصاح عنها لجهة خارج المملكة، منها وجود مستوى حماية مناسب في دولة المقصد وفق تقييم سدايا، أو توافر ضمانات مناسبة (بنود تعاقدية ملزمة، قواعد مشتركة للمجموعات)، مع استثناءات محددة كتنفيذ التزام تعاقدي لمصلحة صاحب البيانات. فالمنشآت التي تستخدم خدمات سحابية أجنبية معنية مباشرة بهذه الضوابط.

العقوبات

• إفشاء البيانات الحساسة أو نشرها بقصد الإضرار أو تحقيق منفعة: السجن حتى سنتين وغرامة حتى 3,000,000 ريال أو إحداهما.
• بقية المخالفات: إنذار أو غرامة حتى 5,000,000 ريال، وتضاعف الغرامة عند تكرار المخالفة.
• مصادرة الأموال المتحصلة، ونشر منطوق العقوبة على نفقة المخالف بحسب الحكم.
• وللمتضرر التعويض المدني عما لحقه من ضرر مادي أو معنوي أمام المحكمة المختصة.

خطوات امتثال عملية للمنشآت

1. حصر البيانات: ما البيانات التي تجمعها المنشأة؟ من أين؟ وأين تُخزَّن؟ ومن يصل إليها؟
2. تحديد الأساس النظامي لكل معالجة (موافقة، عقد، مصلحة مشروعة) وتوثيقه.
3. تحديث سياسة الخصوصية وإتاحتها قبل الجمع بلغة واضحة.
4. تأمين البيانات بضوابط تقنية وتنظيمية وتقييد الوصول بمبدأ الحاجة.
5. ضبط عقود الموردين الذين يعالجون البيانات نيابة عنك ببنود حماية ملزمة.
6. خطة استجابة للتسرب تضمن الإشعار خلال المدد النظامية، وتسجيل نشاطات المعالجة.

ماذا تفعل إذا انتُهكت خصوصيتك؟

1. وثّق الانتهاك: رسائل تسويقية لم توافق عليها، تسريب بيانات، استخدام صورك — وفق أصول حفظ الدليل الرقمي.
2. تواصل مع الجهة وقدّم طلب ممارسة حقوقك (وصول، تصحيح، إتلاف) واحتفظ بالمراسلات.
3. قدّم شكوى إلى الجهة المختصة بالتلقي عبر منصات بلاغات سدايا عند عدم استجابة الجهة خلال المدد النظامية لممارسة حقوقك.
4. وإن كان الانتهاك جريمة معلوماتية كاختراق أو ابتزاز بالبيانات فالبلاغ عبر كلنا أمن، مع حق المطالبة بالتعويض المدني عن الضرر أمام المحكمة المختصة.

البيانات والعلاقات الأسرية والعمل

تتقاطع حماية البيانات مع مجالات أخرى: فنشر صور الغير أو بياناتهم في نزاعات الطلاق قد يشكّل انتهاكًا للخصوصية إضافة إلى ما قد يقترن به من جرائم معلوماتية. وفي بيئة العمل، تلتزم المنشأة بحماية بيانات موظفيها وعدم استخدامها لغير أغراض العلاقة العمالية. أما مراقبة الموظفين والكاميرات فتخضع لضوابط الغرض المشروع والإشعار المسبق. فالخصوصية ليست شأنًا تقنيًا فحسب، بل بعدٌ حاضر في كل علاقة تُعالَج فيها بيانات الأشخاص.

الخلاصة

نظام حماية البيانات الشخصية نقل الخصوصية في المملكة من التوصيات إلى الالتزامات: حقوق واضحة للأفراد، والتزامات مشددة على المنشآت، وعقوبات تصل إلى خمسة ملايين ريال والسجن في إفشاء الحساس. إن كنت فردًا فاعرف حقوقك الخمسة ومارسها عند أي تجاوز، وإن كنت منشأة فابدأ بحصر بياناتك وضبط أسسها النظامية وسياسات خصوصيتها الآن — فتكلفة الالتزام أقل بكثير من غرامة قد تبلغ خمسة ملايين ريال، فضلًا عن الضرر بالسمعة والثقة.

تنبيه: هذه المادة تثقيفية عامة وفق الأنظمة السعودية ولا تُعد استشارة قانونية أو وعدًا بنتيجة قضائية. عند وجود نزاع أو إجراء رسمي، راجع محاميًا مرخصًا أو الجهة المختصة.