نظام حماية البيانات الشخصية: قائمة تجهيز موقعك وتطبيقك
إذا موقعك أو تطبيقك يجمع اسم أو رقم جوال أو طلب شراء، فأنت تعالج بيانات شخصية، ونظام حماية البيانات الشخصية (PDPL) غالبًا ينطبق عليك. النظام نافذ بالكامل منذ 14 سبتمبر 2024، والجهة المشرفة عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وقد أعلنت عن 48 قرارًا في مخالفات خلال 2025.
هذي قائمة عملية للجانب التقني. وهي معلومات عامة، مو استشارة قانونية.
1. اعرف وش تجمع
اكتب جدول بسيط: وش البيانات، ليش تجمعها، وين تنحفظ، مين يوصل لها، وكم تحتفظ بها. أغلب المشاكل تنكشف هنا، مثل نموذج يطلب تاريخ الميلاد بدون سبب، أو بيانات عملاء قديمة منسية في ملف Excel.
2. اطلب الأقل
كل حقل في النموذج لازم يكون له سبب واضح. البيانات اللي ما تجمعها ما تحتاج تحميها.
3. سياسة خصوصية حقيقية
لا تنسخ سياسة من موقع ثاني. لازم تكون بالعربي وتوضح: وش تجمع، ولأي غرض، والأساس النظامي، ومع مين تشاركها، وكم تحتفظ بها، وحقوق المستخدم، وطريقة التواصل معك.
4. الموافقة تكون واضحة
- لا تأشر مربع الموافقة مسبقًا.
- افصل موافقة التسويق عن موافقة الخدمة.
- احفظ سجل: مين وافق، وعلى إيش، ومتى.
- خلي سحب الموافقة سهل.
5. جهّز طلبات أصحاب البيانات
من حق العميل يطلب الاطلاع على بياناته وتصحيحها وإتلافها. حدد مين يستقبل الطلب وكيف يتم تنفيذه في نظامك، قبل ما يوصلك أول طلب.
6. الحماية التقنية
- HTTPS في كل الصفحات.
- تشفير كلمات المرور والبيانات الحساسة.
- صلاحيات بقدر الحاجة، مو حساب واحد للكل.
- تحقق ثنائي للوحات التحكم.
- سجلات دخول ونسخ احتياطي مجرَّب.
7. انتبه للأطراف الخارجية ولمكان الاستضافة
أدوات التحليلات والدردشة والتسويق غالبًا ترسل بيانات لخوادم خارج المملكة. النظام ما يمنع النقل للخارج بشكل مطلق، لكنه يضع له ضوابط، ولازم تتحقق منها. والاستضافة داخل المملكة توفر عليك جزء كبير من هذا الشغل وتسرّع موقعك لعملائك هنا. وبعض المشاريع الحكومية لها اشتراطات أشد.
راجع كذلك العقود مع مزودي الخدمة، لأنك مسؤول عن البيانات حتى لو عالجها طرف آخر.
8. خطة للتسريبات
عند حدوث تسريب يترتب عليه ضرر، لازم تبلّغ سدايا خلال 72 ساعة من علمك به، وأحيانًا تبلّغ المتأثرين. جهّز من الآن: مين يقرر، ومين يبلّغ، ووين التفاصيل التقنية. 72 ساعة تمر بسرعة لو بدأت من الصفر.
9. الاحتفاظ والإتلاف
حدد مدة لكل نوع بيانات، واحذف اللي انتهى الغرض منه. البيانات القديمة خطر بدون فائدة.
وش العقوبات؟
بحسب نص النظام، المخالفات ممكن توصل غرامتها إلى 5 ملايين ريال، وتتضاعف عند التكرار، وإفشاء البيانات الحساسة بقصد الإضرار عليه عقوبات أشد. لكن الأهم عمليًا: ثقة عميلك.
من وين تبدأ؟
ابدأ بالبندين 1 و3، ثم الموافقات، ثم خطة التسريبات. أنا أشتغل على الجانب التقني: مراجعة الأنظمة وإغلاق الثغرات وبناء الموافقات والطلبات والسجلات. أما الرأي النظامي فيكون مع محاميك أو مسؤول حماية البيانات.
وإذا تستخدم نظام فواتير، اقرأ كذلك متطلبات الفاتورة الإلكترونية.
تبي تعرف وين موقعك واقف اليوم؟ تواصل معي ونبدأ بمراجعة واضحة.