تطبيق نظام حماية البيانات الشخصية للمواقع والتطبيقات في السعودية يبدأ من سؤال بسيط: ما البيانات التي يجمعها موقعك أو تطبيقك، ولماذا، وأين تُحفظ، ومن يصل إليها؟ النظام الذي تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) نافذ منذ سبتمبر 2024، وأغلب ما يتطلبه من صاحب الموقع يتحول في النهاية إلى قرارات تصميم ومهام برمجية واضحة.
هذا الدليل عملي لا قانوني: يشرح ما يعنيه النظام لفريق التطوير، ويحول كل التزام إلى مهمة قابلة للتنفيذ. ولا يغني عن محامٍ يصوغ النصوص القانونية لمنشأتك ويراجع وضعها الخاص.
هل ينطبق نظام حماية البيانات الشخصية السعودي على موقعك أو تطبيقك؟
إذا كان موقعك أو تطبيقك يجمع أي معلومة تدل على شخص بعينه، كالاسم ورقم الجوال والبريد والعنوان والموقع الجغرافي، فأنت غالبًا تعالج بيانات شخصية. يشمل ذلك نموذج "تواصل معنا" البسيط، وحسابات العملاء في المتجر، وتسجيل الدخول في التطبيق، وأدوات التحليل التي تتبع سلوك الزائر.
ويشير نص النظام كذلك إلى معالجة بيانات الأفراد المقيمين في المملكة من جهات خارجها، فإن كانت شركتك مسجلة خارج السعودية وتخدم عملاء فيها، فاسأل محاميك عن انطباقه عليك. وتزداد الحساسية إذا جمعت بيانات صحية أو مالية أو بيانات أطفال، كما في عيادة تقدم الحجز الإلكتروني، وقد شرحنا هذا الجانب في دليل نظام إدارة عيادة وحجز مواعيد.
الخطوة الأولى: جرد البيانات التي يجمعها موقعك وتطبيقك
لا يمكنك حماية ما لا تعرفه. اجلس مع فريق التطوير وأنشئ سجلًا بسيطًا لكل نقطة جمع بيانات. هذا نموذج جاهز يمكنك نسخه:
| مصدر البيانات | البيانات المجموعة | الغرض | مكان التخزين | مدة الاحتفاظ |
|---|---|---|---|---|
| نموذج التواصل | الاسم، الجوال، البريد، الرسالة | الرد على الاستفسار | قاعدة بيانات الموقع والبريد | حدد مدة ثم احذف |
| حساب العميل | الاسم، الجوال، العنوان، سجل الطلبات | تنفيذ الطلبات | قاعدة البيانات | طوال نشاط الحساب ثم مدة محددة |
| الدفع | بيانات البطاقة | إتمام الدفع | لدى بوابة الدفع فقط | لا تُخزن لديك |
| أدوات التحليل | معرّفات الجهاز، الصفحات، المدينة التقريبية | تحسين الموقع | لدى مزود التحليل | حسب إعدادات المزود |
| التطبيق | رمز الإشعارات، الموقع الجغرافي | التنبيهات وخدمة التوصيل | الخادم ومزود الإشعارات | حتى إلغاء التطبيق أو الحساب |
| ملفات تعريف الارتباط | معرّفات الجلسة والإعلانات | تسجيل الدخول والإعلانات | متصفح الزائر | حسب نوع الملف |
بعد ملء الجدول ستكتشف غالبًا بيانات لا تحتاجها أصلًا. احذفها من النماذج قبل أي شيء آخر.
سياسة الخصوصية للموقع: ما الذي يجب أن تتضمنه؟
سياسة الخصوصية ليست نصًا تنسخه من موقع آخر، بل وصف دقيق لما يحدث فعلًا في نظامك. وجدول الجرد السابق هو مادتها الخام. تأكد أن تجيب عن هذه الأسئلة بلغة واضحة:
- من الجهة المسؤولة عن البيانات وكيف يتواصل معها صاحب البيانات؟
- ما البيانات التي تجمعها ومن أي مصدر؟
- ما الغرض من كل نوع، وما الأساس الذي تعتمد عليه في جمعه؟
- مع من تشارك البيانات، مثل مزود الشحن وبوابة الدفع ومزود الرسائل؟
- هل تُنقل البيانات خارج المملكة، وإلى أين؟
- كم تحتفظ بها، وكيف تُحذف؟
- ما حقوق صاحب البيانات وكيف يطلبها؟
اجعل رابط السياسة ظاهرًا في تذييل كل صفحة، وبجوار كل نموذج يجمع بيانات، وداخل التطبيق في الإعدادات. واكتبها بالعربية أولًا، ثم بالإنجليزية إن كان موقعك ثنائي اللغة.
الموافقة والغرض وتقليل البيانات
النظام يربط جمع البيانات بغرض محدد يُبلَّغ به صاحبها عند الجمع. عمليًا هذا يعني:
- إشعار عند نقطة الجمع: سطر قصير تحت النموذج يوضح سبب طلب البيانات مع رابط السياسة.
- مربع موافقة غير محدد مسبقًا حين تكون الموافقة هي الأساس.
- موافقة مستقلة للتسويق: لا تربط قبول الشروط بالاشتراك في الرسائل الترويجية، ووفر طريقة سهلة لإلغاء الاشتراك.
- أذونات التطبيق في وقتها: لا تطلب الموقع الجغرافي أو الكاميرا عند فتح التطبيق، بل عند استخدام الخاصية التي تحتاجها.
- تقليل البيانات: إن كان رقم الجوال يكفي، فلا تطلب تاريخ الميلاد والهوية الوطنية.
من الالتزام إلى مهمة برمجية: جدول التطبيق العملي
هذا الجدول هو ما نوصي بإرفاقه بأي عقد تطوير، حتى لا تبقى الخصوصية بندًا عامًا بلا مسؤول:
| الالتزام | المهمة التقنية | المسؤول |
|---|---|---|
| الشفافية | صفحة سياسة خصوصية وإشعار عند كل نموذج | المحامي للنص، والمطور للتنفيذ |
| الموافقة والغرض | مربعات موافقة منفصلة وتسجيل وقت الموافقة ونسختها | المطور |
| تقليل البيانات | مراجعة الحقول وحذف غير الضروري | صاحب المنشأة والمطور |
| الاحتفاظ والحذف | مهمة مجدولة تحذف أو تُجهّل البيانات بعد المدة المحددة | المطور |
| ضبط الوصول | صلاحيات حسب الدور وتحقق ثنائي للوحة التحكم | المطور والإدارة |
| التشفير | HTTPS إلزامي، وتشفير الحقول الحساسة، وتجزئة كلمات المرور | المطور |
| السجلات | سجل لمن اطلع على البيانات أو عدّلها أو صدّرها | المطور |
| أمن بيانات الدفع | الاعتماد على صفحات الدفع أو الحقول المستضافة لدى البوابة | المطور وبوابة الدفع |
| حقوق أصحاب البيانات | نموذج طلب، وتصدير بيانات الحساب، وحذف الحساب من داخل التطبيق | المطور وخدمة العملاء |
| الاستجابة للتسربات | مراقبة وتنبيهات وخطة مكتوبة وجهة اتصال محددة | فريق الصيانة والإدارة |
بخصوص الدفع تحديدًا: لا تخزن أرقام البطاقات على خادمك، ودع البوابة تتولى ذلك. وتفاصيل الاختيار بين البوابات في دليل بوابة الدفع الإلكتروني في السعودية.
الاستضافة ومزودو الخدمة ونقل البيانات خارج المملكة
موقعك لا يعمل وحده: هناك استضافة سحابية، ومزود بريد، ومزود رسائل نصية، وأداة تحليل، وخدمة إشعارات، وربما أداة دعم فني. كل واحد من هؤلاء قد يخزن بيانات عملائك في دولة أخرى. النظام يضع شروطًا على نقل البيانات خارج المملكة، فاعرف أين يستضيف كل مزود بياناته، واحتفظ باتفاقية معالجة بيانات معه، وراجع مع محاميك ما إذا كان النقل مسموحًا في حالتك.
الحل الأبسط أحيانًا: لا ترسل البيانات أصلًا
أفضل حماية للبيانات أحيانًا هي ألا تجمعها. في تطبيق ورقة لتحرير ملفات PDF الذي بنيناه للويب وWindows وAndroid، تتم المعالجة محليًا على جهاز المستخدم، فلا تُرفع المستندات إلى خادم ولا يحتاج المستخدم حسابًا. ليس كل منتج يحتمل هذا التصميم، لكن السؤال يستحق الطرح في بداية أي مشروع: هل نحتاج فعلًا أن تمر هذه البيانات بخوادمنا؟
الاستجابة للتسربات وطلبات أصحاب البيانات
النظام يلزم بالإبلاغ عن تسرب البيانات، واللائحة التنفيذية تحدد مهلة قصيرة لذلك، فتحقق من المهلة الحالية لدى سدايا. لا يمكنك الالتزام بمهلة قصيرة إن كنت لا تعرف أن التسرب حدث. لذلك تحتاج مراقبة للخادم، وتنبيهات على محاولات الدخول المشبوهة، ونسخًا احتياطية مشفرة، وتحديثات أمنية منتظمة. هذا ما تغطيه خدمة الصيانة التقنية بعد الإطلاق.
خطة تسرب في خمس خطوات
- احتواء المشكلة: إيقاف الحساب أو الثغرة أو المفتاح المسرب.
- تقييم ما تأثر: أي بيانات، ولكم شخص، ومنذ متى.
- إبلاغ الجهة المختصة وأصحاب البيانات وفق ما يتطلبه النظام.
- إصلاح السبب الجذري وتوثيقه.
- مراجعة ما بعد الحادثة وتحديث الخطة.
أما طلبات أصحاب البيانات، كالاطلاع على بياناتهم أو تصحيحها أو إتلافها، فاجعل لها مسارًا واضحًا: نموذج في الموقع، وزر في إعدادات التطبيق، وموظف مسؤول يرد خلال مدة محددة. وتذكر أن Apple وGoogle تشترطان في متاجرهما خيارًا لحذف الحساب للتطبيقات التي تتيح إنشاء حسابات. وإن كنت تبحث عن فريق يبني هذا من البداية، فاقرأ ما يجب أن تسأل عنه في دليل شركة برمجة تطبيقات في السعودية.
إن كنت تعمل في الإمارات أيضًا: قانون حماية البيانات الإماراتي وDIFC وADGM
في الإمارات يسري المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية، بينما يطبق مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) أنظمة حماية بيانات خاصة بهما. الخبر الجيد أن أغلب المهام التقنية في الجدول السابق تخدمك في البلدين؛ ما يختلف هو النصوص القانونية وبعض التفاصيل الإجرائية، وهذا عمل محاميك في كل دولة.
وإن كان مشروعك جديدًا، فبناء هذه المتطلبات من اليوم الأول أرخص بكثير من إضافتها لاحقًا، وهو جزء أساسي من عملنا في تطوير المواقع.
الأسئلة الشائعة
هل يحتاج موقع صغير فيه نموذج تواصل فقط إلى الالتزام بنظام حماية البيانات الشخصية؟
نعم في الغالب، لأن الاسم ورقم الجوال والبريد بيانات شخصية. لكن الالتزام في هذه الحالة بسيط: سياسة خصوصية واضحة، وإشعار قصير تحت النموذج، وطلب الحد الأدنى من البيانات، وتخزين آمن، ومدة احتفاظ محددة ثم حذف. لا تحتاج أنظمة معقدة، بل وضوحًا ومسؤولًا يتابع.
ما الذي يجب أن تتضمنه سياسة الخصوصية للموقع في السعودية؟
الجهة المسؤولة ووسيلة التواصل معها، والبيانات التي تجمعها ومصدرها، والغرض من كل نوع، والجهات التي تشاركها معها، وما إذا كانت تُنقل خارج المملكة، ومدة الاحتفاظ، وحقوق صاحب البيانات وطريقة طلبها. والأفضل أن يصوغها محامٍ اعتمادًا على جرد فعلي لبيانات موقعك.
هل يمنع النظام استضافة موقعي خارج السعودية؟
النظام لا يمنع ذلك بشكل مطلق، لكنه يضع شروطًا على نقل البيانات الشخصية خارج المملكة. اعرف أين يخزن كل مزود بياناتك، سواء الاستضافة أو البريد أو التحليل أو الرسائل، واحتفظ باتفاقية معالجة بيانات، وراجع مع محاميك مدى انطباق الشروط على حالتك قبل الاختيار النهائي.
ماذا أفعل إذا تسربت بيانات عملاء موقعي أو تطبيقي؟
احتوِ المشكلة فورًا بإيقاف الثغرة أو الحساب المخترق، ثم قيّم البيانات المتأثرة وعدد الأشخاص، وأبلغ الجهة المختصة وأصحاب البيانات وفق ما يتطلبه النظام، مع التحقق من المهلة الحالية لدى سدايا. بعدها أصلح السبب الجذري، ووثّق ما حدث، وحدّث خطة الاستجابة.
اجعل الخصوصية جزءًا من البناء
إذا كنت تبني موقعًا أو تطبيقًا جديدًا في السعودية، أو تريد مراجعة ما لديك قبل أن يطلبها منك عميل أو جهة، أرسل لنا وصف نظامك والبيانات التي يجمعها، وسنحول متطلبات الخصوصية إلى قائمة مهام تقنية واضحة يمكن تنفيذها على مراحل.
