تريد الجهة التنظيمية للبيانات في السعودية تعديل القواعد مرة أخرى. طرحت سدايا مشروع تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية على منصة استطلاع، وتذكر جريدة أم القرى الرسمية أن تلقي المرئيات ينتهي في 5 نوفمبر 2026. يكتفي خبر الجريدة بجملة عن الهدف: توضيح الإجراءات والضوابط بما يمكّن الجهات والأفراد المخاطبين بالنظام من الالتزام به فعلًا.
التفاصيل موجودة في مذكرة Clyde & Co بتاريخ 8 أكتوبر التي تستعرض المشروع مادة مادة. ثلاثة من التعديلات تصيب مباشرة الأنظمة التي تحمل أكبر قدر من البيانات الشخصية في الشركة المعتادة وتلقى أقل اهتمام: مكتب الدعم (help desk) وخادم البريد.
ما الذي يغيّره المشروع
كل ما يلي مشروع قابل للتغيير بعد الاستطلاع، وتقول Clyde & Co إنه سيسري بعد 60 يومًا من نشره في الجريدة الرسمية إن اعتُمد. النقاط المهمة لفرق تقنية المعلومات والدعم، بحسب المذكرة نفسها:
| الموضوع | القاعدة في المشروع |
|---|---|
| التخزين (المادة 23) | يحفظ جهة التحكم البيانات الشخصية داخل المملكة، ويبقى النقل والإفصاح إلى الخارج ممكنًا وفق قواعد النقل القائمة في النظام. |
| إشعار سدايا بالتسرب (المادة 24) | خلال 72 ساعة من العلم بالتسرب أو الضرر أو الوصول غير المصرح به، سواء كان الضرر محتملًا أم لا. أما إشعار أصحاب البيانات فيبقى مرتبطًا بتقييم الضرر. |
| طلبات سدايا (المادة 36 مكرر) | الرد خلال 20 يوم عمل من الاستلام، مع إمكان التمديد بتقدير سدايا عند تقديم مبرر. |
| طلبات أصحاب البيانات (المادة 3) | عدم الرد خلال مهلة 30 يومًا يعني اعتبار الطلب مرفوضًا، ويحق لصاحب البيانات الشكوى إلى سدايا. |
| السجل الوطني لجهات التحكم (المادة 34) | يصبح التسجيل إلزاميًا للجهات العامة، ومن يكون نشاطه الأساسي معالجة البيانات الشخصية، ومن يعالج بيانات حساسة، ومن ينقل البيانات خارج المملكة. |
| التسويق (المادتان 28 و29) | الاحتفاظ بدليل الموافقة، وإتاحة وسيلة واضحة لسحبها، وعند السحب إيقاف المعالجة وإتلاف البيانات دون تأخير غير مبرر. |
التخزين المحلي: أين النسخة الأساسية من تذاكرك؟
تناولنا مادة النقل الحالية في مقالنا السابق عن مكان بيانات مكتب الدعم في قانوني الإمارات والسعودية، وخلاصته أن استضافة التذاكر في الخارج كانت مسموحة مع بعض الأوراق. المشروع يقلب القاعدة: التخزين داخل المملكة هو الأصل، وآليات النقل استثناء عليك تبريره.
لمكتب دعم سحابي مستضاف في فرانكفورت أو فيرجينيا يظهر سؤال بسيط يجب أن يجيب عنه المورّد في رسالة واحدة: هل لديكم منطقة سعودية، وهل مخزن المرفقات هناك أيضًا أم قاعدة البيانات فقط؟ صور الهويات والملاحظات الطبية تكون في المرفقات. والسؤال نفسه ينطبق على صناديق البريد والنسخ الاحتياطية وفهرس البحث الذي يبنيه نظام البريد أو التذاكر بجانبه.
مهلة 72 ساعة بلا اختبار ضرر
اليوم تقرر جهة التحكم أولًا إن كان التسرب يحتمل أن يسبب ضررًا قبل أن تُلزم بإشعار سدايا. المشروع يلغي هذا الاختبار في إشعار الجهة التنظيمية. إذا دخل أحدهم حساب موظف دعم من بلد غير معروف وقرأ التذاكر طوال فترة بعد الظهر، فالحالة مشمولة، سواء نُسخ شيء أم لا.
الصعب في الـ72 ساعة نادرًا ما يكون كتابة الإشعار، بل الإجابة بسرعة عن سؤال «ماذا رأوا؟». يحتاج ذلك إلى ثلاثة أمور تكتشف معظم الفرق غيابها يوم الحادثة:
- سجل وصول على التذاكر والصناديق يسجل القراءة وليس التعديل فقط، ويمكن البحث فيه بحسب الحساب والفترة الزمنية.
- شخص محدد يملك الإشعار. والمشروع يوسّع دور مسؤول حماية البيانات ويضع إشعارات التسرب ضمن مهامه.
- قرار مسبق بشأن من يرى أي قائمة انتظار. مكتب الدعم الذي يفتح فيه كل موظف كل التذاكر يحوّل كلمة مرور مسروقة واحدة إلى تسرب للأرشيف كله.
مهل يجب أن تلتزم بها قائمة الدعم
مهلتان من المهل الجديدة مسألة طوابير أكثر منها مسألة قانونية: طلب صاحب البيانات الذي يبقى 30 يومًا دون رد يُعد مرفوضًا، وطلب سدايا يحتاج ردًا خلال 20 يوم عمل. إذا وصلت هذه الطلبات بالبريد إلى صندوق مشترك فستضيع خلف شكاوى التوصيل. خصص لها نوع طلب مستقلًا ومسؤولًا وموعدًا محسوبًا بأيام العمل وفق التقويم السعودي، فتُحتسب عطلة الجمعة والسبت والإجازات الرسمية تلقائيًا.
تعديلات التسويق تسير في الاتجاه نفسه: «لدينا علاقة سابقة» لم تعد كافية وحدها، فعليك إثبات الموافقة وتنفيذ السحب بحذف البيانات، أي أن قائمة النشرة البريدية ونظام CRM يجب أن يتفقا على من قال «لا».
ماذا تفعل قبل 5 نوفمبر
- اقرأ المشروع على استطلاع وأرسل مرئياتك إن كان بند ما سيعطل طريقة عملك، فهذه أرخص مرحلة لفعل ذلك.
- اكتب قائمة بكل نظام يخزن بيانات شخصية عن أشخاص في المملكة ومكان نسخته الأساسية ومرفقاته ونسخه الاحتياطية فعليًا.
- تحقق إن كان نظام التذاكر والبريد يسجل القراءة، وجرّب استخراج نشاط حساب واحد في يوم محدد.
- أنشئ نوع طلب لطلبات أصحاب البيانات والجهة التنظيمية بمواعيد محسوبة بأيام العمل.
- تحقق إن كنت ضمن إحدى فئات التسجيل الإلزامي، خاصة إذا كانت أي بيانات تخرج من المملكة.
رأينا: إن أصبح التخزين المحلي هو القاعدة، فأسهل مكتب دعم يمكن الدفاع عنه هو الذي يعمل على خادم تختاره بنفسك. FanDesk قابل للاستضافة الذاتية عبر Docker ويحسب مواعيد SLA وفق تقويم عمل حقيقي، وهذا يغطي مهل أيام العمل أعلاه. لكنه لا يجعل أحدًا ممتثلًا وحده، فالسجلات وقواعد الوصول وعمل مسؤول حماية البيانات تبقى عليك. وللسبب نفسه تحتفظ فرق كثيرة ببريدها على خوادمها، كما كتبنا في لماذا ما زال البريد المستضاف ذاتيًا منطقيًا في 2026.
هذا ليس استشارة قانونية. لحالتك الخاصة استشر محاميًا يعمل على نظام حماية البيانات الشخصية يوميًا.
الأسئلة الشائعة
هل تعديلات نظام حماية البيانات الشخصية نافذة؟
لا. هي مشروع مطروح للاستطلاع على منصة استطلاع حتى 5 نوفمبر 2026 بحسب أم القرى، وإن اعتُمد يسري بعد 60 يومًا من نشره في الجريدة الرسمية وفق Clyde & Co.
هل يمنع المشروع تخزين البيانات الشخصية السعودية في الخارج؟
يجعل التخزين داخل المملكة هو الأصل، ويبقى النقل والإفصاح إلى الخارج ممكنًا وفق النظام وآليات النقل القائمة. توقّع أن تحتاج إلى توثيق سبب وجود كل نسخة خارجية.
ما التسربات التي يجب الإبلاغ عنها خلال 72 ساعة؟
وفق المشروع، يجب إبلاغ سدايا بأي تسرب أو ضرر أو وصول غير مصرح به خلال 72 ساعة من العلم به، سواء كان الضرر محتملًا أم لا. ويبقى إشعار الأفراد مرتبطًا بتقييم الضرر.
كيف يؤثر ذلك على مكتب الدعم؟
التذاكر تحمل غالبًا صور هويات وأرقام هواتف وملاحظات صحية، لذا يقع مكتب الدعم تحت التغييرات الثلاثة الرئيسية: مكان التخزين، وسرعة الإبلاغ عن الوصول غير المصرح به، ومهلتي 30 يومًا و20 يوم عمل.
