مسؤول حماية البيانات الشخصية: متى يلزمك تعيينه؟

في 29 يونيو 2026 أعلنت لجان النظر في مخالفات نظام حماية البيانات الشخصية لدى سدايا صدور قرارات بغرامات وإنذارات على عدد من الجهات. ومن المخالفات التي سمّتها صراحةً: عدم الالتزام بتعيين مسؤول لحماية البيانات الشخصية رغم انطباق حالات تعيينه.

أغلب الشركات الخاصة التي نتحدث معها تفترض أن هذا المنصب شأن الجهات الحكومية والبنوك. النص لا يقول ذلك. من الحالات الثلاث التي توجب التعيين، حالتان تنطبقان على أي شركة خاصة يقوم عملها على البيانات، ومن أمثلتها التي ذكرتها سدايا بنفسها: ملفات تعريف الارتباط، وتتبع الموقع، وكاميرات المراقبة.

هذه المقالة تقرأ نصين فقط: المادة الثانية والثلاثين من اللائحة التنفيذية للنظام، و«قواعد تعيين مسؤول حماية البيانات الشخصية» التي نشرتها سدايا في 27 أغسطس 2024. ثم تطبّقهما على خمس منشآت.

الحالات الثلاث كما وردت في النص

تنص الفقرة (1) من المادة الثانية والثلاثين من اللائحة التنفيذية، وتكررها المادة الخامسة من القواعد، على أن جهة التحكم تعيّن أو تحدد شخصاً أو أكثر مسؤولاً عن حماية البيانات الشخصية في أي من الحالات الآتية:

لاحظ أن معيار «النطاق الواسع» بعناصره الخمسة (عدد أصحاب البيانات، وحجمها، ونوعها، ونطاقها الجغرافي، وتنوع فئاتهم) مرتبط بالحالة (أ) وحدها، أي بالجهات العامة. الشركة الخاصة لا تُلزم بسبب حجم قاعدة عملائها، بل بسبب طبيعة نشاطها: مراقبة أو بيانات حساسة. شركة لديها مليون عميل قد لا تكون ملزمة، وعيادة صغيرة قد تكون.

الاختبار الأول: هل المعالجة نشاطك الأساسي؟

الكلمة التي تفصل في الحالتين (ب) و(ج) هي «الأنشطة الأساسية». تعرّفها القواعد بأنها الأنشطة التي تجريها جهة التحكم لتحقيق أهدافها الرئيسية، ثم تعطي اختباراً عملياً: يُعد النشاط أساسياً إذا لم تتمكن الجهة من تقديم منتجاتها أو خدماتها دون معالجة البيانات الشخصية.

والأمثلة التي ذكرتها القواعد:

• شركات التأمين التي تعالج البيانات الصحية لتقديم التأمين الصحي.
• الشركات المالية التي تعالج البيانات الائتمانية لعملائها لتقديم منتجات التمويل.
• شركات التسويق التي تعالج البيانات الشخصية لأغراض التسويق.

وفي الاتجاه المعاكس، تنص القواعد صراحةً على أن الأنشطة الداعمة لا تُعد أساسية، ومثالها معالجة بيانات الموظفين في إدارة الموارد البشرية. فكشف الرواتب وملفات الإقامات وسجلات التأمينات لا توجب وحدها تعيين مسؤول، حتى لو كان لديك مئات الموظفين.

الاختبار الثاني: ما الذي يُعد مراقبة منتظمة وممنهجة؟

القواعد تعرّف الكلمتين بدقة:

• منتظمة: إذا كانت مستمرة، أو تحدث على فترات محددة، أو بشكل دوري.
• ممنهجة: إذا تمت عبر أنظمة تقنية، أو وفق منهجية محددة، أو كجزء من خطة عامة لجمع البيانات.

ثم تذكر أمثلة يصعب أن تفلت منها شركة رقمية:

1. جمع بيانات الصحة واللياقة عبر الأجهزة القابلة للارتداء.
2. استخدام تقنيات التحليل السلوكي لأغراض تقييم المخاطر.
3. تتبع الموقع، وملفات تعريف الارتباط، وكاميرات المراقبة.

أي نظام تقني يجمع بيانات بشكل مستمر يحقق الشرطين معاً. يبقى السؤال الوحيد: هل هذه المراقبة جزء من نشاطك الأساسي أم أداة مساندة له؟

الفخ الذي يقع فيه كثيرون: البيانات الائتمانية ليست «حساسة»

تعرّف المادة الأولى من النظام البيانات الحساسة في الفقرة (11): الأصل العرقي أو الإثني، والمعتقد الديني أو الفكري أو السياسي، والبيانات الأمنية والجنائية، والسمات الحيوية التي تحدد الهوية، والبيانات الوراثية، والبيانات الصحية، والبيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما.

البيانات الائتمانية غير مذكورة في هذه القائمة. لها تعريف مستقل في الفقرة (15). لذلك فإن شركة التمويل لا تدخل الحالة (ج) لمجرد أنها تعالج بيانات ائتمانية. لكنها تقترب من الحالة (ب) إذا كانت تقيّم المخاطر بالتحليل السلوكي، وهذا مثال منصوص عليه حرفياً في القواعد. أي أن النتيجة غالباً واحدة، لكن الطريق إليها مختلف، والفرق مهم عند توثيق القرار أمام سدايا.

خمس منشآت، خمس إجابات

السطر الأخير هو الأكثر حاجة للحذر. القواعد ذكرت الكاميرات مثالاً على المراقبة، ولم تقل صراحةً إن الكاميرات الأمنية في منشأة صناعية نشاط داعم. استنتاجنا مبني على اختبار «هل تستطيع تقديم منتجك دونها؟»، وليس على نص صريح. وفي مثل هذه الحالة، وفّرت سدايا على منصة حوكمة البيانات الوطنية أداة استرشادية للتعرف على مدى إلزامية تعيين مسؤول حماية البيانات. استخدمها واحتفظ بنتيجتها مع تاريخها.

إذا كنت ملزماً: ما الذي يعنيه التعيين فعلاً

التعيين ليس اسماً في الهيكل التنظيمي. القواعد تحدد ما يلي:

الشروط في الشخص (المادة الرابعة): مؤهل علمي مناسب وخبرة في حماية البيانات، ومعرفة بإدارة المخاطر بما فيها إدارة حوادث التسرب، ومعرفة بالمتطلبات النظامية، والنزاهة وعدم الإدانة بجريمة مخلة بالشرف والأمانة. ويجوز أن يكون موظفاً لديك أو متعاقداً خارجياً.

التوثيق (المادتان السادسة والسابعة):

1. التعيين يكون كتابياً. إن كان موظفاً يُوثَّق، وإن كان خارجياً تُبرم معه اتفاقية.
2. يُعلَن داخل المنشأة فوراً مع وسيلة التواصل معه.
3. تتاح وسيلة تواصل واضحة وسهلة لأصحاب البيانات.
4. تُرسَل بيانات التواصل إلى سدايا فور التعيين عبر منصة حوكمة البيانات الوطنية، وتُحدَّث عند تغيير الشخص.

الاستقلالية (المادة التاسعة): لا يُكلَّف بمهام تتعارض مع دوره أو تمس استقلاليته، ويرتبط تنظيمياً بمكتب إدارة البيانات إن وُجد، وإلا بأي إدارة أخرى مع حفظ هذه الاستقلالية. ويجب تمكينه بالموارد اللازمة ودعمه في التدريب والشهادات المهنية.

المهام: هنا يظهر ما إذا كانت أنظمتك جاهزة

تعدد الفقرة (3) من المادة الثانية والثلاثين مهام المسؤول، ومنها:

• العمل كمسؤول اتصال مباشر مع سدايا وتنفيذ قراراتها.
• الإشراف على تقويم الأثر وتقارير المراجعة والتدقيق.
• تمكين أصحاب البيانات من حقوقهم والرد على طلباتهم وعلى الشكاوى.
• إشعار سدايا بحوادث تسرب البيانات الشخصية.
• متابعة قيد وتحديث سجلات أنشطة معالجة البيانات الشخصية.
• معالجة المخالفات داخل المنشأة واتخاذ الإجراءات التصحيحية.

مهمتان من هذه القائمة لا يستطيع أي شخص، مهما كانت كفاءته، أن يؤديهما دون أنظمة تدعمه:

الإشعار خلال 72 ساعة. المادة الرابعة والعشرون من اللائحة توجب إشعار سدايا خلال مدة لا تتجاوز 72 ساعة من وقت العلم بالحادثة، مع وصفها ووقت وقوعها ووقت العلم بها، وفئات وأعداد أصحاب البيانات المتأثرين. المسؤول الذي لا يملك سجلاً يحدد متى عُلم بالحادثة لا يستطيع إثبات أنه التزم بالمهلة. احسب مهلتك الفعلية بـحاسبة مهلة الإبلاغ عن تسريب البيانات.

سجل أنشطة المعالجة. المادة الثالثة والثلاثون توجب سجلاً مكتوباً ودقيقاً ومحدّثاً، يتضمن بيانات المسؤول نفسه وأغراض المعالجة وفئات البيانات ومدد الاحتفاظ، ويُحتفظ به طوال المعالجة وخمس سنوات بعد انتهائها، ويُتاح لسدايا عند الطلب. هذا السجل في أغلب الشركات جدول بيانات كتبه شخص غادر قبل سنة.

للفرق التقنية التي تبني هذه الأنظمة، يشرح درس الاستعداد لإشعار التسرب بناء جرد البيانات وسجل الحوادث بالكود.

إن لم تكن ملزماً اليوم

القواعد لا تتركك هنا. المادة التاسعة توجب على كل جهة تحكم مراجعة أحوال التعيين بشكل دوري، وما إذا كان التعيين أصبح أو قد يصبح إلزامياً. منتج جديد يعتمد على تتبع الموقع، أو خدمة صحية تضيفها، يغيّر الإجابة.

وتجيز المادة نفسها لجهة التحكم أن تتحقق من وجود مسؤول حماية بيانات لدى جهة المعالجة التي تتعاقد معها، أو أن تطلب تعيينه. إن كنت تقدم خدمة رواتب أو مركز اتصال أو منصة سحابية لعملاء ملزمين، فتوقع هذا السؤال في العقد القادم.

كم يكلف التجاهل

المادة السادسة والثلاثون من النظام تعاقب الشخص الطبيعي أو الاعتباري الخاص المخالف لأي من أحكام النظام أو لوائحه بالإنذار أو بغرامة لا تزيد على خمسة ملايين ريال، ويجوز مضاعفة الغرامة عند التكرار حتى ضعف هذا الحد. وقرارات يونيو 2026 تثبت أن اللجان تنظر في هذه المخالفة تحديداً. التفاصيل الكاملة للعقوبات في مقالتنا عن عقوبات نظام حماية البيانات الشخصية ومهلة 72 ساعة، وإن كنت ترسل بيانات العملاء إلى نماذج ذكاء اصطناعي خارج المملكة فاقرأ أيضاً نقل البيانات الشخصية خارج المملكة عبر واجهات الذكاء الاصطناعي.

ما تفعله هذا الشهر

1. اكتب نشاطك الأساسي في سطر واحد، ثم اسأل: هل أستطيع تقديمه دون بيانات شخصية؟
2. حصر أنظمة المراقبة: ملفات تعريف الارتباط وأدوات التحليل، وتتبع الموقع في التطبيق، والكاميرات، وأي تقييم آلي للعملاء. لكل منها: هل هو الخدمة أم أداة مساندة؟
3. حصر البيانات الحساسة حسب الفقرة (11) حرفياً، لا حسب الانطباع.
4. شغّل أداة سدايا الاسترشادية واحفظ النتيجة مؤرخة.
5. إن كنت ملزماً: عيّن كتابياً، وأعلن داخلياً، وسجّل في منصة حوكمة البيانات الوطنية في اليوم نفسه.
6. ابنِ ما يحتاجه المسؤول ليعمل: سجل أنشطة المعالجة، وسجل حوادث يثبت وقت العلم.

الخلاصة

مسؤول حماية البيانات ليس شرطاً للجهات الكبيرة. هو شرط للجهات التي يقوم عملها على مراقبة الناس أو على بياناتهم الحساسة، مهما كان حجمها. والسؤال الذي ستطرحه سدايا لن يكون «هل لديكم مسؤول؟» فقط، بل «هل يستطيع أن يثبت متى علم بالحادثة، وما الذي تعالجونه ولماذا؟».

إن كانت بياناتك الشخصية موزعة على نظام الموارد البشرية والمتجر والتطبيق وأدوات التسويق دون سجل واحد يجمعها، فهذا تحديداً ما نبنيه: طبقة تقرأ هذه الأنظمة وتنتج سجل أنشطة المعالجة وسجل الحوادث الذي يحتاجه مسؤول حماية البيانات. ابدأ بجلسة تشخيص قصيرة نحدد فيها أي الحالات الثلاث تنطبق على منشأتك وأين تقع بياناتك: تواصل معنا.

المصادر: قواعد تعيين مسؤول حماية البيانات الشخصية، سدايا، منشورة في 27 أغسطس 2024 (dgp.sdaia.gov.sa، المركز المعرفي). اللائحة التنفيذية لنظام حماية البيانات الشخصية، المواد 24 و32 و33. نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي م/19 والمعدل بالمرسوم م/148، المادتان 1 و36. خبر قرارات لجان النظر في المخالفات، صحيفة عاجل، 29 يونيو 2026.