عقوبات نظام حماية البيانات الشخصية ومهلة الإبلاغ ٧٢ ساعة

في يونيو ٢٠٢٦ نشرت وكالة الأنباء السعودية خبرًا مرّ على كثير من المنشآت دون انتباه: لجان النظر في مخالفات نظام حماية البيانات الشخصية بدأت فعليًا دراسة القضايا وإيقاع العقوبات. من بين المخالفات التي ذكرتها الوكالة: عدم اتخاذ الإجراءات التنظيمية والتقنية الكفيلة بحماية البيانات، وعدم الالتزام بتعيين مسؤول لحماية البيانات.

بمعنى أوضح: انتهت مرحلة التوعية. النظام الصادر بالمرسوم الملكي رقم م/١٩ عام ١٤٤٣هـ، والنافذ منذ سبتمبر ٢٠٢٣، دخل مرحلة التطبيق الفعلي بإشراف الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). والسؤال الذي يهم صاحب المنشأة اليوم ليس «هل ينطبق عليّ النظام؟» — فهو ينطبق على أي معالجة لبيانات شخصية تتم داخل المملكة — بل «أي التزاماته أخالف الآن دون أن أدري، وكم يكلّفني ذلك؟».

خريطة العقوبات بالأرقام

النظام لا يضع عقوبة واحدة، بل سلّمًا كاملًا. هذه أهم درجاته:

لاحظ نقطتين تغيبان عادة عن النقاش:

الأولى: غرامة الـ٥ ملايين ريال ليست للتسريبات الكارثية وحدها. «باقي المخالفات» تشمل أمورًا إجرائية بحتة: سياسة خصوصية غائبة أو ناقصة، جمع بيانات دون تحديد الغرض، الاحتفاظ ببيانات لم تعد هناك حاجة إليها، أو عدم تمكين صاحب البيانات من حقوقه في الاطلاع والتصحيح والإتلاف.

الثانية: العقوبة تقع «عن كل مخالفة». منشأة تجمع البيانات في خمس نقاط — نموذج توظيف، متجر إلكتروني، برنامج ولاء، كاميرات مراقبة، نشرة بريدية — تُحاسب على كل نقطة على حدة.

مهلة الـ٧٢ ساعة: الالتزام الذي يُكتشف متأخرًا دائمًا

المادة ٢٤ من اللائحة التنفيذية تُلزم جهة التحكم بإشعار سدايا خلال ٧٢ ساعة من العلم بأي حادثة تسريب أو تلف أو وصول غير مشروع للبيانات الشخصية.

ثلاث تفاصيل تجعل هذه المادة أخطر مما تبدو:

• المهلة تبدأ من لحظة العلم، لا من لحظة الاختراق. اختراق وقع في مارس واكتُشف في أغسطس تبدأ مهلته في أغسطس. لا تكسب شيئًا بتأخير التحقق، لكنك تخسر كل شيء بتجاهل تنبيه مؤكد.
• لا حدّ أدنى لجسامة الحادثة. بخلاف النظام الأوروبي الذي يسمح بتقدير مستوى الخطر، النص السعودي لا يمنحك سلطة اعتبار التسريب «أصغر من أن يُبلَّغ عنه».
• ٧٢ ساعة تمرّ أسرع مما تتصور. الفرق التي لم تُجهّز خطة استجابة تُنفق اليوم الأول كاملًا في سؤال واحد: أي بيانات لدينا أصلًا، وأين؟

لهذا بنينا حاسبة مهلة الإبلاغ عن تسريب البيانات — أداة مجانية تعمل في متصفحك: تُدخل لحظة علمك بالحادثة وأماكن إقامة المتأثرين، فتعرض لك مهلة كل جهة رقابية معنية — سدايا، والسلطات الأوروبية إن كان بين المتأثرين مقيمون في الاتحاد الأوروبي. لا يغادر أي تفصيل جهازك.

الالتزامات التي تخالفها المنشآت دون أن تدري

من واقع القضايا التي نظرتها اللجان والمتطلبات التي تدقق فيها سدايا، هذه أكثر الفجوات شيوعًا لدى المنشآت الصغيرة والمتوسطة:

سجل أنشطة المعالجة. النظام يفترض أنك تعرف أي بيانات تجمع، ولماذا، وأين تُخزّن، ومن يصل إليها. أغلب المنشآت لا تملك هذه الإجابة مكتوبة في أي مكان — وهي أول ما يُطلب عند أي تحقيق.

تعيين مسؤول حماية البيانات. وردت صراحة ضمن المخالفات التي عاقبت عليها اللجان. التعيين لا يعني بالضرورة توظيفًا جديدًا، لكنه يعني اسمًا محددًا يتحمل المسؤولية.

النقل خارج المملكة. كل خدمة سحابية أجنبية، وكل واجهة برمجية خارجية، وكل نموذج ذكاء اصطناعي يستضيفه طرف خارج المملكة — نقلٌ للبيانات يخضع للمادة ٢٩ وضوابطها. شرحنا هذه الزاوية بالتفصيل في مقال الذكاء الاصطناعي ونقل البيانات عبر الحدود وفق النظام السعودي، لأن أكثر المخالفات حداثةً تأتي من هنا: فريق يربط نظامه بواجهة نموذج لغوي في الخارج دون أن يدرك أنه ينقل بيانات عملائه عبر الحدود.

أمن البيانات نفسه. «عدم اتخاذ الإجراءات التقنية الكفيلة بالحماية» مخالفة مستقلة. وإذا لم تُجرِ منشأتك تقييمًا أمنيًا حقيقيًا من قبل، فابدأ بفهم المخاطر الأمنية الشائعة لدى المنشآت الصغيرة وكيف تُدقّق عليها.

ماذا تفعل هذا الأسبوع

خمس خطوات عملية، مرتبة بحسب الأثر:

1. ارسم خريطة بياناتك. جدول واحد: ما البيانات، من أين تُجمع، أين تُخزن، من يصل إليها، ومتى تُتلف. هذا هو سجل أنشطة المعالجة في صورته الأولى.
2. سمِّ مسؤول حماية البيانات. قرار إداري مكتوب، واسم يعرف أنه المسؤول.
3. احصر مسارات النقل الخارجي. كل مزوّد سحابي وكل واجهة برمجية خارجية: هل تمر عبرها بيانات شخصية؟ وما أساس النقل وفق المادة ٢٩؟
4. جهّز خطة استجابة للتسريب قبل الحاجة إليها. من يقرر، ومن يُبلغ سدايا، وأين نموذج الإشعار — واختبر المهلة عمليًا على الحاسبة أعلاه.
5. راجع سياسة الخصوصية. هل تذكر الغرض من كل نوع بيانات تجمعه فعلًا؟ الفجوة بين ما تقوله السياسة وما تفعله الأنظمة مخالفة قائمة بذاتها.

الفجوة عادةً في الأنظمة، لا في النوايا

أغلب المنشآت التي تُخالف النظام لا تفعل ذلك عمدًا؛ بل لأن بياناتها موزعة على أنظمة لا يعرف أحد خريطتها الكاملة: متجر إلكتروني هنا، نظام محاسبة هناك، جداول بيانات متناثرة، وواجهات خارجية أُضيفت عبر السنين.

هذا تحديدًا ما نعمل عليه في نقطة: نرسم خريطة تدفق البيانات في أنظمتك، ونحدد أين تقف اليوم من التزامات النظام، ونؤتمت ما يمكن أتمتته — من سجل المعالجة إلى مسار التدقيق. إن أردت أن تعرف موقع منشأتك من هذه الالتزامات قبل أن تعرفه من خطاب رسمي، احجز جلسة تشخيص مجانية نراجع فيها معك خريطة بياناتك ونقاط التعرض الأعلى كلفة.