حماية البيانات الشخصية في النظام السعودي: نظام حماية البيانات الشخصية الجديد

أبرز ما يتناوله هذا المقال

• تعريف البيانات الشخصية ونطاق سريان النظام.
• حقوق صاحب البيانات الشخصية (الوصول — التصحيح — الإتلاف).
• التزامات جهة التحكم في البيانات.
• أحكام نقل البيانات إلى خارج المملكة.
• العقوبات المقررة لمخالفة النظام.

أولاً: تعريف البيانات الشخصية ونطاق النظام

عرّف نظام حماية البيانات الشخصية «البيانات الشخصية» بأنها كل بيان — مهما كان مصدره أو شكله — من شأنه أن يؤدي إلى معرفة الفرد على نحو محدد، أو يجعل التعرف عليه ممكناً بصورة مباشرة أو غير مباشرة، بما في ذلك: الاسم، ورقم الهوية، والعناوين، وأرقام التواصل، وأرقام الحسابات البنكية، والصور، والبيانات الحيوية، وبيانات الموقع الجغرافي.

أما نطاق سريان النظام فيشمل كل عملية معالجة للبيانات الشخصية تتم داخل المملكة — بما في ذلك معالجة بيانات المقيمين فيها. كما يسري النظام على أي جهة تحكم خارج المملكة تعالج بيانات شخصية تتعلق بأفراد داخل المملكة — وهو ما يُضفي على النظام صفة «النطاق الموسع» ويجعله قريباً في فلسفته من اللائحة الأوروبية العامة لحماية البيانات (GDPR).

ثانياً: حقوق صاحب البيانات الشخصية

أقر النظام حقوقاً أساسية لصاحب البيانات الشخصية، من أهمها: (1) الحق في العلم — بأن يكون على بينة من الأسس القانونية لجمع بياناته والغرض منه. (2) الحق في الوصول إلى بياناته الشخصية — أي الحصول على نسخة منها ومعرفة كيفية معالجتها. (3) الحق في طلب تصحيح بياناته إذا كانت غير دقيقة. (4) الحق في طلب إتلاف بياناته متى انتفت الحاجة النظامية للاحتفاظ بها. (5) حق الاعتراض على المعالجة — في أحوال معينة — لا سيما إذا كانت المعالجة لأغراض تسويقية.

ثالثاً: التزامات جهة التحكم

فرض النظام على جهة التحكم (الجهة المسؤولة عن تحديد غرض معالجة البيانات ووسائلها) التزامات صارمة — منها: تحديد الغرض من جمع البيانات مسبقاً وألا يتجاوز الغرض إلى غيره دون موافقة صريحة، والتقيد بالقدر الأدنى اللازم من البيانات لتحقيق الغرض، ووضع سياسة خصوصية واضحة ومنشورة بلغة مفهومة، واتخاذ التدابير التنظيمية والتقنية اللازمة لحماية البيانات من التسرب أو الاختراق أو التلف. كما أوجب النظام الإبلاغ الفوري عن أي تسرب للبيانات إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

رابعاً: نقل البيانات إلى خارج المملكة

نص النظام على جواز نقل البيانات الشخصية إلى خارج المملكة — أو الإفصاح عنها لجهة خارجية — بشرط ألا يمس ذلك بالأمن الوطني أو بمصالح المملكة العليا، وأن يوفر الطرف المتلقي مستوى حماية لا يقل عن الحماية المقررة في النظام السعودي. وتتولى الجهة التنظيمية المختصة (سدايا) وضع الضوابط التفصيلية لهذا النقل وإصدار التراخيص اللازمة.

أما عقوبات مخالفة النظام فتصل إلى السجن مدة لا تزيد على سنتين والغرامة بما لا يزيد على ثلاثة ملايين ريال — أو بإحدى هاتين العقوبتين — وفي الحالات الجسيمة قد تضاعف العقوبة. كما أجاز النظام للمتضرر المطالبة بالتعويض المدني عن الضرر الذي لحقه جراء المخالفة.

أسئلة شائعة