نظام حماية البيانات الشخصية في السعودية هو إطار قانوني يهدف إلى حماية البيانات الشخصية للأفراد وضمان الخصوصية والأمان في جمع ومعالجة واستخدام هذه البيانات، حيث يحدد النظام مسؤوليات الجهات التي تجمع البيانات الشخصية، ويشمل متطلبات مثل الحصول على موافقة صريحة من الأفراد، توضيح الأغراض التي تستخدم من أجلها البيانات، والحفاظ على سريتها وحمايتها من التسرب أو الاستخدام غير المصرح به، كما يحدد النظام حقوق الأفراد مثل الوصول إلى بياناتهم وتصحيحها، ويحدد العقوبات المترتبة على عدم الامتثال لأحكامه.
نظام حماية البيانات الشخصية في السعودية يتضمن النقاط الرئيسية التالية التي يجب اتباعها لتحقيق الامتثال:
- إعداد وتوثيق السياسات والإجراءات: تحديد وتوثيق السياسات وإجراءات الخصوصية الخاصة بجهة التحكم واعتماد هذه السياسات من قبل المسؤول الأول ونشرها للأطراف المعنية.
- إشعار الخصوصية: إعداد إشعار يوضح الأغراض المحددة لجمع ومعالجة البيانات الشخصية و يجب أن يكون الإشعار واضحًا وصريحًا.
- الموافقة على جمع البيانات: تحديد الخيارات الممكنة لصاحب البيانات للحصول على موافقته الصريحة أو الضمنية و توضيح كيفية جمع البيانات واستخدامها والإفصاح عنها.
- الحد من جمع البيانات: جمع البيانات الشخصية بما يتوافق مع الأغراض المحددة في إشعار الخصوصية.
- تقييد معالجة البيانات: معالجة البيانات الشخصية فقط للأغراض المحددة و الاحتفاظ بالبيانات فقط للمدة اللازمة ثم إتلافها بشكل آمن.
- حق الوصول والتصحيح: توفير وسائل لصاحب البيانات للوصول إلى بياناته الشخصية ومراجعتها وتصحيحها.
- تقييد الإفصاح عن البيانات: الإفصاح عن البيانات الشخصية للأطراف الخارجية يجب أن يتماشى مع الأغراض المحددة في إشعار الخصوصية.
- حماية البيانات الشخصية: حماية البيانات الشخصية من التسرب أو التلف أو الفقدان أو الاختلاس أو أي شكل من أشكال سوء الاستخدام.
- مراقبة الامتثال: تعيين مراقب بيانات لمراقبة الامتثال للسياسات وإجراءات الخصوصية ومعالجة الاستفسارات والشكاوى.
- إجراءات أمن المعلومات: تطبيق إجراءات أمن المعلومات لحماية البيانات الشخصية.
- التعامل مع خروقات البيانات: الإخطار المباشر عن أي خروقات للبيانات الشخصية.
- نقل البيانات الشخصية: حماية البيانات الشخصية عند نقلها إلى الخارج وفقًا للشروط المحددة في النظام.
- إدارة التعاقدات من الباطن: إدارة علاقات العمل مع جهات معالجة البيانات الفرعية بفعالية.
الجهات التي يجب أن نسجل فيها لتحقيق الامتثال للقانون:
- الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا): تعتبر الهيئة الجهة المسؤولة عن الإشراف على تطبيق نظام حماية البيانات الشخصية في المملكة. يجب على الجهات التي تعالج البيانات الشخصية الالتزام بإرشاداتها والتقارير لها عند الضرورة.
- مراقب البيانات: تعيين موظف مسؤول عن حماية الخصوصية في الجهة المعنية والذي يكون مسؤولاً عن مراقبة الامتثال للنظام والإجراءات الداخلية المتعلقة بحماية البيانات.
- الجهة المسؤولة عن الحماية من الاختراقات: في حالة حدوث أي خرق للبيانات، يتعين الإبلاغ عن الحادث إلى الجهات المختصة مثل “سدايا” وفقاً لما يقتضيه النظام.
الجهات التي يجب التسجيل أو الإبلاغ عنها:
- الجهة المختصة: قد تكون هناك حاجة للتسجيل أو الإبلاغ إلى جهة مختصة (قد تكون جهة حكومية معينة) تتولى مراقبة الامتثال ومراجعة الطلبات المتعلقة بنقل البيانات الشخصية.
- الجهات الرقابية: قد تتطلب بعض الحالات الإبلاغ عن المخالفات أو الخروقات للبيانات إلى جهات رقابية محددة وفقًا للقوانين واللوائح المعمول بها.
العقوبات في حالة عدم الامتثال:
- نشر بيانات حساسة: السجن حتى عامين أو غرامة تصل إلى 3 ملايين ريال سعودي.
- مخالفات أخرى: غرامة تصل إلى 5 ملايين ريال سعودي مع إمكانية مضاعفة الغرامة في حالة التكرار.
- نقل بيانات شخصية إلى الخارج: السجن حتى سنة أو غرامة تصل إلى 1 مليون ريال سعودي أو كلاهما.
