ماذا تعلّمنا قرارات سدايا عن مخالفات حماية البيانات الشخصية؟

خلفية: ما الذي أُعلن؟

أعلنت الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» أن لجان النظر في مخالفات أحكام نظام حماية البيانات الشخصية ولوائحه أصدرت عدداً من القرارات بعد ثبوت المخالفات، تضمنت غرامات مالية وإنذارات، بناءً على اختصاصها بموجب المادة السادسة والثلاثين من النظام 1عكاظ، يونيو 2026. ونشرت صحيفة المدينة الإعلان نفسه 3المدينة، يونيو 2026.

وقبل ذلك، أشار تحليل نشرته A&O Shearman في يناير 2026 إلى أن لجان التطبيق أصدرت 48 قراراً خلال العام السابق، وفق تقارير صحفية سعودية، شملت جمع البيانات ومعالجتها دون أساس نظامي صحيح، والإفصاح عنها دون مسوغ، والتقصير في الضمانات التنظيمية والتقنية، وإرسال رسائل ترويجية دون الموافقة المطلوبة 2A&O Shearman (تحليل قانوني)، يناير 2026.

الدرس الأول: الموافقة على التسويق ليست تفصيلاً

كانت معالجة البيانات الشخصية لأغراض التسويق المباشر دون موافقة صريحة من صاحب البيانات في مقدمة المخالفات المعلنة 1عكاظ، يونيو 2026. ويكثر هذا الخطأ في برامج الولاء، وقوائم العملاء المستوردة، والرسائل النصية الترويجية.

ما الذي تفعله المنشأة؟ افصلوا موافقة التسويق عن الموافقة على الخدمة، واحفظوا دليلاً على كل موافقة، واجعلوا سحبها سهلاً بالقدر نفسه.

الدرس الثاني: سرعة الاستجابة لطلبات أصحاب البيانات

عوقبت جهات على عدم تبني الوسائل التقنية والإدارية والتنظيمية التي تضمن سرعة الاستجابة لطلبات أصحاب البيانات 1عكاظ، يونيو 2026. أي أن المشكلة لم تكن في رفض الطلب، بل في غياب النظام الذي يضمن التعامل معه.

ما الذي تفعله المنشأة؟ قناة واحدة معلنة للطلبات، وسجل لكل طلب وتاريخه، ومسؤول محدد، ومدة داخلية للرد.

الدرس الثالث: مهلة الإشعار بالتسرب قصيرة جداً

من المخالفات المعلنة عدم إشعار الهيئة بحوادث تسرب البيانات الشخصية خلال المدة النظامية المحددة بـ72 ساعة من تاريخ العلم بالحادثة 1عكاظ، يونيو 2026. ثلاثة أيام تمر بسرعة عندما يكون الفريق منشغلاً بفهم ما حدث واحتوائه.

ما الذي تفعله المنشأة؟ إجراء مكتوب يحدد من يقرر، ومن يجمع المعلومات، ومن يتواصل مع الهيئة، ونموذج إشعار جاهز، وتمرين دوري.

استخدموا الأداة التالية لتروا كيف تتوزع المهلة من لحظة العلم بالحادثة.

الدرس الرابع: الضمانات التنظيمية والتقنية

شملت المخالفات عدم اتخاذ الإجراءات والوسائل التنظيمية والإدارية والتقنية الكفيلة بالمحافظة على البيانات الشخصية 1عكاظ، يونيو 2026. والضمانات هنا لا تعني التقنية وحدها، بل تشمل السياسات، وتدريب الموظفين، وحصر الصلاحيات، ومراجعة مزودي الخدمات.

ما الذي تفعله المنشأة؟ مراجعة دورية للصلاحيات، وتدريب قصير ومتكرر للموظفين الذين يتعاملون مع البيانات، وتشفير الملفات الحساسة عند الإرسال والتخزين.

الدرس الخامس: مسؤول حماية البيانات

عوقبت جهات على عدم تعيين مسؤول لحماية البيانات الشخصية رغم انطباق حالات تعيينه وفقاً للنظام 1عكاظ، يونيو 2026.

ما الذي تفعله المنشأة؟ تحققوا مع مستشاركم القانوني من انطباق حالات التعيين، ووثّقوا نتيجة التحقق، وإن كان التعيين واجباً فحددوا صلاحيات المسؤول وعلاقته بالإدارات الأخرى.

ماذا تقول هذه القرارات مجتمعة؟

يلاحظ تحليل A&O Shearman أن اتساع نطاق المخالفات يدل على أن التطبيق لا يقتصر على مخالفات تقنية معزولة، بل يمتد إلى الالتزامات الأساسية: الموافقة، والأمن، وممارسات التسويق 2A&O Shearman (تحليل قانوني)، يناير 2026. ويضيف التحليل أن أكثر وسائل التخفيف فاعلية هو إطار التزام واضح يمكن إثباته، يقوم على توثيق أنشطة المعالجة وأسسها النظامية وتدابير الأمن المناسبة 2A&O Shearman (تحليل قانوني)، يناير 2026.

ومن المفيد أن تُعرض نتيجة هذه المراجعة على الإدارة العليا في صفحة واحدة: البند، والوضع الحالي، والفجوة، والمالك، والموعد المستهدف. هذه الصفحة تحوّل الالتزام من شعور عام بالاطمئنان إلى خطة يمكن متابعتها وقياس تقدمها.

ما الذي يعنيه ذلك لمنتجات البيانات؟

أي منتج يعتمد على بيانات الأفراد، كبرامج العافية المالية أو المؤشرات الائتمانية أو برامج الولاء، يحتاج إلى أن تُبنى فيه الخصوصية منذ التصميم: موافقة صريحة ومحددة الغرض، وأقل قدر من البيانات، ومخرجات مجمّعة أو محددة بدلاً من البيانات الخام، وسجل واضح لكل مشاركة.

تنبيه

هذه الدراسة قراءة عامة لما أعلنته المصادر المذكورة، ولا تتضمن تفاصيل قرارات بعينها أو أسماء جهات، ولا تغني عن مراجعة النظام ولوائحه واستشارة قانونية متخصصة.