البحرين، السعودية
خدمات الامتثال لنظام حماية البيانات الشخصية في السعودية
امتثال عملي لنظام حماية البيانات الشخصية ولائحته التنفيذية وقواعد الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، مع فريقنا في الدمام: من حصر بياناتك الشخصية إلى التسجيل والجاهزية لحوادث التسرب ونقل البيانات خارج المملكة.
النظام في لمحة
- م/19
- المرسوم الملكي بتاريخ 9/2/1443هـ الذي صدر به النظام، والمعدَّل بالمرسوم الملكي م/148 بتاريخ 5/9/1444هـ
- 72 ساعة
- لإبلاغ سدايا عن حادثة تسرب بيانات شخصية قد تسبب ضررًا
- 30 يومًا
- للرد على طلب صاحب البيانات، قابلة للتمديد 30 يومًا أخرى مع الإشعار
- 5 ملايين ريال
- الحد الأقصى للغرامة عن المخالفة، ويجوز مضاعفتها عند التكرار
على من ينطبق النظام
الجهات داخل المملكة
الجهات العامة والخاصة التي تعالج بيانات شخصية في المملكة العربية السعودية.
الجهات خارج المملكة
أي جهة خارج المملكة تعالج بيانات شخصية تتعلق بأفراد مقيمين في المملكة بأي وسيلة.
الأفراد
الأشخاص الذين يعالجون بيانات شخصية لأغراض تتجاوز الاستخدام الشخصي أو العائلي.
ما يتطلبه النظام
الالتزامات الأساسية على جهات التحكم بموجب نظام حماية البيانات الشخصية ولائحته التنفيذية وقواعد سدايا.
أساس نظامي للمعالجة
الموافقة هي الأساس الافتراضي، ويجوز العدول عنها في أي وقت. ويحدد النظام استثناءات محدودة منها المصلحة المشروعة، التي تتطلب تقييمًا موثقًا ولا تشمل البيانات الحساسة (المادتان 5–6، والمادة 16 من اللائحة التنفيذية).
سياسة الخصوصية والإشعارات
إتاحة سياسة الخصوصية قبل جمع البيانات الشخصية، وإبلاغ الأفراد بسبب جمعها وطريقته (المادتان 12–13).
سجلات المعالجة
الاحتفاظ بسجلات أنشطة المعالجة لمدة خمس سنوات بعد انتهاء نشاط المعالجة (المادة 31، والمادة 33 من اللائحة التنفيذية).
التسجيل لدى سدايا
يجب على الجهات العامة، والجهات التي يقوم نشاطها الرئيسي على معالجة البيانات الشخصية أو التي تعالج بيانات حساسة، التسجيل في المنصة الوطنية لحوكمة البيانات.
مسؤول حماية البيانات
تعيين مسؤول لحماية البيانات إذا كنت جهة عامة تعالج البيانات على نطاق واسع، أو تراقب الأفراد بانتظام وبشكل منهجي، أو تعالج بيانات حساسة كنشاط رئيسي (المادة 32 من اللائحة التنفيذية).
تقييم الأثر
تقييم الأثر قبل معالجة البيانات الحساسة، أو ربط مجموعات البيانات، أو المعالجة أو المراقبة على نطاق واسع، أو استخدام تقنيات جديدة أو قرارات آلية (المادة 22، والمادة 25 من اللائحة التنفيذية).
الأمن والإبلاغ عن التسرب
حماية البيانات الشخصية وإبلاغ سدايا خلال 72 ساعة من العلم بحادثة قد تسبب ضررًا، ثم إبلاغ المتأثرين دون تأخير غير مبرر (المادة 20، والمادة 24 من اللائحة التنفيذية).
النقل خارج المملكة
نقل البيانات إلى الخارج فقط إذا لم يمس الأمن الوطني، ومع مستوى حماية ملائم والحد الأدنى من البيانات، بالاعتماد على قائمة الملاءمة من سدايا أو ضمانات مثل البنود التعاقدية القياسية (المادة 29، ولائحة النقل).
الحقوق التي يجب أن تكون مستعدًا لتلبيتها
يمكن للأفراد ممارسة هذه الحقوق تجاه جهتك، وتحدد اللائحة التنفيذية مدة الرد.
| الموضوع | ما يمكن للفرد فعله | مدة الرد |
|---|---|---|
| العلم | ما يمكن للفرد فعله: معرفة المسوّغ النظامي والغرض من جمع بياناته (المادة 4) | مدة الرد: قبل جمع البيانات أو عنده |
| الوصول | ما يمكن للفرد فعله: الوصول إلى بياناته الشخصية لدى جهة التحكم (المادة 4) | مدة الرد: خلال 30 يومًا، قابلة للتمديد 30 يومًا |
| الحصول على نسخة | ما يمكن للفرد فعله: الحصول على بياناته بصيغة مقروءة وواضحة (المادة 4) | مدة الرد: خلال 30 يومًا، قابلة للتمديد 30 يومًا |
| التصحيح | ما يمكن للفرد فعله: تصحيح بياناته أو إكمالها أو تحديثها (المادة 4) | مدة الرد: خلال 30 يومًا، قابلة للتمديد 30 يومًا |
| الإتلاف | ما يمكن للفرد فعله: إتلاف البيانات التي لم تعد هناك حاجة إليها (المادة 4) | مدة الرد: خلال 30 يومًا، قابلة للتمديد 30 يومًا |
| العدول عن الموافقة | ما يمكن للفرد فعله: العدول عن الموافقة في أي وقت (المادة 5) | مدة الرد: فور العدول |
ويحق للأفراد أيضًا تقديم شكوى إلى سدايا والمطالبة بالتعويض عن الضرر المادي أو المعنوي أمام المحاكم (المادتان 34 و40).
كلفة عدم الامتثال
يجمع النظام بين عقوبات جزائية وغرامات تفرضها لجنة في سدايا.
3 ملايين ريال
الحد الأقصى للغرامة، مع السجن مدة لا تزيد على سنتين، لإفشاء البيانات الحساسة أو نشرها بقصد الإضرار أو تحقيق منفعة شخصية.
المصدر: المادة 35
5 ملايين ريال
الحد الأقصى للغرامة عن المخالفات الأخرى للنظام أو لوائحه، أو الإنذار بدلًا منها.
المصدر: المادة 36
2×
يجوز مضاعفة الغرامة عند تكرار المخالفة، بما لا يتجاوز ضعف الحد الأقصى.
المصدر: المادتان 35–36
النشر
يجوز للمحكمة الأمر بمصادرة الأموال المتحصلة من المخالفة ونشر ملخص الحكم على نفقة المخالف.
المصدر: المادة 38
كيف نوصلك إلى الامتثال
- 01
تحديد النطاق وحصر البيانات
نحصر البيانات الشخصية لديك ومسارات تدفقها ومن يتلقاها داخل المملكة وخارجها.
- 02
تقييم الفجوات
نقيس ممارساتك مقابل النظام ولائحته التنفيذية وقواعد سدايا.
- 03
التسجيل ومسؤول حماية البيانات
نتحقق مما إذا كان عليك التسجيل لدى سدايا أو تعيين مسؤول لحماية البيانات، ونجهّز المطلوب.
- 04
المعالجة
سياسة الخصوصية والإشعارات، وسجلات المعالجة، وتقييمات الأثر، وضمانات النقل، والتدابير الأمنية.
- 05
الامتثال المستمر
الجاهزية لحوادث التسرب، والتعامل مع طلبات الحقوق، والمتابعة مع تغيّر عمليات المعالجة.
الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) هي الجهة المختصة. تشرف على تطبيق النظام ولوائحه، وتحتفظ بالسجل الوطني لجهات التحكم، وتتلقى بلاغات التسرب والشكاوى.
نعم. يشمل معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة بأي وسيلة من أي جهة خارج المملكة.
البيانات التي تكشف الأصل العرقي أو القبلي، أو المعتقد الديني أو الفكري أو السياسي، أو الإدانات الجنائية والأمنية، والبيانات الحيوية أو الوراثية، والبيانات الصحية، والبيانات التي تدل على أن أحد الوالدين أو كليهما مجهول.
إبلاغ سدايا خلال 72 ساعة من العلم بحادثة قد تسبب ضررًا، وإبلاغ الأفراد المتأثرين دون تأخير غير مبرر إذا كانت قد تضر ببياناتهم أو حقوقهم.
يجب تعيينه إذا كنت جهة عامة تعالج بيانات شخصية على نطاق واسع، أو إذا كانت أنشطتك الرئيسية تتطلب مراقبة منتظمة ومنهجية للأفراد، أو إذا كانت تقوم على معالجة بيانات حساسة. ويمكن أن يكون المسؤول موظفًا أو متعاقدًا خارجيًا.
نعم، بشروط. يجب ألا يمس النقل الأمن الوطني، وأن توفر الجهة المستقبلة حماية ملائمة، وأن يقتصر على الحد الأدنى من البيانات. وتنشر سدايا قائمة بالدول الملائمة، ويمكن الاعتماد في غيرها على ضمانات مثل البنود التعاقدية القياسية، مع تقييم للمخاطر في بعض الحالات.
هما تشريعان منفصلان بجهات رقابية ومدد وعقوبات مختلفة. قانون البحرين هو القانون رقم 30 لسنة 2018. وإذا كنت تعمل في البلدين فيمكننا مساعدتك في كل منهما.
تحدّث مع فريقنا في المملكة العربية السعودية
تعمل شركة فيرتيوثينكو مع الجهات في جميع أنحاء المملكة من مكتبنا في الدمام. أخبرنا كيف تستخدم البيانات الشخصية وسنوضح لك موقعك من النظام.