سدايا تعمم نموذج التحقق من الامتثال لنظام حماية البيانات: ما الذي يلزم شركتك الآن؟

سدايا تعمم نموذج التحقق من الامتثال لنظام حماية البيانات: ما الذي يلزم شركتك الآن؟

في مطلع يوليو 2026 بدأت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بتعميم نموذج التحقق من الامتثال لنظام حماية البيانات الشخصية (PDPL) على الجهات المسجلة كمسؤولي بيانات. النموذج ليس استبيانا شكليا، بل طلب رسمي بأن تثبت شركتك — بالمستندات والأدلة — أنها تجمع البيانات الشخصية وتعالجها وتحفظها وفق النظام. الخلاصة العملية: على كل منشأة تتعامل مع بيانات عملاء أو موظفين أن تجهز أدلتها الآن، لأن أي فجوة تظهر أثناء المراجعة قد تعرضها لعقوبات تصل إلى 5 ملايين ريال.

ما هو نموذج التحقق من الامتثال؟

هو مستند رسمي — يحمل تاريخ 7 يوليو 2026 — ترسله سدايا إلى مسؤولي البيانات المسجلين لديها، يطلب منهم بيان وإثبات كيفية التزامهم بنظام حماية البيانات الشخصية. بعبارة أوضح: لم يعد يكفي أن تقول إنك ملتزم، بل يجب أن تقدم الوثائق والسياسات والسجلات التي تبرهن ذلك. النموذج يغطي منظومة حوكمة البيانات كاملة، من لحظة جمع البيانات حتى إتلافها.

ما الذي يطلبه النموذج بالضبط؟

يطلب النموذج أدلة عبر تسعة محاور رئيسية، من المفيد أن تراجعها بندا بندا:

• جمع البيانات ومعالجتها وتخزينها: كيف تجمع البيانات الشخصية وأين تخزنها وكيف تعالجها.
• أطر الحوكمة والسياسات: وجود سياسات مكتوبة ومعتمدة لخصوصية البيانات وحمايتها.
• الأساس النظامي للمعالجة: ما المسوغ القانوني لكل عملية معالجة (موافقة، عقد، التزام نظامي).
• إدارة الأطراف الثالثة: كيف تراقب المعالجين والموردين الذين تشاركهم البيانات.
• الاحتفاظ بالبيانات وإتلافها: مدد الاحتفاظ المحددة وآلية الحذف الآمن بعد انتهاء الحاجة.
• حقوق أصحاب البيانات: آلية تتيح للأفراد الاطلاع على بياناتهم وتصحيحها وحذفها.
• نقل البيانات خارج المملكة: ضوابط التحويل عبر الحدود والضمانات المرتبطة به.
• الاستجابة للحوادث: خطة للتعامل مع تسريبات البيانات والإبلاغ عنها.
• تعيين مسؤول حماية البيانات (DPO): من يتولى الإشراف على الامتثال داخل المنشأة.

لماذا الآن؟ سدايا ترفع مستوى التطبيق

لم يأت النموذج من فراغ. فقد دخل نظام حماية البيانات حيز التطبيق منذ سبتمبر 2023، وخلال العام الماضي أصدرت لجان سدايا المختصة 48 قرارا بحق جهات ثبتت مخالفتها للنظام — وهي أول موجة فعلية من الأحكام. وتكررت في هذه المخالفات أنماط واضحة: جمع البيانات ومعالجتها دون أساس نظامي، وضعف الضوابط التقنية والتنظيمية لحماية البيانات، وإرسال الرسائل التسويقية دون موافقة مسبقة (وهي مخالفة واسعة الانتشار في قطاعات التجزئة والاتصالات والخدمات المالية). تعميم نموذج التحقق هو الخطوة التالية المنطقية: الانتقال من رد الفعل عند الشكاوى إلى مطالبة الجهات باستباق إثبات التزامها.

العقوبات: ماذا يكلفك عدم الامتثال؟

المخاطر مالية ونظامية معا. تصل الغرامات إلى 5 ملايين ريال عن المخالفة الواحدة، ويمكن مضاعفتها في حال التكرار. وفي الحالات الأخطر — كإفشاء البيانات الحساسة بقصد الإضرار أو تحقيق منفعة — يرتفع الأمر إلى مسؤولية جنائية قد تصل إلى السجن. أضف إلى ذلك الضرر غير المباشر: فقدان ثقة العملاء، وتوقف بعض التعاملات، والإضرار بالسمعة. الرسالة واضحة: الامتثال لم يعد اختياريا ولا مؤجلا.

كيف تجهز شركتك؟ قائمة عملية

لا تنتظر وصول النموذج لتبدأ. اعمل من الآن على الخطوات التالية:

• ارسم خريطة بياناتك: ما البيانات الشخصية التي تجمعها، ومن أين، وأين تعيش، ومن يصل إليها.
• وثق الأساس النظامي لكل نشاط معالجة، وسجل موافقات العملاء بشكل قابل للإثبات.
• اكتب سياسات الخصوصية والاحتفاظ والحذف، واجعلها معتمدة ومطبقة فعليا لا حبرا على ورق.
• راجع عقود الموردين ومقدمي الخدمات لضمان بنود حماية البيانات ونقلها.
• جهز آلية واضحة لاستقبال طلبات أصحاب البيانات (اطلاع، تصحيح، حذف) والرد عليها في المدد النظامية.
• عين مسؤولا لحماية البيانات، ولو بدور جزئي، ليكون نقطة المسؤولية.
• ابن خطة استجابة للحوادث تعرف من يفعل ماذا عند وقوع تسريب.

الجانب التقني: أين تفشل الشركات فعلا

معظم الفجوات ليست في النوايا بل في الأنظمة. كثير من المنشآت تملك سياسة خصوصية مكتوبة، لكن أنظمتها لا تطبقها: بيانات العملاء منسوخة في جداول وملفات لا حصر لها، ولا توجد آلية آلية لحذفها بعد انتهاء مدة الاحتفاظ، ولا سجل يوضح من اطلع على ماذا ومتى. هنا يتحول الامتثال من وثيقة إلى هندسة. عمليا يعني ذلك: ضبط صلاحيات الوصول، وتشفير البيانات الحساسة، وسجلات تدقيق تثبت كل عملية، وأتمتة الاحتفاظ والحذف، وواجهة تتيح لصاحب البيانات ممارسة حقوقه، وضوابط تقنية على أي نقل خارج المملكة. النموذج يسأل عن هذه القدرات، والإجابة الصادقة تحتاج نظاما لا وعدا.

كيف تساعد أوريجامي

بوصفنا شركة تقنية، ننظر إلى الامتثال باعتباره مشكلة هندسية قابلة للحل. نساعد المنشآت على تحويل متطلبات نظام حماية البيانات إلى ضوابط فعلية داخل أنظمتها: خرائط بيانات دقيقة، وإدارة موافقات، وسياسات احتفاظ وحذف مؤتمتة، وسجلات تدقيق، ولوحات لإدارة طلبات أصحاب البيانات، وضوابط للنقل عبر الحدود. الهدف ألا يكون رد شركتك على نموذج التحقق مجرد كلام، بل نظاما يثبت التزامها تلقائيا في أي وقت تطلبه سدايا.

الخلاصة

تعميم نموذج التحقق من الامتثال يعني أن مرحلة التساهل انتهت، وأن سدايا تنتقل إلى مطالبة الجهات بإثبات التزامها استباقيا. الشركات التي تجهز بياناتها وأنظمتها الآن ستتعامل مع النموذج كإجراء روتيني، أما التي تؤجل فقد تكتشف الفجوات في أسوأ وقت — أثناء المراجعة. ابدأ بخريطة بياناتك اليوم.

المصادر

• الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) — الأنظمة والسياسات: sdaia.gov.sa
• Clyde & Co — نموذج التحقق من الامتثال لنظام حماية البيانات (يوليو 2026): clydeco.com
• IAPP — تصعيد سدايا لتطبيق نظام حماية البيانات: iapp.org