نظام حماية البيانات الشخصية والمواقع التسويقية: قائمة تخطيط عملية
- ابدأ بجرد كل نموذج وزر محادثة ووسم تتبع قبل تحديد الموافقات والإشعارات المطلوبة.
- التسويق المباشر يحتاج موافقة مستقلة موثقة وآلية إلغاء لا تقل سهولة عن الاشتراك (المادة 29 من اللائحة التنفيذية).
- عقود جهات المعالجة وضمانات النقل خارج المملكة وسجل أنشطة المعالجة متطلبات أساسية لا إضافات.
- التسرب الذي قد يسبب ضررًا يُبلَّغ عنه للجهة المختصة خلال 72 ساعة، فحدد مسؤوله من الآن.
قد يجمع موقع توليد العملاء بيانات شخصية منذ اللحظة الأولى للزيارة: اسم ورقم جوال في نموذج طلب عرض سعر، أو ضغطة على زر واتساب، أو ملف تعريف ارتباط للتحليلات، أو بكسل إعلاني يرسل حدث تحويل. ويُعد جمع هذه البيانات واستخدامها معالجةً لبيانات شخصية متى تعلّقت بشخص يمكن التعرف عليه وفق نظام حماية البيانات الشخصية، وغالبًا ما تكون الجهة المالكة للموقع هي «جهة التحكم» المسؤولة عنها. هذه القائمة تجمع ما يخص المواقع التسويقية من النظام ولوائحه في مهام عملية يتقاسمها فريق التسويق وفريق الموقع والمستشار القانوني.
تنبيه: هذا المقال ليس استشارة قانونية. هو أداة تخطيط من وكالة تطوير مواقع وتسويق، ونوصي بعرض صيغ الموافقة وإشعار الخصوصية وعقود الموردين وترتيبات النقل على مستشار قانوني مؤهل قبل اعتمادها.
من أين تأتي المتطلبات؟
الإطار مكوَّن من النظام نفسه، ثم اللائحة التنفيذية للنظام ولائحة نقل البيانات الشخصية خارج المملكة المنشورتين في وثيقة واحدة لدى سدايا، ثم الأدلة الإرشادية. ويذكر دليل سدايا لجهات التحكم والمعالجة أن النظام دخل حيز النفاذ في 14 سبتمبر 2023 مع مهلة سنة للتصحيح انتهت في 14 سبتمبر 2024، وأن الهيئة السعودية للبيانات والذكاء الاصطناعي هي الجهة المختصة بموجب قرار لمجلس الوزراء. راجع منشورات سدايا الحالية للتأكد من أي تغيير في ترتيبات الإشراف.
وتوضح صفحة حماية البيانات في سدايا أن التزام الجهات يُقيَّم دوريًا عبر منصة حوكمة البيانات الوطنية بعد انتهاء المهلة، وأن المنصة تتيح للأفراد تقديم الشكاوى، كما تستضيف خدمة الإبلاغ عن حوادث تسرب البيانات.
قائمة التخطيط
١. جرد النماذج والوسوم
اكتب كل نقطة يجمع فيها الموقع بيانات أو يرسلها: نماذج التواصل والحجز، والاشتراك في النشرة، وأدوات المحادثة، وروابط واتساب، وتتبع المكالمات، والتحليلات، وبكسلات الإعلانات، وأدوات تسجيل الجلسات. تعريف البيانات الشخصية في النظام واسع ويشمل ما يمكّن من التعرف على الشخص بطريقة مباشرة أو غير مباشرة. سجّل لكل عنصر الحقول والغرض والجهة المستلمة.
٢. تقليل الحقول
تشترط اللائحة جمع الحد الأدنى من البيانات اللازمة للغرض. إن كان نموذج معاودة الاتصال يحتاج الاسم والجوال فقط، فاحذف رقم الهوية وتاريخ الميلاد. ووضّح للمستخدم أي الحقول إلزامي وأيها اختياري.
٣. موافقة مستقلة على الرسائل التسويقية
تنص المادة 29 من اللائحة على الحصول على الموافقة وفق المادة 11 قبل معالجة البيانات لأغراض التسويق المباشر، مع آلية إلغاء لا تقل سهولة عن طريقة الاشتراك، وإظهار هوية المرسل بوضوح، والتوقف فورًا عند سحب الموافقة. والمادة 11 تشترط أن تكون الموافقة حرة، وموثقة بوقتها وطريقتها، ومستقلة لكل غرض. وتضع المادة 25 من النظام حكمًا مماثلًا للمواد الإعلانية المرسلة عبر وسائل التواصل الشخصية كالبريد، وتضيف المادة 28 من اللائحة أن يكون إيقاف الاستقبال مجانًا.
عمليًا: لا تجعل خانة التسويق محددة مسبقًا، ولا تدمج «تواصلوا معي بخصوص طلبي» مع «أرسلوا لي العروض»، واحفظ سجلًا بمن وافق ومتى وعلى أي نسخة من النموذج.
٤. حملات واتساب والرسائل النصية والبريد
طبّق معيار الموافقة والإلغاء نفسه على كل قناة: اسم منشأتك ظاهر في كل رسالة، وطريقة إيقاف واضحة تعمل فعلًا، ومزامنة طلبات الإلغاء بين الأدوات حتى لا يبقى من ألغى اشتراكه في البريد ضمن جمهور واتساب. وأحكام التسويق في اللائحة لا تخل بنظام الاتصالات وتقنية المعلومات والأنظمة ذات العلاقة، فتحقق من متطلبات كل قناة مع مستشارك.
٥. إشعار خصوصية بالعربية
توجب المادة 12 من النظام سياسة خصوصية متاحة قبل الجمع تبيّن الغرض والبيانات ووسائل جمعها ومعالجتها وحفظها وإتلافها وحقوق صاحب البيانات. وتضيف المادة 4 من اللائحة هوية جهة التحكم ووسيلة التواصل والأساس النظامي ومدة الحفظ وطريقة سحب الموافقة. وتطلب المادة 13 من النظام بيان الجهات التي ستُفصح لها البيانات وهل ستُعالج خارج المملكة. ونوصي بنشر الإشعار بالعربية (وهي توصية عملية لا اشتراط منصوص عليه في المواد المذكورة) ووضع رابطه بجوار كل نموذج.
٦. ملفات الارتباط والبكسلات
لم نجد في نصوص النظام ولائحته التي راجعناها مادة خاصة بملفات الارتباط، لكن معرّفات التتبع قد تكون بيانات شخصية، والبكسلات كثيرًا ما ترسل البيانات إلى مزودين في الخارج. حدد مع مستشارك الوسوم التي تحتاج موافقة قبل تشغيلها، ثم اضبط مدير الوسوم ليؤجلها، واختبر ذلك في متصفح نظيف.
٧. عقود نظام إدارة العملاء والموردين
مزود نظام إدارة العملاء ومنصة البريد ومزود واتساب والاستضافة يكونون غالبًا «جهات معالجة»، مع أن دور كل مورد يتحدد بطبيعة الترتيب، وقد يكون بعضهم جهة تحكم مستقلة أو مشتركة في معالجته الخاصة. وتشترط المادة 17 من اللائحة أن يتضمن الاتفاق معهم الغرض وفئات البيانات والمدة، والتزامهم بإبلاغك عن أي تسرب دون تأخير، وبيان خضوعهم لأنظمة دول أخرى، وأسماء المتعاقدين من الباطن، مع تقييم التزامهم دوريًا.
٨. مكان التخزين والنقل خارج المملكة
كثير من أدوات التسويق السحابية تحفظ البيانات خارج السعودية. تشترط لائحة النقل قصر المنقول على الحد الأدنى وألا يضعف النقل حقوق الأفراد أو قدرتك على الإبلاغ والإتلاف. وعند غياب مستوى حماية كافٍ تتيح ضمانات منها البنود التعاقدية القياسية الصادرة عن سدايا، وتوجب المادة 8 تقييمًا لمخاطر النقل في حالات محددة. سجّل موقع بيانات كل أداة والأساس الذي تعتمد عليه.
٩. مدة الاحتفاظ والإتلاف
توجب المادة 18 من النظام إتلاف البيانات دون تأخير عند انتهاء الغرض، مع مراعاة ما تفرضه الأنظمة من حفظ. حدد مدة للعملاء المحتملين الذين لم يتحولوا، ولنسخ النماذج في صناديق البريد، والملفات المصدّرة، وقوائم الجماهير الإعلانية، بما فيها النسخ الاحتياطية.
١٠. طلبات الوصول والحقوق
لصاحب البيانات حق العلم والوصول والحصول على نسخة والتصحيح وطلب الإتلاف. وتحدد المادة 3 من اللائحة مدة استجابة لا تتجاوز 30 يومًا قابلة للتمديد 30 يومًا أخرى مع إشعار مسبق، مع التحقق من الهوية وتوثيق الطلبات. خصص قناة واحدة وحدد مسؤولها.
١١. أساسيات الأمان
تحيل المادة 23 من اللائحة إلى ضوابط الهيئة الوطنية للأمن السيبراني أو المعايير المعترف بها. للموقع التسويقي يعني ذلك: HTTPS، وحسابات إدارة محدودة بتحقق ثنائي، وإضافات محدَّثة، وتقييد تصدير البيانات.
١٢. مسؤول الاستجابة للتسرب
تلزم المادة 24 من اللائحة بإبلاغ الجهة المختصة خلال 72 ساعة من العلم بتسرب قد يضر بالبيانات أو أصحابها، وإبلاغ المتأثرين دون تأخير إن كان قد يضر بهم. سمِّ مسؤولًا، واحتفظ بجهات اتصال مورديك، وجرّب الإجراء مرة واحدة على الأقل.
١٣. السجلات المطلوبة
توجب المادة 33 من اللائحة سجلًا مكتوبًا لأنشطة المعالجة يُحفظ طوال مدة المعالجة وخمس سنوات بعدها، ويشمل الأغراض والفئات والمستلمين ومدد الحفظ والنقل خارج المملكة وإجراءات الأمان، ولدى سدايا دليل إرشادي لسجلات أنشطة المعالجة. واحفظ معه سجلات الموافقة والعقود وتقييمات النقل وتقارير التسرب.
دور إكليبس
تقدم إكليبس خدمات تطوير المواقع، ويمكنها المساعدة في تنفيذ جوانب تقنية مثل: إدارة وسوم تحترم الموافقة، وخانات موافقة منفصلة مع سجل لها، وصفحات إشعار خصوصية بالعربية، وربط أنظمة إدارة العملاء، وتقليل حقول النماذج. تعرّف على خدمة تطوير المواقع. أما القرارات القانونية فمكانها مستشارك القانوني. ولمراجعة الجانب التقني في موقعك تواصل معنا.
أسئلة شائعة
هل ينطبق النظام على نموذج تواصل بسيط؟
نعم في أغلب الحالات؛ فالاسم ورقم الجوال يمكن أن يحددا هوية الشخص، وجمعهما وحفظهما معالجة لبيانات شخصية، وصاحب الموقع يكون عادةً جهة التحكم المسؤولة.
هل تكفي خانة واحدة للطلب والرسائل التسويقية معًا؟
الأسلم الفصل بينهما؛ فالمادة 11 من اللائحة التنفيذية تشترط موافقة مستقلة لكل غرض، والمادة 29 تشترط الموافقة قبل التسويق المباشر. استخدم خانة تسويق منفصلة غير محددة مسبقًا واحفظ سجلها.
ما المهلة المحددة للإبلاغ عن تسرب البيانات؟
تشترط اللائحة التنفيذية إبلاغ الجهة المختصة خلال 72 ساعة من العلم بتسرب قد يضر بالبيانات أو أصحابها، وإبلاغ الأفراد المتأثرين دون تأخير إذا كان التسرب قد يضر بهم.
المصادر: laws.boe.gov.sa · sdaia.gov.sa · dgp.sdaia.gov.sa · sdaia.gov.sa · dgp.sdaia.gov.sa · sdaia.gov.sa · sdaia.gov.sa