حماية البيانات الشخصية في التعاملات الإلكترونية السعودية: الالتزامات والحقوق والمسؤولية

تعتمد التعاملات الإلكترونية على تبادل كميات كبيرة من البيانات، مثل الأسماء وأرقام التواصل والعناوين ومعلومات الحسابات وسجلات الطلبات والتوقيعات الرقمية. ومع توسع الخدمات الإلكترونية، أصبحت حماية هذه البيانات جزءًا أساسيًا من الامتثال النظامي وبناء الثقة بين الأفراد والمنشآت.

وفي المملكة العربية السعودية، ينظم نظام حماية البيانات الشخصية جوانب جمع البيانات الشخصية ومعالجتها واستخدامها والإفصاح عنها، بينما يتناول نظام التعاملات الإلكترونية الآثار النظامية للتعاملات والسجلات والتوقيعات الإلكترونية وخدمات التصديق الرقمي. وقد تنطبق أحكام النظامين معًا على بعض المعاملات بحسب طبيعتها.

حماية البيانات الشخصية في التعاملات الإلكترونية

أولًا: ما المقصود بالبيانات الشخصية؟

وفق تعريف نظام حماية البيانات الشخصية، تشمل البيانات الشخصية كل بيان من شأنه أن يؤدي إلى معرفة الفرد على وجه التحديد، أو يجعل التعرف عليه ممكنًا بصورة مباشرة أو غير مباشرة.

ومن أمثلتها:

• الاسم ورقم الهوية.

• العنوان وأرقام التواصل.

• أرقام الحسابات البنكية والبطاقات الائتمانية.

• الصور ومقاطع الفيديو التي تحدد هوية الشخص.

• بيانات أخرى يمكن أن تؤدي إلى التعرف على الفرد.

  

  نظام القوانين

  +1

   

وقد تتضمن سجلات المعاملات الإلكترونية بيانات شخصية حتى لو كان الغرض الأساسي منها تنفيذ عقد أو تقديم خدمة، مثل بيانات المشتري في متجر إلكتروني أو معلومات الموقّع على عقد رقمي.

ثانيًا: ما الأنظمة التي تحكم حماية البيانات في التعاملات الإلكترونية؟

من المهم التمييز بين نظامين رئيسيين:

يُطبق نظام حماية البيانات الشخصية على معالجة البيانات الشخصية المتعلقة بالأفراد التي تقع في المملكة، كما يشمل حالات معالجة بيانات الأفراد المقيمين في المملكة من أطراف خارجها وفق نطاق التطبيق المحدد في النظام. وتوجد استثناءات محددة، منها بعض المعالجات التي تقتصر على الاستخدام الشخصي أو العائلي وفق الشروط النظامية.

منصة حوكمة البيانات الوطنية

ثالثًا: ما التزامات الشركات عند جمع البيانات الشخصية؟

عندما تجمع شركة بيانات العملاء من خلال موقع إلكتروني أو تطبيق أو منصة تعاقد، يجب عليها تقييم التزاماتها وفق نظام حماية البيانات الشخصية ولائحته التنفيذية.

ومن أبرز المسائل التي ينبغي مراعاتها:

1. تحديد الغرض من المعالجة: يجب أن تكون معالجة البيانات مرتبطة بغرض مشروع ومحدد، وفق أحكام النظام.

2. الالتزام بالأساس النظامي للمعالجة: لا يجوز افتراض أن مجرد إدخال العميل لبياناته يعني السماح باستخدامها لأي غرض.

3. الشفافية: توضيح المعلومات المطلوبة عن معالجة البيانات وحقوق صاحبها وفق المتطلبات النظامية.

4. حماية البيانات: اتخاذ التدابير التنظيمية والتقنية المناسبة لحمايتها من الوصول أو الاستخدام أو الإفصاح غير المصرح به.

5. تنظيم مشاركة البيانات: التحقق من مشروعية مشاركة البيانات مع الجهات الأخرى، ومن الالتزامات المتعلقة بنقلها خارج المملكة عند انطباقها.

6. إدارة الاحتفاظ بالبيانات وإتلافها: الالتزام بالأحكام المنظمة للاحتفاظ بالبيانات والتخلص منها عند انتفاء الحاجة إليها، ما لم يوجد أساس نظامي للاحتفاظ بها.

وتعرض الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) نظام حماية البيانات الشخصية ولوائحه وأدلته التنظيمية ضمن موقعها الرسمي.

Saudi Data & AI Authority

+1

رابعًا: هل يجوز استخدام بيانات العملاء لأغراض تسويقية؟

لا ينبغي للشركة أن تعتبر حصولها على بيانات العميل لأجل تنفيذ طلب أو عقد تصريحًا مفتوحًا لاستخدامها في جميع الأنشطة التسويقية.

قبل استخدام بيانات العملاء لأغراض إضافية، ينبغي مراجعة الغرض الذي جُمعت من أجله البيانات، والأساس النظامي للمعالجة، وأي متطلبات خاصة بالتسويق المباشر أو الاعتراض على المعالجة، وفق النظام واللوائح ذات الصلة.

مثال عملي: إذا جمع متجر إلكتروني رقم العميل لإتمام عملية توصيل، فلا ينبغي افتراض أن ذلك يتيح له استخدام الرقم لأي حملة تسويقية دون التحقق من المتطلبات النظامية المنطبقة على هذا الاستخدام.

وتساعد سياسة خصوصية واضحة وإجراءات داخلية محددة على تقليل الالتباس، لكنها لا تحل محل الالتزام الفعلي بالنظام.

خامسًا: ما حقوق الأفراد المتعلقة ببياناتهم الشخصية؟

يمنح نظام حماية البيانات الشخصية أصحاب البيانات حقوقًا محددة، وتُمارس هذه الحقوق وفق الشروط والاستثناءات والإجراءات الواردة في النظام واللوائح.

ومن الحقوق التي ينبغي للفرد التعرف عليها:

• الحق في العلم بالمسوغ النظامي لجمع بياناته والغرض من جمعها.

• الحق في الوصول إلى بياناته الشخصية وفق الضوابط المحددة.

• الحق في طلب تصحيح البيانات أو استكمالها أو تحديثها.

• الحق في طلب إتلاف البيانات الشخصية في الحالات التي يجيزها النظام.

• الحقوق الأخرى المقررة في النظام ولائحته التنفيذية بحسب الحالة.

ولا يعني ذلك أن جميع الطلبات يجب تنفيذها دون استثناء؛ إذ تخضع ممارسة الحقوق للضوابط النظامية والحالات التي تسمح فيها الأنظمة بالاحتفاظ بالبيانات أو تقييد بعض الحقوق.

منصة حوكمة البيانات الوطنية

+1

سادسًا: ماذا تفعل الشركة عند حدوث تسرب أو وصول غير مصرح به إلى البيانات؟

عند الاشتباه في حادثة تتعلق بالبيانات الشخصية، من المهم أن تتعامل الشركة معها باعتبارها واقعة قد تستلزم إجراءات تقنية ونظامية عاجلة.

يمكن أن تشمل الخطوات الأولية:

1. احتواء الحادثة: الحد من الوصول غير المصرح به وإيقاف السبب التقني متى أمكن.

2. حفظ الأدلة: الاحتفاظ بالسجلات التقنية والرسائل وبيانات الدخول ذات الصلة، دون تغييرها أو إتلافها.

3. تقييم نطاق الحادثة: تحديد نوع البيانات المتأثرة وعدد أصحابها وطبيعة المخاطر المحتملة.

4. تحديد الالتزامات النظامية: مراجعة أحكام الإبلاغ عن حوادث تسرب البيانات الشخصية أو تلفها أو الوصول غير المشروع إليها، وفق النظام واللائحة.

5. توثيق الإجراءات: تسجيل وقت اكتشاف الحادثة، والإجراءات المتخذة، ونتائج التحقيق والمعالجة.

6. إشراك المختصين: الاستعانة بفريق أمن المعلومات والمستشار القانوني والمسؤولين عن حماية البيانات عند الحاجة.

وتتضمن اللائحة التنفيذية لنظام حماية البيانات الشخصية أحكامًا تفصيلية تتعلق بالإبلاغ عن حوادث تسرب البيانات الشخصية أو تلفها أو الوصول غير المشروع إليها، لذلك ينبغي الرجوع إلى النص الرسمي لتحديد المهل والمتطلبات التي تنطبق على الحادثة.

Saudi Data & AI Authority

+1

سابعًا: هل تختلف حماية البيانات عن سرية التوقيع الإلكتروني؟

نعم، فهما موضوعان مرتبطان لكنهما ليسا متطابقين.

• حماية البيانات الشخصية تتعلق بكيفية جمع البيانات الشخصية ومعالجتها والإفصاح عنها وحفظها.

• حماية بيانات إنشاء التوقيع الإلكتروني تتعلق كذلك بمنع الاستخدام غير المشروع للبيانات أو الوسائل المرتبطة بإنشاء التوقيع الإلكتروني.

ويُلزم نظام التعاملات الإلكترونية من يرغب في إجراء توقيع إلكتروني باتخاذ الاحتياطات اللازمة لتلافي أي استعمال غير مشروع لبيانات إنشاء التوقيع والمعدات الشخصية المتعلقة به، وفق الضوابط التي تحددها اللائحة.

نظام القوانين

ولهذا، قد تحتاج المنشأة إلى تطبيق ضوابط لحماية البيانات الشخصية وضوابط أخرى لحماية التوقيعات الإلكترونية وسجلات المعاملات، بحسب طبيعة الخدمة والمخاطر المرتبطة بها.

ثامنًا: أسئلة شائعة حول حماية البيانات الشخصية

هل هيئة الحكومة الرقمية هي الجهة المشار إليها في النظام بلفظ «الهيئة»؟

نعم، عدّل النظام تعريف «الهيئة» ليشير إلى هيئة الحكومة الرقمية.

هل تحتاج الشركة إلى ترخيص لمجرد استخدام التوقيع الإلكتروني؟

ليس لمجرد الاستخدام. يجب التفريق بين استخدام التوقيع الإلكتروني في معاملات الشركة وبين تقديم خدمات التصديق الرقمي للغير، الذي يخضع للمتطلبات التنظيمية ذات الصلة.

هل يتحمل مقدم خدمات التصديق المسؤولية عن الضرر؟

قد يتحمل المسؤولية وفق أحكام النظام واللائحة والوقائع ذات الصلة. وتنص اللائحة على أن اعتماد الهيئة للنماذج والإجراءات لا يعفي مقدم الخدمة من المسؤولية النظامية عن الضرر الذي قد يلحق بالأطراف التي تعتمد عليها.

هل تبقى الشهادة صالحة بعد إلغائها؟

لا ينبغي التعامل مع الشهادة الملغاة أو الموقوفة على أنها صالحة للاستخدام مستقبلًا. وتحدد اللائحة إجراءات الإلغاء أو الإيقاف والإشعار والتنبيه وفق الحالة المنطبقة.

الخلاصة

تتطلب حماية البيانات في التعاملات الإلكترونية فهمًا واضحًا للفرق بين تنظيم البيانات الشخصية وتنظيم السجلات والتوقيعات الإلكترونية. ويجب على الشركات تحديد أغراض معالجة البيانات، والتحقق من الأساس النظامي لاستخدامها، وحمايتها، والالتزام بمتطلبات الإفصاح والإبلاغ والاحتفاظ عند انطباقها.

أما الأفراد، فمن المهم أن يعرفوا حقوقهم المتعلقة ببياناتهم الشخصية، وأن يستخدموا القنوات النظامية المناسبة عند وجود شكوى أو اشتباه في معالجة غير مشروعة.