هل يلزم موقعي سياسة خصوصية في السعودية؟ نعم، إن كان يجمع أي بيانات شخصية: اسمًا في نموذج تواصل، أو رقم جوال، أو بريدًا، أو بيانات طلب. فالمادة الثانية عشرة من نظام حماية البيانات الشخصية تلزم جهة التحكم بأن تعتمد سياسة خصوصية، وأن تتيحها لأصحاب البيانات قبل جمع بياناتهم.
ويجب أن تبيّن سياسة الخصوصية للموقع الالكتروني أربعة أمور على الأقل: لماذا تجمع البيانات، وما البيانات التي تجمعها، وكيف تجمعها وتعالجها وتحفظها وتتلفها، وما حقوق صاحب البيانات وكيف يمارسها.
عندما راجعنا علامات الثقة في دليل السيو للشركات السعودية، كانت سياسة الخصوصية من أكثر ما نجده ناقصًا في مواقع الشركات. فبعضها لا يملك صفحة أصلًا، وبعضها نسخ سياسة أجنبية مكتوبة للنظام الأوروبي ولم يغيّر فيها شيئًا. وكذلك يتكرر الخطأ نفسه في العقود، كما أشرنا في دليل عقد تصميم موقع الكتروني: يُسلَّم الموقع دون تحديد من يكتب سياسة الخصوصية ومن يُحدّثها. وفي هذا المقال نشرح ما يطلبه النظام السعودي من سياسة الخصوصية بالتحديد، مع أرقام المواد، ونختم بنموذج يمكنك البناء عليه.
ما هو نظام حماية البيانات الشخصية السعودي؟
صدر نظام حماية البيانات الشخصية بالمرسوم الملكي م/19 بتاريخ 9/2/1443هـ، وعُدّل بقرار مجلس الوزراء رقم 604 بتاريخ 29/8/1444هـ. ودخل حيز التنفيذ مع لائحتيه في 14 سبتمبر 2023، ومُنحت الجهات مهلة امتثال انتهت في 14 سبتمبر 2024، بحسب تحليل Akin Gump. وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).
والنقطة التي يغفل عنها كثيرون أن النظام لا يقتصر على الشركات داخل المملكة. فهو يشمل أيضًا معالجة بيانات المقيمين في المملكة من خارجها، أي أن موقعًا يدار من الخارج ويستهدف عملاء سعوديين معنيٌّ به.
ماذا يجب أن تتضمن سياسة الخصوصية للموقع الالكتروني؟
تأتي العناصر المطلوبة من ثلاثة مصادر في النظام ولائحته:
| العنصر | المصدر |
|---|---|
| الغرض من جمع البيانات | المادة 12 |
| أنواع البيانات التي تُجمع | المادة 12 |
| وسيلة الجمع، وطريقة المعالجة والحفظ والإتلاف | المادة 12 |
| حقوق صاحب البيانات وطريقة ممارستها | المادة 12 |
| المسوغ النظامي للجمع، وهل كل بيان إلزامي أم اختياري | المادة 13 |
| هوية الجهة التي تجمع البيانات | المادة 13 |
| الجهات التي ستُفصح لها البيانات، وهل ستُنقل خارج المملكة | المادة 13 |
| الآثار المترتبة على عدم تقديم البيانات | المادة 13 |
| بيانات التواصل، ومسؤول حماية البيانات إن وُجد | اللائحة التنفيذية |
| مدة الاحتفاظ أو معاييرها، وطريقة سحب الموافقة | اللائحة التنفيذية |
المصدر: نص المادتين في النص الكامل للنظام، وتفصيل اللائحة كما لخّصته HAQQ Academy. والتوقيت مهم: السياسة يجب أن تكون متاحة قبل الجمع، لا بعده. وعمليًا يعني ذلك رابطًا واضحًا أسفل كل صفحة، وبجانب كل نموذج يطلب بيانات.
ما حقوق صاحب البيانات التي يجب ذكرها؟
تكتمل سياسة الخصوصية للموقع الالكتروني حين تشرح للزائر حقوقه بلغة واضحة، وكيف يطلبها:
- الحق في العلم: أن يعرف لماذا تُجمع بياناته وكيف تُستخدم.
- الحق في الوصول: أن يطلع على بياناته ويحصل على نسخة منها.
- الحق في التصحيح: أن يطلب تصحيح بياناته أو إكمالها أو تحديثها.
- الحق في الإتلاف: أن يطلب إتلاف بياناته حين لا تعود هناك حاجة إليها.
- الحق في سحب الموافقة: في أي وقت، ما لم يكن هناك مسوغ نظامي آخر للمعالجة.
وتلزم اللائحة التنفيذية جهة التحكم بالاستجابة لطلبات أصحاب البيانات خلال 30 يومًا، ويجوز تمديدها 30 يومًا أخرى بإشعار مسبق مع ذكر الأسباب.
ما الأخطاء الشائعة في سياسات الخصوصية؟
- نسخ سياسة أوروبية: تذكر GDPR وحقوقًا وجهات لا علاقة لها بالسعودية، ولا تذكر سدايا ولا النظام السعودي.
- إغفال النقل خارج المملكة: إن كنت تستخدم أدوات خوادمها في الخارج، كأدوات التحليلات والبريد والاستضافة، فهذا نقل تنظمه المادة 29 ويجب الإفصاح عنه.
- جعل الموافقة شرطًا للخدمة: لا يجوز اشتراط الموافقة على معالجة لا علاقة مباشرة لها بالخدمة المطلوبة.
- غياب قناة للتواصل: سياسة بلا بريد أو وسيلة لتقديم الطلبات لا تمكّن صاحب البيانات من ممارسة حقوقه.
- إخفاء الرابط: صفحة موجودة لكن لا يصل إليها أحد، والنظام يطلب إتاحتها لأصحاب البيانات.
- عدم التحديث: أضفت أداة جديدة أو خدمة جديدة ولم تغيّر السياسة.
ما عقوبة مخالفة نظام حماية البيانات الشخصية؟
- المادة 35: الإفصاح عن البيانات الحساسة أو نشرها خلافًا للنظام بقصد الإضرار أو تحقيق منفعة، عقوبته السجن مدة لا تزيد على سنتين، أو غرامة لا تزيد على 3 ملايين ريال، أو بهما معًا.
- المادة 36: بقية المخالفات عقوبتها الإنذار، أو غرامة لا تزيد على 5 ملايين ريال.
- التسرب: يجب إشعار الجهة المختصة خلال 72 ساعة من العلم بتسرب قد يضر بأصحاب البيانات، وإشعار أصحاب البيانات أنفسهم دون تأخير غير مبرر عند وقوع الضرر.
وإن وصلك إشعار من الجهة المختصة أو وقع تسرب في موقعك، فلا تتصرف وحدك. استشر محاميًا عبر الإنترنت قبل الرد.
نموذج سياسة الخصوصية للموقع الالكتروني
هذا نموذج إرشادي لموقع شركة خدمات صغيرة. استبدل ما بين القوسين ببياناتك، واحذف ما لا ينطبق عليك، وأضف ما تجمعه فعلًا:
هذا النموذج لا يغطي الحالات الخاصة، مثل جمع بيانات صحية أو بيانات أطفال أو المعالجة على نطاق واسع، فهذه تحتاج صياغة أدق. وإن أردت سياسة مكتوبة على مقاس نشاطك، فهذا من صميم خدمة الصياغة القانونية لدينا.
الخلاصة: سياسة الخصوصية للموقع الالكتروني التزام نظامي لا صفحة شكلية
سياسة الخصوصية للموقع الالكتروني في السعودية التزام صريح في المادة 12 من نظام حماية البيانات الشخصية. يجب أن تكون متاحة قبل الجمع، وتشرح الغرض والبيانات والمعالجة والحقوق، وتذكر النقل خارج المملكة إن وُجد، وتُحدَّث مع كل تغيير. وهي كذلك علامة ثقة يراها العميل قبل أن يكتب رقم جواله في نموذجك.
تحتاج سياسة خصوصية مطابقة للنظام السعودي؟
نراجع موقعك ونكتب سياسة الخصوصية وشروط الاستخدام ضمن الخدمات القانونية في ثقة، ونجيب عن أسئلتك عبر الاستشارة القانونية عن بعد، أو تواصل معنا عبر واتساب.
الأسئلة الشائعة
هل سياسة الخصوصية للموقع الالكتروني إلزامية في السعودية؟
نعم، لكل جهة تجمع بيانات شخصية. فالمادة 12 من نظام حماية البيانات الشخصية تلزم جهة التحكم باعتماد سياسة خصوصية وإتاحتها لأصحاب البيانات قبل جمع بياناتهم.
هل يكفي نسخ سياسة خصوصية من موقع آخر؟
لا. السياسة يجب أن تصف ما تجمعه أنت فعلًا وكيف تعالجه، والسياسات المنسوخة غالبًا مكتوبة لأنظمة أخرى ولا تذكر النظام السعودي ولا النقل خارج المملكة.
هل ينطبق النظام على موقع يُدار من خارج السعودية؟
نعم، إن كان يعالج بيانات أفراد مقيمين في المملكة، فالنظام يشمل المعالجة التي تتم من خارجها لبيانات المقيمين فيها.
كم مدة الرد على طلب صاحب البيانات؟
30 يومًا بحسب اللائحة التنفيذية، ويجوز تمديدها 30 يومًا أخرى بإشعار مسبق مع بيان الأسباب.
ما غرامة مخالفة نظام حماية البيانات الشخصية؟
تصل إلى 5 ملايين ريال للمخالفات العامة بحسب المادة 36. أما الإفصاح عن البيانات الحساسة بقصد الإضرار أو المنفعة، فعقوبته في المادة 35 السجن حتى سنتين وغرامة حتى 3 ملايين ريال.
المصادر
- هيئة الخبراء بمجلس الوزراء، نظام حماية البيانات الشخصية: laws.boe.gov.sa
- سدايا، صفحة النظام في منصة حوكمة البيانات: dgp.sdaia.gov.sa
- حجة، النص الكامل للنظام مادة مادة: hujahai.com
- Akin Gump، النظام ولوائحه: الالتزامات والحقوق: akingump.com
- HAQQ Academy، متطلبات سياسة الخصوصية في السعودية: academy.haqq.ai
- مستشارك، تعديلات نظام حماية البيانات الشخصية (قرار مجلس الوزراء 604): mustsharik.com
