اجعل قواعد البيانات الشخصية تعمل داخل أنظمتك

نظام حماية البيانات الشخصية هو إطار المملكة لكيفية جمع البيانات الشخصية واستخدامها وتخزينها ومشاركتها وإتلافها. والجهة المختصة هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). يمنح النظام الأفراد حقوقاً مثل الاطلاع على بياناتهم وتصحيحها وإتلافها عند انتهاء الغرض، ويفرض واجبات على الجهات التي تحدد سبب المعالجة وطريقتها، وتسمى جهات التحكم.

بالنسبة إلى فريق البرمجيات، تتحول عدة واجبات إلى مهام هندسية. عليك أن تعرف ما تجمعه ولأي غرض. وتحتاج أساساً نظامياً لكل غرض، وهو في حالات كثيرة موافقة يمكن سحبها. وعليك الاحتفاظ بالبيانات بالقدر الذي يتطلبه الغرض فقط. وعليك حمايتها بضوابط أمنية مناسبة، وإشعار الجهات المعنية عند حدوث تسريب قد يضر بالأفراد.

الفئات الحساسة، كالبيانات الصحية والمالية والائتمانية والجينية وبيانات الأطفال، تتطلب عناية إضافية. فإذا كان منتجك يخدم عيادات أو جهات تمويل أو مدارس أو موظفين فأخبرنا مبكراً. تختلف قرارات التصميم، وقرار خاطئ في البداية يكلف أكثر بكثير حين يُصحَّح بعد الإطلاق.

نعمل على ثلاث طبقات. الأولى المعرفة: جرد للبيانات الشخصية نبنيه بقراءة مخططات قواعد بياناتك وتكاملاتك ونماذجك، ومقابلة الفرق التي تستخدم البيانات. جداول الافتراضات لا تكفي، لذلك نفحص ما تخزنه الأنظمة فعلاً.

الطبقة الثانية هي السلوك. نضيف التقاط الموافقة الذي يسجل الغرض ونسخة الصياغة والوقت. ونبني مساراً للطلبات تُتابَع فيه طلبات الاطلاع والتصحيح والحذف مقابل مواعيدها. ونضيف مهام الاحتفاظ، وحماية على مستوى الحقول الحساسة، وصلاحيات حسب الدور، وسجلات تدقيق تبين من اطلع على ماذا. هذه مهام هندسية عادية، مرهقة إذا أُضيفت لاحقاً، وسهلة إذا صُممت من البداية.

الطبقة الثالثة هي وثائق تطابق الواقع: إشعارات الخصوصية بالعربية والإنجليزية، وسجل جهات المعالجة، وتقييمات الأثر للمعالجة عالية الخطورة، ودليل التسريب. ولأننا نكتبها بعد بناء الضوابط، فهي تصف ما يفعله النظام لا ما تمنى أحد أن يفعله. يستغرق البناء الأول عادة من أربعة إلى ثمانية أسابيع بحسب عدد الأنظمة التي تحوي بيانات شخصية.

مكان وجود البيانات ومكان انتقالها مهمان بموجب النظام. نقل البيانات الشخصية خارج المملكة مسموح بشروط محددة، وتضيف الجهات القطاعية قواعدها. وبعض القطاعات، كالبنوك والخدمات السحابية التي تستخدمها الجهات الخاضعة للتنظيم، لها توقعات استضافة من البنك المركزي السعودي وهيئة الاتصالات والفضاء والتقنية. نراجع انتقالاتك وموردينك، وحيث يفيد نصمم للاستضافة داخل المملكة فلا يُطرح السؤال أصلاً.

نحن مهندسون ولسنا مستشارك القانوني. نبني وفق متطلبات النظام كما نُشر، ونشير إلى النقاط التي ينبغي أن يقرر فيها محامٍ، مثل الأساس النظامي لغرض غير مألوف أو صياغة عقد مع جهة معالجة. ننصح بإشراك مستشار قانوني فيها، ويسعدنا العمل وفق توجيهاته.

لا شيء مما نسلمه شهادة أو موافقة من جهة تنظيمية. ما تحصل عليه نظام يتبع القواعد افتراضياً، وسجلات تثبت ذلك، وفريق يعرف كيف يجيب عن طلب أو استفسار. وهذا ما ستطلب الجهة التنظيمية أو العميل المؤسسي الاطلاع عليه.