نظام حماية البيانات الشخصية (PDPL)

نظام حماية البيانات الشخصية هو أول نظام شامل في المملكة العربية السعودية ينظّم جمع البيانات الشخصية ومعالجتها وتخزينها والإفصاح عنها وإتلافها. وقد دخل النظام حيّز الإنفاذ الكامل منذ سبتمبر 2024، ويسري على أي جهة — حكومية كانت أو خاصة — تعالج بيانات شخصية لأفراد داخل المملكة، بما في ذلك المعالجة التي تتم من خارجها. وتُعدّ الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) الجهة المختصة بالرقابة والإنفاذ.

يقوم النظام على مبادئ مألوفة لدى الممارسين: وجود أساس نظامي للمعالجة تُعدّ الموافقة أصلاً فيه، وتحديد الغرض، والاقتصار على الحد الأدنى من البيانات، والشفافية عبر إشعارات الخصوصية، والضوابط الأمنية، والإبلاغ عن حوادث تسرب البيانات، إضافة إلى حقوق نافذة لأصحاب البيانات مثل الوصول والتصحيح والإتلاف. وقد تصل العقوبات إلى خمسة ملايين ريال عن المخالفة، وحتى عشرة ملايين ريال في حال التكرار.

وبالنسبة إلى مكتب إدارة البيانات في أي جهة سعودية، يحوّل النظام مبادئ الخصوصية المجردة إلى تكليف تشغيلي؛ فالامتثال يعتمد على إجابات لا توفرها إلا البيانات الوصفية: أي الأنظمة تحتفظ ببيانات شخصية، وما درجة حساسيتها، وأين تتدفق، ومن يملكها، وعلى أي أساس تُعالج. لذلك يشكّل كتالوج البيانات المحدَّث — بما يتضمنه من تصنيف البيانات وسلسلة نسب البيانات والملكية والإشراف — الأساس العملي لكل التزام من التزامات النظام، بدءاً من الاستجابة لطلبات أصحاب البيانات ضمن المدد المحددة وانتهاءً بتحديد نطاق الإبلاغ عن أي حادثة تسرب بدقة.