حماية بيانات الزوار وفق نظام PDPL السعودي:
ما الذي يجب أن تعرفه منشأتك؟

في يوليو 2024 دخل نظام حماية البيانات الشخصية السعودي (PDPL) حيّز التنفيذ الكامل. منذ تلك اللحظة، أصبح كل ما تجمعه عن زوار منشأتك — من الاسم والهاتف وصورة الوجه وصورة الهوية — خاضعًا لأحكام قانونية واضحة تُحدّد كيف تجمع هذه البيانات، وكم تحتفظ بها، ومن يحق له الوصول إليها.

المخيف في الأمر أن كثيرًا من المنشآت التي تستخدم سجلات ورقية أو أنظمة بسيطة تنتهك PDPL دون أن تدري. هذا المقال ليس فتوى قانونية، لكنه دليل توعوي عملي يساعدك على فهم ما يستوجبه النظام ويضعك على المسار الصحيح — مع التأكيد على أن المراجعة القانونية مع متخصص ضرورة لا خيار.

ما هو PDPL وماذا يعني لمنشأتك؟

نظام حماية البيانات الشخصية (Personal Data Protection Law) هو التشريع السعودي الذي يُنظّم كيفية جمع البيانات الشخصية للأفراد ومعالجتها وحفظها ومشاركتها. يُشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

ما يعنيك مباشرةً كمنشأة: أي شخص طبيعي تجمع عنه بيانات يُعدّ صاحب بيانات، وله حقوق يكفلها القانون — سواء كان موظفًا أو عميلًا أو زائرًا عابرًا. الزائر الذي يُعطيك اسمه ورقم هاتفه ويُلتقط وجهه بالكاميرا هو صاحب بيانات بالمفهوم الكامل للنظام.

هل بيانات الزائر تُعدّ بيانات شخصية؟

الإجابة المختصرة: نعم، وبشكل واضح. البيانات الشخصية تشمل أي معلومات تُمكّن من تحديد هوية شخص أو التعرّف عليه، سواء بشكل مباشر أو غير مباشر. دعنا نرى ما الذي تجمعه عادةً عن زوارك:

المبادئ الستة التي يقوم عليها PDPL

ما الذي يمكن جمعه وما الذي لا يمكن؟

قاعدة عملية بسيطة: اجمع فقط ما تحتاجه فعلًا لإتمام الغرض الأمني والتشغيلي. كل بيانة إضافية تجمعها تعني مسؤولية إضافية في الحفظ والحماية والحذف.

ما يمكنك جمعه بشكل معتاد للأغراض الأمنية:

• الاسم الكامل ورقم التواصل لغرض التحقق وإشعار المضيف
• رقم الهوية لغرض التحقق من هوية الزائر
• صورة الوجه لغرض التوثيق الأمني — مع إخطار الزائر صراحةً
• وقت الدخول والخروج للسجل الأمني
• الجهة التي يزورها والغرض من الزيارة

ما يستوجب حذرًا شديدًا أو تجنّبه:

• جمع بيانات لا تخدم الغرض الأمني المباشر (مثل: الديانة، الحالة الاجتماعية)
• مشاركة بيانات الزوار مع أطراف ثالثة دون أساس قانوني
• الاحتفاظ بالبيانات إلى أجل غير مسمى بعد انتهاء الزيارة
• استخدام صور الزوار لأي غرض غير التوثيق الأمني

حقوق الزائر التي يجب أن يكفلها نظامك

يمنح PDPL أصحاب البيانات حقوقًا محددة — ونظام الزوار يجب أن يكون قادرًا على دعم تنفيذها عمليًا:

خطوات الامتثال العملية خطوة بخطوة

ماذا تفعل إذا تسرّبت بيانات الزوار؟

لا أحد يريد التفكير في هذا السيناريو، لكن الاستعداد له أفضل من الاكتشاف المفاجئ في لحظة أزمة. إليك الإطار العام:

• الخطوة الأولى — الاحتواء الفوري: قطع الوصول إلى المصدر المخترق بأسرع ما يمكن، وتحديد حجم البيانات المتأثرة.
• الخطوة الثانية — التقييم: هل البيانات المتسرّبة تُسبّب ضررًا محتملًا لأصحابها؟ مدى الضرر يُحدّد إلزامية الإبلاغ.
• الخطوة الثالثة — الإبلاغ لسدايا: PDPL يُلزم بالإبلاغ عن خروقات البيانات لسدايا خلال مدة محددة — استشر متخصصًا قانونيًا لمعرفة التزاماتك الدقيقة.
• الخطوة الرابعة — إخطار المتأثرين: في الحالات التي يُلزم بها القانون، يجب إخطار أصحاب البيانات بما حدث.
• الخطوة الخامسة — التوثيق والتحسين: وثّق كل ما جرى وما اتُّخذ من إجراءات، ثم اعمل على معالجة الثغرة التي أدّت إلى الخرق.