محتويات المقال
نظام حماية البيانات الشخصية PDPL الصادر عام 2021 والمُطبَّق منذ 2023 يُلقي مسؤوليات محددة على كل منشأة تجمع بيانات الزوار — وهذا يشمل كل مستشفى ومصنع وجهة حكومية ومكتب في المملكة.
نطاق PDPL على إدارة الزوار
PDPL ينطبق على أي معالجة لبيانات الأشخاص الطبيعيين داخل المملكة. إدارة الزوار تقع مباشرةً ضمن هذا النطاق:
تدخل في النطاق
الاسم ورقم الهوية
جمع الاسم ورقم الهوية الوطنية أو الإقامة عند التسجيل — بيانات شخصية أساسية خاضعة للنظام.
تدخل في النطاق
الصورة الشخصية
التقاط صورة الزائر عند الدخول — بيانات حساسة تستلزم حماية إضافية ومعالجة خاصة.
تدخل في النطاق
بيانات الموقع والحركة
سجل الدخول والخروج + المناطق التي زارها = بيانات موقع تكشف تحركات الشخص.
تدخل في النطاق
البيانات البيومترية
بصمة الإصبع أو الوجه للتحقق — بيانات حساسة بامتياز تتطلب موافقة صريحة.
المبادئ الستة التي يجب تطبيقها
- الشفافية (Transparency): الزائر يُعلَم بجمع بياناته قبل أو أثناء الجمع — إشعار الخصوصية المرئي.
- المشروعية (Lawfulness): الجمع بغرض أمني مشروع — يجب توثيق الغرض.
- الحد الأدنى من البيانات (Data Minimization): اجمع ما تحتاجه فعلًا — اسم وهوية كافيان، لا تجمع بيانات إضافية بلا مبرر.
- الدقة (Accuracy): البيانات يجب أن تكون دقيقة — النظام الرقمي يُقلّل أخطاء الإدخال.
- الحد الأدنى من التخزين (Storage Limitation): لا تحتفظ بالبيانات لأجل غير مسمى — حذف تلقائي بعد المدة المحددة.
- الأمان (Security): بيانات الزوار محمية بتشفير — لا ملفات مكشوفة أو وصول غير مقيّد.
حقوق الزائر صاحب البيانات
| الحق | ما يعنيه عمليًا | كيف يُطبَّق في نظام الزوار |
|---|---|---|
| حق الاطلاع | معرفة ما تحتفظ به عنه | تقرير بيانات فردي عند الطلب |
| حق التصحيح | تصحيح البيانات الخاطئة | تعديل من لوحة الإدارة |
| حق الحذف | حذف بياناته في حالات محددة | حذف يدوي أو تلقائي بالمدة |
| حق الاعتراض | الاعتراض على معالجة محددة | يتطلب تقييم كل حالة على حدة |
المتطلبات التقنية للامتثال
- تشفير البيانات: AES-256 للبيانات المخزّنة، TLS 1.2+ للبيانات المنقولة.
- Audit Log محمي: سجل الوصول للبيانات نفسه يجب أن يكون محميًا من التعديل.
- التحكم في الوصول: فقط المخوّلون يصلون لبيانات الزوار — مبدأ Least Privilege.
- النسخ الاحتياطية: بيانات الزوار تُنسَخ احتياطيًا وتُحذَف من النسخ الاحتياطية عند انتهاء مدة الاحتفاظ.
- خطة الاستجابة للاختراق: إجراء موثّق للتعامل مع أي تسرّب بيانات يشمل بيانات الزوار.
قائمة مراجعة الامتثال قبل الإطلاق
قائمة التحقق من الامتثال
☑ إشعار الخصوصية معروض بوضوح عند نقطة التسجيل ☑ الغرض من الجمع موثّق ومحدد ☑ مدة الاحتفاظ مُحددة وسياسة الحذف مُفعَّلة ☑ التشفير مُفعَّل على البيانات المخزّنة والمنقولة ☑ صلاحيات الوصول مُقيَّدة بالحد الأدنى الضروري ☑ آلية استجابة لطلبات أصحاب البيانات موجودة ☑ خطة الاستجابة للاختراق موثّقة ☑ الفريق المسؤول تلقّى تدريبًا على PDPL
تنبيه: هذا توجيه توعوي لا استشارة قانونية
المعلومات الواردة لأغراض التوعية. الامتثال الرسمي لـ PDPL يتطلب مراجعة مستشار قانوني متخصص يُقيّم وضع منشأتك تحديدًا.
حَصين متوافق مع PDPL خارج الصندوق
إشعار خصوصية، تشفير، حذف تلقائي، وAudit Log — كلها جاهزة من اليوم الأول.