صياغة سياسة الخصوصية للمواقع في السعودية وفق نظام حماية البيانات

صياغة سياسة الخصوصية للمواقع في السعودية ليست مجرد نسخ نموذج عام وإضافة اسم المنشأة؛ بل هي وثيقة إفصاح يجب أن تعكس ما يفعله الموقع فعليًا بالبيانات الشخصية. نظام حماية البيانات الشخصية ولوائحه التنفيذية يفرضان على جهة التحكم توضيح أغراض الجمع، والأساس النظامي للمعالجة، والبيانات المطلوبة، وطرق الاستخدام والإفصاح والحفظ والإتلاف، وحقوق صاحب البيانات، ووسيلة التواصل. السياسة غير المطابقة للواقع قد تزيد المخاطر بدل تقليلها.

ما هي سياسة الخصوصية؟

هي بيان يقدمه الموقع أو التطبيق للأشخاص قبل أو عند جمع بياناتهم، يشرح من يتحكم في البيانات، ولماذا يجمعها، وكيف يستخدمها ويحميها، ولمن يفصح عنها، ومدة الاحتفاظ بها، والحقوق المتاحة. تختلف عن شروط الاستخدام التي تنظم العلاقة التعاقدية، وعن سياسة ملفات الارتباط التي تشرح أدوات التتبع، وعن اتفاقية معالجة البيانات بين المنشأة ومقدم الخدمة.

متى يحتاج الموقع إلى سياسة خصوصية؟

• عند وجود نموذج تواصل أو طلب خدمة.
• عند إنشاء حسابات مستخدمين.
• عند البيع الإلكتروني أو الدفع والشحن.
• عند استخدام التحليلات والإعلانات والكوكيز.
• عند جمع الموقع أو الجهاز أو عنوان الإنترنت.
• عند إرسال الرسائل التسويقية.
• عند معالجة بيانات الموظفين أو المتقدمين.
• عند تقديم خدمات صحية أو مالية أو تعليمية.

تحديد جهة التحكم

تبدأ السياسة باسم المنشأة القانوني، وسجلها وعنوانها وقناة التواصل مع مسؤول الخصوصية. لا يكفي اسم العلامة التجارية إذا كانت الجهة التي تحدد الغرض والوسيلة شركة أخرى. وإذا اشتركت عدة جهات في تحديد المعالجة، يجب توضيح الأدوار والمسؤوليات بصورة مفهومة.

ما البيانات التي يجمعها الموقع؟

يجب تطبيق مبدأ الحد الأدنى: لا تجمع رقم الهوية إذا كان البريد كافيًا، ولا تطلب تاريخ الميلاد الكامل لمجرد إرسال عرض. كل حقل ينبغي أن يرتبط بغرض محدد ومشروع.

مصادر البيانات

توضح السياسة هل تجمع البيانات مباشرة من المستخدم، أو من الجهاز، أو من جهة عمل، أو شريك تجاري، أو مصدر متاح للعامة. إذا لم تكن البيانات مأخوذة من صاحبها، توجد التزامات خاصة بالإحاطة بالمصدر والغرض والحقوق وفق النظام والاستثناءات.

أغراض المعالجة

يجب كتابة الأغراض بدقة. عبارة «لتحسين تجربتك» وحدها فضفاضة. الأفضل بيان أن الموقع يستخدم البريد لإرسال تأكيد الطلب، ورقم الهاتف للتسليم، وسجل الاستخدام لاكتشاف الاحتيال، والكوكيز التحليلية لقياس أداء الصفحات بعد الحصول على الاختيار اللازم.

• إنشاء الحساب والتحقق منه.
• تقديم الخدمة وتنفيذ العقد.
• معالجة الدفع وإصدار الفواتير.
• خدمة العملاء والشكاوى.
• الأمن ومنع الاحتيال.
• الامتثال للالتزامات النظامية.
• التحليلات وتحسين المنتج.
• التسويق وفق الأساس النظامي والاختيارات.

الأساس النظامي للمعالجة

لا تعتمد كل معالجة على الموافقة. قد تكون ضرورية لتنفيذ عقد، أو امتثالًا لالتزام نظامي، أو حماية لمصلحة حيوية، أو تحقيق مصلحة مشروعة ضمن الضوابط. يجب اختيار الأساس الصحيح لكل غرض وعدم طلب موافقة شكلية على أمر ضروري للخدمة، لأن سحبها قد يصبح غير منطقي.

الموافقة الصحيحة

عندما تكون الموافقة هي الأساس، يجب أن تكون واضحة ومحددة ومثبتة، وألا تجمع أغراضًا مختلفة في خانة واحدة. لا تجعل قبول التسويق شرطًا لشراء المنتج. يوفر الموقع وسيلة سهلة للرجوع عن الموافقة، ويوقف المعالجة المبنية عليها مع مراعاة ما تم بصورة مشروعة قبل الرجوع.

البيانات الحساسة

تشمل فئات تحتاج إلى عناية أكبر، مثل البيانات الصحية والوراثية والحيوية والائتمانية وبعض البيانات الجنائية أو الدينية. يجب تقليلها وتقييد الوصول وتشفيرها وتقييم الحاجة إليها. قد تحتاج المعالجة إلى موافقة صريحة أو أساس خاص وتقييم أثر.

بيانات الأطفال

إذا كانت الخدمة موجهة للأطفال أو يحتمل استخدامها منهم، يجب تصميم إشعار مناسب لعمرهم، والتحقق من ولي الأمر عند الحاجة، ومنع الإعلانات أو التتبع غير الملائم. لا تستخدم نموذجًا عامًا بالغ التعقيد ثم تعتبر الطفل قد فهمه.

حقوق صاحب البيانات

توضح السياسة طريقة تقديم الطلب، والبيانات اللازمة للتحقق من الهوية، والمدة التقريبية للرد دون وضع عوائق مبالغ فيها.

الإفصاح ومشاركة البيانات

يذكر الموقع فئات المستلمين، مثل شركات الاستضافة والدفع والشحن والتحليلات والدعم والجهات النظامية. لا يلزم دائمًا ذكر اسم كل مزود، لكن يجب أن يكون الوصف كافيًا. يجب التعاقد مع جهة المعالجة وتحديد التعليمات والسرية والأمن والحذف والإبلاغ عن الحوادث.

المعالج وجهة التحكم

جهة التحكم تحدد لماذا وكيف تعالج البيانات، بينما المعالج ينفذ المعالجة نيابة عنها. الاستعانة بمزود سحابي لا تنقل المسؤولية كاملة إليه. على المنشأة اختيار مزود يوفر ضمانات، ومراجعته، ومنعه من استخدام البيانات لأغراضه الخاصة دون أساس.

نقل البيانات خارج المملكة

إذا كانت الاستضافة أو الدعم أو التحليلات تتضمن وصولًا من خارج السعودية، يجب تقييم لائحة نقل البيانات الشخصية خارج المملكة والضمانات اللازمة. لا تكتب أن البيانات «لا تغادر المملكة» إذا كان مزود البريد أو النسخ الاحتياطي عالميًا. ارسم خريطة فعلية للتدفقات قبل صياغة العبارة.

مدة الاحتفاظ

لا تستخدم عبارة «نحتفظ بالبيانات إلى الأبد». حدد معيارًا لكل فئة: مدة الحساب، أو العقد، أو الالتزام المحاسبي، أو فترة النزاع، أو أمن السجلات. بعد زوال الغرض، تتلف البيانات بطريقة تمنع استعادتها، مع معالجة النسخ الاحتياطية وفق جدول وسياسة.

إتلاف البيانات

الحذف من شاشة النظام لا يعني الإتلاف النهائي. يجب أن تشمل العملية قواعد البيانات والملفات الورقية والنسخ المكررة وأجهزة الموظفين والمزودين. يمكن إخفاء الهوية بدل الإتلاف إذا كانت البيانات ستستخدم للإحصاء ولا يمكن إعادة ربطها بالشخص.

ملفات الارتباط والكوكيز

تقسم الكوكيز إلى ضرورية وتشغيلية وتحليلية وإعلانية. الضرورية تعمل لتقديم الخدمة، بينما تحتاج الفئات الأخرى إلى إدارة اختيار المستخدم بحسب أساس المعالجة. يعرض الموقع لافتة واضحة تسمح بالرفض أو التخصيص دون تصميم مضلل، ويحفظ سجل الاختيار.

أدوات التحليلات والإعلانات

قد ترسل الأدوات الخارجية عنوان الإنترنت ومعرف الجهاز والصفحات إلى طرف ثالث. يجب إدراجها في جرد البيانات، ومراجعة إعدادات مشاركة المعلومات، وتفعيل أقل قدر ممكن. استخدام أداة مجانية لا يعفي الموقع من المسؤولية.

التسويق الإلكتروني

يفصل الموقع بين رسائل تنفيذ الطلب والرسائل الترويجية. يوضح مصدر بيانات التسويق، ويوفر رابط إلغاء أو وسيلة توقف سهلة، ولا يستمر في الإرسال بعد الاعتراض. شراء قوائم مجهولة المصدر يحمل مخاطر نظامية وسمعة سيئة.

أمن البيانات

• تشفير الاتصال والبيانات الحساسة.
• تقييد الصلاحيات حسب الوظيفة.
• المصادقة المتعددة للحسابات الإدارية.
• التحديث واختبار الثغرات.
• نسخ احتياطي آمن ومختبر.
• سجلات دخول ومراقبة.
• تدريب الموظفين على التصيد.
• خطة استجابة وتسلسل للإبلاغ.

لا ينبغي أن تعد السياسة بأمن «مطلق»، بل تذكر تطبيق تدابير مناسبة لطبيعة المخاطر، لأن أي نظام قد يتعرض لحادث.

خروقات البيانات

تحتاج المنشأة إلى إجراء داخلي لتقييم الحادث واحتوائه وتوثيقه وإبلاغ الجهة المختصة وأصحاب البيانات عند تحقق الشروط. لا تنتظر اكتمال التحقيق التقني قبل بدء التقييم. يجب أن يعرف الموظفون قناة الإبلاغ عن إرسال ملف إلى شخص خاطئ أو فقد جهاز.

تقييم الأثر

قد يلزم تقييم أثر معالجة البيانات الشخصية قبل إطلاق عمليات مرتفعة المخاطر، مثل المراقبة الواسعة أو استخدام البيانات الحساسة أو التقنيات الجديدة. يصف التقييم الغرض والضرورة والمخاطر والضوابط والبدائل، ويحدث عند تغير النظام.

مسؤول حماية البيانات

تلتزم بعض الجهات بتعيين أو تحديد مسؤول لحماية البيانات وفق الحالات المنصوص عليها في اللوائح والقواعد. حتى إذا لم يكن التعيين إلزاميًا، يفيد تحديد مسؤول داخلي يتلقى الطلبات ويراجع المشروعات والحوادث.

تحديث سياسة الخصوصية

يذكر تاريخ آخر تحديث، وكيف سيبلغ المستخدم بالتغييرات الجوهرية. لا يجوز استخدام تحديث السياسة لإضافة أغراض غير متوقعة بأثر رجعي دون أساس مناسب. يجب مراجعتها عند تغيير مزود الاستضافة أو إضافة أداة إعلانية أو إطلاق خدمة جديدة.

مكان نشر السياسة

توضع في رابط واضح بأسفل الصفحات، وعند نقاط جمع البيانات، وداخل التطبيق. في نموذج حساس، يقدم إشعار مختصر بجانب الحقل مع رابط للتفاصيل. السياسة المدفونة داخل شروط طويلة لا تحقق الشفافية المطلوبة.

نموذج هيكل سياسة الخصوصية

1. هوية جهة التحكم وبيانات التواصل.
2. نطاق السياسة والخدمات المشمولة.
3. فئات البيانات ومصادرها.
4. الأغراض والأسس النظامية.
5. الكوكيز والتحليلات.
6. المشاركة والمعالجون.
7. النقل خارج المملكة.
8. الحفظ والإتلاف.
9. الأمن والحوادث.
10. حقوق أصحاب البيانات وطريقة ممارستها.
11. بيانات الأطفال.
12. التحديث والشكوى.

أخطاء شائعة

• نسخ سياسة شركة أجنبية.
• ذكر أدوات غير مستخدمة وإغفال الأدوات الفعلية.
• اعتبار التصفح موافقة على كل شيء.
• جمع بيانات زائدة.
• عدم تحديد مدة الحفظ.
• إهمال مزودي السحابة والدفع.
• وعد بعدم مشاركة البيانات رغم وجود شحن وتحليلات.
• عدم توفير وسيلة لطلبات الحقوق.
• استخدام خانة موافقة محددة مسبقًا.
• تجاهل النسخ الاحتياطية عند الحذف.

أسئلة شائعة

هل تكفي سياسة خصوصية جاهزة؟

لا، لأنها يجب أن تطابق تدفقات البيانات والمزودين والأغراض الفعلية. يمكن استخدام قالب هيكلي ثم تخصيصه بعد جرد المعالجة.

هل أحتاج موافقة لكل معالجة؟

ليس دائمًا؛ توجد أسس نظامية أخرى. لكن يجب تحديد الأساس لكل غرض وعدم استخدام الموافقة بطريقة شكلية.

هل يجب ذكر جميع شركات الخدمة؟

يجب توضيح فئات المستلمين بصورة شفافة، وقد يستحسن ذكر المزودين الرئيسيين أو توفير قائمة محدثة بحسب طبيعة المعالجة.

متى أحذف بيانات العميل؟

عند انتهاء الغرض وعدم وجود التزام نظامي أو نزاع يبرر الحفظ، وفق جدول احتفاظ موثق وطريقة إتلاف آمنة.

الخلاصة

سياسة الخصوصية نتيجة لبرنامج امتثال وليست بديلًا عنه. ابدأ بجرد البيانات والأغراض والمزودين، ثم اكتب إفصاحًا واضحًا يطابق الواقع ويمكّن الحقوق. راجع خدمة صياغة سياسة الخصوصية ومحامي عقود شركات. هذا المحتوى معلوماتي عام، ويجب تخصيص السياسة لنشاط المنشأة.