نظام حماية البيانات الشخصية في السعودية (PDPL) دخل حيّز النفاذ، وله لائحة تنفيذية تفصيلية وهيئة تنظيمية. الإمارات لديها قانونها الاتحادي المقابل. بالنسبة لفريق يبني منتجًا يجمع بيانات عملاء في الخليج، هذه ليست وثيقة "سياسة خصوصية" تُضاف إلى تذييل الموقع، بل مجموعة قرارات تصميم يجب أن تكون في المنتج من البداية.
خريطة البيانات
السؤال الأول الذي يطرحه أي تدقيق: أين تعيش البيانات الشخصية، ولماذا جُمعت، ومن يصل إليها، وإلى متى تُحتفظ؟ معظم الأنظمة لا تستطيع الإجابة من دون بحث. نبدأ بجرد: كل حقل يحمل بيانات شخصية، وأساسه النظامي (موافقة، تنفيذ عقد، التزام نظامي)، ومكان تخزينه، والأنظمة الخارجية التي يُرسَل إليها. هذه الخريطة هي الأساس لكل ما بعدها.
حقوق أصحاب البيانات كميزات، لا كوعود
يمنح النظام الفرد حقّ الاطّلاع على بياناته، وتصحيحها، وطلب إتلافها، والحصول عليها بصيغة قابلة للنقل. كل حقٍّ من هذه يحتاج مسارًا برمجيًا حقيقيًا:
- الاطّلاع: تصدير كل ما تحتفظ به عن شخص، بصيغة مفهومة، من كل الجداول لا من واحد.
- التصحيح والإتلاف: عملية حذف تصل إلى النسخ الاحتياطية، وسجلات النظام، ومنصة التحليلات — لا حذف صفٍّ واحد يترك أثره في عشرة أماكن أخرى.
- النقل: البيانات بصيغة منظَّمة قابلة للقراءة آليًا.
تحويل هذه إلى ميزات مبكرًا أرخص بكثير من إضافتها تحت ضغط طلب رسمي بمهلة محدّدة.
الاحتفاظ والحذف
"نحتفظ بكل شيء إلى الأبد" لم يعد موقفًا مقبولًا. يحتاج المنتج إلى جدول احتفاظ: كم تبقى كل فئة من البيانات، وماذا يحدث بعد انتهاء المدة — إتلاف، أم إخفاء هوية. والحذف الفعلي يجب أن يشمل النسخ الاحتياطية والسجلات، وهو قرار معماري يُتّخذ مبكرًا لأنه صعب الإضافة لاحقًا.
نقل البيانات عبر الحدود
هذا هو السؤال الذي يجب أن يجيب عنه أي مزوّد يعمل عن بُعد بصراحة. النظام يقيّد نقل البيانات الشخصية خارج المملكة ويشترط ضمان مستوى حماية مناسب. عمليًا هذا يعني: توثيق أين تُعالَج البيانات وأين تُخزَّن، واتفاقيات معالجة بيانات واضحة، وضوابط تعاقدية للنقل عند الحاجة. حين يشترط المشروع بقاء البيانات داخل السعودية أو الإمارات، الاستضافة داخل الدولة قابلة للترتيب — والقرار يُبنى في المعمارية، لا يُرقَّع لاحقًا.
الإشعار بالخرق
النظام يفرض الإبلاغ عن حوادث تسرّب البيانات ضمن مهلة قصيرة. هذا يتطلب أن يكون النظام قادرًا على اكتشاف الحادث أصلًا: تسجيل وصول، ومراقبة، وتنبيهات، ودليل تعامل مُختبَر — لا اكتشاف الخرق من طرف ثالث بعد أسابيع.
الخصوصية منذ التصميم
بقيّة النظام تتلخّص في مبدأ واحد: اجمع أقلّ ما يلزم، لغرض محدَّد ومعلن، واحتفظ به أقصر مدة ممكنة، وسجّل الموافقة حيث تكون هي الأساس. تعيين مسؤول لحماية البيانات مطلوب في حالات معيّنة.
كيف نتعامل معها
نصمّم لهذه المتطلبات من أول التزام: خريطة البيانات جزء من مرحلة الاكتشاف، وحقوق أصحاب البيانات وسياسة الاحتفاظ ضمن نطاق العمل المكتوب، وسؤال الاستضافة يُحسم قبل كتابة الكود. لسنا مستشاري امتثال قانوني، لكن الجانب الهندسي من الجاهزية التنظيمية هو عملنا اليومي لفرق في الخليج.