نظام حماية البيانات الشخصية وتوطين البيانات: ماذا تقول النصوص الرسمية عن نقل البيانات خارج المملكة

"هل يُلزمنا نظام حماية البيانات الشخصية بإبقاء البيانات داخل المملكة؟" من أكثر الأسئلة شيوعاً عند اختيار الاستضافة. والنصوص الرسمية تجيب عنه بدقة أكبر مما تفعله معظم الملخصات: فالنظام لا يمنع النقل إلى خارج المملكة، لكنه يقصره على أغراض محددة، وبشروط، ومع ضمانات وتقويم للمخاطر موثقين في حالات كثيرة.

يقرأ هذا المقال النصوص الرسمية التي تنشرها الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا): نظام حماية البيانات الشخصية، ولائحته التنفيذية، ولائحة نقل البيانات الشخصية إلى خارج المملكة. وهو محتوى تثقيفي وليس استشارة قانونية، وقد تفرض الجهات التنظيمية القطاعية قواعد خاصة بها، لذا تحقق من القرارات المحددة مع مستشارك القانوني أو مسؤول حماية البيانات.

أي إصدار تقرأ

ينشر المركز المعرفي لمنصة حوكمة البيانات الوطنية النصوص العربية، ولائحة النقل المنشورة هناك تحمل رقم الإصدار 2.0 بتاريخ أغسطس 2024. أما الترجمة الإنجليزية للوائح على موقع سدايا فتعود إلى 2023، لذا اعتمد في مسائل النقل على النص العربي الحالي. والملخص التالي يتبع الإصدار 2.0.

ماذا يقول النظام: المادة التاسعة والعشرون

بموجب المادة 29 من النظام، يجوز لجهة التحكم نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارجها لتحقيق أحد الأغراض الآتية: تنفيذ التزام بموجب اتفاقية تكون المملكة طرفاً فيها، أو خدمة مصالح المملكة، أو تنفيذ التزام يكون صاحب البيانات طرفاً فيه، أو أغراض أخرى تحددها اللوائح. ويجب أن يستوفي النقل ثلاثة شروط:

1. ألا يمس الأمن الوطني أو المصالح الحيوية للمملكة.
2. أن يتوافر مستوى مناسب لحماية البيانات الشخصية خارج المملكة لا يقل عن المستوى الذي يكفله النظام، وفق تقويم تجريه الجهة المختصة.
3. أن يقتصر على الحد الأدنى من البيانات الشخصية الذي تدعو إليه الحاجة.

ولا تسري هذه الشروط في حالات الضرورة القصوى للمحافظة على حياة صاحب البيانات أو مصالحه الحيوية، أو للوقاية من مرض أو فحصه أو علاجه. ويجوز للوائح منح إعفاءات من الشرطين الثاني والثالث وفق ضوابط.

ما تضيفه لائحة النقل

• أغراض أخرى مسموحة (المادة الثانية): إجراء العمليات التشغيلية الضرورية للمعالجة المركزية لتمكين جهة التحكم من ممارسة أنشطتها، وتقديم خدمة أو منفعة لصاحب البيانات، وإجراء البحوث والدراسات العلمية.
• قائمة الدول الملائمة (المادة الثالثة): تنشر الجهة المختصة في موقعها الرسمي قائمة الدول والمنظمات الدولية التي توفر مستوى مناسباً من الحماية، وتراجعها كل أربع سنوات أو عند الاقتضاء وفق معايير منها وجود أنظمة تحمي البيانات وحقوق أصحابها (بما فيها التعويض)، ووجود جهة مشرفة على الإنفاذ، واستعدادها للتعاون. ويجوز لها حذف دولة من القائمة أو تعليق النقل إليها. تحقق من وضع القائمة الحالي على المنصة بدلاً من الافتراض.
• الضمانات المناسبة (المادة الرابعة): البنود التعاقدية القياسية، أو القواعد المشتركة الملزمة لمجموعات الكيانات متعددة الجنسيات، أو شهادة الاعتماد. وعندما يندرج النقل ضمن إحدى حالات الإعفاء المحددة (مثل النقل غير المتكرر لعدد محدود من الأشخاص، أو العمليات التشغيلية المركزية داخل مجموعة متعددة الجنسيات، أو تقديم خدمة مباشرة لصاحب البيانات، أو البحث العلمي)، قد تُعفى جهة التحكم من شرط المستوى المناسب أو الحد الأدنى أو كليهما، لكن النقل يصبح مقيداً بتلك الضمانات، وتستثني عدة حالات البيانات الحساسة. وقد نشرت سدايا البنود التعاقدية القياسية (الإصدار 1.0، سبتمبر 2024).
• النقل اللاحق (المادة الخامسة): يستمر تطبيق النظام عند نقل البيانات التي سبق نقلها إلى الخارج مرة أخرى.
• العدول عن الإعفاء (المادة السادسة): إذا لم تُطبَّق الضمانات أو ثبت عدم كفايتها لا يسري الإعفاء، وعلى جهة التحكم إيقاف النقل وإشعار الجهات المستقبلة.
• تقويم المخاطر (المادة السابعة): مطلوب قبل النقل بموجب إحدى حالات الإعفاء في المادة الرابعة، وقبل نقل البيانات الحساسة بصفة مستمرة أو على نطاق واسع. ويجب أن يشمل الغرض والمسوغ النظامي، وطبيعة النقل ونطاقه الجغرافي، والضمانات ومدى كفايتها، وتدابير الاقتصار على الحد الأدنى، والآثار المادية أو المعنوية المحتملة واحتمالية حدوثها، وضوابط الحد منها. ويضم المركز المعرفي لسدايا دليلاً استرشادياً لتقويم مخاطر النقل.

واللائحة التنفيذية ذات صلة أيضاً: فالمادة 17 تشترط أن يوضح الاتفاق مع جهة المعالجة ما إذا كانت تخضع لأنظمة دول أخرى وأثر ذلك على التزامها، وأن يحدد جهات المعالجة الفرعية.

قائمة تحقق لقرارات الاستضافة

النقل لا يقتصر على مكان الخادم الرئيسي. حدد كل مكان تصل إليه البيانات الشخصية:

• خوادم الإنتاج وقواعد البيانات ونسخها المتماثلة.
• النسخ الاحتياطية ونسخ التعافي من الكوارث، بما فيها النسخ الخارجية التي تنشئها السكربتات.
• البريد الإلكتروني وأدوات مشاركة الملفات والتعاون.
• خدمات السجلات والمراقبة وتتبع الأخطاء والتحليلات التي تستقبل عناوين IP أو معرفات المستخدمين أو محتوى النماذج.
• الدعم والإدارة: أي الموردين أو المتعاقدين يمكنهم الوصول إلى البيانات ومن أين.
• واجهات الذكاء الاصطناعي والترجمة والدفع والرسائل التي تستقبل بيانات العملاء.

سجّل لكل مسار مكان تخزين البيانات والوصول إليها وجهات المعالجة الفرعية. المسارات التي تبقى بالكامل داخل المملكة تقع خارج قواعد النقل، مع بقاء كل التزامات النظام الأخرى سارية. أما كل مسار يخرج من المملكة فوثّق له غرض المادة 29، وما إذا كانت الوجهة مدرجة في قائمة الدول الملائمة أو الضمانة التي تعتمد عليها، وما إذا كان تقويم المخاطر وفق المادة السابعة مطلوباً، وكيف تقتصر على الحد الأدنى من البيانات.

وتنشر Skyline دليلاً خاصاً بتوطين البيانات لخدمة Skyline Cloud التي تشغّل الخوادم السحابية والبريد المؤسسي والتخزين على بنية تحتية داخل المملكة.

ما الذي ينبغي فعله

• اقرأ لائحة النقل العربية الحالية (الإصدار 2.0) بدلاً من الملخصات أو الترجمات الأقدم.
• اجرد كل نظام ومورد يخزن البيانات الشخصية أو يمكنه الوصول إليها، بما في ذلك النسخ الاحتياطية والسجلات وصلاحيات الدعم.
• فضّل الاستضافة والنسخ الاحتياطي داخل المملكة حيثما أمكن، فذلك يُخرج تلك المسارات من قواعد النقل.
• لكل نقل متبقٍ، وثّق الغرض وأساس الملاءمة أو الضمانة (مثل البنود التعاقدية القياسية من سدايا)، وتقويم المخاطر حيث تشترطه المادة السابعة.
• اسأل جهات المعالجة عما إذا كانت تخضع لأنظمة أجنبية وعن جهات المعالجة الفرعية لديها، كما تتوقع المادة 17 من اللائحة التنفيذية.
• راجع التحليل كلما أضفت مورداً أو حدّثت سدايا نصوصها.

المصادر

• dgp.sdaia.gov.sa/wps/portal/pdp/knowledgecenter
• dgp.sdaia.gov.sa/wps/wcm/connect/666d32b6-b6fd-4296-8be2-cce891ebca52/%D9%84%D8%A7%D9%8...
• dgp.sdaia.gov.sa/wps/wcm/connect/d60cac13-b94f-4e58-9af5-14c4979c376d/%D9%86%D8%B8%D8%A...
• dgp.sdaia.gov.sa/wps/wcm/connect/c863ed7e-4bdf-4bb7-b30d-704db0a8b4b9/%D8%A7%D9%84%D9%8...
• dgp.sdaia.gov.sa/wps/wcm/connect/6a37fc53-96ab-4e9a-9108-d9a0cdcda9c4/%D8%A7%D9%84%D8%A...
• sdaia.gov.sa/en/SDAIA/about/Documents/Personal%20Data%20English%20V2-23April2023-%20Rev...
• sdaia.gov.sa/en/SDAIA/about/Documents/ImplementingRegulation.pdf
• sdaia.gov.sa/Documents/StandardContractualClausesForPersonalDataTransferEN.pdf
• cloud.alskyline.com/data-residency-saudi-arabia
• cloud.alskyline.com