الإشعار عن تسرب البيانات الشخصية في نظام حماية البيانات الشخصية: قاعدة 72 ساعة وما يجب أن توثقه فرق تقنية المعلومات

عند تسرب بيانات شخصية، يُلزم نظام حماية البيانات الشخصية في المملكة الجهة المسؤولة عنها (جهة التحكم) بإشعار الجهة المختصة، وإشعار أصحاب البيانات المتأثرين في حالات معينة. وتحدد اللائحة التنفيذية مهلة 72 ساعة. ومعظم المعلومات التي يتطلبها الإشعار تأتي من فريق التقنية: السجلات والتسلسل الزمني وجرد الأنظمة وتوثيق ما تم اتخاذه.

يلخص هذا المقال النصوص الرسمية التي تنشرها الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) ويحولها إلى قائمة تحقق عملية للفرق التقنية. وهو محتوى تثقيفي وليس استشارة قانونية؛ ولاتخاذ القرار في حادثة فعلية، ارجع إلى النصوص الرسمية واستشر مستشارك القانوني أو مسؤول حماية البيانات لديك.

الأساس النظامي

تُلزم المادة العشرون من نظام حماية البيانات الشخصية جهةَ التحكم بإشعار الجهة المختصة فور علمها بأي تسرب أو تلف أو وصول غير مشروع إلى البيانات الشخصية، وبإشعار صاحب البيانات إذا كان من شأن ذلك أن يلحق ضرراً ببياناته أو يمس حقوقه ومصالحه، وفقاً لما تحدده اللوائح. وتفصّل المادة الرابعة والعشرون من اللائحة التنفيذية ذلك. وتنشر سدايا النصوص العربية في المركز المعرفي لمنصة حوكمة البيانات الوطنية، وترجمة إنجليزية على موقعها. وتسبقها المادة الثالثة والعشرون التي تُلزم جهة التحكم باتخاذ التدابير الأمنية اللازمة للحد من مخاطر التسرب، والالتزام بضوابط الهيئة الوطنية للأمن السيبراني أو بأفضل الممارسات والمعايير المعترف بها إذا لم تكن ملزمة بتلك الضوابط.

ما الذي يُعد تسرباً

تعرّف اللائحة التنفيذية تسرب البيانات الشخصية بأنه أي حادثة تؤدي إلى الإفصاح عن البيانات الشخصية أو إتلافها أو الوصول غير المصرح به إليها، بقصد أو بغير قصد، وبأي وسيلة آلية كانت أو يدوية. ويشمل ذلك اختراق خادم، وكذلك حاوية نسخ احتياطية مكشوفة، أو رسالة بريد تحمل قائمة عملاء أُرسلت إلى غير صاحبها، أو حاسوباً محمولاً غير مشفر فُقد.

من يُشعر ومتى

• تُشعر جهة التحكم الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من وقت علمها بالحادثة، إذا كان من شأنها الإضرار بالبيانات الشخصية أو بصاحبها أو كانت تتعارض مع حقوقه أو مصالحه (الفقرة 1 من المادة 24).
• إذا تعذر تقديم بعض المعلومات خلال 72 ساعة، فعلى جهة التحكم تقديمها في أقرب وقت ممكن مع إرفاق مبررات التأخير (الفقرة 2). أي أن المهلة لا تنتظر اكتمال التحقيق.
• جهات المعالجة (مثل مزود خدمات تقنية يعالج البيانات نيابة عن جهة التحكم) يجب أن يتضمن الاتفاق معها التزامها بإشعار جهة التحكم بالتسرب دون تأخير غير مبرر (الفقرة 1(د) من المادة 17).
• مسؤول حماية البيانات الشخصية، عند تعيينه، من مهامه المنصوص عليها إشعار الجهة المختصة عن حوادث التسرب (المادة 32).
• تبقى التزامات الإبلاغ الأخرى قائمة. فالفقرة 4 من المادة 24 تنص على أن أحكامها لا تخل بالتزامات الإبلاغ وفق ما يصدر عن الهيئة الوطنية للأمن السيبراني أو الأنظمة واللوائح الأخرى المعمول بها.

يُقدَّم الإشعار عبر خدمة إشعار تسرب بيانات شخصية الإلكترونية لدى سدايا. وتذكر صفحة الخدمة أن من متطلباتها شهادة تسجيل سارية المفعول من مكتب إدارة البيانات الوطنية، وأن خطواتها: تسجيل الدخول إلى منصة حوكمة البيانات الوطنية، ثم الخدمات الإلكترونية، ثم اختيار خدمة إشعار التسرب، وتعبئة النموذج وتقديمه. تأكد من أن لدى أحد في منشأتك صلاحية الدخول قبل وقوع أي حادثة.

ما يجب أن يتضمنه الإشعار

تحدد الفقرة 1 من المادة 24 المحتوى، ويقابل كل عنصر منه شيئاً على فريق التقنية تقديمه:

ويجب إشعار الأفراد دون تأخير غير مبرر إذا كان التسرب قد يلحق ضرراً ببياناتهم أو يتعارض مع حقوقهم أو مصالحهم، بلغة مبسطة وواضحة، مع وصف للحادثة والمخاطر المحتملة والتدابير المتخذة وبيانات التواصل وتوصيات تساعدهم على حماية أنفسهم (الفقرة 5). كما يجب على جهة التحكم الاحتفاظ بنسخ من التقارير المقدمة وتوثيق التدابير التصحيحية والمستندات الداعمة (الفقرة 3).

ما يجب أن تجهزه فرق التقنية قبل وقوع الحادثة

• توقيت دقيق. كل طابع زمني في الإشعار يعتمد على تزامن الساعات. تحقق بالأمر timedatectl status من تفعيل مزامنة NTP على كل خادم.
• سجلات تغطي مدة كافية وتصمد أمام الهجوم. اعرف مدة احتفاظك بسجلات المصادقة وخادم الويب وقاعدة البيانات ولوحة التحكم السحابية، وأرسل نسخاً منها إلى نظام منفصل حتى لا يتمكن المتسلل من محوها. وعلى الخوادم التي تعمل بـsystemd يعرض الأمران journalctl --disk-usage وjournalctl --list-boots حجم السجل المحفوظ محلياً.
• جرد للبيانات. تشترط المادة 33 من اللائحة أصلاً سجلات مكتوبة لأنشطة المعالجة. اربطها بالأنظمة: أي الخوادم وقواعد البيانات وحاويات التخزين تحتوي أي فئات من البيانات الشخصية، وعدد السجلات تقريباً.
• نموذج لسجل الحادثة. وثّق متى وكيف اكتُشفت المشكلة، ومن أُبلغ ومتى، وكل خطوة احتواء (عزل خادم، إلغاء مفاتيح، إعادة تعيين كلمات مرور)، والأدلة المحفوظة.
• حفظ الأدلة. انسخ السجلات المعنية، وصور الأقراص حيثما أمكن، قبل إعادة بناء الخادم المخترق، ووثّق مكان حفظ النسخ.
• جهات الاتصال والصلاحيات. من يقرر بلوغ حد الضرر، ومن يقدّم الإشعار عبر المنصة، وجهات الاتصال لدى جهات المعالجة التي يجب أن تبلغك.

مثال لاستخراج سجل دخول SSH لفترة زمنية محددة على Debian أو Ubuntu:

sudo journalctl -u ssh --since "2026-10-30 00:00" --until "2026-10-31 00:00"

ما الذي ينبغي فعله

• اقرأ المواد 17 و23 و24 و32 و33 من اللائحة التنفيذية مع مستشارك القانوني أو مسؤول حماية البيانات، واتفقوا على من يقرر ومن يقدّم الإشعار.
• تأكد من تسجيل منشأتك وصلاحية الدخول إلى منصة حوكمة البيانات الوطنية قبل الحاجة إليها.
• اربط حقول الإشعار في المادة 24 بالسجلات وقوائم الجرد التي تجيب عنها، وعالج أي نقص في تزامن الوقت أو مدة الاحتفاظ بالسجلات.
• تأكد من أن عقود جهات المعالجة تتضمن إشعارك بالتسرب دون تأخير.
• تدرّب على إشعار خلال 72 ساعة بتمرين محاكاة مرة واحدة سنوياً على الأقل.

المصادر

• sdaia.gov.sa/en/SDAIA/about/Documents/Personal%20Data%20English%20V2-23April2023-%20Rev...
• sdaia.gov.sa/en/SDAIA/about/Documents/ImplementingRegulation.pdf
• dgp.sdaia.gov.sa/wps/wcm/connect/c863ed7e-4bdf-4bb7-b30d-704db0a8b4b9/%D8%A7%D9%84%D9%8...
• dgp.sdaia.gov.sa/wps/wcm/connect/d60cac13-b94f-4e58-9af5-14c4979c376d/%D9%86%D8%B8%D8%A...
• dgp.sdaia.gov.sa/wps/portal/pdp/services/personaldatabreachnotification
• dgp.sdaia.gov.sa/wps/portal/pdp/knowledgecenter