قالب تقييم أثر حماية البيانات DPIA المخصص للامتثال لـ PDPL في السعودية

نظرة عامة

تقييم أثر حماية البيانات (DPIA) هو التحليل المنظَّم الذي تُجريه قبل إطلاق أي معالجة قد ينتج عنها خطر عالٍ على حقوق أصحاب البيانات. تجعله المادة 25 من PDPL ولائحته إلزاميًا في سيناريوهات محددة.

متى يكون إلزاميًا

• معالجة بيانات حساسة على نطاق واسع.
• مراقبة منتظمة لمنطقة عامة على نطاق واسع.
• قرارات آلية ذات أثر قانوني (تقييم ائتماني، KYC).
• تقنيات جديدة (LLMs، بيانات حيوية سلوكية).
• نقل عبر الحدود إلى دول غير ملائمة.

شجرة قرار

معالجة جديدة أو متغيّرة جوهريًا؟
  ├── لا → لا DPIA، راجع سنويًا
  └── نعم ↓
تطابق محفّزًا إلزاميًا؟
  ├── نعم → DPIA إلزامي
  └── لا  ↓
تشمل بيانات أطفال أو تنميط تسويقي أو تقنية جديدة؟
  ├── نعم → DPIA موصى به
  └── لا  → وثّق السبب واخرج

القالب — 12 قسمًا

1. التعريف: المرجع، التاريخ، المؤلف، المعتمدون، الحالة.
2. وصف المعالجة: مخطط تدفق، الأنظمة، عدد الأشخاص سنويًا، النطاق الجغرافي.
3. جرد البيانات:

| الفئة      | المصدر       | إلزامية | الاحتفاظ |
| الاسم      | نموذج العميل | نعم     | 7 سنوات |
| الهوية     | نموذج العميل | نعم     | 7 سنوات |
| الموقع     | تطبيق الجوال | لا      | 12 شهرًا |

4. الأساس القانوني لكل غرض من المادة 6.
5. الضرورة والتناسب — لماذا كل عنصر بيانات ضروري؟
6. مخاطر على الأشخاص — احتمالية × شدة = خطر طبيعي.
7. التخفيف: تدبير لكل خطر مع تقدير الخطر المتبقي.
8. النقل عبر الحدود: الآلية والتدابير التكميلية.
9. حقوق الأشخاص: كيفية احترامها.
10. المشاورة: مع الأمن، القانون، اللجنة الأخلاقية، عيّنة من أصحاب البيانات.
11. القرار: تنفيذ / تنفيذ مشروط / إيقاف وإعادة تصميم / رفض.
12. جدول المراجعة: كل 12 شهرًا أو عند تغيير جوهري.

جدول الاحتفاظ

• DPIA المعتمَد: عمر المعالجة + 3 سنوات.
• أدلة المشاورة: نفس DPIA.
• ملاحظات المراجعة الدورية: 3 سنوات.

ما يطلبه مدقّق سدايا

سجل DPIA، عيّنة من 3 تقييمات بمستويات مخاطر مختلفة، اعتماد DPO، أدلة تنفيذ التخفيف، أدلة مراجعة 12 شهرًا.

أخطاء شائعة

• كتابة DPIA بعد الإطلاق.
• تصنيف "منخفض الخطر" بلا تبرير.
• عدم تحديث DPIA بعد تغيير جوهري.
• DPIA يملكه الأمن فقط دون مالك الأعمال.

الخلاصة

DPIA هو أقوى دليل على أنك أخذت الخصوصية بجدية بالتصميم؛ خصّص يومًا لتقييم حقيقي بدل أسبوع لثلاثة تقييمات سطحية.

أدلة ذات صلة

• PDPL — الدليل الكامل
• نقل البيانات عبر الحدود
• NCA ECC v2