المصادر · الامتثال
الامتثال لنظام حماية البيانات الشخصية: دليل تقني لأنظمة المعلومات في السعودية
الامتثال لنظام حماية البيانات الشخصية (PDPL) في السعودية عمل قانوني وتقني معًا. فالفريق القانوني ومسؤول حماية البيانات يقرؤون النظام ولوائحه ويحددون الالتزامات، أما فريق تقنية المعلومات فهو من يجيب عن الأسئلة التي تثبت أن هذه الالتزامات مطبّقة: أين تقع البيانات الشخصية في الأنظمة، ومن يصل إليها، وهل تخرج نسخ منها إلى بيئات الاختبار، وهل يغادر شيء منها المملكة، وكم يحتاج الفريق ليكتشف التسرب. يشرح هذا الدليل الجانب التقني فقط، ويبيّن الضوابط التي تساعد فيها أدوات مثل Redgate وDatadog، وأين لا تكفي الأدوات.
نُشر في 9 دقائق قراءة
الخلاصة للإدارة
- ما هو: نظام حماية البيانات الشخصية نظام سعودي يحكم جمع البيانات الشخصية ومعالجتها، وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وتصدر الهيئة لوائحه التنفيذية ولائحة نقل البيانات الشخصية إلى خارج المملكة.
- ما الذي يقع على تقنية المعلومات: معرفة أماكن البيانات الشخصية، وضبط من يصل إليها، وإبعادها عن بيئات الاختبار، والتحكم في ما يغادر المملكة، وكشف التسرب في وقت يسمح بالإبلاغ عنه.
- ما الذي تساعد فيه الأدوات: التقنيع في البيئات غير الإنتاجية، واختيار منطقة سحابية داخل المملكة، وسجلات الوصول والتنبيهات.
- ما الذي لا تفعله الأدوات: لا تحدد الأساس النظامي للمعالجة، ولا تكتب إشعار الخصوصية، ولا تجعل الجهة ملتزمة وحدها.
ما نظام حماية البيانات الشخصية، ومن يشرف عليه
نظام حماية البيانات الشخصية هو الإطار الذي يحكم معالجة البيانات الشخصية في المملكة: جمعها واستخدامها وحفظها والإفصاح عنها ونقلها وإتلافها. وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وتنشر الهيئة لوائحه التنفيذية ولائحة نقل البيانات الشخصية إلى خارج المملكة، كما تقدّم خدماتها للجهات عبر المنصة الوطنية لحوكمة البيانات. أما نص النظام نفسه فمنشور على موقع هيئة الخبراء بمجلس الوزراء.
اقرأ المزيد
ويقرّ النظام حقوقًا لصاحب البيانات، منها أن يعلم بما يُجمع عنه ولماذا، وأن يطلب الاطلاع على بياناته وتصحيحها. ويضع على الجهة التي تعالج البيانات التزامات، منها حماية البيانات، والإبلاغ عن حوادث التسرب، وضوابط لنقل البيانات خارج المملكة.
ولا ينقل هذا الدليل أرقام المواد ولا المواعيد، لأن النقل عن الملخصات ينشر المتطلبات الخاطئة، والنصوص نفسها تُحدَّث. فاقرؤوا النص الحالي على مواقع الجهات الرسمية مع الفريق القانوني ومسؤول حماية البيانات، واستعملوا هذا الدليل لما بعد ذلك: ترجمة الالتزام إلى ضوابط في الأنظمة.
روابط ذات صلةالهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)المنصة الوطنية لحوكمة البياناتموقع هيئة الخبراء بمجلس الوزراء
الامتثال لنظام حماية البيانات الشخصية في أنظمة تقنية المعلومات: ستة أسئلة
حين يُسأل فريق تقنية المعلومات عن الامتثال لنظام حماية البيانات الشخصية، تعود الأسئلة غالبًا إلى ستة. وما لا يستطيع الفريق الإجابة عنه بدليل يُعرض هو نقطة البداية، لا قائمة المنتجات:
- أين تقع البيانات الشخصية؟ في أي قواعد بيانات وجداول وأعمدة، وفي أي ملفات ونسخ احتياطية وسجلات تطبيقات. وكثيرًا ما تظهر في أماكن لا يتوقعها أحد، مثل خانات الملاحظات الحرة وسجلات الأخطاء.
- من يراها؟ أي الحسابات والأدوار تصل إلى كل فئة، ومن يملك صلاحيات المدير، وهل تُراجع هذه الصلاحيات.
- هل تخرج نسخ منها إلى بيئات الاختبار والتطوير؟ نسخة الإنتاج التي تُستعاد في بيئة اختبار تحمل البيانات الشخصية نفسها، لكن بحماية أقل وعدد أكبر ممن يصلون إليها.
- هل يغادر شيء منها المملكة؟ عبر خدمة سحابية، أو منصة SaaS، أو نسخة احتياطية، أو أداة مراقبة ترسل السجلات إلى الخارج.
- كم تحتاجون لتكتشفوا التسرب؟ الالتزام بالإبلاغ له موعد في النص، ولا يمكن الوفاء به إن لم يُكتشف الحادث أصلًا.
- هل يوجد سجل لأنشطة المعالجة؟ وصف مكتوب لكل نشاط معالجة: البيانات، والغرض، والأنظمة، ومن يصل إليها. والقانونيون يكتبون الغرض، وتقنية المعلومات تكتب الأنظمة.
متطلبات نظام حماية البيانات الشخصية لأنظمة تقنية المعلومات: الالتزام، والسؤال، والضابط
الأسماء في العمود الأول وصف مبسّط لمجالات العمل، لا عناوين المواد. ويطابق الفريق القانوني كل مجال مع النص قبل اعتماده. والعمود الأخير يبيّن ما تنتجه الأدوات، لا ما يكفي وحده.
| مجال الالتزام | السؤال التقني | الضابط | أين تساعد الأدوات |
|---|---|---|---|
| معرفة البيانات وأغراضها | أين تقع البيانات الشخصية في كل نظام؟ | جرد للأعمدة والملفات الحساسة، مربوط بسجل أنشطة المعالجة | تصنيف تلقائي في Redgate Test Data Manager يقترح الأعمدة الحساسة، ويراجعها مالك البيانات |
| حماية البيانات | من يصل إلى كل فئة، وبأي صلاحية؟ | أقل صلاحية لازمة، ومراجعة دورية لحسابات المديرين | سجلات الدخول من قاعدة البيانات ومزوّد الهوية مجمّعة في Datadog، مع لوحة للدخول بصلاحيات عالية |
| البيئات غير الإنتاجية | هل في الاختبار والتطوير بيانات حقيقية؟ | تقنيع قبل أن تغادر النسخة الإنتاج، أو بيانات مولّدة | التقنيع الحتمي والتقطيع في Redgate Test Data Manager، مع الحفاظ على العلاقات بين الجداول |
| النقل خارج المملكة | ما الذي يغادر، وإلى أين، ولماذا؟ | قرار مكتوب لكل فئة بيانات، ومنطقة داخل المملكة لما يجب أن يبقى | منطقة Google Cloud في الدمام (me-central2)، وحجب القيم الحساسة قبل إرسال السجلات |
| الإبلاغ عن التسرب | كم تحتاجون لتكتشفوا الحادث وتعرفوا نطاقه؟ | تنبيهات على الوصول غير المعتاد، ومسار مكتوب للتصعيد | قواعد كشف وتنبيهات في Datadog، وسجل يبيّن ما الذي وصل إليه الحساب |
| المساءلة | من غيّر صلاحية أو إعدادًا، ومتى؟ | سجل تدقيق لا يعدّله من يُدقَّق عليه | Datadog Audit Trail يسجّل من يستخدم Datadog وماذا يفعل |
نسخ الاختبار: أكثر ثغرة تتكرر، وأسهلها علاجًا
في أغلب الجهات التي نراجع بياناتها، يكون أكبر تجمّع للبيانات الشخصية خارج الإنتاج هو بيئات الاختبار والتطوير والتدريب. فالنسخة تُستعاد كاملة لأن ذلك أسرع، ثم تبقى سنوات، ويصل إليها مطورون ومختبرون ومورّدون لا يحتاجون إلى اسم عميل حقيقي أو رقم هويته. وإذا تسربت بيانات من هذه البيئات فهي بيانات شخصية تسربت.
والعلاج أن تُقنَّع البيانات قبل أن تغادر الإنتاج: يُستبدل الاسم والهوية والجوال والبريد بقيم واقعية لا تعود إلى شخص حقيقي، مع بقاء العلاقات بين الجداول حتى تعمل التطبيقات. وتنفّذ إنتركي أدوات Redgate لتسليم قواعد البيانات، ومنها Redgate Test Data Manager، الذي تذكر وثائق Redgate أنه يصنّف الأعمدة الحساسة تلقائيًا، ويقنّعها تقنيعًا حتميًا، ويقتطع نسخة أصغر تمثّل البيانات، ويعمل من سطر الأوامر داخل مسار CI/CD. ويشرح دليل بيانات الاختبار ونظام حماية البيانات الشخصية هذه الخطوات بالتفصيل، ويعرض دليل تقنيع البيانات الطرق المختلفة.
اقرأ المزيد
أما من يحتاج إلى قراءة بيانات الإنتاج دون أن يرى كل القيم، مثل موظفي الدعم، فله حل آخر هو التقنيع الديناميكي، الذي يعرض القيمة مخفية بحسب دور المستخدم دون أن يغيّر البيانات المخزنة. ويتناول دليل التقنيع الديناميكي للبيانات متى يناسب ومتى لا يناسب.
روابط ذات صلةبيانات الاختبار ونظام حماية البيانات الشخصيةتقنيع البياناتالتقنيع الديناميكي للبيانات
إقامة البيانات والنقل خارج المملكة
تنظّم لائحة نقل البيانات الشخصية إلى خارج المملكة متى يجوز النقل وبأي شروط، والفريق القانوني هو من يحدد ما ينطبق على كل فئة. ودور تقنية المعلومات أن يعرف كل مسار تغادر به البيانات فعلًا، لأن أكثرها لا يظهر في المخططات: نسخة احتياطية في منطقة سحابية خارجية، ومنصة SaaS للموارد البشرية أو خدمة العملاء، وأداة مراقبة ترسل سجلات تحمل أسماء وأرقام جوالات.
اقرأ المزيد
ولمن يحتاج إلى أن تبقى فئة من البيانات داخل المملكة خيارات واضحة: لدى Google Cloud منطقة في الدمام (me-central2)، وأعلنت AWS عن منطقة سعودية لا ينبغي أن تعتمد عليها الخطة حتى تظهر في قائمة مناطقها المتاحة، وتبقى البنية التي تشغّلونها في مراكز بياناتكم خيارًا قائمًا. وإنتركي شريك لـ Google Cloud وشريك لـ AWS. ويعرض دليل إقامة البيانات في السعودية القرار لكل فئة بيانات.
روابط ذات صلةإقامة البيانات في السعودية
كشف التسرب وسجل الوصول: ما الذي تحتاجه قبل أن يقع الحادث
يفرض النظام الإبلاغ عن حوادث تسرب البيانات الشخصية في موعد يحدده النص، ويحدد ما يتضمنه البلاغ. والمشكلة التقنية تسبق ذلك: لا يمكن الإبلاغ في الموعد عن حادث لم يُكتشف، ولا وصف نطاقه إن لم يوجد سجل يبيّن ما الذي قرأه الحساب المخترق ومتى.
ويحتاج الفريق قبل أي حادث إلى ثلاثة أشياء: سجلات وصول مجمّعة من قواعد البيانات ومزوّد الهوية والتطبيقات الحساسة، وتنبيهات على الوصول غير المعتاد يتابعها شخص معروف، وسجل تدقيق لمنصة المراقبة نفسها. وفي Datadog تأتي التنبيهات وقواعد الكشف من سجلات التشغيل نفسها، ويسجّل Datadog Audit Trail من غيّر قاعدة أو تنبيهًا أو مدة احتفاظ.
اقرأ المزيد
والسجلات نفسها قد تحمل بيانات شخصية. ومنصة Datadog خدمة SaaS، وحتى نوفمبر 2026 لا موقع لها في الشرق الأوسط، فما يجب أن يبقى داخل المملكة يُحجب أو يُسقط داخل شبكتكم قبل الإرسال. وتبيع إنتركي تراخيص Datadog في المملكة، وتطبّق المنصة، وتقدّم الدعم الفني.
نظام حماية البيانات الشخصية واللائحة الأوروبية GDPR: ما الذي يُنقل من برنامج قائم
كثير من الجهات في المملكة لديها برنامج قائم للائحة الأوروبية GDPR بسبب عملاء أو شركاء في أوروبا. والعمل التقني يُنقل في أغلبه، أما التحليل القانوني فلا يُنسخ.
| المجال | ما يُعاد استخدامه | ما يُراجع لنظام حماية البيانات الشخصية |
|---|---|---|
| جرد البيانات | خرائط الأنظمة والأعمدة الحساسة | أن الجرد يغطي الأنظمة التي تعالج بيانات داخل المملكة كلها |
| التقنيع وبيانات الاختبار | قواعد التقنيع ومسار التحديث | لا شيء تقريبًا، فالضابط التقني واحد |
| ضبط الوصول والسجلات | الأدوار والمراجعات ولوحات الوصول | مدد الاحتفاظ ومن يُبلَّغ، بحسب النص السعودي |
| النقل عبر الحدود | قائمة المسارات التي تغادر بها البيانات | الشروط كلها، فهي في لائحة النقل السعودية لا في الأوروبية |
| الإبلاغ عن التسرب | مسار الكشف والتصعيد | الجهة التي يُبلَّغ إليها، والموعد، ومحتوى البلاغ |
والأمر نفسه مع ضوابط الهيئة الوطنية للأمن السيبراني: كثير من هذا العمل مشترك، كما يشرح دليل الضوابط الأساسية للأمن السيبراني.
ما الذي يسلّمه فريق تقنية المعلومات لمسؤول حماية البيانات
تحدد اللوائح متى يلزم تعيين مسؤول لحماية البيانات، والفريق القانوني يعرف هل ينطبق ذلك عليكم. وفي كل الأحوال، يحتاج من يتولى هذا الدور إلى هذه المواد من تقنية المعلومات:
- جرد للأنظمة التي تحمل بيانات شخصية، مع مالك كل نظام، ومؤرّخ.
- قائمة بالأعمدة والملفات الحساسة في كل نظام، بما فيها خانات النص الحر وسجلات الأخطاء.
- خريطة للمسارات التي تغادر بها البيانات المملكة، وما يغادر في كل مسار.
- وصف لبيئات الاختبار والتطوير، وهل تحمل بيانات حقيقية أم مقنّعة.
- قائمة بالحسابات ذات الصلاحيات الهامة، وتاريخ آخر مراجعة لها.
- مسار مكتوب للحادث، من التنبيه الأول إلى إبلاغ مسؤول حماية البيانات، مع أسماء من يتولون كل خطوة.
- مدد الاحتفاظ لكل فئة، وكيف تُحذف البيانات عند انتهائها.
كيف تجري مراجعة بيانات PDPL مع إنتركي
يعمل فريق إنتركي من الرياض، بمهندسين يكتبون المستندات ويجتمعون مع فرقكم بالعربية والإنجليزية، ويقدّم الدعم الفني بعد الإطلاق. ونعمل مع فريقكم القانوني ومسؤول حماية البيانات لا بديلًا عنهما: هم يحددون الالتزام، ونحن نبيّن ما تفعله الأنظمة اليوم وما يلزم لتطابقه. والمراجعة ليست رأيًا قانونيًا ولا شهادة امتثال، وإن كانت أدواتكم الحالية تكفي نقول ذلك صراحة.
-
حصر الأنظمة.
الأنظمة التي تحمل بيانات شخصية، ومالك كل منها، وبيئاتها غير الإنتاجية.
-
البحث عن البيانات.
تصنيف الأعمدة الحساسة، ومراجعته مع مالك البيانات، والبحث في خانات النص الحر والسجلات.
-
رسم المسارات.
من يصل إلى البيانات، وأين تُنسخ، وما الذي يغادر المملكة.
-
قائمة الفجوات.
ما لا يمكن إثباته اليوم، مرتبًا بحسب الخطر، ليقرر فريقكم ما يبدأ به.
-
التطبيق.
التقنيع في مسار التحديث، وتجميع سجلات الوصول وتنبيهاته، ونقل ما يلزم إلى منطقة داخل المملكة.
-
التسليم.
المستندات وأدلة التشغيل لفريقكم ولمسؤول حماية البيانات، مع بقائنا للدعم الفني.
أسئلة تطرحها فرق تقنية المعلومات عن نظام حماية البيانات الشخصية
ما الجهة المشرفة على نظام حماية البيانات الشخصية في السعودية؟
تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وهي التي تنشر لوائحه التنفيذية ولائحة نقل البيانات الشخصية إلى خارج المملكة. ونص النظام منشور على موقع هيئة الخبراء بمجلس الوزراء. فاقرؤوا النص الحالي من هذه المصادر، لا من الملخصات.
هل وجود بيانات حقيقية في بيئة الاختبار مخالف لنظام حماية البيانات الشخصية؟
الحكم النظامي يحدده الفريق القانوني بحسب الغرض والأساس النظامي. لكن من الجهة التقنية، نسخة الإنتاج في بيئة الاختبار بيانات شخصية بحماية أقل وعدد أكبر ممن يصلون إليها، وتسرّبها تسرّب بيانات شخصية. والتقنيع قبل أن تغادر النسخة الإنتاج يزيل أغلب هذا الخطر.
هل يجب أن تبقى بياناتنا الشخصية داخل المملكة؟
ليس بالضرورة كلها، فلائحة نقل البيانات الشخصية إلى خارج المملكة تحدد متى يجوز النقل وبأي شروط، والفريق القانوني يقرر لكل فئة. ولما يجب أن يبقى خيارات: منطقة Google Cloud في الدمام، أو بنية تشغّلونها داخل المملكة، مع حجب القيم الحساسة قبل إرسال أي سجلات إلى منصة خارجية.
كم تستغرق مراجعة بيانات PDPL، وما الذي يحدد تكلفتها؟
تتوقف المدة على عدد الأنظمة التي تحمل بيانات شخصية، وعدد بيئاتها غير الإنتاجية، وتوفر من يملك كل نظام، فنقدّرها بعد حصر الأنظمة لا قبله. وتتبع تكلفة التطبيق بعدها عدد قواعد البيانات المقنّعة وأحجام السجلات والتراخيص اللازمة، ونسعّرها في عرض واحد مع الدعم الفني.
ما الفرق بين نظام حماية البيانات الشخصية واللائحة الأوروبية GDPR لفريق التقنية؟
العمل التقني متقارب: جرد البيانات، وضبط الوصول، والتقنيع، والسجلات، وكشف التسرب. ولذلك يُعاد استخدام أغلب ما بنته الجهة لبرنامج GDPR. أما شروط النقل عبر الحدود، والجهة التي يُبلَّغ إليها، والمواعيد، فتأتي من النص السعودي، ولا تُنسخ من التحليل الأوروبي.
هل تجعلنا أدوات Redgate وDatadog ملتزمين بنظام حماية البيانات الشخصية؟
لا. الالتزام قرارات تتخذها الجهة: الأساس النظامي، والإشعار، والاحتفاظ، والتعامل مع الطلبات. وتساعد الأدوات في الضوابط التقنية: Redgate في تقنيع بيانات الاختبار، وDatadog في سجلات الوصول والتنبيهات وسجل التدقيق. أما السياسة ومن يتابع التنبيهات فعليكم.
التالي
صفحات ذات صلة
الخطوة التالية
احجز مراجعة بيانات PDPL
أخبرونا بالأنظمة التي تحمل بيانات شخصية، وبطريقة إعداد بيئات الاختبار اليوم، وبما يغادر المملكة إن كنتم تعرفونه. وسنعود إليكم بخطوة أولى تبيّن ما يمكن إثباته اليوم وما ينقصه.
أو مباشرةً
+966-11-2180999 [email protected]أبراج التعاونية، البرج الشمالي، الطابق السابع، طريق الملك فهد، العليا، ص.ب. ٥٦٨٣٥، الرياض ١١٥٦٤، المملكة العربية السعودية