قائمة تحقق نظام حماية البيانات الشخصية لمشاريع ERP والذكاء الاصطناعي في السعودية

ينطبق نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية على مشاريع ERP والذكاء الاصطناعي متى عالجت معلومات عن أفراد يمكن تحديد هويتهم، مثل الموظفين والعملاء وجهات اتصال المورّدين ومستخدمي المواقع الإلكترونية. ولكي يبقى المشروع ممتثلًا، عليه أن يعرف البيانات الشخصية التي يحتفظ بها وسبب ذلك، وأن يستند إلى مسوغ نظامي صحيح، وأن يجمع الحد الأدنى اللازم فقط، وأن يحتفظ بها للمدة الضرورية فحسب، وأن يحميها، وأن يحترم حقوق أصحاب البيانات، وأن يُبلغ عن حوادث التسرب في وقتها، وأن يضبط النقل إلى خارج المملكة. وتربط قائمة التحقق هذه تلك الالتزامات بنقاط تحقق عملية لمشاريع تطبيق أنظمة ERP وأنظمة الذكاء الاصطناعي مثل مساعدات التوليد المعزّز بالاسترجاع (RAG).

هذه معلومات عامة، وليست استشارة قانونية. فنظام حماية البيانات الشخصية ولائحته التنفيذية وإرشادات سدايا مفصّلة وتُحدَّث من وقت لآخر. تحقّق من كيفية انطباقها على منشأتك مع مستشار قانوني مؤهل ومسؤول حماية البيانات الشخصية لديك، وراجع النصوص الرسمية على المنصة الوطنية لحوكمة البيانات التابعة لسدايا.

نظام حماية البيانات الشخصية في لمحة

صدر النظام بالمرسوم الملكي رقم (م/19) في سبتمبر 2021، وعُدّل بالمرسوم الملكي رقم (م/148) في عام 2023. وتنشر هيئة الخبراء بمجلس الوزراء النص الرسمي للنظام.

ويميّز النظام بين جهة التحكم التي تحدد الغرض من معالجة البيانات الشخصية وكيفيتها، وجهة المعالجة التي تعالج البيانات لمصلحة جهة التحكم ونيابة عنها. وفي معظم مشاريع ERP والذكاء الاصطناعي، تكون منشأتك جهة التحكم، ويكون مزوّد نظام ERP أو مزوّد الخدمات السحابية أو مزوّد نموذج الذكاء الاصطناعي جهة معالجة.

المبادئ الأساسية وما تعنيه للمشاريع

المسوغ النظامي والموافقة

الموافقة هي الأساس الافتراضي، وتقضي تعديلات عام 2023 بأن تكون صريحة في الأحوال التي تحددها اللوائح. كما يجيز النظام المعالجة دون موافقة في أحوال محددة، منها أن تكون المعالجة بمقتضى نظام آخر، أو تنفيذًا لاتفاق سابق يكون صاحب البيانات طرفًا فيه، أو لتحقيق مصالح مشروعة لجهة التحكم، ما لم يُخلّ ذلك بحقوق صاحب البيانات ولم تكن البيانات حساسة. ويحق لصاحب البيانات الرجوع عن موافقته في أي وقت.

نقطة تحقق للمشروع: وثّق المسوغ النظامي لكل غرض من أغراض المعالجة؛ فمعالجة نظام ERP للرواتب أو الفوترة أو العقود تستند عادةً إلى مسوغ يختلف عن التسويق أو تحليلات الذكاء الاصطناعي.

تحديد الغرض والحد الأدنى من البيانات

يجب أن يكون الغرض من جمع البيانات الشخصية ذا علاقة مباشرة بأغراض جهة التحكم، وأن يقتصر محتوى البيانات على الحد الأدنى اللازم لتحقيقه. وإذا لم تعد البيانات ضرورية، وجب التوقف عن جمعها وإتلاف ما جُمع منها دون تأخير.

نقطة تحقق للمشروع: راجع كل حقل بيانات شخصية في تصميم نظام ERP وكل مصدر بيانات يغذّي نظام الذكاء الاصطناعي. فعبارة «قد نحتاج إليها لاحقًا» ليست غرضًا.

الاحتفاظ والإتلاف

يجب إتلاف البيانات الشخصية دون تأخير بعد انتهاء الغرض من جمعها، ما لم يوجد مسوغ نظامي يوجب الاحتفاظ بها مدة محددة، أو كانت متصلة بقضية منظورة أمام جهة قضائية. ويجوز الاحتفاظ بها بعد انتهاء الغرض فقط إذا أُزيل كل ما يؤدي إلى معرفة صاحبها على وجه التحديد، وفق الضوابط التي تحددها اللوائح.

نقطة تحقق للمشروع: حدّد مدد الاحتفاظ لكل فئة بيانات، بما يتسق مع التزامات الاحتفاظ النظامية الأخرى مثل السجلات الضريبية والعمالية، وابنِ الإتلاف أو إخفاء الهوية داخل النظام بدلًا من تركه لعمليات تنظيف يدوية.

حقوق صاحب البيانات الشخصية

يمنح النظام بعد تعديله الأفرادَ الحق في العلم بالمسوغ النظامي لجمع بياناتهم والغرض منه، والحق في الوصول إلى بياناتهم، والحق في طلب الحصول عليها بصيغة مقروءة وواضحة، والحق في طلب تصحيحها أو إتمامها أو تحديثها، والحق في طلب إتلاف ما انتهت الحاجة إليه منها. وبموجب اللائحة التنفيذية، يجب على جهة التحكم تنفيذ الطلبات خلال مدة لا تتجاوز 30 يومًا، ويجوز تمديدها بما لا يزيد على 30 يومًا إضافية في أحوال محددة، مع إشعار صاحب البيانات مسبقًا.

نقطة تحقق للمشروع: تأكّد من قدرتك على العثور على بيانات شخص واحد وتصديرها وتصحيحها وإتلافها عبر نظام ERP والتكاملات والتقارير ومخازن الذكاء الاصطناعي ضمن هذه المدد، ومن معرفتك بكيفية التعامل مع النسخ الاحتياطية.

أمن البيانات والإشعار بالتسرب

يجب على جهة التحكم اتخاذ الإجراءات والوسائل التنظيمية والإدارية والتقنية التي تضمن المحافظة على البيانات الشخصية، وتحيل اللائحة التنفيذية إلى ضوابط الهيئة الوطنية للأمن السيبراني. وبموجب المادة الرابعة والعشرين من اللائحة التنفيذية، يجب على جهة التحكم إشعار سدايا خلال مدة لا تتجاوز 72 ساعة من وقت علمها بحادثة تسرب قد تُلحق ضررًا بالبيانات الشخصية أو بأصحابها أو تتعارض مع حقوقهم أو مصالحهم. كما يجب إشعار أصحاب البيانات المتأثرين دون تأخير غير مبرر إذا كان من شأن الحادثة أن تُلحق بهم ضررًا.

نقطة تحقق للمشروع: يجب أن تكون السجلات والمراقبة كافية لاكتشاف التسرب، وأن تحدد خطة الاستجابة للحوادث من يقرر الإشعار ومن يقدّمه.

مسؤول حماية البيانات وسجلات المعالجة وتقويم الأثر

• مسؤول حماية البيانات الشخصية. يجب تعيينه في أحوال محددة، منها أن تكون جهة التحكم جهة عامة تعالج بيانات شخصية على نطاق واسع، أو أن تقوم أنشطتها الأساسية على مراقبة منتظمة وممنهجة لأصحاب البيانات، أو على معالجة بيانات شخصية حساسة. وتنشر سدايا قواعد تعيين مسؤول حماية البيانات الشخصية.
• سجلات أنشطة المعالجة. يجب على جهة التحكم الاحتفاظ بسجلات مكتوبة تشمل الأغراض، وفئات البيانات، والجهات التي يُفصح لها، وعمليات النقل إلى خارج المملكة، ومدد الاحتفاظ، والتدابير الأمنية، طوال مدة المعالجة إضافة إلى خمس سنوات بعد انتهائها.
• تقويم الأثر. يلزم إعداد تقويم مكتوب في أحوال محددة، منها معالجة البيانات الحساسة، وربط مجموعات بيانات من مصادر مختلفة، والمعالجة الواسعة أو المتكررة التي تتضمن تقنيات ناشئة أو قرارات مبنية على المعالجة الآلية، والمعالجة التي يُحتمل أن تُلحق أضرارًا جسيمة بالخصوصية.

والنقطة الأخيرة مهمة للذكاء الاصطناعي؛ إذ ينبغي للمشاريع التي تستخدم تقنيات ناشئة أو تؤتمت قرارات تخص الأفراد أن تتوقع إعداد تقويم للأثر.

النقل إلى خارج المملكة

تحدد المادة التاسعة والعشرون من النظام بعد تعديلها، ولائحة نقل البيانات الشخصية إلى خارج المملكة، شروط النقل. فيجب ألا يمسّ النقل بالأمن الوطني أو بمصالح المملكة الحيوية، وأن يقتصر على الحد الأدنى اللازم من البيانات، وأن يتوافر مستوى مناسب لحماية البيانات في الجهة المستقبِلة وفق تقويم تجريه سدايا. وتحدد اللوائح متى يجوز لجهة التحكم الاستناد بدلًا من ذلك إلى ضمانات مناسبة. وقد نشرت سدايا البنود التعاقدية القياسية، ودليلًا لإعداد القواعد المشتركة الملزمة لنقل البيانات داخل المجموعات، وقواعد إصدار شهادات الاعتماد، ودليلًا استرشاديًا لتقويم مخاطر النقل.

نقطة تحقق للمشروع: اعرف أين يخزّن كل مزوّد بياناتك ويعالجها ويقدّم الدعم عليها، بما في ذلك النسخ الاحتياطية والسجلات ونقاط اتصال نماذج الذكاء الاصطناعي.

قائمة تحقق لمشاريع ERP

1. أعدّ خريطة للبيانات. حدّد البيانات الشخصية في كل وحدة: الموارد البشرية والرواتب، والعملاء، وجهات اتصال المورّدين، وإدارة علاقات العملاء، والخدمة، وأي بوابات. ودوّن المصدر والغرض والمسوغ النظامي والمسؤول.
2. طبّق الحد الأدنى في التصميم. احذف الحقول التي لا يستخدمها أحد، وتجنّب جمع رقم الهوية الوطنية أو غيره من البيانات الحساسة حين يكفي رقم مرجعي.
3. صمّم صلاحيات قائمة على الأدوار. اقصر بيانات الموارد البشرية والرواتب والبيانات الصحية على أصغر مجموعة مستخدمين تحتاج إليها، وراجع الأدوار قبل بدء التشغيل.
4. سجّل الوصول والتغييرات. احتفظ بسجلات تدقيق لمن اطّلع على البيانات الشخصية أو صدّرها أو عدّلها، واحمِ هذه السجلات نفسها.
5. اضبط الاحتفاظ. حدّد قواعد الاحتفاظ والأرشفة لكل فئة بيانات، وخطّط لكيفية وصول الإتلاف أو إخفاء الهوية إلى النسخ الاحتياطية والأرشيف.
6. خطّط لطلبات الحقوق. اتفق على كيفية استلام الطلب والتحقق منه وتنفيذه عبر الوحدات والتكاملات والرد عليه ضمن المدة.
7. تحقّق من المزوّدين والاستضافة. تأكّد من موقع البيانات، والوصول للدعم من خارج المملكة، وجهات المعالجة من الباطن، والالتزامات التعاقدية مع مزوّدي نظام ERP والخدمات السحابية.
8. احمِ بيانات الترحيل. تعامل مع مستخرجات البيانات المستخدمة في الترحيل والاختبار بوصفها بيانات شخصية: أخفِ الهوية فيها ما أمكن، واحذفها بعد بدء التشغيل.
9. حدّث سجلات المعالجة. أضف النظام الجديد إلى سجلاتك وإلى سياسة الخصوصية إذا تغيرت الأغراض أو الجهات المستقبِلة.

وتشمل أعمالنا في استشارات إجراءات الأعمال رسم الإجراءات وتحديد المتطلبات قبل اختيار النظام، وهي المرحلة الطبيعية لبناء خريطة البيانات هذه.

قائمة تحقق لمشاريع الذكاء الاصطناعي وRAG

تثير مشاريع الذكاء الاصطناعي الالتزامات نفسها في مواضع أقل مألوفية؛ إذ ينسخ مساعد RAG نصوصًا من المستندات المصدرية إلى مقاطع وتمثيلات متجهية وفهارس، وقد يقرأ وكيل الذكاء الاصطناعي البيانات الشخصية ويكتبها عبر الأدوات.

خطوات عملية لمشاريع الذكاء الاصطناعي:

1. استبعد البيانات الشخصية أو أخفِها عند الإدخال إذا لم تكن لازمة لحالة الاستخدام.
2. انقل الصلاحيات إلى الاسترجاع، بتصفية النتائج وفق صلاحيات المستخدم بدلًا من الاعتماد على المطالبة.
3. أبقِ الفهرس متزامنًا مع الأنظمة المصدرية حتى تنتقل عمليات الحذف والتصحيح، وأعد الفهرسة وفق جدول يمكنك إثباته.
4. راجع شروط المزوّد بشأن موقع البيانات والاحتفاظ والاستخدام في التدريب قبل التشغيل الفعلي، لا بعده.
5. أشرِك الإنسان في القرار في إجراءات الوكيل التي تغيّر سجلات تخص الأفراد، وسجّل كل إجراء.
6. أعدّ تقويمًا للأثر إذا تضمنت المعالجة تقنيات ناشئة أو قرارات آلية أو بيانات حساسة.

وتبني خدمة وكلاء الذكاء الاصطناعي والأتمتة لدينا مسارات RAG ووكلاء محددة النطاق وفق الأدوار والصلاحيات، مع ضوابط حماية وخطوات موافقة بشرية.

أخطاء شائعة

• التعامل مع النظام بوصفه مهمة قانونية فقط. فالالتزامات تتحقق أو تُفقد في تصميم الأنظمة: الحقول والأدوار والسجلات وقواعد الاحتفاظ.
• نسيان النُّسخ. بيئات الاختبار، ومستخرجات الترحيل، والتقارير، وملفات التصدير، والنسخ الاحتياطية، وفهارس المتجهات كلها تحتوي بيانات شخصية.
• افتراض أن المزوّد هو المسؤول. تبقى جهة التحكم مسؤولة عن اختيار جهات معالجة توفر الضمانات اللازمة، وعن التحقق من التزامها.
• إغفال الوصول لأغراض الدعم. قد ينطوي الدعم عن بُعد من خارج المملكة على إفصاح عن بيانات شخصية لجهة خارج المملكة.
• غياب ساعة للتسرب. دون مراقبة ومتخذ قرار محدد، تمضي 72 ساعة سريعًا.
• فهرسة كل شيء للذكاء الاصطناعي. تحميل مجلدات مشتركة كاملة إلى فهرس RAG دون تصفية يُدخل بيانات شخصية لا تحتاج إليها حالة الاستخدام.

الأسئلة الشائعة

متى دخل نظام حماية البيانات الشخصية حيّز النفاذ؟

دخل حيّز النفاذ في 14 سبتمبر 2023، ومُنحت جهات التحكم مهلة سنة لتعديل أوضاعها انتهت في 14 سبتمبر 2024. وتشرف سدايا على تطبيقه.

هل ينطبق النظام على بيانات الموظفين في نظام ERP؟

يشمل النظام البيانات الشخصية للأفراد الذين يمكن تحديد هويتهم، وسجلات الموظفين في وحدات الموارد البشرية والرواتب بيانات شخصية. وقد يختلف المسوغ النظامي عن الموافقة، كأن يكون التزامًا نظاميًا أو عقد العمل، لذا تحقّق من المسوغ لكل غرض مع المستشار القانوني.

ما المدة المتاحة للإبلاغ عن تسرب البيانات الشخصية؟

تُلزم اللائحة التنفيذية جهة التحكم بإشعار سدايا خلال 72 ساعة من علمها بحادثة تسرب قد تُلحق ضررًا، وبإشعار أصحاب البيانات المتأثرين دون تأخير غير مبرر إذا كان من شأنها الإضرار بهم. وتوفر منصة سدايا خدمة للإشعار عن تسرب البيانات الشخصية.

هل يمكننا استخدام خدمة ذكاء اصطناعي سحابية مستضافة خارج السعودية؟

ربما، لكن النقل أو الإفصاح إلى خارج المملكة يجب أن يستوفي شروط النظام ولائحة نقل البيانات، مثل توافر مستوى مناسب من الحماية أو ضمانات مناسبة كالبنود التعاقدية القياسية الصادرة عن سدايا. تحقّق من القواعد السارية مع مستشارك القانوني قبل إرسال أي بيانات شخصية.

هل نحتاج إلى مسؤول حماية البيانات الشخصية؟

يعتمد ذلك على أنشطتك؛ فاللائحة التنفيذية تُلزم بتعيينه في أحوال محددة، مثل المعالجة الواسعة من الجهات العامة، أو المراقبة الممنهجة، أو معالجة البيانات الحساسة بوصفها نشاطًا أساسيًا. وتوفر سدايا أداة إلكترونية للتعرف على مدى إلزامية تعيينه.

بناء الخصوصية داخل المشروع

تتخذ AIMLTS من جدة مقرًا لها. وتتولى خدمة استشارات إجراءات الأعمال لدينا رسم الإجراء الحالي والإجراء المستهدف والمتطلبات والضوابط قبل الالتزام بأي نظام، وتبني خدمة وكلاء الذكاء الاصطناعي والأتمتة مساعدات RAG ووكلاء مع ضوابط للوصول وحماية وموافقة بشرية مدمجة. ويبقى التفسير القانوني من اختصاص مستشارك القانوني، ونساعدك نحن على تحويل المتطلبات المتفق عليها إلى إجراءات وأنظمة. احجز مكالمة استكشافية لمناقشة مشروع ERP أو الذكاء الاصطناعي لديك.