استضافة البيانات الشخصية في السعودية تجيب عن سؤال واحد: أين تُخزَّن. أما الامتثال لنظام حماية البيانات الشخصية فيتوقف على أكثر من ذلك، ومنه وجود أساس نظامي وغرض محدد لكل نشاط معالجة، واحترام حقوق الأفراد، وأمن كافٍ، وطريقة التعامل مع أي نقل خارج المملكة. ولا يفرض النظام حظرًا شاملًا على كل نقل إلى الخارج؛ فالمادة التاسعة والعشرون تتناول النقل، وأصدرت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) لائحة تحدد شروطه. لذلك يبدأ العمل برسم تدفقات البيانات والمسؤوليات، ثم تطلب من مستشار قانوني مؤهل تقييم المعالجة الفعلية. وهذا المقال قائمة تحقق لذلك الرسم، لا استشارة قانونية.
ستسمع عبارة «البيانات في منطقة سعودية» تُقال وكأنها نهاية النقاش، وهي تجيب عن الأول من ثلاثة أسئلة:
- الإقامة: أين تُخزَّن البيانات وتُعالَج.
- مشروعية المعالجة: الأساس والغرض لكل نشاط معالجة، والبيانات التي تُجمع، ومدة الاحتفاظ بها، وكيف يمارس الأفراد حقوقهم، وكيف تُؤمَّن.
- النقل: هل تخرج البيانات الشخصية، أو إمكانية الوصول إليها، من المملكة.
والأسئلة الثلاثة مترابطة، ولا يجيب أحدها عن الآخر. فقد ينطوي نظام مستضاف داخل المملكة على نقل: يصل مهندسو دعم لدى مورد في الخارج إلى بيانات الإنتاج، أو تذهب سجلاتك إلى خدمة مراقبة في بلد آخر. وقد يكون نظام يعالج بعض البيانات في الخارج جائزًا إذا استوفى الشروط المنطبقة. ولا تستطيع الحكم على أي من الحالتين من موقع الاستضافة وحده.
نادرًا ما تبقى البيانات الشخصية في مكان واحد. ابنِ جردًا يتتبع كل تدفق من الجمع حتى الحذف، ويشمل النسخ التي ينساها فريقك عادةً:
- نقاط الجمع: نماذج المواقع، وتطبيقات الجوال، ومراكز الاتصال، وتغذيات الشركاء؛
- قواعد البيانات ومخازن الملفات الرئيسية؛
- النسخ الاحتياطية ونسخ التعافي من الكوارث؛
- السجلات وأدوات المراقبة وتتبع الأخطاء؛
- خدمات التحليلات والتسويق والبريد الإلكتروني والرسائل النصية؛
- أنظمة الدعم والتذاكر؛
- خدمات الذكاء الاصطناعي، بما فيها الطلبات والمقاطع المسترجعة والمخرجات المحفوظة؛
- بيئات التطوير والاختبار التي تحمل نسخًا من بيانات الإنتاج؛
- الوصول الإداري عن بُعد من الموظفين أو الموردين.
وسجّل لكل تدفق فئات البيانات، والغرض، وأين تخزّنها وتعالجها، ومن يستطيع الوصول إليها ومن أين، وكم تحتفظ بها. ودقّق في مساعدات الذكاء الاصطناعي: فمساعد المستندات قد يضع بيانات شخصية في الطلبات والسجلات حتى لو لم تتحرك المستندات الأصلية. ويتناول دليلنا عن RAG للشركات ترشيح الصلاحيات والتعامل مع السجلات في هذه الحالة.
شكل 1: ارسم كل تدفق للبيانات. واشمل النسخ والوصول عن بُعد.
الخريطة التي لا يملكها أحد تتقادم. سجّل لكل نشاط معالجة:
- من يحدد غرضه ووسائله داخل مؤسستك، ومن المسؤول عنه؛
- أي الموردين يعالجون البيانات نيابة عنك، وأي معالجين فرعيين يستخدمون؛
- ما ينص عليه العقد بشأن تعليمات المعالجة، والأمن، وموقع البيانات، وتغيير المعالجين الفرعيين، وإبلاغك بالحوادث، والحذف عند انتهاء الخدمة؛
- المالكين الداخليين: مالك العمل، ومالك النظام، وجهة الاتصال للخصوصية أو الشؤون القانونية.
واسأل مستشارك القانوني عن الأدوار والتعيينات التي يشترطها النظام ولوائحه التنفيذية على مؤسستك، ولا تفترض. وأدرج في التقييم أي متطلبات قطاعية منطبقة. وحيث تدخل أنظمة الذكاء الاصطناعي، اربط هذا السجل بجرد أنظمة الذكاء الاصطناعي لديك؛ ويشرح دليلنا عن حوكمة الذكاء الاصطناعي بين NIST والقانون الأوروبي كيف يخدم سجل واحد عدة طبقات قانونية.
من الخريطة، اكتب كل تدفق يخرج من المملكة، سواء بالتخزين أو المعالجة أو الوصول عن بُعد. وسجّل لكل منها الغرض، والوجهة، والجهة المتلقية، وفئات البيانات، والشرط أو الأساس الذي يعتمد عليه مستشارك القانوني بموجب لائحة سدايا لنقل البيانات. ثم قلّص ما يعبر الحدود: أرسل الحقول التي تحتاجها فقط، واستخدم الأسماء المستعارة حيثما أمكن، وأبقِ المعرّفات المباشرة داخل المملكة حين يسمح الغرض بذلك. والأسماء المستعارة لا تجعل البيانات مجهولة الهوية بذاتها؛ فإذا بقي الشخص قابلًا للتعرف عليه مباشرة أو بصورة غير مباشرة، فاستمر في معاملة المعلومات بوصفها بيانات شخصية وقيّم شروط نقلها.
وراجع هذه القرارات كلما غيّر مورد مناطقه، أو أضاف معالجًا فرعيًا، أو غيّر نموذج الدعم لديه؛ فهذه التغييرات قد تُنشئ نقلًا دون أن ينشر أحد في فريقك أي شيء.
شكل 2: قيّم قبل النقل. وثّق الغرض والضمانات.
قد تقلّل الاستضافة في منطقة سعودية أسئلة النقل المتعلقة بالبيانات التي تخزّنها فيها وتبسّط الخريطة. لكنها لا تحسم شيئًا في وجود أساس نظامي، ولا في جمعك أكثر مما يحتاجه الغرض، ولا في مدة الاحتفاظ بالبيانات، ولا في طريقة ردك على طلبات الأفراد، ولا في كفاية الأمن. وتترك كذلك التدفقات المحيطة بالاستضافة على حالها: وصول الدعم من الخارج، والمراقبة لدى أطراف ثالثة، وخدمات البريد، وواجهات الذكاء الاصطناعي التي تعمل في أماكن أخرى.
وحين تختار مزوّدًا، اطلب إجابات مكتوبة: أين تعالج كل خدمة البيانات، وأين يجلس موظفو الدعم، ومن المعالجون الفرعيون، وكيف يتعامل مع النسخ الاحتياطية والسجلات. ثم سجّل هذه الإجابات في خريطة التدفقات نفسها.
تتغير تدفقات البيانات مع كل مورد جديد أو ميزة أو أداة ذكاء اصطناعي أو منطقة استضافة. فحدّد التغييرات التي تستلزم تحديث الخريطة ومراجعة الخصوصية، وراجع الخريطة كلها وفق جدول ثابت. وتحقّق من المواقع والوصول بالرجوع إلى الإعدادات والعقود وأدلة التشغيل؛ فالرسم وحده لا يثبت الامتثال. والخريطة المحدّثة هي أيضًا ما يتيح لك، عند وقوع حادثة، أن تعرف سريعًا أي البيانات وأي الأشخاص قد يتأثرون.
وإن كنت تعمل في عدة دول خليجية، فطبّق الانضباط نفسه على قواعد كل دولة. فالاستراتيجيات الوطنية، كاستراتيجية الإمارات، ترسم اتجاه السياسات لا التزامات التعامل مع البيانات؛ ويوضح مقالنا عن استراتيجية الإمارات للذكاء الاصطناعي وMGX وG42 هذا التمييز.
قائمة التحقق هذه إرشادات عملية من تكنوستاك، لا استشارة قانونية؛ والتقييم القانوني لمعالجتك الفعلية يجب أن يأتي من مستشار مؤهل. وإن كنت تخطط للاستضافة والنسخ الاحتياطية والسجلات وضوابط الوصول لأنظمة تحمل بيانات شخصية، فيمكن لفريق خدمة الخوادم الافتراضية والسحابة أن يساعدك في تصميم بنية تحتية تُعرف فيها مواقع البيانات وتُوثَّق.
- المملكة العربية السعودية. نظام حماية البيانات الشخصية، نسخة حكومية رسمية؛ وتتناول المادة التاسعة والعشرون نقل البيانات الشخصية خارج المملكة.
- الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). لائحة نقل البيانات الشخصية: شروط نقل البيانات الشخصية خارج المملكة.
