بحلول منتصف يناير 2026 كانت لجان النظر في المخالفات لدى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) قد أصدرت 48 قراراً تثبت مخالفات لنظام حماية البيانات الشخصية. والمخالفات المتكررة ليست معقدة: معالجة بيانات دون أساس نظامي صحيح، وإفصاح لم يأذن به أحد، وتدابير تقنية وتنظيمية بقيت على الورق، ورسائل تسويقية أُرسلت إلى من لم يوافق على تلقّيها.
تقرأ الشركات هذا الخبر فتلجأ إلى الإجراء الأسهل: تعيين شخص. يُسمّى مسؤول لحماية البيانات الشخصية، في تعميم داخلي غالباً، ويكون عادةً مدير تقنية المعلومات أو مدير الإدارة القانونية، ثم يُغلق الملف. وقد راجعنا من هذه التعيينات ما يكفي لتسجيل ملاحظتين. عدد غير قليل من الشركات التي عيّنت لم تكن ملزمة بالتعيين أصلاً. وعدد غير قليل من التعيينات نفسها لا يستوفي القواعد التي أُجري من أجلها.
والمشكلتان تعودان إلى سبب واحد: لم يقرأ أحد القواعد.
نطاق الإلزام أضيق مما تتصوره الشركات
تستند قواعد تعيين مسؤول حماية البيانات الشخصية إلى المادة 30(2) من نظام حماية البيانات الشخصية والمادة 32(4) من اللائحة التنفيذية، وأصدرتها سدايا في أغسطس 2024. وتحدّد المادة 5 حالات الإلزام بالتعيين، وهي قائمة مغلقة من ثلاث حالات:
- أن تكون جهة التحكم جهة عامة تقدّم خدمات تنطوي على معالجة بيانات شخصية على نطاق واسع
- أن تنطوي الأنشطة الرئيسية لجهة التحكم على مراقبة منتظمة وممنهجة لأصحاب البيانات
- أن تنطوي الأنشطة الرئيسية لجهة التحكم على معالجة بيانات شخصية حساسة
والأهم هو ما لا تجده في القائمة. لا حدّ للإيرادات، ولا حدّ لعدد الموظفين، ولا معيار مبني على حجم المنشأة إطلاقاً. أما النطاق الواسع فيُقاس بعدد أصحاب البيانات وحجم البيانات وأنواعها والنطاق الجغرافي وتنوّع فئات أصحاب البيانات. كل معيار من هذه المعايير يقيس البيانات، لا المنشأة.
ولهذا أثر يعمل في الاتجاهين، وكلاهما مهم من الناحية العملية.
فالمنشأة الصغيرة قد تكون داخلة في الإلزام بلا لبس. شركة من عشرين موظفاً تعمل على تحليل السلوك أو تتبّع المواقع أو المراقبة المستمرة للعاملين تمارس مراقبة منتظمة وممنهجة كنشاط رئيسي. وكذلك العيادة، لأن البيانات الصحية بيانات شخصية حساسة ومعالجتها هي غرض العيادة. ولا يُخرج أياً منهما من المادة 5 أنها صغيرة الحجم.
والمنشأة الكبيرة قد تكون خارج الإلزام تماماً. مصنع أو شركة مقاولات لديها آلاف الموظفين، تعالج الرواتب وملفات الموارد البشرية وقائمة تواصل مع العملاء، لا تراقب أصحاب البيانات ولا تعالج بيانات حساسة كنشاط رئيسي. وبحسب ظاهر المادة 5، لا يلزمها تعيين.
وعند هذه النقطة يكون الميل إلى التعيين احتياطاً. لكن انظر إلى ثمن هذا الاحتياط. متى عيّنت، سرت عليك بقية القواعد: متطلبات التأهيل، والتبعية التنظيمية، وواجب توفير الموارد، وحماية استقلالية الدور. والتعيين الطوعي الذي لا يستوفي هذه الاختبارات أسوأ من عدم التعيين، لأنك أنشأت التزاماً ثم خالفته. وإن كنت خارج المادة 5، فالموقف القابل للدفاع هو قرار موثّق بأنك خارجها ومعه أسبابه، يُعاد النظر فيه عند تغيّر أنشطة المعالجة. لا تعميم داخلي يسمّي متطوعاً.
ما لا يصح أن يكون عليه الدور
المادة 9(7) هي النص الذي يُبطل، في هدوء، معظم التعيينات التي نراها. وهي تفعل أمرين: تجعل التبعية التنظيمية لمسؤول حماية البيانات إلى مكتب إدارة البيانات أو ما يعادله، وتمنع جهة التحكم من إسناد مهام متعارضة إليه أو مهام تؤثر في استقلاليته. وعلى جهة التحكم كذلك أن توفّر الموارد والدعم الكافيين.
ثم ضع التعيين الشائع في السوق السعودي أمام هذا النص. مدير تقنية المعلومات يملك الأنظمة وضوابط الوصول وإعدادات الاحتفاظ ومنظومة المورّدين. ومدير الإدارة القانونية يملك العقود وصياغة الموافقات وقرارات الإفصاح. ووظيفة مسؤول حماية البيانات أن يراجع هذه القرارات ويرفع عنها تقاريره. فإذا عُيّن أحدهما، صار المراجع هو صاحب القرار الذي تجري مراجعته.
وهذه ليست ملاحظة على أمانة أحد. هي عيب في البنية، ومن النوع الذي يكتشفه المدقّق في ساعة واحدة برسم هيكلك التنظيمي. والمنطق نفسه ينطبق على المدير المالي، وعلى رئيس أمن المعلومات، وعلى مدير الموارد البشرية في شركة تكون بياناتها الحساسة في معظمها بيانات موظفين. فمن يملك أكبر قرار معالجة في المنشأة هو الشخص الوحيد الذي لا يصح أن يتولى الدور.
وتضيف المادة 4 واجباً تتجاوزه معظم جهات التحكم. فجهة التحكم، لا المرشّح، هي المُلزَمة بالتحقق من أن الشخص لديه مؤهل علمي مناسب وخبرة فعلية في حماية البيانات الشخصية، وقدرة على إدارة المخاطر تشمل التعامل مع حوادث تسرّب البيانات الشخصية، ومعرفة كافية بالمتطلبات التنظيمية، ولم يُحكم عليه بجريمة مخلة بالشرف أو الأمانة. وهذا تحقق ينبغي أن تكون قادراً على إثباته. ونحن نسأل عنه سؤالاً بسيطاً: أين الملف الذي يبيّن أنك تحققت؟ وفي الغالب لا يوجد ملف.
ثم يأتي ما يحمله الدور فعلاً. فبحسب المادة 8 يقدّم مسؤول حماية البيانات المشورة في جميع جوانب حماية البيانات الشخصية، ويضع السياسات والإجراءات الداخلية، وينفّذ برامج التوعية والتدريب، ويراجع خطة الاستجابة للحوادث، ويُعِدّ التقارير الدورية عن الامتثال، ويتابع التحديثات التنظيمية. والنص العربي صريح أيضاً في أنه نقطة الاتصال المباشرة مع سدايا والمسؤول عن تنفيذ قراراتها وتعليماتها، وأن طلبات أصحاب البيانات ترد إليه.
وتوقّف عند هذه الأخيرة قليلاً. عندما يصل إشعار من إحدى اللجان، تُقاس مدة الرد بالأيام، والشخص المكلّف بالتحرك هو نقطة الاتصال المسمّاة. فإذا كان هذا الشخص يشغل في الوقت نفسه وظيفة تُدار بها الإدارة التي تجري مراجعتها، ولا يملك تفويضاً بالرد، ولا ملفاً جاهزاً، فالمدة ستمضي. وواجب توفير الموارد في المادة 9(7) ليس تنظيماً إدارياً شكلياً. هو ما يجعل الدور قادراً على العمل في اللحظة التي يُحتاج إليه فيها.
التعيين الخارجي مسموح، وهو غالباً الحلّ الأنظف
المادة 4(2) صريحة في أن مسؤول حماية البيانات يمكن أن يكون موظفاً لدى جهة التحكم أو متعاقداً خارجياً. وفي حالة التعاقد الخارجي تشترط المادة 6(1)(ب) اتفاقاً مكتوباً.
وبالنسبة لجهة تحكم متوسطة الحجم، يكون هذا الهيكل في كثير من الحالات هو الأفضل، وليس لسبب يتعلق بالكلفة وحدها. فالاستقلالية تأتي مضمّنة في البناء، لأن المسؤول الخارجي لا يحمي مساراً وظيفياً داخلياً ولا يدافع عن إدارة مجاورة. والمعرفة المتخصصة يسهل شراؤها أكثر من بنائها، وخاصة القدرة على التعامل مع الحوادث التي تطلبها المادة 4، وهي قدرة لا تستطيع معظم الشركات بناءها داخلياً لأن حوادثها أقلّ من أن تتعلم منها. ثم إن مسألة التبعية تتوقف عن كونها محرجة، لأن المعيَّن من الخارج يمكن أن يرفع تقاريره إلى الجهة التي تحدّدها القواعد دون أن يُطلب من أحد مراجعة رئيسه المباشر.
والاتفاق المكتوب هو مكان النجاح أو الفشل في هذه الترتيبات. عليه أن يضمن وصولاً فعلياً إلى الأنظمة والسجلات والأشخاص، لا اجتماعاً شهرياً. ويحتاج إلى مسار تصعيد محدد لا يمرّ عبر الإدارة التي تجري مراجعتها. ويحتاج إلى وقت تعاقدي كافٍ للقيام فعلاً بما تنصّ عليه المادة 8، فهي مهمة قائمة ومستمرة لا تقرير سنوي. وينبغي أن يسمّي من يتولى الرد عند تواصل سدايا، ومعه التفويض بأن يفعل ذلك داخل المدة النظامية.
فالمسؤول الخارجي المعيَّن بأتعاب رمزية، الذي يُوصَل إليه بالبريد الإلكتروني، دون وصول ودون تفويض، يخالف المادة 9(7) تماماً كما يخالفها التعيين الداخلي المتعارض. الشكل مختلف، والعيب واحد.
صار هناك من يملك ترخيصاً بالتحقق من هذا
حتى هذا العام لم يكن لسؤال "من يدقّق التزام جهة التحكم" جواب واضح. وفي 17 فبراير 2026 أصدرت سدايا وثيقتين تغيّران ذلك: قواعد تنظّم تراخيص إصدار شهادات الاعتماد لجهات التحكم والمعالجة، وقواعد تنظّم تراخيص ممارسة أنشطة التدقيق والفحص على عمليات معالجة البيانات الشخصية. وترخيص التدقيق متاح لجهات القطاع الخاص والعام.
والشروط المتداولة، ونوصي بالتحقق منها في النصوص العربية قبل الاعتماد عليها، هي أن مدة الترخيص ثلاث سنوات مع تقديم طلب التجديد قبل انتهائه بمدة لا تقل عن 90 يوم عمل، وأن الجهة التي تُصدر شهادات الاعتماد يلزمها رأس مال لا يقل عن 10 ملايين ريال، وعشرة مقيّمين متفرغين على الأقل، واعتماد من المركز السعودي للاعتماد.
وثمة نتيجة واحدة متداولة تستحق تحققاً مباشراً من كل من اشترى خدمات تأكيد في هذا المجال: شهادات الاعتماد وتقارير التدقيق الصادرة عن جهات غير مرخّصة لا يُعتدّ بها لأغراض نظام حماية البيانات الشخصية. فإذا كانت شركتك قد حصلت خلال عام 2025 على شهادة خصوصية من جهة استشارية غير مدرجة في قائمة سدايا للجهات المرخّصة، فقد تكون تحمل وثيقة بلا قيمة نظامية. وهذا يستحق عشر دقائق ومكالمة هاتفية.
أما الدلالة الأوسع فهي في اتجاه الحركة. لقد نشأ سوق للمدقّقين المرخّصين لأن سدايا تريد أن يُختبر الامتثال على يد من يملك صفة الاختبار، وأن يُختبر بالأدلة لا بالنوايا. وأسئلة الحوكمة تُطرح أولاً لأنها الأرخص في التحقق: هل يوجد مسؤول لحماية البيانات، وهل تُلزمك المادة 5 بوجوده، وإلى من يتبع، وما المهام الأخرى المسندة إليه، ومن تحقق من تأهيله، وما الموارد المتاحة له. يجيب المدقّق عن هذه الأسئلة الستة من هيكلك التنظيمي وملف التعيين. وليس أي منهما شيئاً يمكن تجميعه في الأسبوع الذي يصل فيه الطلب، وهي المشكلة نفسها التي وصفناها في الانتقال من المراجعة السنوية إلى الضمان المستمر.
ستة أسئلة تستحق الإجابة هذا الربع
هل أنت داخل الإلزام فعلاً؟ اختبر أنشطة المعالجة لديك أمام الحالات الثلاث في المادة 5، واكتب الجواب ومعه أسبابه. وأعد النظر فيه عند تغيّر المعالجة، لا سنوياً بحكم العادة.
وإن كنت داخله، إلى من يتبع مسؤول حماية البيانات؟ إذا كانت التبعية إلى تقنية المعلومات أو الإدارة القانونية أو أي إدارة تملك أكبر نشاط معالجة لديك، فالتعيين معيب على ظاهر المادة 9(7).
ما المهام الأخرى الموكلة إليه؟ المهام المتعارضة تُبطل التعيين كما يُبطله خطأ التبعية. فمن يعتمد عقود المورّدين ليس مستقلاً عن عقود المورّدين.
هل تستطيع إثبات تحقق المادة 4؟ المؤهل والخبرة والقدرة على إدارة المخاطر والحوادث والمعرفة التنظيمية وحسن السيرة. ينبغي أن يكون هناك ملف.
وإن كان التعيين خارجياً، هل يمنحه الاتفاق وصولاً وتفويضاً؟ وقت تعاقدي، ووصول إلى الأنظمة، ومسار تصعيد خارج الإدارة التي تُراجع، وتفويض مسمّى بالرد على سدايا داخل المدة.
هل المدقّق الذي تدفع له مرخّص؟ وهل الشهادة التي اشتريتها سابقاً ذات قيمة.
خلاصة
توقّف الامتثال لحماية البيانات الشخصية في المملكة عن كونه تمريناً على الصياغة. التطبيق جارٍ، والجزاءات تشمل نشر العقوبة إلى جانب غرامات تصل إلى 5 ملايين ريال وتتضاعف عند التكرار، وصار هناك مهنة مرخّصة مهمتها التحقق من العمل. وأول ما يُتحقق منه ليس التشفير لديك، بل الحوكمة: من المسؤول، وهل هو مستقل، وهل تستطيع إثبات ذلك.
ومعظم الشركات التي نعمل معها في واحد من موقفين. إما أنها عيّنت مسؤولاً لحماية البيانات لا يصح نظاماً أن يتولى الدور، أو أنها لم تسأل قطّ هل تنطبق عليها المادة 5 ولا يوجد لديها أثر يبيّن أن السؤال طُرح. والموقفان قابلان للمعالجة في أسابيع، وكلاهما يصبح أكلف بكثير عندما يسأل عنه من يملك ترخيصاً.
تعمل ألفا أدفايزوري مع جهات التحكم على هذا تحديداً: اختبار ما إذا كان التزام التعيين ينطبق، وتصميم دور لمسؤول حماية البيانات يصمد أمام الطعن في الاستقلالية، وتولّي الدور من الخارج حيث يكون ذلك الهيكل الأنظف، وبناء سجلات التعيين والمعالجة التي سيطلبها المدقّق. وهو الانضباط نفسه المطلوب في أي تعرّض للحوكمة ومخاطر الأطراف الثالثة: إما أن يوجد الضابط في صورة دليل، أو لا يوجد. لو كتبت إليك سدايا يوم الأحد، من سيتولى الرد، وماذا يستطيع أن يُظهر؟ تحدّث إلى مختص.