نقل البيانات الشخصية السعودية: خمسة أسئلة قبل إتاحة الوصول من الخارج

ليس الخادم الأجنبي الطريق الوحيد لعبور البيانات الشخصية السعودية للحدود. فقد يكون الوصول عن بُعد من شركة في المجموعة أو فريق دعم أو مقدم خدمة سحابية أو متلقٍ آخر خارج المملكة جزءًا من تحليل النقل، ولو بقي النظام الرئيس مستضافًا داخل السعودية.

لذلك يبدأ العمل النظامي من البنية الفعلية، لا من اسم العقد أو العنوان المدوّن في الفاتورة.

وقبل تفعيل الوصول من الخارج، ينبغي للمتحكم أن يجيب عن خمسة أسئلة مترابطة: ما البيانات المعنية؟ ولماذا يلزم النقل؟ وما المسار النظامي المنطبق؟ وما الضمانات المطلوبة؟ وهل يجب إنجاز تقييم للمخاطر؟

يعكس هذا الدليل مواد سدايا الرسمية المتاحة في 10 أغسطس 2026م. وهو معلومات عامة لا تحسم مشروعية عملية نقل بعينها.

خطوات التقييم باختصار

يُجرى التقييم عادةً بالترتيب الآتي:

1. حصر البيانات الشخصية والأنظمة والأشخاص والدول والمتلقين اللاحقين.
2. تحديد غرض المعالجة والنقل وسندهما النظامي.
3. فحص النقل المقترح في ضوء المادة التاسعة والعشرين من النظام ولائحة النقل.
4. اختيار المسار والضمانات المنطبقة وتنفيذها.
5. إنجاز تقييم مخاطر النقل والضوابط التقنية الواجبة قبل بدء الوصول.
6. مواءمة اتفاقية المعالجة وإشعارات الخصوصية والسجلات وإعدادات النظام مع التصميم المعتمد.
7. مراقبة الترتيب عند تغير المتلقين أو الدول أو الأغراض أو البيانات أو الأحكام النظامية.

العقد دليل على جزء من هذه العملية، وليس العملية نفسها.

1. ما الذي سيغادر المملكة أو يصبح متاحًا من خارجها؟

المهمة الأولى هي وصف النقل بدقة. ولا يكفي القول «بيانات موظفين» أو «بيانات عملاء» أو «وصول سحابي».

يلزم تحديد:

• حقول البيانات الشخصية وما إذا كان فيها بيانات حساسة؛
• أصحاب البيانات المعنيين؛
• المتحكم السعودي وأي معالجين؛
• كل متلقٍ ومعالج من الباطن خارج المملكة؛
• الدول التي يمكن أن يتم الوصول منها؛
• مواقع تخزين النسخ الأصلية والاحتياطية والمكررة؛
• التطبيقات والواجهات وأدوات الدعم المستخدمة؛
• قدرة المتلقي على التنزيل أو النسخ أو النقل اللاحق؛ و
• مسار الاحتفاظ والحذف.

يعامل دليل تقييم المخاطر الصادر عن سدايا الوصول عن بُعد والتخزين والمعالجة خارج المملكة والإفصاح للجهات الخارجية بوصفها مسائل يجب فحصها. ومن ثم تصبح صلاحيات المستخدمين وأدوات الإدارة ومواقع فرق الدعم ذات أثر نظامي، ولو وصف الفريق التجاري الخدمة بأنها «مستضافة في السعودية».

وينبغي أن تطابق الخريطة النظام الفعلي. فالمقابلات وملاحق العقود مفيدة، لكن يلزم فحصها مقابل إعدادات المورد وسجلات إدارة الهوية وقوائم المعالجين من الباطن ومواقع الدعم الحقيقية.

2. لماذا يلزم النقل؟

على المتحكم توثيق غرض المعالجة والنقل وسندهما النظامي. والسؤال ليس مجرد ملاءمة الوصول من الخارج، بل ما الغرض التجاري أو النظامي المحدد الذي يستلزم إتاحة البيانات المحددة للمتلقي المحدد.

تعالج لائحة نقل البيانات الأغراض والشروط النظامية للنقل أو الإفصاح خارج المملكة. كما توجب مراعاة مستوى الحماية المكفول بموجب النظام ولوائحه، إلى جانب اعتبارات الأمن الوطني والمصالح الحيوية وأي أحكام سعودية أخرى.

ويؤثر تحديد الغرض في نطاق البيانات. فإذا احتاج فريق الدعم إلى معرفات الحسابات وسجلات التشخيص، فلا يلزم من ذلك وصوله غير المقيد إلى ملفات العملاء كاملة. وإذا أمكن إعداد تقرير المجموعة ببيانات مجمعة، فقد لا تلزم البيانات الخام المحددة للهوية.

لذلك ينبغي للنتيجة النظامية أن تربط الغرض بالمتلقي وبالحد الأدنى اللازم من البيانات. أما عبارة عامة مثل «العمليات العالمية» فنادرًا ما تكفي لضبط صلاحيات النظام أو تفسير نقل كل فئة.

3. ما مسار النقل المنطبق؟

لا يمكن تحديد مسار واحد يناسب كل دولة أو ترتيب داخل المجموعة. بل يفحص المتحكم الوقائع في ضوء النظام ولائحة النقل السارية.

ويحدد التحليل:

• مصدر البيانات ومتلقيها ووجهتها؛
• الغرض المسموح به في الإطار النظامي؛
• ما إذا كانت الوجهة تحقق مستوى الحماية ذي الصلة؛
• ما إذا كان النقل يستند إلى ضمان مناسب؛
• ما إذا انطبق استثناء محدود تجيزه اللائحة؛
• أي قيد قطاعي خاص؛ و
• الظروف التي توجب وقف النقل.

ولا يخرج النقل بين شركات المجموعة من الإطار تلقائيًا، كما لا تحسم شهرة المورد العالمية المسار النظامي السعودي.

وينبغي توثيق المسار المختار لكل تدفق جوهري. فقد تخفي فقرة واحدة تغطي «جميع عمليات النقل الدولية» اختلاف المتلقين والأغراض والدول والضمانات.

4. ما الضمانات المطلوبة؟

تذكر لائحة النقل، للعمليات الداخلة في إطار الضمانات المناسبة:

• الشروط التعاقدية القياسية؛
• القواعد المشتركة الملزمة؛ و
• شهادات الاعتماد.

وتنشر سدايا الشروط التعاقدية القياسية المخصصة لتوفير مستوى الحماية المطلوب في عمليات النقل ذات الصلة إلى دولة أو منظمة دولية لا تحقق مستوى الحماية المناسب. ويخضع استخدامها للشروط والنموذج المنطبق، ولا يستعاض عنها تلقائيًا ببنود صيغت لنظام أجنبي لمجرد تشابه وظيفتها التجارية.

كما تنشر سدايا الدليل الإرشادي للقواعد المشتركة الملزمة لعمليات النقل المؤهلة داخل مجموعة الكيانات. وينبغي أن تعالج القواعد التزامات النظام ولوائحه وحقوق أصحاب البيانات والحوكمة اللازمة لإنفاذها داخل المجموعة.

وتحتاج الضمانات التعاقدية إلى ضوابط تقنية وتنظيمية تساندها. وقد تشمل — بحسب التدفق — تقييد الوصول بحسب الدور، والمصادقة متعددة العوامل، والتسجيل والمراقبة، والتشفير، ومنع التنزيل، والفصل، وضبط الاحتفاظ، وتصعيد الحوادث، وأدلة التدقيق، والرقابة على النقل اللاحق.

5. هل يجب تقييم مخاطر النقل؟

توجب المادة السابعة من لائحة النقل على المتحكم إجراء تقييم للمخاطر قبل:

• النقل أو الإفصاح القائم على إطار الاستثناء ذي الصلة في المادة الرابعة؛ و
• النقل أو الإفصاح المستمر أو واسع النطاق عن البيانات الحساسة إلى خارج المملكة.

وتحدد اللائحة عناصر التقييم، ومنها الغرض والسند النظامي، وطبيعة النقل ونطاقه الجغرافي، والضمانات ومدى كفايتها، وإجراءات تقليل البيانات، والآثار المادية أو المعنوية المحتملة واحتمال وقوعها، والتدابير المانعة أو المخففة للمخاطر.

وينبغي أن ينتهي التقييم إلى قرار: هل يجوز أن يبدأ النقل؟ وما الضوابط التي تعد شروطًا للموافقة؟ ومن المسؤول عن تنفيذها؟ وما الأدلة المحتفظ بها؟ وما التغيرات التي تستلزم إعادة التقييم؟

أما المستند الذي يكتمل بعد بدء الوصول فلا يؤدي وظيفة الحوكمة نفسها. فالمفترض أن يؤثر التقييم في التصميم قبل فتح النظام للمتلقي الخارجي.

لماذا لا تكفي اتفاقية معالجة البيانات؟

قد توزع اتفاقية معالجة مصاغة جيدًا:

• تعليمات المعالجة؛
• السرية والأمن؛
• ضبط المعالجين من الباطن؛
• الإبلاغ عن الحوادث؛
• التدقيق والمساعدة؛ و
• حذف البيانات أو إعادتها.

وهذه أحكام مهمة، لكنها لا تجيب وحدها عن مسار النقل السعودي المنطبق، ولا عن ضرورة النقل، ولا عن اقتصاره على البيانات اللازمة، ولا عن وجوب تقييم المخاطر، ولا عن مطابقة البنية التقنية للقيود المتفق عليها.

والترتيب الصحيح هو:

1. تثبيت الوقائع؛
2. تقرير المسار النظامي؛
3. تقييم المخاطر وضبطها؛
4. صياغة الالتزامات التعاقدية؛ و
5. التحقق من التنفيذ.

فإذا بدأت الصياغة قبل الخطوات الثلاث الأولى، فقد يصف عقد محكم الصياغة عملية نقل لم تعتمدها المنشأة أصلًا.

ملف أدلة عملي

ينبغي الاحتفاظ لكل تدفق جوهري بملف يضم:

• خريطة تدفق البيانات الحالية؛
• تحليل الغرض والسند النظامي؛
• بيانات المصدر والمتلقي والدولة والمتلقين اللاحقين؛
• مسار النقل المختار وأسبابه؛
• الضمان المنفذ وملاحقه؛
• تقييم المخاطر عند وجوبه؛
• أدلة الضوابط التقنية؛
• تحديثات إشعارات الخصوصية وسجلات المعالجة؛
• الموافقات والأشخاص المسؤولين عن التنفيذ والمتابعة؛
• تاريخ المراجعة والتغيرات التي تستلزم مراجعة جديدة؛ و
• إجراءات التعليق والحذف.

وينبغي أن يكون الملف قابلًا للاستخدام من الفرق القانونية والخصوصية والأمن والمشتريات والتدقيق الداخلي، وأن يقبل التحديث إذا غيّر المورد موقع الدعم أو أضاف معالجًا من الباطن أو عدل بنية الخدمة.

القرار السابق على الوصول من الخارج

قبل اعتماد الوصول، ينبغي أن تتلقى الإدارة جوابًا موجزًا عن خمسة أسئلة:

1. ما الذي سينقل أو يصبح متاحًا تحديدًا؟
2. لماذا يلزم ذلك وما سنده؟
3. ما مسار النقل السعودي المنطبق؟
4. ما الضمانات التعاقدية والتقنية والتنظيمية القائمة؟
5. هل أنجز كل تقييم واجب وانعكس في النظام؟

عند اتساق هذه الأجوبة، تعكس الاتفاقية وخريطة البيانات وإعدادات النظام الفعلية الترتيب نفسه.

تقدم ممارسة حماية البيانات في تميرك المشورة بشأن حوكمة نظام حماية البيانات وعلاقات المعالجة والنقل عبر الحدود، وتعالج ممارسة التقنية البنية التقنية والعقود المرتبطة بها.

وللحصول على تقييم محدد يربط هذه المسائل بالبنية السحابية وملكية العلامة، راجع مراجعة الجاهزية السعودية للبيانات والتقنية والعلامة.

هذه المقالة معلومات عامة ولا تعد مشورة قانونية. ويلزم تقييم المتطلبات بحسب البيانات والأطراف والدول والأغراض والأنظمة والمواد الرسمية السارية في كل حالة.