01
متى يتم تطبيق PDPL السعودي؟
ويغطي النظام معالجة البيانات الشخصية في المملكة العربية السعودية، بالإضافة إلى معالجة معينة لبيانات الأشخاص الذين يعيشون في المملكة من الخارج. يحدد المتحكم الأهداف والأساليب، ويعمل المعالج بناءً على تعليماته. تنطبق أيضًا قواعد الصناعة للبنوك والاتصالات والرعاية الصحية والأمن السيبراني.
02
ابدأ بخريطة البيانات
- Data
- الفئات والمصدر والحساسية
- Subject
- العميل أو الموظف أو UBO أو المستخدم أو جهة الاتصال
- Purpose
- غرض تجاري وقانوني محدد
- System
- أين يتم تخزينه ومن لديه حق الوصول؟
- Recipient
- شركة المجموعة، البائع، الهيئة والبنك
- Lifecycle
- فترة التخزين والأرشفة والتدمير
بدون الجرد، من المستحيل إثبات التقليل، أو تقديم إشعار كامل، أو تقييم النقل الدولي.
03
الموافقة ليست زرًا عالميًا
لكل غرض، يتم تحديد أساس PDPL مقبول. إذا تم استخدام الموافقة، فيجب أن تكون حرة ومحددة ومستنيرة وقابلة للإثبات، ويجب أن يكون الإلغاء متاحًا. بالنسبة للبيانات الحساسة والمعلومات المتعلقة بالأطفال والائتمان والصحة، يتم تطبيق متطلبات متزايدة.
لا يتم دمج تنفيذ العقد، وقانون "اعرف عميلك" القانوني، والتحليلات والرسائل الإعلانية في موافقة واحدة.
04
تتحول الحقوق إلى سير عمل التذاكر
- Information
- تعرف على أساس المجموعة والغرض منها
- Access
- الوصول إلى البيانات
- Copy
- الحصول على نسخة واضحة بصيغة مقبولة
- Correction
- تصحيح أو إضافة أو تحديث
- Destruction
- اطلب التدمير إذا لم يكن هناك سبب للتخزين
- Complaint
- الاتصال بالجهة المختصة
05
السحابة والمعالج
تتحقق العناية الواجبة للمورد من موقع البيانات والأمن ووصول الموظفين والمعالجين الفرعيين والحوادث والخروج. وتحدد الاتفاقية التعليمات والسرية والضوابط الفنية والمساعدة في الحقوق وتصعيد الانتهاك وأدلة التدقيق والإرجاع/الحذف.
06
DPO، DPIA والسجلات
يتم تعيين مسؤول حماية البيانات في الحالات التي تحددها اللائحة التنفيذية، بما في ذلك بعض العمليات واسعة النطاق أو الحساسة. ويتم إعداد تقييم الأثر قبل المعالجة عالية المخاطر وإجراء تغييرات كبيرة في النظام. تم توثيق القرار بشأن سبب ضرورة أو عدم الحاجة إلى DPO أو DPIA.
07
التسرب: الساعة تبدأ من لحظة المعرفة
إذا كان من شأن الحادث أن يلحق الضرر بالبيانات أو الشخص أو يؤثر على حقوقه ومصالحه، يقوم المراقب بإبلاغ السلطة المختصة خلال مدة لا تتجاوز 72 ساعة من لحظة علمه بالحادث. يتم تقييم إخطار الموضوع بشكل منفصل مقابل الحد المطبق.
- 01Contain
إيقاف الوصول وحفظ الأدلة.
- 02Assess
البيانات والوجوه والعواقب وعتبة المخاطر.
- 03Notify
SDAIA والموضوعات عند الاقتضاء.
- 04Remediate
القضاء على السبب وتحديث الضوابط.
08
نقل البيانات خارج المملكة العربية السعودية
لا تفرض PDPL حظرًا مطلقًا، ولكنها تتطلب التحقق من الغرض والمصالح الوطنية ومستوى الحماية وحجم البيانات وآلية النقل المتوفرة. اعتمادًا على البلد والوضع، يتم استخدام الكفاية والضمانات المناسبة والقواعد المشتركة الملزمة والحماية التعاقدية وتقييم المخاطر أو استثناء ضيق.
يتم تضمين الاستضافة السحابية والدعم الجماعي والموارد البشرية العالمية ووصول المقاولين الأجانب في خريطة تدفق البيانات قبل الإطلاق.
09
التسويق المباشر وملفات تعريف الارتباط
يتم فصل الرسائل الإعلانية والتوصيف والتتبع عن الخدمة الرئيسية. تقوم الشركة بتخزين إثبات الموافقة، وتشرح القنوات والأهداف، وتوفر خيار إلغاء الاشتراك البسيط وتحتفظ بقائمة المنع بحيث توقف المراجعة فعليًا الرسائل البريدية.
10
برنامج الحد الأدنى من الخصوصية
- 01
جرد البيانات وتصنيفها وجدول الاحتفاظ بها.
- 02
مصفوفة الأساس القانوني والإشعارات وسجلات الموافقة.
- 03
إجراءات الحقوق وتحليل وتدريب DPO/DPIA.
- 04
ملف نقل البائع والسحابة وعبر الحدود.
- 05
قواعد اللعبة والتمرين على الحوادث لمدة 72 ساعة.