نظام حماية البيانات الشخصية: ما الذي يعنيه لموقعك عمليًا

أي موقع فيه نموذج تواصل يجمع بيانات شخصية. أي موقع فيه أداة تحليلات يجمع بيانات شخصية. نظام حماية البيانات الشخصية في المملكة ليس موضوعًا للمواقع الكبيرة وحدها، وهذا شرح عملي لما يعنيه على مستوى ما تبنيه فعلًا — لا تفسير قانوني.

المبادئ التي تترجم إلى قرارات تقنية

الغرض المحدّد

تجمع البيانات لغرض معلن، ولا تستخدمها لغيره. عمليًا: إن جمعت بريدًا إلكترونيًا للرد على استفسار، فإرسال نشرة تسويقية إليه لاحقًا استخدام لغرض آخر. إن أردت ذلك، اطلبه صراحة بخيار منفصل — لا بمربّع مؤشّر مسبقًا.

أقل قدر ممكن

لا تطلب حقلًا لأنه «قد ينفع». كل حقل في النموذج مسؤولية: تخزين، وحماية، وحذف عند الطلب. وهو أيضًا سبب لترك النموذج دون إكمال. راجع نماذجك واسأل عن كل حقل: ماذا أفعل بهذه المعلومة تحديدًا؟

مدة الاحتفاظ

البيانات لا تُحفظ إلى الأبد لأن قاعدة البيانات تتّسع. حدّد مدة لكل نوع: استفسار لم يتحوّل إلى عميل، سجلّ زيارة، نسخة احتياطية. ثم نفّذ الحذف فعلًا — سياسة احتفاظ لا تُطبَّق أسوأ من غيابها، لأنها التزام مكتوب غير مُوفى.

حقوق صاحب البيانات

للشخص أن يعرف ما لديك عنه، وأن يطلب تصحيحه أو حذفه. عمليًا تحتاج: قناة واضحة لاستقبال الطلب، وقدرة تقنية على العثور على كل نسخ بياناته — بما في ذلك النسخ الاحتياطية وأي نظام خارجي صدّرتها إليه.

على أرض الموقع

• نموذج التواصل: سطر واضح تحته يقول ما تستخدم البيانات فيه، ورابط لسياسة الخصوصية. لا يحتاج أن يكون طويلًا، يحتاج أن يكون صادقًا.
• التتبّع والتحليلات: أدوات القياس تضع معرّفات على جهاز الزائر. الموافقة هنا ليست شكلية — وإن كان البانر لديك يفترض الموافقة مسبقًا، فهو ليس موافقة.
• الأدوات الخارجية: خرائط، خطوط، فيديو مضمّن، دردشة. كل واحدة تنقل بيانات إلى طرف ثالث. اعرف أيّها لديك — كثير من المواقع لا تعرف.
• التشفير: HTTPS على كل الصفحات لا على صفحة النموذج وحدها.
• الصلاحيات: من في فريقك يستطيع رؤية بيانات المستفسرين؟ ينبغي أن يكون العدد أقل مما هو عليه غالبًا.
• سجلّ الوصول: من اطّلع على ماذا ومتى. يصبح ضروريًا عند أي حادثة.

سياسة الخصوصية نفسها

أغلب سياسات الخصوصية على المواقع العربية منسوخة من موقع آخر، فتصف بيانات لا تُجمع وأدوات لا تُستخدم. هذا أسوأ من عدم وجودها: فهي وثيقة مُلزِمة تصف شيئًا غير حقيقي. اكتبها من واقع موقعك — ما تجمعه فعلًا، وأين يُخزَّن، ومن يصل إليه، وكم يبقى — وراجعها كلما أضفت أداة جديدة.

نقل البيانات خارج المملكة

معظم المواقع تنقل بيانات خارج المملكة دون أن تنتبه: أداة تحليلات، أو استضافة، أو مزوّد بريد. هذا ليس ممنوعًا بالمطلق، لكنه ليس تفصيلًا يُهمَل. اعرف أين تقع بيانات عملائك فعلًا، وضع ذلك في حسبانك عند اختيار المزوّدين.

البيانات التي تجمعها دون أن تدري

سجلّات الخادم تحفظ عناوين IP. أداة الدردشة تحفظ نصّ المحادثة كاملًا. نموذج التوظيف يستقبل سيرًا ذاتية فيها أرقام هويات أحيانًا. والنسخ الاحتياطية تحتفظ بكل ما سبق بعد حذفه من النظام الحيّ. أول خطوة عملية ليست كتابة سياسة، بل جرد: اكتب قائمة بكل مكان تصل إليه بيانات شخصية في بنيتك. أغلب الفرق تفاجأ بطول القائمة.

ماذا لو وقعت حادثة

خطة الاستجابة تُكتب قبل الحادثة لا أثناءها: من يُبلَّغ، ومن يقرّر، وكيف تُقدَّر آثار التسريب، وما هي التزامات الإبلاغ. أسوأ وقت لاكتشاف أنك لا تملك خطة هو الساعة الأولى بعد الاختراق.

ما هذا المقال وما ليس

هذه ترجمة عملية لمبادئ النظام إلى قرارات في بناء المواقع. نطاق النظام وتفاصيل الالتزام وتفسير مواده شأن قانوني، ومرجعه ما تصدره الجهة المختصة ومستشارك القانوني. ما نقدّمه نحن هو الجانب التقني ضمن خدمات الحماية والأمن السيبراني: مراجعة ما يجمعه موقعك فعلًا، وأين يذهب، ومن يصل إليه.