إطار حوكمة البيانات السعودي

إطار حوكمة البيانات في السعودية

إطار حوكمة البيانات في السعودية هو منظومة القواعد التي تنظّم البيانات الشخصية وتبادل البيانات الحكومية ونقلها خارج الحدود والامتثال في عصر الذكاء الاصطناعي. ويرتكز الإطار على نظام حماية البيانات الشخصية وتشرف عليه هيئة البيانات والذكاء الاصطناعي (سدايا)، رابطاً حماية الخصوصية بالاقتصاد الرقمي الذي تستهدفه رؤية 2030.

نظام حماية البيانات الشخصية

يُعدّ نظام حماية البيانات الشخصية حجر الزاوية في منظومة حوكمة البيانات السعودية. ويُرسي إطاراً تنظيمياً متكاملاً يحكم جمع البيانات الشخصية ومعالجتها وتخزينها ونقلها وإتلافها من قِبل الجهات العامة والخاصة العاملة داخل المملكة أو تلك التي تُعالج بيانات شخصية للمقيمين فيها. ويستمد هيكله من المبادئ الدولية لحماية البيانات، ولا سيما تلك المتضمنة في اللائحة الأوروبية العامة لحماية البيانات (GDPR)، مع مراعاة خصوصية السياق القانوني والمؤسسي السعودي.

تشمل أبرز أحكام النظام اشتراط وجود أساس نظامي لمعالجة البيانات، مع اعتبار الموافقة آليةً أساسية إلى جانب استثناءات محددة تتعلق بضرورة التعاقد، والمصالح الحيوية، والالتزامات النظامية، والمصالح المشروعة. وتتمتع أصحاب البيانات بحقوق تشمل الاطلاع على بياناتهم الشخصية، وتصحيح الأخطاء، وطلب حذف البيانات التي لم تعد ضرورية للغرض الأصلي من جمعها، وسحب الموافقة. كما يلتزم المتحكمون في البيانات بتطبيق تدابير تقنية وتنظيمية مناسبة لحماية البيانات الشخصية من الوصول غير المصرح به والإفصاح والتعديل والإتلاف.

ويُلزم النظام بالإخطار عند وقوع خرق للبيانات، إذ يتعين على المتحكمين إخطار الجهة المختصة، وفي ظروف معينة، الأفراد المتضررين، وذلك خلال مدد زمنية محددة من اكتشاف الخرق. كما ينظّم النظام عمليات نقل البيانات عبر الحدود، ويُحدد الشروط التي تجيز نقل البيانات الشخصية خارج المملكة، بما فيها تقييم مدى ملاءمة معايير حماية البيانات في الجهة المستقبِلة.

الدور التنظيمي لهيئة سدايا

أُسست هيئة البيانات والذكاء الاصطناعي (سدايا) عام 2019 بولاية واسعة تشمل حوكمة البيانات الوطنية، واستراتيجية الذكاء الاصطناعي، وتنمية الاقتصاد القائم على البيانات في المملكة. ويشمل دور سدايا التنظيمي بموجب نظام حماية البيانات الشخصية: إصدار اللوائح التنفيذية والتوجيهات والمعايير القطاعية، والإشراف على الامتثال، والتحقيق في الشكاوى، وفرض الجزاءات على المخالفات.

ويعكس الموقع المؤسسي لسدايا رؤية الحكومة السعودية باعتبار حوكمة البيانات والذكاء الاصطناعي أمرين مترابطين ومتلازمين. وتُمكّن ولاية الهيئة المزدوجة من الموازنة بين متطلبات حماية البيانات وتعزيز استخدامها لصالح التنمية الاقتصادية والاجتماعية، بما يشمل تطوير تطبيقات الذكاء الاصطناعي المعتمدة على مجموعات بيانات عالية الجودة. ويُجنّب هذا النهج المتكامل التشتت الذي قد ينجم عن الفصل بين وظيفتي حماية البيانات والابتكار القائم عليها.

ونشرت الهيئة سلسلة من اللوائح التنفيذية والإرشادات وأطر الامتثال التي توضّح أحكام النظام العامة، وتشمل توجيهات تفصيلية حول آليات الموافقة، وتقييمات أثر حماية البيانات، وآليات نقل البيانات، والمتطلبات القطاعية لأنشطة المعالجة عالية المخاطر كبيانات الصحة والبيانات المالية والبيانات البيومترية.

متطلبات الامتثال

يُفرض الامتثال لإطار حوكمة البيانات السعودي التزامات جوهرية على المؤسسات العاملة في المملكة. إذ يتعين على الجهات التي تعالج بيانات شخصية تعيين مسؤولين عن حماية البيانات وفق الشروط المحددة في اللوائح التنفيذية، والاحتفاظ بسجلات لأنشطة المعالجة، وإجراء تقييمات لأثر حماية البيانات في عمليات المعالجة عالية المخاطر، وتطبيق ضمانات تقنية تشمل التشفير وضوابط الوصول وسجلات المراجعة.

ويمتد نطاق تطبيق نظام حماية البيانات الشخصية إلى ما وراء الحدود ليشمل الجهات خارج المملكة التي تعالج بيانات المقيمين السعوديين، وهو حكم يتوافق مع التوجه العالمي نحو توسيع الولاية القضائية على معالجي البيانات الأجانب. ويتعين على الشركات الدولية التي تتعامل مع عملاء أو عمليات في المملكة تقييم التزاماتها بموجب النظام واتخاذ التدابير الملائمة.

وتشمل العقوبات على عدم الامتثال جزاءات مالية قد تبلغ عدة ملايين من الريالات السعودية لكل مخالفة، مع إمكانية تصعيد العقوبات في حالات المخالفات المتكررة أو المتعمدة. وقد صُمّم نظام الجزاءات لإحداث الردع الكافي مع مراعاة التناسب بحسب طبيعة المخالفة وحجمها.

توطين البيانات والنقل العابر للحدود

يُمثّل توطين البيانات بُعداً محورياً في الإطار السعودي. ويُرسي النظام ولوائحه التنفيذية شروطاً لنقل البيانات الشخصية خارج المملكة، تعكس اعتبارات السيادة والأمن القومي إلى جانب مخاوف الخصوصية الفردية. وتُجاز عمليات النقل إلى الجهات التي تُوفّر مستويات ملائمة من حماية البيانات، أو عبر البنود التعاقدية المعيارية، وقواعد الشركات الملزمة، وغيرها من الآليات المعتمدة.

وتتشابك متطلبات التوطين مع الاستراتيجية الشاملة للبنية التحتية الرقمية في المملكة، التي استقطبت كبرى مشغّلي الحوسبة فائقة النطاق لإنشاء مراكز بيانات داخل المملكة. وتُمكّن البنية التحتية السحابية المحلية المتاحة المؤسساتِ من الامتثال لمتطلبات التوطين مع الاستفادة من منصات التقنية العالمية، وهو ما سهّلته سدايا وهيئة الاتصالات والفضاء والتقنية بصورة فاعلة.

البيانات المفتوحة وتبادل البيانات الحكومية

يمتد إطار حوكمة البيانات ليشمل، إلى جانب حماية الخصوصية، إدارة البيانات الحكومية ومبادرات البيانات المفتوحة. وتُرسي سياسة البيانات المفتوحة في المملكة، التي تديرها سدايا، مبادئ ومتطلبات نشر مجموعات البيانات الحكومية بصيغ قابلة للمعالجة الآلية. ويُتيح البوابة الوطنية للبيانات المفتوحة آلاف مجموعات البيانات التي تغطي الإحصاءات الاقتصادية والمعلومات الجغرافية والبيانات الصحية والمؤشرات البيئية، مما يُعزز الشفافية والبحث العلمي والابتكار التجاري.

وتُحدد أطر تبادل البيانات الحكومية بروتوكولات التبادل الآمن للبيانات بين الجهات الحكومية، معالجةً للتشتت التاريخي الذي كان يُعيق التنسيق بين الجهات. ويضع مكتب إدارة البيانات الوطني التابع لسدايا معايير جودة البيانات وتصنيفها وإدارة دورة حياتها في القطاع الحكومي.

الأهمية الاستراتيجية

يؤدي إطار حوكمة البيانات السعودي وظائف استراتيجية تتخطى حدود الامتثال التنظيمي. فبإرساء نظام موثوق لحماية البيانات، تُرسل المملكة إشارة واضحة للشركات الدولية وشركات التقنية والمستثمرين مفادها أنها تُوفر بيئة جديرة بالثقة للعمليات المكثّفة في مجال البيانات. وتُعدّ هذه المصداقية ضرورة لا غنى عنها لاستقطاب الاستثمار الأجنبي المباشر في قطاعات التقنية والخدمات المالية والتجارة الرقمية التي تستلزمها استراتيجية التنويع في رؤية 2030.

كما يدعم هذا الإطار بناء قدرات البيانات والذكاء الاصطناعي الوطنية. إذ تُتيح القواعد الناظمة لجمع البيانات ومعالجتها وتبادلها للباحثين والشركات الناشئة والمؤسسات السعودية الراسخة تطوير منتجات وخدمات قائمة على البيانات في بيئة قانونية يسودها اليقين. ويُفتح نظامُ حماية البيانات الشخصية من خلال أحكامه المتعلقة بمعالجة البيانات للمصلحة العامة ولأغراض البحث العلمي مساراتٍ للاستخدام المفيد للبيانات تُكمل أحكام حماية الخصوصية.