الرئيسيةالمميزاتالقطاعاتالأسعارالمدونةتواصل معنا
💬 احجز عرضاً مجاناً
PDPL

PDPL والأرشفة الإلكترونية: ما الذي يدعمه نظام الوثائق وما الذي يبقى على جهتك؟

لا يوجد نظام أرشفة «يحقق الامتثال». يوجد نظام يجعل تطبيق قراراتك ممكنًا وإثباتها سهلًا. هذه المصفوفة تفصل بين الأمرين.

فريق وثيقة التحريري نُشر: آخر تحديث: 10 دقيقة قراءة

نظام حماية البيانات الشخصية (PDPL) لا يشترط «نظام أرشفة معيّنًا»، لكنه يفرض على جهتك التزامات تمس الأرشيف مباشرة: حصر الوصول، وإتلاف ما انتهى غرضه بما في ذلك النسخ الاحتياطية، والاحتفاظ بسجل لأنشطة المعالجة، والإشعار بالحوادث خلال مدة لا تتجاوز 72 ساعة إذا كان من شأنها الإضرار، وضبط نقل البيانات خارج المملكة.

نظام إدارة الوثائق (DMS) يوفّر الأدوات والأدلة: صلاحيات، وسجل تدقيق، وتشفير، وخيار استضافة داخل المملكة. أما الامتثال نفسه، من تحديد الغرض ومدد الاحتفاظ إلى الرد على أصحاب البيانات، فيبقى مسؤولية جهتك بوصفها «جهة التحكم».

هذا الدليل لمسؤول حماية البيانات، والمستشار القانوني، ومدير تقنية المعلومات، ومدير الوثائق حين يقيّمون نظام أرشفة أو يراجعون أرشيفًا قائمًا فيه ملفات موظفين أو عملاء أو مرضى. ستجد ما يقوله النظام ولائحته التنفيذية بأرقام المواد، ثم مصفوفة تفصل ما يجب أن يدعمه النظام التقني عمّا يبقى إجراءً داخليًا، ثم أسئلة تطرحها على أي مورد.

أين يقف النظام اليوم؟ التواريخ الصحيحة

يتكرر في المحتوى المتداول أن 2023 «عام السريان الكامل». الأدق هو التالي:

الموافقة الصريحة ليست الأساس النظامي الوحيد للمعالجة. يذكر النظام حالات تجوز فيها المعالجة دون موافقة، منها أن يكون ذلك تنفيذًا لنظام آخر أو لاتفاق سابق يكون صاحب البيانات طرفًا فيه، ومنها المصلحة المشروعة لجهة التحكم في غير البيانات الحساسة. الخلط هنا يدفع بعض الجهات إلى جمع «موافقات» شكلية على ملفات لا تحتاجها، ويصرفها عن ضوابط أهم، مثل حصر الوصول وتحديد مدد الاحتفاظ.

البيانات الحساسة كما يعرّفها النظام السعودي

تنقل قوائم كثيرة تعريف البيانات الحساسة من أنظمة أجنبية. التعريف السعودي، كما في المادة الأولى من النظام بعد التعديل، يشمل كل بيان شخصي يتعلق بما يلي:

الأصل والمعتقد

الأصل العرقي أو الإثني، والمعتقد الديني أو الفكري أو السياسي.

الأمنية والجنائية

البيانات الأمنية والجنائية، وهي حاضرة في ملفات التوظيف والشؤون القانونية.

الحيوية والوراثية

بيانات السمات الحيوية التي تحدد الهوية، مثل البصمة، والبيانات الوراثية.

الصحية

البيانات الصحية، ومنها التقارير الطبية المرفقة بملفات الموظفين والإجازات المرضية.

مجهولو الأبوين

البيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما.

لا يذكر التعريف السعودي «الحياة الجنسية» ولا «بيانات الأطفال» ولا «البيانات المالية» ولا «الموقع الجغرافي» فئاتٍ حساسة، وإن كانت هذه البيانات تبقى بيانات شخصية تستحق الحماية. العبرة عمليًا: حدّد في أرشيفك أين تقع الفئات الخمس أعلاه. غالبًا ستجدها في ملفات الموارد البشرية (تقارير طبية، صحيفة سوابق)، وملفات الشؤون القانونية، والسجلات الطبية في المنشآت الصحية.

وللبيانات الصحية حكم إضافي. تقصر المادة الثالثة والعشرون من النظام الاطلاع عليها على أقل عدد ممكن من الموظفين، وتطلب المادة السادسة والعشرون من اللائحة التنفيذية تدرّج صلاحيات الوصول وتوثيق مراحل المعالجة. هذان متطلبان يُترجمان مباشرة إلى تصميم الصلاحيات في نظام الوثائق.

مصفوفة المسؤولية: ماذا يدعم النظام وماذا يبقى على جهتك؟

هذه المصفوفة هي العنصر الذي تحتاجه في اجتماع التقييم. كل صف يبدأ بالنص النظامي، ثم ما يجب أن يوفره نظام الوثائق، ثم ما لا يستطيع أي نظام أن يقوم به عنك.

التزامات PDPL ذات الصلة بالأرشيف وتوزيع المسؤولية
الالتزام والمصدرما يجب أن يدعمه نظام الوثائقما يبقى على جهتك
حقوق صاحب البيانات: العلم والوصول والحصول على نسخة والتصحيح وطلب الإتلاف (المادة 4)، والرد خلال 30 يومًا قابلة للتمديد 30 يومًا بإشعار مسبق (المادة 3 من اللائحة)بحث داخل النص يجمع كل ما يخص الشخص، وتصدير نسخة مقروءة، وتعديل مع حفظ الإصدارات وسجل التغييرإجراء استقبال الطلب والتحقق من هوية مقدمه، وتقدير ما يجوز حجبه، والرد خلال المدة
التدابير الأمنية التنظيمية والإدارية والتقنية (المادة 19)، والالتزام بضوابط الهيئة الوطنية للأمن السيبراني أو بأفضل الممارسات (المادة 23 من اللائحة)صلاحيات مبنية على الأدوار، ومصادقة ثنائية، وتشفير أثناء النقل والتخزين، وسجل تدقيقتصنيف البيانات، وتصميم مصفوفة الصلاحيات، ومراجعتها دوريًا، وتدريب الموظفين
الإتلاف بعد انتهاء الغرض، مع وجوب الاحتفاظ إذا وُجد مسوّغ نظامي لمدة محددة (المادة 18)، وإتلاف كل النسخ بما فيها الاحتياطية (المادة 8 من اللائحة)حذف موثّق في سجل التدقيق، ووضوح في كيفية تعامل النسخ الاحتياطية مع المحذوفجدول مدد الاحتفاظ لكل نوع وثيقة، واعتماد قرار الإتلاف، وتوثيقه
سجل أنشطة المعالجة (المادة 31)، ويُحتفظ به طوال فترة المعالجة وخمس سنوات بعد انتهائها (المادة 33 من اللائحة)تقارير عن أنواع الوثائق ومن يصل إليها، وسجل تدقيق قابل للتصدير يدعم هذا السجلإعداد السجل نفسه: الغرض، وفئات أصحاب البيانات، ومن أُفصح لهم، والنقل خارج المملكة، ومدة الاحتفاظ المتوقعة
الإشعار بالحوادث (المادة 20)، وإشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من العلم بالحادثة إذا كان من شأنها الإضرار بالبيانات أو بصاحبها (المادة 24 من اللائحة)سجل تدقيق يبيّن من وصل إلى ماذا ومتى ومن أي عنوان، لتحديد نطاق الحادثة بسرعةخطة الاستجابة، وتقدير الضرر، وصياغة الإشعار، والاحتفاظ بنسخة من التقارير والإجراءات التصحيحية
النقل خارج المملكة مسموح لأغراض محددة وبشروط (المادة 29)خيار استضافة داخل المملكة، ووضوح في موقع النسخ الاحتياطية ومن يصل إليها للدعمتقرير ما إذا كان هناك نقل أصلًا، وتوثيق أساسه وضماناته إن وُجد
تصوير الوثائق الرسمية المحددة للهوية ونسخها ممنوع إلا بطلب جهة عامة مختصة أو تنفيذًا لنظام، ويجب إتلافها فور انتهاء الغرض (المادة 31 من اللائحة)نوع وثيقة مستقل لصور الهويات بصلاحيات أضيق، وقابلية حصرها وإتلافهامراجعة سبب الاحتفاظ بكل صورة هوية في الأرشيف أصلًا

لاحظ أن العمود الأوسط يتكون من أدوات وأدلة، والعمود الأيمن يتكون من قرارات. لهذا لا يمكن لأي نظام أن «يحقق الامتثال من اليوم الأول بلا جهد». ما يستطيعه النظام الجيد هو أن يجعل تطبيق قراراتك ممكنًا وأن يجعل إثباتها سهلًا.

الإتلاف: النقطة التي يخطئ فيها معظم مشاريع الأرشفة

مشاريع الأرشفة تُبنى عادة حول الحفظ، ونادرًا ما تُصمم للإتلاف. ويضع النظام ثلاث قواعد يجب أن تنعكس على تصميم الأرشيف:

  1. الإتلاف واجب بعد انتهاء الغرض. تقول المادة الثامنة عشرة إن جهة التحكم تتلف البيانات بعد انتهاء الغرض دون تأخير. ويجوز لها الاحتفاظ بها إذا أزالت ما يدل على صاحبها، ويجب عليها الاحتفاظ إذا وُجد مسوّغ نظامي لمدة محددة أو إذا اتصلت البيانات بقضية منظورة. فالسؤال لكل نوع وثيقة: ما الغرض؟ وما المسوّغ النظامي للمدة؟
  2. الأرشفة ليست إتلافًا. يصرّح الدليل الاسترشادي للإتلاف الصادر عن سدايا بأن أرشفة البيانات الشخصية ونسخها الاحتياطي لا يُعدّان إتلافًا. نقل ملف موظف غادر قبل سنوات إلى «الأرشيف» لا يُسقط الالتزام.
  3. الإتلاف يشمل النسخ الاحتياطية. توجب المادة الثامنة من اللائحة التنفيذية إتلاف كل النسخ المخزنة، بما فيها النسخ الاحتياطية، مع مراعاة المتطلبات النظامية الأخرى. اسأل المورد صراحة: متى يخرج الملف المحذوف من دورة النسخ الاحتياطي؟

تعارض مدد الاحتفاظ وارد. تفرض أنظمة أخرى الاحتفاظ بمستندات لمدد طويلة، ومثالها اللائحة التنفيذية لنظام ضريبة القيمة المضافة التي تطلب حفظ الفواتير والسجلات ست سنوات على الأقل من نهاية الفترة الضريبية. هنا تُطبَّق الفقرة الخاصة بالمسوّغ النظامي في المادة الثامنة عشرة: تحتفظ للمدة الواجبة، ثم تتلف. جدول مدد الاحتفاظ يعدّه فريقك القانوني وفق الأنظمة التي تخضع لها جهتك، ولا يصح استيراده جاهزًا.

في نظام الوثائق يتحول ذلك إلى متطلبات محددة: مدة احتفاظ مرتبطة بنوع الوثيقة، وتنبيه عند انتهائها، ومسار اعتماد قبل الحذف، وتعليق للإتلاف عند النزاع، وتوثيق الحذف في السجل. هذه الوظائف تختلف كثيرًا بين الأنظمة، ولذلك اطلب رؤيتها في العرض التوضيحي على نوع وثيقة من أرشيفك، لا في شريحة عرض. التفاصيل في دليل إعداد مدد الاحتفاظ بالوثائق ومتطلبات مراجعتها وإتلافها.

العقوبات كما في النص بعد التعديل

جداول العقوبات المتداولة تخلط بين النص الأصلي والنص المعدّل. الصيغة الحالية:

العقوبات في نظام حماية البيانات الشخصية
المخالفةالعقوبةالمادة
الإفصاح عن بيانات حساسة أو نشرها بقصد الإضرار بصاحبهاالسجن مدة لا تزيد على سنتين، أو غرامة لا تزيد على 3 ملايين ريال، أو بإحداهماالخامسة والثلاثون
مخالفة أي حكم آخر من أحكام النظام أو اللوائحإنذار، أو غرامة لا تزيد على 5 ملايين ريال، وتجوز مضاعفتها عند التكرارالسادسة والثلاثون

عبارات مثل «نقل البيانات للخارج: 5 ملايين وسجن 3 سنوات» أو «عدم الإبلاغ: حتى مليون ريال» لا تطابق النص الحالي. والأهم للمشتري أن العقوبة تقع على جهة التحكم لا على مورد البرنامج. لذلك لا تشترِ «امتثالًا»، بل اشترِ أدوات تُمكّنك من إثبات ما قمت به.

أسئلة لمورد نظام الأرشفة قبل التعاقد

اطرحها واطلب الإجابة مكتوبة أو مجرّبة في العرض

  1. أين تُخزَّن البيانات والنسخ الاحتياطية جغرافيًا في نموذج النشر المقترح؟ ومن فريقكم يستطيع الوصول إليها لأغراض الدعم، ومن أين؟
  2. هل يمكن حصر نوع وثيقة، مثل التقارير الطبية، في مجموعة محددة داخل ملف الموظف نفسه، مع بقاء بقية الملف متاحًا للموارد البشرية؟
  3. كيف يُسجَّل حذف وثيقة في سجل التدقيق؟ ومتى تخرج من النسخ الاحتياطية؟
  4. هل يدعم النظام مدد احتفاظ لكل نوع وثيقة، ومسار اعتماد للإتلاف، وتعليق الإتلاف عند النزاع؟ أرونا ذلك على مثال.
  5. كيف أجمع كل وثائق شخص معيّن لطلب وصول أو نسخة؟ وبأي صيغة يُصدَّر الناتج؟
  6. ما الحقول المسجلة في سجل التدقيق؟ وهل يمكن تصديره لفترة محددة؟ وما مدة الاحتفاظ به؟
  7. هل يتضمن العقد بنود معالجة بيانات تحدد دوركم كجهة معالجة، والتزامكم بإشعارنا عند الحوادث، وإعادة البيانات وإتلافها عند انتهاء الخدمة؟
  8. هل يكتشف النظام البيانات الشخصية داخل الوثائق آليًا؟ إن قيل نعم، فاطلب تجربته على عينة من وثائقكم، ولا تكتفِ بالعرض.

لقائمة أوسع في هذا المحور، راجع ما الذي تسأل عنه مورد الأرشفة بشأن معالجة البيانات والوصول إليها، ولمعايير اختيار نظام لأرشيف يحتوي بيانات حساسة راجع إدارة الوثائق المحتوية على بيانات شخصية حساسة.

كيف يساعد وثيقة جهتك على تطبيق هذه المتطلبات

وثيقة نظام سعودي لإدارة الوثائق والأرشفة الإلكترونية، متوافق مع ضوابط الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية، وحاصل على شهادة ISO/IEC 27001. وتوافق الأداة لا يغني عن امتثال جهتك، لكن أدواته التالية تغطي العمود الأوسط من المصفوفة:

تُدخل مدد الاحتفاظ في النظام كما يعتمدها فريقك القانوني أثناء التهيئة، واطلب أن يُعرض عليك الإتلاف واكتشاف البيانات الشخصية على عينة من وثائقك في العرض التوضيحي. وتبقى على جهتك العناصر التي في العمود الأيمن: جدول الاحتفاظ، وسجل أنشطة المعالجة، وخطة الاستجابة للحوادث، وتعيين مسؤول حماية البيانات إن كانت جهتك من الحالات التي تحددها المادة الثانية والثلاثون من اللائحة، ومنها الجهات التي تعالج بيانات حساسة.

للتعمق في الضوابط الأمنية التي تشير إليها المادة الثالثة والعشرون من اللائحة، راجع متطلبات الهيئة الوطنية للأمن السيبراني للأرشفة الإلكترونية. ولتطبيق هذه المبادئ على ملفات الموظفين تحديدًا، راجع أرشفة الموارد البشرية.

الخطوة التالية

  1. اختر نوعين من الوثائق فيهما بيانات حساسة، مثل التقارير الطبية وصحف السوابق، وحدّد لكل منهما الغرض والمدة ومن يحق له الاطلاع.
  2. اطلب عرضًا توضيحيًا تُختبر فيه الصلاحيات والحذف والتصدير على هذين النوعين تحديدًا.
  3. راجع ضوابط التشفير وسجل التدقيق والاستضافة في صفحة الأمان والحوكمة في وثيقة، واطلب وثائقها التفصيلية ضمن العرض الفني.

المصادر

اطلب إجابات فريق الأمن لدينا

أرسل استبيان الأمن الخاص بجهتك أو قائمة الضوابط المطلوبة، ونجيب عنها كتابياً مع توضيح ما يُختبر في العرض التوضيحي.

معلومات تساعدنا على إعداد عرض دقيق (دون إرسال وثائق حساسة):
  • عدد المستخدمين المتوقع والإدارات المشاركة
  • حجم الأرشيف الحالي تقريباً (عدد الملفات أو الصفحات أو الحجم بالجيجابايت) ونسبة الورقي منه
  • نموذج الاستضافة المفضل: سحابة داخل المملكة أو خوادم الجهة
  • النظام الحالي للملفات والأنظمة المطلوب التكامل معها
الأمان والحوكمة احجز عرضاً توضيحياً واتساب

الهاتف وواتساب: ‎+966 56 533 0501 — الأحد إلى الخميس 9 صباحاً حتى 6 مساءً.

و
فريق وثيقة التحريري

يكتب الفريق أدلة عملية لمسؤولي تقنية المعلومات والوثائق والمشتريات في المملكة لمساعدتهم على تحديد النطاق واختبار الحلول قبل التعاقد. الأمثلة الرقمية في مقالاتنا توضيحية ما لم يُذكر مصدرها.