لا تستطيع أن تحذف ما لم تجرده: نظام حماية البيانات الشخصية مسألة هندسية قبل أن تكون قانونية

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم م/19 وتاريخ 9/2/1443هـ، وعُدّل بالمرسوم الملكي رقم م/148 في عام 2023. ودخل حيّز النفاذ في 14 سبتمبر 2023 بمهلة تهيئة امتدت سنة وانتهت في 14 سبتمبر 2024. وصدرت لائحته التنفيذية ولائحة نقل البيانات الشخصية خارج المملكة في 7 سبتمبر 2023، ثم حلّت نسخة جديدة من لائحة النقل محل سابقتها في 1 سبتمبر 2024. وهذه تواريخ تستطيع التحقق منها؛ وما جرى بعدها أهم منها جميعًا: فخلال الاثني عشر شهرًا المنتهية في منتصف يناير 2026 أصدرت لجان النظر في المخالفات في الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) ثمانية وأربعين قرارًا بثبوت المخالفة، من أسبابها جمع البيانات الشخصية ومعالجتها دون أساس نظامي، والإفصاح عنها دون مسوّغ نظامي، والإخفاق في اتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لحمايتها.

أعد قراءة هذه الأسباب. اثنان من الثلاثة نتائج هندسية بحتة. ومع ذلك، ما رأيت هذا النظام يصل إلى مؤسسة إلا بوصفه حزمة عمل قانونية: سياسة خصوصية، وإشعار موافقة، ونموذج لسجل أنشطة المعالجة، ومادة تدريبية، ثم قائمة تحقق تُسلَّم إلى تقنية المعلومات قرب النهاية مع طلب تأكيد أن الضوابط مطبقة. والترتيب مقلوب، وليس السبب أن الإدارة القانونية أخطأت. فسياسة الخصوصية إقرار علني عن نظام: تقول أي فئات البيانات الشخصية لديك، ولماذا تحتفظ بها، ومع من تشاركها، وكم تبقى عندك، وماذا يحدث حين يطلب أحد إيقاف المعالجة. وكل جملة من هذه الجمل إخبارٌ عن واقع قواعد بيانات وطوابير رسائل ومستودعات كائنات ومسارات سجلات وواجهات ربط لدى الغير ووسائط نسخ احتياطي. ولا تستطيع الإدارة القانونية التحقق من جملة واحدة منها؛ لا يقدر على ذلك إلا من يشغّل الأنظمة، وإلى أن يفعل تبقى السياسة تخمينًا حسن الصياغة.

وصياغة السياسة تستغرق أسابيع، وبناء الخريطة التي تجعل السياسة صادقة يستغرق شهورًا، ويزاحم المهندسين أنفسهم الذين يبنون المنتج. والمؤسسات التي تعكس الترتيب، فتجرد أولًا ثم تكتب على ما أظهره الجرد، تنفق وقتًا أطول في البداية وأقل بكثير في إعادة العمل، لأنها لا تنشر التزامًا لا تستطيع الوفاء به.

جرد الأنظمة ليس جردًا للبيانات. فقائمة تقول إن لدينا نظامًا لإدارة وثائق التأمين ونظامًا لعلاقات العملاء وتطبيقًا للمطالبات ومستودعًا للبيانات لا تقول للجهة التنظيمية شيئًا. وحدة الجرد هي عنصر بيانات في موضع: أي عمود في أي جدول، وأي حقل داخل أي حمولة، وأي بادئة كائن في أي مستودع، وأي فهرس في أي مخزن سجلات، وأي عمود في أي مستخرج تقارير.

والمواضع التي تُنسى هي نفسها في كل مرة، وليس فيها قاعدة البيانات الأساسية. سجلات التطبيق التي تلتقط جسم الطلب كاملًا حين يفشل النداء. وأدوات تتبع الأخطاء التي ترسل أثر الاستدعاء ومعه معرّف العميل. وأحداث التحليلات. والمستخرج الذي بناه أحدهم لحزمة تقارير شهرية ثم لم يوقفه أحد. وبيئات الاختبار والتجهيز التي زُرعت بنسخة من الإنتاج لأنها أسرع طريق لإعادة إظهار خلل. وطوابير الرسائل بمدة احتفاظ لم يضبطها أحد عن قصد. وتذكرة دعم لصق فيها الموظف رقم هوية وطنية ليشرح المشكلة.

واللائحة التنفيذية تعطيك شكل المخرج الذي تبني نحوه. فسجل أنشطة المعالجة يجب أن يحمل فئات البيانات الشخصية، والأغراض، والجهات المستقبِلة، والنقل خارج المملكة، ومدد الاحتفاظ، والتدابير الأمنية المطبقة، ويجب أن يُحفظ خمس سنوات بعد انتهاء المعالجة التي يصفها. وتأمّل معنى ذلك تشغيليًا: السجل يعيش بعد المعالجة. فالسجل الذي يُجمع بالمقابلات يصير خاطئًا خلال ربع سنة ويتعذر تعهّده خلال سنة. أما السجل المتولد من كتالوج ممسوح وموسوم فيصمد، لأن تغيّر البنية يغيّره معه.

وقد نشرت سدايا المواد المساندة: دليل سجلات أنشطة معالجة البيانات الشخصية، ودليل التقييم الذاتي، ودليل إعداد سياسة الخصوصية، وقواعد السجل الوطني لجهات التحكم، وهي تشغّل المنصة الوطنية لحوكمة البيانات التي يقوم عليها ذلك السجل. ومنشآت القطاع الخاص التي يقوم نشاطها الأساسي على معالجة البيانات الشخصية، وكذلك المنشآت التي تعالج بيانات شخصية حساسة، داخلة في نطاق التسجيل. وشركة التأمين داخلة فيه مرتين.

على جهة التحكم أن ترد على طلب صاحب البيانات خلال ثلاثين يومًا، وتُمدد المهلة مرة واحدة مدةً مماثلة إذا احتاج الطلب جهدًا غير معتاد أو تعددت طلبات الشخص نفسه. وستقرأ أن الإخفاق في الاستجابة لحقوق أصحاب البيانات من أكثر المآخذ تكرارًا في قرارات سدايا؛ ولا أحد خارج الهيئة يعلم ذلك، فهي لا تنشر أسباب كل قرار على حدة، والأسباب التي أعلنتها هي المذكورة في القسم السابق. ومهلة تسرّب البيانات أضيق: إبلاغ الهيئة خلال اثنتين وسبعين ساعة من العلم بالحادثة عبر المنصة الوطنية لحوكمة البيانات، وإبلاغ المتأثرين دون تأخير غير مبرر متى كان الضرر محتملًا.

والمهلتان تفعلان بإدارة تقنية المعلومات الشيء نفسه: تحوّلان سؤال حوكمة إلى سؤال في الأنظمة الموزعة مربوط بموعد. فطلب الاطلاع استعلام متفرّع على كل مخزن قد يحوي هذا الشخص، ينفّذه بشر تحت ضغط الوقت، ويجب أن تكون الإجابة كاملة لا معقولة. وطلب الحذف هو التفرّع نفسه مضافًا إليه كتابة في نهايته والتزام بالإثبات فوقه.

وإذا كان جوابك معلقًا بأن يتذكر مهندس بعينه أن خدمة التسعير القديمة احتفظت بنسخة خاصة بها، فأنت لا تملك إجراءً. تملك شخصًا، والأشخاص يأخذون إجازات.

والفرق التي تتجاوز المهلة لا تتجاوزها لأن الثلاثين يومًا قصيرة، بل لأن المهلة تنقضي في تحديد الأنظمة الداخلة في النطاق، ثم لا يستغرق الاستخراج نفسه إلا عصر يوم. تلك فاتورة الجرد وقد وصلت بفوائدها. ابنِ الخريطة أولًا يصبح الطلب استعلامًا، وتجاوزها يجعل كل طلب اكتشافًا من الصفر، بالكلفة ذاتها، وإلى ما لا نهاية. فأدره خدمةً لها مستوى خدمة، فهذا ما هو عليه بالضبط: مالك مُسمّى، وقناة استقبال محددة، وهدف داخلي أضيق من المهلة النظامية لا مساوٍ لها، ومسار تصعيد، وسجل بكل طلب والمدة التي استغرقها. وقد بنيت في مجموعة قابضة سعودية كتالوج خدمات يزيد على مئة خدمة، يحمل كل بند فيه مستوى خدمة، والانضباط نفسه ينتقل إلى هنا، إلا أن طلب صاحب البيانات خدمة تدين بها لشخص غريب، على ساعة كتبها النظام لا العقد.

وإذا كانت الثلاثون يومًا هي الرقم الذي يستشهد به الناس، فالرقم الذي يحسم النتيجة هو خمسة. فمتى أبلغتك الهيئة بمخالفة منسوبة إليك، فأمامك خمسة أيام لتقديم ردك إلى اللجنة. ويُبلَّغ القرار الصادر بعد ذلك خلال خمسة عشر يومًا، ومهلة التظلم أمام المحكمة المختصة ستون يومًا من التبليغ. وخمسة أيام لا تكفي لتذهب وتكتشف أين تسكن البيانات الشخصية، وإنما تكفي لتبلّغ بما تعرفه أصلًا. فإما أن يكون الجرد موجودًا يوم وصول الخطاب فتجيب، وإما ألا يكون فتقضي الأيام الخمسة في كتابة اعتذار. ولذلك أيضًا فإن قناة استقبال تنتهي إلى بريد لا يتابعه أحد مأخذٌ ينتظر من يكتبه.

أقود في رسن تنفيذ الربط مع الشركاء والتطوير الذي تحته، في شركة يقوم منتجها على بيانات الناس الشخصية والصحية. فاقرأ ما يأتي بوصفه موقفًا تشغيليًا لا تحذيرًا عامًا: كل تكامل تبنيه بابٌ تستطيع البيانات الشخصية أن تخرج منه، وعدد الأبواب ينمو أسرع من عدد من يتذكرون وجودها.

والعقد لازم وغير كافٍ. فاتفاقية المعالجة تُحمّل الغير المسؤولية، لكنها لا تمنع خدمتك من أن ترسل إليه أكثر مما يحتاج. وموضع الإنفاذ هو الحمولة لا الورق. فإن كان الشريك يحتاج أن يعرف ما إذا كانت الوثيقة سارية، فأرسل إليه حالةً لا كائن حامل الوثيقة كاملًا. وإن كان مزوّد الطباعة يحتاج اسمًا وعنوانًا، فلا تسلّمه ملفًا كاملًا لأن البنية القائمة كانت إعادة استخدامها أسهل. وتقليل البيانات على مستوى الحقل موضعه طبقة التكامل ومراجعة الشيفرة حيث يراه أحد، لا بندٌ يُقرأ مرة واحدة عند التوقيع.

وعند شركة التأمين يكف هذا عن كونه مبدأً عامًا ويصير تعليمة محددة. فللبيانات الصحية معاملة خاصة في المادة الثالثة والعشرين من النظام واللوائح تحتها: يقتصر الاطلاع عليها على أقل عدد ممكن من الموظفين بالقدر اللازم لتقديم الخدمة، ويجب توثيق معالجة البيانات الصحية في كل مرحلة من مراحلها. وللبيانات الائتمانية نظام مقارب في المادة الرابعة والعشرين. واقرأ هذين الالتزامين بعين المهندس تجدهما التحكم في الوصول المبني على الأدوار وتتبّع الأثر من طرف إلى طرف، مكتوبين بلغة قانونية. فلن تقصر الاطلاع على أقل عدد ممكن في أنظمة لم تحصها، ولن توثق كل مرحلة من مراحل المعالجة وإحدى المراحل مكوّن وسيط يسجّل جسم الطلب عند الفشل.

ثم مدّ الخريطة إلى الخارج، فهي لا تقف عند محيطك. فلجهة المعالجة عندك جهات معالجة، ومزوّد المراقبة التشغيلية يرى ما تحمله آثارك، وأداة الدعم تحتفظ بما لصقه فيها الموظف، وبوابة أمن البريد تحتفظ بأجسام الرسائل. كل واحد منها موضع، وكل واحد منها يدخل السجل نفسه الذي تدخله قاعدة بيانات المطالبات، ويُقيَّم كما أقيّم أي مورّد أمام التزاماته، لأن جهة معالجة لا تستطيع أن تخبرك في أي منطقة تقع بياناتك قد أجابت عن السؤال أصلًا.

تضع المادة التاسعة والعشرون شروط نقل البيانات الشخصية خارج المملكة: أن يخدم النقل غرضًا مسموحًا به، وألا يمس الأمن الوطني أو المصالح الحيوية للمملكة، وأن توفر الجهة المنقول إليها مستوى مناسبًا من الحماية تقرره الجهة المختصة، وألا يُنقل إلا الحد الأدنى اللازم من البيانات. وصدرت لائحة نقل البيانات الشخصية خارج المملكة بصيغتها المعدلة في 1 سبتمبر 2024. ونشرت سدايا بعدها أربع صيغ من البنود التعاقدية النموذجية: من جهة تحكم إلى جهة تحكم، ومن جهة تحكم إلى جهة معالجة، ومن جهة معالجة إلى جهة معالجة، ومن جهة معالجة إلى جهة تحكم، إلى جانب القواعد الملزمة المشتركة وشهادة الاعتماد بوصفهما ضمانتين بديلتين، ثم نشرت في فبراير 2025 دليلًا لتقييم المخاطر الواجب قبل الاعتماد على هذه الضمانات.

وهنا ما كنت أفضّل ألا أكتبه، وهو الوضع الصادق للمسألة كما أفهمه في أغسطس 2026: لم تنشر سدايا قائمة الدول والمنظمات الدولية التي يُعد مستوى الحماية فيها مناسبًا. الآلية موجودة في اللائحة، والقائمة ليست متاحة للقراءة. ومعنى ذلك أن مهندس البنية لا يجد جوابًا يرجع إليه عن أبسط سؤال ممكن: هل يجوز أن يعمل هذا الحمل في تلك المنطقة؟ والمشورة الدائرة بين المستشارين القانونيين أن تبقى داخل ولايات قضائية سبق أن عُدّت مناسبة في الإطار الأوروبي، وأن توثّق النقل بالبنود السعودية على كل حال. وهذا تصرف حصيف، وليس معرفة، ولن أقدّمه على أنه معرفة.

فصمّم إذن لمتغير لا تستطيع قراءته بعد. اجعل المنطقة إعدادًا لا افتراضًا. ويجب أن تجيب من سجل لا من الذاكرة: في أي منطقة يقع مستأجرك في كل خدمة تشتريها، وهل ينسخ المزوّد إلى منطقة ثانية لأغراض صموده هو، وهل يستطيع فريق دعمه الاطلاع على بيانات الإنتاج من خارج المملكة. وهذه الأخيرة هي التي توقع الناس. فقد يكون الحمل مستضافًا داخل المملكة ومع ذلك يقرؤه مكتب دعم في الخارج، وذلك نقل.

وكثيرًا ما تحسم قواعد قطاعك نفسه القرار أبكر وأشد من النظام العام. فالبنك المركزي السعودي (SAMA) يعامل استضافة البيانات الخاضعة للتنظيم خارج المملكة بوصفها أمرًا يستوجب موافقته المسبقة لا تفضيلًا هندسيًا، ولذلك يختار كثير من المزوّدين الاستضافة داخل المملكة ويُنهون السؤال. وقد انتقل الإشراف على التأمين بعد ذلك إلى هيئة التأمين، ولم أجد نصًا منشورًا يطبّق القاعدة نفسها لديها؛ فهذا سؤال أرفعه إلى الجهة المشرفة، ولا أقيسه على موقف SAMA. كما أن ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) تُلزم المشتركين في الخدمات السحابية لا مقدّميها وحدهم، وقد حُدّثت لتعكس متطلبات توطين البيانات، أي أن شراء الخدمة لا ينقل الالتزام إلى المورّد. فاعرف أي قاعدة تقود قرارك فعلًا قبل أن تتجادل فيه في مراجعة التصميم.

دليل سدايا لإتلاف البيانات الشخصية وإخفاء هويتها واستخدام الأسماء المستعارة، المنشور في 3 سبتمبر 2024، واضح في المعيار: الإتلاف يعني أن تُحذف البيانات حذفًا دائمًا لا يمكن استرجاعها بعده، وأن يكون إخفاء الهوية غير قابل للعكس بحيث يتعذر التعرف على الشخص. والدليل نفسه يمضي إلى أبعد مما يخبرك به المورّدون، فينص على أن «عملية أرشفة البيانات الشخصية والنسخ الاحتياطي لا تعد من قبيل عمليات الإتلاف»، وأن هذه البيانات تبقى بيانات شخصية تسري عليها أحكام النظام ولوائحه، وأن الإتلاف يجب أن يشمل كافة النسخ المخزنة في أنظمة جهة التحكم، بما فيها النسخ الاحتياطية.

فالجهة المنظِّمة نفسها تقول بعبارتها إن النسخة التي نقلتها إلى التخزين البارد ما زالت هي السجل.

والمعيار في تعارض مباشر مع أمرين تُلزَم كل إدارة تقنية خاضعة للتنظيم بتشغيلهما استقلالًا. أولهما النسخ الاحتياطي غير القابل للتعديل. فوسائط الكتابة مرة واحدة، وأقفال الكائنات، والنسخ المعزولة، وُجدت تحديدًا لكي لا يستطيع أحد، وأنت منهم، ومعك مهاجم يحمل بيانات دخولك، أن يغيّر محتواها انتقائيًا. وهذه الخاصية هي الضابط بعينه. وثانيهما سجل التدقيق الذي لا يقبل إلا الإضافة، ولا قيمة له إلا لأن قيوده لا تُحذف.

وأنا أتولى استمرارية الأعمال في موقعي الحالي، ولذلك أقول صراحةً ما لا يُقال: إذا استعدت نسخة احتياطية أُخذت قبل تنفيذ الحذف، فقد أعدت إنشاء السجل الذي حذفته، وما لم يُعِد شيءٌ تنفيذ الحذف بعد الاستعادة فسيبقى قائمًا.

ولا يُحل ذلك بتعديل النسخة الاحتياطية، وإنما يُعالَج هندسيًا. وتقنية واحدة تصل فعلًا إلى وسائط لا يُسمح لك بتغييرها: أن تشفّر لكل صاحب بيانات أو لكل مستأجر على حدة ثم تتلف المفتاح، فيبقى النص المشفر على النسخة غير القابلة للتعديل ولا يبقى النص الأصلي. وما عدا ذلك احتواء. فاحتفظ بسجل حجب للحذف المنفَّذ، وأعد تنفيذه خطوةً إلزامية في كل كتاب تشغيل للاستعادة، وجرّبه في تمرين الاستعادة بدل افتراضه. واضبط مدد الاحتفاظ بالنسخ قصيرة ومقصودة، فتحمل النسخة المتبقية تاريخ انتهاء معلومًا لا مفتوحًا. وافصل سجل التدقيق عن البيانات الشخصية التي يشير إليها، فالسجل مطلوب منه أن يثبت وقوع إجراء على شخص، ويكفيه رمز بديل، لا أن يحمل هوية الشخص صريحة.

وأقف دون الادعاء بأن هذا يحسم التعارض. فلا أعلم موقفًا منشورًا من الهيئة يوفّق بين معيار الإتلاف وبين وسائط النسخ غير القابلة للتعديل والتزامات الاحتفاظ التي تفرضها جهات تنظيمية أخرى، ولن أصنع موقفًا وأقدّمه على أنه إرشاد. والذي أفعله بدلًا من ذلك أن أكتب المتبقي: أي النسخ تبقى بعد الحذف، وعلى أي وسيط، وكم تبقى، وبأي حماية، وفي أي تاريخ تنتهي من تلقاء نفسها. وموضع هذه الفقرة سجل أنشطة المعالجة والرد المرسل إلى صاحب البيانات. والصيغة التي أستطيع الدفاع عنها تسمّي النسخ المقفلة التي ما زالت تحمل النص المشفر، والمفتاح الذي أُتلف حتى لا يقرأها شيء، والتاريخ الذي تسقط فيه آخر نسخة بانتهاء مدتها.