نظام حماية البيانات الشخصية عملياً: ما الذي يجب على الشركة السعودية فعله؟
نظام حماية البيانات الشخصية ليس وثيقة سياسة تنشرها مرة، بل مجموعة أمور يجب أن تكون أنظمتك قادرة على تنفيذها عند الطلب.
فريق فالور إكس
التقنية والصناعة
تستجيب معظم الشركات للنظام بكتابة سياسة خصوصية ووضعها في تذييل الموقع، وهذا أسهل الأمر وأقلّه. فالنظام يُنشئ التزامات يجب أن تكون برمجياتك قادرة على تنفيذها: إيجاد بيانات شخص، وتصحيحها، وحذفها، وتبرير سبب الاحتفاظ بها أصلاً.
ابدأ بمعرفة ما لديك
لا تستطيع حماية أو إخراج أو حذف ما لم تُحصِه. وقد يبدو حصر البيانات عملاً بيروقراطياً حتى يصل أول طلب ولا يستطيع أحد الجزم بما إذا كانت منصة التسويق ونظام العملاء القديم وصندوق الدعم يحتفظ كلٌ منها بنسخة عن العميل نفسه. وفي معظم الشركات: نعم.
- ما البيانات الشخصية التي تحتفظ بها وأين تقيم ومن يراها
- لماذا تحتفظ بكل عنصر: الأساس النظامي مكتوباً
- مدة الاحتفاظ وما الذي يحذفها عند انتهائها
- من يستلمها غيرك: معالجون، تحليلات، مزودو رسائل
- أين تُخزَّن وهل تغادر المملكة
الطلبات هي الاختبار الحقيقي
يحق للشخص أن يسأل عما لديك عنه، وأن يطلب تصحيحه، وأن يسحب موافقته، وأن يطلب حذفه. وكل ذلك يجب أن يكون قابلاً للإجابة خلال المدة التي يمنحها النظام. فإن احتاج الأمر ثلاثة موظفين وأسبوعاً من استعلامات قواعد البيانات فهذا ليس برنامج امتثال بل مخاطرة امتثال.
جمع حقل لأنه «قد ينفع يوماً» هو أكثر الطرق شيوعاً لإنشاء التزام لا تجني منه شيئاً.
صمّمه من الأساس لا تُلحقه لاحقاً
الصيغة العملية غير مُبهرة: اجمع أقل، وسجّل الوصول، وحدّد مدة احتفاظ لكل جدول يحمل بيانات شخصية، وشفّر ما يستحق، وابنِ إجراءات التصدير والحذف أثناء بناء الميزة نفسها. فإضافتها إلى نظام قائم بعد عامين تكلف أضعافاً.
ولا شيء مما سبق استشارة قانونية، فخذها من محامٍ يعرف قطاعك. لكن العمل الهندسي خلفها معروف ومتوقع، وهو أرخص بكثير حين يُنفَّذ أثناء كتابة النظام.
