عميل طلب نسخة من بياناته أو إتلافها: كيف ترد منشأتك بشكل نظامي وموثق؟

ما الطلبات التي يحق للشخص تقديمها لمنشأتك؟

يحدد النظام حقوق صاحب البيانات الشخصية، وتفصّل اللائحة التنفيذية ضوابط ممارستها. وأكثر ما يصل إلى منشأة صغيرة أو متجر إلكتروني خمسة طلبات، ولكل منها ضابط يجب أن يعرفه الموظف الذي يستقبل الطلب قبل أن يرد.

• الوصول: أن يطلع الشخص على بياناته الشخصية المتوافرة لديك. وتتيح اللائحة أن يكون ذلك بناءً على طلب، أو عبر وسيلة توفرها المنشأة تمكّنه من الوصول إلى بياناته تلقائياً دون طلب، مثل صفحة الحساب في المتجر.
• الحصول على نسخة: أن يطلب نسخة من بياناته بصيغة مقروءة وواضحة. والأصل أن تُقدَّم بصيغة إلكترونية شائعة الاستخدام، وله أن يطلب نسخة مطبوعة متى كان ذلك ممكناً.
• التصحيح: أن يطلب تصحيح بياناته أو إتمامها أو تحديثها. ولك أن تطلب مستندات داعمة متى كان ذلك ضرورياً، على أن تتلفها بعد انتهاء التحقق، وله أن يطلب تقييد معالجة بياناته خلال المدة التي تتحقق فيها من صحتها.
• الإتلاف: أن يطلب إتلاف بياناته التي انتهت الحاجة إليها، دون إخلال بالحالات التي يوجب فيها النظام الاحتفاظ بها مدة معينة.
• العدول عن الموافقة: أن يسحب موافقته على معالجة بياناته في أي وقت، فتوقف المنشأة المعالجة القائمة على تلك الموافقة دون تأخير غير مبرر. ولا يمس العدول مشروعية ما تم قبله، ولا المعالجة القائمة على مسوغ نظامي آخر غير الموافقة.

ويضاف إلى ذلك الحق في العلم، وهو حق تلبيه أساساً سياسة الخصوصية المنشورة قبل جمع البيانات أو عنده، لا الرد على طلب لاحق. وإذا كان صاحب البيانات ناقص الأهلية أو عديمها، فلوليه الشرعي أن يمارس حقوقه نيابة عنه، فتتحقق المنشأة عندئذ من صفة الولي قبل التنفيذ.

قائمة التحقق: من وصول الطلب إلى إغلاق ملفه

تلزم اللائحة التنفيذية النافذة جهة التحكم بأن تنفذ طلبات ممارسة الحقوق دون تأخير وخلال مدة لا تتجاوز ثلاثين يوماً. ولها أن تمددها بما لا يزيد على ثلاثين يوماً إضافية إذا تطلب التنفيذ جهداً إضافياً غير متوقع أو غير معتاد، أو إذا تلقت طلبات متعددة من صاحب البيانات نفسه، بشرط أن تشعره مسبقاً بالتمديد ومبرراته. والخطوات الآتية تحوّل هذا الالتزام إلى إجراء يومي يستطيع موظف خدمة العملاء تطبيقه دون أن ينتظر المحامي في كل مرة.

1. حدد قنوات الاستقبال وأعلنها. تذكر اللائحة وسائل يختار منها صاحب البيانات بحسب ما توفره المنشأة، ومنها البريد الإلكتروني، والرسائل النصية، والعنوان الوطني، والتواصل عبر التطبيقات الإلكترونية، أو أي وسيلة نظامية أخرى تعدها المنشأة لهذا الغرض. واذكر القنوات نفسها في سياسة الخصوصية.
2. سجّل الطلب فور وصوله. أعطه رقماً، ودوّن تاريخ الاستلام والقناة ونوع الطلب واسم مقدمه وموعد انتهاء المدة. والطلب الشفهي في مكالمة أو في المتجر يُسجَّل كذلك، فاللائحة تلزم بتوثيق كل الطلبات وحفظها، بما فيها الطلبات الشفهية.
3. تحقق من هوية مقدم الطلب قبل التنفيذ. والطريقة العملية أن تطابق بيانات الحساب أو رقم الجوال أو البريد المسجل لديك، وألا تطلب من البيانات إلا ما يكفي للتحقق، حتى لا يتحول التحقق نفسه إلى جمع بيانات جديدة. وإن قدّم الطلب ولي عن ناقص الأهلية فتحقق من صفته.
4. حدد البيانات المعنية وأماكنها: قاعدة عملاء المتجر، وسجل الطلبات، ونظام الدفع، وأداة الرسائل التسويقية، وشركة الشحن، وأي مزود يعالج البيانات لحسابك بموجب اتفاقية معالجة البيانات.
5. اتخذ القرار ودوّن سببه في السجل: تنفيذ كامل، أو تنفيذ جزئي، أو رفض مسبب، أو تمديد مع إشعار مسبق لصاحب البيانات.
6. نفّذ ثم أبلغ الأطراف المعنية. عند التصحيح أشعر الجهات التي أفصحت لها عن البيانات سابقاً. وعند الإتلاف أو العدول عن الموافقة اتخذ الإجراءات الملائمة لإشعار من أفصحت لهم عن البيانات وطلب إتلافها. وعند الإتلاف أتلف كل النسخ في أنظمتك بما فيها النسخ الاحتياطية، مع مراعاة المتطلبات النظامية ذات العلاقة.
7. أرسل الرد المكتوب عبر القناة التي اختارها صاحب البيانات، واحفظ نسخة منه في ملف الطلب.
8. أغلق الملف في السجل بتاريخ الرد ونتيجته، واحتفظ بالسجل دليلاً على التزامك إذا قُدمت شكوى لاحقاً.

ماذا يذكر الرد المكتوب؟

الرد المكتوب هو ما يبقى في يد العميل وفي ملفك معاً، فاجعله واضحاً ومحدداً وبلغة بسيطة يفهمها غير المختص. ولا يحتاج إلى صياغة مطولة، لكنه يحتاج إلى عناصر ثابتة لا يغيب منها شيء.

• رقم الطلب وتاريخ استلامه ونوعه كما فهمته المنشأة.
• ما الذي نُفّذ تحديداً: البيانات التي أُتيح الوصول إليها، أو النسخة المرفقة وصيغتها، أو الحقول التي صُححت، أو البيانات التي أُتلفت، أو المعالجة التي توقفت.
• ما الذي لم يُنفّذ ولماذا، مع ذكر المسوغ بإيجاز إذا كان التنفيذ جزئياً.
• الجهات التي أُشعرت بالتصحيح أو طُلب منها الإتلاف، متى كان ذلك مطلوباً.
• ما يبقى لدى المنشأة من بيانات لوجود مسوغ نظامي يوجب الاحتفاظ بها، ومتى ستُتلف.
• قناة التواصل لأي استفسار لاحق.

متى يجوز رفض الطلب، وكيف يوثق الرفض؟

الرفض استثناء لا قاعدة، ولا يكون إلا لسبب يستند إلى النظام أو لائحته، ويجب أن يكون مسبباً وأن يُبلَّغ به صاحب البيانات. ومن الحالات التي ينص عليها النظام واللائحة النافذان ما يلي.

• الطلب المتكرر بشكل غير مبرر، أو الذي يتطلب تنفيذه جهداً غير عادي: للمنشأة ألا تعالجه، على أن يكون ذلك مسبباً وأن يُشعَر به صاحب البيانات.
• الوصول أو النسخة التي تمس حقوق الغير، مثل حقوق الملكية الفكرية أو الأسرار التجارية، أو تكشف بيانات شخصية تحدد هوية فرد آخر. والأسلم هنا أن تحجب الجزء المتأثر وتنفذ الباقي، بدل أن ترفض الطلب كله.
• تقييد الوصول إذا كان ضرورياً لحماية صاحب البيانات أو غيره من ضرر، وعدم التمكين من الوصول في أحوال يحددها النظام، منها أن يعرّض سلامة فرد للخطر، أو ينتهك خصوصية فرد آخر، أو يتعارض مع مصلحة ناقص الأهلية، أو يمنع كشف جريمة.
• طلب إتلاف بيانات يوجب مسوغ نظامي الاحتفاظ بها مدة محددة، أو بيانات متصلة اتصالاً وثيقاً بقضية منظورة أمام جهة قضائية. هنا تؤجل الإتلاف إلى انتهاء المدة أو استكمال الإجراءات القضائية، وتخبر صاحب البيانات بذلك.
• العدول عن الموافقة لا يوقف معالجة تقوم على مسوغ نظامي آخر غير الموافقة، مثل تنفيذ طلب شراء قائم. فوضّح ذلك لصاحب البيانات بدل أن تتجاهل طلبه.

أما توثيق الرفض فيتم في السجل نفسه: سبب الرفض كما ورد في الرد، والمسوغ الذي استندت إليه المنشأة، واسم من اتخذ القرار، وتاريخ إشعار صاحب البيانات. والنظام يجيز لصاحب البيانات أن يتقدم بشكوى إلى الجهة المختصة، والرفض غير المسبب أو غير الموثق يضعف موقف المنشأة إذا وصلت الشكوى.

سياسة الخصوصية وحزمة الطلبات: كيف تعملان معاً؟

سياسة الخصوصية هي الوعد المنشور، وحزمة الطلبات هي طريقة الوفاء به. فاللائحة التنفيذية تلزمك عند جمع البيانات من صاحبها مباشرة بأن تبلغه بحقوقه وآلية ممارستها وكيفية العدول عن موافقته، وهذا يُكتب عادة في سياسة الخصوصية. فإذا قالت السياسة إن العميل يستطيع طلب نسخة من بياناته عبر البريد الإلكتروني، فلا بد أن يعرف فريقك ماذا يفعل حين تصل تلك الرسالة فعلاً.

• القنوات: القنوات المذكورة في السياسة هي نفسها التي يراقبها فريقك ويسجل منها الطلبات.
• الحقوق: كل حق تذكره السياسة يقابله في الحزمة نموذج رد وخطوة تنفيذ.
• العدول عن الموافقة: تشترط اللائحة أن يكون إجراء العدول مماثلاً لإجراء الحصول على الموافقة أو أسهل منه، فإن كانت الموافقة بنقرة واحدة فلا تجعل سحبها خطاباً رسمياً.
• الاحتفاظ: مدد الاحتفاظ أو معايير حسابها كما تذكرها السياسة هي ما تستند إليه حين ترد على طلب إتلاف رداً جزئياً.
• المزودون: يحسن أن تلزم اتفاقيات معالجة البيانات مزوديك بمساعدتك في تنفيذ الطلبات وإتلاف ما لديهم عند طلبك.

ولهذا نوصي بأن تبدأ بسياسة خصوصية متوافقة من القالب D-03، ثم تربطها بحزمة الرد على طلبات أصحاب البيانات I-06، وتراجع ضمن العمل نفسه اتفاقيات المعالجة مع مزوديك وإشعار ملفات الارتباط في متجرك، حتى يقول كل مستند الشيء نفسه.

مسودة تعديلات اللائحة في منصة استطلاع: ماذا تقترح بشأن الطلبات؟

طرحت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) مسودة بعنوان تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية في منصة استطلاع، ويستمر استقبال المرئيات عليها حتى ٥ نوفمبر ٢٠٢٦. ونؤكد أنها مسودة: لا يسري منها شيء اليوم، وقد تتغير صياغتها أو لا تُعتمد أصلاً. وما يلي قراءتنا لما يعرضه جدول المقارنة في صفحة المسودة، بكلماتنا لا بنصها.

• تُبقي المسودة مدة تنفيذ الطلبات كما هي في اللائحة النافذة، وتقترح إضافة تعدّ انقضاء المدة دون تنفيذ بمثابة رفض من جهة التحكم.
• تقترح المسودة الإشارة صراحة، ضمن أحكام الطلبات، إلى حق صاحب البيانات في تقديم شكوى إلى الجهة المختصة.
• تُبقي المسودة واجب توثيق كل الطلبات بما فيها الشفهية، وجواز عدم معالجة الطلب المتكرر أو المرهق على أن يكون ذلك مسبباً ويُبلَّغ به صاحب البيانات.
• تقترح المسودة متطلبات لسياسة الخصوصية، منها اللغة الواضحة البسيطة ونشرها بأكثر من لغة تكون العربية من بينها.

ماذا تفعل الآن؟ لا تبنِ إجراءاتك على المسودة، لكن استفد من اتجاهها: الصمت بعد انقضاء المدة لن يكون حلاً في أي حال، فالتزم بالمدة النافذة اليوم وسجل كل طلب وكل رد. وإن أردت إبداء رأيك فالمشاركة متاحة في منصة استطلاع حتى الموعد المعلن. وسنحدّث هذا الدليل والقالب I-06 إذا صدر النص النهائي.

الأسئلة الشائعة