سياسة خصوصية متوافقة مع نظام حماية البيانات الشخصية لمتجرك الإلكتروني
ما الذي يجب أن تفصح عنه سياسة الخصوصية، وكيف تكتبها بشكل صحيح قبل أن تطلب بيانات عملائك.
أي متجر إلكتروني في المملكة يجمع بيانات شخصية: الاسم ورقم الجوال والبريد الإلكتروني والعنوان وسجل الطلبات وبيانات الدفع. ومنذ نفاذ نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم م/١٩ وتعديلاته، صار لزاماً على كل جهة تتحكم في هذه البيانات أن تعرّف عملاءها بما تجمعه ولماذا وكيف تحميه. الأداة التي يتم بها ذلك هي سياسة الخصوصية المنشورة على متجرك.
الجهة المشرفة على تطبيق النظام هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وهي صاحبة الصلاحية في إصدار اللوائح التنفيذية ومراقبة الالتزام والتعامل مع المخالفات. سياسة الخصوصية الجيدة ليست نصاً شكلياً، بل هي وثيقة قانونية تثبت أنك جهة تحكم ملتزمة، وتحمي متجرك من المساءلة، وتبني ثقة العميل.
هذا الدليل يوضح ما يجب أن تفصح عنه سياسة الخصوصية لمتجرك، والعقوبات المترتبة على المخالفة، ويقدم لك مقطعاً جاهزاً ثنائي اللغة يمكنك البناء عليه. النموذج D-٠٣ (سياسة الخصوصية) في صيغتي يوفر لك الوثيقة الكاملة المعتمدة.
احصل على نموذج سياسة الخصوصيةD-٠٣النظام والجهة المشرفة
نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم م/١٩ وتعديلاته، هو الإطار الذي ينظم جمع بيانات الأفراد ومعالجتها وتخزينها داخل المملكة. يطبق النظام على أي معالجة لبيانات أشخاص مقيمين في المملكة، بما في ذلك المعالجة التي تتم من خارجها. ويميّز النظام بين جهة التحكم التي تحدد أغراض المعالجة ووسائلها، وجهة المعالجة التي تعالج البيانات نيابة عنها.
بصفتك صاحب متجر إلكتروني فأنت في الغالب جهة تحكم، لأنك تقرر ما البيانات التي تُجمع وكيف تُستخدم. هذا يحمّلك المسؤولية الأساسية عن الالتزام أمام سدايا، وهي الهيئة السعودية للبيانات والذكاء الاصطناعي المنوط بها الإشراف على النظام وإصدار لوائحه التنفيذية ومتابعة الامتثال.
ما الذي يجب أن تفصح عنه سياسة الخصوصية
سياسة الخصوصية المتوافقة مع النظام يجب أن تكون واضحة وسهلة الوصول، وأن تغطي العناصر التالية كحد أدنى:
- هوية جهة التحكم: الاسم النظامي للمتجر أو الشركة وبيانات التواصل الرسمية.
- البيانات التي تُجمع: الاسم، رقم الجوال، البريد الإلكتروني، العنوان، سجل الطلبات، وبيانات الدفع.
- أغراض المعالجة وأساسها النظامي: تنفيذ الطلب، تقديم الخدمة، تحسين التجربة، أو التزام نظامي.
- الإفصاح عن المشاركة: مع من تُشارك البيانات (شركات الشحن، بوابات الدفع، مزودي الخدمة).
- مدة الاحتفاظ: المدة التي تُحفظ خلالها البيانات وآلية إتلافها بعد انتهاء الغرض.
- النقل خارج المملكة: ما إذا كانت البيانات تُنقل أو تُخزّن خارج المملكة والضوابط المطبقة على ذلك.
- إجراءات الأمن: التدابير التقنية والتنظيمية لحماية البيانات من التسرب أو الوصول غير المصرح به.
- حقوق صاحب البيانات: حق العلم، والوصول، والحصول على نسخة، والتصحيح، والإتلاف.
- وسيلة التواصل والشكوى: قناة واضحة يمارس العميل من خلالها حقوقه أو يقدم شكواه.
حقوق صاحب البيانات
يمنح النظام كل عميل مجموعة من الحقوق التي يجب أن تتيح ممارستها فعلياً، لا أن تذكرها فقط. اجعل سياستك تشرح كيف يمارس العميل كل حق وفي أي مدة ترد على طلبه.
- الحق في العلم بالأساس النظامي لجمع بياناته والغرض منه.
- الحق في الوصول إلى بياناته والحصول على نسخة منها بصيغة مقروءة.
- الحق في تصحيح البيانات غير الدقيقة أو تحديثها أو إكمالها.
- الحق في طلب إتلاف بياناته متى انتفى الغرض من معالجتها.
- الحق في سحب الموافقة في أي وقت متى كانت المعالجة قائمة عليها.
العقوبات على المخالفة
النظام ليس توصية، بل تترتب على مخالفته عقوبات مالية كبيرة تحددها سدايا بحسب جسامة المخالفة. تبدأ المعالجة بإنذار، وقد تصل العقوبات المالية إلى مبالغ مرتفعة في الحالات الجسيمة.
- غرامة تصل إلى ٥ ملايين ريال في مخالفات الإفصاح عن البيانات الحساسة، مع إمكانية مضاعفتها عند التكرار.
- غرامة تصل إلى ٣ ملايين ريال في المخالفات الأخرى للنظام.
- قد يكتفى بالإنذار في المخالفات الأقل جسامة قبل توقيع الغرامة.
إلى جانب الغرامة، فإن أي حادثة تسرب أو سوء استخدام تضر بسمعة متجرك وثقة عملائك، وهي خسارة قد تفوق العقوبة المالية.
خطوات نشر سياسة خصوصية متوافقة
- احصر فعلياً كل بيان شخصي يجمعه متجرك من نقطة التسجيل حتى ما بعد التسليم.
- حدد لكل نوع بيانات الغرض من جمعه وأساسه النظامي ومدة الاحتفاظ به.
- اصرف الجهات التي تُشارك معها البيانات وتأكد من وجود ضوابط حماية معها.
- حرّر سياسة الخصوصية مغطية كل عناصر الإفصاح المطلوبة، أو استخدم النموذج D-٠٣ المعتمد.
- انشر السياسة في موضع ظاهر وسهل الوصول على المتجر، واربطها بصفحة الدفع والتسجيل.
- راجع السياسة دورياً وحدّثها كلما تغيرت بياناتك أو خدماتك أو لوائح سدايا.
جملة حقوق صاحب البيانات
لك الحق في العلم بمعالجة بياناتك والوصول إليها والحصول على نسخة منها وتصحيحها وطلب إتلافها وسحب موافقتك.
You have the right to be informed of the processing of your data, to access it, to obtain a copy, to correct it, to request its erasure, and to withdraw your consent.
هذه جملة الحقوق وحدها للإيضاح. السياسة الكاملة، بجهة التحكم والأغراض والمشاركة والاحتفاظ والنقل والتسويق، موجودة في النموذج D-03.
الأسئلة الشائعة
هل سياسة الخصوصية إلزامية لكل متجر إلكتروني؟
نعم. ما دام متجرك يجمع أي بيانات شخصية لأشخاص مقيمين في المملكة، فأنت جهة تحكم خاضعة لنظام حماية البيانات الشخصية، ويجب أن توضح للعميل ما تجمعه ولماذا. غياب سياسة خصوصية واضحة يُعد مخالفة معرّضة للمساءلة من سدايا.
ما الفرق بين جهة التحكم وجهة المعالجة؟
جهة التحكم هي من يحدد أغراض معالجة البيانات ووسائلها، وأنت كصاحب متجر تقع غالباً في هذه الفئة. أما جهة المعالجة فهي من يعالج البيانات نيابة عنك، مثل مزود استضافة أو بوابة دفع. المسؤولية الأساسية عن الالتزام تقع على جهة التحكم.
ما العقوبة إذا تسربت بيانات حساسة من متجري؟
تبلغ الغرامة على مخالفات الإفصاح عن البيانات الحساسة ما يصل إلى ٥ ملايين ريال، مع إمكانية مضاعفتها عند التكرار، بينما تصل العقوبة في المخالفات الأخرى إلى ٣ ملايين ريال. وقد تكتفي سدايا بإنذار في الحالات الأقل جسامة. يضاف إلى ذلك الضرر الذي يلحق بسمعتك وثقة عملائك.
هل يكفي نسخ سياسة خصوصية جاهزة من متجر آخر؟
لا. سياسة الخصوصية يجب أن تعكس بدقة البيانات التي يجمعها متجرك أنت، وأغراض معالجتها، والجهات التي تشاركها معها. نسخ سياسة لا تطابق نشاطك الفعلي قد يجعلها مضللة وغير صحيحة نظاماً. استخدم النموذج المعتمد D-٠٣ وعدّل حقوله ليطابق متجرك.
أُعدّ هذا الدليل وروجِع من قبل محامٍ مرخص في المملكة. المحتوى معلومات عامة استرشادية وليس استشارة قانونية، ويُنصح بمراجعة محامٍ مرخص لحالتك الخاصة. عند وجود نصين عربي وإنجليزي، يُعتد بالنص العربي.