الإبلاغ عن تسرب البيانات الشخصية

تعريف الإبلاغ عن تسرب البيانات الشخصية

الإبلاغ عن تسرب البيانات الشخصية (بالإنجليزية: Personal Data Breach Notification) التزام يقع على جهة التحكم، أي الجهة التي تحدد غرض معالجة البيانات الشخصية وكيفيتها، بأن تُشعر الجهة المختصة عند علمها بحدوث تسرب، وأن تُشعر صاحب البيانات إذا كان من شأن التسرب أن يضره. وسنده المادة 20 من نظام حماية البيانات الشخصية، وتفصّله المادة 24 من اللائحة التنفيذية لنظام حماية البيانات الشخصية.

وصاحب العمل جهة تحكم في بيانات موظفيه ومتقدميه، لأن النظام يسري على أي معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة، ولا يستثني منه إلا معالجة الفرد بياناتٍ لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي «ما دام أنه لم ينشرها أو يفصح عنها للغير» بنص الفقرة 2 من المادة 2، وتحدد اللوائح المقصود بذلك الاستخدام. فمن يحتفظ بملفات الموظفين وكشوف الرواتب يدخل في الالتزام، ومن يعالج بياناتها نيابة عنه، كمزود نظام الرواتب، جهة معالجة.

ما المقصود بالتسرب

تعرّف اللائحة التنفيذية لنظام حماية البيانات الشخصية التسرب بأنه «أي حادثة تؤدي إلى الإفصاح عن البيانات الشخصية أو تلفها أو الوصول غير المشروع إليها، سواء كان ذلك بقصد أو بغير قصد، وبأي وسيلة كانت سواء آلية أو يدوية». وفي التعريف أربعة أمور يغفلها من يفهمه اختراقًا إلكترونيًا فقط:

• الإفصاح. إتاحة البيانات لشخص غير جهة التحكم وغير جهة المعالجة، ومنه إرسال كشف إلى عنوان بريد خاطئ.
• التلف. تلف البيانات الشخصية. ولا يشترط التعريف أن يطّلع عليها أحد، وهذه قراءة منا لخلو النص من هذا الشرط.
• الوصول غير المشروع. اطلاع من لا صلاحية له، موظفًا كان أو غريبًا.
• القصد وغيره، والآلي واليدوي. يدخل في الحادثة الخطأ البشري، وملف ورقي وصل إلى من لا يحق له الاطلاع عليه كما يدخل حاسوب مخترق.

وتعرض صفحة خصوصية بيانات الموظفين الالتزامات الأعم التي يندرج هذا الالتزام تحتها.

نص المادة 20 من نظام حماية البيانات الشخصية

تنص الفقرة الأولى من المادة 20 على أن «تشعر جهة التحكم الجهة المختصة عند علمها بحدوث تسرب لبيانات شخصية أو تلفها أو وصول غير مشروع إليها؛ وفقًا لما تحدده اللوائح». وتنص الفقرة الثانية على أن «تشعر جهة التحكم صاحب البيانات الشخصية إذا كان من شأن حدوث تسرب لبيانات شخصية أو تلفها أو وصول غير مشروع إليها أن يرتب ضررًا على بياناته أو يتعارض مع حقوقه أو مصالحه؛ وفقًا لما تحدده اللوائح».

وفي الفقرتين إحالة إلى اللوائح، فالمدة والمضمون لا يردان في النظام نفسه. ولا يسمّي النظام الجهة المختصة، فيعرّفها بأنها الجهة التي يصدر بتحديدها قرار من مجلس الوزراء. وهي في التطبيق الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وتعرض منصتها الوطنية لحوكمة البيانات خدمة بعنوان «إشعار تسرب بيانات شخصية». ولا تحدد اللائحة قناة الإشعار.

المادة 24 من اللائحة التنفيذية لنظام حماية البيانات الشخصية

تتضمن المادة 24 خمس فقرات، نعرضها كما وردت:

• الفقرة 1: الإشعار إلى الجهة المختصة. تُشعر جهة التحكم الجهة المختصة في حالة وقوع حادثة تسرب «خلال مدة لا تتجاوز (72) ساعة من وقت علمها بالحادثة، إذا كان من شأن تلك الحادثة الإضرار بالبيانات الشخصية أو صاحب البيانات الشخصية أو كانت تتعارض مع حقوقه أو مصالحه».
• مضمون الإشعار. يتضمن الإشعار خمسة عناصر: وصفًا للحادثة بوقتها وتاريخها وكيفية وقوعها ووقت علم جهة التحكم بها؛ وبيان الفئات والأعداد الفعلية أو التقريبية لأصحاب البيانات المعنيين ونوع البيانات؛ ووصفًا للمخاطر المحتملة والأثر الفعلي أو المحتمل والتدابير المتخذة للمنع أو الحد من الآثار والتدابير المستقبلية لمنع التكرار؛ وبيان هل أُشعر صاحب البيانات أو سيُشعر؛ وبيانات التواصل مع جهة التحكم أو مسؤول حماية البيانات لديها إن وجد أو أي مسؤول آخر عنده معلومات عن الحادثة.
• الفقرة 2: ما يتأخر من المعلومات. إذا لم تتمكن جهة التحكم من تقديم أي من البيانات المطلوبة خلال 72 ساعة من وقت علمها بالتسرب، فعليها أن تقدمها في أقرب وقت ممكن مع إرفاق مبررات التأخير.
• الفقرة 3: الاحتفاظ. على جهة التحكم الاحتفاظ بنسخة من التقارير المقدمة إلى الجهة المختصة، وتوثيق التدابير التصحيحية المتخذة، وأي مستندات أو وثائق داعمة ذات علاقة.
• الفقرة 4: التزامات أخرى. لا تخل المادة بالتزامات جهة التحكم أو المعالجة بتقديم أي بلاغ أو إشعار عن حوادث التسرب بموجب ما يصدر عن الهيئة الوطنية للأمن السيبراني أو أي أنظمة ولوائح معمول بها في المملكة.
• الفقرة 5: الإشعار إلى صاحب البيانات. على جهة التحكم «دون تأخير غير مبرر» إشعار صاحب البيانات بحادثة تسرب بياناته إذا كان من شأنها أن ترتب ضررًا على بياناته أو تتعارض مع حقوقه أو مصالحه، بلغة مبسطة وواضحة، متضمنًا وصف الحادثة، ووصف المخاطر والتدابير المتخذة، واسم جهة التحكم ووسيلة التواصل معها، والتوصيات أو النصائح التي تساعد صاحب البيانات على اتخاذ الإجراءات الملائمة لتجنب المخاطر أو تخفيف آثارها.

ونلاحظ أن الفقرة الأولى تربط مدة 72 ساعة بقيد: أن يكون من شأن الحادثة الإضرار أو التعارض مع الحقوق والمصالح. أما المادة 20 من النظام فتتحدث عن إشعار الجهة المختصة «عند علمها بحدوث تسرب» دون هذا القيد، وتحيل إلى اللوائح. ولم نقف على نص يعالج حادثة تسرب ليس من شأنها ضرر، فيبقى غير محدد هل يلزم فيها إشعار وفي أي مدة.

مثال محسوب: كشف رواتب يُرسل إلى عنوان خاطئ

افترض أن موظفة في المحاسبة أرسلت صباح الخميس 8 أكتوبر 2026 كشف رواتب شهر يخص 120 موظفًا إلى عنوان بريد خارجي بالخطأ، والكشف فيه الاسم ورقم الهوية ورقم الحساب البنكي لكل موظف. وعلم المدير المالي بالخطأ الساعة 9:00 من الصباح نفسه. والتواريخ والأعداد مفروضة للتوضيح.

• هل هو تسرب؟ نعم بتعريف اللائحة، فهو إفصاح عن بيانات شخصية «بغير قصد» وبوسيلة آلية. وتقدير الضرر مسألة تحتاج إلى نظر في الحادثة، وبيانات الحسابات البنكية والهوية تزيد احتماله في تقديرنا، ولا يضع النص معيارًا للضرر.
• مدة الإشعار. 72 ساعة من وقت العلم، أي من الخميس 9:00 إلى الأحد 11 أكتوبر 2026 الساعة 9:00. والفقرة لا تستثني يومي الجمعة والسبت من حساب الساعات، فالحساب يمر عليهما.
• مضمون الإشعار. يذكر الإشعار وقت الحادثة وتاريخها وكيفية وقوعها، والفئة المعنية وعددها 120 تقريبيًا أو فعليًا، ونوع البيانات، ويصف المخاطر والتدابير المتخذة كطلب حذف الرسالة من المستلم، ويورد بيانات التواصل.
• الموظفون. إن رُئي أن من شأن الحادثة ضررهم، فعلى المنشأة إشعارهم «دون تأخير غير مبرر» بلغة مبسطة، مع وصف الحادثة والتدابير ونصائح عملية كمتابعة حساباتهم البنكية.
• التوثيق. تحتفظ المنشأة بنسخة من التقرير المقدم، وتوثّق التدابير التصحيحية، مثل المكاتبة مع المستلم الخطأ، بنص الفقرة 3.

والحساب تطبيق لنص الفقرة، وليس إجراءً منصوصًا عليه في اللائحة. وتفصيل متى يُعدّ «العلم» حاصلًا، هل بوقوع الخطأ أم باكتشافه أم بتقدير جسامته، غير محدد، فالمادة تقول «من وقت علمها بالحادثة».

إذا وقع التسرب عند جهة المعالجة

تنص الفقرة الأولى من المادة 17 من اللائحة التنفيذية لنظام حماية البيانات الشخصية على أن يتضمن الاتفاق مع جهة المعالجة، ومنه مزود خدمة تعالج بيانات موظفين نيابة عن المنشأة، بنودًا منها «التزام جهة المعالجة بإشعار جهة التحكم في حال تسرب البيانات الشخصية، وذلك وفقًا لأحكام النظام وهذه اللائحة ودون تأخر غير مبرر». والمدة في هذا البند «دون تأخر غير مبرر»، وليس في المادة 17 رقم بالساعات. وتعدّ المادة بنودًا أخرى لا نعرضها هنا.

وفي المادة نفسها أن جهة التحكم مسؤولة عن التحقق الدوري من التزام جهة المعالجة، وأنه إذا خالفت جهة المعالجة تعليمات جهة التحكم أو الاتفاق المبرم معها عُدّت في حكم جهة التحكم ومسؤولة عن مخالفة النظام. وتعرض صفحة اتفاقية مشاركة البيانات الاتفاق الذي يوثق هذه الشروط.

ويبقى سؤال غير محسوم: متى تبدأ مدة 72 ساعة لدى جهة التحكم إذا علمت جهة المعالجة بالحادثة قبلها. فالفقرة الأولى من المادة 24 تقول «من وقت علمها»، أي علم جهة التحكم، ولا تعالج علم جهة المعالجة.

مسؤول حماية البيانات الشخصية

تعدّ الفقرة الثالثة من المادة 32 من اللائحة التنفيذية لنظام حماية البيانات الشخصية من مهام مسؤول حماية البيانات الشخصية في جهة التحكم «إشعار الجهة المختصة عن حوادث تسرب البيانات الشخصية». وتحدد الفقرة الأولى من المادة نفسها الحالات التي يلزم فيها تعيين مسؤول، ولا نعرضها هنا. وحيث لا يوجد مسؤول، فالالتزام بالإشعار على جهة التحكم بنص المادة 20 من النظام.

الوقاية عن طريق الأمن

تنص المادة 23 من اللائحة التنفيذية لنظام حماية البيانات الشخصية على أن تتخذ جهة التحكم التدابير التنظيمية والإدارية والتقنية اللازمة لضمان أمن البيانات الشخصية وخصوصية أصحابها، ومنها تطبيق التدابير الأمنية والتقنية الضرورية للحد من المخاطر الأمنية لحدوث التسرب، والالتزام بضوابط الهيئة الوطنية للأمن السيبراني أو أفضل ممارسات الأمن السيبراني المتعارف عليها إذا لم تكن جهة التحكم ملزمة بتطبيق ضوابط الهيئة. والإشعار يعالج ما بعد وقوع الحادثة، والمادة 23 تعالج ما قبلها.

ما يشبه الإبلاغ عن التسرب وليس هو

• مشاركة البيانات المأذون بها. إفصاح تقرره المنشأة بعلمها لجهة أخرى، وتعرضها صفحة اتفاقية مشاركة البيانات. أما التسرب فحادثة تقع دون قرار بالإفصاح.
• الاطلاع المقيد داخل المنشأة. سؤال في توزيع الصلاحيات، وقد يصير تسربًا إذا كان الوصول «غير مشروع»، وتعرض صفحة الخدمة الذاتية للموظف مثالًا على الاطلاع المقيد لما يخص الموظف.
• سياسة الأجهزة الشخصية. قاعدة وقائية لما يمر على جهاز الموظف، وتعرضها صفحة سياسة استخدام الأجهزة الشخصية. وفقد جهاز يحمل بيانات موظفين قد يدخل في الإفصاح أو الوصول غير المشروع بحسب ما جرى للجهاز.
• حادثة الأمن العامة. قد لا تمس بيانات شخصية، فلا يدخل في هذا الإشعار تعطل نظام لم يفصح عن بيانات ولم يتلفها.

ما الذي لا يحدده النص؟

لا يبين النص الأمور الآتية:

• معيار الضرر. ما يعدّ «من شأنه الإضرار»، وما يعدّ تعارضًا مع الحقوق والمصالح.
• الحادثة غير الضارة. هل تُبلَّغ، وبأي مدة.
• قناة الإشعار ونموذجه. لا تذكر المادة 24 من اللائحة قناة الإشعار ولا نموذجه.
• أيام العطل. هل تُستثنى من الساعات.
• بدء المدة عند جهة المعالجة. متى تبدأ إذا سبق علمها علم جهة التحكم.
• مدة الاحتفاظ بنسخة التقرير. الفقرة 3 توجب الاحتفاظ ولا تذكر مدة.
• وسيلة إشعار الموظف. بريد أم رسالة أم إشعار داخلي، فالفقرة 5 تشترط لغة مبسطة وواضحة ولا تحدد الوسيلة.

وللنظام أحكام جزائية لمخالفة أحكامه، ولا تتناولها هذه الصفحة.

ما يحسن توثيقه

هذه توصية تطبيقية، وليست شروطًا في المادتين:

• سجل الحوادث. أن يُدوَّن لكل حادثة وقت وقوعها المقدَّر ووقت علم المنشأة بها بدقة، لأن المدة تحسب من العلم.
• مسؤول واحد معلوم. أن يُحدَّد من يُبلَّغ أولًا داخل المنشأة ومن يقدّر الضرر ويعدّ الإشعار.
• قالب الإشعار. أن يُعدّ مسبقًا بالعناصر الخمسة في الفقرة 1 من المادة 24 من اللائحة.
• اتفاقيات المزودين. أن يتضمن اتفاق كل جهة معالجة بند الإشعار بالتسرب كما في المادة 17 من اللائحة.
• حفظ الأدلة. أن تُحفظ نسخة التقرير المقدم وما اتُّخذ من تدابير تصحيحية، بنص الفقرة 3.
• بلاغ الموظفين. أن يُعدّ نموذج بلغة بسيطة يتضمن عناصر الفقرة 5.

وما سبق تعريف بالمفهوم وبنصوص نظام حماية البيانات الشخصية ولائحته التنفيذية حيث ذُكرت، لا استشارة نظامية.