نظام حماية البيانات الشخصية للمقاولين: ماذا يلزمك؟

باختصار: كل بيان في أعمالك اليومية يدل على شخص بعينه يخضع لقواعد ملزمة، من اسم المشترك وجواله وعنوانه في أمر العمل، إلى صور الموقع وأرقام جوالات الفنيين ومواقعهم الميدانية. والمطلوب منك أن تعرف أين توجد هذه البيانات، ومن يطّلع عليها، وكيف تستجيب لطلبات أصحابها ولأي حادث تسرب.

كتبنا هذا الدليل لمديري التشغيل وتقنية المعلومات في شركات مقاولات الكهرباء. يشرح النظام وتواريخه، ويرسم خريطة البيانات الشخصية في مسار أمر العمل، ويعرض حقوق أصحاب البيانات وخطوات الاستجابة للتسرب، ثم الضوابط العملية والأسئلة التي تطرحها على مزوّد النظام، وأخيراً ما يوفره ELX من أدوات لضبط الوصول إلى البيانات.

ماذا يعني نظام حماية البيانات الشخصية للمقاولين، ومتى أصبح ملزماً؟

نظام حماية البيانات الشخصية نظام سعودي يضع قواعد جمع البيانات الشخصية ومعالجتها وحمايتها، وقد صدر بالمرسوم الملكي رقم م/19 وتاريخ 9/2/1443هـ. ودخل حيز النفاذ في 14 سبتمبر 2023، ومُنحت الجهات مهلة سنة لتوفيق أوضاعها انتهت في 14 سبتمبر 2024، فالالتزام الكامل قائم منذ ذلك التاريخ.

وقد أسند قرار مجلس الوزراء رقم 98 الإشراف على النظام إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) لمدة سنتين، يُنظر خلالها في نقله إلى مكتب إدارة البيانات الوطنية. ويصف ملخص DLA Piper سدايا بأنها الجهة المنظمة حالياً، فتابع أي تحديث على موقعها الرسمي. ويشمل النظام معالجة البيانات الشخصية كالأسماء وأرقام الهوية ووسائل التواصل والصور، ويسري على المعالجة داخل المملكة، وعلى معالجة بيانات المقيمين فيها من جهات خارجها.

ولا يقتصر النظام على البنوك وشركات الاتصالات. فشركة المقاولات التي تحفظ أسماء المشتركين وجوالاتهم، وتدير حسابات موظفيها وأرقامهم، تعالج بيانات شخصية كل يوم. أما دورك في كل مجموعة بيانات، أي هل أنت «جهة التحكم» فيها أم «جهة معالجة» تعالجها لصالح شركة الكهرباء بموجب العقد، فمسألة يحسمها مستشارك القانوني لأنها تحدد التزاماتك بدقة.

أين توجد البيانات الشخصية في أعمال مقاول الكهرباء؟

يبدو أمر العمل سجلاً فنياً عن محوّل وحفريات وعدادات، لكنه يحمل بيانات شخصية منذ لحظة تسجيله، ثم تتسع هذه البيانات مع كل مرحلة: الكشفية تضيف إحداثيات الموقع، والتنفيذ والجودة يضيفان صوراً ومرفقات، والتنبيهات تصل إلى أرقام جوالات الموظفين عبر تطبيقات المراسلة.

ولا تبقى البيانات داخل النظام دائماً. فهي تصل أصلاً في ملفات Excel، وتخرج في التقرير الشامل لأمر العمل بصيغة PDF، وفي المرفقات التي تُنزَّل مجمّعة في ملف ZIP، وفي رسائل البريد التي تتضمن عنوان الموقع، وفي تنبيهات تطبيقات المراسلة. وكل مخرج من هذه نقطة يجب أن تعرف من يملك صلاحيته، ولماذا.

ما حقوق صاحب البيانات التي يجب احترامها؟

يمنح النظام صاحب البيانات، مشتركاً كان أو فنياً، ستة حقوق أساسية. والتحدي عند المقاول ليس في فهمها، بل في القدرة على تنفيذها حين تكون بيانات الشخص موزعة على أوامر عمل ومرفقات ورسائل.

طلب الإتلاف والحذف المنطقي

تعتمد أنظمة تشغيل كثيرة على الحذف المنطقي: يختفي السجل من القوائم ويبقى في قاعدة البيانات قابلاً للتتبع. وهذا مفيد للتدقيق وحسم الخلافات، لكنه ليس إتلافاً.

لذلك اتفق مسبقاً مع مستشارك القانوني ومزوّد النظام على إجراء مكتوب يحدد: كيف يُتحقق من هوية صاحب الطلب، ومن يقرر قبوله، وهل تمنع التزامات أخرى إتلاف بعض السجلات، وكيف تُتلف البيانات فعلاً، وكيف يُوثَّق التنفيذ.

ماذا تفعل عند تسرب البيانات؟

تُلزم المادة العشرون من النظام جهة التحكم بإشعار الجهة المختصة عند علمها بتسرب بيانات شخصية أو تلفها أو الوصول إليها بطريقة غير مشروعة، وبإشعار صاحب البيانات إذا كان من شأن ذلك أن يضر ببياناته أو يتعارض مع حقوقه أو مصالحه، وفق ما تحدده اللوائح. وبحسب ملخص DLA Piper، حين يجب إبلاغ سدايا يكون البلاغ عبر منصة حوكمة البيانات الوطنية خلال 72 ساعة من العلم بالتسرب، ويُبلَّغ الأفراد المتأثرون دون تأخير غير مبرر متى وجب إبلاغهم.

أما العقوبات، فتنص المادة السادسة والثلاثون على معاقبة المخالفات الإدارية بالإنذار أو بغرامة لا تزيد على 5 ملايين ريال، ويجوز مضاعفة الغرامة عند تكرار المخالفة. ويبقى المرجع نص النظام ولوائحه التنفيذية بآخر تحديث تنشره سدايا.

ومهلة 72 ساعة قصيرة إذا بدأت البحث عن الإجابات بعد وقوع الحادث. وقد يبدأ التسرب عند المقاول من موقف بسيط: ملف Excel بأرقام المشتركين أُرسل إلى مجموعة خاطئة، أو حساب موظف غادر بقي مفعّلاً، أو جوال ضاع وفيه صور المواقع.

1. احتوِ الحادث فوراً

   أوقف الحساب المتأثر، واسحب الصلاحيات، واطلب من المستلمين حذف الرسائل أو الملفات المرسلة خطأً.

2. حدّد ما تسرّب

   أي بيانات، ولمن تعود، ومن أي مسار خرجت، ومتى بدأ ذلك. وهنا تفيدك سجلات النظام وسجلات الرسائل.

3. احفظ الأدلة

   احفظ نسخة من السجلات ذات الصلة قبل أي تعديل، ووثّق الخط الزمني للحادث.

4. أبلغ ضمن المهلة

   قرّر مع مستشارك القانوني هل يستوجب الحادث إبلاغ سدايا، فإن استوجبه فأعدّ البلاغ عبر منصة حوكمة البيانات الوطنية خلال 72 ساعة من العلم به.

5. قرّر إبلاغ المتأثرين

   إن كان التسرب قد يضر بالأفراد المتأثرين أو يمس حقوقهم، فاتفق مع مستشارك القانوني على إبلاغهم دون تأخير وعلى مضمون الرسالة.

6. عالج السبب

   راجع الصلاحيات والحسابات ومسارات التصدير التي سمحت بالحادث، وحدّث الإجراء.

ما الضوابط العملية التي تقلل المخاطر داخل النظام؟

كثير من مخاطر البيانات الشخصية عند المقاول يبدأ من وصول أوسع من الحاجة. والضوابط التالية تعالج ذلك داخل نظام التشغيل نفسه، وتقوم على مبدأي الحد الأدنى من الصلاحيات والحاجة إلى المعرفة:

• امنح كل دور الشاشات والإجراءات التي يحتاجها فقط، وافصل العرض عن التعديل والحذف والاستيراد.
• احصر بيانات كل مستخدم بفروعه وأحيائه، فلا يرى مشرف فرع بيانات مشتركي فرع آخر.
• اجعل فتح أمر العمل للمستخدم المسند إليه، واحصر صلاحية «عرض بيانات الآخرين» في المشرفين.
• خصّص حساباً باسم كل شخص، ولا تسمح بالحسابات المشتركة.
• احصر شاشات التقارير وتنزيل المرفقات المجمّعة في من يحتاجها.
• راجع سجل العمليات دورياً، وخصوصاً الحذف وتغيير المراحل يدوياً.
• قلّل البيانات الشخصية في التنبيهات، وأوقف الإشعارات عمّن لا يحتاجها.
• حدّد غرض تتبع المواقع الميدانية ومن يطّلع عليه، وأبلغ الفنيين به.
• أعد إسناد أوامر المغادرين، ثم أغلق حساباتهم فور انتهاء علاقتهم بالمنشأة.
• وثّق إجراء طلبات الإتلاف، ولا تعدّ الحذف المنطقي إتلافاً.

ولتفصيل مصفوفة الأدوار راجع دليلنا عن صلاحيات المستخدمين في نظام المقاولات، وللجانب التقني الأوسع دليلنا عن الضوابط الأساسية للأمن السيبراني.

ما الأسئلة التي تطرحها على مزود النظام؟

حين تختار نظاماً يحفظ بيانات مشتركيك وموظفيك، يصبح المزود حلقة في سلسلة حماية البيانات. اطلب إجابات مكتوبة عن هذه الأسئلة، وضمّن المهم منها في العقد:

1. أين تُستضاف البيانات وتُعالَج؟ وهل تجري أي معالجة خارج المملكة؟
2. كيف تُفصل بيانات منشأتي عن بيانات العملاء الآخرين؟
3. من لدى المزود يستطيع الوصول إلى بياناتنا، ولأي غرض، وهل يُسجَّل ذلك؟
4. ماذا يسجّل سجل العمليات، وما الذي لا يسجّله؟ وهل يُسجَّل الاطلاع على البيانات وتنزيلها؟
5. هل الحذف منطقي أم نهائي؟ وكيف يُنفَّذ طلب إتلاف موثّق، بما في ذلك النسخ الاحتياطية؟
6. ما البيانات التي تخرج في التنبيهات، وعبر أي قنوات وأطراف خارجية؟ وما الذي يُحفظ لدى تلك الأطراف؟
7. كيف تُحفظ مواقع الفرق الميدانية، ومن يطّلع عليها، وما مدة الاحتفاظ بها؟
8. كيف ستبلغوننا بأي حادث يمس بياناتنا، وخلال كم من الوقت؟
9. كيف نجمع ما يحفظه النظام عن شخص أو أمر عمل بعينه حين يصل طلب وصول؟

والإجابة الصريحة، حتى لو كانت «هذه الميزة غير متوفرة»، أنفع من وعد عام بالامتثال. فالامتثال في النهاية التزام على منشأتك، والمزود يساعدك عليه بأدوات يمكن التحقق منها.

كيف تساعد أدوات ELX في ضبط الوصول إلى البيانات؟

ELX نظام سحابي ثنائي اللغة (عربي وإنجليزي) تستضيفه ماتركس وتشغّله، يعمل من المتصفح دون خوادم لدى المقاول، وصُمّم لمقاولي شبكات الكهرباء في المملكة ليدير أمر العمل الصادر من شركة الكهرباء من تسجيله حتى أرشفته. وبذلك تصبح ماتركس حلقة في سلسلة حماية بياناتك، ومن حقك أن تطرح عليها أسئلة القسم السابق كلها. ولا يحمل ELX شهادة امتثال لنظام حماية البيانات الشخصية ولا يدّعيها، لكنه يوفر ضوابط وصول وتتبع تساعد المنشأة على تطبيق سياساتها:

• مصفوفة الصلاحيات: في وحدة الصلاحيات والإعدادات يمنح المدير كل مستخدم صلاحياته على كل شاشة: العرض والإضافة والتعديل والحذف وتغيير الحالة وعرض بيانات الآخرين والتحويل والاستيراد من Excel، ولا تظهر له إلا الشاشات المصرّح بها.
• حصر النطاق: يُربط كل مستخدم بفروعه ومدنه وأحيائه، فتقتصر قوائمه ولوحة مؤشراته على نطاقه، ويرى المدير الكل.
• ملكية الأمر: لا يفتح أمر العمل إلا المستخدم المسند إليه أو صاحب صلاحية «عرض بيانات الآخرين».
• سجل العمليات: تُسجَّل الإضافة والتعديل والحذف وتغيير الحالة في الأدلة والسجلات التشغيلية الرئيسية، بالمستخدم والتاريخ ولقطة من قيم السجل، مع تاريخ كامل لكل سجل. ويُحفظ تغيير المرحلة يدوياً في سجل مستقل بملاحظة إلزامية. وهو سجل للتغييرات، فإن كانت سياستك تتطلب تتبع الاطلاع على البيانات أو تنزيلها فاطرح ذلك في العرض التوضيحي.
• الحذف المضبوط: في وحدة إدارة أوامر العمل شاشة حذف بصلاحية مستقلة، والحذف في أوامر العمل والسندات المخزنية والمقايسات منطقي يمكن تتبعه. وهو يحفظ الأثر، لكنه لا يغني عن إجراء متفق عليه لطلبات الإتلاف.
• عزل المنشأة: تعمل كل شركة بنسخة ويب مستقلة وقاعدة بيانات مستقلة لكل شركة، وتلخّص صفحة الأمان وحوكمة البيانات هذه الضوابط كلها.
• الحسابات: لكل مستخدم حساب برمزه وكلمة مروره، مربوط بفروعه وأحيائه وشاشاته، ويعيد المدير تعيين كلمة المرور عند الحاجة، وتُستعاد كلمة المرور المنسية برمز يصل إلى البريد الإلكتروني.
• التنبيهات: لكل مستخدم رقم تيليجرام وخيار لتفعيل إشعاراته أو إيقافها، ويتحكم المدير في تفعيل قناة واتساب أو إيقافها، وهي تعمل عبر بوابة مراسلة خارجية. وتُسجَّل الرسائل برقم المستلم ونجاح الإرسال أو فشله. التفاصيل في وحدة الإشعارات.
• العمل الميداني: يوفر ELX واجهة برمجية لتطبيقات الجوال الميدانية، يدخل عبرها المستخدم باسمه وكلمة مروره فيستلم رمز دخول موقّعاً، ولا تُعرض له إلا الشاشات والأحياء المسموحة له وفق مصفوفة الصلاحيات نفسها. وتستقبل الواجهة كذلك نقاط موقع GPS يرسلها التطبيق، وتحدّث آخر موقع معروف للمستخدم، وهي بيانات تحتاج غرضاً معلناً وصلاحية محدودة.
• تجميع ما يُحفظ عن الأمر: تجمع شاشة المرفقات الموحّدة ملفات أمر العمل من كل المراحل مع مصدر كل ملف، وتتيح تنزيلها مجمّعة في ملف ZIP، ويعرض التقرير الشامل بيانات الأمر في كل مرحلة ويُنزَّل بصيغة PDF، فيسهل حصر ما يحفظه النظام عن أمر بعينه حين يصل طلب.

وللجانب الميداني تحديداً، راجع دليلنا عن تطبيقات الجوال لمهندسي الموقع. وإن أردت أن ترى الصلاحيات وحصر النطاق وسجل العمليات على أدوار فريقك، وأن تسأل عن موقع البيانات والنسخ الاحتياطية ومدة الاحتفاظ بنقاط الموقع، اطلب عرضاً توضيحياً.