نطبق قانون حماية البيانات الشخصية في المملكة العربية السعودية، الذي تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA)، على الرسائل النصية القصيرة (SMS) ورموز التحقق لمرة واحدة (OTP) من التطبيقات إلى الأشخاص (A2P)، لأن رقم الهاتف المحمول يُعدّ بيانات شخصية. ويعمل المرسلون كمراقبين أو معالجين للبيانات، ويحتاجون إلى أساس قانوني كالموافقة، ويجب عليهم الالتزام بقواعد نقل البيانات عبر الحدود التي تنظم مكان تخزين ومعالجة محتوى الرسائل وبيانات التسليم الوصفية والسجلات.
يتناول هذا المنشور طبقة حماية البيانات. للاطلاع على نظام تسجيل وتوجيه معرّف المُرسِل الذي تديره هيئة تنظيم الاتصالات، يُرجى قراءة دليلنا المصاحب حول قواعد معرّف المُرسِل في هيئة الاتصالات والفضاء والتقنية (CST، سابقًا CITC) وصفحة المملكة العربية السعودية (/regulations/saudi-arabia). يتداخل النظامان، ويجب عليك الالتزام بهما معًا.
ما هو قانون حماية البيانات الشخصية (PDPL)، ومن يقوم بإنفاذه؟
صدر قانون حماية البيانات الشخصية بموجب المرسوم الملكي رقم م/19 لسنة 2021، وتم تعديله بالمرسوم الملكي رقم م/148 لسنة 2023. ودخل حيز التنفيذ في 14 سبتمبر 2023، وبدأ تطبيقه الفعلي بعد فترة سماح مدتها عام واحد اعتبارًا من 14 سبتمبر 2024. وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي، إلى جانب لوائحها التنفيذية ولائحة منفصلة بشأن نقل البيانات الشخصية خارج المملكة. ويشمل القانون أي معالجة للبيانات الشخصية للأفراد المقيمين في المملكة العربية السعودية، بما في ذلك المعالجة التي تقوم بها جهات مقرها خارج المملكة، وبالتالي فإن أي شركة دولية تراسل عملاء سعوديين تخضع لأحكامه حتى لو كانت خوادمها موجودة في مكان آخر. للاطلاع على نظرة عامة على المملكة، يُرجى مراجعة لوائح المملكة العربية السعودية.
أرقام الهواتف هي بيانات شخصية
بموجب قانون حماية البيانات الشخصية، تُعرَّف البيانات الشخصية بأنها أي بيانات تُحدد هوية شخص طبيعي بشكل مباشر أو غير مباشر. رقم الهاتف المحمول - وهو رقم MSISDN الذي تُرسل إليه الرسائل - يُحدد هوية فرد ويرتبط به، لذا فهو يُعد بيانات شخصية بحد ذاته. وهذا يشمل نطاق القانون الكثير مما يتعامل معه مُرسل الرسائل: قوائم المُستلمين، وسجلات طلبات رمز التحقق لمرة واحدة (OTP)، وإيصالات التسليم (DLRs) المرتبطة بالرقم، ومحتوى الرسائل الذي يحتوي على أسماء أو تفاصيل حسابات، والطوابع الزمنية وعناوين IP وبيانات تعريف الشبكة التي يتم إنشاؤها أثناء مسار الإرسال. إن اعتبار الرقم "مجرد مُعرِّف تقني" هو أكثر أنواع سوء فهم القانون شيوعًا وأكثرها تكلفة.
الأساس القانوني، والموافقة، وتقليل البيانات
كل عملية إرسال تتطلب أساسًا قانونيًا. يُعدّ الرضا الأساس الأساسي في قانون حماية البيانات الشخصية (PDPL)، وقد أقرّ تعديل عام 2023 أسسًا إضافية، تشمل المصلحة المشروعة للبيانات غير الحساسة، وتنفيذ العقد، والامتثال للالتزامات القانونية. عمليًا، يجب أن تستند حركة التسويق إلى موافقة صريحة وقابلة للإثبات مع وجود خيار إلغاء اشتراك فعّال - وهو ما تتوقعه هيئة تنظيم الاتصالات أيضًا - بينما تعتمد رسائل رمز التحقق لمرة واحدة (OTP) ورسائل المعاملات عادةً على الضرورة التعاقدية أو المصلحة المشروعة لأن المستخدم طلب تسجيل الدخول أو إتمام معاملة. هناك مبدأان آخران يُلزمانك طوال العملية: تحديد الغرض (استخدام الرقم فقط لما وافق عليه الشخص) وتقليل البيانات (جمع والاحتفاظ فقط بالحقول التي تحتاجها فعليًا). يجب أن يتطابق التصنيف الذي تُعلنه لتسجيل معرّف مُرسِل CST مع الأساس القانوني الذي تعتمد عليه بموجب قانون حماية البيانات الشخصية (PDPL).
واجبات المتحكّم والمعالِج، مُطبَّقةً على مُرسِل الرسائل
إذا كنتَ تُقرر سبب وكيفية معالجة الأرقام، فأنتَ تُعتبر مُتحكمًا؛ أما مُزود خدمة الاتصالات السحابية (CPaaS) أو مُجمّع البيانات، الذي يعمل بناءً على تعليماتك، فهو عادةً مُعالج. يتحمل كلا الطرفين واجبات، ويجب أن تُحكم هذه العلاقة باتفاقية مكتوبة لمعالجة البيانات. يُوضح الجدول التزامات قانون حماية البيانات الشخصية (PDPL) الأساسية وما يعنيه كل منها بالنسبة للمؤسسات التي تُرسل رسائل نصية قصيرة (SMS) أو رموز تحقق لمرة واحدة (OTP) من التطبيقات إلى الأشخاص (A2P) إلى المملكة.
| التزامات قانون حماية البيانات الشخصية | ماذا يعني ذلك بالنسبة لمرسل الرسائل؟ |
|---|---|
| الأساس القانوني والموافقة | يجب أن يكون لكل نوع من أنواع حركة الرسائل أساس صالح؛ الاشتراك الصريح وإلغاء الاشتراك المحترم لأغراض التسويق. |
| تحديد الغرض وتقليله | أرسل فقط إلى الأرقام التي تم جمعها لهذا الغرض؛ خزّن فقط الحقول التي تحتاجها. |
| سجلات المعالجة | احتفظ بسجل للبيانات الشخصية التي ترسلها، وسبب إرسالها، ومكان تدفقها، ومدة الاحتفاظ بها. |
| حقوق أصحاب البيانات | احترم حق الوصول إلى الأرقام التي تحتفظ بها، وتصحيحها، وحذفها، وسحب الموافقة عليها. |
| إدارة المعالجات | قم بربط مزود الخدمة أو المجمع الخاص بك باتفاقية معالجة بيانات تغطي الأمن والمعالجات الفرعية. |
| التحويل عبر الحدود | لا تنقل البيانات خارج المملكة العربية السعودية إلا وفقًا لشروط نقل البيانات الخاصة باتفاقية نقل البيانات الشخصية (PDPL)؛ قم بتقييم الوجهة أولاً. |
| إشعار بالاختراق | قم بإخطار SDAIA في غضون 72 ساعة من العلم بالأمر؛ وأخبر الأفراد المتضررين عندما يكون الضرر محتملاً. |
توطين البيانات ونقلها عبر الحدود - ما ينطبق فعلياً
هنا يكمن سوء الفهم الأكبر لمفهوم "توطين البيانات في السعودية". لا يفرض قانون حماية البيانات الشخصية المعدل إلزامًا شاملًا بتوطين جميع البيانات الشخصية. بل تسمح المادة 29 منه ولائحة نقل البيانات الشخصية بنقل البيانات خارج المملكة وفق الشروط التالية: أن يخدم النقل غرضًا مشروعًا، وألا يضر بالأمن القومي أو المصالح الحيوية للمملكة، وأن يكون إلى وجهة تُقيّمها الهيئة السعودية لحماية البيانات بأنها توفر مستوى حماية كافيًا أو أن تكون مشمولة بضمانات مناسبة (مثل البنود التعاقدية القياسية، أو القواعد الملزمة، أو الشهادات)، وقد يتطلب الأمر تقييمًا لمخاطر النقل، وأن يقتصر على الحد الأدنى من البيانات الضرورية.
إذن، أين يجب تخزين بيانات تعريف الرسائل وسجلاتها؟ بالنسبة لجزء كبير من حركة رسائل التطبيقات إلى الأشخاص (A2P)، يُمكن معالجة البيانات الشخصية بشكل قانوني في الخارج إذا استُوفيت شروط النقل. لكن شرط الإقامة الصارم داخل المملكة يُفرض من خلال ثلاثة عوامل إلى جانب قانون حماية البيانات الشخصية (PDPL): الجهات التنظيمية القطاعية - وأبرزها قواعد البنك المركزي للخدمات المصرفية والتكنولوجيا المالية، التي تُلزم ببقاء البيانات المالية الخاضعة للتنظيم داخل المملكة العربية السعودية؛ وأطر تصنيف البيانات الوطنية والحوسبة السحابية التي ترفع من متطلبات الإقامة مع ازدياد حساسية البيانات؛ وعقود الشركات التي تُلزم بذلك. والنتيجة العملية بالنسبة للمرسل هي تصنيف ما يُنشئه - سجلات رمز التحقق لمرة واحدة (OTP)، وسجلات DLR، وبيانات تعريف التوجيه، وأرشيفات الرسائل - والسماح لهذا التصنيف، بالإضافة إلى قطاع العميل، بتحديد ما إذا كان يُمكن نقل البيانات خارج المملكة أو يجب استضافتها داخل المنطقة. صمم مسار البيانات بعناية؛ انظر كيف نتعامل مع تدفقات البيانات وعزلها في بنية الأمان.
الإبلاغ عن الاختراقات والمساءلة
يشترط قانون حماية البيانات الشخصية (PDPL) على المتحكم بالبيانات إخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) بأي خرق للبيانات الشخصية، وإبلاغ الأفراد المتضررين في حال احتمال تسبب هذا الخرق في ضرر لهم، وذلك ضمن الأطر الزمنية المحددة في اللوائح التنفيذية - 72 ساعة من تاريخ العلم بالخرق هي المدة المحددة. وتتجلى المساءلة من خلال التوثيق: سجلات المعالجة، وتحديد الأساس القانوني، وتقييمات نقل البيانات، واتفاقيات المعالجة، هي ما يثبت الامتثال في حال طلب الجهة التنظيمية ذلك. أما فيما يتعلق بالعقوبات، فينص القانون المنشور على غرامات تصل إلى 5 ملايين ريال سعودي للمخالفات، والتي قد تتضاعف في حال تكرار المخالفات، مع فرض عقوبات جنائية منفصلة على الإفصاح غير القانوني عن البيانات الحساسة. بدلاً من التركيز على الأرقام المعلنة، يجب التعامل مع تدفق البيانات غير المتوافق مع القانون، والذي قد لا يُكشف عنه، باعتباره الخطر التشغيلي الحقيقي.
قائمة التحقق من الامتثال لرسائل SMS وOTP من التطبيقات إلى الأشخاص في المملكة العربية السعودية
- قم برسم خريطة لتدفقات البيانات الخاصة بك - حدد كل نقطة يتم فيها جمع ونقل وتخزين وتسجيل رقم هاتف سعودي (MSISDN) والبيانات الوصفية المرتبطة به، من البداية إلى النهاية.
- حدد الأساس القانوني لكل نوع من أنواع حركة الرسائل - الاشتراك الصريح مع إمكانية إلغاء الاشتراك للتسويق؛ والضرورة التعاقدية أو المصلحة المشروعة لرمز التحقق لمرة واحدة والمعاملات.
- قم بتصنيف البيانات وتحديد مكان الإقامة - حدد قواعد القطاع (على سبيل المثال، الخدمات المصرفية) وما إذا كان يجب أن تبقى سجلات OTP وسجلات DLR والبيانات الوصفية داخل المملكة.
- قم بوضع اتفاقية لمعالجة البيانات مع مزود خدمة CPaaS أو المجمع الخاص بك، تغطي الأمن والمعالجات الفرعية والتعاون في حالات الاختراق.
- قلل من مدة الاحتفاظ وحددها - احتفظ بسجلات رمز التحقق لمرة واحدة وسجلات التحقق فقط طالما دعت الحاجة، وقم بحذف محتويات الرسائل بعد فترة التسليم والتدقيق.
- قم بإعداد دليل تشغيل للاختراق - عملية إخطار SDAIA لمدة 72 ساعة مع المالكين والقوالب وقاعدة اتخاذ القرار لإبلاغ الأفراد.
- التوافق مع نظام الاتصالات - تسجيل معرّفات المُرسِلين وتوجيهها عبر القنوات المعتمدة وفقًا لقواعد CST حتى يظل النظامان متسقين.
- استشر محامياً محلياً للتأكد من اللوائح التنفيذية الحالية وأي التزامات خاصة بالقطاع قبل بدء التشغيل الفعلي.
يُعدّ إرسال الرسائل النصية القصيرة (SMS) أو رموز التحقق لمرة واحدة (OTP) من التطبيقات إلى الأشخاص (A2P) في المملكة العربية السعودية مثالًا بارزًا على أهمية التوجيه والامتثال المعتمدين في منطقة الشرق الأوسط وشمال أفريقيا. تُشغّل BroadNet وصلات مباشرة ومعتمدة بين شركات الاتصالات السعودية منذ عام 2003، وهي حاصلة على شهادات ISO 27001 وISO 9001 وISO 22301، وتحافظ على شهادة SOC 2، كما يمكنها مواءمة تسجيل معرّف المُرسِل والتوجيه ومعالجة البيانات مع متطلبات حماية البيانات الشخصية (PDPL) الخاصة بكم - راجع الامتثال وبنية الأمان.
الأسئلة الشائعة
هل ينطبق قانون حماية البيانات الشخصية السعودي على رسائل SMS؟
نعم. ينظم قانون حماية البيانات الشخصية معالجة البيانات الشخصية، ورقم الهاتف المحمول يُعدّ من البيانات الشخصية، لذا فإن إرسال رسائل SMS أو رمز التحقق لمرة واحدة إلى مستلم سعودي يُعتبر معالجة ضمن نطاق هذا القانون. وينطبق هذا حتى على المُرسلين المقيمين خارج المملكة عند معالجة بيانات الأفراد المقيمين فيها. يجب أن يكون لديك أساس قانوني، وأن تحترم حقوق أصحاب البيانات، وأن تلتزم بقواعد نقل أي سجلات أو بيانات وصفية تغادر المملكة.
أين يجب تخزين بيانات المراسلة الخاصة بالمملكة العربية السعودية؟
لا يُعدّ قانون حماية البيانات الشخصية المُعدّل إلزامًا شاملًا بالتوطين، إذ يُمكن معالجة البيانات الشخصية خارج المملكة إذا استُوفيت شروط النقل، بما في ذلك تقييم كفاية الحماية أو الضمانات المناسبة وتقليل البيانات. مع ذلك، غالبًا ما تشترط قواعد القطاع (خاصةً في القطاع المصرفي والتكنولوجيا المالية) الإقامة داخل المملكة، كما تشترطها أُطر تصنيف البيانات والحوسبة السحابية مع ازدياد حساسية البيانات، فضلًا عن عقود الشركات. صنّف سجلات رمز التحقق لمرة واحدة، وسجلات DLR، والبيانات الوصفية، ثم دع هذا التصنيف وقطاع العميل يُحدّدان الإجراءات.
هل تُعتبر بيانات هاتف العميل بيانات شخصية بموجب قانون حماية البيانات الشخصية؟
نعم. تشمل البيانات الشخصية بموجب قانون حماية البيانات الشخصية أي بيانات تُعرّف شخصًا طبيعيًا بشكل مباشر أو غير مباشر، ورقم الهاتف يُعدّ مثالًا واضحًا على ذلك. وهذا يعني أن قوائم المستلمين، ورموز التحقق لمرة واحدة، وسجلات التحقق، وإيصالات التسليم المرتبطة برقم هاتف، والطوابع الزمنية المرتبطة بها، وبيانات الشبكة الوصفية، كلها مشمولة بالقانون. يجب التعامل معها وفقًا للأسس القانونية، مع مراعاة تقليل حجمها، وحدود الاحتفاظ بها، وضوابط الأمان والنقل التي يفرضها القانون.
مراجع
- SDAIA — قانون حماية البيانات الشخصية (PDPL) واللوائح التنفيذية: sdaia.gov.sa
- هيئة الاتصالات والفضاء والتكنولوجيا (CST) - تنظيم الاتصالات والرسائل: cst.gov.sa
- BroadNet — قواعد معرّف المُرسِل لدى CST في السعودية ولوائح المملكة العربية السعودية.
- BroadNet — الامتثال و هندسة الأمان.