عقوبة تسريب البيانات الشخصية في السعودية: الشكوى لسدايا والتعويض

وصلتك رسالة تسويق من عيادة لم تزرها في حياتك، فيها اسمك الكامل ونوع علاج تلقيته في مستشفى آخر. أو عرفت أن موظفًا في شركة تقسيط يتداول صور هويات العملاء وعقودهم في قروب واتساب. من تشتكي؟ وهل هناك عقوبة فعلًا؟

نعم. نظام حماية البيانات الشخصية يعطيك حق الشكوى إلى الجهة المختصة بالإشراف على تطبيقه (المادة 34)، وهي الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» بموجب قرار مجلس الوزراء الصادر مع النظام. المهلة 90 يومًا من الحادثة أو من علمك بها (المادة 37 من اللائحة التنفيذية). ومخالفات الجهات الخاصة والأفراد تنظرها لجنة تشكلها سدايا، وتعاقب بالإنذار أو بغرامة حتى خمسة ملايين ريال (المادة 36). أما إفشاء البيانات الحساسة أو نشرها بقصد الإضرار أو المنفعة الشخصية فجريمة تحقق فيها النيابة العامة وتنظرها المحكمة (المادة 35). وتعويضك تطلبه من المحكمة المختصة (المادة 40).

ما المخالفات التي تشتكي منها لسدايا؟

• جمع بياناتك أو استخدامها دون مسوغ نظامي، أو لغرض غير الذي جُمعت له.
• الإفصاح عن بياناتك لجهة أخرى دون موافقتك أو سند نظامي.
• تجاهل طلبك الاطلاع على بياناتك أو تصحيحها أو إتلافها: على الجهة تنفيذ الطلب خلال 30 يومًا، ولها تمديده 30 يومًا أخرى بشرط إشعارك مسبقًا بالتمديد وسببه (المادة 4 من النظام، والمادة 3 من اللائحة).
• تسرب بياناتك دون إشعار: على الجهة إشعار سدايا خلال 72 ساعة من علمها إذا كان التسرب قد يضرك، وإشعارك أنت دون تأخير غير مبرر (المادة 20 من النظام، والمادة 24 من اللائحة).
• رسائل التسويق المباشر دون موافقتك، أو دون وسيلة سهلة ومجانية لإيقافها (المادة 29 من اللائحة).

والنظام لا يطبق على الفرد الذي يعالج البيانات في نطاق استخدامه الشخصي أو العائلي، كقائمة أرقام أقاربه. لكن هذا الاستثناء يسقط إذا نشر البيانات للجمهور أو أفصح عنها لغير دائرته المحدودة، أو استخدمها لغرض مهني أو تجاري (المادة 2 من النظام، والمادة 2 من اللائحة).

من يختص؟ اللجنة والنيابة وجهة العمل والمحكمة

اللجنة لا يقل عدد أعضائها عن ثلاثة، منهم مختص فني ومستشار نظامي، ويعتمد قرارها رئيس الجهة المختصة أو من يفوضه (المادة 36 بعد تعديلها بالمرسوم الملكي م/148 لعام 1444هـ). وللجنة أو المحكمة أن تأمر بنشر ملخص القرار على نفقة المخالف بعد أن يتحصن (المادة 38).

وقرار مجلس الوزراء جعل سدايا الجهة المختصة لمدة سنتين يُنظر خلالها في نقل الإشراف إلى مكتب إدارة البيانات الوطنية. وسدايا هي التي تستقبل الشكاوى اليوم، عبر منصة حوكمة البيانات الوطنية التابعة لها.

ما البيانات الحساسة؟ ولماذا تفرق؟

البيانات الحساسة بعد تعديل 1444هـ هي ما يتعلق بالأصل العرقي أو الإثني، أو المعتقد الديني أو الفكري أو السياسي، والبيانات الأمنية والجنائية، وبيانات السمات الحيوية التي تحدد الهوية، والبيانات الوراثية، والبيانات الصحية، والبيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما (المادة 1). إفشاء هذه البيانات بقصد الإضرار أو المنفعة هو ما يحولها إلى قضية جزائية. أما البيانات الائتمانية فخرجت من تعريف الحساسة بعد التعديل، لكن اللائحة تفرض لها ضوابط حماية خاصة وموافقتك قبل الإفصاح عنها (المادة 27 من اللائحة).

كيف تقدم الشكوى وما الذي ترفقه؟

يفيدك أن تطلب أولًا من الجهة نفسها معرفة مصدر بياناتك وأين استُخدمت، فردّها أو صمتها دليل في ملفك. ثم قدّم شكواك لسدايا خلال 90 يومًا، ولسدايا أن تقبل شكوى متأخرة إذا وُجدت أسباب واقعية منعتك من تقديمها في وقتها (المادة 37/1 من اللائحة). ويجب أن تتضمن الشكوى (المادة 37/4):

• مكان المخالفة وزمانها.
• اسمك وهويتك وعنوانك ورقم هاتفك.
• بيانات الجهة المشتكى عليها.
• وصفًا واضحًا ومحددًا للفعل، مع الأدلة: لقطات الرسائل بأرقام المرسل وتواريخها، ردود الجهة، أسماء من وصلتهم البيانات.

سدايا تفحص الشكوى ولها أن تطلب منك مستندات إضافية، ثم تبلغك بالنتيجة التي انتهت إليها (المادة 37/5 و37/6 من اللائحة). وإذا كان التسريب متعمدًا للإضرار بك وفيه بيانات حساسة، فقدّم معه بلاغًا جنائيًا ليصل إلى النيابة العامة.

صدر ضد منشأتك قرار من لجنة المخالفات: ماذا تفعل؟

لمن صدر ضده قرار من اللجنة أن يتظلم منه أمام المحكمة المختصة (المادة 36/3). النظام لم يحدد مدة خاصة لهذا التظلم، فلا تبنِ على ذلك أي تأخير: احسب المدد العامة في نظام المرافعات أمام ديوان المظالم من تاريخ علمك بالقرار، وهي التظلم إلى الجهة مصدرة القرار خلال 60 يومًا، ثم الدعوى خلال 60 يومًا من رفض التظلم أو مضي 60 يومًا دون رد (المادة 8)، واقرأ قرار التبليغ نفسه فقد يحدد طريق التظلم. وفي الحالات المستعجلة يجوز طلب إلغاء القرار مع وقف تنفيذه خلال فترة التظلم (المادة 8/5).

عميلة لشركة تقسيط اكتشفت أن صورة هويتها وعقدها تُتداول في مجموعة على تطبيق مراسلة، وعرفت ذلك من صديقة يوم 3 مارس.

طلبت من الشركة كتابيًا تفسيرًا لما حدث، فلم ترد خلال 30 يومًا. قدّمت شكوى لسدايا قبل مضي 90 يومًا من علمها، وأرفقت لقطات المجموعة وطلبها للشركة.

الشركة تواجه عقوبة قد تصل إلى 5 ملايين ريال إن ثبتت مخالفتها لواجب حماية البيانات. وللعميلة أن ترفع دعوى تعويض عن ضررها المادي والمعنوي أمام المحكمة (المادة 40).

حلول عملية للطرفين

إذا كنت صاحب البيانات:

• صوّر الرسائل أو المنشورات بالتاريخ ورقم المرسل قبل أن تُحذف.
• اطلب من الجهة كتابيًا مصدر بياناتك ووقف استخدامها، واحتفظ بالطلب.
• احسب التسعين يومًا من يوم علمك، ولا تنتظر ردًا لا يأتي.
• إذا كانت البيانات صحية أو جنائية أو نحوها ونُشرت للإضرار بك، فأضف بلاغًا جنائيًا.
• وثّق أثر التسريب عليك، من احتيال أو حرج اجتماعي أو خسارة عمل، تمهيدًا للتعويض.

وإذا كنت صاحب منشأة تعالج بيانات العملاء:

• اعتمد إجراءً مكتوبًا للرد على طلبات أصحاب البيانات خلال 30 يومًا.
• جهّز خطة للتسرب تضمن إشعار سدايا خلال 72 ساعة وإشعار المتضررين.
• قيّد صلاحيات الموظفين في الاطلاع على الهويات والعقود، واحتفظ بسجل الوصول.
• وثّق موافقة العميل قبل أي رسائل تسويقية، ووفّر إيقافها بضغطة.
• إن وصلك قرار من اللجنة، فاحسب مهل التظلم من تاريخ علمك به مباشرة.

إذا تسربت بياناتك أو وصل منشأتك إشعار مخالفة، أرسل لنا ما لديك من رسائل أو قرارات عبر واتساب، ونرتب معك الشكوى أو الرد قبل أن تفوت المهلة.