سياسة الخصوصية في أغلب المواقع السعودية نص منسوخ من موقع أجنبي، مترجم ترجمة حرفية، يذكر أنظمة لا تنطبق ويغفل ما ينطبق فعلاً. وهي في الوقت نفسه من الصفحات القليلة التي يذكرها نظام سعودي صراحة ويوجب تبنيها وإتاحتها، لا بوصفها تحسيناً بل بوصفها التزاماً.
هذا الدليل شرح عام لما ينص عليه نظام حماية البيانات الشخصية كما تنشره الجهة المختصة، وكيف يُترجم ذلك إلى صفحة حقيقية على موقعك تعبّر عمّا تفعله فعلاً. وليس استشارة قانونية، والمرجع دائماً هو نص النظام ولوائحه والجهة المختصة به. ولن نذكر أي غرامة ولا أي مبلغ، لأن ذلك من اختصاص الجهة النظامية لا من اختصاص مقال.
محتويات هذا الدليل
- ما الذي يعدّه النظام بيانات شخصية
- على من ينطبق النظام
- ماذا يوجب النظام في سياسة الخصوصية
- حقوق صاحب البيانات
- الجرد: الخطوة التي تسبق الكتابة
- ما يجب أن يحدث عند التسرب
- كيف تكتب صفحة تعبّر عن موقعك فعلاً
- أخطاء شائعة في سياسات الخصوصية المحلية
- أسئلة شائعة
- مصادر ومراجع
- الخلاصة: صفحة تصف الواقع
ما الذي يعدّه النظام بيانات شخصية
أول ما يُخطئ فيه أصحاب المواقع تصوّرهم أن البيانات الشخصية تعني الاسم ورقم الهوية فقط. والتعريف الذي تنشره الجهة المختصة أوسع من ذلك بكثير.
تعرّف البيانات الشخصية بأنها كل بيان، مهما كان مصدره أو شكله، من شأنه أن يؤدي إلى تحديد الفرد على وجه التحديد، أو يجعل التعرف عليه ممكناً بصورة مباشرة أو غير مباشرة.
والعبارتان الحاسمتان هنا: «مهما كان مصدره أو شكله»، و«بصورة مباشرة أو غير مباشرة». أي أن البيان الذي لا يحدد الشخص وحده لكنه يحدده بالجمع مع بيان آخر داخل في التعريف. وهذا يوسّع الدائرة لتشمل أموراً كثيرة تمر في موقع عادي دون أن ينتبه صاحبه.
فكّر فيما يجمعه موقعك فعلاً: نموذج تواصل فيه اسم وبريد ورقم، وسلة شراء فيها عنوان توصيل، وحساب عميل فيه سجل طلبات، وسجل محادثة على الواتساب، وقائمة بريدية، وأدوات قياس تسجّل سلوك الزائر. كل هذه يجب أن تمر في ذهنك قبل أن تكتب كلمة واحدة في سياسة الخصوصية.
على من ينطبق النظام
السؤال الثاني الأكثر تكراراً: هل ينطبق عليّ وأنا متجر صغير، أو وخادمي خارج المملكة؟
يسري النظام على معالجة البيانات الشخصية للأفراد التي تتم في المملكة بأي وسيلة كانت، ويشمل ذلك ما تقوم به جهات خارج المملكة من معالجة لبيانات شخصية لأفراد مقيمين فيها.
أي أن موقع الخادم ليس هو المعيار، ولا حجم النشاط. ما يهم هو من تعالج بياناتهم. والمتجر الصغير الذي يبيع لعملاء في المملكة داخل في الإطار كالكبير، وإن كانت التفاصيل التطبيقية تختلف باختلاف النشاط وحجم المعالجة، وتحديدها من شأن الجهة المختصة.
ماذا يوجب النظام في سياسة الخصوصية
النقطة التي تخص هذا الدليل مباشرة: تتضمن التزامات جهة التحكم تبنّي سياسة خصوصية وإتاحتها لأصحاب البيانات قبل جمع بياناتهم، وأن تفصح هذه السياسة عن الغرض من الجمع والبيانات الشخصية المطلوبة وكيفية جمعها ومعالجتها وإتلافها.
ولاحظ في هذا النص أربعة أشياء يقع الخطأ في كل واحد منها:
الوقت. «قبل جمع بياناتهم» لا بعده. أي أن رابط السياسة يجب أن يكون ظاهراً عند نقطة الجمع نفسها، لا مدفوناً في ذيل الصفحة الرئيسية وحدها.
الغرض. لماذا تجمع هذه البيانات تحديداً. وهذا يعني غرضاً محدداً لا عبارة مطاطة من نوع «لتحسين خدماتنا».
ما تجمعه. قائمة صريحة بالبيانات المطلوبة، لا إشارة عامة.
الإتلاف. وهذا أكثر ما يُغفل في السياسات المنسوخة. متى تتخلص من البيانات؟ السياسة التي تشرح الجمع والمعالجة وتصمت عن الإتلاف ناقصة بنص ما تنشره الجهة المختصة.
حقوق صاحب البيانات
ما يسميه النظام حقوق صاحب البيانات هو ما يجب أن تكون سياستك قادرة على الوفاء به عملياً لا على ذكره فقط.
تشمل هذه الحقوق الحق في العلم بجمع بياناته والأساس النظامي لذلك، والحق في الوصول إلى بياناته لدى الجهة، والحق في طلب تصحيحها أو تعديلها أو تحديثها، والحق في طلب إتلافها متى لم تعد لازمة، والحق في سحب الموافقة على المعالجة.
والاختبار العملي بسيط: لو راسلك عميل غداً وطلب نسخة من بياناته لديك أو طلب إتلافها، هل تعرف أين هي كلها؟ في المتجر، وفي القائمة البريدية، وفي أرشيف الواتساب، وفي جدول لدى موظف المبيعات؟ أغلب المواقع لا تستطيع الإجابة، وهذه فجوة تشغيلية لا يحلها نص مكتوب.
ولذلك ابدأ من الجرد قبل الكتابة: اكتب في صفحة واحدة كل مكان تُحفظ فيه بيانات عملائك، ومن يصل إليه، وكم يبقى فيه. هذه الورقة هي التي تُكتب منها سياسة صادقة.
وإن كانت سياسة الخصوصية في موقعك اليوم نصاً منسوخاً لا يصف ما تفعله فعلاً، فوجودها بهذا الشكل لا يحميك، لأن النص الذي لا يطابق الواقع يكشف مخالفة بدل أن يسترها. في مزيد نبني هذه الصفحة من جرد حقيقي لما يجمعه موقعك. احجز اجتماعك معنا لنراجع ما لديك.
الجرد: الخطوة التي تسبق الكتابة
لا يمكن كتابة سياسة صادقة قبل أن تعرف ما تجمعه. والجرد عمل جلسة واحدة، ونتيجته جدول بسيط تبنى منه الصفحة كلها ويُراجع سنوياً.
امش على موقعك بعين من يدخله لأول مرة، وسجّل كل نقطة يترك فيها الزائر بياناً: نموذج التواصل، ونموذج طلب عرض سعر، وخانة الاشتراك في النشرة، وإنشاء حساب، وإتمام الطلب، وزر المحادثة، وأي استبيان. ثم أضف ما لا يراه الزائر: أدوات القياس والوسوم الإعلانية.
ولكل نقطة اكتب أربعة أعمدة: ما البيانات التي تُجمع بالضبط، ولماذا، وأين تُخزَّن، ومن يصل إليها من داخل المنشأة ومن خارجها. والعمود الأخير هو الأكشف: ستجد أن بيانات عملائك تمر على بوابة الدفع وشركة الشحن وأداة القياس ومنصة الرسائل وربما جدول على جهاز موظف. كل هذه أطراف تستحق الذكر بفئاتها في سياستك.
ثم أضف عموداً خامساً يُكتب عادة لأول مرة: كم تبقى هذه البيانات؟ أغلب المنشآت لم تسأل نفسها هذا السؤال قط، والإجابة الصادقة في البداية تكون «إلى الأبد». وهذه بالضبط النقطة التي يجب أن تتحول إلى قرار: مدة محددة لكل نوع، وطريقة للتخلص منه بعدها.
ما يجب أن يحدث عند التسرب
جانب لا يخطر ببال كثيرين وهم يكتبون سياسة الخصوصية: ماذا لو تسربت البيانات؟
يوجب النظام إشعار الجهة المختصة عند حدوث تسرب أو تلف للبيانات الشخصية أو الاطلاع عليها بغير وجه حق، كما يتناول إبلاغ صاحب البيانات في الحالات التي يقع فيها ضرر عليه.
وهذا يعني أن لديك واجباً زمنياً عند وقوع الحادث، وأن الاستعداد له يحدث قبله لا بعده. اكتب مسبقاً: من يُبلَّغ داخل المنشأة، ومن يتخذ القرار، وأين توثّق الواقعة. ووجود هذا الإجراء مكتوباً هو الفرق بين استجابة منظمة وبين أيام ضائعة في الارتباك.
الموافقة وكيف تُؤخذ
من حقوق صاحب البيانات كما تنشرها الجهة المختصة الحق في سحب الموافقة على المعالجة. وسحب الموافقة يفترض أنها أُخذت ابتداءً بطريقة واضحة، وهنا موضع خلل شائع في المواقع المحلية.
الخانة المؤشَّرة مسبقاً في نموذج الاشتراك ليست موافقة واعية، وكذلك العبارة المدفونة بخط صغير. والأسلم أن يكون الفعل من الزائر لا منك: خانة يؤشرها بنفسه، ونص قصير بجوارها يقول لأي غرض، ورابط للسياسة الكاملة عند النقطة نفسها.
وافصل الأغراض بدل جمعها. من يشتري منك ويقبل أن تُستخدم بياناته لتنفيذ طلبه لم يوافق بالضرورة على أن تصله رسائل تسويقية. اجعلهما خانتين لا خانة واحدة، واحفظ في سجلاتك متى أُخذت الموافقة وعلى أي نص، لأن ذلك ما ستحتاجه إن سُئلت لاحقاً.
كيف تكتب صفحة تعبّر عن موقعك فعلاً
ستة أقسام تغطي ما ذكرناه، وتُكتب بلغة يفهمها زائرك لا بلغة عقود:
- من نحن وكيف يُتواصل معنا. اسم المنشأة وبيان اتصال حقيقي يُرد عليه. والسياسة التي لا تعرف من كتبها لا تعني شيئاً.
- ما الذي نجمعه. قائمة محددة: بيانات النموذج، بيانات الطلب، بيانات الحساب، بيانات القياس. اذكرها بأسمائها.
- لماذا نجمعه. لكل نوع غرضه: تنفيذ الطلب، الرد على الاستفسار، إرسال النشرة، تحسين الموقع بالقياس. واربط كل بيان بغرضه لا تكتب غرضاً عاماً للجميع.
- كيف نجمعه ومن يصل إليه. مباشرة من العميل أم عبر أدوات؟ ومن الأطراف التي تصل إليه: شركة الشحن، بوابة الدفع، أداة القياس. اذكرها بالفئات على الأقل.
- كم نحتفظ به ومتى نتلفه. القسم الذي يُنسى دائماً، ويوجبه النص صراحة.
- حقوق صاحب البيانات وكيف يمارسها. اذكر الحقوق، ثم اذكر الطريق العملي: أرسل إلى هذا البريد، والرد خلال مدة تحددها.
واكتبها بالعربية أولاً لا ترجمة. والمواقع متعددة اللغات تحتاج نسخة صحيحة بكل لغة لا نسخة آلية، وقد تناولنا هذا الباب في دليل الموقع متعدد اللغات.
لغة الصفحة وطولها
أكثر السياسات المحلية تخسر قيمتها بسبب اللغة لا بسبب المحتوى. نص طويل بجمل معقدة لا يقرؤه أحد، ولا يخدم غرض النظام الذي يتحدث عن الإفصاح لصاحب البيانات. والإفصاح الذي لا يُفهم ليس إفصاحاً.
اكتب بجمل قصيرة، وبمصطلحات يعرفها زائرك لا بمصطلحات تقنية. وبدل «قد نعالج بياناتكم لأغراض مشروعة متنوعة»، اكتب: «نستخدم رقم جوالك لتأكيد الطلب وللتواصل بشأن التوصيل فقط». الأولى تبدو رسمية ولا تقول شيئاً، والثانية تفصح فعلاً.
وضع في أول الصفحة ملخصاً من بضعة أسطر يجيب عن أهم ثلاثة أسئلة: ما نجمعه، ولماذا، وكيف تطلب حذفه. ثم فصّل بعده. أغلب الزوار سيقرؤون الملخص وحده، ومن يريد التفصيل سيجده. وهذا لا يغني عن التفصيل الكامل الذي يوجبه النص، لكنه يجعل الصفحة تؤدي غرضها لمن يقرؤها فعلاً.
أخطاء شائعة في سياسات الخصوصية المحلية
النسخ من موقع أجنبي. النتيجة نص يذكر أنظمة أوروبية أو أمريكية لا تنطبق، ويغفل الإطار السعودي الذي ينطبق. وهو أسوأ من غياب الصفحة لأنه يوحي بمعرفة غير موجودة.
ذكر ما لا تفعله. سياسة تتحدث عن مراكز بيانات وسياسات احتفاظ متقدمة لمتجر يدار من جهاز واحد. المبالغة هنا لا تفيد.
إغفال أدوات القياس. أغلب المواقع تشغّل أدوات تحليلات ووسوم إعلانية ولا تذكرها إطلاقاً. وإن كنت تجمع بيانات سلوك الزائر فهذا جزء مما يجب الإفصاح عنه. وقد شرحنا هذه الأدوات في دليل جوجل اناليتكس ودليل جوجل تاج مانجر.
إخفاء الرابط. النص يوجب الإتاحة قبل الجمع. فليكن الرابط عند كل نموذج وعند إتمام الطلب، لا في الذيل وحده.
كتابتها مرة ونسيانها. أضفت أداة جديدة، أو بدأت جمع بيانات جديدة، أو غيّرت شركة الشحن؟ السياسة تحتاج تحديثاً. اجعل مراجعتها بنداً في صيانة الموقع الدورية.
الخلط بينها وبين الشروط والأحكام. صفحتان مختلفتان: الأولى عن البيانات، والثانية عن العلاقة التعاقدية والبيع. ولا تغني إحداهما عن الأخرى، ونظام التجارة الإلكترونية يتناول في مادته السادسة واجب الإفصاح في سياق البيع.
أسئلة شائعة
هل أحتاج سياسة خصوصية لموقع تعريفي لا يبيع شيئاً؟
إن كان الموقع يجمع أي بيان يمكن أن يحدد فرداً مباشرة أو غير مباشرة، فنعم. ونموذج التواصل وحده يجمع اسماً وبريداً ورقماً، وأداة القياس تجمع بيانات سلوك. والنص الذي تنشره الجهة المختصة يتحدث عن تبني سياسة خصوصية وإتاحتها لأصحاب البيانات قبل جمع بياناتهم، وهو لا يشترط أن يكون الموقع متجراً.
خادم موقعي خارج المملكة، هل ينطبق عليّ النظام؟
موقع الخادم ليس هو المعيار. يسري النظام على معالجة البيانات الشخصية للأفراد التي تتم في المملكة بأي وسيلة كانت، ويشمل ما تقوم به جهات خارج المملكة من معالجة لبيانات شخصية لأفراد مقيمين فيها. وتفاصيل ما يترتب على النقل خارج المملكة من ضوابط يحددها النظام ولوائحه والجهة المختصة.
هل يكفي أن أنسخ سياسة خصوصية جاهزة وأغيّر الاسم؟
لا، وهو أخطر ما يُفعل في هذا الباب. النص يوجب أن تفصح السياسة عن الغرض من الجمع والبيانات المطلوبة وكيفية جمعها ومعالجتها وإتلافها، وهذه أمور خاصة بموقعك أنت. والسياسة المنسوخة تصف موقعاً آخر، فتكون إما ناقصة أو واصفة لما لا تفعله، وكلاهما مشكلة. ابدأ من جرد ما تجمعه فعلاً.
أين أضع رابط سياسة الخصوصية؟
النص يتحدث عن الإتاحة قبل جمع البيانات، فالمعيار هو نقطة الجمع. ضع الرابط في ذيل كل صفحة، وإلى جانب كل نموذج تواصل أو تسجيل، وفي خطوة إتمام الطلب، وفي شاشة الاشتراك في القائمة البريدية. ووضعه في الذيل وحده لا يحقق شرط الإتاحة قبل الجمع في كل نقطة.
ماذا أفعل إن طلب عميل إتلاف بياناته؟
حقوق صاحب البيانات كما تنشرها الجهة المختصة تشمل الحق في طلب إتلاف بياناته متى لم تعد لازمة، والحق في سحب الموافقة. والاستعداد لذلك تشغيلي قبل أن يكون نصياً: اعرف مسبقاً كل مكان تُحفظ فيه بيانات العميل، وحدد من ينفّذ الطلب وفي أي مدة، واذكر هذا الطريق في سياستك. وحدود هذا الحق والاستثناءات النظامية عليه مرجعها النظام ولوائحه.
مصادر ومراجع
- نظام حماية البيانات الشخصية، بوابة حوكمة البيانات الوطنية، سدايا: تعريف البيانات الشخصية بأنها كل بيان مهما كان مصدره أو شكله يؤدي إلى تحديد الفرد على وجه التحديد أو يجعل التعرف عليه ممكناً بصورة مباشرة أو غير مباشرة، ونطاق السريان على معالجة البيانات الشخصية للأفراد التي تتم في المملكة بأي وسيلة بما في ذلك ما تقوم به جهات خارج المملكة من معالجة لبيانات مقيمين فيها، وحقوق صاحب البيانات في العلم والوصول وطلب التصحيح وطلب الإتلاف وسحب الموافقة، والتزام تبنّي سياسة خصوصية وإتاحتها قبل جمع البيانات وما يجب أن تفصح عنه من غرض الجمع والبيانات المطلوبة وكيفية الجمع والمعالجة والإتلاف، وإشعار الجهة المختصة عند التسرب أو التلف أو الاطلاع بغير وجه حق وإبلاغ صاحب البيانات عند وقوع الضرر.
- نظام التجارة الإلكترونية، هيئة الخبراء بمجلس الوزراء: المادة السادسة في واجب الإفصاح، وهي الإطار الذي تعمل فيه صفحة الشروط والأحكام بوصفها صفحة مستقلة عن سياسة الخصوصية.
الخلاصة: صفحة تصف الواقع
سياسة الخصوصية ليست نصاً تضعه لتسكت سؤالاً، بل وصف مكتوب لما تفعله ببيانات الناس. والنظام كما تنشره الجهة المختصة يوجب تبنيها وإتاحتها قبل الجمع، ويحدد ما يجب أن تفصح عنه: الغرض، والبيانات المطلوبة، وكيفية الجمع والمعالجة والإتلاف.
والترتيب العملي: ابدأ بجرد كل مكان تُحفظ فيه بيانات عملائك، ثم اكتب الصفحة من هذا الجرد بالعربية بلغة مفهومة، ثم ضع رابطها عند كل نقطة جمع لا في الذيل وحده، ثم جهّز إجراءً مكتوباً لطلبات الوصول والإتلاف ولحالة التسرب، ثم راجعها مع كل تغيير في أدواتك.
وهذا كله شرح عام لا استشارة قانونية، والمرجع نص النظام ولوائحه والجهة المختصة. وإن أردت من يبني لك الصفحة من واقع موقعك لا من نص منسوخ، ويضبط نقاط الجمع والقياس معها، فهذا ما نعمله في مزيد. احجز اجتماعك معنا لنبدأ من الجرد.
مازن، مؤسس وكالة مزيد للتسويق الرقمي وإنتاج المحتوى في السعودية. يقود فريقاً يعمل على السيو العربي، وإدارة الحملات الإعلانية على جوجل وميتا وسناب شات، وبناء المواقع والمتاجر الإلكترونية على سلة، وإنتاج الفيديو للعلامات التجارية في السوق السعودي والخليجي. يكتب في مدونة مزيد عن ما يطبقه الفريق فعلياً مع العملاء.
