ما هو «نموذج التحقق من الامتثال»؟ ولماذا وصل الآن؟
في السابع من يوليو 2026 بدأت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بتعميم «نموذج التحقق من الامتثال» لنظام حماية البيانات الشخصية (PDPL) على الجهات المسجلة لديها بوصفها مسؤولي بيانات. النموذج ليس استبيانًا شكليًا، بل طلب رسمي بأن تُقدّم المنشأة المستندات والسياسات والسجلات التي تُثبت التزامها، من لحظة جمع البيانات الشخصية حتى إتلافها.
ولم يأتِ التعميم من فراغ. فقد أصدرت اللجان المختصة لدى سدايا 48 قرارًا بحق جهات مخالفة خلال 2025–2026، وهي أول موجة فعلية من الأحكام، تكرّرت فيها أنماط واضحة مثل المعالجة دون أساس نظامي، وضعف الضوابط التقنية والتنظيمية، وإرسال الرسائل التسويقية دون موافقة مسبقة. النموذج هو الخطوة التالية المنطقية: الانتقال من رد الفعل عند الشكوى إلى مطالبة الجهات بإثبات التزامها استباقيًا.
والرهان مرتفع: تصل الغرامة إلى 5 ملايين ريال عن المخالفة الواحدة وتُضاعف عند التكرار، وقد ترتقي في حالات إفشاء البيانات الحساسة بقصد الإضرار إلى مسؤولية جنائية. وأي فجوة تظهر أثناء المراجعة تتحول إلى دليل مكتوب على عدم الالتزام، لا مجرد ملاحظة عابرة.
المحاور التسعة ومقابلها على السحابة
يطلب النموذج أدلة عبر تسعة محاور: جمع البيانات ومعالجتها وتخزينها، وأطر الحوكمة والسياسات، والأساس النظامي للمعالجة، وإدارة الأطراف الثالثة، والاحتفاظ والإتلاف، وحقوق أصحاب البيانات، والنقل خارج المملكة، والاستجابة للحوادث، وتعيين مسؤول حماية البيانات (DPO). ومن يُشغّل بياناته على السحابة سيكتشف سريعًا أن أغلب هذه المحاور لا يُجاب عنها بوثيقة، بل بإعدادات فعلية داخل حسابه السحابي.
عمليًا: محور «أين تُخزَّن البيانات» يعني جردًا للمناطق والخدمات المستخدمة عبر AWS وأزور وقوقل وأوراكل؛ ومحور «إدارة الأطراف الثالثة» يعني أن مزوّد السحابة معالجٌ للبيانات يحتاج عقدًا يتضمن بنود الحماية والنقل، إضافة إلى كل خدمة SaaS متصلة بحسابك؛ ومحور «الاحتفاظ والإتلاف» يعني سياسات دورة حياة مطبّقة على التخزين وقواعد البيانات والنسخ الاحتياطية معًا لا على التخزين وحده؛ ومحور «الاستجابة للحوادث» يعني سجلات تدقيق مفعّلة ومحفوظة لمدة تكفي لإعادة بناء ما حدث.
أما محور النقل خارج المملكة فهو الأكثر التصاقًا بالسحابة. تشترط لائحة نقل البيانات الشخصية خارج الحدود الجغرافية للمملكة أن يوفّر الطرف المستقبل مستوى حماية لا يقل عمّا يقرره النظام ولوائحه، وأن تُطبَّق «ضمانات مناسبة» كالبنود التعاقدية القياسية، وتسقط الاستثناءات المقررة إذا لم تُطبَّق تلك الضمانات أو ثبت عدم كفايتها. بعبارة أخرى: تفعيل خدمة في منطقة خارج المملكة — أو حتى دعم فني يصل إلى البيانات من الخارج — يقع ضمن نطاق السؤال.
أين تفشل المؤسسات فعلًا: الفجوة بين السياسة والبنية السحابية
معظم الفجوات ليست في النوايا بل في البنية. فالمنشأة تملك سياسة خصوصية معتمدة، لكن أنظمتها لا تُنفّذها: نسخ من بيانات العملاء متناثرة في مستودعات تحليلية وبيئات اختبار ولقطات نسخ احتياطي، ولا آلية مؤتمتة للحذف بعد انتهاء مدة الاحتفاظ، ولا سجل يوضّح من اطّلع على ماذا ومتى. وحين يصل النموذج تكون الإجابة الصادقة الوحيدة المتاحة هي «لا نعلم».
الفجوة الثانية هي سوء فهم المسؤولية المشتركة. كثير من الفرق تفترض أن الامتثال «مشمول» لأن المزوّد حاصل على شهادات معتمدة. لكن المزوّد مسؤول عن أمن السحابة نفسها، بينما يقع على عاتق المستفيد تصنيف البيانات وضبط الصلاحيات وإدارة مفاتيح التشفير وتحديد مدد الاحتفاظ وتفعيل سجلات التدقيق — وهذه تحديدًا هي البنود التي يسأل عنها النموذج.
الفجوة الثالثة أن بيئات الاختبار والتحليلات كثيرًا ما تُستثنى من الحوكمة. بيانات إنتاج حقيقية تُنسخ إلى بيئة تطوير بلا إخفاء هوية، أو تُصدَّر إلى أداة ذكاء اصطناعي خارجية لتجربة سريعة، فتتحول «التجربة» إلى نقل غير موثّق للبيانات خارج نطاق السياسة وربما خارج المملكة.
خطة عملية قبل أن يصل النموذج
لا تنتظر وصول النموذج. ابدأ بخريطة بيانات فعلية مبنية على جرد تقني لا على الذاكرة: ما البيانات الشخصية التي تجمعها، وفي أي خدمة سحابية تعيش، وفي أي منطقة جغرافية، ومن يملك صلاحية الوصول إليها. وأدوات اكتشاف البيانات الحساسة المتوفرة لدى المزوّدين تختصر هذه الخطوة كثيرًا مقارنة بالجرد اليدوي.
ثم حوّل السياسة إلى ضوابط: وثّق الأساس النظامي لكل نشاط معالجة وسجّل الموافقات بشكل قابل للإثبات، وفعّل سياسات دورة الحياة للحذف الآلي على التخزين والنسخ الاحتياطية، وشدّد الوصول بمبدأ الحد الأدنى من الصلاحيات، وأدِر مفاتيح التشفير بما يُبقي التحكم لديك، وأبقِ سجلات التدقيق مفعّلة ومحفوظة لمدة تكفي للتحقيق. وراجع عقود مزوّدي السحابة وخدمات SaaS للتأكد من بنود المعالجة والنقل عبر الحدود.
أخيرًا، عيّن مسؤولًا لحماية البيانات ولو بدور جزئي، وجهّز آلية واضحة لاستقبال طلبات أصحاب البيانات والرد عليها ضمن المدد النظامية، واكتب خطة استجابة للحوادث تُحدّد من يفعل ماذا عند وقوع تسريب. المنشآت التي تُنجز هذا الآن ستتعامل مع النموذج كإجراء روتيني؛ أما التي تؤجّل فستكتشف فجواتها في أسوأ توقيت ممكن — أثناء المراجعة.
