الامتثال لنظام حماية البيانات الشخصية PDPL عبر ERP

لماذا يقع نظام ERP في قلب الامتثال لنظام حماية البيانات الشخصية؟

عندما يسمع مدير شركة عبارة "حماية البيانات الشخصية" يفكر غالباً في الموقع الإلكتروني ونماذج التسجيل وقوائم التسويق. لكن أكبر مخزن للبيانات الشخصية في معظم الشركات السعودية هو نظام تخطيط الموارد نفسه. ففيه ملفات الموظفين بأرقام الهويات والإقامات والجوازات، والرواتب والحسابات البنكية، والإجازات المرضية، وبصمات الحضور، وبيانات العملاء من أفراد ومؤسسات، وأسماء وأرقام جوالات مسؤولي الموردين.

نظام حماية البيانات الشخصية (PDPL) دخل حيز النفاذ في سبتمبر 2023، وبدأ التطبيق الفعلي بعد مهلة سنة في سبتمبر 2024، وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). هذا الدليل لا يغني عن الاستشارة القانونية، لكنه يترجم متطلبات النظام إلى أسئلة عملية تخص بيانات ERP، ويوضح ما يجب أن تفعله إدارات الموارد البشرية والمالية والمبيعات وتقنية المعلومات.

المفاهيم الأساسية بلغة الأعمال

• البيانات الشخصية: كل معلومة تؤدي إلى معرفة فرد بعينه، مثل الاسم ورقم الهوية ورقم الجوال والبريد والعنوان ورقم الحساب البنكي والصورة.
• البيانات الحساسة: فئة تحتاج حماية أعلى، ومنها البيانات الصحية والبيومترية والوراثية، والأصل العرقي أو القبلي، والمعتقد الديني أو السياسي، والبيانات الأمنية والجنائية. في ERP تظهر عادة في التقارير الطبية والإجازات المرضية وبصمة الحضور أو التعرف على الوجه.
• جهة التحكم: الشركة التي تحدد الغرض من معالجة البيانات ووسيلتها. شركتك هي جهة التحكم في بيانات موظفيها وعملائها.
• جهة المعالجة: طرف يعالج البيانات نيابة عنك، مثل مزود ERP السحابي أو شركة الرواتب الخارجية أو مقدم خدمة الرسائل النصية.
• المعالجة: أي عملية على البيانات، من جمعها وتخزينها إلى عرضها ونقلها وحذفها.

أين توجد البيانات الشخصية داخل نظام ERP؟

هذا الجدول هو بداية سجل أنشطة المعالجة الذي سنتحدث عنه لاحقاً. كثير من الشركات تكتشف عند إعداده أن بيانات حساسة منسوخة في أماكن لا داعي لها، مثل ملفات Excel مُصدّرة من النظام على أجهزة شخصية أو مرفقات في البريد.

المتطلبات الرئيسية وما تعنيه لبيانات ERP

1. أساس نظامي لكل معالجة

الموافقة ليست الأساس الوحيد. معالجة بيانات الموظف لصرف راتبه وتسجيله في التأمينات الاجتماعية تستند إلى عقد العمل والالتزامات النظامية. لكن استخدام بيانات العملاء في التسويق المباشر يحتاج موافقة، وتلزم اللائحة التنفيذية بتوفير وسيلة سهلة لإيقاف الرسائل التسويقية في أي وقت. حدد لكل نوع بيانات في النظام سبب جمعه، ولا تجمع ما لا تحتاجه.

2. حقوق صاحب البيانات

للفرد حق العلم بمعالجة بياناته وأساسها، وحق الوصول إليها والحصول على نسخة مجانية، وحق تصحيحها وتحديثها، وحق طلب إتلافها عندما لم تعد لازمة، وحق تقديم شكوى للجهة المختصة. يجب الرد على الطلبات خلال ثلاثين يوماً، ويمكن التمديد ثلاثين يوماً أخرى في حالات محددة مثل الطلبات التي تتطلب جهداً غير معتاد. هذا يعني عملياً أنك تحتاج طريقة لاستخراج كل بيانات شخص من كل الوحدات بسرعة.

3. سجل أنشطة المعالجة

على جهة التحكم الاحتفاظ بسجل يصف أنشطة المعالجة والإجراءات التنظيمية والإدارية والتقنية المتخذة، طوال مدة المعالجة وخمس سنوات بعد انتهائها.

4. تقييم الأثر

يلزم تقييم أثر حماية البيانات في حالات منها معالجة البيانات الحساسة، وربط مجموعتين أو أكثر من البيانات من مصادر مختلفة، والمراقبة المستمرة لأصحاب البيانات، واستخدام تقنيات جديدة، واتخاذ قرارات آلية. تطبيق نظام حضور ببصمة الوجه مع تتبع جغرافي مثال واضح يستدعي تقييماً قبل التشغيل.

5. الإبلاغ عن التسرب

عند وقوع حادثة تسرب تستوجب الإبلاغ، يجب إخطار سدايا عبر البوابة الوطنية لحوكمة البيانات خلال 72 ساعة من العلم بها، وإبلاغ أصحاب البيانات المتأثرين دون تأخير لا مبرر له عند الحاجة.

6. مسؤول حماية البيانات

يلزم تعيين مسؤول لحماية البيانات إذا كانت جهة التحكم جهة عامة تعالج بيانات على نطاق واسع، أو كان نشاطها الأساسي يتطلب مراقبة منتظمة ومستمرة للأفراد على نطاق واسع، أو كان نشاطها الأساسي معالجة بيانات حساسة. كثير من الشركات الخاصة المتوسطة لا ينطبق عليها الإلزام، لكن تحديد شخص مسؤول عن الملف يبقى ممارسة جيدة.

7. النقل خارج المملكة

النقل مسموح بشروط: ألا يمس الأمن الوطني أو المصالح الحيوية، وأن يقتصر على الحد الأدنى من البيانات. وتتيح لائحة النقل الاعتماد على قرارات الكفاية أو ضمانات مثل البنود التعاقدية المعيارية والقواعد الملزمة والشهادات، مع تقييم مخاطر النقل في بعض الحالات. إذا كان نظامك السحابي مستضافاً خارج المملكة أو كان فريق الدعم الفني لدى المزود يصل إلى البيانات من الخارج، فهذا نقل يجب تقييمه.

العقوبات

من يفصح عن بيانات حساسة أو ينشرها بقصد الإضرار أو تحقيق منفعة يعاقب بالسجن مدة تصل إلى سنتين و/أو غرامة تصل إلى ثلاثة ملايين ريال. وبقية المخالفات تُعاقب بالإنذار أو بغرامة تصل إلى خمسة ملايين ريال، ويجوز مضاعفة الغرامة عند التكرار. إلى جانب ذلك قد يُطالب المتضرر بتعويض عن الضرر المادي أو المعنوي. الغرامة ليست الخطر الوحيد، فخسارة ثقة الموظفين والعملاء بعد تسرب ملف رواتب أشد أثراً في كثير من الأحيان.

الضوابط التقنية والتنظيمية داخل ERP

الصلاحيات حسب الدور

أول سؤال: من يرى ماذا؟ موظف المبيعات لا يحتاج رؤية رواتب أحد. المدير المباشر قد يحتاج رؤية حضور فريقه دون رواتبهم. ابنِ مصفوفة صلاحيات تبدأ من الحد الأدنى، وراجعها كل ستة أشهر، وأغلق حسابات المغادرين يوم خروجهم.

التحكم في التصدير والطباعة

أكثر حالات التسرب في الشركات ليست اختراقاً متقدماً، بل ملف رواتب صُدّر إلى Excel وأُرسل بالخطأ أو نُسي على جهاز. قيّد صلاحية التصدير للتقارير التي تحتوي بيانات حساسة، واجعل التقارير تُعرض داخل النظام قدر الإمكان.

إخفاء جزء من البيانات

عرض آخر أربعة أرقام فقط من رقم الحساب البنكي أو الهوية في الشاشات العامة يقلل الانكشاف دون تعطيل العمل.

سجل التدقيق

سجل يوضح من اطلع على ملف موظف أو عدّل حساباً بنكياً ومتى. هذا يردع إساءة الاستخدام ويساعد في التحقيق عند الحادثة.

الاحتفاظ والإتلاف

هنا يتقاطع نظام حماية البيانات مع أنظمة أخرى تلزم بالاحتفاظ. سجلات ضريبة القيمة المضافة تُحفظ ست سنوات على الأقل بشكل عام، وسجلات الأصول الرأسمالية المنقولة وغير الملموسة 11 سنة، والعقارية 15 سنة. ونظام الدفاتر التجارية يلزم بالاحتفاظ عشر سنوات. لذلك لا يعني حق الإتلاف حذف فاتورة باسم عميل فرد، بل يعني ألا تحتفظ بالبيانات أطول من الحاجة النظامية أو التشغيلية، وأن تكون لديك سياسة مكتوبة لكل نوع.

الأمن السيبراني للبنية

بالنسبة للأنظمة السحابية، أصدرت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024). كما يصنف الإطار التنظيمي للحوسبة السحابية البيانات الحكومية في فئات، ولا يجيز خروج البيانات الحكومية من المملكة. إذا كانت شركتك تعمل مع جهات حكومية وتعالج بيانات حكومية، فهذا يحدد أين يمكن استضافة النظام. ولمزيد من التفاصيل عن الجانب الأمني راجع مقالنا عن الأمن السيبراني لأنظمة ERP.

مثال عملي: طلب وصول من موظف سابق

لنفترض أن موظفاً غادر الشركة قبل ستة أشهر، وأرسل طلباً لمعرفة البيانات التي تحتفظ بها الشركة عنه. ما المطلوب خلال الثلاثين يوماً؟

1. التحقق من هويته قبل تسليم أي بيانات.
2. استخراج بياناته من وحدة الموارد البشرية والرواتب والحضور والإجازات، ومن أي مرفقات أو بريد إلكتروني أو ملفات مشتركة.
3. بيان الأساس النظامي لكل نوع، مثل الاحتفاظ بسجلات الرواتب لحساب مكافأة نهاية الخدمة ولمتطلبات الأنظمة.
4. تسليم نسخة واضحة ومجانية.
5. تسجيل الطلب وتاريخ الرد في سجل الطلبات.

إن كانت بياناته موزعة على نظام رواتب منفصل وجداول حضور ومجلدات مشتركة، فقد تستغرق المهمة أياماً. وإن كانت في نظام واحد مترابط، تكون أسرع وأقل عرضة لنسيان مصدر.

مثال عملي ثانٍ: ملف رواتب أُرسل بالخطأ

سيناريو افتراضي: صباح الأحد، أرسل محاسب الرواتب ملف Excel يحتوي أسماء 140 موظفاً ورواتبهم وأرقام حساباتهم البنكية إلى مورد خارجي بدلاً من البنك، بسبب تشابه العناوين في البريد. كيف تبدو الساعات الاثنتان والسبعون التالية؟

الدرس هنا أن السبب الجذري لم يكن تقنياً متقدماً، بل إجراء عمل يعتمد على تصدير ملف وإرساله يدوياً. الحل الدائم هو تقليل الحاجة إلى التصدير أصلاً، مثل ربط الرواتب بالبنك مباشرة بدلاً من تبادل الملفات.

البصمة والتتبع الجغرافي: حالة تستحق وقفة

أنظمة الحضور بالبصمة أو التعرف على الوجه، وتسجيل الحضور بالموقع الجغرافي للعاملين في المواقع الميدانية، أصبحت شائعة في شركات المقاولات والتوزيع والخدمات. هي أدوات مفيدة لضبط الحضور ومنع التلاعب، لكنها تجمع بيانات بيومترية حساسة أو بيانات موقع مستمرة، ولذلك تحتاج إعداداً مدروساً:

• قيّم الأثر قبل التشغيل: المعالجة البيومترية والمراقبة المستمرة من الحالات التي تستدعي تقييم أثر حماية البيانات.
• حدد النطاق: سجّل الموقع عند تسجيل الحضور والانصراف داخل نطاق الموقع المحدد، لا طوال اليوم وخارج ساعات العمل.
• أبلغ الموظفين بوضوح: ما الذي يُجمع، ولماذا، ومن يطلع عليه، وكم يُحفظ.
• قيّد الوصول: قوالب البصمة لا يحتاج أحد إلى رؤيتها، والتقارير تكفي فيها أوقات الحضور.
• حدد مدة الاحتفاظ: احذف قوالب البصمة للموظف بعد خروجه، واحتفظ بسجلات الحضور بالقدر الذي يلزم لاحتساب الأجور وتسوية النزاعات.

ما الذي يخص كل إدارة؟

الموارد البشرية

هي المالك الأكبر للبيانات الحساسة. عليها أن تحدد ما يُطلب من المرشحين في مرحلة التوظيف، فلا تُجمع صور الهويات وشهادات الصحة من كل المتقدمين بل ممن يُعرض عليهم العمل فقط. وعليها حصر من يطلع على الإجازات المرضية والتقارير الطبية، وتحديد ما يُحذف من ملف الموظف بعد خروجه وتسوية مستحقاته.

المالية والرواتب

أرقام الحسابات البنكية للموظفين والموردين من أكثر البيانات عرضة للاحتيال، خاصة طلبات تغيير الحساب البنكي التي تصل بالبريد. اجعل أي تعديل على حساب بنكي يمر بموافقة ثانية وتحقق هاتفي، وسجّل من نفذه.

المبيعات والتسويق

افصل بين بيانات العملاء اللازمة لتنفيذ البيع والتحصيل، وبيانات التسويق التي تحتاج موافقة. لا تضف أرقام عملاء الفواتير إلى حملات الرسائل النصية دون موافقة، ووفّر وسيلة سهلة لإيقاف الرسائل.

تقنية المعلومات

مسؤولة عن الحسابات والصلاحيات والنسخ الاحتياطي وسجلات التدقيق، وعن مراجعة المزودين الذين يصلون إلى البيانات. النسخ الاحتياطية تحتوي البيانات الشخصية نفسها، فيجب أن تخضع لنفس الحماية ومدد الاحتفاظ.

أخطاء شائعة

1. اعتبار الامتثال مشروعاً قانونياً فقط: سياسة خصوصية ممتازة على الموقع لا تفيد إذا كان ملف الرواتب يُرسل بالبريد كل شهر.
2. صلاحيات موروثة: موظف انتقل من الرواتب إلى المبيعات وما زال يرى الرواتب.
3. حسابات مشتركة: اسم مستخدم واحد لعدة موظفين يلغي قيمة سجل التدقيق.
4. بيانات اختبار حقيقية: نسخ قاعدة البيانات الحية إلى بيئة اختبار دون إخفاء البيانات الشخصية.
5. إهمال المزودين: عدم وجود بنود حماية بيانات في عقود جهات المعالجة.

خطة امتثال من ست خطوات

1. حصر البيانات: أعد جدولاً مثل الجدول السابق لكل وحدة وكل ملف خارج النظام.
2. تحديد الأساس: لكل نوع بيانات اذكر الغرض والأساس النظامي ومدة الاحتفاظ.
3. مراجعة الصلاحيات: طبّق مبدأ الحد الأدنى، وأغلق الحسابات غير المستخدمة.
4. مراجعة المزودين: عقود مع مزود ERP وشركات الرواتب والرسائل تحدد التزاماتهم كجهات معالجة، ومكان استضافة البيانات، وإجراءات التسرب.
5. إعداد إجراءات الطلبات والحوادث: من يستقبل الطلب؟ من يقرر الإبلاغ خلال 72 ساعة؟ اكتبها قبل أن تحتاجها.
6. التدريب: موظفو الموارد البشرية والرواتب والمبيعات هم خط الدفاع الأول. درّبهم على التصدير الآمن والتعامل مع الطلبات.

أسئلة تطرحها عند اختيار نظام ERP

• أين تُستضاف البيانات؟ ومن لدى المزود يمكنه الوصول إليها ومن أين؟
• هل يمكن ضبط الصلاحيات على مستوى الشاشة والحقل والتقرير؟
• هل يوجد سجل تدقيق لعمليات العرض والتعديل على البيانات الحساسة؟
• هل يمكن استخراج كل بيانات شخص معين بسهولة؟
• ما إجراءات المزود عند وقوع حادثة، وخلال كم ساعة يبلغك؟

ولمقارنة خيارات الاستضافة راجع مقالنا عن الأنظمة السحابية مقابل المحلية.

كيف يساعد ترانكويل؟

ترانكويل نظام ERP سحابي يجمع الموارد البشرية والرواتب والمحاسبة والمبيعات في منصة واحدة، مما يقلل الحاجة إلى ملفات متفرقة تحمل بيانات الموظفين والعملاء. وتتيح بوابة الخدمة الذاتية للموظفين للموظف الاطلاع على بياناته وطلباته بنفسه، وهذا يخدم حق الوصول ويقلل تداول المستندات بالبريد. ويتيح التكامل البنكي تحويل الرواتب مباشرة، فيقل الاعتماد على إرسال ملفات الرواتب يدوياً. كما يمكن تخصيص الشاشات والتقارير والموافقات متعددة المستويات بما يناسب سياساتك. وننصح بمناقشة أسئلة الاستضافة والصلاحيات والتدقيق السابقة مع فريقنا مباشرة قبل التعاقد، كما تفعل مع أي مزود.

الأسئلة الشائعة

هل ينطبق نظام حماية البيانات الشخصية على بيانات الموظفين؟

نعم. بيانات الموظفين من هويات ورواتب وحسابات بنكية وإجازات مرضية بيانات شخصية، وبعضها حساس، وتخضع للنظام كبيانات العملاء.

هل أحتاج موافقة الموظف لمعالجة راتبه؟

عادة لا، لأن المعالجة تستند إلى عقد العمل والالتزامات النظامية. لكن الاستخدامات الإضافية التي لا تتطلبها العلاقة الوظيفية قد تحتاج أساساً آخر.

كم المدة المتاحة للرد على طلب صاحب البيانات؟

ثلاثون يوماً، قابلة للتمديد ثلاثين يوماً أخرى في حالات محددة.

متى يجب الإبلاغ عن تسرب البيانات؟

خلال 72 ساعة من العلم بالحادثة إلى سدايا عندما تستوجب الإبلاغ، مع إبلاغ المتأثرين دون تأخير عند الحاجة.

هل يعني حق الإتلاف حذف الفواتير القديمة؟

لا. الفواتير والسجلات المحاسبية لها مدد احتفاظ نظامية. الإتلاف يكون بعد انتهاء الحاجة النظامية والتشغيلية. تواصل مع فريق ترانكويل لمناقشة إعداد يناسب سياساتك.