بموجب المادة العشرين من نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ والمعدل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، يجب على جهة التحكم إشعار الجهة المختصة فور علمها بوقوع حادثة تسرب للبيانات الشخصية. وقد حددت المادة الرابعة والعشرون من اللائحة التنفيذية هذه المهلة بـ 72 ساعة من لحظة العلم. والجهة المختصة حالياً هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، علماً بأن مكتب إدارة البيانات الوطنية (NDMO) يُعد جزءاً من الهيكل التنظيمي لسدايا نفسها، لا جهة مستقلة عنها. وعليه فإن أي إعادة توزيع محتملة للإشراف التنفيذي على الحوادث مستقبلاً تُفهم على الأرجح كتحول داخلي ضمن مظلة سدايا، وليس انتقالاً إلى جهة خارجية منفصلة. ويُقدَّم الإشعار، في جميع الأحوال، عبر المنصة الوطنية لحوكمة البيانــات.

وثمة سمتان في هذا الإطار تميزانه عن نظائره الدولية، وكلتاهمــا تفاجئان المجالس غالباً وهي غير مستعدة.

الأولــى: لا تضع اللائحة التنفيذية ولا الدليل الإجرائي الصادر عن سدايا بشأن حوادث تسرب البيانات الشخصية حداً أدنى للجسامة. فمناط الالتزام هو وقوع حادثة قد تُلحق ضرراً بالبيانات الشخصية أو تتعارض مع حقوق أصحابها ومصالحهم، بصرف النظر عن عدد السجلات المتأثرة. ولا ينبغي لأعضاء المجالس المعتاديــن على أنظمة تعتمد حدوداً كمية أن يفترضوا أن الحادثة الصغيرة غير خاضعة للإشعار.

الثانيــة: إشعار أصحاب البيانات المتأثرين التزام مستقل، يُؤدى دون تأخير غير مبرر متى كانت الحادثة قد تُلحق ضرراً ببياناتهم الشخصية أو تتعارض مع حقوقهم ومصالحهم. ولا يتضمن إطار النظام الاستثنــاءات المعروفة في ولايات قضائية أخرى؛ كالاستثناء المقرر عند تشفير البيانات، أو عندما يتطلب الإشعار جهداً غير متناسب.

تبدأ المهلة من لحظة العلم، والعلم واقعة تنظيمية لا واقعة تقنية. وهنا تُفقد المهلة في أغلب الأحــوال.

ومن أنماط الإخفاق الشائعة ما هو إجرائي لا يقوم على سوء نية: تذكرة دعم فني تبقى دون تصعيد خلال عطلة نهاية الأسبوع؛ أو جهة معالجة تُبلغ جهة التحكم بعد أيام من رصد خلل؛ أو فريق تحقيق جنائي رقمي يُوجَّه إلى بلوغ اليقين قبل إبلاغ مسؤول حماية البيانات الشخصية. وكل حالة من هذه الحالات تستهلك المهلة قبل أن يُدرك الالتزام النظامي داخليــاً.

وينبغي للمجالس أن تطلب ثلاثة أمور مكتوبة: تعريفاً موثقاً لما يشكل "العلم" داخل المنشأة، ومساراً للتصعيد بأسماء محددة ومناوبين عند الغياب، والتزامــات تعاقدية تُلزم جهات المعالجة بإشعار جهة التحكم على وجه السرعة. وتستحق النقطة الأخيرة تأكيداً خاصاً، إذ يقع واجب الإشعار على جهة التحكم بصرف النظر عن الموضع الذي نشأت فيه الحادثة ضمن سلسلة الإمداد.

لا يُغني الإشعار المقرر بموجب النظام عن واجبات الإبلاغ الأخرى. فالجهات الخاضعة لأطر الهيئة الوطنية للأمن السيبراني تتحمل التزامات مستقلة بالإبلاغ عن الحوادث. والمؤسسات المالية الخاضعة للرقابة تتحمل واجبات إبلاغ تجاه البنك المركزي السعودي. وعلى المُصدِرين المدرجين تقييم ما إذا كانت الحادثة تشكل تطوراً جوهرياً يستوجب الإفصاح بموجب قواعد طرح الأوراق المالية والالتزامــات المستمرة الصادرة عن هيئة السوق المالية. وخطة الاستجابة التي تعالج متطلبات سدايا وحدها خطة ناقصة هيكلياً.

أنشأت المادة السادسة والثلاثون من النظام لجاناً متخصصة مخوّلة بالنظر في مخالفات النظام ولائحته التنفيذيــة. ولهذه اللجان أن توقع عقوبة الإنذار أو الغرامة المالية بما لا يتجاوز خمسة ملايين ريال عن كل مخالفة، مع إمكانية تشديد العقوبة في حال تكرار المخالفة.

أما المادة الخامسة والثلاثون فتعمل على مسار منفصل. فإفشاء البيانات الحساسة أو نشرها بالمخالفة لأحكام النظام، بقصد الإضرار بصاحب البيانات الشخصية أو تحقيق منفعة شخصية، يُعاقب عليه بالسجن مدة لا تزيد على سنتين، أو بغرامة لا تتجاوز ثلاثة ملايين ريال، أو بهما معاً. وتتولى النيابة العامة التحقيق والادعاء أمام المحكمة المختصة، ويجوز مضاعفة الغرامة في حال تكرار المخالفــة. وللمحكمة كذلك أن تأمر بمصادرة الأموال المتحصلة من المخالفة وبنشر الحكم على نفقة المخالف.

وهذا التمييز مهم على مستوى المجلس. فالإخفاق في الإشعار خلال مهلة الـ 72 ساعة يقع ضمن المسار الإداري بموجب المادة السادسة والثلاثيــن. أما المادة الخامسة والثلاثون فتعالج الإفشاء المؤثَّم الصادر عن الأفراد، وهو التعرض الذي تبرز أهميته في الحوادث الناشئة من الداخل.

يصوغ الدليل الإجرائي الصادر عن سدايا الاستجابة للحوادث في ثلاث مراحل: الاحتواء والتقييم؛ ثم الإشعار المُوجَّه إلى سدايا وإلى أصحاب البيانات عند الاقتضاء؛ ثم التوثيق. والمرحلة الثالثة هي الأقل تخصيصاً للموارد في الغالب، وهي التي تحدد القدرة على الدفاع عن الموقف. فمن المتوقع من جهات التحكم الاحتفاظ بسجلات الحوادث، وبما قُدِّم إلى سدايا، وبالإجــراءات التصحيحية المتخذة. وحين تعجز جهة التحكم عن إثبات وقت علمها بالحادثة وما فعلته بعد ذلك، فإنها تُدافع عن موقفها من موضع ضعيف.

• استكمال التسجيل في المنصة الوطنية لحوكمة البيانات مسبقاً؛ فالتسجيل ليس إجراءً يُحاول إنجازه أثناء الحادثــة.
• اعتماد مسبق للإنفاق على المستشار القانوني الخارجي والدعم في التحقيق الجنائي الرقمي، وتعيين الجهتين باتفاقية استبقــاء.
• تحديد الشخص الموقّع على الإشعار ومن ينوب عنه، مسبقــاً.
• إعداد نماذج إشعار ثنائية اللغة موجهة إلى سدايا وإلى أصحاب البيانــات.
• التمرّن على سيناريو يتضمن تسرباً لدى جهة معالجة يُكتشف في عطلة نهاية الأسبــوع.
• ضمان وجود خط رفع مباشر لمسؤول حماية البيانات الشخصية إلى المجلس أو لجنة المراجعــة.

طرحت سدايا في 27 أبريل 2025م استطلاعاً عاماً ثالثاً بشأن تعديلات مقترحة على اللائحة التنفيذية، شملت إطاراً مُنقّحاً لدور مسؤول حماية البيانات الشخصية. وتبقى هذه مشروعات تعديلات غير نافذة. وينبغي للمجالس أن تخطط استناداً إلى اللائحة السارية حالياً مع متابعة صدور التعديــلات، والتحقق من الوضع القائم قبل التعويل على أي حكم مقترح.

إن مهلة الـ 72 ساعة ليست اختباراً لتقنيات الاستجابة للحوادث لدى المنشأة، بل اختبار لما إذا كانت صلاحيات القرار ومسارات التصعيد وانضباط التوثيق قد حُسمت قبل وقوع الحادثة. وإجراء تشخيص على مستوى المجلس لجاهزية الاستجابة للتسرب — يفحص بنية التصعيد، وعقود جهات المعالجة، والتسجيل في المنصة، والسجلات الإثباتية — استجابة متناسبة مع مهلة تُقاس بالساعــات.