وفق تحليل لمنظمة سمكس لتعزيز الحقوق الرقمية، بشأن قانون حماية البيانات في السعودية ، والذي يعد بمثابة انتهاك شديد للحق في الخصوصية وحماية البيانات، فبينما يبدو منسجماً مع المعايير الدولية في جوانب معيّنة، تبقى بعض مواده مثيرة للقلق، بسبب احتوائها على ثغرات، قد تسمح بانتهاك الحقّ في الخصوصية وحماية البيانات، فالمشكلة لا تكمُن في نصّ القانون بحدّ ذاته، بل في إمكانية تطبيقه وتنفيذه في المملكة العربية السعودية، نظراً للحُكم القمعي في البلاد.
وأشارت المنظمة إلى أن “نظام حماية البيانات الشخصية” يعد أوّل قانون شامل لحماية البيانات في المملكة، هدفه حماية الخصوصية الفردية من خلال تنظيم عملية جمع البيانات الشخصية، ومعالجتها والإفصاح عنها والاحتفاظ بها.
كما نشرت المنظمة إطاراً تفصيليا يشمل معايير معالجة البيانات، وحقوق أصحاب البيانات، والتزامات الهيئات المعنيّة عند معالجة البيانات الشخصية، والسيادة على البيانات، والعقوبات في حالات عدم الامتثال.
وقد نفذ هذا النظام بموجب المرسوم الملكي رقم م/19 تاريخ 1443/2/9هـ في 16 سبتمبر 2021، وهو مرسوم ينصّ على الموافقة على القرار رقم 98 بتاريخ 1443/2/7هـ المُقترَح في 14 سبتمبر 2021، ونُشِرَ في الجريدة الرسمية في 24 سبتمبر 2021، حيث يُعمل بالنظام بعد 180 يوماً من تاريخ نشره في الجريدة الرسمية حسب المادّة 43 من النظام، أي في 23 مارس 2022.
وخلال أول عامين تشرف“الهيئة السعودية للبيانات والذكاء الاصطناعي” على تنفيذ هذا النظام، ثم بعد ذلك، يتولّى “مكتب إدارة البيانات الوطنية” الإشراف على تنفيذه.
ويبقى السؤال هل يلتزم النظام بالمعايير الدولية؟
-يتضمّن “نظام حماية البيانات الشخصية” السعودي معظم المعايير الدولية الأساسية في مجال حماية البيانات، منها على سبيل المثال: حقوق أصحاب البيانات، والأساس القانوني لمعالجة البيانات -الخاضعة وغير الخاضعة للموافقة- ومتطلّبات سياسات الخصوصية، وواجب الإبلاغ في حال انتهاك خصوصية البيانات، وتقييم الأثر قبل معالجة البيانات الشخصية، والأحكام المحدّدة بشأن البيانات الصحّية، وبيانات الائتمان، والتزامات جهات التحكم، وإجراءات العناية الواجبة، وإنشاء جهة مشرفة، والعقوبات في حالات الانتهاكات؛ وغيرها.
-إن العديد من خصائص “نظام حماية البيانات الشخصية” السعودي تتوافق مع المعايير والمبادئ الدولية ، مثل “اللائحة العامّة الأوروبية لحماية البيانات” 2016/679 (GDPR)، حيث توفر أوسع حماية للبيانات الشخصية، ولها تأثير مهمّ على القوانين واللوائح خارج الاتّحاد الأوروبي، إذ أنَّ التشريعات الناشئة تستند إلىها كـ”نقطة انطلاق” للقوانين التي تنصّ عليها.
-كما أنه يوجد في“نظام حماية البيانات الشخصية” السعودي فترة انتقالية مدّتها 18 شهراً، قبل أن يكون النظام سارياً بالكامل على الهيئات المحلّية، وتطول المدة للمنظّمات التي يقع مقرُّها خارج المملكة، كما ينبغي إصدار توجيهات إضافية في الفترة التي تسبق دخول نظام حماية البيانات الشخصية حيّز التنفيذ.
وفي الاتجاه ذاته، أكدت منظمة سمكس أن “نظام حماية البيانات الشخصية” يشكل خطوةً مهمّة في مجال حماية البيانات، ونقطة انطلاق للمملكة، لكنْ مع وجود بعض المواد والاستثناءات المتعلّقة بالأمن إلى جانب سجلّ المملكة السيء في حقوق الإنسان وممارساتها في مجال المراقبة، فإن الأمر يبدو كمحاولةٍ أخرى للسيطرة على الساحة الرقمية، حتّى لو بدا النظام “جيّداً على الورق”.
واختتمت المنظمة بقولها “نعتقد أنَّ هذا النظام قد أُقِرَّ من أجل استقطاب الشركات الدولية، لا سيما تلك التي تعمل في مجال التقنيات الجديدة، ولمواكبة دول الخليج الأخرى، مثل الإمارات العربية المتّحدة”.
