طرحت الهيئة السعودية للبيانات والذكاء الاصطناعي "سدايا" مشروع اشتراطات ترخيص الأنشطة التجارية والمهنية وغير الربحية المتعلقة بحماية البيانات الشخصية، واضعةً بذلك إطارًا شاملاً يحدد شروط مزاولة هذه الأنشطة بما يتماشى مع نظام حماية البيانات الشخصية ولوائحه التنفيذية.

المشروع، الذي يأتي ضمن مساعي سدايا لتمكين قطاع البيانات في المملكة، يستهدف وضع ضوابط وإجراءات تضمن أن تكون الأنشطة المتعلقة بحماية البيانات متوافقة مع المعايير النظامية.
كما يهدف إلى دعم نمو هذا القطاع وتشجيع الجهات والأفراد على دخوله، مع تعزيز الالتزام بأفضل الممارسات في حماية خصوصية الأفراد وبياناتهم.

التزام كامل بالنظام

وضعت الهيئة اشتراطات صارمة لبدء ممارسة أي نشاط في هذا المجال، وتبدأ هذه الاشتراطات بالتسجيل في منصة حوكمة البيانات الوطنية، مع تقديم كافة الوثائق والمستندات المطلوبة، بما في ذلك بيانات الترخيص من الجهات المشرفة، وتوضيح طبيعة النشاط والخدمات أو المنتجات المرتبطة به.

ويُلزم المرخص له أو المصرح له بالإقرار بالالتزام الكامل بالنظام واللوائح، والإفصاح عن أي شكاوى سابقة أو حالية، إضافة إلى الإفصاح عن مخالفات سابقة، إن وجدت، لأحكام النظام.
كما تملك الهيئة صلاحية التحقق من صحة البيانات ومدى استيفاء المتطلبات، بالإضافة إلى فحص ما إذا كانت هناك إجراءات قائمة للاشتباه بمخالفات تنظيمية.

وبالنسبة للخدمات الاستشارية، فقد شددت الهيئة على ضرورة التزام الجهات المقدّمة للاستشارات بعدم تقديم أي رأي مخالف لأحكام النظام، كما يُشترط أن تتوفر وثائق تنظيمية وتقنية معتمدة توضّح الإجراءات والتدابير الأمنية المتبعة أثناء معالجة البيانات.

ويجب على مقدم الاستشارات تقديم ما يثبت اعتماده من الجهات المختصة، والالتزام الكامل بما يصدر من تعليمات واشتراطات مستجدة عن الهيئة.

أما الأنشطة التدريبية، فقد ألزمت الهيئة مقدمي البرامج بضرورة امتلاك المؤهلات والخبرات ذات الصلة بحماية البيانات الشخصية، إلى جانب تقديم وثائق داعمة ومراجع معتمدة تم استخدامها في إعداد المادة التدريبية.

ويُمنع تمامًا أن يتضمن المحتوى التدريبي أي تفسيرات أو تأويلات لأحكام النظام أو توجهات الهيئة، كما تشترط الهيئة التقدم بطلب موافقتها على البرنامج قبل 90 يومًا من موعد انطلاقه.

اشتراطات الأنشطة التقنية

حددت سدايا اشتراطات دقيقة لمزاولة الأنشطة التقنية الداعمة لحماية البيانات، من أبرزها: الإقرار بالتوافق التام بين الحلول التقنية وأحكام النظام، وامتلاك الأدوات والوسائل التقنية اللازمة لمعالجة البيانات الشخصية.

ويُشترط كذلك توفر فريق عمل لديه كفاءة عالية وخبرة لا تقل عن خمس سنوات في الجوانب النظامية والتقنية لحماية البيانات، مع وجود وثائق موثقة توضح الوسائل التنظيمية والتقنية المستخدمة، إلى جانب تقديم تقييم ذاتي للالتزام ورفعه للهيئة.

لم تغفل الاشتراطات الجانب التوعوي، حيث أدرجت الهيئة شروطًا لإقامة المؤتمرات وورش العمل المتعلقة بحماية البيانات، أبرزها: ضرورة حصول المتحدثين على مؤهلات مناسبة، وموافقة مسبقة من الهيئة تُقدّم قبل 90 يومًا من موعد الانعقاد.

ويُمنع أن يتضمن المحتوى أي تأويل لأحكام النظام، ويجب تقديم معلومات وافية عن الجهات الراعية والمحتوى التسويقي المصاحب.

وفي بند حيوي، منحت الاشتراطات للهيئة صلاحية إيقاف أي جهة مرخصة أو مصرح لها مؤقتًا أو نهائيًا في حال وجود مخالفات أو اشتباه في خرق أحكام النظام، وذلك بعد اتخاذ الإجراءات النظامية اللازمة.