سجل أنشطة معالجة البيانات الشخصية وفق نظام حماية البيانات: ماذا يتضمن وكيف تبني النموذج

فريق الامتثال في WaqiSec · آخر مراجعة: 2026-10-01

ما سجل أنشطة معالجة البيانات الشخصية؟

سجل أنشطة المعالجة وثيقة داخلية تحصر كل استخدام للبيانات الشخصية في المنشأة: الغرض منه، وأصحاب البيانات المعنيون، ونوع البيانات، ومن يتلقاها، وأين تُنقل، وكم تُحفظ.

ويستند هذا الالتزام إلى نصين: المادة 31 من النظام التي توجب على جهة التحكم الاحتفاظ بالسجل، والمادة 33 من اللائحة التنفيذية التي تفصّل الحد الأدنى لمحتواه ومدة الاحتفاظ به وحق الجهة المختصة في الاطلاع عليه. ويحسن التمييز بين الرقمين، فبعض الملخصات تنسب السجل إلى "المادة 31 من اللائحة"، وهي مادة أخرى.

والسجل هو الأساس الذي تُبنى عليه بقية وثائق الامتثال؛ فـسياسة الخصوصية وفق النظام وضمانات النقل وتقييم حوادث التسرب تعتمد جميعها على المعلومات نفسها. وإذا كان السجل غير دقيق، فالأرجح أن تلك الوثائق غير دقيقة أيضاً.

ما الحقول الإلزامية في سجل أنشطة المعالجة؟

تحدد المادة 33 الحد الأدنى للمحتوى، ويجوز إضافة أعمدة أخرى دون حذف أي منها.

يتضمن دليل سدايا نموذجاً استرشادياً للسجل، لكنه ليس نموذجاً ملزماً. يمكنك اعتماد تنسيقك الخاص ما دام يغطي العناصر الثمانية.

هيكل نموذج السجل الأكثر عملية

أفضل طريقة لتنظيم السجل أن يكون صفاً لكل نشاط معالجة. أما تنظيمه بحسب الأنظمة ("نظام إدارة العملاء"، "التخزين السحابي") فيخفي الغرض، والغرض هو ما يسأل عنه النظام. وهذه الأعمدة تغطي المادة 33 وما تسأل عنه عادةً الجهة المختصة والمراجعون والعملاء من الشركات:

1. رقم النشاط واسمه
2. الإدارة المالكة والشخص المسؤول
3. الغرض
4. الأساس النظامي (الموافقة، أو العقد، أو التزام نظامي، أو مصلحة حيوية، أو مصلحة عامة، أو المصلحة المشروعة)
5. فئات أصحاب البيانات
6. فئات البيانات الشخصية، مع تمييز البيانات الحساسة
7. مصدر البيانات
8. الأنظمة وأماكن التخزين
9. المستلمون الداخليون والخارجيون
10. جهات المعالجة، وهل وُقّعت معها اتفاقية معالجة
11. النقل خارج المملكة: الدولة والمستلم والأداة النظامية
12. مدة الاحتفاظ وطريقة الإتلاف
13. التدابير الأمنية
14. هل يلزم تقييم الأثر؟ (نعم/لا مع المرجع)
15. تاريخ آخر مراجعة

الأعمدة 4 و7 و10 و14 و15 تتجاوز الحد الأدنى في المادة 33، لكنها توفر عليك جهداً لاحقاً: الأساس النظامي تحتاجه في سياسة الخصوصية، وعمود تقييم الأثر يربط السجل بالمادة 25 من اللائحة التي توجب تقييم الأثر عند معالجة البيانات الحساسة وغيرها من المعالجات عالية المخاطر.

مثال تطبيقي: صف واحد في السجل

مثال توضيحي لنشاط الرواتب في منشأة سعودية متوسطة الحجم:

كم مدة الاحتفاظ بسجل أنشطة المعالجة؟

توجب المادة 33 الاحتفاظ بالسجل طوال مدة المعالجة، إضافة إلى خمس سنوات من تاريخ انتهاء نشاط المعالجة. فالمدة تُحسب من توقف النشاط لا من تاريخ جمع البيانات؛ فإذا أوقفت نظام التوظيف في 2027، احتفظ بقيده في السجل حتى 2032.

والطريقة العملية ألا تحذف أي صف، بل تضع عليه حالة "منتهٍ" مع تاريخ الانتهاء.

هل تلتزم جهات المعالجة والمنشآت الصغيرة بالسجل؟

• جهة التحكم: نعم، فالمادة 33 توجه الالتزام إليها.
• جهة المعالجة: لا تفرد اللائحة مادة مستقلة لسجل خاص بجهة المعالجة، لكن ينبغي أن تُلزمها العقود بتزويدك بما يحتاجه سجلك، وخاصة المعالجين من الباطن ومواقع الاستضافة.
• المنشآت الصغيرة: لا يتضمن النظام استثناءً بحسب عدد الموظفين كالاستثناء الوارد في المادة 30(5) من اللائحة الأوروبية GDPR لمن يقل موظفوه عن 250. فالمنشأة ذات العشرين موظفاً التي تعالج بيانات عملائها تحتاج سجلاً، وإن كان في حدود 8 إلى 15 صفاً.
• اطلاع سدايا: لا يلزم إيداع السجل دورياً، لكن يجب تقديمه عند طلب الجهة المختصة، فاحرص على أن يكون جاهزاً للتصدير.

كيف تبني سجل أنشطة المعالجة في 6 خطوات

1. حصر الإدارات: الموارد البشرية، والمبيعات، والتسويق، وخدمة العملاء، والمالية، وتقنية المعلومات، والعمليات.
2. مقابلة كل مالك بيانات لمدة 30 إلى 45 دقيقة: ما البيانات التي يجمعها، ولماذا، وفي أي أدوات، ولمن يرسلها.
3. مطابقة قائمة الأنظمة مع تقنية المعلومات والمالية: فواتير الاشتراكات السحابية تكشف أدوات تغفلها المقابلات.
4. تعبئة صف لكل نشاط مع تمييز البيانات الحساسة (الصحية، والحيوية، والوراثية، والأمنية والجنائية، والمعتقد الديني أو السياسي، والأصل العرقي أو الإثني).
5. مراجعة كل عملية نقل: أي أداة مستضافة خارج المملكة تحتاج أداة نظامية للنقل. راجع دليلنا عن نقل البيانات الشخصية خارج المملكة.
6. تحديد دورة المراجعة: حدّث السجل عند إضافة أداة أو مورد أو غرض جديد، وراجعه كاملاً مرة سنوياً على الأقل.

أخطاء شائعة في سجل أنشطة المعالجة

• أغراض عامة مثل "تسيير الأعمال" لا تقبلها أي جهة رقابية.
• مدة احتفاظ واحدة لكل البيانات، والمادة 33 تطلب مدة لكل فئة ما أمكن ذلك.
• إغفال النقل خارج المملكة، وأكثره في البريد الإلكتروني وأنظمة إدارة العملاء والتحليلات وأدوات الدعم الفني.
• غياب المالك، فيكون السجل دقيقاً يوم إعداده ومتقادماً بعد ستة أشهر.
• نسخ سجل معد وفق اللائحة الأوروبية دون إضافة المتطلبات السعودية، كأدوات النقل المعتمدة من سدايا ومدة الاحتفاظ بالسجل نفسه.
• الخلط بين السجل وسياسة الخصوصية؛ فالسجل وثيقة داخلية، والسياسة موجهة لأصحاب البيانات.

قائمة التحقق لسجل أنشطة المعالجة

• السجل منظم بحسب نشاط المعالجة، صف لكل نشاط
• العناصر الثمانية في المادة 33 مكتملة في كل صف
• البيانات الحساسة مميزة ومرتبطة بتقييم الأثر عند الحاجة
• مدة احتفاظ محددة لكل فئة بيانات
• لكل نقل خارج المملكة أداة نظامية محددة
• جهات المعالجة مدرجة واتفاقيات المعالجة موقعة
• مالك وتاريخ مراجعة لكل صف
• الأنشطة المنتهية محفوظة خمس سنوات بعد انتهائها
• نسخة قابلة للتصدير جاهزة لطلب سدايا

السجل إحدى الوثائق الأساسية الخمس في دليل الامتثال لنظام حماية البيانات الشخصية.

أدلة ذات صلة

هذا الدليل لأغراض إعلامية عامة ولا يُعد استشارة قانونية. تحقق دائماً من النص الرسمي لدى الجهة المختصة قبل اتخاذ أي قرار.