هل يتوافق Approov مع قانون حماية البيانات الشخصية في المملكة العربية السعودية (PDPL)؟

صُممت Approov لتقليل جمع بيانات المستخدمين ومعالجتها إلى الحد الأدنى. ولا تقوم Approov بمعالجة البيانات الشخصية أو معلومات التعريف الشخصية (PII)، باستثناء عنوان IP ومعرّف التثبيت (Installation ID) اللازمين لتقديم الخدمة، حيث يتم إخفاء هوية كليهما.

يحدد نظام حماية البيانات الشخصية في المملكة العربية السعودية (PDPL) الإطار النظامي لحماية البيانات الشخصية وتنظيم معالجتها. وينطبق النظام على معالجة البيانات الشخصية المتعلقة بالأفراد في المملكة العربية السعودية، بما في ذلك عمليات المعالجة التي تقوم بها جهات تقع خارج المملكة.

وبموجب نظام حماية البيانات الشخصية، تشمل البيانات الشخصية المعلومات التي يمكن أن تحدد هوية الفرد بشكل مباشر أو غير مباشر. وقد تشمل هذه المعلومات الأسماء، وأرقام الهوية، والعناوين، ومعلومات الاتصال، والمعلومات المالية، والصور، وغيرها من المعلومات ذات الطبيعة الشخصية.

وتوضح إرشادات الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا - SDAIA) أن البيانات لا تُعد بيانات شخصية بموجب النظام عندما يكون من المستحيل تحديد هوية فرد معين من خلالها. كما تحدد اللائحة التنفيذية مفهوم إخفاء الهوية بأنه إزالة المعرفات المباشرة وغير المباشرة بطريقة تجعل تحديد هوية الفرد مستحيلاً بشكل دائم. وبمجرد إخفاء هوية البيانات الشخصية بشكل صحيح، فإنها لا تعود تُعد بيانات شخصية ولا تخضع لنطاق نظام حماية البيانات الشخصية.

كيف تحمي Approov بيانات مستخدمي تطبيقات الأجهزة المحمولة؟

تتبع Approov نهج تقليل البيانات (Data Minimization)، وتقتصر المعلومات التي تجمعها منصة Approov Mobile Security على ما هو ضروري لتوفير وظائفها الأمنية.

تجمع المنصة ما يلي:

• عنوان IP
• معرّف التثبيت (Installation ID)

يتم إخفاء هوية كليهما. ولا تجمع Approov، من خلال منصة Approov Mobile Security، الأسماء أو عناوين البريد الإلكتروني أو أرقام الهواتف أو أرقام الهوية الحكومية أو معلومات الدفع أو غيرها من المعلومات التي تحدد هوية الفرد بشكل مباشر.

ومن خلال تقليل البيانات التي يتم جمعها وإخفاء هوية البيانات التي تتم معالجتها، صُممت Approov للحد من مخاطر الخصوصية المرتبطة بمعالجة بيانات أمن تطبيقات الأجهزة المحمولة.

هل تخضع البيانات مجهولة الهوية لنظام حماية البيانات الشخصية السعودي؟

بموجب اللائحة التنفيذية لنظام حماية البيانات الشخصية، يتطلب إخفاء الهوية إزالة المعرفات المباشرة وغير المباشرة بحيث يصبح من المستحيل بشكل دائم تحديد هوية الفرد. ويجب على جهة التحكم اتخاذ التدابير التنظيمية والإدارية والتقنية المناسبة لمنع إعادة تحديد الهوية، وتقييم فعالية تقنيات إخفاء الهوية المستخدمة.

وبمجرد إخفاء هوية البيانات الشخصية بشكل صحيح، فإن البيانات مجهولة الهوية لا تعود تُعد بيانات شخصية بموجب نظام حماية البيانات الشخصية.

وهذا التمييز مهم: فالبيانات المستعارة أو المستبدلة بمعرّفات بديلة (Pseudonymized Data) تظل بيانات شخصية بموجب النظام، في حين أن البيانات التي تم إخفاء هويتها بشكل صحيح لا تُعد بيانات شخصية.

ما الحقوق التي يوفرها نظام حماية البيانات الشخصية السعودي للأفراد؟

يمنح نظام حماية البيانات الشخصية أصحاب البيانات حقوقًا تتعلق ببياناتهم الشخصية، وذلك وفقًا للشروط والإجراءات المنصوص عليها في النظام ولائحته التنفيذية.

وتشمل هذه الحقوق، من بين أمور أخرى:

• الحق في معرفة الأساس النظامي والغرض من جمع بياناتهم الشخصية.
• الحق في الوصول إلى بياناتهم الشخصية.
• الحق في طلب الحصول على بياناتهم الشخصية بصيغة واضحة ومقروءة.
• الحق في طلب تصحيح بياناتهم الشخصية أو استكمالها أو تحديثها.
• الحق في طلب إتلاف بياناتهم الشخصية في الحالات التي ينطبق عليها ذلك.
• الحق في سحب الموافقة عندما تكون الموافقة هي الأساس النظامي للمعالجة.

ويعتمد التطبيق المحدد لهذه الحقوق على الظروف والأحكام ذات الصلة في نظام حماية البيانات الشخصية ولائحته التنفيذية.

وبما أن Approov مصممة لإخفاء هوية عنوان IP ومعرّف التثبيت (Installation ID) اللذين تتم معالجتهما، فإن عناصر البيانات هذه لا تُعد بيانات شخصية بعد إخفاء هويتها بشكل صحيح ودائم وفقًا لمتطلبات نظام حماية البيانات الشخصية.

كيف تحمي Approov البيانات؟

قامت Approov Limited بتقييم شامل لمنهجيات جمع البيانات وتخزينها بما يتناسب مع التأثير المحتمل الذي قد يحدثه اختراق هذه البيانات على الفرد.

وقد صُممت الضوابط التي تطبقها Approov لتوفير مستوى الحماية المناسب للمخاطر التي تم تقييمها، ولحماية سرية البيانات وأمنها طوال دورة حياتها.

كما يتضمن نهج Approov تقليل البيانات وإخفاء الهوية للحد من كمية المعلومات التي يمكن استخدامها، بشكل محتمل، لتحديد هوية الفرد.

هل ينظم نظام حماية البيانات الشخصية السعودي نقل البيانات خارج المملكة؟

يتضمن إطار حماية البيانات في المملكة العربية السعودية متطلبات محددة تنظم نقل البيانات الشخصية أو الإفصاح عنها خارج المملكة. وتحدد لائحة نقل البيانات الشخصية إلى خارج المملكة المتطلبات والضمانات التي تنطبق عند نقل البيانات الشخصية أو الإفصاح عنها إلى جهة تقع خارج المملكة.

وعندما تكون البيانات الشخصية محل معالجة، ينبغي على المؤسسات تقييم المتطلبات المطبقة على عمليات النقل الدولي وأي ضمانات مطلوبة وفقًا لذلك.

أما عندما تكون البيانات قد خضعت لإخفاء الهوية بشكل صحيح بحيث لم يعد من الممكن تحديد هوية الفرد، فإنها لا تعود تُعد بيانات شخصية بموجب نظام حماية البيانات الشخصية.

نهج Approov تجاه خصوصية البيانات في المملكة العربية السعودية

تتبنى Approov نهجًا قائمًا على الخصوصية حسب التصميم (Privacy by Design) وتقليل البيانات (Data Minimization) في مجال أمن تطبيقات الأجهزة المحمولة. وقد صُممت المنصة من أجل:

• تقليل المعلومات التي يتم جمعها من مستخدمي تطبيقات الأجهزة المحمولة.
• تجنب جمع المعلومات التي تحدد هوية الأفراد بشكل مباشر، مثل الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف.
• إخفاء هوية عنوان IP ومعرّف التثبيت (Installation ID) اللذين تتم معالجتهما بواسطة المنصة.
• تطبيق ضوابط تقنية وتنظيمية تتناسب مع المخاطر التي تم تقييمها.
• حماية سرية البيانات وأمنها طوال دورة حياتها.

وقد قامت Approov Limited بتقييم ممارساتها المتعلقة بجمع البيانات ومعالجتها وتخزينها في ضوء التأثير المحتمل لحدوث اختراق للبيانات، وطبقت ضوابط مصممة لحماية البيانات بما يتناسب مع مستوى المخاطر الذي تم تقييمه.

مهم: تقدم هذه المقالة معلومات عامة حول كيفية ارتباط ممارسات Approov المتعلقة بالبيانات بنظام حماية البيانات الشخصية في المملكة العربية السعودية. ولا تُعد هذه المقالة استشارة قانونية، ولا تشكل تحديدًا أو حكمًا قانونيًا بشأن امتثال استخدام عميل معين لخدمات Approov لنظام حماية البيانات الشخصية. وينبغي على المؤسسات تقييم التزاماتها الخاصة بموجب نظام حماية البيانات الشخصية ولائحته التنفيذية استنادًا إلى أنشطة المعالجة المحددة التي تقوم بها.