الموافقة الرقمية بموجب PDPL هي إقرار صاحب البيانات إلكترونياً بقبول معالجة بياناته الشخصية لغرض محدد، وفق ما يشترطه نظام حماية البيانات الشخصية السعودي. ولكي تكون معتبرة، يجب أن تُمنح بحرية، وأن تكون محددة وواضحة، وأن يسبقها إعلام كافٍ بالغرض والجهة والحقوق. ويقع على الجهة المسؤولة عن المعالجة عبء إثباتها عند الطلب، ولهذا لا يكفي جمعها؛ يلزم توثيقها بسجل يثبت من وافق، وعلى ماذا، ومتى، وكيف.

نكتب هذا المقال لمسؤولي حماية البيانات وفرق الموارد البشرية الذين يجمعون موافقات الموظفين والمتقدمين والعملاء. نشرح فيه متى تكون الموافقة هي الأساس النظامي المناسب ومتى لا تكون، وشروط صحتها، وكيف تُجمع إلكترونياً وتُثبت، وكيف يُدار سحبها.

ملخص سريع

• الموافقة أحد الأسس النظامية لمعالجة البيانات في PDPL، وليست الأساس الوحيد، واختيارها حيث لا تلزم قد يُضعف موقف الجهة.
• الموافقة المعتبرة حرة ومحددة وواضحة ومسبوقة بإعلام، ويحق لصاحبها سحبها في أي وقت.
• عبء إثبات الموافقة على الجهة المسؤولة عن المعالجة، ولذلك يحتاج كل إقرار إلى سجل يوثق تفاصيله.
• في الموارد البشرية، تقوم معالجة كثير من بيانات الموظفين على العقد أو الالتزام النظامي، وتُخصص الموافقة لما يتجاوز ذلك.
• في ساين إت، نوفر سجل تدقيق يوثق من وقّع ومتى ومن أي جهاز، مع تحقق عبر نفاذ وأبشر واستضافة محلية للبيانات.

ما الموافقة في نظام حماية البيانات الشخصية؟

الموافقة في نظام حماية البيانات الشخصية إذن صريح يمنحه صاحب البيانات للجهة المسؤولة عن المعالجة، يقبل فيه معالجة بياناته لغرض أو أغراض محددة.

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وعُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، وبدأ تطبيقه في 14 سبتمبر 2023 مع مهلة تصحيح انتهت في سبتمبر 2024. وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وتفصّل لائحته التنفيذية شروط الموافقة وطريقة توثيقها.

يتكرر في المقال مصطلحان. صاحب البيانات هو الفرد الذي تتعلق به البيانات، كالموظف أو العميل. وجهة التحكم هي الجهة التي تحدد غرض المعالجة ووسيلتها، وهي في الغالب الشركة نفسها.

متى تكون الموافقة هي الأساس النظامي المناسب؟

تكون الموافقة مناسبة حين لا يوجد أساس نظامي آخر للمعالجة، وحين يملك صاحب البيانات خياراً حقيقياً في القبول أو الرفض دون أن يتضرر.

يحدد النظام أسساً متعددة للمعالجة إلى جانب الموافقة، منها تنفيذ عقد يكون صاحب البيانات طرفاً فيه، والوفاء بالتزام نظامي، وحماية المصالح الحيوية، والمصلحة المشروعة لجهة التحكم بضوابطها. واختيار الأساس الصحيح مسألة جوهرية، لأن كل أساس يرتب التزامات مختلفة.

والخطأ الشائع هو جعل الموافقة أساساً لكل شيء. فإذا طلبت الشركة موافقة الموظف على معالجة بيانات راتبه، ثم سحب الموظف موافقته، فلن تستطيع التوقف عن صرف الراتب. هنا الأساس الصحيح هو تنفيذ عقد العمل، والموافقة في غير موضعها توحي بخيار غير موجود.

ما شروط صحة الموافقة الرقمية؟

تصح الموافقة حين تُمنح بحرية دون إكراه، وتكون محددة بغرض واضح، ومسبوقة بإعلام كافٍ، وصادرة بفعل إيجابي من صاحب البيانات، مع إمكان سحبها في أي وقت.

الحرية تعني ألا تُربط الموافقة بخدمة لا تحتاج إلى المعالجة. فاشتراط الموافقة على الرسائل التسويقية لإتمام شراء منتج يجعلها غير حرة. وفي علاقة العمل تحديداً، يحتاج هذا الشرط إلى عناية، لأن اختلال التوازن بين صاحب العمل والموظف قد يجعل الرفض صعباً عملياً.

التحديد يعني أن تكون الموافقة لغرض معين. والموافقة الشاملة على "أي استخدام تراه الشركة مناسباً" لا تحقق هذا الشرط. وإذا تعددت الأغراض، فالأنسب فصل الموافقة على كل منها.

الإعلام المسبق يعني أن يعرف صاحب البيانات قبل موافقته من الجهة، وما البيانات، ولماذا تُجمع، ومع من تُشارك، وما حقوقه. ويُقدَّم ذلك عادة في إشعار الخصوصية، وهو بيان تعلنه جهة التحكم عن ممارساتها في المعالجة.

الفعل الإيجابي يعني أن يصدر من صاحب البيانات إجراء واضح، كاختيار خانة أو توقيع. أما الخانات المحددة مسبقاً، أو اعتبار السكوت قبولاً، فلا تثبت موافقة حقيقية.

كيف تُثبت الموافقة الرقمية؟

تُثبت الموافقة بسجل يوثق هوية صاحبها، والنص الذي وافق عليه بنسخته المحددة، ووقت الموافقة، والوسيلة التي تمت بها، مع حفظ هذا السجل بطريقة تمنع التلاعب به.

يحمّل النظام جهة التحكم مسؤولية إثبات الموافقة. وعند شكوى أو تفتيش، لن يكفي القول إن الموظف أو العميل وافق. المطلوب دليل يجيب عن أسئلة محددة.

وتزداد قوة الإثبات حين تُجمع الموافقة على مستند يُوقَّع إلكترونياً عبر مقدم خدمات ثقة مرخص، لأن التوقيع يكشف أي تعديل لاحق على النص. للتفاصيل، راجع مقال مقدم خدمات الثقة المرخّص.

في ساين إت، نوفر سجل تدقيق يوثق من وقّع ومتى ومن أي جهاز، ونتيح التحقق من الموقعين عبر نفاذ وأبشر وواثق، أو عبر رموز تحقق بالبريد الإلكتروني والرسائل النصية وواتساب. ونستضيف البيانات داخل المملكة، ونلتزم بنظام حماية البيانات الشخصية وضوابط مكتب إدارة البيانات الوطنية.

كيف تتعامل الموارد البشرية مع الموافقات؟

تبدأ الموارد البشرية بتحديد الأساس النظامي لكل نوع من بيانات الموظفين والمتقدمين، ثم تخصص الموافقة لما لا يغطيه العقد أو الالتزام النظامي، وتوثقها بطريقة قابلة للإثبات.

تمر بيانات الموظف بمراحل متعددة: التقديم، والتعيين، ومدة العمل، وما بعد انتهاء العلاقة. وفي كل مرحلة أغراض مختلفة. فبيانات المتقدم تُجمع لتقييم طلبه، والاحتفاظ بها لوظائف مستقبلية غرض إضافي يحتاج إلى موافقة. وبيانات الموظف تُعالج لتنفيذ العقد، لكن استخدام صورته في حملة تسويقية أو مشاركة بياناته مع جهة تدريب خارجية قد يتجاوز ذلك.

ويحسن أن تُدمج الموافقات في رحلة التعيين الرقمية بدلاً من نماذج ورقية متفرقة. فحين يوقّع الموظف الجديد عقده إلكترونياً، يمكن أن تُعرض عليه الموافقات الاختيارية منفصلة عن العقد، مع إشعار الخصوصية، وتُحفظ كلها في سجل واحد. وهذا يسهّل الرجوع إليها، ويوضح للموظف أن الموافقات الاختيارية ليست شرطاً للتعيين.

وإن كانت شركتك تراجع مسارات الموافقة في عقودها عموماً، فقد تناولنا ذلك في مقال "PDPL وعقود شركتك: ما الذي يجب تعديله في مسارات الموافقة الآن".

ما الأخطاء الشائعة في جمع الموافقات الرقمية؟

أكثر الأخطاء شيوعاً دمج الموافقة في الشروط والأحكام العامة. حين تأتي الموافقة على المعالجة بنداً ضمن عشرات البنود يقبلها المستخدم دفعة واحدة، يصعب إثبات أنها محددة وواعية. الأنسب فصلها، وصياغتها بلغة واضحة، وعرضها في موضعها من الرحلة.

ومنها حفظ النتيجة دون السياق. تحتفظ بعض الأنظمة بحقل "موافق: نعم" في قاعدة البيانات، دون نسخة النص الذي وافق عليه المستخدم أو وقت الموافقة. وحين يتغير نص الموافقة لاحقاً، لا يبقى دليل على ما قبله صاحب البيانات فعلاً.

ويقع بعض الفرق في خطأ جعل السحب أصعب من المنح. فإذا كانت الموافقة تتم بنقرة واحدة، والسحب يتطلب خطاباً رسمياً أو مراجعة شخصية، فهذا يخالف روح النظام. يحسن أن يكون السحب متاحاً بالقناة نفسها وبالسهولة نفسها، وأن يوثَّق في السجل.

وأخيراً، يُغفل أحياناً مكان حفظ الموافقات وما يرتبط بها من بيانات. فسجل الموافقات يتضمن بيانات شخصية، ونقله إلى خوادم خارج المملكة يخضع لشروط النظام. للتوسع، راجع مقال "السيادة على البيانات واستضافتها محلياً".

كيف تبني نظاماً لجمع الموافقات وإثباتها؟

ابدأ بحصر عمليات المعالجة وتحديد أساسها النظامي، ثم صمم نماذج الموافقة لما يحتاج إليها، واربطها بإشعار الخصوصية وسجل تدقيق، ونظّم آلية السحب.

أسئلة شائعة

الخاتمة

الموافقة الرقمية أداة مهمة في الامتثال لنظام حماية البيانات الشخصية، لكن قيمتها تتحقق حين تُستخدم في موضعها الصحيح وتُثبت بدليل كامل. فاختيار الأساس النظامي المناسب، وفصل الموافقات بحسب الغرض، وربطها بإشعار واضح، وتوثيقها بسجل يحفظ الهوية والنص والتوقيت، وتيسير سحبها، هي ما يجعل الموافقة قابلة للدفاع عنها أمام أي مراجعة.