نقل البيانات عبر الحدود: إطار PDPL والاستثناءات

نظام حماية البيانات الشخصية PDPL يقيّد نقل البيانات الشخصية خارج المملكة. المبدأ العام: النقل ممنوع إلا عند توفر استثناء قانوني. الجهة المسؤولة عن تحديد الدول الكافية وتفاصيل الضمانات هي SDAIA.

قرارات الكفاية (adequacy): SDAIA قد تُصدر قائمة بدول أو مناطق تتمتع بمستوى حماية معادل. النقل إلى دولة كافية لا يحتاج ضمانات إضافية. حتى كتابة هذا الدليل، القائمة الرسمية محدودة — النقل إلى أغلب الدول يحتاج أساسًا آخر.

الضمانات التعاقدية: عند غياب الكفاية، النقل مسموح بضمانات تعاقدية — مثل بنود الحماية القياسية (Standard Contractual Clauses أو SCCs) — تضمن للمستلم التزامًا بمعايير حماية مناسبة. SDAIA قد تعتمد نماذج لبنود الحماية. العقود مع مزودي سحابة ومعالجي البيانات الخارجيين يجب أن تتضمن هذه البنود.

نقل البيانات الشخصية خارج المملكة مُقيّد افتراضيًا — الكفاية أو الضمانات التعاقدية أو الموافقة الصريحة تُستثني من الحظر عند استيفاء الشروط.

النقل بناءً على الموافقة: موافقة صريحة ومحددة من صاحب البيانات على النقل قد تكفي في حالات معينة. الموافقة يجب أن تكون مسبقة ومستنيرة وقابلة للسحب. الاعتماد على الموافقة كنظام دائم معقد إداريًا — الضمانات التعاقدية غالبًا أنسب للعلاقات التجارية.

الاستثناءات الأخرى قد تشمل: الالتزام القانوني، وحماية المصالح الحيوية، و بيانات منشورة قانونًا، ونقل في إطار تعاون قضائي أو دولي. كل استثناء يجب توثيقه وتبريره.

الاستضافة السحابية: استخدام AWS أو Azure أو Google Cloud في مناطق خارج المملكة ينطوي على نقل بيانات. اتفاقية معالجة البيانات (DPA) مع المزود وبنود الحماية القياسية وتقييم تأثير النقل (TIA) مطلوبة. المزودون الكبار يقدمون DPAs وSCCs جاهزة — التأكد من توافقها مع PDPL ضروري.

تقييم تأثير النقل: قبل النقل إلى دولة غير كافية، يُوصى بإجراء تقييم يحدد: مستوى حماية الدولة المستقبلة، وإمكانية سلطاتها بالوصول إلى البيانات، والضمانات الإضافية المطبّقة. التقييم يُوثَّق ويُحدَّث دوريًا.

المسؤولية: المُصدِر (المُتحكم) يبقى مسؤولًا عن ضمان أن المستلم يلتزم بمعايير مناسبة. العقود يجب أن تُلزم المستلم وإتاحة آلية إنفاذ — التحكيم أو الاختصاص القضائي.