ما يقوله نظام حماية البيانات الشخصية عن البيانات الحيوية
نظام حماية البيانات الشخصية يعامل البيانات الحيوية — بما فيها قوالب الوجه ومتجهات الوجه — كفئة خاصة تتطلب حماية أقوى من البيانات الشخصية العادية. اللوائح التنفيذية (الصادرة عن سدايا) تنص على:
- الأساس القانوني — الموافقة الصريحة الافتراضية؛ المصلحة المشروعة مسموحة فقط بمبرر موثق.
- متطلب DPIA — التعرف على الوجه يُشغّل تقييم أثر حماية بيانات إلزامي.
- قواعد عبور الحدود — البيانات الحيوية من بين الفئات الأكثر تقييداً بقواعد المادة 29 لعبور الحدود.
- الاحتفاظ — يجب أن يكون الحد الأدنى الضروري؛ وضعيات "احتفظ للأبد" ستفشل.
ارسِ في قاموس نظام حماية البيانات الشخصية وقائمة فحص الالتزام.
ما يمكنك فعله — ثلاث حالات استخدام مسموحة
- التحكم بوصول مكان العمل بموافقة موظف صريحة موثقة وطريقة بديلة (شارة أو رمز PIN) لمن يرفضون.
- الوصول لموقع عالي الأمان باختبار مصلحة مشروعة موثق، مقترن غالباً بالموافقة. شائع في أرامكو والمواقع المجاورة للعسكرية.
- تنبيه السلامة — التعرف على موظفين مفوّضين محددين في مناطق مقيدة، مرة أخرى باختبار المصلحة المشروعة وDPIA.
للحل الأساسي اطلع على حل التعرف على الوجه وحل التحكم بالوصول.
ما لا يمكنك فعله — ثلاثة أخطاء شائعة
- التعرف على الوجه السري المستمر للعملاء في فضاءات تجارية عامة دون بنية موافقة. غير قابل للدفاع تحت نظام حماية البيانات الشخصية 2026.
- تصدير قوالب وجه عبر الحدود إلى مركز بيانات خارج المملكة لمورد دون آلية المادة 29 قائمة.
- احتفاظ غير محدود "للاحتياط" بمتجهات الوجه. الاحتفاظ يجب أن يرتبط بغرض موثق.
عرض مورد يتطلب أياً من هذه الثلاثة علم أحمر.
DPIA — ما يتوقعه المدققون
DPIA دفاعي 2026 للتعرف على الوجه يحوي:
- مواصفات الغرض — أي نتيجة عمل يُمكّنها النظام.
- اختبار الضرورة — لماذا التعرف على الوجه مطلوب مقابل البدائل (شارة، PIN، بصمة).
- اختبار التناسب — النطاق، الاحتفاظ، ضوابط الوصول.
- سجل المخاطر — مخاطر التحيّز، مخاطر المطابقة الخاطئة، مخاطر تسرّب الوظيفة.
- خطة التخفيف — الحد الأدنى الضروري من البيانات، معالجة مقيمة في المملكة، جدول احتفاظ.
- توقيع مسؤول حماية البيانات بموقّع مسمى.
هذا مرتسٍ في نظرة الثقة/الالتزام ونظرة الأمن.
قواعد عبور الحدود تحت المادة 29
المادة 29 تقيّد تصدير البيانات الشخصية — وخاصة الحيوية — خارج المملكة. ثلاثة أنماط مسموحة 2026:
- بلا نقل. قوالب الوجه مخزّنة ومُعالَجة بالكامل داخل أقاليم إقامة بيانات مرخّصة من هيئة الاتصالات. الافتراضي الدفاعي.
- قرار كفاية — الدولة المقصودة لديها قرار كفاية من سدايا. قليلون يتأهلون في 2026.
- ضمانات محددة — موافقة صريحة، ضمانات تعاقدية، أو ضرورة محددة تحت استثناءات المادة 29.
للتفاصيل اطلع على إجابة الالتزام بنظام حماية البيانات الشخصية لتحليلات الفيديو.
مراقبة الموظفين — طبقة قانون العمل
نظام حماية البيانات الشخصية ليس القيد الوحيد. مراقبة الموظفين تلامس أيضاً:
- نظام العمل السعودي — المراقبة يجب أن تكون متناسبة ومُفصَح عنها.
- ضوابط الأمن السيبراني الأساسية للهيئة الوطنية للأمن السيبراني — اطلع على قاموس NCA-ECC.
- القواعد القطاعية — أرامكو وسابك وغيرهما يضعن أدلة HSE المقاول الخاصة فوقها.
الوضعية الدفاعية تدمج موافقة موظف صريحة، غرضاً موثقاً، ومسار انسحاب واضحاً لا يعاقب العامل.
مخاطر التحيّز والمطابقة الخاطئة
الأنظمة الحيوية تُظهر تباين أداء ديموغرافي. قوة عمل الإنشاء في المملكة متنوعة بشكل غير عادي — جنوب آسيوي، شمال أفريقي، فلبيني، سعودي. مورد بمستوى 2026:
- يكشف دقة/استرجاع لكل ديموغرافيا على مجموعة تحقق محتجزة.
- يتتبع الانحراف أسبوعياً، مع إعادة تدريب مُشغَّلة دون عتبة تشغيلية.
- يقدّم مسار تجاوز يدوي بحيث يستطيع عامل مرفوض خطأً الدخول عبر تحقق ثانوي.
دون هذه، حادثة المطابقة الخاطئة الأولى للنظام ستنهار الثقة.
الاحتفاظ — كيف يبدو 2026
جدول احتفاظ دفاعي:
| فئة البيانات | الاحتفاظ |
|--------------|----------|
| قالب وجه حي (وصول نشط) | طوال استمرار التوظيف/الوصول |
| سجل المطابقة (بيانات الحدث) | 30 يوماً افتراضياً، 90 يوماً إن ارتبط بحادث |
| نسخة احتياطية لمتجه الوجه | لا — أعد التسجيل عند الحاجة |
| أرشيف صور الوجه | لا يُحتفَظ بعد التسجيل |
ارسِ في وضعية إقامة البيانات.
مرشح اختيار مورد
ثلاثة مرشحات تختصر قائمة المرشحين:
- معالجة سعودية مؤكدة كتابياً.
- قالب DPIA مقدَّم كجزء من العرض، لا كإضافة قابلة للفوترة.
- إفصاح أداء التحيّز والديموغرافيا مع العرض.
لرؤية الشراء الأوسع اطلع على القائمة القصيرة لأفضل 10 منصات ودليل بائعي الذكاء الاصطناعي السعوديين.
ما تتوقع رؤيته في تفتيش سدايا
تفتيش سدايا 2026 لنشر تعرف على الوجه يبحث عادة عن:
- سجل أساس قانوني، موقّع من مسؤول حماية البيانات.
- DPIA في الملف، بموقّع مسمى.
- سجلات موافقة (حيث ينطبق) بطوابع زمنية.
- جدول احتفاظ مُطبَّق — فحص عينة عشوائية.
- وضعية عبور الحدود موثقة.
- خطة استجابة لخروقات حيوية.
إن غاب أي منها، توقّع أمر علاج بمهلة 30–90 يوماً [VERIFY-SME].
أخطاء نشر شائعة
- تخطي DPIA — أكثر أوضاع الفشل شيوعاً.
- بلا طريقة بديلة — العمال لا يستطيعون رفض تسجيل الوجه.
- معالجة عبر الحدود دون آلية المادة 29.
- احتفاظ غير محدود — "للأبد" ليس مدة احتفاظ.
الخطوات التالية
إن كنت تخطط أو تدقق نشر تعرف على الوجه في المملكة، ابدأ بـحل التعرف على الوجه، حل التحكم بالوصول وقائمة فحص الالتزام. راجع إدخال قاموس نظام حماية البيانات الشخصية ونظرة الثقة/الالتزام.
احجز مكالمة تحديد نطاق من جانب الخصوصية وننتج قالب DPIA وسجل أساس قانوني مفصّل لنشرك خلال 10 أيام عمل.
