حماية البيانات الشخصية عند إرسال الملفات: ماذا تقول القوانين؟

حماية البيانات الشخصية عند إرسال الملفات تعني أن ترسل البيانات الشخصية عند الحاجة فقط، وأن تحميها بإجراءات أمنية مناسبة مثل التشفير، وألا تحتفظ بها أكثر من اللازم، وأن تتعامل مع مزوّد خدمة ملتزم بشروط معالجة واضحة، وأن تراعي قواعد نقل البيانات إلى خارج البلد. القوانين لا تمنح الأدوات شهادات: إنها تضع التزامات على الجهة التي ترسل البيانات، والخدمة المناسبة تسهّل الوفاء بها كثيرًا.

يعرض هذا الدليل أهم ما تقوله قوانين حماية البيانات في السعودية والإمارات ومصر، والنظام الأوروبي العام لحماية البيانات (GDPR) بوصفه نظيرًا معروفًا، عندما ترسل ملفات تحتوي على بيانات شخصية، مثل السير الذاتية وكشوف الرواتب والتقارير الطبية وصور الأشخاص وقوائم العملاء، ثم يحوّلها إلى قائمة تحقق. إنها معلومات عامة حتى أكتوبر 2026، وليست استشارة قانونية؛ الكلمة الأخيرة في حالتك لمسؤول حماية البيانات أو المستشار القانوني.

متى تنطبق قوانين حماية البيانات الشخصية على إرسال الملفات؟

كلما احتوت الملفات على بيانات شخصية، أي أي معلومة تتعلق بشخص يمكن التعرف عليه: عقد يحمل أسماء وعناوين، وجدول بيانات للعملاء، وصورة ضوئية لهوية، وصورة يظهر فيها أشخاص يمكن تمييزهم. إرسال هذه الملفات «معالجة» للبيانات، وكذلك تخزينها المؤقت لدى خدمة النقل. والسؤال الأول دائمًا: أي قانون ينطبق؟ يعتمد ذلك على مكان جهتك ومكان الأشخاص الذين تخصهم البيانات، وقد ينطبق أكثر من قانون في الوقت نفسه.

حماية البيانات الشخصية في السعودية: النظام ودور سدايا

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وعُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، وبدأ العمل به بعد 720 يومًا من نشره في الجريدة الرسمية، أي في سبتمبر 2023. الجهة المختصة بالإشراف على تطبيقه هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وتنشر لوائحه وأدلته الإرشادية على منصتها الخاصة بحماية البيانات. أبرز ما يهم من يرسل الملفات:

• الإبلاغ عن التسرب: تُشعر جهة التحكم الجهة المختصة عند علمها بتسرب بيانات شخصية أو تلفها أو الوصول غير المشروع إليها (المادة العشرون). وتحدد اللائحة التنفيذية المهلة: خلال مدة لا تتجاوز 72 ساعة من وقت العلم بالحادثة، إذا كان من شأنها الإضرار بالبيانات أو بصاحبها أو تعارضها مع حقوقه أو مصالحه، عبر خدمة الإبلاغ على منصة سدايا.
• النقل إلى خارج المملكة: تجيز المادة التاسعة والعشرون نقل البيانات أو الإفصاح عنها خارج المملكة لأغراض محددة، بشروط منها ألا يمسّ ذلك الأمن الوطني أو مصالح المملكة الحيوية، وأن يتوافر مستوى حماية لا يقل عن المستوى المقرر في النظام، وأن يقتصر النقل على الحد الأدنى من البيانات. وأصدرت سدايا لائحة خاصة بنقل البيانات الشخصية إلى خارج المملكة، وبنودًا تعاقدية قياسية لهذا الغرض.
• اختيار جهة المعالجة: على جهة التحكم أن تختار جهة معالجة توفر الضمانات اللازمة لتطبيق أحكام النظام ولوائحه، وخدمة نقل الملفات التي تخزن الملفات نيابة عنك جهة معالجة.
• العقوبات: إنذار أو غرامة لا تزيد على خمسة ملايين ريال لمخالفات النظام (المادة السادسة والثلاثون)، وتصل عقوبة إفشاء البيانات الحساسة بقصد الإضرار أو تحقيق منفعة شخصية إلى السجن مدة لا تزيد على سنتين وغرامة لا تزيد على ثلاثة ملايين ريال، أو إحدى هاتين العقوبتين (المادة الخامسة والثلاثون).

الإمارات: المرسوم بقانون اتحادي رقم 45 لسنة 2021

دخل المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية حيز التنفيذ في 2 يناير 2022، ويشير موقع حكومة الإمارات الرسمي إلى أن مكتب الإمارات للبيانات يتولى دور الجهة الرقابية الاتحادية. ومن أحكامه التي تخص إرسال الملفات:

• الأمان: تنص المادة 20 على أن تتخذ جهة التحكم وجهة المعالجة تدابير تقنية وتنظيمية مناسبة للمخاطر، وتذكر صراحة تشفير البيانات الشخصية وإخفاء الهوية بالترميز.
• الإبلاغ عن الاختراق: تُبلغ جهة التحكم المكتب فور علمها باختراق يمس خصوصية البيانات وسريتها وأمنها، خلال المدة وبالإجراءات التي تحددها اللائحة التنفيذية، وتُبلغ صاحب البيانات أيضًا. وعلى جهة المعالجة أن تُبلغ جهة التحكم فور علمها (المادة 9).
• النقل عبر الحدود: يجوز النقل إلى دولة لديها تشريع لحماية البيانات أو تربطها بالإمارات اتفاقية في هذا الشأن (المادة 22)، وفي غير ذلك في حالات محددة، منها عقد يُلزم الجهة المستقبلة بمعايير القانون، أو موافقة صريحة من صاحب البيانات (المادة 23).
• النطاق: يستثني القانون حالات منها البيانات الحكومية، والبيانات الصحية والمصرفية التي لها تشريعات خاصة، والشركات في المناطق الحرة التي لديها تشريعات خاصة بحماية البيانات، مثل قانون حماية البيانات في مركز دبي المالي العالمي.

مصر والمغرب: قانونان آخران تجب معرفتهما

في مصر، أنشأ قانون حماية البيانات الشخصية رقم 151 لسنة 2020 مركز حماية البيانات الشخصية جهةً رقابية. ويوضح المركز على موقعه الرسمي أن نقل البيانات الشخصية إلى خارج مصر محظور ما لم يحصل مستخدم البيانات مسبقًا على ترخيص أو تصريح بالنقل عبر الحدود من المركز، مع توافر أساس قانوني: دولة يعترف المركز بأنها توفر مستوى حماية كافيًا، أو ضمانات إضافية، أو استثناءات محددة بموافقة صريحة من صاحب البيانات.

وفي المغرب، ينظم القانون رقم 09-08 الصادر عام 2009 معالجة المعطيات ذات الطابع الشخصي، وتشرف على تطبيقه اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP). ولدول عربية أخرى قوانينها الخاصة، فتحقق دائمًا من النص الساري في بلدك.

GDPR: النظير الأوروبي ومواده الأساسية

إذا كانت جهتك في الاتحاد الأوروبي، أو تقدم خدمات لأشخاص فيه، فإن اللائحة الأوروبية (EU) 2016/679 المعروفة باسم GDPR تنطبق أيضًا. وهي مرجع تأثرت به قوانين كثيرة في المنطقة، لذلك تفيد معرفة موادها الأساسية:

وبالنسبة إلى الولايات المتحدة، اعتمدت المفوضية الأوروبية في 10 يوليو 2023 قرار الكفاية المعروف بإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة، ورفضت المحكمة العامة للاتحاد الأوروبي طعنًا فيه في 3 سبتمبر 2025، وما زال استئناف معروضًا على محكمة العدل حتى أكتوبر 2026.

مقارنة سريعة بين القوانين الأربعة

هل التشفير مطلوب في قوانين حماية البيانات؟

ليس بصيغة مطلقة في كل القوانين، لكنه حاضر بوضوح. يذكر القانون الإماراتي تشفير البيانات الشخصية صراحة ضمن تدابير الأمان، وتطلب المادة 32 من GDPR أمانًا «مناسبًا للمخاطر» وتذكر التشفير مثالًا. وفي الممارسة، أصبح التشفير الحد الأدنى المتوقع لإرسال البيانات الشخصية عبر الإنترنت، وله فائدة ملموسة عند وقوع حادثة: بموجب المادة 34(3)(a) من GDPR، لا يلزم إبلاغ الأفراد المتضررين إذا أصبحت البيانات غير مفهومة لغير المصرح لهم «مثل التشفير».

ويضيف المجلس الأوروبي لحماية البيانات توضيحًا مهمًا: ينطبق هذا الإعفاء على بيانات مشفرة تشفيرًا سليمًا بمفتاح لم يُخترق، وفقدان النسخة الوحيدة من بيانات مشفرة يبقى اختراقًا يمس توافرها. التشفير التام بين الطرفين، حيث لا يستطيع حتى المزوّد قراءة الملفات، هو أقوى صوره؛ اقرأ شرح التشفير التام بين الطرفين.

حماية البيانات الشخصية في البيئة الرقمية: لماذا تساعد الروابط المؤقتة؟

المجلد المشترك الذي يبقى مفتوحًا سنوات يتعارض مع مبدأ عدم الاحتفاظ بالبيانات الشخصية أكثر من اللازم، ومع مبدأ الحد الأدنى من البيانات الذي تكرره هذه القوانين بصيغ مختلفة. روابط النقل التي تنتهي بعد أيام، والملفات التي تُحذف عند انتهاء صلاحيتها، تطبق هذا المبدأ تلقائيًا دون أن يتذكر أحد التنظيف. يقترح مقالنا عن الرابط بكلمة مرور ومدة صلاحيته مددًا مناسبة لكل حالة.

قائمة تحقق: اختيار خدمة نقل تراعي حماية البيانات

• سياسة خصوصية واضحة وشروط معالجة مكتوبة لعملاء الأعمال، مع قائمة بجهات المعالجة الفرعية.
• مكان التخزين مذكور بوضوح، حتى تقيّم قواعد النقل إلى الخارج في بلدك.
• التشفير أثناء النقل والتخزين، والتشفير التام بين الطرفين متاح للملفات الحساسة.
• تواريخ انتهاء وحذف تلقائي، وكلمات مرور، وحد لعدد التنزيلات.
• تحكم في الوصول من جهة المرسل: مصادقة ثنائية وأدوار للفريق.
• إمكانية حذف النقل فورًا إذا ذهب إلى الشخص الخطأ.

قائمة تحقق: الاستخدام اليومي

1. 1

   الخطوة 1

   قلّل

   أرسل المستندات والبيانات التي يحتاج إليها المستلم فقط، وأخفِ الباقي.

2. 2

   الخطوة 2

   احمِ

   استخدم كلمة مرور ترسلها عبر قناة أخرى، والتشفير التام بين الطرفين للبيانات الحساسة مثل البيانات الصحية ووثائق الهوية.

3. 3

   الخطوة 3

   حدّد المدة

   اختر مدة صلاحية قصيرة وحدًا للتنزيلات يساوي عدد المستلمين.

4. 4

   الخطوة 4

   تحقق من المستلم

   راجع العنوان؛ الرسائل المرسلة إلى عنوان خاطئ مصدر كلاسيكي للتسرب.

5. 5

   الخطوة 5

   نظّف

   احذف النسخ المحلية والمرفقات المرسلة التي لم تعد تحتاج إليها.

6. 6

   الخطوة 6

   وثّق

   سجّل الأداة في سجل أنشطة المعالجة لديك، واجعل قاعدتك الداخلية قصيرة ومعروفة للجميع.

إذا وصل ملف إلى الشخص الخطأ

ألغِ الرابط فورًا، وتحقق مما إذا كانت الملفات قد نُزّلت، وقيّم الخطر على الأشخاص المعنيين. ثم راجع مهلة الإبلاغ في القانون الذي ينطبق عليك: 72 ساعة كحد أقصى للإبلاغ إلى سدايا في السعودية عندما يكون الضرر محتملًا، وإبلاغ مكتب الإمارات للبيانات فور العلم، و72 ساعة إن أمكن بموجب المادة 33 من GDPR. وقد اقترحت المفوضية الأوروبية في نوفمبر 2025 تعديلًا («Digital Omnibus») يتضمن مهلة 96 ساعة، لكنه لم يُعتمد حتى أكتوبر 2026. تغطي قائمة إرسال الملفات بشكل آمن جانب الوقاية.

حالات شائعة

لمعرفة طريقة عمل هذه الحمايات في Transfr، راجع صفحة نقل الملفات الآمن، أو جرّب إرسال نقل بكلمة مرور وتاريخ انتهاء.