هل يسري نظام حماية البيانات الشخصيّة على المنشآت الصغيرة؟

نعم. فالنظام يسري على كلّ جهة، عامّة أو خاصّة، محلّيّة أو أجنبيّة، تعالج بيانات شخصيّة لأفراد في السعوديّة، أمّا معالجة الفرد للبيانات لأغراض شخصيّة أو عائليّة بحتة فخارجه. وأغلب المنشآت الصغيرة والمتوسّطة لا تحتاج إلى مسؤول لحماية البيانات، لكنّها تحتاج مع ذلك إلى شخص يتولّى هذه المسؤوليّة.

فالمتجر الصغير الذي يشغّل علامات تحليلات أو إعلانات يحتاج إلى طلب الموافقة قبل تشغيلها، وإلى طريقة للردّ على طلبات أصحاب البيانات خلال 30 يومًا، وخطّة لإخطار سدايا خلال 72 ساعة من أيّ حادثة قد تضرّ بالبيانات أو بأصحابها.

ولا يلزم تعيين مسؤول لحماية البيانات إلّا في ثلاث حالات (اللائحة التنفيذيّة، المادة 32): جهة عامّة تعالج بيانات شخصيّة على نطاق واسع، أو منشأة تقتضي أنشطتها الأساسيّة مراقبة الأفراد مراقبةً منتظمة ومنهجيّة، أو منشأة تقوم أنشطتها الأساسيّة على معالجة بيانات حسّاسة.