الامتثال لنظام حماية البيانات الشخصية (PDPL) للمستشفيات السعودية: ما الذي يجب أن تعرفه؟

يعني الامتثال لنظام حماية البيانات الشخصية (PDPL) في المستشفيات السعودية تطبيق متطلبات نظام حماية البيانات الشخصية في البرمجيات، بما يشمل الموافقة بوصفها الأساس القانوني الافتراضي لمعالجة بيانات المرضى، والإبلاغ عن خروقات البيانات إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) خلال 72 ساعة، والقيود المفروضة على نقل البيانات إلى خارج المملكة، والاحتفاظ بأدلة التدقيق لإثبات الالتزام بجميع هذه المتطلبات. ومنذ سبتمبر 2024، أصبح النظام ساري المفعول بالكامل ويُطبَّق بفاعلية، مع إمكانية فرض غرامات إدارية تصل إلى 5 ملايين ريال سعودي عن كل مخالفة.

---

يُعد هذا الدليل جزءًا من دليلنا الشامل حول خصوصية بيانات المرضى وأمنها: الضوابط التي يجب أن يفرضها كل نظام لإدارة المستشفيات. ويمثل نظام PDPL نقطة التقاء الضوابط التقنية الستة الواردة في ذلك الدليل مع المتطلبات القانونية. ويتناول هذا المقال الالتزامات الخاصة بالمملكة العربية السعودية والصورة الأوسع على مستوى المنطقة بالتفصيل.

---

ما هو نظام حماية البيانات الشخصية (PDPL)، وعلى من ينطبق؟

صدر نظام حماية البيانات الشخصية بموجب المرسوم الملكي رقم M/19 في عام 2021، وعُدّل في عام 2023، ودخل حيز التنفيذ الكامل في 14 سبتمبر 2023، مع فترة سماح مدتها سنة انتهت في 14 سبتمبر 2024. وتتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) تطبيق النظام من خلال منصتها الوطنية لحوكمة البيانات. ومن أبرز خصائص النظام اتساع نطاق تطبيقه؛ إذ يشمل أي جهة، داخل المملكة أو خارجها، تعالج البيانات الشخصية لأفراد موجودين في المملكة العربية السعودية. وبالنسبة إلى المستشفيات، يعني ذلك أن جميع سجلات المرضى التي تحتفظ بها تدخل ضمن نطاق النظام. كما ينبغي للمستشفيات تقييم كيفية التعامل مع المعاملات التأمينية وتبادل البيانات السريرية من خلال نظام إدارة المستشفيات المتكامل مع NPHIES، باعتبار ذلك جزءًا من عمليات الامتثال الأوسع.

والأهم أن البيانات الصحية لا تُعامل بموجب النظام باعتبارها بيانات شخصية عادية، بل تُصنّف ضمن البيانات الحساسة التي تستلزم حماية معززة. ويؤدي هذا التصنيف إلى رفع مستوى المتطلبات المتعلقة بالحصول على الموافقة، والتحكم في الوصول، والتخزين، والإفصاح عن المعلومات السريرية. ولهذا السبب، لا يمكن التعامل مع حماية البيانات باعتبارها مجرد مسألة تقنية تخص الإدارة الخلفية لتكنولوجيا المعلومات في قطاع الرعاية الصحية السعودي. وبما أن ضوابط الخصوصية تعمل بالتوازي مع الالتزامات المتعلقة بالتأمين والفوترة، فقد تحتاج المستشفيات أيضًا إلى مراجعة كيفية دمج التكامل بين ZATCA وNPHIES في إجراءات العمل التنظيمية لديها.

ما الذي يتطلبه نظام PDPL من المستشفيات؟

تنعكس الالتزامات مباشرةً على طريقة عمل نظام إدارة المستشفيات. وهذه هي المتطلبات التي يجب أن يتمكن مدير تقنية المعلومات، أو مسؤول الامتثال، أو المدير الطبي من إثبات الالتزام بها.

• الموافقة بوصفها الأساس القانوني الافتراضي: يجب معالجة بيانات المرضى استنادًا إلى أساس قانوني محدد. وتتطلب البيانات الصحية الحساسة حماية معززة فيما يتعلق بالموافقة. ويجب أن يتيح النظام تسجيل الموافقات وإدارة إصداراتها وتقديم الأدلة التي تثبتها.
• الإبلاغ عن خروقات البيانات خلال 72 ساعة: يجب الإبلاغ عن خروقات البيانات الشخصية إلى SDAIA خلال 72 ساعة، ولذلك ينبغي ربط إجراءات الاستجابة للحوادث بمهلة زمنية محددة وثابتة.
• حقوق أصحاب البيانات: يتمتع المرضى بحقوق الوصول إلى بياناتهم وتصحيحها وحذفها ونقلها، ويجب أن يكون المستشفى قادرًا على تلبية هذه الحقوق.
• القيود على نقل البيانات عبر الحدود: يخضع نقل بيانات المرضى إلى خارج المملكة للوائح وآليات مستقلة، مثل البنود التعاقدية القياسية، ما يجعل تحديد مكان استضافة البيانات قرارًا أساسيًا في تصميم النظام.
• عقوبات رادعة: تصل الغرامات الإدارية إلى 5 ملايين ريال سعودي عن كل مخالفة، مع إمكانية مضاعفتها عند تكرار المخالفات، فضلًا عن العقوبات الجنائية المترتبة على الإفصاح المتعمد عن البيانات الحساسة.

ويقف وراء كل التزام من هذه الالتزامات ضابط تقني محدد. فالموافقة تحتاج إلى آلية لتسجيلها وتطبيقها، والإبلاغ عن الخروقات يتطلب المراقبة وإجراءات استجابة مُجرّبة، وحقوق أصحاب البيانات تستلزم إمكانية العثور على السجلات وتصديرها، بينما تتطلب قيود نقل البيانات اتخاذ قرارات مدروسة بشأن الاستضافة. وهذا تحديدًا هو سبب تعاملنا مع الخصوصية باعتبارها مجموعة من الضوابط القابلة للتطبيق والإنفاذ ضمن الدليل الشامل، بدلًا من اختزالها في وثيقة للسياسات.

الموافقة وعبء إثباتها

بموجب نظام PDPL، لا تُعدّ الموافقة مجرد إجراء شكلي يُستكمل مرة واحدة عند تسجيل المريض. بل تمثل الأساس القانوني الذي تستند إليه المعالجة، وتقع مسؤولية إثباتها على عاتق المستشفى. وهذا يعني أن النظام يجب أن يسجل ما وافق عليه المريض، ووقت الموافقة، والغرض الذي مُنحت من أجله، وأن يكون قادرًا على تقديم هذا الدليل عند الطلب. فوجود نموذج ممسوح ضوئيًا داخل مجلد يُعدّ توثيقًا، لكنه لا يكفي وحده لضمان إمكانية تطبيق الموافقة وإنفاذها. وبالنسبة إلى مجموعات الرعاية الصحية التي تعمل عبر عدة فروع، تُعدّ ضوابط الوصول المتسقة والتوثيق والتعامل مع الحوادث عناصر مهمة أيضًا في إدارة الامتثال للعيادات متعددة المواقع.

وهنا تتحول إدارة الموافقات إلى ممارسة تشغيلية مستمرة بدلًا من مجرد بند في قائمة الامتثال. إذ يجب أن تكون الموافقات محددة بحسب الغرض، وقابلة لتتبع الإصدارات، وقابلة للتطبيق عند الوصول إلى البيانات، بحيث لا تتم مشاركة السجل إلا للغرض الذي وافق عليه المريض فعلًا. ونتناول كيفية بناء هذه الآلية بالشكل الصحيح في مقال إدارة الموافقات: التعامل مع بيانات المرضى بالطريقة الصحيحة.

تنزيل مجاني — دليل خصوصية بيانات المستشفيات

الضوابط الستة، وخريطة الامتثال متعددة الأسواق، وخطوات التنفيذ العملية، كلها في دليل واحد موجّه إلى مسؤولي تقنية المعلومات والامتثال في المستشفيات في منطقة الخليج وأفريقيا والبحر الكاريبي.

يعمل نظام PDPL إلى جانب NPHIES وZATCA

ا تتعامل المستشفيات السعودية مع نظام PDPL بمعزل عن المتطلبات الأخرى. فهي ملزمة بالفعل بمتطلبات التشغيل البيني والمطالبات عبر NPHIES، وبمتطلبات الفوترة الإلكترونية الخاصة بـ ZATCA.

وتُعدّ خصوصية بيانات المرضى جزءًا من منظومة الامتثال الأوسع هذه، ويتمثل النهج الأمثل في استخدام الضوابط الأساسية نفسها لدعم المتطلبات الثلاثة. فنموذج التحكم في الوصول، وسجل التدقيق، وقرار تحديد مكان استضافة البيانات، التي تفي بمتطلبات PDPL، تمثل أيضًا البنية الأساسية التي تدعم تبادل البيانات عبر NPHIES وإصدار الفواتير عبر ZATCA بأمان.

ويمكن لبيئة آمنة من برمجيات إدارة المستشفيات أن تساعد المستشفيات على تطبيق أذونات وصول متسقة، والاحتفاظ بالسجلات، ودعم الرقابة على معلومات المرضى.

وهذه هي الفكرة العملية وراء دمج الخصوصية في المنصة منذ البداية بدلًا من إضافتها قبل التدقيق. فالامتثال الذي يُضبط بعد نشر النظام يكون أكثر عرضة للثغرات، كما يؤدي إلى تكرار الجهود لمعالجة ثلاثة التزامات منفصلة. أما عندما يُدمج الامتثال في البنية الأساسية للنظام، فيمكن تطبيق الضوابط مرة واحدة وإعادة استخدامها. ويسهّل ذلك أيضًا تطبيق المتطلبات الجديدة، لأن الأساس اللازم يكون موجودًا بالفعل.

---

«إن ضبط الامتثال بعد نشر النظام يجعله هشًا. أما دمج الامتثال في المنصة فيتيح تطبيق الضوابط مرة واحدة لخدمة متطلبات PDPL وNPHIES وZATCA معًا».

---

قائمة تحقق عملية للاستعداد للامتثال لنظام PDPL

بالنسبة إلى المستشفى الذي يقيّم مستوى امتثاله الحالي، تمثل القائمة التالية أداة عملية تربط الالتزامات القانونية بالخطوات التقنية والتنظيمية اللازمة للوفاء بها.

تسجيل مسؤوليات حماية البيانات وتحديدها بوضوح، بما في ذلك تعيين مسؤول محدد عنها.

✓ تحديد أماكن جمع بيانات المرضى وتخزينها ونقلها، بما يشمل جميع عمليات التكامل والجهات المورّدة.

✓ تطبيق الموافقة بوصفها أساسًا قانونيًا للمعالجة، مع تسجيلها وإدارة إصداراتها وتوفير أدلة تثبتها داخل النظام.

✓ تشفير بيانات المرضى أثناء التخزين باستخدام AES-256 وأثناء النقل باستخدام TLS 1.3، بما في ذلك النسخ الاحتياطية.

✓ الاحتفاظ بسجلات تدقيق تكشف أي تلاعب، وتوثّق جميع عمليات الوصول إلى البيانات الحساسة.

✓ ربط إجراءات الاستجابة لخروقات البيانات بالمهلة المحددة للإبلاغ إلى SDAIA خلال 72 ساعة، واختبار هذه الإجراءات عمليًا.

✓ التأكد من أن استضافة البيانات تتوافق مع قواعد توطين البيانات ونقلها عبر الحدود.

✓ تمكين أصحاب البيانات من ممارسة حقوقهم في الوصول إلى البيانات وتصحيحها وحذفها ونقلها من خلال النظام.

✓ مراجعة وصول الأطراف الثالثة والجهات المورّدة وفق المعايير نفسها التي يلتزم بها المستشفى.

ما وراء المملكة العربية السعودية: النهج نفسه في أسواقنا الأخرى

تعمل Medinous في منطقة الخليج وأفريقيا والبحر الكاريبي. وعلى الرغم من اختلاف التشريعات من سوق إلى آخر، فإن المتطلبات التشغيلية تتقارب في عدة جوانب: معالجة البيانات بناءً على الموافقة، والالتزام بمهل زمنية صارمة للإبلاغ عن الخروقات، وتطبيق قواعد نقل البيانات عبر الحدود، والتعامل مع العقوبات الفعلية.

ويمكن لمجموعة المستشفيات التي تصمم أنظمتها وفقًا لأكثر الأنظمة صرامةً أن تقترب من تحقيق الامتثال في مختلف الأسواق.

يوضح الجدول التالي نظرة عملية على الأنظمة التنظيمية الرئيسية في كل سوق اعتبارًا من عام 2026. ولا يُعدّ هذا الجدول استشارة قانونية، وينبغي للمستشفيات التحقق من المتطلبات الحالية بالتشاور مع مستشارين قانونيين محليين. كما تحتاج العيادات إلى وسائل متسقة لإدارة معلومات المرضى وصلاحيات وصول الموظفين، ما يجعل برمجيات إدارة العيادات ذات أهمية لضوابط الخصوصية اليومية.

لسوق	التشريع الرئيسي	الجهة التنظيمية	الحالة في عام 2026
المملكة العربية السعودية	نظام حماية البيانات الشخصية PDPL (المرسوم الملكي M/19 لعام 2021)	SDAIA	يُطبّق بالكامل منذ سبتمبر 2024؛ الإبلاغ عن الخروقات خلال 72 ساعة؛ غرامات تصل إلى 5 ملايين ريال سعودي.
البحرين	قانون حماية البيانات الشخصية رقم 30 لعام 2018	PDPA	سارٍ منذ عام 2019؛ متوافق مع مبادئ GDPR؛ يتضمن التزامات بشأن الموافقة والإبلاغ عن الخروقات.
قطر	قانون حماية خصوصية البيانات الشخصية PDPPL رقم 13 لعام 2016	NCGAA / CDPP	سارٍ منذ عام 2017؛ من أوائل قوانين حماية البيانات في دول مجلس التعاون الخليجي.
الكويت	لائحة حماية الخصوصية الصادرة عن CITRA لعام 2024	CITRA	تنظيم قطاعي؛ ومن المتوقع صدور قانون وطني عام.
كينيا	قانون حماية البيانات لعام 2019 وقانون الصحة الرقمية لعام 2023	ODPC	تطبيق فعلي؛ تخضع البيانات الصحية لتنظيم مزدوج؛ الإبلاغ خلال 72 ساعة.
نيجيريا	قانون حماية البيانات لعام 2023 (NDPA)	NDPC	تطبيق فعلي؛ تقارير تدقيق امتثال سنوية؛ اشتراط تعيين مسؤول حماية بيانات (DPO).
غانا	قانون حماية البيانات لعام 2012 (القانون 843)	DPC	بدأ التطبيق على مستوى الدولة في يناير 2026؛ التسجيل إلزامي.
بوتسوانا	قانون حماية البيانات (المعدّل عام 2024)	لجنة المعلومات وحماية البيانات	دخل القانون المعدّل حيز التنفيذ في يناير 2024.
أوغندا	قانون حماية البيانات والخصوصية لعام 2019	PDPO / NITA-U	سارٍ؛ يتضمن التزامات بالتسجيل والحصول على الموافقة.
منطقة البحر الكاريبي	سلطات حماية البيانات الوطنية، وفق أطر تتماشى مع GDPR وتختلف حسب الدولة	السلطات الوطنية	تتقدم الأنظمة نحو تبادل إقليمي موحّد للبيانات.

نظام PDPL قيودًا على نقل البيانات عبر الحدود، بينما تشجّع إرشادات الحوسبة السحابية في كينيا على توطين البيانات الحساسة، وتضع الأسواق الأخرى شروطها الخاصة.

ويتمثل أحد الحلول لتلبية هذه المتطلبات دون إضعاف الأمان في الاستضافة داخل الدولة أو الاستضافة السيادية. ونتناول هذا الموضوع بمزيد من التفصيل في مقال السجل الصحي السحابي مقابل الاستضافة المحلية: أيهما أكثر أمانًا؟

أهم النقاط

• يُطبّق نظام PDPL بالكامل منذ سبتمبر 2024، وتواصل SDAIA إصدار قرارات الإنفاذ.
• تُعدّ الموافقة الأساس القانوني الافتراضي للمعالجة، وتخضع البيانات الصحية لحماية معززة باعتبارها بيانات حساسة.
• تقع مسؤولية إثبات الموافقة على المستشفى؛ إذ يجب تسجيلها وإدارة إصداراتها وتوفير الأدلة التي تثبتها.
• يجب الإبلاغ عن خروقات البيانات إلى SDAIA خلال 72 ساعة، وتصل الغرامات إلى 5 ملايين ريال سعودي عن كل مخالفة.
• تخضع عمليات نقل البيانات عبر الحدود لقيود، ما يجعل توطين البيانات قرارًا أساسيًا في تصميم النظام.
• يعمل نظام PDPL إلى جانب NPHIES وZATCA، ويمكن للضوابط الأساسية نفسها أن تدعم الامتثال للأنظمة الثلاثة.
• تتقارب الالتزامات التنظيمية في منطقة الخليج وأفريقيا والبحر الكاريبي؛ لذا يُنصح بتصميم الأنظمة وفقًا لأكثر المتطلبات صرامةً.

الأسئلة الشائعة

تعرّف على كيفية تهيئة Medinous لمتطلبات PDPL وNPHIES والامتثال التنظيمي الخاص بكل سوق قبل بدء التشغيل.

احجز عرضًا توضيحيًا.