قانون حماية البيانات الشخصية (PDPL) لفرق تقنية المعلومات: ما الذي يتغيّر في Microsoft 365 وإعدادات البيانات لديك

القانون في فقرة واحدة

يضع قانون حماية البيانات الشخصية، المرسوم بقانون اتحادي رقم 45 لسنة 2021، قواعد معالجة البيانات الشخصية، ويمنح الأفراد حقوقاً على بياناتهم، ويحدد شروط نقلها خارج الدولة. ومكتب الإمارات للبيانات هو الجهة المسؤولة عن سياسات حماية البيانات ومعاييرها والشكاوى والإرشادات. وتخرج عن نطاق القانون عدة جهات، منها المناطق الحرة التي لديها تشريعاتها الخاصة: سوق أبوظبي العالمي ومركز دبي المالي العالمي (قانون DIFC رقم 5 لسنة 2020). وتُركت الإجراءات التفصيلية للائحة التنفيذية، لذا تحقق من وضعها الحالي مع مستشارك القانوني قبل أن تثبّت أي مُهل زمنية في سياساتك.

لماذا يقع العبء على تقنية المعلومات

يستطيع المحامي صياغة إشعار الخصوصية، لكنه لا يعرف أي مواقع SharePoint تحتوي نسخ جوازات السفر، ولا أي موظفين سابقين ما زالوا يصلون إلى صناديق البريد، ولا إن كانت ملفات الموارد البشرية المصدَّرة محفوظة في OneDrive أحدهم. الالتزامات التي تحتاج أدلة تقنية هي:

• أمن المعالجة: تدابير تقنية وتنظيمية مناسبة لحماية البيانات الشخصية.
• حقوق صاحب البيانات: إيجاد بيانات شخص واحد وتصحيحها أو تقييدها أو حذفها عند الطلب، في كل الأنظمة.
• سجلات المعالجة: ما الذي تحتفظ به، ولماذا، وأين، وإلى متى.
• الإبلاغ عن الاختراقات: اكتشاف الاختراق وتقييمه وإبلاغ مكتب البيانات (والمتأثرين في بعض الحالات) كما يشترط القانون.
• النقل عبر الحدود: معرفة الأنظمة التي تخزّن البيانات أو تعالجها خارج الإمارات.

الخطوة 1: حصر بيانات يمكنك الدفاع عنه

ابدأ بالأنظمة لا بالسياسات. سجّل لكل نظام يحتوي بيانات شخصية:

• فئات البيانات الشخصية فيه (موظفون، عملاء، مرضى، طلاب، زوار).
• هل فيها بيانات حساسة: صحية، بيومترية، دينية، سوابق جنائية وما شابه.
• مكان تخزينها ومعالجتها، بما في ذلك بلد مركز البيانات لدى مزوّد SaaS.
• من يملك صلاحية الوصول، وكيف تُمنح وتُسحب.
• مدة الاحتفاظ بها، وما الذي يحذفها.
• المسؤول عنها من جهة الأعمال.

في معظم الشركات المتوسطة تشمل القائمة Microsoft 365 ونظام ERP وأنظمة الموارد البشرية والرواتب وCRM ونظام الزوار أو التحكم بالدخول والكاميرات وخوادم الملفات، ثم سلسلة طويلة من اشتراكات SaaS مدفوعة ببطاقات الشركة. وفي هذه السلسلة تكمن المفاجآت.

الخطوة 2: تغييرات Microsoft 365 الأعلى أثراً

إذا كنت تستخدم Microsoft 365، فمعظم الأدوات التي تحتاجها موجودة في ترخيصك. ابدأ بمجموعة أدوات Microsoft Purview.

اعرف أين تقع بيانات المستأجر (Tenant)

توفّر Microsoft تخزين بيانات Microsoft 365 الأساسية داخل عدد من الدول، منها الإمارات، للمستأجرين المؤهلين. تحقق من موقع بيانات مستأجرك في مركز الإدارة، واقرأ نظرة Microsoft العامة على موقع البيانات لمعرفة الخدمات المشمولة. كثير من المستأجرين القدامى ما زالوا في أوروبا.

صنّف المحتوى الحساس واحمِه

• عرّف مجموعة قصيرة من تصنيفات الحساسية (مثل: عام، داخلي، سري، بيانات شخصية) وانشرها.
• استخدم التصنيف التلقائي أو أنواع المعلومات الحساسة لإيجاد أرقام الهوية الإماراتية وجوازات السفر والبيانات البنكية في الملفات والبريد.
• فعّل سياسات منع فقدان البيانات (DLP) التي تنبّه أولاً ثم تمنع إرسال البيانات الشخصية المصنّفة خارج المؤسسة.

الاحتفاظ والحذف

• اضبط سياسات احتفاظ تطابق جدول السجلات لديك، لا "احتفظ بكل شيء للأبد".
• اتفق مع الموارد البشرية والمالية على مدة الاحتفاظ بصناديق بريد ومساحات OneDrive للموظفين المغادرين، ثم طبّقها.

الصلاحيات والهوية

• المصادقة متعددة العوامل (MFA) لكل حساب، مفروضة عبر الوصول المشروط.
• راجع المشاركة الخارجية في SharePoint وOneDrive. خيار "أي شخص لديه الرابط" هو مصدر التسريب المعتاد.
• مراجعة ربع سنوية للصلاحيات على مواقع الموارد البشرية والمالية وأي موقع يحتوي بيانات حساسة.
• إجراء مُختبَر للموظفين المغادرين. تغطيه قائمة التحقق لانضمام الموظفين ومغادرتهم (بالإنجليزية).

التدقيق والتحقيق

• تأكد من تفعيل سجل التدقيق الموحّد ومن أن مدة الاحتفاظ به كافية لأي تحقيق.
• تأكد من قدرتك على البحث عن بيانات شخص واحد عند وصول طلب منه.

الخطوة 3: بقية البيئة التقنية

• خوادم الملفات وأجهزة NAS: افحصها بحثاً عن البيانات الشخصية، وشدّد صلاحيات المشاركة، وانقل ما أمكن إلى مكتبات SharePoint مصنّفة.
• ERP والموارد البشرية وCRM: صلاحيات حسب الدور، ولا حسابات إدارية مشتركة، وتسجيل عمليات التصدير.
• الأجهزة الطرفية: تشفير الأقراص، وأجهزة مُدارة فقط للبيانات الحساسة، والمسح عن بُعد للحواسيب والهواتف المفقودة.
• النسخ الاحتياطية: مشفّرة، ومحمية الصلاحيات، وخاضعة لقواعد الاحتفاظ. البيانات المحذوفة التي تبقى في نسخة احتياطية إلى الأبد ما زالت بيانات محتفظاً بها.
• الكاميرات وأنظمة الزوار: مدد الاحتفاظ، ومن يستطيع تصدير التسجيلات، وأين تُخزَّن.
• المزوّدون: شروط معالجة بيانات مع كل مزوّد يتعامل مع بيانات شخصية، بما في ذلك مزوّد تقنية المعلومات لديك.

الخطوة 4: الجاهزية للاختراقات

يلزمك القانون بإبلاغ مكتب البيانات عن أي اختراق يمس خصوصية البيانات الشخصية أو سريتها أو أمنها، وبإبلاغ المتأثرين في بعض الحالات. ولا يمكنك فعل ذلك جيداً دون الأساسيات:

1. الاكتشاف: تنبيهات Microsoft Defender والجدار الناري وحماية الأجهزة تصل إلى شخص يقرؤها.
2. إجراء حوادث من صفحة واحدة: من يقيّم، ومن يقرر، ومن يبلّغ، ومن يتحدث إلى العملاء.
3. سجلات محفوظة لمدة كافية لمعرفة ما الذي تم الوصول إليه.
4. تمرين محاكاة مكتبي مرة واحدة سنوياً على الأقل.

إذا لم يكن لديك من يراقب التنبيهات خارج ساعات العمل، فخدمة الاكتشاف والاستجابة المُدارة (MDR) تسدّ هذه الفجوة.

قائمة التحقق: الجاهزية التقنية لقانون حماية البيانات

• حصر بيانات لكل نظام يحتوي بيانات شخصية، مع مسؤول لكل نظام.
• موقع بيانات Microsoft 365 مؤكد وموثّق.
• MFA مفروضة على جميع المستخدمين، والمصادقة القديمة محظورة.
• تصنيفات الحساسية وسياسات DLP مفعّلة للبيانات الشخصية.
• سياسات احتفاظ تطابق جدول السجلات.
• المشاركة الخارجية مُراجعة ومقيّدة.
• سجل التدقيق مفعّل، مع بحث مُختبَر لطلبات أصحاب البيانات.
• أجهزة طرفية مشفّرة ومُدارة.
• شروط معالجة بيانات مع كل المزوّدين المعنيين.
• إجراء حوادث مكتوب ومُتدرَّب عليه.
• مسؤول محدد (DPO أو ما يعادله) للطلبات والاختراقات.

كيف تساعد ميسان

نساعدك على تلبية متطلبات القانون من الجانب التقني: نبني حصر البيانات من أنظمتك الفعلية، ونُعدّ Microsoft 365 وPurview، ونشدّد الصلاحيات، ونجهّز السجلات والاكتشاف، ونعدّ ملف الأدلة الذي يحتاجه محاميك أو مسؤول حماية البيانات. لا نقدم استشارات قانونية ولا نشهد بالالتزام. وبصفتنا شريك Microsoft للحلول نعمل داخل مستأجرك، وإن قررت الانتقال يبقى مستأجر Microsoft وحساباتك باسمك. صفحة دعم قانون حماية البيانات (بالإنجليزية) توضّح كيف يسير العمل.

خدمات ميسان ذات الصلة

• دعم متطلبات قانون حماية البيانات الشخصية (بالإنجليزية)
• Microsoft 365 وCopilot وDefender
• الامتثال وإدارة الوثائق windream
• الأمن السيبراني المُدار وخدمة MDR

الأسئلة الشائعة

هل ينطبق قانون حماية البيانات الشخصية الاتحادي على الشركات في مركز دبي المالي العالمي أو سوق أبوظبي العالمي؟

في الغالب لا. لكلٍّ من مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) قانونه وجهته الرقابية الخاصة بحماية البيانات (قانون DIFC رقم 5 لسنة 2020 ولوائح ADGM لحماية البيانات). وقد تحتاج المجموعة التي لها كيانات داخل الدولة وأخرى في هذه المناطق إلى تلبية أكثر من نظام، لذا حدّد أي كيان يحتفظ بأي بيانات.

هل Microsoft 365 متوافق مع قانون حماية البيانات الشخصية؟

لا يوجد منتج يجعلك ملتزماً بالقانون بمفرده. توفّر Microsoft الأدوات (خيارات موقع البيانات، والتصنيف، ومنع فقدان البيانات، والاحتفاظ، والتدقيق) والشروط التعاقدية. أما تلبية متطلبات القانون فتعتمد على طريقة إعدادك لهذه الأدوات واستخدامها، وعلى سياساتك وسجلاتك أنت.

هل يجب أن نحتفظ بالبيانات الشخصية داخل الإمارات؟

لا يمنع القانون نقل البيانات إلى الخارج منعاً مطلقاً، بل يسمح به وفق شروط يحددها، مثل توفر حماية كافية في بلد الوجهة أو وجود ضمانات مناسبة. وقد تكون أنظمة القطاع والعقود أكثر تشدداً. والخطوة الأولى هي أن تعرف أين توجد بياناتك فعلاً، بما في ذلك داخل تطبيقات SaaS.

هل تستطيع ميسان أن تشهد بأننا ملتزمون بالقانون؟

لا، واحذر ممن يعرض ذلك. نحن نساعدك على تلبية متطلبات القانون من الجانب التقني: حصر البيانات في بيئتك التقنية، وإعداد Microsoft 365، والتحكم في الصلاحيات، والسجلات، والجاهزية للاختراقات، وتجهيز الأدلة. أما التفسير القانوني فمكانه محاميك أو مسؤول حماية البيانات لديك.

هل نحتاج إلى مسؤول لحماية البيانات (DPO)؟

يشترط القانون تعيينه في حالات معينة، مثل معالجة كميات كبيرة من البيانات الشخصية الحساسة أو المراقبة المنهجية. وكثير من الشركات المتوسطة تعيّن مسؤولاً محدداً حتى عندما لا يكون ذلك إلزامياً، لأن أحداً يجب أن يتولى السجل والطلبات والحوادث.

كم يستغرق مشروع الجاهزية التقنية لقانون حماية البيانات؟

لشركة ذات كيان واحد تعمل على Microsoft 365 ولديها عدد قليل من أنظمة الأعمال، يستغرق حصر البيانات وتغييرات الإعداد الأساسية عادةً من ستة إلى عشرة أسابيع. أما المجموعات ذات الكيانات المتعددة والأنظمة القديمة فتحتاج وقتاً أطول. نقدّم عرض سعر ثابتاً بعد تحديد النطاق.

هذا الدليل معلومات عامة للتخطيط، وليس استشارة قانونية أو ضريبية. تتغيّر الأنظمة والمواعيد، لذا تحقّق من الوضع الحالي في المصدر الرسمي المذكور في النص ومع مستشاريك. آخر مراجعة: 17/10/2026.

كل أدلة قادة تقنية المعلومات