استضافة بيانات المرضى داخل السعودية: ما الذي يجب أن تسأل عنه المستشفيات مزوّد الحلول الصحية قبل التعاقد؟

ماذا تقترح مسودة التعديلات؟

وفق ملخص مكتب Clyde & Co، تتضمن المسودة مادة جديدة (المادة 23) تُلزم جهات التحكم بتخزين البيانات الشخصية داخل المملكة، مع بقاء نقل البيانات أو الإفصاح عنها خارجها جائزاً متى التُزم بالنظام ولائحته التنفيذية. وهناك ثلاثة مقترحات أخرى تهم المستشفيات: تسجيل جهات التحكم في السجل الوطني يصبح إلزامياً لمن ينقل بيانات خارج المملكة (المادة 34)، والإبلاغ عن الاختراق خلال 72 ساعة من العلم به دون اشتراط احتمال وقوع ضرر (المادة 24)، وأن تكون سياسات الخصوصية بلغة المتعاملين المعتادة، وهي العربية في الغالب (المادة 18).

ننبّه إلى أمرين: هذا ملخص قانوني وليس نص المسودة، فارجع إلى الوثيقة الرسمية المنشورة على منصة «استطلاع»؛ ولم نتحقق وقت الكتابة هل اعتمدتها «سدايا» كما هي أو عدّلتها. [VERIFY WITH BRAND]

وماذا عن نقل البيانات خارج المملكة اليوم؟

أصدرت «سدايا» في 1 سبتمبر 2024 لائحة نقل البيانات الشخصية خارج المملكة. وبحسب ملخص Mayer Brown، يجب على جهة التحكم التي تنقل بيانات إلى الخارج أن تعتمد إحدى ضمانات ثلاث: البنود التعاقدية النموذجية الصادرة عن «سدايا»، أو القواعد الملزمة المشتركة للمجموعات متعددة الجنسيات، أو شهادة الاعتماد. والبنود النموذجية لا يجوز تعديلها، ولا يجوز استخدامها إذا كانت أنظمة بلد المستورد تمنعه من الالتزام بها. ويُشترط تقييم مخاطر النقل عند الاعتماد على ضمانة، أو عند نقل بيانات حساسة بصورة مستمرة أو واسعة.

والبيانات الصحية حساسة بطبيعتها؛ فإذا سمحت المستشفى للمزوّد بنقل بيانات مرضاها خارج المملكة، ولو لأغراض الدعم أو التحليلات، فالأولى افتراض انطباق تقييم المخاطر والتأكد من ذلك مع المستشار القانوني.

لماذا تختلف المنصات الصحية في التعاقد؟

تتفق التعليقات القانونية على أن الاستعانة بجهة خارجية لا تنقل المسؤولية. يرى مكتب التميمي وشركاه أن مقدمي الخدمة الصحية يُعدّون في الغالب جهات تحكم حتى لو قدّمت أطراف ثالثة الخدمات السحابية أو أدوات الذكاء الاصطناعي، وأن اتفاقيات معالجة البيانات ينبغي أن تعالج الاستجابة للحوادث والمعالجة الفرعية وحقوق التدقيق، وأن على المنشأة أن تعرف أين تُستضاف البيانات ومن يصل إليها وكيف تُدار النسخ الاحتياطية وهل تنطبق متطلبات التوطين على مجموعات بيانات بعينها.

وتضيف الحوسبة السحابية طبقة أخرى؛ فبحسب Morgan Lewis (مارس 2026) يسجّل مزوّدو الخدمات السحابية لدى هيئة الاتصالات والفضاء والتقنية ويُصنَّفون في الفئة (أ) أو (ب) أو (ج) وفق البيانات والقطاعات التي يخدمونها، ويتوقع العملاء عادةً عقوداً بالعربية أو ثنائية اللغة والتزامات مالية بالريال ودعماً داخل المملكة. وما ينطبق على مستشفاك يتوقف على ملكيتها وجهاتها التنظيمية ونوع البيانات، فاعتبرها أسئلة تطرحها لا افتراضات تبني عليها.

سبعة أسئلة لكل مزوّد حلول صحية

1. أين تُخزَّن بيانات الإنتاج والنسخ الاحتياطية وسجلات النظام؟

اطلب اسم الدولة والمزوّد لكل واحدة منها. من يجيب «داخل المملكة» عن قاعدة البيانات ويسكت عن النسخ الاحتياطية وسجلات المراقبة ومخازن التحليلات فقد أجاب عن ثلث السؤال فقط.

2. من يستطيع الاطلاع على بيانات المرضى ومن أين؟

مكان التخزين غير مكان الوصول. اسأل هل يستطيع مهندسون أو فريق دعم خارج المملكة رؤية سجلات تُعرّف بأصحابها، وبأي موافقات، وكيف يُسجَّل ذلك. وقد يُعدّ الدعم عن بُعد نقلاً عابراً للحدود بحد ذاته، فتأكد مع المستشار القانوني.

3. من هم المعالِجون الفرعيون وأين يعملون؟

اطلب القائمة الحالية (مزوّدو الرسائل والرسائل النصية والبريد والتحليلات والذكاء الاصطناعي) مع الدولة والوظيفة، والتزاماً بإشعارك قبل أي تغيير. وقنوات المراسلة هي النقطة العمياء المعتادة في منصات تفاعل المرضى.

4. ما آلية النقل إذا خرجت بيانات من المملكة؟

اسأل عن الضمانة المعتمدة (بنود تعاقدية نموذجية أو قواعد ملزمة مشتركة أو اعتماد)، وهل يوجد تقييم لمخاطر النقل، وهل يلزم التسجيل في السجل الوطني لجهات التحكم إذا اعتُمدت المسودة.

5. هل يستطيع المزوّد العمل بمهلة 72 ساعة؟

حتى وهي مسودة، تصلح مهلة الـ72 ساعة اختباراً عملياً. اطلب التزامات الاكتشاف والتصعيد والإبلاغ بالساعات، وجهة اتصال محددة، وكيف تصلك حوادث المعالِجين الفرعيين.

6. هل إشعارات الخصوصية ونماذج الموافقة متاحة بالعربية؟

تشير المادة 18 المقترحة إلى لغة المتعاملين المعتادة. تأكد أن المزوّد يقدّم إشعارات وموافقات وسحباً للموافقة بالعربية داخل رحلة المريض نفسها، لا برابط ملف خارجي.

7. ماذا يحدث عند إنهاء العقد؟

اسأل عن صيغ تصدير البيانات وشهادات الإتلاف ومدة حذف النسخ الاحتياطية ومدة احتفاظ المزوّد بنسخ بعد الإنهاء. شروط الخروج أرخص ما يُتفاوض عليه وأصعبه إضافةً لاحقاً.

مثال توضيحي: مجموعة مستشفيات من خمسة فروع

مثال توضيحي وليس حالة عميل. مجموعة مستشفيات خاصة بخمسة فروع في الرياض وجدة والمنطقة الشرقية تقيّم منصة لتفاعل المرضى، وتصلها عرضان. المزوّد (أ) يكتب «مستضاف داخل المملكة». المزوّد (ب) يوضح أن قاعدة الإنتاج داخل المملكة وأن مزوّد الرسائل ومكتب الدعم في دول أخرى، ويعرض البنود التعاقدية النموذجية لهذا التدفق. يبدو العرض (أ) أنظف في الصفحة الأولى، لكن عند طرح الأسئلة السبعة يتبيّن أن النسخ الاحتياطية والسجلات في مكان آخر ولا توجد قائمة معالِجين فرعيين. إجابات (ب) أعقد وأكمل، ويستطيع مسؤول حماية البيانات في المجموعة توثيق تدفقاتها وإجراء تقييم مخاطر النقل وتقرير إبقاء المراسلة خارج المملكة أو اشتراط بديل محلي. الخلاصة: الإجابة الدقيقة خير من الإجابة المطمئنة.

كيف تتعامل «كير سينك» مع الاستضافة والتوثيق

«كير سينك» منصة صحية رقمية متعددة القنوات بعلامة المنشأة نفسها، تخدم المستشفيات والعيادات وبرامج دعم المرضى لشركات الأدوية. ويمكننا تزويد المستشفيات بموقع الاستضافة وقائمة المعالِجين الفرعيين واتفاقية معالجة البيانات والإشعارات العربية ضمن مرحلة العناية الواجبة. [VERIFY WITH BRAND] يجب أن يؤكد فريق «كير سينك» ترتيبات الاستضافة والمعالِجين الفرعيين والشهادات وضمانات النقل لكل منتج قبل الترويج لهذا القسم، ولا تُذكر خارجياً قبل ذلك.

الأسئلة الشائعة

س1: هل يُلزم نظام حماية البيانات الشخصية بتخزين بيانات المرضى داخل السعودية؟

ج1: ليس كقاعدة عامة بحسب المصادر التي راجعناها. تقترح المسودة التزاماً بالتخزين داخل المملكة (المادة 23) مع بقاء النقل المشروع جائزاً، وقد تنطبق ضوابط قطاعية أو سحابية على مجموعات بيانات معينة. تحقق من وضع منشأتك مع مستشارك القانوني قبل الاعتماد على قاعدة عامة. [VERIFY WITH BRAND]

س2: هل أصبحت مسودة التعديلات نظاماً نافذاً؟

ج2: لا. نُشرت مسودةً للاستطلاع من 6 أكتوبر إلى 5 نوفمبر 2026، وإذا اعتُمدت فسيبدأ سريانها بعد 60 يوماً من نشرها في الجريدة الرسمية. راجع القنوات الرسمية لـ«سدايا» لمعرفة الوضع الحالي.

س3: هل يجوز للمستشفى التعاقد مع مزوّد يستضيف البيانات خارج المملكة؟

ج3: يجوز النقل وفق لائحة 2024 متى اعتُمدت ضمانة مثل البنود التعاقدية النموذجية أو القواعد الملزمة المشتركة أو الاعتماد، وأُجري تقييم مخاطر النقل عند اللزوم. وقبول ترتيب معين لمستشفى معينة مسألة قانونية. [VERIFY WITH BRAND]

س4: ماذا ينبغي أن تتضمن اتفاقية معالجة البيانات مع مزوّد الحلول الصحية؟

ج4: على الأقل: التوافق مع نظام حماية البيانات الشخصية، والتزامات الأمن السيبراني والاستجابة للحوادث، وقواعد المعالجة الفرعية، وحقوق التدقيق، وعند أي نقل للخارج بنوداً تعاقدية نموذجية سعودية وتقييماً موثقاً لمخاطر النقل.

س5: ماذا تعني مهلة الإبلاغ عن الاختراق خلال 72 ساعة للمزوّدين؟

ج5: وفق المسودة تُبلغ جهة التحكم «سدايا» خلال 72 ساعة من علمها بالاختراق بغض النظر عن احتمال الضرر. وبما أن المستشفى هي جهة التحكم، فعقد المزوّد يحتاج مهلة داخلية أقصر مع جهات اتصال محددة وتصعيد من المعالِجين الفرعيين.

المصادر

• كلايد آند كو: «سدايا» تنشر مسودة تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية (أكتوبر 2026)
• ماير براون: تحديثات لوائح حماية البيانات الشخصية في السعودية — البنود النموذجية والإرشادات (9 أكتوبر 2024)
• مورغان لويس: الامتثال السحابي في السعودية — إقامة البيانات والتوقعات التعاقدية (27 مارس 2026)
• التميمي وشركاه: السحابة والذكاء الاصطناعي والاستعانة بمصادر خارجية في الرعاية الصحية السعودية — الاستعداد التنظيمي

هذا المقال معلومات عامة وليس استشارة قانونية. تحقق من المتطلبات مع مستشار مؤهل ومن النصوص الرسمية لسدايا.