إيصالك الحراري مسؤولية قانونية بموجب نظام PDPL

كل إيصال حراري يغادر متجرك وهو يحمل اسم العميل أو رقم هاتفه أو معرّف الولاء الخاص به هو بيانات شخصية لم تعد تتحكم بها. هي في جيب أو حقيبة أو على طاولة مطعم أو على الرصيف. نظام حماية البيانات الشخصية (PDPL) ينطبق على تلك البيانات من لحظة جمعها — ولا يتوقف انطباقه لمجرد أن البيانات باتت على ورقة طبعتَها.

أصدرت الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) 48 قرار تنفيذ منذ انتهاء فترة السماح في سبتمبر 2024. الغرامات تصل إلى 5 ملايين ريال، وتصل إلى 10 ملايين ريال عند تكرار المخالفة. ومتطلب الإخطار خلال 72 ساعة يعني أن الساعة تبدأ بالعدّ لحظة تعرّض بيانات العميل — سواء علمتَ بذلك أم لا.

ما يُعدّ بيانات شخصية على الإيصال الحراري

يُعرِّف نظام حماية البيانات الشخصية السعودي (نظام رقم م/19) البيانات الشخصية بأنها كل معلومة تتعلق بشخص طبيعي محدد الهوية أو يمكن تحديد هويته. الإيصال الحراري الذي يطبع أيًا مما يلي يُثير التزامات PDPL:

• اسم العميل (شائع في تسجيل برامج الولاء)
• رقم الهاتف (يُستخدم معرّفًا للولاء أو لتسليم فاتورة ضريبة القيمة المضافة)
• البريد الإلكتروني
• رقم حساب الولاء المرتبط بملف شخصي
• بنود تاريخ الشراء التي يمكنها مجتمعةً تحديد هوية شخص

مبدأ الحدّ الأدنى من البيانات في PDPL يُلزم المؤسسات بجمع البيانات الشخصية ومعالجتها بالقدر الضروري للغرض المُعلَن فحسب. طباعة اسم العميل على إيصال حراري قد يُلقيه في الشارع لا تمثّل الحدّ الأدنى من البيانات — بل تمثّل العكس تمامًا.

تعرّض الاختراق الذي لا يُناقَش

الإيصال الحراري غير آمن ماديًا بطبيعة تصميمه. لا توجد ضوابط وصول. لا توجد تشفيرات. لا توجد آلية حذف. بمجرد طباعته، البيانات الواردة فيه في متناول أي شخص يلتقطه.

متطلب إخطار الاختراق في PDPL — 72 ساعة للإخطار SDAIA، و5 أيام لإخطار الأفراد المتضررين — يستلزم أن تعلم المؤسسات بوقوع الاختراق. مع الإيصالات الحرارية، لا تعلم المؤسسات في الغالب. عميل يسقط إيصالًا، طاولة تُنظَّف، إيصال ينزلق عن منضدة — هذه ليست أحداثًا تُطلق الاستجابة الداخلية للحوادث، لكنها بموجب PDPL قد تُصنَّف إفصاحًا غير مصرح به عن بيانات شخصية.

الفجوة بين ما يتطلبه PDPL وما تُقدّمه عمليات الإيصالات الحرارية فعليًا ليست تفصيلًا تقنيًا. إنها موقف امتثال يفترض أن المنظمين لن ينظروا، والمدققين لن يسألوا، والعملاء لن يشكوا.

هذا الموقف يصعب الحفاظ عليه.

النمط في المتاجر السعودية

تُلحِق عمليات المطاعم والتجزئة السعودية العملاءَ ببرامج الولاء عند نقطة البيع. بيانات التسجيل — الاسم والهاتف — تُطبَع على الإيصالات اللاحقة كمعرّف للعميل. البيانات ذاتها التي جُمِعَت لبناء علاقة العميل هي التي تتعرض للكشف في كل ورقة معاملة.

SDAIA باتت ترخّص مدققين معتمدين بموجب PDPL. مرحلة التدقيق — لا مرحلة قرارات التنفيذ فحسب — بدأت. التجار الذين لم يعالجوا تعرّض بياناتهم الشخصية عند نقطة البيع يضيّعون النافذة التي كان فيها "لم نكن نعلم" موقفًا مقبولًا.

ما يفعله وَتير بدلًا من ذلك

وَتير يُصدر كل إيصال رقميًا — لا بيانات شخصية مطبوعة على ورق، ولا نسخ غير مُتحكَّم بها تغادر المنشأة، وكل معاملة مرتبطة بسجل رقمي موثَّق بمسار تدقيق كامل. تُورَّث الامتثالَ لـ PDPL على مستوى الإيصال من لحظة التكامل.

← التكلفة الحقيقية للإيصالات الحرارية ← السابق: الدقائق التي تخسرها بسبب الإيصالات الحرارية كل يوم

هذا هو الجزء الأخير من سلسلة الإيصالات الحرارية. اقرأ الصورة الكاملة: التكلفة الحقيقية للإيصالات الحرارية — المقال الرئيسي

→ السابق: الدقائق التي تخسرها يوميًا بسبب الإيصالات الحرارية