الخصوصية كبرنامج مُدار وليست فكرة لاحقة
ما هو PIMS ومعيار ISO/IEC 27701
نظام إدارة معلومات الخصوصية (PIMS) هو أسلوب منظم لإدارة كيفية قيام مؤسستك بجمع البيانات الشخصية واستخدامها وتخزينها ومشاركتها وحذفها. ومعيار ISO/IEC 27701 هو المعيار الدولي الذي يحدد متطلبات بناء هذا النظام. صدر الإصدار الحالي في أكتوبر 2025 وهو معيار مستقل بذاته، ولذلك لم تعد شهادة ISO/IEC 27001 شرطًا مسبقًا.
ما الذي تغيّر في إصدار 2025
- أصبح الآن معيارًا كاملًا لنظام الإدارة، وليس امتدادًا لمعياري ISO/IEC 27001 و27002.
- يتبع بنية ومصطلحات عائلة ISO 27000، مما يسهّل دمجه مع الأنظمة القائمة.
- يضع متطلبات أوضح لحوكمة الخصوصية وتحديد أدوار الخصوصية والأهداف القابلة للقياس والمراقبة المستمرة للأداء.
- تُمنح المؤسسات الحاصلة على شهادة إصدار 2019 فترة انتقالية؛ يُرجى مراجعة جهة منح الشهادة لمعرفة الموعد النهائي بدقة.
المصطلحات الأساسية بلغة مبسطة
- 01المعلومات الشخصية / البيانات الشخصية
- أي معلومات تحدد هوية شخص بصورة مباشرة أو غير مباشرة
- 02الجهة المتحكمة في البيانات
- تقرر لماذا وكيف تتم معالجة البيانات الشخصية
- 03الجهة المعالِجة للبيانات
- تعالج البيانات الشخصية نيابةً عن جهة متحكمة
- 04صاحب البيانات
- الفرد الذي تخصه البيانات
- 05PIMS
- السياسات والعمليات والأدوار والضوابط التي تدير الخصوصية
لماذا تبني المؤسسات نظام PIMS
يحوّل نظام PIMS الخصوصية من جهد عشوائي إلى برنامج مُدار وقابل للتدقيق.
الجاهزية التنظيمية
إطار واحد يتوافق مع أنظمة وقوانين الخصوصية التي تنطبق عليك، فلا تحتاج إلى إعادة بناء الضوابط لكل منها.
ثقة العملاء والشركاء
تُعد الشهادة المستقلة دليلًا في إجراءات العناية الواجبة للموردين وفي المناقصات.
انخفاض مخاطر الاختراق والغرامات
تقلل الضوابط المحددة وجرود البيانات وإجراءات الحوادث من حجم التعرض للمخاطر.
مساءلة واضحة
أدوار ومسؤوليات محددة بالاسم للجهات المتحكمة والمعالِجة.
مراجعات أسرع للموردين والعملاء
استبيانات أمنية وخصوصية أقل؛ فالشهادة تجيب عن كثير منها.
ميزة تنافسية
تؤهلك للعقود التي تشترط حوكمة خصوصية يمكن إثباتها.
إدارة متكاملة
يتوافق مع ISO/IEC 27001 و9001 وغيرها من أنظمة ISO ضمن دورة تدقيق واحدة.
التحسين المستمر
تحافظ التدقيقات الداخلية ومؤشرات الأداء ومراجعة الإدارة على حداثة البرنامج.
الشهادة اختيارية بموجب معظم أنظمة الخصوصية. تدعم شهادة ISO/IEC 27701 الامتثال وتُثبته، لكنها لا تجعل المؤسسة ممتثلة قانونيًا بمفردها.
كل مؤسسة تتعامل مع البيانات الشخصية
يناسب نظام PIMS المؤسسات التي تعمل بصفة جهة متحكمة أو معالِجة أو كلتيهما.
أصبح ضمان الخصوصية جزءًا من قرارات الشراء
يطلب العملاء والجهات التنظيمية والشركاء بصورة متزايدة إثباتًا لضوابط الخصوصية قبل التعاقد مع مورد. ويمنحك نظام PIMS إجابة واحدة موثقة ومدققة بصورة مستقلة.
| الفئة | سبب الملاءمة |
|---|---|
| الجهات المتحكمة في البيانات | تحدد غرض المعالجة؛ وتحتاج إلى أساس نظامي وإشعارات وموافقة وآلية للتعامل مع حقوق أصحاب البيانات |
| الجهات المعالِجة للبيانات | تعالج البيانات لصالح العملاء؛ وتحتاج إلى ضوابط تستند إلى العقود وإدارة المعالِجين الفرعيين والإبلاغ عن الاختراقات |
| مزودو تقنية المعلومات والبرمجيات كخدمة والحوسبة السحابية | يطلب العملاء إثبات ضوابط الخصوصية قبل بدء التعاقد |
| القطاع المصرفي والمالي والتقنية المالية | أحجام كبيرة من البيانات المالية وبيانات الهوية بموجب لوائح القطاع |
| الرعاية الصحية وعلوم الحياة | بيانات صحية حساسة وموافقة المرضى |
| التجارة الإلكترونية والتجزئة | ملفات العملاء والمدفوعات وموافقة التسويق |
| خدمات الاستعانة بمصادر خارجية والموارد البشرية والرواتب | بيانات موظفين وعملاء بحجم كبير تُعالج نيابةً عن الغير |
| التعليم وتقنيات التعليم | بيانات الطلاب، بمن فيهم القاصرون |
هل يبدو لك هذا مألوفًا؟
- 1هل تخزّن بيانات شخصية للعملاء أو الموظفين؟
- 2هل يطلب العملاء ضمانات للخصوصية؟
- 3هل تنقل البيانات عبر الحدود؟
ثلاث إجابات بـ«نعم» تعني أن تقييم جاهزية PIMS هو الخطوة المنطقية التالية.
احجز تقييم جاهزية PIMS مجانيًامن تحديد النطاق إلى المراقبة الدورية في إحدى عشرة مرحلة
يستغرق مشروع PIMS النموذجي من 4 إلى 9 أشهر، بحسب الحجم ومستوى نضج الأمن القائم وحجم البيانات الشخصية.
-
01 تحديد النطاق والتزام القيادة حدد نطاق النظام (وحدات الأعمال والمواقع وأنشطة المعالجة) ودورك كجهة متحكمة و/أو معالِجة، واحصل على موافقة الإدارة العليا وعيّن مالكًا للنظام.
-
02 تقييم الفجوات قارن الممارسات الحالية بمتطلبات ISO/IEC 27701 والأنظمة المعمول بها. المخرجات: تقرير فجوات وخطة عمل مرتبة حسب الأولوية.
-
03 رسم خرائط البيانات وجردها سجّل البيانات الشخصية التي تحتفظ بها، ومسار تدفقها، ومن يستلمها، وأساسها النظامي ومدة الاحتفاظ بها. ويصبح هذا سجل أنشطة المعالجة لديك.
-
04 تقييم مخاطر الخصوصية حدد المخاطر على الأفراد وليس على الشركة فقط. أجرِ تقييمات الأثر على حماية البيانات (DPIA) للمعالجة عالية المخاطر وضع خطة لمعالجة المخاطر.
-
05 تصميم السياسات والضوابط اكتب سياسة الخصوصية والإجراءات الداعمة، واختر الضوابط الخاصة بالجهات المتحكمة والمعالِجة ووثّقها، وسجّلها في بيان قابلية التطبيق.
-
06 التنفيذ طبّق الضوابط: إدارة الموافقة والإشعارات، وسير عمل طلبات أصحاب البيانات، والاحتفاظ والحذف، وعقود الموردين، وضمانات النقل عبر الحدود، والاستجابة للاختراقات.
-
07 التدريب والتوعية درّب جميع الموظفين الذين يتعاملون مع البيانات الشخصية، مع تدريب أعمق لفريق الخصوصية والموارد البشرية والأدوار المتعاملة مع العملاء.
-
08 المراقبة والتدقيق الداخلي حدد مؤشرات أداء الخصوصية، وأجرِ تدقيقًا داخليًا للنظام، وسجّل حالات عدم المطابقة والإجراءات التصحيحية.
-
09 مراجعة الإدارة تراجع الإدارة العليا نتائج التدقيق والحوادث ومؤشرات الأداء والموارد وتوثّق القرارات.
-
10 تدقيق الشهادة المرحلة 1 (مراجعة الوثائق) والمرحلة 2 (تدقيق التطبيق) من جهة منح شهادات معتمدة؛ مع إغلاق أي ملاحظات.
-
11 المراقبة الدورية وإعادة إصدار الشهادة تدقيقات مراقبة سنوية وتدقيق كامل لإعادة إصدار الشهادة كل ثلاث سنوات، مع التحسين المستمر بينهما.
يمكنك إعادة استخدام منهجية المخاطر والتدقيق الداخلي ومراجعة الإدارة وضبط الوثائق، مما يختصر المراحل 2 و5 و8 و9. وبموجب إصدار 2025 فإن إعادة الاستخدام هذه اختيارية وليست إلزامية.
كيف يتوافق نظام PIMS مع الأنظمة التي تلتزم بها
يدعم ISO/IEC 27701 الامتثال القانوني ولا يحل محله. والربط أدناه إرشادي.
| النظام أو المعيار | الصلة | كيف يساعد نظام PIMS |
|---|---|---|
| أنظمة الخصوصية وحماية البيانات الوطنية | أنظمة كل دولة تعمل فيها أو تعالج بيانات مقيميها | يغطي سجلات المعالجة والأساس النظامي والموافقة وحقوق أصحاب البيانات وتقييمات الأثر ومعالجة الاختراقات وعقود المعالِجين والنقل عبر الحدود |
| لوائح الجهات التنظيمية القطاعية | القطاعات الخاضعة للتنظيم كالمالية والصحة والاتصالات والحكومة | أضف ضوابط القطاع فوق نظام PIMS، وراجع قواعد البيانات الخاصة بكل جهة تنظيمية |
| عقود العملاء واتفاقيات معالجة البيانات | العملاء الذين يشترطون ضمانات الخصوصية من مورديهم | يوفر أدلة موثقة للعناية الواجبة وتدقيق العقود |
| ISO/IEC 27001 و27002 | إدارة أمن المعلومات | يكمل نظام PIMS؛ وهو موصى به لكنه لم يعد شرطًا للحصول على شهادة 27701 |
| ISO/IEC 29100 و29134 و27018 | إطار الخصوصية، وإرشادات تقييم الأثر على الخصوصية، والمعلومات الشخصية في السحابة العامة | مواد مرجعية مفيدة عند تصميم الضوابط وتقييمات الأثر |
| ISO/IEC 27706:2025 | متطلبات الجهات التي تمنح شهادات PIMS | استخدمه للتحقق من كفاءة جهة منح الشهادة واعتمادها |
احرص دائمًا على أن يؤكد مستشارك القانوني كيفية انطباق هذه المتطلبات على مؤسستك.
المعلومات الموثقة التي يحتاجها نظام PIMS
تتبع القائمة الدقيقة بنود ISO/IEC 27701:2025 وقراءة المدقق لها.
| الوثيقة أو السجل | الغرض | ينطبق على |
|---|---|---|
| بيان نطاق النظام | يحدد الحدود والمواقع والمعالجة المشمولة | الجميع |
| سياسة الخصوصية (الداخلية) والتزام الإدارة العليا | تحدد التوجه والأهداف | الجميع |
| أهداف الخصوصية ومؤشرات الأداء | أهداف قابلة للقياس تُراقَب وتُراجَع | الجميع |
| الأدوار والمسؤوليات والصلاحيات | يحدد قائد الخصوصية أو مسؤول حماية البيانات أو ما يعادله | الجميع |
| منهجية تقييم مخاطر الخصوصية ونتائجه | يسجل المخاطر على الأفراد وقرارات المعالجة | الجميع |
| خطة معالجة المخاطر وبيان قابلية التطبيق | يسرد الضوابط المختارة وأسباب الاستثناء | الجميع |
| سجل أنشطة المعالجة (جرد البيانات) | ما البيانات، ولماذا، وأين، ومن يستلمها، ومدة الاحتفاظ بها | الجميع |
| تقييمات الأثر على حماية البيانات | مراجعات المعالجة عالية المخاطر | الجهات المتحكمة بصورة رئيسية |
| سجلات الأساس النظامي والموافقة | إثبات صحة الأساس والموافقة | الجهات المتحكمة |
| إشعارات الخصوصية الخارجية | ما يُبلَّغ به الأفراد عند جمع البيانات | الجهات المتحكمة |
| إجراء طلبات أصحاب البيانات وسجلها | التعامل مع طلبات الاطلاع والتصحيح والمحو والاعتراض ضمن مدد زمنية | الجهات المتحكمة؛ ودور داعم للمعالِجة |
| جدول الاحتفاظ والحذف | متى تُمحى البيانات أو تُجهَّل | الجميع |
| اتفاقيات معالجة البيانات وقائمة المعالِجين الفرعيين | شروط التعاقد مع الموردين والعملاء | الجميع؛ ومحورية للمعالِجة |
| سجل النقل عبر الحدود وضماناته | يسجل وجهة البيانات والآلية النظامية | الجميع |
| إجراء اختراق البيانات الشخصية والحوادث وسجلها | الاكتشاف والتقييم والإبلاغ والدروس المستفادة | الجميع |
| سجلات الكفاءة والتدريب | دليل على تدريب الموظفين | الجميع |
| برنامج التدقيق الداخلي وتقاريره | يتحقق من أن النظام يعمل كما صُمم | الجميع |
| محاضر مراجعة الإدارة | قرارات الإدارة العليا بشأن الأداء والموارد | الجميع |
| سجل عدم المطابقة والإجراءات التصحيحية | يتتبع الملاحظات حتى إغلاقها | الجميع |
كيف تتم الشهادة والتدقيق
تمنح الشهادة جهة مستقلة لمنح الشهادات وليس مستشارك. وتسري الشهادة ثلاث سنوات مع مراجعات سنوية بينها.
ما يجب معرفته عن إصدار 2025
تتغير جهات منح الشهادات وقواعد الانتقال مع الإصدار الجديد، لذا اختر جهة منح الشهادة بعناية.
- يجب اعتماد جهات منح الشهادات وفق المعيار الجديد ISO/IEC 27706:2025 قبل أن تتمكن من منح شهادة ISO/IEC 27701:2025.
- سيُنقل حاملو شهادات 2019 إلى إصدار 2025 خلال فترة انتقالية تحددها جهات الاعتماد. وتختلف المواعيد النهائية، لذا اسأل جهة منح الشهادة التي تختارها عن مواعيدها.
- اختر جهة منح شهادات معتمدة من أحد أعضاء المنتدى الدولي للاعتماد لهذا النطاق.
| المرحلة | ما الذي يحدث | النتيجة المعتادة |
|---|---|---|
| الجاهزية قبل التدقيق (اختياري) | تدقيق تجريبي أو داخلي يجريه فريقك أو مستشارك | معالجة الملاحظات قبل التدقيق الفعلي |
| تدقيق المرحلة 1 | يراجع المدقق النطاق والوثائق وتقييم المخاطر والجاهزية | تأكيد الجاهزية أو ملاحظات يجب معالجتها |
| تدقيق المرحلة 2 | فحص حضوري أو عن بُعد للتأكد من عمل الضوابط عمليًا، مع مقابلات الموظفين وأخذ عينات من السجلات | ملاحظات جسيمة وبسيطة وملاحظات للتحسين |
| الإجراءات التصحيحية | تعالج الملاحظات وتقدم الأدلة ضمن المهلة التي تحددها الجهة | إغلاق الملاحظات |
| قرار منح الشهادة | مراجعة مستقلة وإصدار الشهادة | شهادة سارية 3 سنوات |
| تدقيقات المراقبة | تدقيقات جزئية سنوية | استمرار صلاحية الشهادة |
| إعادة إصدار الشهادة | تدقيق كامل قبل نهاية السنة الثالثة | دورة جديدة مدتها 3 سنوات |
المدة والتكلفة
- المدة الإجمالية للمشروع: من 4 إلى 9 أشهر من تحديد النطاق حتى تدقيق الشهادة.
- تعتمد مدة التدقيق على عدد الموظفين وعدد المواقع وتعقيد المعالجة، وتحددها جهة منح الشهادة في عرض السعر.
- أتعابنا الاستشارية تُحدد وفق حجم مؤسستك؛ اطلب عرض سعر بعد تقييم الجاهزية المجاني.
أكثر الأسئلة التي نتلقاها حول ISO 27701
تحدث إلى مستشار من QMet وسنجيبك مباشرة، دون أي التزام.
اطرح سؤالك01 ماذا يعني PIMS؟
نظام إدارة معلومات الخصوصية: السياسات والعمليات والأدوار والضوابط التي تدير البيانات الشخصية طوال دورة حياتها.
02 هل ISO 27701 إلزامي؟
لا. فهو اختياري بموجب معظم أنظمة الخصوصية، لكنه يوفر طريقة معترفًا بها لتنظيم ضوابط الخصوصية لديك وإثباتها.
03 هل نحتاج إلى ISO 27001 أولًا؟
ليس بموجب إصدار 2025 المستقل. ومع ذلك فإن وجود ISO 27001 يسرّع التطبيق لأنه يمكن إعادة استخدام كثير من العمليات.
04 هل يجعلنا ISO 27701 ممتثلين قانونيًا لأنظمة الخصوصية؟
إنه يدعم الامتثال ويوفر الأدلة، لكن الامتثال القانوني يعتمد على كيفية معالجتك للبيانات فعليًا وعلى النظام الذي ينطبق عليك.
05 كم يستغرق؟
عادةً من 4 إلى 9 أشهر من تحديد النطاق حتى تدقيق الشهادة، بحسب الحجم ومستوى النضج.
06 هل ينطبق على الجهات المعالِجة وكذلك المتحكمة؟
نعم. يتضمن المعيار متطلبات للدورين كليهما.
07 ما مدة صلاحية الشهادة؟
ثلاث سنوات مع تدقيقات مراقبة سنوية.
08 ما الفرق بين إصداري 2019 و2025؟
إصدار 2025 معيار مستقل كامل ببنية جديدة متوائمة مع عائلة ISO 27000، ولم تعد الشهادة تعتمد على حيازة ISO 27001.
هل أنت مستعد لبناء نظام إدارة معلومات الخصوصية؟
احجز تقييم جاهزية مجانيًا مدته 30 دقيقة. سنقارن ممارسات الخصوصية الحالية لديك بمتطلبات ISO/IEC 27701 والأنظمة التي تنطبق عليك، ونوضح الخطوات التالية.
بإرسال طلبك فإنك توافق على سياسة الخصوصية لدينا. يكفي الاسم والبريد الإلكتروني للعمل والشركة وعدد الموظفين والدولة لنبدأ.
إخلاء مسؤولية: هذه الصفحة لأغراض المعلومات العامة ولا تُعد استشارة قانونية. ISO علامة تجارية مسجلة للمنظمة الدولية للتوحيد القياسي. QMet غير تابعة لمنظمة ISO أو IEC أو أي جهة منح شهادات ما لم يُذكر خلاف ذلك.