إقامة البيانات (Data Residency) في السعودية: ماذا تعني للجهات الحكومية؟

مع تسارع اعتماد الجهات الحكومية السعودية على الحلول السحابية وأنظمة إدارة البيانات المركزية، يبرز مصطلح "إقامة البيانات" (Data Residency) بشكل متكرر في نقاشات اختيار البنية التحتية. لكن الالتباس بينه وبين مفهوم قريب هو "سيادة البيانات" (Data Sovereignty) يؤدي أحياناً لقرارات تصميم غير دقيقة. الفرق بين المفهومين ليس أكاديمياً — بل يحدد بنود عقد فعلية مع مزوّدي الخدمة.

إقامة البيانات مقابل سيادة البيانات: التعريف الدقيق

"إقامة البيانات" تعني ببساطة الموقع الجغرافي الفعلي لتخزين البيانات — هل هي داخل حدود المملكة أم خارجها؟ أما "سيادة البيانات" فمفهوم أوسع يشمل أي إطار قانوني يحكم البيانات فعلياً، أي: القوانين التي تنطبق عليها بصرف النظر عن موقعها. بيانات مخزَّنة داخل المملكة تخضع تلقائياً لإقامة بيانات محلية، لكن سؤال السيادة يمتد لمن يملك حق الوصول إليها قانونياً، وتحت أي ظرف، وهل يمكن لجهة أجنبية المطالبة بها استناداً لقوانين بلد المزوّد.

لماذا يهم هذا الفرق الجهات الحكومية تحديداً؟

جهة حكومية قد تتعاقد مع مزوّد سحابي يستضيف بياناتها فعلياً داخل مراكز بيانات موجودة في المملكة (إقامة بيانات محلية مُحققة)، لكن العقد أو ملكية المزوّد قد تُخضع تلك البيانات لقوانين بلد آخر يمنح ذلك البلد حق الوصول في ظروف معينة (سيادة بيانات غير مكتملة). هذا الفرق تحديداً هو ما يجب أن يفحصه أي فريق قانوني وتقني معاً قبل توقيع عقد استضافة بيانات حساسة أو مصنَّفة.

السياق التنظيمي العام في المملكة

المملكة تتبنى توجهاً عاماً واضحاً نحو "السحابة أولاً" في القطاع الحكومي، بالتوازي مع متطلبات تصنيف بيانات تحدد أي فئات من البيانات تتطلب مستوى حماية وإقامة أعلى من غيرها. الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) تلعب دوراً محورياً في وضع أطر حوكمة البيانات على المستوى الوطني، بينما تتولى الهيئة الوطنية للأمن السيبراني (NCA) الجانب المتعلق بحماية هذه البيانات تقنياً. أي جهة حكومية تخطط لنظام جديد يجب أن تبدأ بتصنيف بياناتها أولاً، قبل اختيار أي بنية استضافة، لأن مستوى التصنيف هو ما يحدد القيود المطلوبة على الموقع والوصول.

أسئلة عملية قبل اختيار بنية الاستضافة

• ما تصنيف البيانات التي سيُخزّنها النظام، وهل يفرض هذا التصنيف قيداً صريحاً على موقع الاستضافة؟
• هل مراكز بيانات المزوّد المقترح موجودة فعلياً وبشكل دائم داخل المملكة، لا كخطة مستقبلية؟
• ما القوانين التي تحكم عقد المزوّد نفسه، وهل تمنح جهات خارجية حق وصول محتمل؟
• من يملك مفاتيح التشفير فعلياً — الجهة الحكومية أم المزوّد — وهل يمكن نقلها عند إنهاء التعاقد؟

العلاقة بين إقامة البيانات وحوكمة البيانات الأوسع

إقامة البيانات ليست قراراً معزولاً — بل جزء من منظومة حوكمة بيانات أوسع تشمل تصنيف البيانات، وسياسات الوصول، ودورة حياة البيانات من الإنشاء وحتى الأرشفة أو الإتلاف. جهة تُعالج إقامة البيانات كبند تقني منفصل عن حوكمة بياناتها العامة تجازف بفجوات بين ما تنص عليه سياستها وما ينفّذه نظامها فعلياً.

أثر ذلك على قرارات الانتقال السحابي

عند التخطيط لأي مشروع انتقال سحابي حكومي، يجب أن يكون تصنيف البيانات ومتطلبات إقامتها من أوائل المدخلات في تصميم البنية — لا خطوة تدقيق لاحقة بعد اختيار المزوّد. هذا يحدد مباشرة ما إذا كانت السحابة العامة مناسبة لبيانات معينة، أو ما إذا كانت تتطلب نموذجاً هجيناً أو خاصاً يضمن بقاء البيانات الحساسة داخل بيئة مقيَّدة الوصول.

الخلاصة

إقامة البيانات وسيادتها مفهومان مترابطان لكنهما ليسا مترادفين، والخلط بينهما يؤدي لقرارات بنية تحتية غير دقيقة. البداية الصحيحة لأي جهة حكومية تخطط لنظام جديد أو انتقال سحابي هي تصنيف البيانات أولاً، ثم بناء متطلبات الإقامة والسيادة على أساس هذا التصنيف، لا العكس.