سياسة خصوصية وحماية بيانات المتعلمين في بيئة التعليم الالكتروني

المصطلحات والتعريفات

يقصد بالكلمات والمصطلحات الواردة أدناه -أينما وردت في هذه السياسة- المعاني الموضحة أمام كل منها، مالم يقتض سياق النص خلاف ذلك:

تأتي هذه السياسة استجابةً للمتطلبات والاعتبارات الآتية:

• متطلبات نظام حماية البيانات الشخصية ولائحته التنفيذية، الذي ينظم جمع البيانات ومعالجتها وحمايتها داخل المملكة.

• ضوابط وسياسات سدايا للبيانات والخصوصية ومشاركة البيانات.

• التحول في نماذج التعليم الرقمي، وما نتج عنه من تطور في استخدام تطبيقات الذكاء الاصطناعي المخصصة، إضافة إلى التوسّع في استخدام بيانات المتعلمين، بما في ذلك البيانات الحساسة عن المتعلم.

• خصوصية الأطفال والمتعلمين القُصّر، بوصفهم فئةً حساسة عالميًا تتطلب معايير أشد لحماية خصوصيتهم وحدّ التتبع والتحليل السلوكي لهم.

• تعزيز الثقة في المنصات التعليمية، وضمان أن جمع البيانات واستخدامها يتم بشكل مشروع وعادل وشفاف.

• مواجهة مخاطر سوء استخدام البيانات، أو تتبع المتعلمين لأغراض غير تعليمية، أو استخدام أنظمة الذكاء الاصطناعي دون ضوابط كافية.

• ضرورة وجود سياسة مرجعية للالتزام بها من قبل الجهات التعليمية ومقدمي الخدمات، وتدعم جهود التدقيق والرقابة والحوكمة.

• حماية بيانات المتعلمين من المعالجة غير النظامية أو غير المصرّح بها، والحد من المخاطر المرتبطة بها.

• وضع إطار تنظيمي شامل لعمليات جمع بيانات المتعلمين واستخدامها وتخزينها ونقلها ومشاركتها وحذفها.

• ضمان أن تكون ممارسات معالجة البيانات عادلة وشفافة ومتناسبة مع الأغراض التعليمية، وألا تُستخدم البيانات لأغراض تسويقية أو تجارية غير مصرح بها.

• تنظيم استخدام التقنيات التعليمية والتحليلات التعليمية والذكاء الاصطناعي في معالجة بيانات المتعلمين، مع ضمان التدخل البشري ومنع التحيّز والقرارات الآلية الجائرة.

• تعزيز حقوق الخصوصية للمتعلمين، وتمكينهم (وأولياء أمورهم عند الاقتضاء) من ممارسة حقوقهم المتعلقة ببياناتهم.

• دعم الجهات التعليمية في بناء بيئة تعليمية رقمية آمنة تحترم الخصوصية، وتتماشى مع الأنظمة الوطنية والمعايير العالمية.

• الجهات الحكومية والخاصة وغير الربحية المحلية والدولية الممارسة لأنشطة التعليم والتدريب الإلكتروني في المملكة العربية السعودية.

• المنصات وأنظمة التعليم الإلكتروني والتطبيقات التعليمية والخدمات الرقمية المستخدمة لأغراض تعليمية أو تدريبية.

• مقدمي الخدمات التقنية والتعليمية الذين يقومون بمعالجة بيانات المتعلمين لصالح الجهات التعليمية.

• بيانات المتعلمين التي تُجمع أو تُعالج أو تُخزّن أو تُنقل أو تُشارك ضمن منظومة التعليم الإلكتروني، بما في ذلك البيانات الشخصية والتعليمية والسلوكية والتقنية والحساسة.

• جميع عمليات المعالجة (جمع، تسجيل، تنظيم، تخزين، تحليل، مشاركة، نقل، حذف، أو إتلاف) التي تُجرى على بيانات المتعلمين داخل المملكة، أو خارجها عند السماح النظامي بذلك وبما يتوافق مع المتطلبات التنظيمية.

• ​نظام حماية البيانات الشخصية ولائحته التنفيذية.

• سياسات وضوابط سدايا للبيانات والخصوصية ومشاركة البيانات والذكاء الاصطناعي.

• السياسات الوطنية للأمن السيبراني.

• لائحة التعليم الإلكتروني بالمملكة العربية السعودية.

•  المعايير والممارسات العالمية ذات العلاقة بحماية خصوصية المتعلمين في التعليم الرقمي، مثل:

• ISO/IEC 27701 Privacy Information Management

• NIST Privacy Framework

• OECD Privacy Principles

• UNICEF & EdTech Privacy Standards

• تُعد هذه السياسة إطارًا مرجعيًا عامًا للجهات، ويجب على كل جهة وضع سياسات وإجراءات داخلية تفصيلية تتسق معها ومع الأنظمة الوطنية.

• تسود أحكام الأنظمة والتشريعات الوطنية ذات العلاقة في حال التعارض بينها وبين هذه السياسة.

• تُعد هذه السياسة مكملة – وليست بديلة – للسياسات واللوائح الأخرى ذات العلاقة بحوكمة البيانات والأمن السيبراني وحماية الطفل وسياسات الاستخدام المقبول.

• تلتزم الجهات التعليمية بتضمين متطلبات هذه السياسة في عقودها واتفاقياتها مع مقدمي الخدمات التقنية والتعليمية.

• يجب على الجهات التعليمية اعتماد نماذج واضحة للحوكمة والامتثال والمتابعة لضمان تطبيق أحكام هذه السياسة وقياس نضج الخصوصية لديها.

تصنّف بيانات المتعلمين إلى الفئات التالية:

• بيانات تعريفية شخصية: مثل: الاسم، الهوية، رقم السجل المدني أو الإقامة، بيانات الاتصال، عنوان البريد الإلكتروني، رقم الجوال.

• بيانات تعليمية: مثل: الدرجات، السجلات الأكاديمية، نتائج الاختبارات، الواجبات، التفاعل مع الأنشطة التعليمية، خطط الدعم الأكاديمي.

• بيانات سلوكية تعليمية: مثل: مدة الاستخدام، عدد مرات الدخول، مستوى التفاعل مع المحتوى، الأنشطة الصفية الإلكترونية، السلوك الرقمي أثناء التعلم.

• بيانات تقنية: مثل: السجلات التقنية، عناوين الأجهزة (IP)، نوع الجهاز والمتصفح، بيانات ملفات الارتباط (Cookies)، وقت الدخول والخروج.

• بيانات حساسة للمتعلمين: مثل: بيانات الإعاقة، الاحتياجات التعليمية الخاصة، البيانات الصحية المرتبطة بالتعلم، البيانات السلوكية التفصيلية التي يمكن أن تُستخدم لتقييم نفسي أو اجتماعي. ويُفرض مستوى حماية أعلى على البيانات الحساسة والسلوكية،

 ويُمنع جمعها أو معالجتها إلا عند الضرورة وبضوابط إضافية.​

• الحد الأدنى من جمع البيانات: يحظر جمع أي بيانات لا تخدم الهدف التعليمي أو الغرض النظامي المصرّح به.

• الاستخدام العادل (Fair Use): يُمنع استخدام بيانات المتعلمين في الإعلانات أو الأغراض التسويقية أو التجارية أو تحليل السلوك الاستهلاكي.

• الشفافية: يجب توضيح طريقة جمع البيانات وأغراض استخدامها، وبيان حقوق المتعلم ووسائل ممارستها بلغات وصيغ واضحة ومناسبة للفئة العمرية.

• الخصوصية حسب التصميم والافتراضية (Privacy by Design & Default):

• تُدمج اعتبارات الخصوصية في تصميم المنصات التعليمية من البداية.

• تُضبط الإعدادات الافتراضية بحيث تحمي الخصوصية (أقل قدر من مشاركة البيانات افتراضيًا).

• التدخل البشري: لا يُسمح لأنظمة الذكاء الاصطناعي أو التحليلات الآلية باتخاذ قرارات تعليمية حساسة تؤثر في تقييم المتعلم أو نجاحه أو فرصه التعليمية دون تدخل ومراجعة بشرية.

• حماية بيانات الأطفال: تُطبق معايير إضافية على بيانات المتعلمين القُصّر، بما في ذلك اشتراط موافقة ولي الأمر حيث يلزم، ومنع التتبع غير التعليمي أو التحليل السلوكي العميق.

• منع إعادة الاستخدام غير المصرّح به (Secondary Use): يُمنع إعادة استخدام بيانات المتعلمين لأغراض أخرى غير تلك المحددة في وقت الجمع، إلا بعد الحصول على موافقة جديدة أو وجود سند نظامي.

• يجب الإفصاح بوضوح عند استخدام أي نظام ذكاء اصطناعي في تحليل بيانات المتعلمين، أو تخصيص المحتوى لهم، أو تقييم أدائهم.

• يجب ضمان خلو الأنظمة من التحيّز ضد فئة من المتعلمين (مثل: ذوي الإعاقة، الفئات الأقل استخدامًا للتقنية، الفئات الاجتماعية المختلفة)، وإخضاع النماذج لمراجعات دورية للتحقق من العدالة.

• يجب توفير خيار “مراجعة بشرية” للمتعلم (أو ولي أمره) في حال الاعتراض على نتيجة أو توصية صادرة عن نظام ذكاء اصطناعي.

• تمنع الأنظمة من اتخاذ قرارات تؤثر على مستقبل المتعلم (مثل: النجاح أو الرسوب أو الحرمان من فرصة تعليمية) بدون تدخل بشري مسؤول.

• لا يجوز استخدام البيانات الحساسة في نماذج الذكاء الاصطناعي إلا وفق الضوابط المنظمة لذلك مدعومة بتطبيق ضوابط إضافية مثل إخفاء الهوية والتجريد، والاقتصار على الغرض التعليمي فقط.

• يمنع استخدام بيانات المتعلمين لتطوير نماذج ذكاء اصطناعي تجارية أو عامة خارج إطار المنظومة التعليمية، دون موافقة صريحة ومحددة، ووفق ما تسمح به الأنظمة.

• حق الاطلاع: الاطلاع على بياناتهم الشخصية والتعليمية والسلوكية المخزّنة لدى الجهة وفي المنصات ذات الصلة.

• حق التصحيح والتحديث: طلب تصحيح أي بيانات غير دقيقة أو غير مكتملة أو قديمة.

• حق الحذف (أو الإخفاء عند الاقتضاء): طلب حذف البيانات أو إخفاء هويتها بعد انتهاء الغرض منها، في الحدود التي يسمح بها النظام.

• حق سحب الموافقة: سحب الموافقة على المعالجة المستقبلية للبيانات التي تستند إلى الموافقة، مع بيان أثر ذلك على الخدمات التعليمية إن وجد.

• حق تقييد المعالجة: طلب تقييد معالجة بياناتهم في حالات معينة، مثل وجود نزاع حول دقة البيانات.

• حق الاعتراض: الاعتراض على استخدام البيانات لأغراض التحليلات السلوكية غير الضرورية أو لأغراض يُعدّها المتعلم أو ولي أمره غير ملائمة.

• حق تقديم الشكاوى: تقديم شكاوى للجهات التعليمية، أو للمركز، أو للجهات التنظيمية المختصة، في حال الاعتقاد بوجود انتهاك لخصوصيتهم أو سوء استخدام لبياناتهم.​
  

• اعتماد سياسة خصوصية داخلية وإجراءات تفصيلية لحماية بيانات المتعلمين تتسق مع هذه السياسة والأنظمة الوطنية.

• الامتثال لضوابط الذكاء الاصطناعي وحماية بيانات المتعلمين، بما في ذلك مراقبة استخدام الأدوات، وتقييم مخاطر الخصوصية، وضمان عدم تجاوز المعالجة للأغراض التعليمية.

• إجراء تقويم دوري لمخاطر الخصوصية المرتبطة بأنظمتها التعليمية وخدماتها الرقمية.

• ضمان تدريب العاملين – ولا سيما منسقي التعلم الإلكتروني وفرق التقنية والدعم – على مبادئ الخصوصية وحماية البيانات.

• مراقبة التزام مقدمي الخدمة بعقود معالجة البيانات، ومراجعة تقارير الامتثال ذات الصلة.

• تطبيق ضوابط صارمة عند استخدام أدوات تحليل سلوك المتعلم (Learning Analytics)، والحد من التفاصيل التي قد تؤدي إلى تقييم نفسي أو اجتماعي غير مبرر.

• إجراء تقييم أثر الخصوصية (Privacy Impact Assessment – PIA) قبل إطلاق أي مشروع جديد أو تحديث جوهري يمس بيانات المتعلمين أو طريقة معالجتها.

• الالتزام بعقود معالجة البيانات (DPA) التي تحدد نطاق المعالجة وأغراضها وضوابطها، وألا يتجاوز استخدام البيانات ما هو منصوص عليه.

• منع إعادة استخدام بيانات المتعلمين أو بيعها أو دمجها مع مصادر بيانات أخرى لأغراض تجارية أو تسويقية.

• عدم استخدام بيانات المتعلمين لتدريب نماذج ذكاء اصطناعي عامة أو تجارية دون موافقة صريحة من المتحكم بالبيانات، وبما يتفق مع الأنظمة.

• تطبيق ضوابط الأمن السيبراني المعتمدة، بما يشمل التشفير، وضبط الوصول، والتحديثات الأمنية الدورية.

• استضافة البيانات داخل المملكة متى تطلبت الأنظمة ذلك أو عند النص على ذلك في العقود والاتفاقيات.

• الإبلاغ الفوري للجهة عن أي حادثة أمنية أو خرق أو تسريب لبيانات المتعلمين، والتعاون في إجراءات الاحتواء والمعالجة.

• وجود أساس نظامي أو متطلب تشريعي يجيز المشاركة.

• الحصول على موافقة صريحة من المتعلم أو ولي أمره (في حال كونه قاصرًا)، عند عدم وجود أساس نظامي كافٍ.

• المشاركة لأغراض بحثية أو إحصائية أو تحسين جودة التعليم، مع الالتزام بضوابط تجريد الهوية وإخفائها.

• وعند مشاركة بيانات المتعلمين، يجب الالتزام بالضوابط التالية:

• - مشاركة الحد الأدنى من البيانات اللازمة لغرض المشاركة.
• - تطبيق التشفير أثناء نقل البيانات بين الأنظمة والجهات.
• - إخفاء أو تجريد الهوية – متى كان ذلك ممكنًا – عند الاستخدام البحثي أو الإحصائي.
• - منع الطرف الثالث من إعادة استخدام البيانات لأي غرض آخر، أو دمجها مع مصادر بيانات خارجية، أو الاحتفاظ بها بعد انتهاء الغرض، إلا وفق ما يجيزه العقد والنظام.

• الإفصاح بوضوح عن ملفات الارتباط (Cookies) وتقنيات التتبع المستخدمة، وبيان أغراضها.

• تعطيل جميع أدوات التتبع غير التعليمية افتراضيًا، وترك تفعيلها لخيارات المتعلم أو ولي الأمر (عند الاقتضاء).

• تمكين المتعلم من إدارة خيارات التتبع (قبول/رفض/تقييد بعض الأنواع).

• حظر استخدام أدوات التسويق والتحليل التجاري أو الإعلاني التي تعتمد على بيانات المتعلمين وسلوكهم في المنصة التعليمية.

• تُخزّن بيانات المتعلمين في بيئة آمنة ومتوافقة مع سياسات الأمن السيبراني الوطنية.

• يُراعى في التخزين: التشفير، وضبط الصلاحيات، وسجلات الدخول، والنسخ الاحتياطي الآمن، وخطط التعافي من الكوارث.

• تحدد الجهة – في سياستها الداخلية – مدد الاحتفاظ حسب أنواع البيانات (تعريفية، تعليمية، سلوكية، تقنية، حساسة)، على ألا تتجاوز ما يقرره النظام، وأن تُحذف أو تُزال هويتها عند انتهاء الغرض منها، مع استخدام وسائل آمنة عند الإتلاف أو الإزالة.

• تتحمل الجهة مسؤولية الامتثال لأحكام هذه السياسة وللأنظمة والتشريعات الصادرة من الجهات التنظيمية ذات العلاقة.

• يُعدّ الالتزام بأحكام هذه السياسة ومتطلباتها شرطًا ملزمًا للترخيص والمتابعة الدورية للجهات التعليمية ومقدمي الخدمات، ويُؤثّر بشكل مباشر في نتائج تقييم الجودة واستمرار الترخيص عند حالات عدم الامتثال.

• تلتزم الجهة بإدارة سجل بحالات عدم الامتثال، والإجراءات التصحيحية المتخذة، والمتابعة حتى الإغلاق.

• يخضع عدم الامتثال لأحكام هذه السياسة للإجراءات النظامية المعمول بها، وقد يترتب عليه تطبيق جزاءات أو متطلبات تصحيحية وفق ما تقرره الجهات التنظيمية.