ما هي عقوبات تسريب البيانات الحساسة للعملاء في الأنظمة السعودية؟

حين تُسرَّب بيانات العملاء، يكون السؤال الأول في غرفة الإدارة: ما هي عقوبات تسريب البيانات الحساسة للعملاء في الأنظمة السعودية، ومن يتحملها، الشركة أم الموظف أم المخترق؟ الإجابة أن المسؤولية تتوزع على مستويات عدة، وأن ما تفعله الشركة في الساعات الأولى بعد اكتشاف الحادثة يغيّر حجم الجزاء الذي ستواجهه.

أولًا: ما البيانات «الحساسة» بمفهوم النظام؟

يميّز نظام حماية البيانات الشخصية بين البيانات الشخصية عمومًا وبين البيانات الحساسة، وهي البيانات التي تتعلق بالأصل العرقي أو القبلي، أو المعتقد الديني أو الفكري أو السياسي، أو السوابق الجنائية والأمنية، أو البيانات الحيوية، أو البيانات الوراثية، أو البيانات الائتمانية، أو البيانات الصحية، وبيانات تحديد الموقع، والبيانات التي تدل على أن أحد والدي الفرد أو كليهما مجهول. وتسريب هذه الفئة يستدعي أشد العقوبات في النظام.

غير أن تسريب بيانات «عادية» كالأسماء وأرقام الهواتف والعناوين ليس بلا جزاء؛ فهو مخالفة لالتزام حماية البيانات، ويُعاقب عليه إداريًا، ويفتح باب التعويض. يوضح دليل الامتثال لنظام حماية البيانات التزامات الشركة قبل وقوع الحادثة.

ثانيًا: الجزاءات بموجب نظام حماية البيانات الشخصية

يضع النظام مستويين من الجزاء. المستوى الأول جنائي في المادة الخامسة والثلاثين: يُعاقب كل من أفصح عن بيانات حساسة أو نشرها بقصد الإضرار بصاحبها أو بقصد تحقيق منفعة له أو لغيره، بالسجن مدة لا تزيد على سنتين أو بغرامة لا تزيد على ثلاثة ملايين ريال أو بهما معًا. هذا النص يستهدف السلوك المتعمد، كالموظف الذي يبيع قاعدة بيانات العملاء، أو الشركة التي تفصح عن بيانات صحية لجهة تسويقية.

المستوى الثاني إداري في المادة السادسة والثلاثين: يُعاقب كل من يخالف بقية أحكام النظام بالإنذار أو بغرامة لا تزيد على خمسة ملايين ريال، ويجوز مضاعفة الغرامة عند التكرار. وهنا تقع معظم حوادث التسرب غير المتعمدة: ضعف التدابير الأمنية، أو التأخر في الإبلاغ، أو مشاركة البيانات مع مزود دون عقد معالجة. وقد أعلنت سدايا في يونيو 2026 أن لجان النظر في المخالفات أوقعت بالاستناد إلى هذه المادة عقوبات على جهات لم تبلغ عن حوادث التسرب خلال 72 ساعة ولم تتخذ التدابير اللازمة لحماية البيانات.

وتنظر في المخالفات لجنة مختصة في الهيئة السعودية للبيانات والذكاء الاصطناعي، ويجوز الاعتراض على قراراتها أمام المحكمة الإدارية. كما يجوز للمحكمة الحكم بمصادرة الأموال المتحصلة من المخالفة، ونشر ملخص الحكم على نفقة المخالف في الحالات التي يحددها النظام.

ثالثًا: المسؤولية الجنائية بموجب نظام مكافحة جرائم المعلوماتية

إذا كان التسريب نتيجة اختراق أو وصول غير مشروع، فإن الفاعل يواجه نظام مكافحة جرائم المعلوماتية، الذي يعاقب في المادة الخامسة بالسجن مدة لا تزيد على أربع سنوات وغرامة لا تزيد على ثلاثة ملايين ريال أو بإحداهما، على الدخول غير المشروع لإلغاء بيانات خاصة أو حذفها أو تدميرها أو تسريبها أو إتلافها أو تغييرها. أما الدخول غير المشروع إلى بيانات بنكية أو ائتمانية أو بيانات أوراق مالية فيدخل في المادة الرابعة بعقوبة تصل إلى السجن ثلاث سنوات وغرامة مليوني ريال.

وتُضاعف الخطورة إذا اقترنت الجريمة بظروف مشددة في المادة الثامنة، كارتكابها من خلال عصابة منظمة أو استغلال وظيفة عامة، فلا تقل العقوبة عندئذ عن نصف حدها الأعلى. ويلاحظ أن الموظف الداخلي الذي يتجاوز صلاحياته للوصول إلى بيانات ليس مخولًا بها قد يُعد «داخلًا دخولًا غير مشروع» بالمعنى الوارد في النظام. تفاصيل أوسع في مقال عقوبات الجرائم المعلوماتية والابتزاز الإلكتروني.

مصدر المسؤولية	من يتحملها	الجزاء أو الأثر	الجهة
نظام حماية البيانات — المادة 35	من أفصح عن بيانات حساسة بقصد الإضرار أو المنفعة	سجن لا يزيد على سنتين و/أو غرامة لا تزيد على 3 ملايين ريال	النيابة العامة والمحكمة الجزائية
نظام حماية البيانات — المادة 36	جهة التحكم أو المعالجة المخالفة	إنذار أو غرامة لا تزيد على 5 ملايين ريال، تُضاعف عند التكرار	لجنة المخالفات في سدايا، والاعتراض أمام المحكمة الإدارية
نظام مكافحة جرائم المعلوماتية — المادة 5	المخترق أو من يصل دون تصريح لتسريب البيانات	سجن لا يزيد على 4 سنوات و/أو غرامة لا تزيد على 3 ملايين ريال	النيابة العامة والمحكمة الجزائية
المسؤولية المدنية	الشركة (وقد ترجع على الموظف أو المزود)	تعويض الضرر المادي والمعنوي	المحكمة المختصة
الأنظمة القطاعية	المنشآت المالية ومقدمو خدمات الاتصالات والصحة وغيرها	جزاءات إدارية وفق أطر الجهة المنظمة	البنك المركزي، هيئة الاتصالات والفضاء والتقنية، وغيرها

رابعًا: التعويض المدني للعملاء المتضررين

يقرر نظام حماية البيانات حق كل من أصابه ضرر نتيجة مخالفة أحكامه في المطالبة بالتعويض أمام المحكمة المختصة بما يتناسب مع الضرر. ويضيف نظام المعاملات المدنية قواعد عامة للمسؤولية عن الفعل الضار والإخلال بالعقد، فالعميل الذي تعاقد مع الشركة على أساس التزامها بالسرية يملك دعوى تعاقدية، ومن أصابه ضرر دون عقد يملك دعوى الفعل الضار. وقد تتجمع هذه الدعاوى عند تضرر عدد كبير من العملاء من حادثة واحدة.

وتُحتسب في التعويض عناصر مثل الخسائر المالية المباشرة (الاحتيال على الحساب)، وتكاليف تدارك الضرر، والضرر المعنوي من نشر بيانات صحية أو أسرية. وينبغي لعقود الشركة مع مزودي الخدمات التقنية أن تحدد من يتحمل التعويض عند إخلال المزود، وإلا تحملته الشركة أمام العملاء ثم بحثت عن طريق الرجوع.

ومن الناحية الإجرائية، لا يشترط لرفع دعوى التعويض انتظار قرار لجنة المخالفات، لكن القرار الإداري الذي يثبت المخالفة يُسهّل على المتضرر إثبات الخطأ، ويبقى عليه إثبات الضرر وعلاقة السببية.

خامسًا: الالتزامات القطاعية التي تشدد الجزاء

تفرض بعض الجهات المنظمة على المنشآت التابعة لها أطرًا أمنية مستقلة؛ فالبنك المركزي السعودي يُلزم المنشآت المالية بإطار الأمن السيبراني الخاص به والإبلاغ عن الحوادث، وهيئة الاتصالات والفضاء والتقنية تنظم حماية بيانات مستخدمي الاتصالات، والهيئة الوطنية للأمن السيبراني تصدر ضوابط للجهات الخاضعة لها. وأي حادثة في هذه القطاعات تُقيَّم على أساس النظام العام والإطار القطاعي معًا، كما يوضح مقال التزامات شركات التقنية المالية.

وفي التجارة الإلكترونية ينص نظام التجارة الإلكترونية في مادته الخامسة على أنه لا يجوز لموفر الخدمة استعمال بيانات المستهلك الشخصية لأغراض غير مصرح بها أو الإفصاح عنها للغير دون موافقته، وعليه حمايتها طوال مدة احتفاظه بها، بما يجعل التسريب مخالفة لنظامين في وقت واحد.

ويختلف تقدير الجزاء بحسب ما إذا كانت الشركة قد وثّقت التزامها بالتدابير المعقولة قبل الحادثة: سياسات مكتوبة، وصلاحيات مقيدة، وتشفير، وعقود معالجة سارية. فالشركة التي تملك هذه الوثائق تناقش أمام اللجنة واقعةً خارجة عن إرادتها، أما التي لا تملكها فتناقش إخلالًا بالتزام أصلي، وهذا فرق كبير في النتيجة.

ماذا تفعل الشركة في أول 72 ساعة؟

الاحتواء الفوري: عزل النظام المتأثر، وتغيير بيانات الاعتماد، وحفظ السجلات الرقمية دون محوها لأنها دليل.
تشكيل خلية قرار: الإدارة التنفيذية، تقنية المعلومات، مسؤول حماية البيانات، المستشار القانوني؛ وتوثيق كل قرار بوقته.
تقييم أولي: ما فئات البيانات المتأثرة؟ هل بينها بيانات حساسة؟ كم عدد الأفراد؟ ما احتمال الضرر؟
الإبلاغ لسدايا خلال 72 ساعة: من العلم بالحادثة، حتى لو لم يكتمل التحقيق، مع تحديث لاحق.
إبلاغ أصحاب البيانات: إذا كانت الحادثة تلحق بهم ضررًا، بلغة واضحة تتضمن ما يمكنهم فعله لحماية أنفسهم.
البلاغ الجنائي: إذا كان التسريب نتيجة اختراق أو فعل متعمد، فيُبلَّغ الجهات الأمنية والنيابة العامة.
إشعار الجهة القطاعية: للمنشآت المالية أو الاتصالات أو الصحة وفق أطرها.
مراجعة العقود: تفعيل بنود الإبلاغ والتعويض مع المزود المتسبب، وتوثيق المطالبة.
التصحيح الجذري: معالجة الثغرة وتوثيق الدروس المستفادة، لأن التكرار يضاعف الغرامة.

هل يُخفف الإبلاغ المبكر العقوبة؟

النظام لا يَعِد بإعفاء تلقائي، لكن سرعة الإبلاغ والتعاون مع الجهة المختصة وتدارك الضرر من العناصر التي تنظر فيها اللجنة عند تقدير الجزاء ضمن الحد الأقصى، بينما يحوّل التأخر في الإبلاغ الحادثةَ من واقعة ربما لا يُسأل عنها من اتخذ التدابير المعقولة، إلى مخالفة مستقلة بذاتها. وفي الجانب الجنائي، يجيز نظام مكافحة جرائم المعلوماتية في مادته الحادية عشرة للمحكمة إعفاء الجاني الذي يبادر بإبلاغ السلطات قبل علمها بالجريمة وقبل وقوع الضرر، وهو ما قد يهم الموظف المتورط لا الشركة المتضررة.

أخطاء شائعة

انتظار اكتمال التحقيق الداخلي قبل الإبلاغ، فتفوت مهلة الـ72 ساعة وتتحول الحادثة إلى مخالفتين.
محو السجلات أو إعادة تهيئة الخوادم «لإيقاف الهجوم»، فيضيع الدليل الذي يحتاجه البلاغ الجنائي والدفاع أمام اللجنة.
افتراض أن المسؤولية على مزود الاستضافة وحده، بينما جهة التحكم هي المسؤولة أمام العملاء والجهة المختصة.
تصنيف البيانات الصحية أو الائتمانية أو بيانات الموقع كبيانات عادية، فتُقدَّر الحادثة بأقل من خطورتها.
إرسال إشعار عام للعملاء يقلل من شأن الحادثة، فيصبح دليلًا على عدم الشفافية في دعوى التعويض.
عدم وجود عقد معالجة يحدد من يبلغ ومن يعوض، فتتحمل الشركة كل شيء.

متى تحتاج إلى محامٍ؟

تحتاج إليه في اللحظة التي تكتشف فيها الحادثة، لا بعد وصول قرار اللجنة؛ فصياغة بلاغ سدايا وإشعار العملاء والبلاغ الجنائي والمطالبة من المزود تحتاج إلى تنسيق قانوني واحد. تقدم شركة محمود عادل الثمالي للمحاماة خدمات إدارة الاستجابة القانونية لحوادث التسرب، والتمثيل أمام لجان المخالفات والمحكمة الإدارية، والدفاع في دعاوى التعويض ضمن خدمات حماية البيانات. احجز استشارة.

هذا المقال للتوعية العامة ولا يُعد استشارة قانونية لحالتك.

أسئلة شائعة

ما أقصى غرامة على تسريب بيانات العملاء في السعودية؟

بموجب نظام حماية البيانات الشخصية، تصل الغرامة الإدارية على مخالفة أحكام النظام إلى خمسة ملايين ريال، ويجوز مضاعفتها عند تكرار المخالفة. أما الإفصاح عن البيانات الحساسة أو نشرها بقصد الإضرار أو تحقيق منفعة فهو جريمة عقوبتها السجن مدة لا تزيد على سنتين أو غرامة لا تزيد على ثلاثة ملايين ريال أو بهما معًا، إضافة إلى ما قد تفرضه الجهات القطاعية.

هل تُعاقب الشركة إذا كان التسريب بسبب هجوم إلكتروني خارجي؟

المخترق يُسأل جنائيًا بموجب نظام مكافحة جرائم المعلوماتية، لكن الشركة بوصفها جهة تحكم تبقى مسؤولة عن اتخاذ التدابير التنظيمية والتقنية اللازمة لحماية البيانات وعن الإبلاغ عن الحادثة خلال 72 ساعة. فإذا ثبت أنها لم تتخذ تدابير معقولة أو تأخرت في الإبلاغ فقد تُعاقب إداريًا وتُلزم بالتعويض، حتى لو كان الفاعل طرفًا خارجيًا.

هل يستطيع العميل المتضرر رفع دعوى تعويض على الشركة؟

نعم. يقرر نظام حماية البيانات الشخصية لكل من أصابه ضرر نتيجة مخالفة أحكامه الحق في المطالبة بالتعويض أمام المحكمة المختصة، وتسري إلى جانبه القواعد العامة في نظام المعاملات المدنية عن الإخلال بالعقد والفعل الضار. ويشمل التعويض الخسائر المادية المباشرة والضرر المعنوي بحسب ما يثبته المتضرر.

هل يعاقب الموظف الذي يسرّب بيانات عملاء الشركة؟

نعم، فالموظف الذي يفصح عن بيانات حساسة بقصد الإضرار أو تحقيق منفعة يواجه عقوبة المادة الخامسة والثلاثين من نظام حماية البيانات الشخصية، وإذا وصل إلى البيانات بتجاوز صلاحياته فقد يُسأل أيضًا بموجب نظام مكافحة جرائم المعلوماتية. ويبقى للشركة حق الرجوع عليه بما دفعته من تعويضات، وتطبيق الجزاءات التأديبية وفق نظام العمل ولائحتها الداخلية.

المصادر

تحتاج إلى رأي قانوني في حالتك؟

احجز استشارة مع الفريق المختص، ويصل طلبك مباشرة إلى المحامي المسؤول عن القطاع.

احجز استشارة واتساب