دليل الامتثال الكامل لنظام حماية البيانات الشخصية السعودي (PDPL)

يسأل كثير من مجالس الإدارات والمديرين التنفيذيين سؤالًا واحدًا: ماذا يعني الامتثال لنظام حماية البيانات الشخصية السعودي (PDPL) عمليًا، وما الذي يجب أن يكون موجودًا في الشركة اليوم حتى لا تُفاجأ بقرار من لجنة المخالفات؟ هذا الدليل يجيب بترتيب العمل نفسه: من أين تبدأ، وما الوثائق المطلوبة، وما الالتزامات المستمرة، وأين تقع الأخطاء عادة.

الإطار النظامي: ما هو نظام حماية البيانات الشخصية ومن يطبقه؟

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وعُدّل في عام 1444هـ قبل دخوله حيز التنفيذ، وصدرت له لائحة تنفيذية ولائحة لنقل البيانات الشخصية خارج المملكة. وعُيّنت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) جهةً مختصة بتطبيقه، ويتبع لها المكتب الوطني لإدارة البيانات الذي يُصدر الأدلة والقواعد التفصيلية.

يطبق النظام على أي معالجة لبيانات شخصية تجري في المملكة بأي وسيلة، وعلى معالجة بيانات المقيمين فيها من جهات خارج المملكة. أي أن المتجر الإلكتروني، والعيادة، وشركة التوظيف، والتطبيق الناشئ، والشركة العائلية التي تحتفظ ببيانات موظفيها، كلها «جهات تحكم» بمفهوم النظام ما دامت تحدد غرض المعالجة وطريقتها.

ومنح المرسوم الملكي جهات التحكم مهلة انتقالية لتوفيق أوضاعها، وقد انتهت تلك المهلة. والمرحلة الحالية، وفق ما نُشر حتى أكتوبر 2026، هي مرحلة إنفاذ فعلي: أعلنت سدايا في يونيو 2026 صدور قرارات من لجان النظر في المخالفات بحق جهات خالفت النظام، شملت الإنذار والغرامة، في وقائع منها التسويق المباشر دون موافقة صريحة، وعدم الإبلاغ عن حوادث التسرب خلال 72 ساعة، وعدم تعيين مسؤول حماية البيانات رغم وجوب تعيينه.

الركيزة الأولى: أساس نظامي لكل معالجة

القاعدة في المادة الخامسة من النظام أنه لا تجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا بموافقة صاحبها، وله الرجوع عن موافقته في أي وقت. ثم تضع المادة السادسة الاستثناءات التي تجيز المعالجة دون موافقة، ومنها: أن تحقق المعالجة مصلحة متحققة لصاحب البيانات ويتعذر الاتصال به، أو أن تكون المعالجة بمقتضى نظام آخر أو تنفيذًا لاتفاق سابق صاحب البيانات طرف فيه، أو أن تكون ضرورية لتحقيق مصالح مشروعة لجهة التحكم بما لا يضر بحقوق صاحب البيانات وبشرط ألا تكون البيانات حساسة.

الأثر العملي: على الشركة أن تحدد لكل نشاط معالجة أساسًا واحدًا واضحًا وتوثقه. فالاعتماد على «المصلحة المشروعة» يحتاج إلى تقييم مكتوب يوازن بين مصلحة الشركة وحقوق الأفراد، ولا يصلح أساسًا لمعالجة البيانات الحساسة (كالبيانات الصحية أو الائتمانية أو الدينية) ولا للتسويق المباشر الذي يتطلب موافقة صريحة بحسب ما استندت إليه لجان المخالفات.

الركيزة الثانية: حقوق أصحاب البيانات وآلية الاستجابة

تنص المادة الرابعة من النظام على حقوق صاحب البيانات: الحق في العلم بالأساس النظامي للجمع والغرض منه، والحق في الوصول إلى بياناته المتوافرة لدى جهة التحكم، والحق في طلب تصحيحها أو إتمامها أو تحديثها، والحق في طلب إتلافها عندما لا تكون هناك حاجة إليها. وتضيف اللائحة التنفيذية تفاصيل عن المدد وآلية الطلب والحالات التي يجوز فيها رفضه أو تأجيله.

ومن المخالفات التي أعلنتها سدايا عدم تطبيق الوسائل التقنية والإدارية التي تضمن الاستجابة السريعة لطلبات أصحاب البيانات. لذلك لا يكفي نص في سياسة الخصوصية يقول «يحق لك طلب بياناتك»؛ المطلوب قناة فعلية (نموذج أو بريد مخصص) ومسار داخلي معتمد يحدد من يستلم الطلب ومن يتحقق من الهوية ومن يرد وفي أي مدة.

الركيزة الثالثة: الوثائق والحوكمة الداخلية

يلزم النظام جهة التحكم بالاحتفاظ بسجل لأنشطة المعالجة يتضمن بيانات الجهة والغرض من المعالجة وفئات أصحاب البيانات والجهات التي يُفصح لها عن البيانات، كما يلزمها بتعيين أو تحديد شخص مسؤول عن حماية البيانات في الحالات التي تحددها اللائحة (ومنها الجهات العامة، والجهات التي تعالج بيانات حساسة على نطاق واسع أو تراقب الأفراد بشكل منتظم). وتعمل سدايا منصة وطنية لتسجيل جهات التحكم وتوثيق مسؤولي حماية البيانات، وتصدر عبر المكتب الوطني لإدارة البيانات أدلة إرشادية ونماذج يُستأنس بها.

الوثيقة أو الإجراء	ما يجب أن يتضمنه	متى يُراجَع
سجل أنشطة المعالجة	كل نشاط معالجة، أساسه النظامي، فئات البيانات، مدة الاحتفاظ، الجهات المُفصح لها، وجود نقل خارجي	عند أي منتج أو نظام أو مزود جديد، وسنويًا على الأقل
سياسة الخصوصية	الغرض، الأساس النظامي، الحقوق وطريقة ممارستها، الإفصاح والنقل، مدة الاحتفاظ، بيانات التواصل	قبل أي تغيير في الغرض أو الجهات المستلمة
تقييم أثر الخصوصية	للمنتجات والمعالجات ذات المخاطر العالية أو البيانات الحساسة	قبل الإطلاق وعند التغيير الجوهري
عقود معالجة البيانات مع المزودين	التزامات جهة المعالجة، السرية، الأمن، الإبلاغ عن الحوادث، الإتلاف عند الانتهاء، التعاقد من الباطن	عند التعاقد والتجديد
خطة الاستجابة للحوادث	من يقرر، من يبلغ سدايا خلال 72 ساعة، من يبلغ أصحاب البيانات، التوثيق	تمرين سنوي
مسؤول حماية البيانات	تعيين أو تحديد شخص مؤهل، وتوثيقه على المنصة الوطنية عند الوجوب	عند تغيّر نطاق المعالجة

الركيزة الرابعة: الأمن والإبلاغ عن حوادث التسرب

يلزم النظام جهة التحكم باتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لحماية البيانات، وبإبلاغ الجهة المختصة فور علمها بأي حادثة تسرب أو تلف أو وصول غير مشروع إلى البيانات الشخصية، وبإبلاغ صاحب البيانات إذا كانت الحادثة تلحق به ضررًا. وقد حددت سدايا المدة النظامية للإبلاغ بـ72 ساعة من العلم بالحادثة، وأُوقعت عقوبات على جهات تجاوزتها وفق ما أُعلن في يونيو 2026.

ولأن المادة الخامسة والثلاثين تجعل الإفصاح عن البيانات الحساسة أو نشرها بقصد الإضرار أو تحقيق منفعة جريمة يُعاقب عليها بالسجن أو الغرامة، فإن حادثة التسرب لا تُدار بوصفها مشكلة تقنية فقط، بل بوصفها واقعة قانونية تحتاج إلى توثيق وتسلسل قرارات. يتناول مقال عقوبات تسريب بيانات العملاء هذا الجانب تفصيلًا.

الركيزة الخامسة: نقل البيانات خارج المملكة

الأصل في المادة التاسعة والعشرين أنه لا يجوز لجهة التحكم نقل البيانات الشخصية إلى خارج المملكة إلا في الحالات والشروط التي يحددها النظام ولائحة نقل البيانات، مع مراعاة عدم الإضرار بالأمن الوطني ومصالح المملكة. وصدرت لائحة مستقلة لنقل البيانات تنظم الأدوات المتاحة (كالبنود التعاقدية النموذجية والقواعد الداخلية الملزمة وتقييم المخاطر) وشروط الاعتماد عليها، وتعلن سدايا دوريًا قرارات تخص الدول ذات مستوى الحماية المناسب.

عمليًا، الاستضافة السحابية لدى مزود خارج المملكة، والأدوات التحليلية والتسويقية الأجنبية، ومراكز الدعم خارج الحدود، كلها «نقل» يحتاج إلى أساس نظامي وتوثيق. ويزداد الأمر حساسية في القطاعات التي تضع جهاتها التنظيمية قيودًا أشد على توطين البيانات، كالقطاع المالي، كما يوضح مقال التزامات شركات التقنية المالية.

برنامج امتثال في عشر خطوات

1. تعيين مالك للبرنامج: مسؤول حماية بيانات أو مسؤول امتثال يرفع تقاريره إلى الإدارة التنفيذية، مع توثيقه على منصة سدايا عند الوجوب.
2. حصر البيانات (Data Mapping): ما البيانات التي تُجمع، ومن أين، وأين تُخزن، ومن يصل إليها، وإلى أين تُنقل.
3. تحديد الأساس النظامي: لكل نشاط معالجة، مع توثيق تقييم المصلحة المشروعة حيث يُعتمد عليها.
4. مراجعة الموافقات: نماذج الموافقة واضحة ومنفصلة عن الشروط العامة، وقابلة للسحب، وخاصة للتسويق المباشر.
5. تحديث سياسة الخصوصية: بلغة بسيطة ومتوافقة مع الواقع الفعلي للمعالجة (راجع مقال صياغة سياسة الخصوصية وشروط الاستخدام).
6. بناء مسار الحقوق: قناة استلام، تحقق من الهوية، مدد رد موثقة، سجل للطلبات.
7. تعاقدات المعالجة: مراجعة عقود مزودي السحابة والتسويق والرواتب وإضافة بنود المعالجة والنقل.
8. التدابير الأمنية: تشفير، صلاحيات بالحد الأدنى، مصادقة متعددة العوامل، سجلات وصول، بالتكامل مع متطلبات الهيئة الوطنية للأمن السيبراني حيث تنطبق.
9. خطة الحوادث: مَن يقرر الإبلاغ خلال 72 ساعة، ونموذج الإبلاغ، وتمرين سنوي.
10. التدريب والمراجعة: تدريب الموظفين المعنيين، ومراجعة سنوية مستقلة للبرنامج.

العقوبات ومسار الاعتراض

تتدرج العقوبات في النظام: فالمادة الخامسة والثلاثون تعاقب على الإفصاح عن البيانات الحساسة أو نشرها بقصد الإضرار أو تحقيق منفعة بالسجن مدة لا تزيد على سنتين أو بغرامة لا تزيد على ثلاثة ملايين ريال أو بهما معًا، والمادة السادسة والثلاثون تعاقب على مخالفة بقية الأحكام بالإنذار أو بغرامة لا تزيد على خمسة ملايين ريال، ويجوز مضاعفتها عند التكرار. وتنظر لجنة مختصة في سدايا في المخالفات، ويجوز الاعتراض على قراراتها أمام المحكمة الإدارية. وإلى جانب الجزاء الإداري، يملك المتضرر حق المطالبة بالتعويض عن الضرر المادي أو المعنوي أمام المحكمة المختصة.

أخطاء شائعة

• نسخ سياسة خصوصية من شركة أجنبية تستند إلى اللائحة الأوروبية (GDPR) دون مطابقتها لمصطلحات النظام السعودي وحقوقه وجهته المختصة.
• الاعتماد على «المصلحة المشروعة» في التسويق المباشر أو في معالجة بيانات حساسة.
• عدم تعيين مسؤول حماية البيانات بحجة صغر الشركة رغم معالجة بيانات حساسة على نطاق واسع.
• عدم وجود عقد معالجة مع مزودي الخدمات التقنية، أو عقد لا يلزمهم بالإبلاغ عن الحوادث.
• اكتشاف التسرب ثم انتظار «التحقيق الداخلي» حتى تنتهي مهلة الإبلاغ.
• استخدام أدوات تحليل وذكاء اصطناعي خارجية تُرفع إليها بيانات العملاء دون تقييم للنقل خارج المملكة.
• الاحتفاظ بالبيانات بلا نهاية لأن «التخزين رخيص»، رغم أن النظام يقيد الاحتفاظ بتحقق الغرض.

متى تحتاج إلى محامٍ؟

تحتاج إلى مستشار قانوني عند بناء برنامج الامتثال لأول مرة، وعند تقييم أساس المعالجة لمنتج جديد، وعند التعاقد مع مزودين خارج المملكة، وعند وقوع حادثة تسرب أو تلقي استفسار أو قرار من لجنة المخالفات. تقدم شركة محمود عادل الثمالي للمحاماة خدمات تقييم الفجوات، وصياغة السياسات وعقود المعالجة، وتمثيل الجهات أمام اللجان والمحكمة الإدارية ضمن خدمات حماية البيانات. احجز استشارة.

هذا المقال للتوعية العامة ولا يُعد استشارة قانونية لحالتك.

أسئلة شائعة

المصادر

• الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) — الجهة المختصة بنظام حماية البيانات الشخصية
• نظام حماية البيانات الشخصية (م/19 — 9/2/1443هـ) ولوائحه — نسخة منشورة
• نص نظام حماية البيانات الشخصية (نسخة 1443هـ قبل التعديل) — PDF
• عاجل — سدايا: قرارات بحق عدد من الجهات المخالفة لنظام حماية البيانات الشخصية (29 يونيو 2026)

تحتاج إلى رأي قانوني في حالتك؟

احجز استشارة مع الفريق المختص، ويصل طلبك مباشرة إلى المحامي المسؤول عن القطاع.

احجز استشارةواتساب