يطبَّق نظام حماية البيانات الشخصية للمواقع والمتاجر الإلكترونية في كل نقطة يجمع فيها موقعك بيانات شخصية. والمطلوب عمليًا: سياسة خصوصية يقرؤها الزائر قبل أن يشارك بياناته، ونماذج لا تطلب إلا ما تحتاجه، وأساس موثّق للتحليلات والتسويق، واستضافة وموردون تعرف أين يحفظون البيانات، وخطة للإبلاغ عن التسرب خلال 72 ساعة.
وينطبق النظام بمجرد أن يستقبل نموذج تواصل أو صفحة دفع أو اشتراك في النشرة اسمًا أو رقم جوال أو بريدًا من شخص في السعودية. كتبنا هذه القائمة لأصحاب المنشآت وفرق التسويق والمطورين، وهي تستند إلى النصوص الرسمية التي تنشرها الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) حتى أكتوبر 2026. هذه معلومات عامة وليست استشارة قانونية، فتحقق من التزاماتك مع مستشار قانوني مؤهل.
نعم، إذا عالج الموقع بيانات شخصية لأفراد في المملكة. فالنظام يشمل كل معالجة تتم في المملكة بأي وسيلة، وتمدّه المادة الثانية إلى معالجة بيانات المقيمين فيها من جهات خارجها. فبيانات عميل سعودي في متجر مستضاف في الخارج داخلة في النطاق، أيًا كان حجم المنشأة. تجد النص الكامل لنظام حماية البيانات الشخصية ولائحته التنفيذية في منصة حوكمة البيانات التابعة لسدايا. دخل النظام حيز النفاذ في 14 سبتمبر 2023، ومُنحت الجهات سنة إضافية حتى 14 سبتمبر 2024 لتوفيق أوضاعها.
وفي موقع الأعمال المعتاد تظهر البيانات الشخصية في أماكن أكثر من نموذج التواصل:
- نماذج التواصل وطلب العروض والحجز، والبريد أو نظام إدارة العملاء الذي تصب فيه.
- الحسابات والطلبات وعناوين التوصيل والفواتير في المتجر.
- الاشتراك في النشرة البريدية أو رسائل واتساب.
- أدوات التحليلات وأكواد الإعلانات ونوافذ المحادثة وتسجيل الجلسات.
- سجلات الخادم والنسخ الاحتياطية ونسخ قاعدة البيانات في بيئة الاختبار.
- أدوات الدعم، والوكالات أو المستقلون الذين يملكون صلاحيات إدارية.
ابدأ بحصر هذه العناصر في موقعك، فكل بند في القائمة التالية يعتمد على هذا الحصر.
يتلخص الامتثال في عشرة بنود، لكل منها سند في النظام أو لائحته التنفيذية أو أدلة سدايا:
| البند | السند | ما يحتاجه الموقع |
|---|---|---|
| 1. سياسة الخصوصية | المادة 12 من النظام | سياسة بالعربية والإنجليزية مربوطة من التذييل وبجوار كل نموذج |
| 2. نماذج بالحد الأدنى | المادتان 11 و13 من النظام | الحقول المستخدمة فقط، وتنبيه قصير عند الجمع |
| 3. موافقة قابلة للإثبات | المادتان 5 و6 من النظام، والمادة 11 من اللائحة | مربعات غير محددة مسبقًا، وموافقة لكل غرض، وسجل محفوظ |
| 4. الكوكيز والتتبع | دليل سدايا لسياسة الخصوصية | حصر للأكواد، وتأجيل تحميلها إن كانت الموافقة هي الأساس |
| 5. الرسائل التسويقية | المادة 25 من النظام، والمادتان 28 و29 من اللائحة | موافقة تسويق مستقلة، وهوية المرسل، ورابط إلغاء في كل رسالة |
| 6. الاستضافة والموردون | المواد 8 و19 و29 من النظام | منطقة الاستضافة ومواقع النسخ الاحتياطي والصلاحيات مكتوبة في الاتفاق |
| 7. طلبات العملاء | المادة 4 من النظام، والمادة 3 من اللائحة | قناة واحدة للطلبات، ورد خلال 30 يومًا |
| 8. الاحتفاظ والإتلاف | المادة 18 من النظام | مدد احتفاظ يصل فيها الحذف إلى النسخ الاحتياطية |
| 9. خطة التسرب | المادة 20 من النظام، والمادة 24 من اللائحة | مسؤول محدد، وإشعار سدايا خلال 72 ساعة |
| 10. السجلات | المادة 33 من اللائحة | سجل محدّث لأنشطة المعالجة |
1. سياسة خصوصية تُقرأ قبل مشاركة البيانات
تُلزم المادة الثانية عشرة جهة التحكم، أي المنشأة التي تقرر لماذا وكيف تُعالج البيانات، باعتماد سياسة للخصوصية وإتاحتها قبل الجمع. وتبيّن السياسة الغرض، والبيانات المجمعة، وطريقة جمعها وحفظها ومعالجتها وإتلافها، وحقوق أصحابها وكيف يمارسونها.
الدليل الاسترشادي لإعداد وتطوير سياسة الخصوصية غير ملزم، لكنه أوضح صورة لما تتوقعه سدايا. يطلب لغة واضحة غير مضللة تناسب جمهورك، وبيانات التواصل، والأساس النظامي لكل غرض، ومكان حفظ البيانات بما فيه مزودو الخدمات السحابية، ومدة الاحتفاظ، وإجراءات الأمان، وطريقة تقديم الشكوى، وتاريخ آخر تحديث. انشر سياسة الخصوصية للموقع في السعودية بالعربية إلى جانب الإنجليزية، واربطها من تذييل الموقع وبجوار كل نموذج.
2. نماذج لا تطلب إلا ما تحتاجه
تقصر المادة الحادية عشرة البيانات على الحد الأدنى اللازم للغرض. راجع كل حقل في نماذجك واسأل: ماذا نفعل به؟ طلب عرض السعر نادرًا ما يحتاج تاريخ الميلاد أو رقم الهوية. احذف الحقول التي لا يستخدمها أحد، وميّز الحقول الإلزامية، واشرح سبب طلب كل حقل.
وتحدد المادة الثالثة عشرة ما يُبلَّغ به الشخص عند جمع بياناته منه مباشرة، ومنه الغرض والمسوغ النظامي، وهل تقديم البيانات إلزامي، ومن يتلقاها، وهل تُنقل خارج المملكة. ويغطي كثيرًا من ذلك سطرٌ قصير تحت زر الإرسال مع رابط إلى القسم المعني في سياسة الخصوصية.
3. موافقة تستطيع إثباتها
الموافقة هي الأساس الرئيس في المادة الخامسة، ولها استثناءات في المادة السادسة، ويحق لصاحب البيانات الرجوع عنها متى شاء. وتشترط المادة الحادية عشرة من اللائحة التنفيذية أن تُعطى الموافقة بحرية، ولغرض محدد وواضح، وأن تُوثّق بما يثبت وقتها وطريقتها. ولكل غرض موافقة مستقلة، وتُشترط الموافقة الصريحة للبيانات الحساسة.
في الموقع يعني هذا: مربع اختيار غير محدد مسبقًا لكل غرض، وسجلًا محفوظًا لمن وافق ومتى وعلى أي نص. ويجيز النظام أيضًا الاستناد إلى المصلحة المشروعة في البيانات غير الحساسة، بشروط وتقييم موثّق. أما الأساس الأنسب لكل غرض فيقرره مستشارك القانوني.
4. ملفات تعريف الارتباط والتحليلات وأكواد التتبع
لا يذكر النظام ولا لائحته التنفيذية ملفات تعريف الارتباط (الكوكيز) بالاسم. لكن دليل سدايا لسياسة الخصوصية يذكرها، ويذكر تحليلات المواقع، وسائلَ لجمع البيانات بطريقة غير مباشرة، ويتضمن نموذجه رابطًا لسياسة مستقلة لملفات تعريف الارتباط.
الموقف الهندسي الآمن إذن أن تعامل التتبع معاملة المعالجة. احصر كل كود يحمّله موقعك، وسجّل ما يجمعه وإلى أين يرسله، وصِفه في سياسة الخصوصية، واحذف ما لم تعد تستخدمه. وإن رأى مستشارك أن الموافقة هي الأساس المناسب للإعلانات أو التحليلات، فيجب أن يؤجل الموقع تحميل تلك الأكواد حتى يوافق الزائر، وأن يحترم رفضه لاحقًا.
5. الرسائل التسويقية بالبريد وواتساب
تشترط المادة الخامسة والعشرون لإرسال المواد الدعائية إلى وسائل التواصل الشخصية موافقةَ المتلقي، وآليةً واضحة لإيقاف الإرسال. وتضيف المادتان الثامنة والعشرون والتاسعة والعشرون من اللائحة التنفيذية أن تُظهر الرسالة هوية المرسل، وأن يكون إلغاء الاشتراك سهلًا ومجانيًا، وأن يُحتفظ بإثبات الموافقة، وأن يتوقف الإرسال عند سحبها.
في المتجر افصل موافقة التسويق عن شروط إتمام الطلب، واحفظ سجل الموافقة مع بيانات العميل، واجعل إلغاء الاشتراك ممكنًا من داخل كل رسالة. وتشترط Meta بدورها أن يحصل النشاط التجاري على موافقة العميل قبل مراسلته على واتساب. ويشرح دليلنا عن تكلفة واتساب API في السعودية قوالب الرسائل وخطوات الإعداد أيضًا.
6. الاستضافة والموردون والنقل خارج المملكة
تُلزم المادة التاسعة عشرة باتخاذ إجراءات تنظيمية وإدارية وتقنية لحماية البيانات الشخصية، بما في ذلك أثناء نقلها. وتُلزم المادة الثامنة باختيار جهات معالجة توفر الضمانات اللازمة، كمزود الاستضافة ومنصة البريد والوكالة، والتحقق من التزامها.
الاستضافة داخل المملكة تحسم مكان قاعدة البيانات الرئيسة فقط، ولا تحسم النسخ الاحتياطية والسجلات والتحليلات ووصول فرق الدعم وأدوات الذكاء الاصطناعي التي ترسل البيانات إلى الخارج. وتجيز المادة التاسعة والعشرون النقل خارج المملكة بشروط تفصّلها لائحة النقل، وتجد في مقالنا أسئلة لمزوّد السحابة عن نظام حماية البيانات طريقة رسم هذه التدفقات. اتفق كتابةً على منطقة الاستضافة ومواقع النسخ الاحتياطي والصلاحيات الإدارية. وفي خدمة استضافة مع نسخ احتياطي ومراقبة نتفق معك على منطقة الاستضافة قبل الشراء.
7. طلبات العملاء
تمنح المادة الرابعة الأشخاص الحق في العلم، والوصول إلى بياناتهم، وطلب تصحيحها، وطلب إتلافها. ووفق المادة الثالثة من اللائحة التنفيذية تُنفَّذ الطلبات خلال مدة لا تتجاوز 30 يومًا، ويجوز تمديدها 30 يومًا أخرى بإشعار صاحب الطلب مسبقًا مع ذكر السبب.
خصص قناة واحدة واضحة، كبريد مذكور في سياسة الخصوصية، وحدد من يرد عليها. وفي المتجر تأكد أنك تستطيع إيجاد بيانات عميل واحد وتصديرها من المتجر ونظام العملاء ومنصة البريد وصندوق الدعم.
8. الاحتفاظ والإتلاف
تُلزم المادة الثامنة عشرة بإتلاف البيانات الشخصية دون تأخير بعد انتهاء الغرض من جمعها، مع استثناءات منها وجود مدة احتفاظ نظامية. حدد مدة احتفاظ لرسائل النماذج والسلال المتروكة والحسابات القديمة والنسخ الاحتياطية، وتأكد أن الحذف يصل إلى النسخ لا إلى قاعدة البيانات الحية وحدها.
9. خطة للتسرب قبل أن تحتاجها
تُلزم المادة العشرون من النظام والمادة الرابعة والعشرون من اللائحة التنفيذية جهة التحكم بإشعار سدايا خلال 72 ساعة من علمها بتسرب قد يلحق ضررًا بالبيانات أو بأصحابها. ويصف الإشعار الحادثة والبيانات والأشخاص المتأثرين والمخاطر والإجراءات المتخذة، ويُبلَّغ المتأثرون دون تأخير غير مبرر وبلغة واضحة. وفي منصة سدايا خدمة للإشعار بالتسرب.
اكتب مسبقًا من يقرر، ومن يُشعر الهيئة والعملاء، وأين تُحفظ السجلات والأدلة. واحمِ الحسابات الإدارية بتحقق قوي، وألغِ صلاحيات من غادر الفريق.
10. السجلات والتسجيل ومسؤول حماية البيانات
تُلزم المادة الثالثة والثلاثون من اللائحة التنفيذية بسجل مكتوب لأنشطة المعالجة، يُحدَّث باستمرار ويُتاح لسدايا عند الطلب. وقد تحتاج بعض الجهات إلى التسجيل في السجل الوطني لجهات التحكم أو تعيين مسؤول لحماية البيانات الشخصية، كأن تقوم أنشطتها الأساسية على بيانات حساسة أو مراقبة منتظمة ومنهجية. وانطباق ذلك على منشأتك سؤال قانوني.
تجيز المادة السادسة والثلاثون الإنذار أو غرامة لا تزيد على 5 ملايين ريال، ويجوز مضاعفة الغرامة عند تكرار المخالفة بما لا يتجاوز ضعف حدها الأعلى. وتنص المادة الخامسة والثلاثون على السجن مدة لا تزيد على سنتين، أو غرامة لا تزيد على 3 ملايين ريال، أو كلتيهما، لمن أفصح عن بيانات حساسة أو نشرها بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية.
في 6 أكتوبر 2026 طرحت سدايا مسودة تعديلات على اللائحة التنفيذية للاستطلاع العام حتى 5 نوفمبر 2026. ووفق ملخص مكتب Clyde & Co، تقترح المسودة إشعار سدايا بالتسرب سواء رُجّح الضرر أم لا، وتوسيع حالات التسجيل الإلزامي في السجل الوطني لتشمل النقل إلى الخارج، وتشديد توثيق موافقة التسويق، وقواعد جديدة لصياغة سياسة الخصوصية، وجعل حفظ البيانات داخل المملكة هو الأصل. وحتى 21 أكتوبر 2026 تبقى هذه مقترحات لا نظامًا نافذًا، فانتظر النص النهائي قبل تغيير إجراءاتك.
ينفذ فريق المواقع ما تقرره المنشأة مع مستشارها القانوني: صفحة سياسة الخصوصية باللغتين، وحقول النماذج والتنبيهات، وسجلات الموافقة، وحصر الأكواد، ومهام الحذف، وضبط الصلاحيات. وحين نبني موقعًا، يخطط فريق تصميم وتطوير المواقع لهذه البنود في النماذج والأكواد والاستضافة من أول مخطط. لا نقدّم رأيًا قانونيًا؛ دورنا تنفيذ ما يقرره مستشارك.
وإن كنت تخطط لميزانية موقع جديد، فدليلنا عن تكلفة الموقع حسب النطاق يوضح ما تشمله كل باقة.
ولمراجعة موقع قائم، أرسل إلينا طلب المراجعة مع قائمة النماذج والأكواد والموردين التي حصرتها.
