الامتثال لنظام حماية البيانات الشخصية السعودي في المواقع والتطبيقات: ما تشترطه سدايا في 2026

النظام والجهة المشرفة والتواريخ

تُنشر وثائق النظام على منصة حوكمة البيانات الوطنية التابعة لسدايا، وفيها النظام، واللائحة التنفيذية، ولائحة نقل البيانات الشخصية إلى خارج المملكة، والبنود التعاقدية القياسية، وأدلة استرشادية منها دليل إعداد وتطوير سياسة الخصوصية. ودخل النظام حيز النفاذ في 14 سبتمبر 2023 مع مهلة سنة للامتثال، فأصبح واجب التطبيق منذ 14 سبتمبر 2024.

والتطبيق فعلي. فلجان تعيّنها سدايا تنظر في المخالفات ويمكنها إصدار الإنذارات والغرامات، وتذكر تعليقات قانونية مثل مذكرة Clyde & Co في مارس 2026 أن سدايا أعلنت 48 قرارًا عن عام 2025، شملت المعالجة دون أساس نظامي، والإفصاح غير المشروع، وضعف الحماية، والرسائل التسويقية المرسلة دون موافقة. وهذه بالضبط الأخطاء التي يتعرض لها أي موقع أو تطبيق عادي.

هل ينطبق النظام على موقعك أو تطبيقك؟

• نعم، إذا كان يجمع بيانات شخصية لأفراد في السعودية: نماذج التواصل والاستفسار، والحسابات وتسجيل الدخول، وبيانات الدفع والتوصيل، والنشرات البريدية، وسجلات محادثات واتساب، وطلبات التوظيف، والموقع الجغرافي، والتحليلات التي تحدد هوية الشخص.
• وينطبق سواء كانت شركتك داخل المملكة أو خارجها. فبوابة التسجيل لدى سدايا فيها مسار للجهات خارج المملكة، وفي أكتوبر 2026 ذكرت Clyde & Co أن سدايا فتحت تسجيل جهات التحكم للمنشآت الخارجية.
• أنت «جهة التحكم» حين تقرر سبب معالجة البيانات وطريقتها. أما المطوّر ومزود الاستضافة ونظام إدارة العملاء ومنصة البريد فهم عادةً «جهات معالجة»، والنظام يتوقع أن تختار جهات معالجة تحمي البيانات وأن تلزمها بعقد.
• البيانات الحساسة تحتاج عناية أكبر. ويشمل تعريفها في النظام البيانات الصحية والوراثية والحيوية، والمعتقد الديني والسياسي، والبيانات الأمنية والجنائية. وتقع هنا العيادات والمدارس وأنظمة الموارد البشرية والتطبيقات التي تستخدم بصمة الوجه أو الإصبع للدخول.

ما يجب أن يفعله موقعك أو تطبيقك

الموافقة وملفات الارتباط والتسويق في موقعك

لا يتضمن نص النظام قاعدة خاصة بملفات الارتباط (الكوكيز) بالاسم، لكن أدوات التحليل والإعلانات التي تحدد هوية الزائر تُعد معالجة لبيانات شخصية، فتحتاج أساسًا نظاميًا ويجب ذكرها في سياسة الخصوصية. والنمط الآمن للمواقع السعودية هو نفسه الذي نستخدمه في الخليج: تحميل ملفات الارتباط الضرورية فقط افتراضيًا، وعدم تحميل التحليلات وبكسلات الإعلانات وتسجيل الجلسات إلا بعد موافقة الزائر، عبر شريط بالعربية والإنجليزية يعرض القبول والرفض بالقدر نفسه.

والتسويق هو المجال الذي رصدت فيه سدايا مخالفات بالفعل. لا تضع علامة مسبقة على خانات النشرة أو تسويق واتساب، واحتفظ بسجل لوقت موافقة كل شخص وطريقتها، واذكر اسم منشأتك في كل رسالة، وأضف رابط إلغاء اشتراك أو خيار «أرسل إيقاف» يعمل فعلًا. ورسائل خدمة العملاء عن طلب قائم ليست تسويقًا، أما العروض فهي تسويق.

الاستضافة ونقل البيانات وقاعدة الحفظ المقترحة

كثير من المواقع السعودية تعمل على مناطق سحابية ومنصات بريد وتحليلات خارج المملكة. وهذا مسموح اليوم إذا استوفى النقل المادة 29 ولائحة النقل: أن تقتصر البيانات المنقولة على الحد الأدنى اللازم، وألا يمس النقل الأمن الوطني أو المصالح الحيوية للمملكة، وأن توفر الجهة المستلمة حماية كافية، مثلًا عبر البنود التعاقدية القياسية من سدايا. احتفظ بقائمة بكل خدمة تستلم بيانات شخصية ومكان حفظها.

وقد يتغير ذلك. ففي مسودة تعديلات اللائحة التنفيذية التي طرحتها سدايا للاستطلاع العام من 6 أكتوبر إلى 5 نوفمبر 2026، تُلزم مادة جديدة جهات التحكم بحفظ البيانات الشخصية داخل المملكة، مع بقاء النقل ممكنًا وفق النظام، بحسب ملخص Clyde & Co للمسودة. وإذا اعتُمدت، تسري التعديلات بعد 60 يومًا من نشرها في الجريدة الرسمية. فإن كنت تختار استضافة لنظام سعودي جديد الآن، فمنطقة سحابية داخل المملكة لقاعدة البيانات الرئيسية هي الخيار الأقل احتمالًا لإعادة العمل. ويشرح دليلنا عن توطين البيانات والاستضافة السحابية في السعودية من يجب عليه الاستضافة داخل المملكة والمناطق السحابية المتاحة.

مسودة تعديلات سدايا في أكتوبر 2026: ما الذي قد يتغير

هذه مقترحات قيد الاستطلاع وليست قواعد نهائية. وبحسب ملخص Clyde & Co، تقترح المسودة:

• حفظ البيانات الشخصية داخل المملكة، مع بقاء النقل ممكنًا وفق النظام.
• إشعار سدايا خلال 72 ساعة عن أي تسرب، بإلغاء شرط الضرر الحالي.
• توسيع تقييم الأثر ليشمل معالجة بيانات القاصرين، والمراقبة الواسعة أو المنهجية، والتقنيات الناشئة، والقرارات الآلية.
• جعل التسجيل في السجل الوطني لجهات التحكم إلزاميًا للجهات العامة، ولمن نشاطه الأساسي معالجة البيانات، ولمن يعالج بيانات حساسة، ولمن ينقل البيانات للخارج.
• منح الجهات 20 يوم عمل للرد على طلبات سدايا، واعتبار طلب صاحب البيانات مرفوضًا إذا لم يُرد عليه خلال 30 يومًا، مع حقه في الشكوى لسدايا.
• تشديد التسويق: موافقة موثقة ومحفوظة، وسحب واضح، وإتلاف بيانات التسويق عند سحب الموافقة.
• كتابة سياسة الخصوصية بلغة واضحة ومبسطة يعتادها الجمهور، وهي عمليًا العربية للمستخدمين في السعودية.

قائمة امتثال لموقعك أو تطبيقك

إذا كنت تبيع في السعودية وعمان معًا

لسلطنة عمان قانونها الخاص لحماية البيانات الشخصية، وتشرف عليه وزارة النقل والاتصالات وتقنية المعلومات، بتصاريح ومهل وقواعد نقل مختلفة. ويمكن لموقع يخدم السوقين أن يعتمد إطار خصوصية واحدًا، لكن عليه أن يستوفي القاعدة الأشد في كل نقطة وأن يذكر القانونين. اقرأ دليلنا عن الامتثال لقانون حماية البيانات الشخصية في عمان للمواقع والتطبيقات.

وإن كان الموقع متجرًا، فيضيف نظام التجارة الإلكترونية السعودي قاعدة بيانات خاصة به: تقيّد المادة الخامسة مدة الاحتفاظ ببيانات العملاء وتحظر إفشاءها للغير دون موافقة. ويغطيها دليلنا عن متطلبات نظام التجارة الإلكترونية السعودي للمتاجر الإلكترونية مع واجبات الإفصاح والاسترجاع والتوصيل.

كيف تساعدك OGB Labs

في المشاريع السعودية نبني ضوابط النظام داخل المنتج بدل إضافتها في النهاية: خريطة البيانات في مرحلة الاستكشاف، ونماذج بالحد الأدنى، وصفحات خصوصية بالعربية أولًا، وإدارة موافقة تمنع الأدوات فعلًا، ومعالجة طلبات الحقوق، وسجلات تدقيق، وتشفير، واستضافة في منطقة سعودية حين تتطلب البيانات ذلك. ونعمل مع مستشارك القانوني على نص السياسة. تعرّف على تطوير المواقع في السعودية، وخدمتَي المواقع وتطبيقات الجوال، ودليلَي بوابات الدفع في السعودية والمرحلة الثانية من الفوترة الإلكترونية، أو راسلنا على واتساب على الرقم ‎+968 7111 0727.