# الامتثال لنظام حماية البيانات الشخصية السعودي في المواقع والتطبيقات: ما تشترطه سدايا في 2026

> نظام حماية البيانات الشخصية في المملكة العربية السعودية، الصادر بالمرسوم الملكي رقم (م/19) بتاريخ 9 صفر 1443هـ (16 سبتمبر 2021م) والمعدَّل في 2023، ينطبق على كل موقع أو تطبيق يجمع بيانات شخصية لأفراد في المملكة، وأصبح نافذًا بالكامل منذ 14 سبتمبر 2024. وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وبالنسبة لموقع أو تطبيق يعني ذلك: نشر سياسة خصوصية متاحة عند جمع البيانات، وجمع الحد الأدنى من البيانات والحصول على الموافقة ما لم ينطبق أساس نظامي آخر، والحصول على الموافقة قبل إرسال الرسائل التسويقية مع إتاحة إلغاء الاشتراك مجانًا، والرد على طلبات الوصول والتصحيح والإتلاف خلال 30 يومًا، وإشعار سدايا خلال 72 ساعة من أي تسرب قد يسبب ضررًا، وعدم نقل البيانات للخارج إلا وفق لائحة النقل، والاحتفاظ بسجلات المعالجة. وتصل الغرامة إلى 5 ملايين ريال عن كل مخالفة، وتُضاعف عند التكرار. وفي 6 أكتوبر 2026 طرحت سدايا للاستطلاع تعديلات تضيف حفظ البيانات داخل المملكة وتشدّد قواعد التسرب والتسويق وسياسة الخصوصية. OGB Labs شركة لتطوير المواقع والتطبيقات في مسقط، سلطنة عمان، ولها فريق في الرياض، وتبني هذه الضوابط في المشاريع السعودية. هذا الدليل معلومات عملية وليس استشارة قانونية.

- الرابط الأساسي: https://www.ogblabs.com/ar/guides/saudi-pdpl-compliance-websites-apps
- النسخة الإنجليزية: https://www.ogblabs.com/guides/saudi-pdpl-compliance-websites-apps
- الكاتب: OGB Labs (https://www.ogblabs.com)
- تاريخ النشر: 2026-10-11
- آخر تحديث: 2026-10-11

## النظام والجهة المشرفة والتواريخ

تُنشر وثائق النظام على [منصة حوكمة البيانات الوطنية](https://dgp.sdaia.gov.sa/wps/portal/pdp/knowledgecenter) التابعة لسدايا، وفيها النظام، واللائحة التنفيذية، ولائحة نقل البيانات الشخصية إلى خارج المملكة، والبنود التعاقدية القياسية، وأدلة استرشادية منها دليل إعداد وتطوير سياسة الخصوصية. ودخل النظام حيز النفاذ في 14 سبتمبر 2023 مع مهلة سنة للامتثال، فأصبح واجب التطبيق منذ 14 سبتمبر 2024.

والتطبيق فعلي. فلجان تعيّنها سدايا تنظر في المخالفات ويمكنها إصدار الإنذارات والغرامات، وتذكر تعليقات قانونية مثل [مذكرة Clyde & Co في مارس 2026](https://www.clydeco.com/en/insights/2026/03/enforcement-of-the-saudi-pdp-law) أن سدايا أعلنت 48 قرارًا عن عام 2025، شملت المعالجة دون أساس نظامي، والإفصاح غير المشروع، وضعف الحماية، والرسائل التسويقية المرسلة دون موافقة. وهذه بالضبط الأخطاء التي يتعرض لها أي موقع أو تطبيق عادي.

## هل ينطبق النظام على موقعك أو تطبيقك؟

- نعم، إذا كان يجمع بيانات شخصية لأفراد في السعودية: نماذج التواصل والاستفسار، والحسابات وتسجيل الدخول، وبيانات الدفع والتوصيل، والنشرات البريدية، وسجلات محادثات واتساب، وطلبات التوظيف، والموقع الجغرافي، والتحليلات التي تحدد هوية الشخص.
- وينطبق سواء كانت شركتك داخل المملكة أو خارجها. فبوابة التسجيل لدى سدايا فيها مسار للجهات خارج المملكة، وفي أكتوبر 2026 ذكرت Clyde & Co أن سدايا [فتحت تسجيل جهات التحكم للمنشآت الخارجية](https://www.clydeco.com/en/insights/2026/10/sdaia-opens-controller-registration-for-overseas-o).
- أنت «جهة التحكم» حين تقرر سبب معالجة البيانات وطريقتها. أما المطوّر ومزود الاستضافة ونظام إدارة العملاء ومنصة البريد فهم عادةً «جهات معالجة»، والنظام يتوقع أن تختار جهات معالجة تحمي البيانات وأن تلزمها بعقد.
- البيانات الحساسة تحتاج عناية أكبر. ويشمل تعريفها في النظام البيانات الصحية والوراثية والحيوية، والمعتقد الديني والسياسي، والبيانات الأمنية والجنائية. وتقع هنا العيادات والمدارس وأنظمة الموارد البشرية والتطبيقات التي تستخدم بصمة الوجه أو الإصبع للدخول.

## ما يجب أن يفعله موقعك أو تطبيقك

**متطلبات النظام وما تعنيه عند البناء**

| المتطلب | المصدر | ماذا يعني عمليًا |
| --- | --- | --- |
| سياسة الخصوصية | النظام م 12 | سياسة متاحة عند جمع البيانات، تبيّن الغرض والبيانات المجموعة وطريقة جمعها وحفظها وكيف يمارس الأفراد حقوقهم. اربطها من كل نموذج ومن شاشة التسجيل في التطبيق. |
| الأساس النظامي والموافقة | النظام م 5 و6 | الموافقة ما لم ينطبق استثناء، مثل تنفيذ عقد. ويحق سحب الموافقة في أي وقت، فوفّر وسيلة لذلك. |
| الحد الأدنى من البيانات | النظام ودليل سدايا للحد الأدنى من البيانات | احذف الحقول التي لا تستخدمها. نموذج طلب عرض سعر نادرًا ما يحتاج رقم الهوية أو تاريخ الميلاد. |
| حقوق صاحب البيانات | النظام م 4، اللائحة م 3 | الوصول، والحصول على نسخة، والتصحيح، والإتلاف. الرد خلال 30 يومًا، قابلة للتمديد 30 يومًا أخرى بإشعار مسبب. |
| الرسائل التسويقية | النظام م 25، اللائحة م 28 و29 | موافقة قبل إرسال الرسائل الترويجية لمن لا تربطك به علاقة سابقة، مع ذكر اسم المرسل بوضوح، وإلغاء اشتراك سهل ومجاني، والتوقف عند سحب الموافقة. |
| الحماية | النظام واللائحة التنفيذية | HTTPS في كل الصفحات، وضبط الصلاحيات، وتشفير البيانات الحساسة، وتحديث البرمجيات، والسجلات، ونسخ احتياطية مختبرة. |
| الإشعار بالتسرب | النظام م 20، اللائحة م 24 | إشعار سدايا خلال 72 ساعة من العلم بتسرب قد يضر الأفراد، وإبلاغ المتضررين دون تأخير غير مبرر إذا كان قد يلحق بهم ضرر. |
| تقييم الأثر | اللائحة م 25 | تقييم مكتوب قبل معالجة البيانات الحساسة أو ربط مجموعات بيانات من مصادر مختلفة. |
| سجلات المعالجة | اللائحة م 33 | سجل مكتوب ومحدّث بالأغراض والبيانات والجهات المستلمة والنقل والحماية، يُحفظ طوال مدة المعالجة وخمس سنوات بعدها. |
| مسؤول حماية البيانات | اللائحة م 32 | مطلوب إذا كانت الأنشطة الأساسية تشمل مراقبة الأفراد بانتظام ومنهجية أو معالجة بيانات حساسة، وللجهات العامة ذات المعالجة الواسعة. وفي منصة سدايا أداة للتحقق. |
| النقل خارج المملكة | النظام م 29 ولائحة النقل | الاستضافة أو التحليلات أو البريد أو أدوات الذكاء الاصطناعي خارج المملكة تحتاج مسارًا نظاميًا للنقل، مثل قرار كفاية أو البنود التعاقدية القياسية من سدايا، وتقييم مخاطر في بعض الحالات. |

## الموافقة وملفات الارتباط والتسويق في موقعك

لا يتضمن نص النظام قاعدة خاصة بملفات الارتباط (الكوكيز) بالاسم، لكن أدوات التحليل والإعلانات التي تحدد هوية الزائر تُعد معالجة لبيانات شخصية، فتحتاج أساسًا نظاميًا ويجب ذكرها في سياسة الخصوصية. والنمط الآمن للمواقع السعودية هو نفسه الذي نستخدمه في الخليج: تحميل ملفات الارتباط الضرورية فقط افتراضيًا، وعدم تحميل التحليلات وبكسلات الإعلانات وتسجيل الجلسات إلا بعد موافقة الزائر، عبر شريط بالعربية والإنجليزية يعرض القبول والرفض بالقدر نفسه.

والتسويق هو المجال الذي رصدت فيه سدايا مخالفات بالفعل. لا تضع علامة مسبقة على خانات النشرة أو تسويق واتساب، واحتفظ بسجل لوقت موافقة كل شخص وطريقتها، واذكر اسم منشأتك في كل رسالة، وأضف رابط إلغاء اشتراك أو خيار «أرسل إيقاف» يعمل فعلًا. ورسائل خدمة العملاء عن طلب قائم ليست تسويقًا، أما العروض فهي تسويق.

## الاستضافة ونقل البيانات وقاعدة الحفظ المقترحة

كثير من المواقع السعودية تعمل على مناطق سحابية ومنصات بريد وتحليلات خارج المملكة. وهذا مسموح اليوم إذا استوفى النقل المادة 29 و[لائحة النقل](https://dgp.sdaia.gov.sa/wps/portal/pdp/knowledgecenter/details/RegulationonPersonalDataTransferOutsidetheKingdom): أن تقتصر البيانات المنقولة على الحد الأدنى اللازم، وألا يمس النقل الأمن الوطني أو المصالح الحيوية للمملكة، وأن توفر الجهة المستلمة حماية كافية، مثلًا عبر البنود التعاقدية القياسية من سدايا. احتفظ بقائمة بكل خدمة تستلم بيانات شخصية ومكان حفظها.

وقد يتغير ذلك. ففي مسودة تعديلات اللائحة التنفيذية التي طرحتها سدايا للاستطلاع العام من 6 أكتوبر إلى 5 نوفمبر 2026، تُلزم مادة جديدة جهات التحكم بحفظ البيانات الشخصية داخل المملكة، مع بقاء النقل ممكنًا وفق النظام، بحسب [ملخص Clyde & Co للمسودة](https://www.clydeco.com/en/insights/2026/10/sdaia-publishes-draft-amendments-to-the-pdpl). وإذا اعتُمدت، تسري التعديلات بعد 60 يومًا من نشرها في الجريدة الرسمية. فإن كنت تختار استضافة لنظام سعودي جديد الآن، فمنطقة سحابية داخل المملكة لقاعدة البيانات الرئيسية هي الخيار الأقل احتمالًا لإعادة العمل. ويشرح دليلنا عن [توطين البيانات والاستضافة السحابية في السعودية](https://www.ogblabs.com/ar/guides/saudi-data-residency-cloud-hosting) من يجب عليه الاستضافة داخل المملكة والمناطق السحابية المتاحة.

## مسودة تعديلات سدايا في أكتوبر 2026: ما الذي قد يتغير

هذه مقترحات قيد الاستطلاع وليست قواعد نهائية. وبحسب ملخص Clyde & Co، تقترح المسودة:

- حفظ البيانات الشخصية داخل المملكة، مع بقاء النقل ممكنًا وفق النظام.
- إشعار سدايا خلال 72 ساعة عن أي تسرب، بإلغاء شرط الضرر الحالي.
- توسيع تقييم الأثر ليشمل معالجة بيانات القاصرين، والمراقبة الواسعة أو المنهجية، والتقنيات الناشئة، والقرارات الآلية.
- جعل التسجيل في السجل الوطني لجهات التحكم إلزاميًا للجهات العامة، ولمن نشاطه الأساسي معالجة البيانات، ولمن يعالج بيانات حساسة، ولمن ينقل البيانات للخارج.
- منح الجهات 20 يوم عمل للرد على طلبات سدايا، واعتبار طلب صاحب البيانات مرفوضًا إذا لم يُرد عليه خلال 30 يومًا، مع حقه في الشكوى لسدايا.
- تشديد التسويق: موافقة موثقة ومحفوظة، وسحب واضح، وإتلاف بيانات التسويق عند سحب الموافقة.
- كتابة سياسة الخصوصية بلغة واضحة ومبسطة يعتادها الجمهور، وهي عمليًا العربية للمستخدمين في السعودية.

## قائمة امتثال لموقعك أو تطبيقك

1. اعمل خريطة للبيانات: كل نموذج وحقل حساب وخطوة دفع ومحادثة وأداة تحليل وخدمة خارجية، وما تجمعه من بيانات شخصية ولماذا وأين تُحفظ.
2. احذف الحقول غير اللازمة، وحدد الغرض والأساس النظامي لكل حقل متبقٍ.
3. اكتب سياسة الخصوصية بالعربية والإنجليزية مستعينًا بدليل سدايا لإعداد سياسة الخصوصية، واربطها عند كل نقطة جمع.
4. أضف شريط موافقة يمنع الأدوات غير الضرورية حتى يوافق الزائر، وموافقة تسويقية غير محددة مسبقًا ومسجلة.
5. جهّز طريقة لمعالجة طلبات الحقوق: بريد أو نموذج، وتحقق من الهوية، ومتابعة لمهلة 30 يومًا.
6. احمِ البنية: HTTPS، وصلاحيات إدارة حسب الدور مع التحقق بخطوتين، وتشفير الحقول الحساسة، والتحديثات، والسجلات، ونسخ احتياطية مختبرة.
7. اكتب خطة للتسرب: من يقرر، وكيف تُشعر سدايا عبر منصتها خلال 72 ساعة، وكيف تبلغ المتضررين.
8. راجع النقل: لكل خدمة خارج المملكة سجّل مسار النقل، واستخدم البنود التعاقدية القياسية من سدايا عند الحاجة.
9. تحقق هل يلزمك التسجيل كجهة تحكم أو تعيين مسؤول حماية بيانات، بالأدوات المتاحة في منصة سدايا.
10. احتفظ بسجل المعالجة وراجعه كلما أضفت ميزة أو نموذجًا أو مزودًا.

## إذا كنت تبيع في السعودية وعمان معًا

لسلطنة عمان قانونها الخاص لحماية البيانات الشخصية، وتشرف عليه وزارة النقل والاتصالات وتقنية المعلومات، بتصاريح ومهل وقواعد نقل مختلفة. ويمكن لموقع يخدم السوقين أن يعتمد إطار خصوصية واحدًا، لكن عليه أن يستوفي القاعدة الأشد في كل نقطة وأن يذكر القانونين. اقرأ دليلنا عن [الامتثال لقانون حماية البيانات الشخصية في عمان للمواقع والتطبيقات](https://www.ogblabs.com/ar/guides/oman-pdpl-compliance-websites-apps).

وإن كان الموقع متجرًا، فيضيف نظام التجارة الإلكترونية السعودي قاعدة بيانات خاصة به: تقيّد المادة الخامسة مدة الاحتفاظ ببيانات العملاء وتحظر إفشاءها للغير دون موافقة. ويغطيها دليلنا عن [متطلبات نظام التجارة الإلكترونية السعودي للمتاجر الإلكترونية](https://www.ogblabs.com/ar/guides/saudi-ecommerce-law-online-store-requirements) مع واجبات الإفصاح والاسترجاع والتوصيل.

## كيف تساعدك OGB Labs

في المشاريع السعودية نبني ضوابط النظام داخل المنتج بدل إضافتها في النهاية: خريطة البيانات في مرحلة الاستكشاف، ونماذج بالحد الأدنى، وصفحات خصوصية بالعربية أولًا، وإدارة موافقة تمنع الأدوات فعلًا، ومعالجة طلبات الحقوق، وسجلات تدقيق، وتشفير، واستضافة في منطقة سعودية حين تتطلب البيانات ذلك. ونعمل مع مستشارك القانوني على نص السياسة. تعرّف على [تطوير المواقع في السعودية](https://www.ogblabs.com/ar/locations/saudi-arabia)، وخدمتَي [المواقع](https://www.ogblabs.com/ar/services/websites) و[تطبيقات الجوال](https://www.ogblabs.com/ar/services/mobile-apps)، ودليلَي [بوابات الدفع في السعودية](https://www.ogblabs.com/ar/guides/payment-gateways-saudi-arabia) و[المرحلة الثانية من الفوترة الإلكترونية](https://www.ogblabs.com/ar/guides/zatca-e-invoicing-phase-2-saudi)، أو راسلنا على واتساب على الرقم ‎+968 7111 0727.

## الأسئلة الشائعة

### هل نظام حماية البيانات الشخصية السعودي نافذ؟

نعم. دخل حيز النفاذ في 14 سبتمبر 2023 مع مهلة سنة، وأصبح واجب التطبيق بالكامل منذ 14 سبتمبر 2024، وأصدرت لجان سدايا قرارات تطبيقية خلال 2025.

### من يشرف على حماية البيانات في السعودية؟

الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). تنشر النظام واللوائح والأدلة على منصة حوكمة البيانات الوطنية، وتدير السجل الوطني لجهات التحكم، وتستقبل إشعارات التسرب.

### ما عقوبات نظام حماية البيانات الشخصية السعودي؟

لأغلب المخالفات إنذار أو غرامة تصل إلى 5 ملايين ريال، وقد تُضاعف عند التكرار. أما الإفصاح عن البيانات الحساسة أو نشرها بقصد الإضرار أو لمصلحة شخصية فعقوبته السجن حتى سنتين وغرامة تصل إلى 3 ملايين ريال.

### هل يحتاج موقعي إلى سياسة خصوصية في السعودية؟

نعم. تشترط المادة 12 من النظام سياسة خصوصية متاحة للأفراد عند جمع بياناتهم. وتنشر سدايا دليلًا لإعدادها، ومسودة تعديلات 2026 تشترط كتابتها باللغة التي يعتادها جمهورك، أي العربية عمليًا.

### خلال كم يجب الإبلاغ عن تسرب البيانات في السعودية؟

خلال 72 ساعة من العلم به، إلى سدايا، إذا كان قد يضر البيانات الشخصية أو حقوق الأفراد. ويجب إبلاغ المتضررين دون تأخير غير مبرر إذا كان قد يلحق بهم ضرر. ومسودة 2026 تلغي شرط الضرر للإشعار إلى سدايا.

### هل يمكن استضافة موقع سعودي خارج السعودية؟

حاليًا نعم، إذا استوفى النقل المادة 29 من النظام ولائحة النقل، مثلًا باستخدام البنود التعاقدية القياسية من سدايا. ومسودة أكتوبر 2026 تضيف شرط حفظ البيانات داخل المملكة، فالأفضل للأنظمة الجديدة النظر في منطقة سحابية سعودية.

### هل ينطبق النظام على الشركات خارج السعودية؟

ينطبق على معالجة البيانات الشخصية لأفراد في المملكة، وفي بوابة سدايا تسجيل لجهات التحكم خارج المملكة. فإن كنت تبيع لعملاء في السعودية من الخارج، فخطط للامتثال.

### هل أحتاج موافقة لإرسال رسائل تسويقية بالبريد أو واتساب في السعودية؟

نعم بوجه عام. الرسائل الترويجية لمن لا تربطك به علاقة سابقة تحتاج موافقة، ويجب ذكر اسم المرسل بوضوح، وإتاحة إلغاء الاشتراك بسهولة ومجانًا. وقد عاقبت سدايا بالفعل على تسويق دون موافقة.

### هل أحتاج إلى مسؤول حماية بيانات؟

في حالات محددة فقط: إذا كانت أنشطتك الأساسية تشمل مراقبة الأفراد بانتظام ومنهجية أو معالجة بيانات حساسة، أو للجهات العامة ذات المعالجة الواسعة. وفي منصة سدايا أداة للتحقق.

## مواضيع ذات صلة

- [المواقع الإلكترونية](https://www.ogblabs.com/ar/services/websites): مواقع شركات ومنصات ويب مصممة حول علامتك، مبنية لتتصدر البحث وتحوّل الزوار إلى عملاء.
- [تطبيقات الجوال](https://www.ogblabs.com/ar/services/mobile-apps): تطبيقات iOS وAndroid يفتحها الناس كل يوم؛ نصممها ونطورها وننشرها في المتاجر.
- [كيف يوصي ChatGPT وPerplexity وGemini وذكاء جوجل الاصطناعي بشركتك: دليل للشركات العُمانية](https://www.ogblabs.com/ar/guides/get-cited-by-chatgpt-perplexity-google-ai): ما الذي يقرؤه ChatGPT وPerplexity وClaude وGemini ووضع الذكاء الاصطناعي في جوجل قبل أن يوصوا بشركة، وأي الزواحف تسمح لها، وماذا تنشر، وماذا تتجاهل.
- [كيف تقيس زيارات البحث بالذكاء الاصطناعي في Google Analytics 4 وSearch Console: ChatGPT وPerplexity وGemini وAI Overviews وAI Mode](https://www.ogblabs.com/ar/guides/measure-ai-search-traffic-ga4-search-console): قناة AI Assistant الجديدة في GA4، ومجموعات القنوات المخصصة لإحالات ChatGPT وPerplexity، وتقرير الذكاء الاصطناعي التوليدي في Search Console لـ AI Overviews وAI Mode.
- [التسجيل في ضريبة القيمة المضافة في السعودية للمتاجر الإلكترونية والتطبيقات: الحدود والبائعون الأجانب والمنصات والغرامات](https://www.ogblabs.com/ar/guides/saudi-vat-registration-online-sellers): متى يجب على المتجر الإلكتروني أو التطبيق السعودي أو الأجنبي التسجيل في ضريبة القيمة المضافة لدى الهيئة: حد 375,000 و187,500 ريال وقواعد المنصات والمهل والغرامات.

## تواصل معنا

- واتساب: +968 7111 0727 (https://wa.me/96871110727)
- نموذج التواصل: https://www.ogblabs.com/ar/contact
- البريد الإلكتروني: hello@ogblabs.com
- ساعات العمل: الأحد – الخميس، 9:00 – 18:00 بتوقيت الخليج
- المواقع: مسقط, دبي, الرياض (سلطنة عمان, الإمارات العربية المتحدة, المملكة العربية السعودية)