م/19 (2021)، المعدّل م/148 (2023)؛ ساري المفعول في 14 سبتمبر 2023
يُعد نظام حماية البيانات الشخصية أول نظام شامل لحماية البيانات في المملكة العربية السعودية — فقد صدر بالمرسوم الملكي رقم (م/19) (9/2/1443هـ، 16 سبتمبر 2021)، ونُشر في جريدة أم القرى الرسمية في 24 سبتمبر 2021، وعُدِّل بالمرسوم الملكي رقم (م/148) بتاريخ 27 مارس 2023، وأصبح نافذًا اعتبارًا من 14 سبتمبر 2023، مع انتهاء المهلة التصحيحية للامتثال التي منحتها سدايا في 14 سبتمبر 2024. وتتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) الإشراف على تنفيذ النظام بوصفها الجهة المختصة (المادة (30)).
نطاق التطبيق. يسري النظام على أي معالجة للبيانات الشخصية تجري داخل المملكة، كما يسري — وهو أمر جدير بالملاحظة — على معالجة البيانات الشخصية للمقيمين في المملكة من قِبل جهات خارج المملكة (المادة (2)). ويمتد النظام ليشمل بيانات المتوفين إذا كان من شأنها أن تؤدي إلى التعرف عليهم أو على أحد أفراد أسرهم؛ ويُستثنى من نطاقه الاستخدام الشخصي أو العائلي المحض.
كيفية التنظيم. تقوم المعالجة على الموافقة بوصفها الأصل العام (المادة (5))، مع استثناءات تشمل تحقيق مصلحة فعلية لصاحب البيانات الشخصية، أو الاستناد إلى نظام آخر أو اتفاق سابق، أو المتطلبات الأمنية أو القضائية للجهات العامة، أو المصلحة المشروعة لجهة التحكم فيما لا يتصل بالبيانات الحساسة (المواد (6) و(10) و(15)). ولصاحب البيانات الشخصية الحق في العلم بمعالجة بياناته، والاطلاع عليها، والحصول على نسخة منها، وتصحيحها، وإتلافها (المادة (4)). ويجب على جهة التحكم نشر سياسة الخصوصية (المادة (12))، والتحقق من دقة البيانات (المادة (14))، وحماية البيانات (المادة (19))، والإشعار عن حوادث تسرب البيانات (المادة (20) — خلال (72) ساعة إلى سدايا بموجب اللائحة التنفيذية)، وإجراء تقييم الأثر (المادة (22))، والاحتفاظ بسجلات أنشطة المعالجة (المادة (31)). ويجوز نقل البيانات إلى خارج المملكة لأغراض محددة مع مراعاة الضمانات المقررة (المادة (29)، وتفصّلها لائحة نقل البيانات الشخصية إلى خارج المملكة).
العقوبات. يُعد إفشاء البيانات الحساسة بقصد الإضرار بصاحبها أو بقصد تحقيق منفعة شخصية جريمة جنائية — عقوبتها السجن مدة لا تزيد على سنتين وغرامة لا تزيد على (3,000,000) ريال أو إحدى هاتين العقوبتين، وتتولى النيابة العامة الادعاء في شأنها (المادة (35)). وتستوجب أي مخالفة أخرى الإنذار أو غرامة لا تزيد على (5,000,000) ريال، تُضاعف في حال تكرار المخالفة، وتوقعها لجان النظر في المخالفات لدى سدايا مع جواز التظلم أمام المحكمة المختصة (المادة (36)). ويجوز للمحكمة الحكم بالمصادرة ونشر الأحكام (المادة (38))، ولمن لحقه ضرر المطالبة بالتعويض (المادة (40)).
الأسئلة الشائعة
هل يسري نظام حماية البيانات الشخصية السعودي على الشركات خارج المملكة العربية السعودية؟
نعم. تمد المادة (2) نطاق سريان النظام ليشمل أي معالجة للبيانات الشخصية الخاصة بالأفراد المقيمين في المملكة من قِبل جهات خارجها، وتقضي المادة (33) بأن تضع الجهة المختصة آليات لمراقبة امتثال جهات التحكم وجهات المعالجة خارج المملكة وإنفاذ ذلك الامتثال.
هل تُشترط الموافقة دائمًا لمعالجة البيانات الشخصية؟
لا. الموافقة هي الأساس النظامي الأصل للمعالجة (المادة (5))، غير أن المواد (6) و(10) و(15) تجيز المعالجة من دونها — بما في ذلك تحقيق مصلحة فعلية لصاحب البيانات الشخصية متى كان الاتصال به مستحيلًا أو صعبًا، أو الاستناد إلى نظام آخر أو اتفاق سابق مع صاحب البيانات الشخصية، أو الأغراض الأمنية أو القضائية للجهات العامة، أو تحقيق المصلحة المشروعة لجهة التحكم شريطة عدم معالجة أي بيانات حساسة.
ما العقوبات المترتبة على مخالفة نظام حماية البيانات الشخصية؟
يعاقَب على الإفشاء غير المشروع للبيانات الحساسة بقصد الإضرار أو تحقيق منفعة شخصية بالسجن مدة لا تزيد على سنتين وغرامة لا تزيد على (3,000,000) ريال أو بإحدى هاتين العقوبتين (المادة (35)). وتستوجب المخالفات الأخرى الإنذار أو غرامة لا تزيد على (5,000,000) ريال تُضاعف في حال تكرار المخالفة (المادة (36))، إضافة إلى إمكانية الحكم بالمصادرة ونشر الحكم (المادة (38)) والتعويض المدني (المادة (40)).
متى دخل نظام حماية البيانات الشخصية حيز النفاذ؟
دخل النظام حيز النفاذ في 14 سبتمبر 2023 — أي بعد (720) يومًا من نشره في الجريدة الرسمية (المادة (43)) — وانتهت الفترة الانتقالية التي حددتها سدايا للامتثال الكامل في 14 سبتمبر 2024. وقد صاحبت النظامَ اللائحةُ التنفيذية، وأُعيد إصدار لائحة نقل البيانات الشخصية إلى خارج المملكة بالإصدار 2.0 في سبتمبر 2024.
أبرز المواد
Art. 1 — التعريفات. مادة تعريفية تحدد تسعة عشر مصطلحًا مستخدمًا في النظام، منها البيانات الشخصية والمعالجة والجمع والإفصاح والنقل والبيانات الحساسة والبيانات الوراثية والبيانات الصحية والبيانات الائتمانية وصاحب البيانات الشخصية والجهة العامة وجهة التحكم وجهة المعالجة والجهة المختصة، وتسري هذه المعاني ما لم يقتضِ السياق خلاف ذلك.
Art. 2 — نطاق سريان النظام. تحدد نطاق سريان النظام؛ إذ يسري على أي معالجة للبيانات الشخصية تتم في المملكة بأي وسيلة، بما في ذلك معالجة بيانات المقيمين فيها من أي جهة خارج المملكة، ويشمل بيانات المتوفين إذا كانت تؤدي إلى تحديد هويتهم أو هوية أحد أفراد أسرهم تحديدًا. ويُستثنى الاستخدام الشخصي أو العائلي ما لم تُنشر البيانات أو يُفصح عنها للغير، وتحدد اللوائح هذا الاستخدام.
Art. 3 — العلاقة بالأنظمة الأخرى. تنص على أن ما تضمنه النظام من أحكام وإجراءات لا يخل بأي حكم يمنح صاحب البيانات الشخصية حقًا أو يقرر حماية أفضل للبيانات الشخصية بموجب أي نظام آخر أو اتفاقية دولية تكون المملكة طرفًا فيها.
Art. 5 — الموافقة وسحبها. تحظر معالجة البيانات الشخصية أو تغيير الغرض من معالجتها دون موافقة صاحبها إلا في الحالات التي نص عليها النظام. وتحدد اللوائح شروط الموافقة والحالات التي يجب أن تكون فيها صريحة والأحكام المتعلقة بموافقة الولي إذا كان صاحب البيانات فاقد الأهلية أو ناقصها. ولصاحب البيانات سحب موافقته في أي وقت وفق الضوابط التي تحددها اللوائح.
Art. 6 — حالات الاستثناء من الموافقة. تعدد أربع حالات لا تخضع فيها المعالجة للموافقة: إذا حققت مصلحة فعلية لصاحب البيانات وتعذر الاتصال به أو صعب؛ أو كانت بموجب نظام آخر أو تنفيذًا لاتفاق سابق يكون طرفًا فيه؛ أو كانت جهة التحكم جهة عامة وتطلبتها أغراض أمنية أو متطلبات قضائية؛ أو كانت لازمة لمصلحة مشروعة لجهة التحكم دون معالجة بيانات حساسة.
Art. 7 — عدم اشتراط الموافقة لتقديم الخدمة. تقضي بأنه لا يجوز أن تكون الموافقة على المعالجة شرطًا لتقديم خدمة أو الحصول على مزية، ما لم تكن الخدمة أو المزية مرتبطة ارتباطًا مباشرًا بمعالجة البيانات الشخصية التي تُمنح الموافقة من أجلها.
Art. 4 — حقوق صاحب البيانات. حقوق صاحب البيانات: الحق في العلم، والوصول إلى بياناته، والحصول على نسخة بصيغة مقروءة، وطلب تصحيحها أو إكمالها أو تحديثها، وطلب إتلافها.
Art. 8 — اختيار جهة المعالجة والرقابة عليها. توجب على جهة التحكم ألا تختار إلا جهات معالجة تقدم الضمانات اللازمة لتطبيق أحكام النظام واللوائح، وأن تراقب التزامها بها. وتظل جهة التحكم مسؤولة تجاه صاحب البيانات الشخصية والجهة المختصة. وتحدد اللوائح الأحكام اللازمة في هذا الشأن، بما فيها الأحكام المتعلقة بالعقود اللاحقة التي تبرمها جهة المعالجة.
Art. 20 — الإبلاغ عن الانتهاك (الالتزام). يفرض واجب إشعار الجهة المختصة وأصحاب البيانات المتأثرين بانتهاك البيانات الشخصية. ولا يحدد النظام مهلة؛ ومهلة الـ72 ساعة مقررة في المادة 24 من اللائحة التنفيذية.
Art. 9 — قيود حق الاطلاع. تجيز لجهة التحكم وضع أطر زمنية لممارسة حق الاطلاع على البيانات الشخصية وتقييد هذا الحق إذا كان ذلك لازمًا لحماية صاحب البيانات أو غيره من أي ضرر، أو إذا كانت جهة التحكم جهة عامة واقتضت ذلك أغراض أمنية أو نظام آخر أو متطلبات قضائية. ويجب منع الاطلاع في الحالات الواردة في المادة السادسة عشرة.
Art. 22 — تقييم الأثر. تُجري جهة التحكم تقييماً للأثر لأي منتج أو خدمة تتضمن معالجة بيانات شخصية، وفقاً للائحة (مفصَّلة في المادة 25 من اللائحة التنفيذية).
Art. 31 — سجلات المعالجة (النظام). يحدد المعلومات التي يجب أن يتضمنها سجل أنشطة المعالجة لدى جهة التحكم (تفصّلها المادة 33 من اللائحة التنفيذية).
Art. 10 — مصادر الجمع وحدود الغرض. توجب جمع البيانات الشخصية من صاحبها مباشرة وقصر معالجتها على الغرض الذي جُمعت من أجله، مع سبع حالات استثنائية: الموافقة؛ والبيانات المتاحة للعموم؛ ومتطلبات الجهات العامة؛ وتفادي الإضرار بصاحب البيانات أو المساس بمصالحه الحيوية؛ وحماية الصحة العامة أو السلامة العامة أو حياة الأفراد؛ والحفظ بصورة لا تحدد الهوية؛ والمصلحة المشروعة لجهة التحكم دون معالجة بيانات حساسة.
Art. 11 — ضوابط جمع البيانات. تضع معايير للجمع: أن يكون الغرض مرتبطًا ارتباطًا مباشرًا بأغراض جهة التحكم وغير مخالف لأي نص نظامي؛ وأن تكون أساليب الجمع ووسائله نظامية ومناسبة ومباشرة وواضحة وآمنة وخالية من الخداع أو التضليل أو الابتزاز؛ وأن يقتصر المحتوى على الحد الأدنى اللازم لتحقيق الغرض؛ مع إيقاف الجمع وإتلاف ما سبق جمعه متى انتفت الحاجة إليه.
Art. 12 — سياسة الخصوصية. توجب على جهة التحكم اعتماد سياسة خصوصية وإتاحتها لأصحاب البيانات الشخصية قبل جمع بياناتهم. ويجب أن تبين السياسة الغرض من الجمع، والبيانات الشخصية المراد جمعها، ووسيلة جمعها ومعالجتها وحفظها وإتلافها، ومعلومات عن حقوق صاحب البيانات وكيفية ممارستها.
Art. 13 — الإحاطة عند الجمع المباشر. تلزم جهة التحكم عند جمع البيانات الشخصية من صاحبها مباشرة بإحاطته بالسند النظامي للجمع، والغرض منه، وما هو إلزامي وما هو اختياري من البيانات، وهوية جهة الجمع، والجهات التي سيُفصح لها عنها، وما إذا كانت ستُنقل أو تُعالج خارج المملكة، والآثار المحتملة لعدم الجمع، وحقوقه بموجب النظام، وما تحدده اللوائح من عناصر أخرى.
Art. 14 — دقة البيانات الشخصية. تحظر على جهة التحكم معالجة البيانات الشخصية دون اتخاذ خطوات كافية للتحقق من دقتها واكتمالها وحداثتها وملاءمتها للغرض الذي جُمعت من أجله، وذلك وفقًا لأحكام النظام.
Art. 15 — حالات جواز الإفصاح. تقصر الإفصاح عن البيانات الشخصية على ست حالات: موافقة صاحب البيانات؛ أو جمعها من مصدر متاح للعموم؛ أو طلب جهة عامة لأغراض المصلحة العامة أو لأغراض أمنية أو لتنفيذ نظام آخر أو متطلبات قضائية؛ أو حماية الصحة العامة أو السلامة العامة أو حياة أفراد بعينهم؛ أو معالجة لاحقة بصورة لا تحدد الهوية؛ أو مصلحة مشروعة لجهة التحكم دون بيانات حساسة.
Art. 16 — حالات حظر الإفصاح. تحظر الإفصاح في عدد من حالات المادة الخامسة عشرة إذا كان يمثل تهديدًا للأمن، أو يضر بسمعة المملكة أو مصالحها أو علاقاتها مع الدول الأخرى، أو يحول دون اكتشاف جريمة أو يمس حق متهم في محاكمة عادلة، أو يعرض سلامة فرد للخطر، أو ينتهك خصوصية شخص آخر، أو يتعارض مع مصلحة ناقص الأهلية أو فاقدها، أو يخل بالتزامات مهنية أو بقرار قضائي، أو يكشف مصدرًا سريًا للمعلومات بما يضر بالمصلحة العامة.
Art. 17 — الإشعار بتصحيح البيانات. مادة إجرائية: عند تصحيح البيانات الشخصية أو إكمالها أو تحديثها، يجب على جهة التحكم إشعار جميع الجهات التي نُقلت إليها البيانات بالتعديل وإتاحته لها. وتحدد اللوائح المدد الزمنية للتصحيح والتحديث وأنواع التصحيح والإجراءات اللازمة لتفادي آثار معالجة بيانات غير صحيحة أو غير دقيقة أو غير محدثة.
Art. 18 — إتلاف البيانات والاحتفاظ بها. توجب على جهة التحكم إتلاف البيانات الشخصية دون تأخير متى انتفت الحاجة إليها، مع جواز الاحتفاظ بها بصورة لا تؤدي إلى تحديد هوية صاحبها وفق ضوابط اللوائح. ويجب الاحتفاظ بها بعد انتهاء الغرض إذا وُجد سند نظامي يقضي بذلك لمدة محددة أو كانت متصلة بقضية منظورة أمام جهة قضائية، على أن تُتلف بعد ذلك.
Art. 19 — التدابير الأمنية لحماية البيانات. توجب على جهة التحكم اتخاذ جميع التدابير التنظيمية والإدارية والتقنية اللازمة لحماية البيانات الشخصية، بما في ذلك عند نقلها، وفقًا للأحكام والضوابط التي تحددها اللوائح.
Art. 21 — الاستجابة لطلبات أصحاب البيانات. حكم إجرائي يلزم جهة التحكم بالاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه بموجب النظام خلال المدة وبالطريقة اللتين تحددهما اللوائح.
Art. 23 — ضوابط معالجة البيانات الصحية. تقضي بأن تتضمن اللوائح ضوابط وإجراءات إضافية لمعالجة البيانات الصحية بما يضمن خصوصية أصحابها ويحمي حقوقهم، ومنها قصر الاطلاع على البيانات الصحية، بما فيها الملفات الطبية، على أقل عدد ممكن من الموظفين والعاملين وبالقدر اللازم لتقديم الخدمات الصحية، وقصر عمليات المعالجة على القدر اللازم لتقديم الخدمات الصحية أو برامج التأمين الصحي.
Art. 24 — ضوابط معالجة البيانات الائتمانية. توجب أن تتضمن اللوائح ضوابط وإجراءات إضافية لمعالجة البيانات الائتمانية بما يتفق مع هذا النظام ونظام المعلومات الائتمانية، ومنها التحقق من موافقة صاحب البيانات الصريحة على جمعها أو تغيير الغرض من جمعها أو الإفصاح عنها أو نشرها، وإشعاره عند ورود طلب من أي جهة للإفصاح عن بياناته الائتمانية.
Art. 25 — المواد الدعائية والتوعوية. تحظر استخدام وسائل الاتصال الشخصية لصاحب البيانات، بما فيها البريد العادي والإلكتروني، لإرسال مواد دعائية أو توعوية، باستثناء المواد التوعوية التي ترسلها الجهات العامة، ما لم تتوافر موافقة مسبقة من المستهدف ويوفر المرسل آلية واضحة تمكنه من طلب إيقاف إرسالها. وتحدد اللوائح الأحكام المتعلقة بهذه المواد وبموافقة المستقبِل.
Art. 26 — المعالجة للأغراض التسويقية. تجيز معالجة البيانات الشخصية، عدا البيانات الحساسة، للأغراض التسويقية بشرط أن تكون قد جُمعت من صاحبها مباشرة وأن يكون قد وافق على ذلك وفقًا لأحكام النظام، وتحدد اللوائح الضوابط اللازمة في هذا الشأن.
Art. 27 — الأغراض العلمية والبحثية والإحصائية. تجيز جمع البيانات الشخصية أو معالجتها دون موافقة صاحبها للأغراض العلمية أو البحثية أو الإحصائية إذا كانت لا تدل على هويته تحديدًا، أو أُتلف ما يدل على هويته أثناء المعالجة وقبل الإفصاح عنها ولم تكن بيانات حساسة، أو كان ذلك مقتضى نظام آخر أو تنفيذًا لاتفاق سابق يكون طرفًا فيه. وتحدد اللوائح الضوابط اللازمة.
Art. 28 — نسخ الوثائق الرسمية. تحظر نسخ الوثائق الرسمية التي تدل على هوية أصحاب البيانات الشخصية، إلا إذا كان النسخ مطلوبًا بموجب نص نظامي أو بطلب من جهة عامة مختصة وفقًا لما تحدده اللوائح.
Art. 29 — نقل البيانات خارج المملكة. تجيز نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارجها تنفيذًا لاتفاقية تكون المملكة طرفًا فيها، أو خدمةً لمصالحها، أو تنفيذًا لالتزام يكون صاحب البيانات طرفًا فيه، أو لأغراض أخرى تحددها اللوائح؛ وذلك بشروط تتعلق بعدم المساس بالأمن الوطني، ووجود مستوى حماية مناسب تُقيّمه الجهة المختصة، والاقتصار على الحد الأدنى من البيانات، وتُستثنى من الشروط حالات الضرورة القصوى المتعلقة بالحياة أو الصحة.
Art. 30 — إشراف الجهة المختصة. تُسند إلى الجهة المختصة، دون إخلال بصلاحيات البنك المركزي السعودي، مهمة الإشراف على تنفيذ النظام واللوائح. وتحدد اللوائح الحالات التي يجب فيها على جهة التحكم تعيين مسؤول (أو أكثر) لحماية البيانات الشخصية. وتلتزم جهة التحكم بالتعاون مع الجهة المختصة، التي لها طلب الوثائق والمعلومات، والاستعانة بالغير، وإنشاء سجل وطني لجهات التحكم، وتحصيل مقابل مالي عن خدماتها، وتفويض بعض مهماتها إلى جهات أخرى.
Art. 32 — مادة ملغاة. يقتصر نص هذه المادة على بيان أنها مُلغاة، فلا تتضمن أي أحكام نافذة في النسخة المعدلة من النظام، بما يعكس إلغاء محتواها السابق مع المحافظة على تسلسل ترقيم مواد النظام.
Art. 33 — التراخيص والاعتماد والتدقيق. تخوّل الجهة المختصة وضع متطلبات مزاولة الأنشطة التجارية أو المهنية أو غير الربحية المتعلقة بحماية البيانات الشخصية، ومنح تراخيص للجهات التي تصدر شهادات اعتماد لجهات التحكم وجهات المعالجة، ومنح تراخيص لجهات التدقيق والفحص على أنشطة معالجة البيانات، وتحديد الأدوات والآليات والإجراءات اللازمة لمراقبة التزام جهات التحكم والمعالجة خارج المملكة التي تعالج بيانات المقيمين فيها وإنفاذ أحكام النظام خارجها.
Art. 34 — الشكاوى لدى الجهة المختصة. مادة إجرائية تخوّل صاحب البيانات الشخصية التقدم إلى الجهة المختصة بأي شكوى تنشأ عن تطبيق النظام واللوائح، وتقضي بأن تحدد اللوائح قواعد معالجة تلك الشكاوى.
Art. 35 — عقوبة الإفصاح عن البيانات الحساسة. حكم جزائي: يعاقب من يفصح عن بيانات حساسة أو ينشرها بالمخالفة لأحكام النظام بقصد الإضرار بصاحب البيانات أو تحقيق منفعة شخصية بالسجن مدة لا تزيد على سنتين أو بغرامة لا تزيد على ثلاثة ملايين ريال أو بهما معًا. وتتولى النيابة العامة التحقيق والادعاء، وتختص المحكمة المختصة بالفصل ولها مضاعفة الغرامة في حال العود.
Art. 36 — العقوبات الإدارية. تقرر في غير الحالات المشمولة بالمادة الخامسة والثلاثين عقوبة الإنذار أو غرامة لا تزيد على خمسة ملايين ريال، مع جواز مضاعفتها عند تكرار المخالفة. وتتولى لجنة (أو أكثر) لا يقل أعضاؤها عن ثلاثة، تُشكل بقرار من رئيس الجهة المختصة، النظر في المخالفات وإيقاع العقوبات بعد اعتماد قراراتها من الرئيس، ويجوز الاعتراض عليها أمام المحكمة المختصة.
Art. 37 — صلاحيات الضبط والتفتيش. تمنح الموظفين والعاملين المعينين بقرار من رئيس الجهة المختصة صلاحيات ضبط مخالفات أحكام النظام واللوائح والتفتيش عليها وفق القواعد التي يصدرها الرئيس، ولهم الاستعانة بجهات التحري الجنائي وغيرها من الجهات المختصة لأداء مهماتهم، وللجهة المختصة حجز الوسائل أو الأدوات المستخدمة في ارتكاب المخالفة حتى يُبت فيها.
Art. 38 — المصادرة ونشر الأحكام. تجيز للمحكمة المختصة، دون إخلال بحقوق الغير حسن النية، الحكم بمصادرة الأموال المتحصلة من ارتكاب المخالفات المنصوص عليها في النظام. كما يجوز للمحكمة أو للجنة النظر في المخالفات تضمين الحكم أو القرار النص على نشر ملخصه على نفقة المخالف بعد صيرورته نهائيًا، بحسب نوع المخالفة وجسامتها وأثرها.
Art. 39 — تأديب موظفي الجهات العامة. توجب على الجهة العامة، دون إخلال بما ورد في المادة الخامسة والثلاثين والفقرة الأولى من المادة السادسة والثلاثين، تأديب أي من موظفيها يخالف أيًا من أحكام النظام واللوائح، وفقًا لأحكام وإجراءات التأديب المقررة نظامًا.
Art. 40 — التعويض عن الضرر. تخوّل كل من لحقه ضرر ناتج عن مخالفة أي من الأحكام الواردة في النظام أو اللوائح اللجوء إلى المحكمة المختصة للمطالبة بتعويض يتناسب مع الضرر المادي أو المعنوي الذي أصابه، دون إخلال بالعقوبات المقررة في النظام.
Art. 41 — الالتزام المستمر بالسرية. تفرض على كل من يشارك في معالجة البيانات الشخصية التزامًا بالمحافظة على سريتها، ويستمر هذا الالتزام حتى بعد انتهاء علاقته الوظيفية أو التعاقدية.
Art. 42 — إصدار اللوائح التنفيذية. توجب على رئيس الجهة المختصة إصدار اللوائح خلال مدة لا تتجاوز سبعمائة وعشرين يومًا من تاريخ نشر النظام، بعد التنسيق مع سبع جهات محددة، منها وزارة الاتصالات وتقنية المعلومات ووزارة الخارجية والهيئة الوطنية للأمن السيبراني وهيئة الحكومة الرقمية والمجلس الصحي السعودي والبنك المركزي السعودي، كل فيما يخصه.
Art. 43 — بدء العمل بالنظام. حكم ختامي ينص على أن يُعمل بالنظام بعد مضي سبعمائة وعشرين يومًا من تاريخ نشره في الجريدة الرسمية.
2026-07-07 — SDAIA consults on standards guides for the PDPL certification and audit market: SDAIA opened a consultation (closing 6 August 2026, as reported) on three draft standards guides implementing the March-gazetted licensing rules: standards for issuing accreditation certificates to controllers and proces
2026-06-29 — SDAIA committees issue further PDPL fines and warnings: SDAIA's violation-review committees announced a further package of decisions — fines and warnings against several entities — for direct marketing without explicit consent and failing to maintain measures enabling timely
2026-03-06 — PDPL audit and certification licensing rules gazetted: Two SDAIA instruments (Decisions 5135/2 and 5316, dated 16 December 2025; gazetted in Umm Al-Qura on 6 March 2026) create the PDPL compliance-services market: licences for accreditation-certificate issuers (SAR 10m capit
2026-01-15 — سدايا تُعلن عن 48 قراراً بإنفاذ نظام حماية البيانات: أكدت لجان سدايا المختصة 48 مخالفة لنظام حماية البيانات الشخصية في أول موجة إنفاذ جوهرية — معظمها معالجة دون أساس نظامي، وإفصاح غير مصرّح، وتسويق دون موافقة. ونُشرت القرارات بشكل إجمالي دون تسمية الجهات.