Wadira — اعثر على طريقك عبر أنظمة البيانات والخصوصية في المملكة العربية السعودية.

الرئيسية › الأطر التنظيمية › حماية البيانات الشخصية (PDPL) › لائحة نقل البيانات الشخصية خارج المملكة العربية السعودية

لائحة نقل البيانات الشخصية خارج المملكة العربية السعودية

النوع	Implementing Regulation
الجهة المُصدِرة	الهيئة السعودية للبيانات والذكاء الاصطناعي / مكتب إدارة البيانات الوطنية (SDAIA / NDMO)
الإطار	حماية البيانات الشخصية (PDPL)
المستوى	اللائحة التنفيذية واللوائح التنظيمية
الحالة النظامية	Binding
التواريخ	محدَّثة 2024

تضع لائحة نقل البيانات الشخصية إلى خارج المملكة المادة (29) من نظام حماية البيانات الشخصية موضع التطبيق العملي. وقد صدرت اللائحة أول مرة في سبتمبر 2023، ثم أُعيد إصدارها بالإصدار 2.0 في سبتمبر 2024، ونشرت سدايا البنود التعاقدية القياسية ودليلًا استرشاديًا لتقييم مخاطر النقل دعمًا لتطبيقها.

آلية النقل. يتطلب نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارجها وجود غرض مسموح به — فالأغراض المقررة في النظام (تنفيذ التزام بموجب اتفاقية تكون المملكة طرفًا فيها، أو خدمة مصالح المملكة، أو تنفيذ التزام يكون صاحب البيانات الشخصية طرفًا فيه) وسّعتها المادة (2) لتشمل عمليات المعالجة المركزية، وتقديم خدمة أو منفعة لصاحب البيانات الشخصية، والبحث العلمي. وعلى سدايا أن تنشر وتراجع — كل أربع سنوات أو كلما دعت الحاجة — قائمة بالدول والمنظمات التي توفر مستوى مناسبًا من الحماية (المادة (3))؛ وإلى حين صدور تلك القائمة تستند عمليات النقل عمليًا إلى الاستثناءات الواردة في المادة (4)، التي تشترط ضمانات مناسبة: البنود التعاقدية القياسية الصادرة عن سدايا، أو القواعد المشتركة الملزمة لمجموعات الشركات، أو شهادة اعتماد. ويظل النظام واللائحة ساريين على أي نقل لاحق للبيانات (المادة (5))، وتسقط الاستثناءات متى اختلت الضمانات (المادة (6))، ويلزم إجراء تقييم مخاطر موثق قبل عمليات النقل المستندة إلى الاستثناءات، وكذلك في حالات النقل المستمر أو الواسع النطاق للبيانات الحساسة (المادة (7)).

الأسئلة الشائعة

هل نحتاج إلى موافقة سدايا على كل عملية نقل؟

لا. لا يوجد اشتراط للحصول على موافقة لكل عملية نقل على حدة. وإنما يجب على جهة التحكم أن يتوافر لديها غرض مسموح به (المادة (29) من نظام حماية البيانات الشخصية؛ والمادة (2) من لائحة نقل البيانات الشخصية إلى خارج المملكة)، وأن تستوفي الشروط المقررة أو تندرج ضمن أحد الاستثناءات الواردة في المادة (4) مدعومًا بضمانات مناسبة، وأن توثق تقييمًا للمخاطر متى أوجبته المادة (7).

هل توجد قائمة سعودية بالدول ذات مستوى الحماية المناسب؟

توجب المادة (3) على الجهة المختصة نشر قائمة بالدول والمنظمات الدولية التي توفر مستوى مناسبًا من الحماية، على أن تُراجَع كل أربع سنوات أو عند الاقتضاء. وحتى منتصف عام 2026 لم تكن أي قائمة قد نُشرت؛ ولذلك تجري عمليات النقل عمليًا استنادًا إلى الاستثناءات الواردة في المادة (4) مع توافر الضمانات المناسبة.

ما الضمانات المعترف بها؟

تعترف المادة (4) بثلاث ضمانات: البنود التعاقدية القياسية الصادرة عن سدايا (نُشرت في سبتمبر 2024)، والقواعد المشتركة الملزمة لعمليات النقل داخل مجموعة الشركات الواحدة، وشهادات الاعتماد الصادرة عن الجهات المرخص لها. أما البنود التعاقدية القياسية على النمط الأوروبي فلا تُعد ضمانة معترفًا بها في المملكة.

متى يكون تقييم مخاطر النقل إلزاميًا؟

توجب المادة (7) إجراء التقييم قبل نقل البيانات الشخصية أو الإفصاح عنها بموجب الاستثناءات الواردة في المادة (4)، وكذلك كلما جرى نقل بيانات حساسة بصورة مستمرة أو على نطاق واسع. ويغطي التقييم الغرض والأساس النظامي، وطبيعة عملية النقل ونطاقها، والضمانات المطبقة، والاقتصار على الحد الأدنى من البيانات، والآثار المحتملة ومدى احتمال وقوعها، وتدابير التخفيف منها.

أبرز المواد

• Art. 1 — التعريفات. تعتمد التعريفات الواردة في المادة الأولى من نظام حماية البيانات الشخصية، وتحدد معاني مصطلحات خاصة بهذه اللائحة، منها الضمانات المناسبة، والعمليات التشغيلية، والبنود التعاقدية القياسية، والقواعد المشتركة الملزمة، فيما يتعلق بنقل البيانات الشخصية إلى خارج المملكة.
• Art. 2 — أغراض أخرى لنقل البيانات. تحدد أغراضاً أخرى لنقل البيانات الشخصية أو الإفصاح عنها لجهة خارج المملكة وفقاً للمادة (29) من النظام، ومنها تنفيذ العمليات اللازمة للمعالجة المركزية بما يمكّن جهة التحكم من مزاولة نشاطها، وتقديم خدمة أو منفعة لصاحب البيانات الشخصية، وإجراء البحوث والدراسات العلمية.
• Art. 3 — تقييم مستوى الحماية خارج المملكة. توجب على الجهة المختصة نشر قائمة بالدول والمنظمات الدولية التي توفر مستوى مناسباً لحماية البيانات الشخصية ومراجعتها كل أربع سنوات أو عند الحاجة، وفق معايير منها وجود تنظيمات لحماية البيانات، وجهة إشرافية معنية بإنفاذها، واستعدادها للتعاون مع الجهة المختصة. ويجوز للجهة المختصة تعديل القائمة أو تعليق النقل، وتسري المعايير أيضاً على المدن والمناطق الاقتصادية الخاصة والمراكز التجارية العالمية.
• Art. 4 — حالات الإعفاء والضمانات المناسبة. تعفي جهة التحكم في حالات محددة من شرطي توفر المستوى المناسب من الحماية والحد الأدنى من البيانات المنصوص عليهما في المادة (29) من النظام أو من أحدهما، شريطة تطبيق ضمانات مناسبة تشمل البنود التعاقدية القياسية أو القواعد المشتركة الملزمة أو شهادات الاعتماد. وتشمل الحالات الاتفاقيات بين الجهات العامة، والنقل غير المتكرر المحدود، والعمليات المركزية لمجموعات الكيانات متعددة الجنسيات، وتقديم خدمة أو منفعة لصاحب البيانات الشخصية، والبحث العلمي، مع مراجعة الجهة المختصة لكفاية الضمانات كل سنتين أو عند الحاجة.
• Art. 5 — النقل اللاحق للبيانات الشخصية. تقضي باستمرار سريان النظام ولوائحه على عمليات النقل اللاحق للبيانات الشخصية التي سبق نقلها أو الإفصاح عنها لجهة خارج المملكة، وذلك دون إخلال بأحكام المادتين (8) و(15) من النظام والمادة (17) من اللائحة التنفيذية.
• Art. 6 — إلغاء الإعفاء. تقضي بعدم سريان أي من الإعفاءات الممنوحة وفقاً للمادة (4) من اللائحة إذا أخفقت جهة التحكم في تطبيق الضمانات المناسبة، أو إذا قررت الجهة المختصة عدم كفاية تلك الضمانات في حالة معينة. وعلى جهة التحكم عندئذٍ إيقاف النقل أو الإفصاح وإشعار الجهات التي نُقلت إليها البيانات الشخصية أو أُفصح لها عنها.
• Art. 7 — تقييم مخاطر النقل. توجب على جهة التحكم إجراء تقييم للمخاطر قبل نقل البيانات الشخصية أو الإفصاح عنها لجهة خارج المملكة في حالات الإعفاء وفقاً للمادة (4) من اللائحة، وعند نقل البيانات الحساسة بصفة مستمرة أو واسعة النطاق. ويشمل التقييم الغرض والأساس النظامي، ووصف طبيعة النقل ونطاقه الجغرافي، والضمانات المناسبة ومدى كفايتها، وتدابير الاقتصار على الحد الأدنى من البيانات، والآثار المادية والمعنوية المحتملة واحتمالية وقوعها، والتدابير اللازمة لمنع المخاطر أو الحد من آثارها.
• Art. 8 — الأدلة والإرشادات. تقضي بأن تصدر الجهة المختصة الأدلة والإرشادات المتعلقة بالأحكام الواردة في هذه اللائحة الخاصة بنقل البيانات الشخصية إلى خارج المملكة.
• Art. 9 — النفاذ. يُعمل باللائحة من تاريخ نشرها في الجريدة الرسمية.

الوثائق

• النص الرسمي المستضاف (PDF، إنجليزي)
• المصدر الرسمي (sdaia.gov.sa)

تحديثات هذه الأداة

• 2025-02-25 — دليل تقييم مخاطر النقل عبر الحدود: أصدرت سدايا منهجية غير ملزمة من أربع مراحل لتقييم مخاطر نقل البيانات الشخصية خارج المملكة، مع أداة مصاحبة لتقييم المخاطر على منصة حوكمة البيانات الوطنية.

ضمن هذا الإطار

• نظام حماية البيانات الشخصية (PDPL)
• اللائحة التنفيذية
• قواعد تعيين مسؤول حماية البيانات (DPO)
• قواعد تنظيم السجل الوطني للمتحكمين
• الشروط التعاقدية النموذجية (SCCs)
• القواعد الملزِمة المشتركة (BCRs)
• قواعد تدقيق المتحكمين والمعالجين وتفتيشهم
• قواعد تنظيم إصدار شهادات الاعتماد
• قواعد عمل اللجنة
• دليل سياسة الخصوصية (الإشعار)
• دليل الإتلاف / إخفاء الهوية / الترميز المستعار
• دليل الإفصاح عن البيانات الشخصية
• دليل سجلّات أنشطة المعالجة (RoPA)
• الدليل الإجرائي لحوادث انتهاك البيانات الشخصية
• دليل النقل إلى دولة غير ذات مستوى حماية ملائم
• دليل التقييم الذاتي (متضمنًا أداة تحديد الحاجة إلى مسؤول حماية البيانات)
• دليل الحد الأدنى من البيانات الشخصية
• دليل نظام حماية البيانات الشخصية (PDPL) للمتحكمين والمعالجين

---

المحتوى وبيانات السجل مرخّصة CC BY 4.0 — يُستشهد بالرابط المباشر. سجل قابل للقراءة الآلية (JSON) · سجل بصيغة Markdown · آخر تحقق من المحتوى: 2026-07-27