Wadira: اعثر على طريقك عبر أنظمة البيانات والخصوصية في المملكة العربية السعودية.
الرئيسية › الدليل › إنفاذ نظام حماية البيانات الشخصية والعقوبات: الغرامات واللجان والقرارات
تتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا، SDAIA) إنفاذ نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية. وتتولى لجان متخصصة مشكّلة وفق (المادة 36) التحقيق في المخالفات وإيقاع العقوبات الإدارية (الإنذار أو غرامة لا تزيد على 5 ملايين ريال سعودي، تُضاعف في حال تكرار المخالفة)، ويجوز التظلم منها أمام المحكمة المختصة. وتبقى جريمة جنائية واحدة: إفشاء البيانات الحساسة أو نشرها بقصد الإضرار بصاحب البيانات أو بقصد تحقيق منفعة شخصية (السجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على 3 ملايين ريال سعودي)، وتتولى النيابة العامة التحقيق فيها والادعاء. وأعلنت سدايا في يناير 2026 صدور 48 قرارًا بثبوت مخالفات، كما أُعلن عن غرامات وإنذارات أخرى في يونيو 2026.
| المخالفة | السند النظامي | العقوبة القصوى | ملاحظات |
|---|---|---|---|
| إفشاء البيانات الحساسة أو نشرها بقصد الإضرار بصاحب البيانات أو بقصد تحقيق منفعة شخصية | المادة 35(1) من النظام | السجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على 3,000,000 ريال سعودي | جنائية. تتولى النيابة العامة التحقيق والادعاء؛ ويجوز للمحكمة مضاعفة الغرامة في حال العود، بما لا يتجاوز 6,000,000 ريال سعودي |
| أي مخالفة أخرى للنظام أو لوائحه (المعالجة دون سند نظامي، أو الإفصاح غير المشروع، أو عدم كفاية التدابير الأمنية، أو التسويق دون موافقة، أو الإخلال بالإشعار عن حوادث التسرب أو بمتطلبات مسؤول حماية البيانات…) | المادة 36(1) من النظام | الإنذار، أو غرامة لا تزيد على 5,000,000 ريال سعودي | إدارية. توقعها لجان سدايا؛ وتُضاعف في حال تكرار المخالفة، بما لا يتجاوز 10,000,000 ريال سعودي |
| النقل غير المشروع للبيانات عبر الحدود *(حكم سابق)* | المادة 35 السابقة (نص 2021) | كانت: السجن مدة لا تزيد على سنة و/أو 1,000,000 ريال سعودي | أُلغيت بموجب تعديلات مارس 2023 (م/148)؛ وأصبحت مخالفات النقل إدارية وفق المادة 36 |
| مصادرة الأموال المتحصلة من المخالفة | المادة 38(1) | المصادرة (دون حد أقصى) | تأمر بها المحكمة المختصة |
| نشر ملخص القرار | المادة 38(2) | النشر على نفقة المخالف | يجوز للمحكمة أو اللجنة الأمر به متى أصبح القرار نهائيًا |
| المخالفات المرتكبة من موظفي الجهات العامة | المادة 39 | عقوبات تأديبية | وفق أنظمة الخدمة المدنية، دون الإخلال بالمادتين 35 و36 |
| الأضرار اللاحقة بالأفراد | المادة 40 | تعويض يتناسب مع الضرر المادي أو المعنوي (دون حد أقصى) | دعوى مدنية أمام المحكمة المختصة |
في يناير 2026، أفادت وكالة الأنباء السعودية (SPA) بأن لجان النظر في مخالفات نظام حماية البيانات الشخصية، العاملة لدى سدايا، أصدرت 48 قرارًا بثبوت مخالفات وإيقاع عقوبات على جهات التحكم خلال العام السابق (SPA). وذكرت سدايا أربع فئات من المخالفات: جمع البيانات الشخصية ومعالجتها دون مسوغ نظامي؛ والإفصاح عن البيانات الشخصية دون سند نظامي؛ وعدم تطبيق التدابير التنظيمية والإدارية والتقنية الملائمة لحمايتها؛ وإرسال رسائل إعلانية أو تسويقية دون موافقة أصحاب البيانات. ولم يُكشف عن مبالغ الغرامات أو أسماء الجهات أو أعداد المخالفات في كل فئة. وأفاد تحليل IAPP كذلك بأن القطاعات المتأثرة تشمل التجزئة والاتصالات والخدمات المالية. وتصف تنبيهات مكاتب المحاماة (A&O Shearman، وClyde & Co، وLatham & Watkins) ذلك بأنه أول موجة جوهرية من الفصل في المخالفات منذ أن أصبح النظام نافذًا بالكامل في 14 سبتمبر 2024.
في 29 يونيو 2026، أعلنت سدايا دفعة أخرى من قرارات اللجان (غرامات وإنذارات متفاوتة). وذكر بيان سدايا نفسها عبر وكالة الأنباء السعودية (SPA N2623969) التسويق المباشر دون موافقة صريحة، وعدم توفير تدابير تتيح الاستجابة لطلبات أصحاب البيانات في الوقت المحدد، وعدم الإشعار خلال 72 ساعة، وعدم كفاية التدابير الأمنية، وعدم تعيين مسؤول حماية البيانات عند وجوبه. ولم تُنشر أسماء أو مبالغ هذه المرة أيضًا. ولم تُعلن أي دفعة إنفاذ أخرى بين 30 يونيو و20 أكتوبر 2026.
يجري الإنفاذ الإداري عبر لجنة أو أكثر تُشكَّل بقرار من رئيس سدايا (المادة 36(2))، وفق القواعد الإجرائية للجان النظر في المخالفات: لا يقل عدد أعضاء اللجنة عن ثلاثة، من بينهم مختص تقني ومستشار نظامي، ولها صلاحية استدعاء الأطراف وسماع الشهادات حضوريًا أو كتابيًا أو عبر الاتصال المرئي. وتسري قرارات اللجان باعتمادها من رئيس سدايا أو من يفوضه، ويجوز التظلم منها أمام المحكمة المختصة. وبصورة مستقلة، يجوز للمفتشين وفق (المادة 37) طلب مساعدة جهات الضبط الجنائي وضبط الأدوات المستخدمة في المخالفات، وتتولى النيابة العامة التحقيق في جريمة البيانات الحساسة المنصوص عليها في (المادة 35) والادعاء فيها.
ما الحد الأقصى للغرامة وفق نظام حماية البيانات الشخصية السعودي؟
في المخالفات الإدارية، يجوز للجان سدايا توجيه إنذار أو إيقاع غرامة لا تزيد على 5 ملايين ريال سعودي عن كل مخالفة (المادة 36)، تُضاعف في حال تكرار المخالفة بما لا يتجاوز 10 ملايين ريال سعودي. ويُعاقب على الجريمة الجنائية المتمثلة في إفشاء البيانات الحساسة على نحو غير مشروع بغرامة لا تزيد على 3 ملايين ريال سعودي (تُضاعف بما لا يتجاوز 6 ملايين ريال سعودي في حال العود) و/أو السجن مدة لا تزيد على سنتين (المادة 35). ولا حد أقصى للتعويض المدني وفق (المادة 40).
هل أوقعت سدايا عقوبات على أي جهة فعلًا؟
نعم. أفادت وكالة الأنباء السعودية في يناير 2026 بأن لجان سدايا أصدرت خلال العام السابق 48 قرارًا بثبوت مخالفات وإيقاع عقوبات على جهات التحكم، وأُعلن عن مجموعة أخرى من الغرامات والإنذارات في 29 يونيو 2026. ولم تنشر سدايا أسماء المخالفين أو مبالغ الغرامات الفردية؛ إذ اقتصرت الإعلانات على أرقام إجمالية، مع أن (المادة 38(2)) تجيز نشر القرارات النهائية.
هل يمكن أن تؤدي مخالفة النظام إلى السجن؟
لا توجد في النظام سوى جريمة جنائية واحدة: إفشاء البيانات الشخصية الحساسة أو نشرها بالمخالفة للنظام بقصد الإضرار بصاحب البيانات أو تحقيق منفعة شخصية، وعقوبتها السجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على 3 ملايين ريال سعودي (المادة 35). وكان النظام الأصلي الصادر في 2021 يجرّم أيضًا النقل غير المشروع للبيانات عبر الحدود، غير أن تعديلات 2023 ألغت هذه الجريمة.
ما أكثر المخالفات شيوعًا؟
وفقًا لإعلان سدايا: معالجة البيانات الشخصية دون مسوغ نظامي، والإفصاح عن البيانات الشخصية دون سند نظامي، وعدم تطبيق تدابير الحماية المطلوبة، وإرسال رسائل تسويقية دون موافقة. وذكر بيان سدايا الصادر في يونيو 2026 التسويق المباشر دون موافقة صريحة، وعدم توفير تدابير تتيح الاستجابة لطلبات أصحاب البيانات في الوقت المحدد، وعدم الإشعار خلال 72 ساعة، وعدم كفاية التدابير الأمنية، وعدم تعيين مسؤول حماية البيانات عند وجوبه.
*آخر تحقق من المحتوى: 20 أكتوبر 2026. تستند الأرقام الإجمالية إلى الإعلانات الرسمية لوكالة الأنباء السعودية وسدايا (SPA/SDAIA)؛ وتستند تفاصيل القطاعات والجوانب الإجرائية إلى التحليلات المشار إليها. ولم يُكشف رسميًا عن أي مبالغ غرامات فردية أو أسماء مخالفين؛ لذا ينبغي التعامل مع أي أرقام محددة متداولة على أنها غير موثقة المصدر. مادة مرجعية فحسب، وليست استشارة قانونية.*
المحتوى وبيانات السجل مرخّصة CC BY 4.0، ويُستشهد بالرابط المباشر. سجل قابل للقراءة الآلية (JSON) · سجل بصيغة Markdown · آخر تحقق من المحتوى: 2026-10-21