Wadira: اعثر على طريقك عبر أنظمة البيانات والخصوصية في المملكة العربية السعودية.
الرئيسية › الدليل › نظام حماية البيانات الشخصية مقابل اللائحة العامة لحماية البيانات: أوجه اختلاف النظام السعودي
يحاكي نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية (الصادر بالمرسوم الملكي رقم م/19 لعام 2021، والمعدّل بالمرسوم الملكي رقم م/148 لعام 2023؛ النافذ منذ 14 سبتمبر 2023، والمطبَّق بالكامل منذ 14 سبتمبر 2024) البنيةَ العامة للائحة العامة لحماية البيانات (GDPR)، لكنه يفترق عنها في مسائل جوهرية: فالموافقة هي الأساس النظامي الافتراضي، ولم تُضَف "المصلحة المشروعة" إلا في عام 2023 مع استبعاد البيانات الحساسة منها، ولا يوجد حق في الاعتراض، ويجب على جهات التحكم المستوفية للمعايير التسجيل لدى سدايا (الهيئة السعودية للبيانات والذكاء الاصطناعي)، والإشعار بالتسرّب قاعدة صارمة مدتها 72 ساعة، ويترتب على الإفصاح عن البيانات الحساسة مسؤولية جنائية. يقارن هذا الدليل بين النظامين مادةً مادة، استنادًا إلى النصوص الرسمية.
| الموضوع | نظام حماية البيانات الشخصية السعودي | اللائحة العامة لحماية البيانات الأوروبية |
|---|---|---|
| النطاق والسريان خارج الإقليم | أي معالجة تتم في المملكة، إضافةً إلى معالجة جهات خارجها لبيانات المقيمين في المملكة؛ ويشمل بيانات المتوفين (المادة 2 من النظام). | المنشآت القائمة في الاتحاد الأوروبي، إضافةً إلى عرض السلع أو الخدمات على الأشخاص في الاتحاد الأوروبي أو مراقبتهم (المادة 3)؛ وتُستبعد بيانات المتوفين (الحيثية 27). |
| الأسس النظامية للمعالجة | الموافقة هي الأساس الافتراضي (المادة 5)؛ والاستثناءات: المصلحة الفعلية، والنظام أو الاتفاق السابق، والمتطلبات الأمنية أو القضائية للجهات العامة، والمصلحة المشروعة في البيانات غير الحساسة (المادة 6؛ المادة 16 من اللائحة التنفيذية). | ستة أسس متكافئة: الموافقة، والعقد، والالتزام القانوني، والمصالح الحيوية، والمهمة العامة، والمصالح المشروعة (المادة 6/1). |
| حقوق صاحب البيانات | العلم، والوصول، والحصول على نسخة، والتصحيح، والإتلاف (المادة 4)؛ والرجوع عن الموافقة (المادة 5/2)؛ 30 + 30 يومًا (المادة 3 من اللائحة). لا حق في الاعتراض. *مقترح (أكتوبر 2026): لا تُمدَّد المهلة إلا لجهد غير اعتيادي أو لتعدد الطلبات؛ ويُعدّ الطلب الذي لا يُرد عليه مرفوضًا (المادة 3 من مسودة اللائحة).* | الوصول، والتصحيح، والمحو، والتقييد، وقابلية النقل، والاعتراض، والحقوق المتعلقة بالقرارات الآلية (المواد 15–22)؛ شهر واحد + شهران (المادة 12/3). |
| النقل عبر الحدود | اختبار الغرض، إضافةً إلى المستوى المناسب من الحماية أو الضمانات (البنود التعاقدية القياسية (SCCs) السعودية، والقواعد المشتركة الملزمة، وشهادات الاعتماد)، مع تقييمات للمخاطر (المادة 29؛ المواد 3–7 من لائحة النقل). لم تُنشر قائمة المستوى المناسب من الحماية بعد. | قرارات الكفاية (المادة 45)، والضمانات المناسبة ومنها البنود التعاقدية القياسية والقواعد المؤسسية الملزمة (BCRs) (المادتان 46 و47)، والاستثناءات (المادة 49). |
| الإشعار بالتسرّب | 72 ساعة لإشعار سدايا متى كان من المحتمل أن يُلحق الحادث ضررًا بالبيانات أو بصاحب البيانات، أو يتعارض مع حقوقه أو مصالحه (المادة 24/1 من اللائحة): وهو حدّ منخفض قائم على الضرر، لكنه حدّ مع ذلك؛ أما المادة 20/1 من النظام ذاتها فلا تتضمن أي حدّ. ويُشعَر أصحاب البيانات "دون تأخير غير مبرر" إذا كان الضرر محتملًا. *مقترح (أكتوبر 2026): إلغاء حدّ الضرر لإشعار سدايا (المادة 24 من مسودة اللائحة).* | 72 ساعة لإشعار السلطة ما لم يكن من غير المرجح أن يترتب على التسرّب خطر (المادة 33)؛ ولا يُشعَر أصحاب البيانات إلا عند ارتفاع الخطر، مع استثناءات (المادة 34). |
| مسؤول حماية البيانات (DPO) | الجهات العامة ذات المعالجة الواسعة النطاق، أو المراقبة المنتظمة والمنهجية، أو الأنشطة الأساسية القائمة على البيانات الحساسة (المادة 32 من اللائحة). *مقترح (أكتوبر 2026): الجهات العامة التي تقدم خدمات تتضمن بيانات شخصية؛ والمراقبة على نطاق واسع؛ وإلغاء قواعد تعيين مسؤول حماية البيانات (المادة 32 من مسودة اللائحة).* | السلطات العامة، أو المراقبة المنتظمة الواسعة النطاق، أو معالجة الفئات الخاصة من البيانات أو البيانات الجنائية على نطاق واسع (المادة 37). |
| سجلات أنشطة المعالجة (RoPA) | تحتفظ جهات التحكم بالسجلات طوال مدة المعالجة وخمس سنوات بعد انتهائها (المادة 31 من النظام؛ المادة 33 من اللائحة). لا استثناء للمنشآت الصغيرة والمتوسطة. *مقترح (أكتوبر 2026): حذف قائمة المحتويات والنماذج؛ وحفظ السجلات ضمن قيد جهة التحكم في السجل (المادتان 33 و34 من مسودة اللائحة).* | جهات التحكم وجهات المعالجة (المادة 30)؛ دون مدة احتفاظ محددة؛ واستثناء للمنشآت التي يقل عدد موظفيها عن 250 (المادة 30/5). |
| تقييم الأثر على حماية البيانات (DPIA) | إلزامي في حالات البيانات الحساسة، وربط مجموعات البيانات، والمراقبة المستمرة، والتقنيات الجديدة، والقرارات الآلية، وأصحاب البيانات من الفئات الضعيفة (المادة 22 من النظام؛ المادة 25 من اللائحة). *مقترح (أكتوبر 2026): إعادة صياغة الحالات الموجبة للتقييم، وحذف المعيار العام "الضرر الجسيم" (المادة 25 من مسودة اللائحة).* | حيث يُرجَّح ارتفاع الخطر؛ والتنميط، والفئات الخاصة على نطاق واسع، والمراقبة في الأماكن العامة (المادة 35)؛ والتشاور المسبق (المادة 36). |
| التسجيل | السجل الوطني لجهات التحكم (المادة 30/4 من النظام؛ المادة 34 من اللائحة؛ قواعد 2024)، وهو إلزامي لجهات التحكم المستوفية للمعايير. *مقترح (أكتوبر 2026): تحديد الحالات الموجبة للتسجيل في اللائحة، ومنها أي نقل أو إفصاح خارج المملكة؛ وإلغاء قواعد السجل (المادة 34 من مسودة اللائحة).* | لا يوجد اشتراط عام للتسجيل؛ وتتحقق المساءلة من خلال السجلات بدلًا من ذلك. |
| العقوبات | جريمة الإفصاح عن البيانات الحساسة: السجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على 3 ملايين ريال سعودي (المادة 35)؛ والمخالفات الأخرى غرامة لا تزيد على 5 ملايين ريال سعودي، تُضاعَف عند التكرار (المادة 36)؛ ولجان تابعة لسدايا. | غرامات إدارية تصل إلى 20 مليون يورو أو 4% من حجم الأعمال السنوي العالمي (المادة 83)؛ دون سجن؛ وسلطات حماية بيانات مستقلة. |
| البيانات الحساسة | الأصل العرقي أو الإثني، والمعتقدات، والبيانات الأمنية والجنائية، والبيانات الحيوية، والوراثية، والصحية، والبيانات الدالة على مجهولية الأبوين أو أحدهما (المادة 1/11)؛ ويلزم الحصول على موافقة صريحة (المادة 11/2 من اللائحة). | تضيف المادة 9/1 الحياة الجنسية أو التوجه الجنسي والعضوية النقابية؛ وترد قائمة الشروط في المادة 9/2. |
| سمات ينفرد بها نظام حماية البيانات الشخصية | بيانات المتوفين، وحظر جعل الموافقة شرطًا لتقديم الخدمة (المادة 7)، والتسويق المشروط بالموافقة المسبقة (المادتان 25 و26؛ وتستثني المادة 28 الحالية من اللائحة الحالات التي سبقها تعامل، وهو استثناء تحذفه مسودة أكتوبر 2026)، وحظر نسخ الوثائق الرسمية (المادة 28)، ومهلة 90 يومًا لتقديم الشكاوى (المادة 37 من اللائحة؛ مقترح إلغاؤها). | يُعالَج التسويق من خلال حق الاعتراض (المادة 21) وقواعد الخصوصية الإلكترونية في الدول الأعضاء. |
تُطبّق المادة 2/1 من النظام أحكامه على أي معالجة للبيانات الشخصية "تتم في المملكة"، وتمدّها صراحةً إلى معالجة بيانات الأفراد المقيمين في المملكة من أي جهة خارجها، وهو ربط بالسريان خارج الإقليم يقوم على بيانات المقيمين وحدها، دون اختبار للاستهداف على غرار اللائحة العامة لحماية البيانات. ويشمل النظام كذلك بيانات المتوفين متى أمكن تحديد هوية المتوفى أو أحد أفراد أسرته. أما المادة 3 من اللائحة العامة لحماية البيانات فتعتمد معيار المنشأة، ومعيار عرض السلع أو الخدمات أو مراقبة السلوك في الاتحاد الأوروبي بالنسبة إلى الجهات الأجنبية، وتستبعد المتوفين (الحيثية 27). ويستثني كلاهما الاستخدام الشخصي أو العائلي البحت (المادة 2/2 من النظام، والمعرَّف في المادة 2 من اللائحة التنفيذية؛ المادة 2/2/ج من اللائحة العامة لحماية البيانات). وتوجّه المادة 33/4 من النظام المعدّل سدايا إلى وضع آليات لمراقبة جهات التحكم خارج المملكة وإنفاذ الأحكام عليها.
تتيح المادة 6/1 من اللائحة العامة لحماية البيانات ستة أسس متكافئة. ويعكس نظام حماية البيانات الشخصية هذا الترتيب: إذ تحظر المادة 5/1 المعالجة دون موافقة "إلا في الأحوال المنصوص عليها في هذا النظام"، فتغدو الأسس الأخرى استثناءات. وتجيز المادة 6 المعالجة دون موافقة في الحالات الآتية: أن تحقق مصلحة فعلية لصاحب البيانات ويتعذر الاتصال به أو يصعب (مع وجوب الاحتفاظ بما يثبت ذلك، المادة 14 من اللائحة التنفيذية)؛ أو أن تكون بموجب نظام آخر أو اتفاق سابق يكون صاحب البيانات طرفًا فيه؛ أو أن تتطلبها جهة عامة لأغراض أمنية أو قضائية؛ أو، بإضافة من المرسوم م/148 في عام 2023، أن تكون ضرورية لتحقيق مصلحة مشروعة لجهة التحكم، بشرط ألا تُعالَج بيانات حساسة. وتستبعد المادة 16 من اللائحة التنفيذية الجهات العامة من الاستناد إلى المصلحة المشروعة، وتشترط إجراء تقييم موثق (اختبار موازنة على غرار اللائحة العامة لحماية البيانات)، وتوجب أن تظل المعالجة ضمن التوقعات المعقولة لأصحاب البيانات. وخلافًا لاختبار "المراعاة القصوى" في المادة 7/4 من اللائحة العامة لحماية البيانات، تحظر المادة 7 من النظام حظرًا قاطعًا جعل الموافقة شرطًا لتقديم الخدمة ما لم تكن ذات صلة مباشرة بالمعالجة.
تمنح المادة 4 من النظام خمسة حقوق: الحق في العلم، والحق في الوصول، والحق في الحصول على نسخة "بصيغة مقروءة وواضحة" (وتحدد المادة 6 من اللائحة التنفيذية صيغة إلكترونية شائعة الاستخدام)، والحق في التصحيح، والحق في طلب الإتلاف، وهو مصطلح النظام المقابل للمحو، ويُعرَّف بأنه جعل البيانات غير قابلة للقراءة أو الاسترجاع (المادة 1/7). ويجوز الرجوع عن الموافقة في أي وقت (المادة 5/2؛ المادة 12 من اللائحة التنفيذية). وما يغيب مقارنةً باللائحة العامة لحماية البيانات: لا حق في الاعتراض (المادة 21 من اللائحة العامة لحماية البيانات)، ولا قابلية كاملة لنقل البيانات (إذ يفتقر الحق في النسخة إلى النقل من جهة تحكم إلى أخرى المقرر في المادة 20 من اللائحة العامة لحماية البيانات)، ولا حق مستقل بشأن القرارات الآلية (المادة 22 من اللائحة العامة لحماية البيانات)، وإن كانت القرارات القائمة على المعالجة الآلية وحدها تتطلب موافقة صريحة (المادة 11/2 من اللائحة التنفيذية). ويوجد حق ضيق في التقييد لا يقوم إلا أثناء التحقق من دقة البيانات المتنازع عليها (المادة 7/1 من اللائحة التنفيذية). والمهل: 30 يومًا قابلة للتمديد 30 يومًا (المادة 3/1 من اللائحة التنفيذية)، مقابل شهر واحد يُضاف إليه شهران في اللائحة العامة لحماية البيانات (المادة 12/3).
لا تجيز المادة 29/1 من النظام النقل إلا لأغراض محددة: الوفاء بالتزامات المملكة بموجب الاتفاقيات، أو خدمة مصالح المملكة، أو تنفيذ التزام يكون صاحب البيانات طرفًا فيه، أو الأغراض الواردة في اللوائح، وقد وسّعتها المادة 2 من لائحة النقل لتشمل عمليات المعالجة المركزية، وتقديم خدمات أو منافع لصاحب البيانات، والبحث العلمي. وتضيف المادة 29/2 شروطًا: ألا يمس النقل الأمن الوطني، وأن يتوافر مستوى مناسب من الحماية في الخارج، وأن يقتصر على الحد الأدنى اللازم من البيانات. وتضع لائحة النقل (الإصدار 2.0، أغسطس 2024) ذلك موضع التطبيق: إذ يتعين على سدايا نشر قائمة بالمستوى المناسب من الحماية تُراجَع كل أربع سنوات (المادة 3)، ولم تُنشر أي قائمة حتى 20 أكتوبر 2026، وتتطلب عمليات النقل المستثناة ضمانات مناسبة: البنود التعاقدية القياسية السعودية (المنشورة في سبتمبر 2024)، أو القواعد المشتركة الملزمة (نظير القواعد المؤسسية الملزمة)، أو شهادة اعتماد (المادة 4)، إضافةً إلى تقييم موثق للمخاطر عند الاستناد إلى الضمانات أو عند النقل المستمر للبيانات الحساسة (المادة 7). والفصل الخامس من اللائحة العامة لحماية البيانات مماثل من حيث البنية، لكنه قائم على قرارات الكفاية، مع حرية تدفق البيانات داخل المنطقة الاقتصادية الأوروبية دون قيود. ولا تُعدّ البنود التعاقدية القياسية الأوروبية ضمانة معترفًا بها في المملكة، ولا تُعدّ الموافقة آلية للنقل. مقترح: من شأن المادة 23/2 من مسودة اللائحة (أكتوبر 2026) أن تضيف التزامًا افتراضيًا بتخزين البيانات الشخصية داخل المملكة، مع بقاء النقل المشروع جائزًا.
تقرر المادة 20 من النظام الالتزام، وتحدد المادة 24 من اللائحة التنفيذية آلياته. ويجب على جهات التحكم إشعار سدايا خلال 72 ساعة من علمها بحادث يُحتمل أن يُلحق ضررًا بالبيانات الشخصية أو بصاحب البيانات أو يتعارض مع حقوقه أو مصالحه، وهو حدّ منخفض قائم على الضرر، لكنه حدّ مع ذلك؛ أما المادة 20/1 من النظام ذاتها فلا تتضمن أي حدّ (قارن ذلك باستثناء "من غير المرجح أن يترتب عليه خطر" في المادة 33/1 من اللائحة العامة لحماية البيانات). وتلغي مسودة أكتوبر 2026 اختبار الضرر لإشعار سدايا؛ ويبقى اختبار الضرر لإشعار أصحاب البيانات. ويجوز الإشعار على مراحل مع بيان المسوغات. ويجب إبلاغ أصحاب البيانات "دون تأخير غير مبرر" متى كان من شأن التسرّب أن يُلحق بهم ضررًا، وهو معيار أدنى من معيار "الخطر المرتفع" في المادة 34/1 من اللائحة العامة لحماية البيانات، ودون الاستثناءات المتعلقة بالتشفير أو التخفيف الواردة في المادة 34/3. وإشعار جهة المعالجة لجهة التحكم التزام تعاقدي بموجب المادة 17 من اللائحة التنفيذية، مقابل التزام نظامي في المادة 33/2 من اللائحة العامة لحماية البيانات.
تشترط المادة 32 من اللائحة التنفيذية تعيين مسؤول حماية البيانات في ثلاث حالات تتطابق إلى حد كبير مع المادة 37 من اللائحة العامة لحماية البيانات: الجهات العامة التي تقدم خدمات تتضمن معالجة على نطاق واسع؛ أو الأنشطة الأساسية القائمة على المراقبة المنتظمة والمنهجية؛ أو الأنشطة الأساسية المتمثلة في معالجة البيانات الحساسة. ويجب الاحتفاظ بسجلات المعالجة طوال مدة المعالجة وخمس سنوات بعد انتهاء أي نشاط معالجة (المادة 33 من اللائحة التنفيذية)؛ ولا تحدد اللائحة العامة لحماية البيانات مدة احتفاظ بعد انتهاء المعالجة، وتعفي معظم المنشآت التي يقل عدد موظفيها عن 250؛ أما نظام حماية البيانات الشخصية فلا يتضمن استثناءً للمنشآت الصغيرة والمتوسطة. وتُحدَّد حالات تقييم الأثر بقائمة (المادة 25 من اللائحة التنفيذية: البيانات الحساسة، وربط مجموعات البيانات، والمراقبة المستمرة، والتقنيات الجديدة، والقرارات القائمة على المعالجة الآلية وحدها، وأصحاب البيانات من الفئات الضعيفة) بدلًا من نهج حدّ الخطر المعتمد في اللائحة العامة لحماية البيانات، ولا توجد آلية للتشاور المسبق على غرار المادة 36 من اللائحة العامة لحماية البيانات. مقترح (أكتوبر 2026): تعيد مسودة اللائحة صياغة حالات تعيين مسؤول حماية البيانات (المادة 32)، وتحذف قائمة محتويات سجلات أنشطة المعالجة ونماذجها (المادة 33)، وتعيد صياغة الحالات الموجبة لتقييم الأثر (المادة 25).
ألغت اللائحة العامة لحماية البيانات أنظمة الإخطار العامة لصالح المساءلة الداخلية. أما في ظل نظام حماية البيانات الشخصية، فتتولى سدايا إدارة السجل الوطني لجهات التحكم (المادة 30/4؛ المادة 34 من اللائحة التنفيذية)، وتجعل قواعد 2024 التسجيل في المنصة الوطنية لحوكمة البيانات التابعة لسدايا إلزاميًا لجهات التحكم المستوفية للمعايير، ولا سيما الجهات الخاصة التي يكون نشاطها الرئيس معالجة البيانات الشخصية، والجهات التي تعالج بيانات حساسة. وقد ألغى المرسوم م/148 التزام التسجيل الشامل الوارد في نص عام 2021 الأصلي مع رسم سنوي يصل إلى 100,000 ريال سعودي (المادة 32 السابقة)؛ والتسجيل مجاني حاليًا. ومن شأن مسودة أكتوبر 2026 أن تنقل الحالات الموجبة للتسجيل إلى المادة 34 من اللائحة التنفيذية، وأن تضيف إليها أي نقل أو إفصاح خارج المملكة.
تجعل المادة 35 من النظام الإفصاح عن البيانات الحساسة أو نشرها بالمخالفة لأحكامه، بقصد الإضرار أو تحقيق منفعة شخصية، جريمةً عقوبتها السجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على 3 ملايين ريال سعودي، وتتولى النيابة العامة الادعاء فيها. وكان نص عام 2021 الأصلي يجرّم كذلك النقل غير المشروع عبر الحدود؛ وقد ألغى المرسوم م/148 هذه الجريمة. وتترتب على المخالفات الأخرى عقوبة الإنذار أو غرامة لا تزيد على 5 ملايين ريال سعودي، تُضاعَف عند تكرار المخالفة (المادة 36)، وتفرضها لجان تعيّنها سدايا مع جواز التظلم أمام المحكمة؛ ويجوز للمحاكم الأمر بالمصادرة ونشر الأحكام (المادة 38)، وللأفراد المطالبة بالتعويض (المادة 40). والإنفاذ قائم فعلًا: إذ أعلنت لجان سدايا 48 قرارًا بشأن مخالفات في جولتها الأولى (المعلنة في يناير 2026)، وجولة أخرى في يونيو 2026. وتعتمد اللائحة العامة لحماية البيانات على سلطات مستقلة تفرض غرامات إدارية مرتبطة بحجم الأعمال تصل إلى 20 مليون يورو أو 4% (المادة 83)، دون سجن.
تشمل المادة 1/11 من النظام، بعد تعديلها، الأصل العرقي أو الإثني؛ والمعتقد الديني أو الفكري أو السياسي؛ والبيانات الأمنية والجنائية؛ والبيانات الحيوية والوراثية؛ والبيانات الصحية؛ والبيانات الدالة على مجهولية الأبوين أو أحدهما، وهذه الأخيرة سمة ينفرد بها النظام. وقد حذف المرسوم م/148 البيانات الائتمانية وبيانات الموقع والعضوية في المنظمات غير الربحية من التعريف الأصلي (ولا تزال كثير من الملخصات القديمة تستشهد بالقائمة السابقة). ومقارنةً بالمادة 9/1 من اللائحة العامة لحماية البيانات: يُغفل النظام الحياة الجنسية أو التوجه الجنسي والعضوية النقابية، لكنه يُدرج البيانات الجنائية (المادة 10 من اللائحة العامة لحماية البيانات) ضمن فئة البيانات الحساسة. والبيانات الائتمانية، وإن لم تعد "حساسة"، تظل خاضعة لنظام خاص بها (المادة 24 من النظام؛ المادة 27 من اللائحة التنفيذية؛ والموافقة الصريحة بموجب المادة 11/2 من اللائحة التنفيذية).
تخضع الرسائل التسويقية لنظامين يسريان بالتوازي: ضوابط الرسائل الاقتحامية الصادرة عن هيئة الاتصالات والفضاء والتقنية، ونظام حماية البيانات الشخصية.
| الموضوع | ضوابط الرسائل الاقتحامية (هيئة الاتصالات والفضاء والتقنية) | نظام حماية البيانات الشخصية (اللائحة الحالية) | نظام حماية البيانات الشخصية (مسودة أكتوبر 2026) |
|---|---|---|---|
| الموافقة | موافقة صريحة مسبقة؛ لا تُدرج ضمن العقود أو سياسات الخصوصية | الموافقة ما لم يوجد تعامل سابق (المادة 28/1 من اللائحة) | الموافقة لجميع الرسائل الترويجية أو التوعوية؛ والتحقق عند وجود علاقة سابقة |
| إلغاء الاشتراك | الإيقاف خلال 24 ساعة وتأكيده | بسهولة الاشتراك نفسها؛ مجاني؛ فوري | كذلك، إضافةً إلى إتلاف البيانات الناتجة عن المعالجة لأغراض التسويق |
| قواعد القنوات | معرّف المرسل "-AD"؛ لا رسائل نصية ترويجية من أرقام الجوال؛ ساعات حظر من 22:00 إلى 09:00 | الإفصاح عن هوية المرسل | كذلك |
| الصلة بين النظامين | المادة 79/1/و من اللائحة التنفيذية لنظام الاتصالات وتقنية المعلومات | "دون إخلال بنظام الاتصالات وتقنية المعلومات" | حُذفت الإحالة؛ ويسري النظامان بالتوازي |
هل يسري نظام حماية البيانات الشخصية على الشركات التي لا وجود لها في المملكة العربية السعودية؟
نعم. تشمل المادة 2/1 من النظام أي معالجة للبيانات الشخصية للأفراد المقيمين في المملكة من جهات خارجها، دون قيد "عرض السلع أو الخدمات" أو "المراقبة" على غرار اللائحة العامة لحماية البيانات. وتكلّف المادة 33/4 المعدّلة سدايا بوضع آليات لمراقبة جهات التحكم الأجنبية وإنفاذ الأحكام عليها.
هل يوجد في المملكة ما يقابل أساس المصالح المشروعة في اللائحة العامة لحماية البيانات؟
نعم منذ تعديلات عام 2023، لكنه أضيق نطاقًا. إذ تجيز المادة 6/4 من النظام المعالجة الضرورية لتحقيق مصلحة مشروعة لجهة التحكم بشرط ألا تتضمن بيانات حساسة. وتضيف المادة 16 من اللائحة التنفيذية أنه لا يجوز للجهات العامة الاستناد إليه، وأن المعالجة يجب أن تظل ضمن التوقعات المعقولة، وأن إجراء تقييم موازنة موثق إلزامي قبل بدء المعالجة.
هل يمكننا نقل البيانات الشخصية إلى خارج المملكة العربية السعودية اليوم؟
نعم، دون حاجة إلى موافقة سدايا على كل عملية نقل، متى توافر غرض مسموح به واستُوفيت الشروط. ولأنه لم تُنشر أي قائمة بالمستوى المناسب من الحماية حتى 20 أكتوبر 2026، تستند عمليات النقل عمليًا إلى الضمانات الواردة في المادة 4 (البنود التعاقدية القياسية الصادرة عن سدايا، أو القواعد المشتركة الملزمة، أو شهادة الاعتماد)، إضافةً إلى تقييم المخاطر وفق المادة 7 في حالات النقل المستمر للبيانات الحساسة.
إذا كنا ممتثلين للائحة العامة لحماية البيانات، فهل نحن ممتثلون لنظام حماية البيانات الشخصية؟
لا. يشكّل الامتثال للائحة العامة لحماية البيانات أساسًا متينًا (إذ تنتقل المبادئ وتقييمات الأثر ومسؤولو حماية البيانات وإجراءات التعامل مع التسرّب والسجلات بصورة عامة)، لكن تبقى فجوات خاصة بنظام حماية البيانات الشخصية: الأسس النظامية القائمة على الموافقة أولًا، والتسويق المشروط بالموافقة المسبقة، وتسجيل جهات التحكم، والبنود التعاقدية القياسية السعودية للنقل، والاحتفاظ بسجلات أنشطة المعالجة خمس سنوات، ونظام أشد للإشعار بالتسرّب، ومهلة 90 يومًا لتقديم الشكاوى، والتعرض للمساءلة الجنائية عن الإفصاح عن البيانات الحساسة.
لم تُعتمد مسودة تعديلات اللائحة التنفيذية الصادرة في أبريل–مايو 2025. ونُشرت مسودة منقحة في 6 أكتوبر 2026 (ويُغلق تلقي الملاحظات في 5 نوفمبر 2026). وأبرز التغييرات:
وتسري بعد 60 يومًا من نشرها في الجريدة الرسمية في حال اعتمادها. ويعكس هذا الدليل النصوص النافذة حتى 20 أكتوبر 2026. *مقارنة وقائعية بين نصوص نظامية، وليست استشارة قانونية.*
المحتوى وبيانات السجل مرخّصة CC BY 4.0، ويُستشهد بالرابط المباشر. سجل قابل للقراءة الآلية (JSON) · سجل بصيغة Markdown · آخر تحقق من المحتوى: 2026-10-21