تطوير المواقع٦ نوفمبر ٢٠٢٦9 دقائق للقراءة

نظام حماية البيانات الشخصية السعودي: قائمة تحقق لموقعك

ما يطلبه نظام حماية البيانات الشخصية السعودي من موقعك الإلكتروني أو تطبيقك: الموافقة، وتقليل البيانات، وسجلات الوصول، والإبلاغ خلال 72 ساعة، والاستضافة.

كيرلس فايز

مؤسس KF Tech Solutions

يبني أنظمة نقاط البيع والويب والأتمتة للشركات في مصر وخارجها.

امرأة ترتدي غطاء رأس تنظر إلى الهاتف الجوال بين يديها — في ظل نظام حماية البيانات الشخصية تُبنى الخصوصية في الشيفرة: سجلات الموافقة، وتقليل البيانات، وسجلات الوصول، والإبلاغ خلال 72 ساعة.

يُطبَّق نظام حماية البيانات الشخصية في المملكة العربية السعودية تطبيقًا كاملًا منذ 14 سبتمبر 2024، ولا يقتصر على الشركات السعودية، بل يشمل كذلك الجهات الموجودة خارج المملكة التي تقدم خدماتها لأشخاص داخلها. وبالنسبة إلى الموقع الإلكتروني أو التطبيق، يعني الالتزام بالنظام أمورًا محددة يجب أن ينفذها النظام التقني فعلًا: أن تُبلغ الناس بما تجمعه، وأن تسجل موافقتهم، وألا تحتفظ إلا بما تحتاج إليه، وأن تسجل من يطّلع على البيانات، وأن تُبلغ سدايا عن أي تسرب خلال 72 ساعة، وأن تتحكم في الجهات التي تصل إليها البيانات. يحوّل هذا الدليل تلك الالتزامات إلى قائمة تحقق تقنية، وهو معلومات عامة وليس استشارة قانونية.

آخر تحديث: 6 نوفمبر 2026

ما النظام ومن يشمل

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم م/19 في سبتمبر 2021، وعُدّل بالمرسوم الملكي رقم م/148 في مارس 2023. ودخل حيز التنفيذ في 14 سبتمبر 2023، مع مهلة تصحيح مدتها عام انتهت في 14 سبتمبر 2024. والجهة المختصة بتطبيقه هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

ثلاث نقاط تهم صاحب المنشأة أكثر من غيرها:

يشمل مقدمي الخدمات من خارج المملكة. يسري النظام على مقدمي الخدمات خارج المملكة الذين يخدمون أفرادًا في السعودية، لذلك لا يُخرجك من نطاقه أن منصتك مبنية أو مستضافة في الخارج.
النظام مطبَّق فعلًا. أصدرت لجان سدايا حتى الآن 48 قرارًا رسميًا بمخالفات.
العقوبات كبيرة. تصل الغرامات إلى 5 ملايين ريال سعودي، ويجوز للمحكمة مضاعفتها عند تكرار المخالفة. أما الإفصاح عن البيانات الحساسة بقصد الإضرار فقد يؤدي إلى السجن مدة تصل إلى سنتين و/أو غرامة تصل إلى 3 ملايين ريال سعودي.

يضع النظام معظم الالتزامات على «جهة التحكم»، أي المنشأة التي تحدد سبب معالجة البيانات الشخصية وطريقتها. وإذا كنت تدير الموقع الإلكتروني أو التطبيق، فجهة التحكم في الغالب هي أنت، لا المطوّر ولا شركة الاستضافة. أما دور المطوّر فهو بناء نظام يمكّنك من الوفاء بهذه الالتزامات.

قائمة التحقق في لمحة

المجال	ما يجب أن يفعله النظام	لماذا يهم
إشعار الخصوصية	يشرح بالعربية والإنجليزية ما تجمعه، ولماذا، ومن يستلمه، وكيف يتواصل معك الشخص	ليعرف الناس ما يوافقون عليه قبل أن يقدموا بياناتهم
سجلات الموافقة	تحفظ من وافق، وعلى ماذا، ومتى، وعلى أي نسخة من الإشعار	لتثبت الموافقة لاحقًا بدلًا من افتراضها
الحد الأدنى من البيانات	جمع الحقول التي تستخدمها فعلًا فقط	بيانات أقل تعني ما يُحمى أقل وما يُفقد أقل
ضبط الصلاحيات	منح كل دور وظيفي البيانات التي يحتاج إليها فقط	يحدّ من الضرر إذا تسربت كلمة مرور واحدة
سجلات الوصول	تسجيل من اطّلع على البيانات الشخصية أو عدّلها أو صدّرها أو حذفها	لتتمكن من التحقيق في أي حادثة والرد على الاستفسارات
خطة التعامل مع التسرب	خطة مكتوبة لتقييم الحادثة وإبلاغ سدايا خلال 72 ساعة	المهلة قصيرة، فيجب أن تكون الخطة جاهزة قبل وقوع الحادثة
النقل إلى الخارج	قائمة بكل خدمة خارجية تستلم البيانات ومكان تخزينها	النقل يتطلب دولة ذات مستوى حماية كافٍ أو ضمانات مناسبة
التسجيل	التحقق مما إذا كان عليك التسجيل في المنصة الوطنية لحوكمة البيانات	يشمل ذلك عمليًا معظم جهات التحكم

جمع البيانات: الإشعار والموافقة والحد الأدنى

تدخل معظم البيانات الشخصية عبر النماذج (التسجيل، وإتمام الشراء، والحجز، والتواصل)، لذلك ابدأ منها.

اكتب إشعار خصوصية يفهمه الناس. بلغة عربية وإنجليزية واضحة، في صفحة مستقلة، مع رابط إليه من كل نموذج يجمع بيانات شخصية، يبيّن ما تجمعه، ولماذا، والخدمات الخارجية التي تستلمه، ومدة الاحتفاظ به، وكيفية التواصل معك.
احفظ نسخ الإشعار. عند كل تعديل، احتفظ بالنص السابق مع تاريخه، لأن سجل الموافقة لا يفيد إلا إذا استطعت أن تثبت ما رآه الشخص.
سجّل الموافقة كبيانات، لا كمربع اختيار فقط. احفظ معرّف المستخدم أو جهة الاتصال، وما وافق عليه، ونسخة الإشعار، والتاريخ والوقت، والقناة (الموقع الإلكتروني أو التطبيق أو واتساب).
افصل بين الأغراض. يجب أن تكون الموافقة على الرسائل التسويقية منفصلة عن البيانات اللازمة لتنفيذ الطلب أو الحجز.
اجعل سحب الموافقة سهلًا كمنحها. رابط لإلغاء الاشتراك أو خيار في إعدادات الحساب يحدّث سجل الموافقة نفسه.
احذف الحقول التي لا تستخدمها. رقم الهوية الوطنية أو تاريخ الميلاد الذي يُجمع «احتياطًا» بيانات عليك أن تحميها وتشرحها وتحذفها في النهاية.
أولِ البيانات الصحية والمالية وبيانات الهوية عناية خاصة. فهذه هي الفئات التي يُحدث تسربها أكبر الضرر.

ففي نظام إدارة العيادات مثلًا، يجب أن يطّلع على ملفات المرضى عدد أقل بكثير ممن يطّلعون على جدول المواعيد، وانظر دليلنا عن برامج إدارة العيادات.

داخل النظام: الصلاحيات والسجلات والحذف

يقع باقي قائمة التحقق في لوحة التحكم وقاعدة البيانات.

الأدوار والصلاحيات

يجب أن يدخل كل موظف بحسابه الخاص، لا بحساب مشترك، وألا يرى إلا ما تتطلبه وظيفته. فالكاشير يحتاج إلى اسم العميل وطلبه، ومساعد التسويق قد يحتاج إلى قائمة البريد الإلكتروني دون سجل الطلبات، وقلة قليلة فقط تحتاج إلى تصدير قاعدة العملاء كاملة. وأضف التحقق بخطوتين لكل حسابات المشرفين.

سجلات الوصول

سجّل من اطّلع على السجلات الشخصية أو عدّلها أو صدّرها أو حذفها، مع الوقت والسجل المعني. واحفظ هذا السجل في مكان لا يستطيع المشرفون العاديون تعديله. فمن دونه لا يمكنك أن تعرف بعد أي حادثة بيانات من اطُّلع عليها ومن اطّلع عليها.

العثور على بيانات شخص واحد وتصديرها وحذفها

عاجلًا أو آجلًا سيسألك أحد العملاء عما تحتفظ به من بيانات عنه، أو يطلب تصحيحها أو حذفها. لذا أنشئ طريقة للعثور على كل ما يرتبط بشخص واحد (الطلبات والرسائل والحجوزات والملفات)، وتصديره، وتصحيحه، وحذفه أو إخفاء هويته، بما في ذلك النسخ الموجودة في الأدوات الخارجية.

مدة الاحتفاظ

حدد مدة الاحتفاظ بكل نوع من البيانات واجعل النظام يطبقها تلقائيًا، حتى لا تبقى بيانات العملاء المحتملين القدامى وسلال الشراء المتروكة وطلبات التوظيف المنتهية في قاعدة البيانات إلى الأبد. وبعض السجلات لها مدد احتفاظ نظامية، فتأكد منها مع مستشارك أولًا.

خطة التعامل مع التسرب خلال 72 ساعة

يشترط نظام حماية البيانات الشخصية إبلاغ سدايا عن تسرب البيانات الشخصية خلال 72 ساعة. والتعديلات المقترحة التي نُشرت في أكتوبر 2026 ستجعل هذا الإبلاغ واجبًا بصرف النظر عن الضرر المحتمل، لذا فالافتراض التقني الأسلم هو أن أي تسرب حقيقي سيحتاج إلى بلاغ.

اثنتان وسبعون ساعة مدة قصيرة إذا احتسبت عطلة نهاية الأسبوع. استعد مسبقًا:

الاكتشاف. تنبيهات عند تسجيلات الدخول غير المعتادة، وعمليات التصدير الكبيرة، والأخطاء المتكررة في صفحات المشرفين.
الاحتواء. اعرف كيف تُلغي مفتاحًا مسربًا، وتفرض إعادة تعيين كلمات المرور، وتوقف خاصية معينة مؤقتًا.
التقييم. استخدم سجلات الوصول لتحديد البيانات المتأثرة، وعدد الأشخاص، ومنذ متى.
القرار والإبلاغ. حدد من يتخذ القرار، ومن يكتب البلاغ إلى سدايا، ومن يُبلغ العملاء المتأثرين عند الحاجة.
التوثيق والمعالجة. احتفظ بسجل مكتوب للحادثة وسببها والتغيير الذي أجريته.

حدد شخصًا مسؤولًا عن كل خطوة، وتأكد أن عقدك مع المطوّر يُلزمه بإبلاغك فورًا بأي حادثة يكتشفها.

نقل البيانات إلى الخارج ومكان الاستضافة

ما ينص عليه النظام الحالي

يجوز نقل البيانات إلى خارج المملكة إلى دول ذات مستوى حماية كافٍ، وفي غير ذلك بضمانات مناسبة. وفي الحالتين، يجب ألا يُنقل إلا الحد الأدنى اللازم من البيانات. وتعود اللائحة المحدّثة لنقل البيانات إلى 1 أغسطس 2024، وإرشادات سدايا بشأن القواعد المؤسسية الملزمة إلى 1 سبتمبر 2024.

الخادم الرئيسي ليس إلا عملية نقل واحدة. أعدّ قائمة بكل خدمة خارجية تستلم بيانات شخصية: الاستضافة، وقاعدة البيانات، والنسخ الاحتياطية، والبريد الإلكتروني، والرسائل النصية، وواتساب، وأدوات التحليلات، والمحادثة المباشرة، وبوابة الدفع، وتتبع الأخطاء. ولكل خدمة، دوّن البيانات التي تستلمها والدولة التي تُخزن فيها. وتُبنى على هذه القائمة مراجعة مستشارك وإشعار الخصوصية.

المسودة التي تشترط التخزين داخل المملكة

طرحت سدايا مسودة تعديلات على نظام حماية البيانات الشخصية للاستطلاع العام عبر منصة «استطلاع» من 6 أكتوبر إلى 5 نوفمبر 2026. وأبرز ما تقترحه:

مادة 23 جديدة تُلزم جهات التحكم بتخزين البيانات الشخصية داخل المملكة، مع بقاء النقل جائزًا وفق النظام.
إلزامية التسجيل لكل جهة تحكم تنقل بيانات إلى الخارج.
الإبلاغ عن التسرب خلال 72 ساعة بصرف النظر عن الضرر المحتمل.

هذه لا تزال مسودة. وإذا اعتُمدت، فستسري التعديلات بعد 60 يومًا من نشرها في الجريدة الرسمية، ولم نتمكن من التحقق من نتيجة الاستطلاع عند مراجعة هذه الصفحة. لا تقل لعملائك إن النظام السعودي يشترط حاليًا التخزين المحلي، لكن ضع المسودة في حسابك عند اختيار الاستضافة لنظام تتوقع تشغيله سنوات.

خيارات الاستضافة داخل المملكة

منطقة Google Cloud في الدمام (me-central2). يشتري العملاء المقيمون في السعودية الخدمة عبر CNTXT، أما العملاء في أماكن أخرى فيحتاجون إلى حساب يُسدَّد بالفواتير.
AWS. تقول أمازون إن أول منطقة لها في السعودية «في طريقها للإطلاق في ديسمبر 2026»، فتحقق من إطلاقها قبل أن تبني خطتك عليها.

أما الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني، فتُلزم الجهات الحكومية والجهات المشغلة للبنى التحتية الوطنية الحساسة، ويُشجَّع غيرها على اتباعها فقط. وقد حذفت نسخة 2024 الضابط القديم الذي كان يشترط الاستضافة داخل المملكة، وأحالت توطين البيانات إلى مكتب إدارة البيانات الوطنية التابع لسدايا.

التسجيل والعقود وتوزيع المسؤوليات

التسجيل. يجب على جهات تحكم معينة التسجيل في المنصة الوطنية لحوكمة البيانات التابعة لسدايا، وهذا يعني عمليًا معظم جهات التحكم. ويُشترط تعيين مسؤول لحماية البيانات في حالات محددة. اسأل مستشارك عما ينطبق عليك، فالتسجيل مهمة إدارية وليس مهمة برمجية.

العقود مع المطوّر والموردين. كثيرًا ما يطّلع من يبني نظامك أو يشغّله على بيانات شخصية. وبالنسبة إلى الجهات الحكومية وجهات البنى التحتية الحساسة، يحدد الضابط 4-1-2 من الضوابط الأساسية للأمن السيبراني الحد الأدنى من البنود: عدم الإفصاح، والحذف الآمن لبياناتك عند انتهاء الخدمة، وإجراء للإبلاغ عن حوادث الأمن السيبراني، والتزام المورد بتطبيق متطلباتك الأمنية. وهي بنود منطقية لأي منشأة. ويغطي مقالنا عن ما يجب مراجعته في عقد تطوير البرمجيات باقي البنود، ويعرض دليل اختيار شركة برمجيات في السعودية الأسئلة التي تطرحها قبل التوقيع.

ما تقدمه KF Tech Solutions هنا. تبني KF Tech Solutions المواقع الإلكترونية والتطبيقات والبرمجيات المخصصة، ونعمل مع المنشآت في مصر والخليج. وفي أي نظام يتعامل مع بيانات شخصية، يمكننا بناء قائمة التحقق هذه داخل المنتج: إشعارات خصوصية محفوظة النسخ، وسجلات موافقة، وصلاحيات حسب الدور، وسجلات وصول، وأدوات للتصدير والحذف، وقائمة مكتوبة بكل خدمة تستلم البيانات ومكان استضافتها. نحن لسنا محامين ولا نمنح شهادات امتثال، فمستشارك هو من يؤكد ما يتطلبه النظام من منشأتك، ونحن نبني وفقًا لذلك. اطلع على صفحتنا الخاصة بالسعودية، وعلى دليلنا عن تكلفة تصميم تطبيق جوال في السعودية إذا كنت تضع ميزانية لتطبيق جديد.

أسئلة شائعة

هل يسري النظام إذا كانت شركتي أو المطوّر خارج السعودية؟

قد يسري. فالنظام يشمل مقدمي الخدمات الأجانب الذين يخدمون أفرادًا داخل المملكة. والمهم هو بيانات من تعالجها، لا مكان خوادمك أو مطوّرك.

هل يجب أن أستضيف البيانات الشخصية داخل السعودية؟

ليس وفق النظام كما تلخصه المصادر التي راجعناها، إذ تسمح بالنقل إلى الخارج إلى دول ذات مستوى حماية كافٍ أو بضمانات مناسبة. وهناك تعديل مقترح يشترط التخزين داخل المملكة، لكنه لا يزال مسودة. وقد تكون لمشروعات الجهات الحكومية والبنى التحتية الحساسة متطلبات خاصة، فتحقق من حالتك مع مستشارك.

هل أحتاج إلى التسجيل لدى سدايا؟

يجب على جهات تحكم معينة التسجيل في المنصة الوطنية لحوكمة البيانات، وهذا يشمل عمليًا معظمها. والتعديلات المقترحة ستجعل التسجيل إلزاميًا لكل جهة تحكم تنقل بيانات إلى الخارج. ويستطيع مستشارك تأكيد حالتك.

هل يمكن للمطوّر أن يمنحني شهادة امتثال للنظام؟

لم نجد أي شهادة رسمية لنظام حماية البيانات الشخصية تُمنح لشركات البرمجيات. اسأل المطوّر بدلًا من ذلك كيف يبني سجلات الموافقة والسجلات وأدوات الحذف. أما مدى امتثال منشأتك فهو سؤال يجيب عنه أنت ومستشارك.

إذا أردت مراجعة موقعك الإلكتروني أو تطبيقك وفق هذه القائمة، أو بناءه عليها من البداية، أرسل إلينا التفاصيل أو احجز مكالمة مجانية.