خدماتنا
نعم، إذا كان موقعك أو متجرك الإلكتروني يجمع اسمًا أو رقم جوال أو بريدًا أو عنوان شحن من أشخاص في المملكة، فأنت مشمول بنظام حماية البيانات الشخصية السعودي (PDPL). النظام نافذ منذ 14 سبتمبر 2023، وانتهت مهلة تصحيح الأوضاع في 14 سبتمبر 2024، وبدأت لجان النظر في المخالفات لدى سدايا تُصدر قراراتها. وتطبيق نظام حماية البيانات الشخصية للمواقع يعني عمليًا أربعة أشياء: سياسة خصوصية واضحة، وموافقة صحيحة قبل التسويق والتتبّع، وطريقة يستخدم بها العميل حقوقه، وحماية تقنية للبيانات ولمن تشاركها معهم. لن نعيد شرح النظام مادةً مادة؛ سنترجمه إلى ما يُفحص في موقعك مباشرة: نماذج التواصل، وزر واتساب، وبكسلات الإعلانات، والاستضافة، وصفحة الإفصاح، مع قائمة تدقيق من 15 بندًا وجدول تكلفة تقريبي بالريال.
تنويه مهم: هذا المقال توعوي تقني يهدف إلى مساعدتك على فهم المتطلبات وتطبيقها على موقعك، وليس استشارة قانونية. الأنظمة واللوائح قابلة للتحديث، والمرجع النهائي هو النص الرسمي المنشور على منصات هيئة الخبراء وسدايا. للحالات الخاصة (بيانات صحية أو مالية أو نشاط قائم على معالجة البيانات) استشر محاميًا مختصًا.
نظام حماية البيانات الشخصية صدر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، ثم عُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بصفتها الجهة المختصة. هدفه حماية خصوصية الأفراد وتنظيم الطريقة التي تجمع بها الجهات بياناتهم وتستخدمها وتشاركها، وهو قريب في فلسفته من الأنظمة الدولية المعروفة، لكن له تفاصيله السعودية الخاصة في الموافقة ونقل البيانات للخارج والتسجيل.
يمكنك قراءة النص الكامل على منصة هيئة الخبراء بمجلس الوزراء، والأدلة واللوائح المساندة على منصة حوكمة البيانات الوطنية التابعة لسدايا.
| التاريخ | ما حدث | ماذا يعني لموقعك |
|---|---|---|
| سبتمبر 2021 (1443هـ) | صدور النظام بالمرسوم (م/19) | بداية الإطار القانوني |
| مارس 2023 (1444هـ) | تعديل النظام بالمرسوم (م/148) | تخفيف بعض القيود وإضافة أساس «المصلحة المشروعة» |
| 14 سبتمبر 2023 | دخول النظام حيز النفاذ مع لائحته التنفيذية ولائحة النقل خارج المملكة | بدأ سريان الالتزامات |
| 14 سبتمبر 2024 | انتهاء مهلة السنة لتصحيح الأوضاع | لم تعد هناك فترة سماح عامة |
| سبتمبر 2024 | تحديث لائحة نقل البيانات خارج المملكة واعتماد البنود التعاقدية القياسية | مهم لكل من يستخدم استضافة أو أدوات خارجية |
| يناير 2026 | إعلان لجان النظر في المخالفات بسدايا إصدار 48 قرارًا بثبوت مخالفات خلال العام السابق | الإنفاذ بدأ بأرقام معلنة |
| يونيو 2026 | إعلان اللجان قرارات جديدة بحق عدد من الجهات المخالفة | الإنفاذ صار واقعًا لا نظرية |
النظام ينطبق على أي معالجة لبيانات شخصية تتم في المملكة، وعلى معالجة بيانات الأفراد المقيمين فيها حتى من جهات خارجها. الاستثناء الأساسي هو الفرد الذي يعالج البيانات لاستخدام شخصي أو عائلي فقط. أي شركة، أو مؤسسة فردية، أو متجر على سلة أو زد أو ووكوميرس، أو حتى صفحة هبوط لحملة إعلانية، تقع داخل النطاق طالما تجمع بيانات من أشخاص لأغراض تجارية.
أكثر مما يتوقع معظم أصحاب المواقع. التعريف يشمل كل بيان يمكن أن يؤدي إلى معرفة الفرد بشكل مباشر أو غير مباشر. في موقع سعودي نموذجي ستجد:
يصنّف النظام بعض البيانات «حساسة»، ومنها البيانات الصحية والوراثية والبيانات الائتمانية والأصل العرقي أو القبلي والمعتقد الديني والبيانات الأمنية والجنائية. إن كان موقعك لعيادة أو صالون يسجّل حالة صحية، أو منصة تمويل وتقسيط، فمعالجتك تحتاج موافقة صريحة، ولا يصح فيها الاستناد إلى «المصلحة المشروعة»، والعقوبة الجنائية في النظام مرتبطة تحديدًا بالإفصاح عن هذا النوع من البيانات.
أنت صاحب المتجر «جهة التحكم»، أي من يحدد لماذا تُجمع البيانات وكيف تُستخدم. أما شركة الاستضافة، ومنصة المتجر، وبوابة الدفع، وأداة البريد التسويقي، ومزود واتساب API، فهي غالبًا «جهات معالجة» تعمل نيابة عنك. المسؤولية الأساسية تبقى عليك: النظام يلزمك باختيار جهات معالجة تقدّم ضمانات كافية لحماية البيانات ومتابعة التزامها. لذلك لا يكفي أن تقول «المنصة هي المسؤولة».
ليس كل موقع ملزمًا بالتسجيل. وفق القواعد المنظمة للسجل الوطني لجهات التحكم، يجب التسجيل في منصة حوكمة البيانات الوطنية إذا كانت الجهة عامة، أو كان نشاطها الرئيسي قائمًا على معالجة البيانات الشخصية، أو كانت تعالج بيانات حساسة. ويلزم تعيين مسؤول لحماية البيانات الشخصية في حالات محددة، أبرزها أن يكون النشاط الرئيسي قائمًا على معالجة تتطلب مراقبة منتظمة ومنهجية للأفراد، أو على معالجة بيانات حساسة. متجر أزياء صغير في جدة غالبًا لا يلزمه التسجيل، أما عيادة أسنان في الرياض بنظام حجز إلكتروني فعليها أن تتحقق بجدية.
بعيدًا عن اللغة القانونية، هذه الالتزامات السبعة هي ما يعنيه نظام حماية البيانات الشخصية للمواقع في التصميم والبرمجة. كل واحد منها له أثر مباشر على صفحة أو نموذج أو إعداد تقني.
يلزم النظام جهة التحكم باعتماد سياسة خصوصية وإتاحتها لأصحاب البيانات قبل جمع بياناتهم. السياسة المنسوخة من موقع أجنبي تذكر «اللائحة العامة الأوروبية» وقوانين ولاية كاليفورنيا ليست سياسة، بل دليل على عدم الاهتمام. السياسة الصحيحة تذكر بوضوح:
وإن أردت هيكلًا جاهزًا لسياسة خصوصية متجر سعودي، فابنِها على ثمانية عناوين فرعية: الغرض من المعالجة، والبيانات التي نجمعها، والأساس النظامي، والمشاركة مع الغير، والنقل خارج المملكة، ومدة الاحتفاظ، وحقوقك وطريقة ممارستها، وكيف تتواصل معنا.
الموافقة هي الأساس الأشهر، لكنها ليست الوحيد. معالجة عنوان العميل لشحن طلبه تستند إلى تنفيذ العقد معه ولا تحتاج مربع موافقة منفصلًا. أما إرسال رسائل تسويقية، أو تفعيل بكسلات إعلانية، أو استخدام البيانات لغرض جديد، فتحتاج موافقة واضحة. والمهم أن النظام لا يجيز جعل الموافقة شرطًا لتقديم الخدمة إذا لم تكن المعالجة مرتبطة بها، ويعطي صاحب البيانات حق الرجوع عن موافقته في أي وقت. ترجمة ذلك تقنيًا: مربع موافقة على التسويق غير محدد مسبقًا، ومنفصل عن زر «إتمام الطلب».
للعميل الحق في العلم بكيفية معالجة بياناته، والوصول إليها والحصول على نسخة منها، وتصحيحها، وطلب إتلافها عند انتهاء الحاجة إليها. تشير اللائحة التنفيذية إلى الاستجابة للطلبات خلال مدة لا تتجاوز 30 يومًا، مع إمكانية التمديد في حالات محددة. موقعك يحتاج قناة معلنة لهذه الطلبات: بريد مخصص أو نموذج، وإجراء داخلي يعرف فيه الموظف من يرد ومن أين يستخرج البيانات.
لا تطلب ما لا تحتاجه. نموذج «اطلب عرض سعر» لا يحتاج تاريخ الميلاد ولا رقم الهوية. كل حقل إضافي بيانات إضافية مسؤول عنها، وخطر إضافي عند أي تسرب. هذه القاعدة وحدها تحل كثيرًا من مشاكل الامتثال الشائعة في المواقع.
يلزم النظام باتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لحماية البيانات. وتنص اللائحة على إشعار سدايا خلال 72 ساعة من العلم بتسرب يُحتمل أن يضر بالبيانات أو بأصحابها، وإشعار صاحب البيانات إذا ترتب عليه ضرر. هذا يعني أن موقعك يحتاج HTTPS، وتحديثات منتظمة، وصلاحيات محدودة للوحة التحكم، ونسخًا احتياطية، وسجلًا يوضح متى وكيف اكتُشف أي حادث. للتفاصيل التقنية راجع دليل حماية وأمان المواقع الإلكترونية في السعودية.
العميل يجب أن يعرف أن بياناته تمر عبر مزود الاستضافة وبوابة الدفع وشركة الشحن وأداة البريد. ولا يُطلب منك ذكر كل اسم تجاري بالضرورة، لكن يجب أن توضح الفئات والأغراض، وأن تكون لديك عقود معالجة تحمي البيانات مع كل مزود.
احتفظ بسجل مكتوب لأنشطة المعالجة: ما البيانات، ولأي غرض، ومن يطّلع عليها، وأين تُحفظ، ومتى تُتلف. فهذا أول ما يُطلب عند أي تدقيق. وإذا كانت المعالجة تشمل بيانات حساسة، أو تتبّعًا منهجيًا للزوار، أو نقلًا واسعًا للخارج، فأجرِ تقييمًا لأثرها على الخصوصية (DPIA) قبل البدء ووثّقه. ومع كل مزود يعالج البيانات نيابة عنك (استضافة، وبريد، وواتساب API) وقّع اتفاقية معالجة بيانات (DPA) تحدد التزاماته.
هنا يقع أغلب أصحاب المتاجر في المنطقة الرمادية، لأن كل أداة تسويق حديثة ترسل بيانات إلى خوادم خارج المملكة.
النظام السعودي لا يحتوي على مادة تسمّي «الكوكيز» بالاسم كما في بعض القوانين الأوروبية. لكن حين تجمع الكوكيز ومعرّفات التتبّع بيانات يمكن ربطها بشخص، فهي معالجة لبيانات شخصية تخضع لقواعد الموافقة والإفصاح. التطبيق الحذر الذي نوصي به: الكوكيز الضرورية لعمل الموقع (السلة، تسجيل الدخول) تعمل مباشرة مع الإفصاح عنها، وكوكيز التحليل والإعلانات لا تعمل إلا بعد موافقة الزائر عبر بانر واضح فيه زر «رفض» بنفس وضوح زر «قبول».
البكسل يرسل بيانات التصفح، وأحيانًا بريد العميل ورقم جواله بصيغة مشفّرة (hashed) عند تفعيل «المطابقة المتقدمة» أو التحويلات من الخادم، إلى منصة خارج السعودية. هذا لا يعني أن البكسلات ممنوعة، بل يعني ثلاث خطوات: موافقة قبل التفعيل، وإفصاح عنها في سياسة الخصوصية، والتأكد من أن نقل البيانات يتم وفق الضوابط. أدوات مثل وضع الموافقة من جوجل (Consent Mode) تتيح لك الاستمرار في قياس الحملات بشكل مجمّع عندما يرفض الزائر، بدل أن تختار بين الامتثال والقياس. وإن كنت تدير حملات إعلانية، فهذه النقطة تستحق أن تُراجع مع فريق التسويق الرقمي قبل أي حملة جديدة.
النظام لا يفرض على القطاع الخاص عمومًا استضافة البيانات داخل السعودية، لكنه يضبط النقل للخارج. تسمح المادة التاسعة والعشرون ولائحة نقل البيانات خارج المملكة بالنقل عندما يتوفر مستوى حماية مناسب، أو عبر ضمانات مثل البنود التعاقدية القياسية التي اعتمدتها سدايا في سبتمبر 2024، أو القواعد المؤسسية الملزمة للمجموعات. الجهات الحكومية وبعض القطاعات المنظمة (مالي، صحي، اتصالات) لها اشتراطات إضافية من جهاتها التنظيمية قد تتطلب الاستضافة المحلية. القاعدة العملية: اعرف أين خوادمك، واحفظ عقد المعالجة مع مزود الاستضافة، واذكر النقل في سياسة الخصوصية.
عندما يرسل العميل رقمه وطلبه عبر زر واتساب أو شات بوت، فهذه بيانات شخصية تمر عبر مزود خارجي. ويزداد الأمر حساسية عندما تُرسل المحادثات إلى نموذج ذكاء اصطناعي خارجي للتحليل أو الرد الآلي. قبل ربط أي أداة من هذا النوع، اسأل: أين تُخزن المحادثات؟ هل تُستخدم لتدريب النموذج؟ هل يمكن حذفها عند الطلب؟ تناولنا هذه الحدود في مقال وكلاء الذكاء الاصطناعي للشركات السعودية، وتكلفة البنية نفسها في مقال تكلفة شات بوت واتساب.
هل يطلق موقعك البكسلات قبل موافقة الزائر؟
نفحص معك نماذج موقعك وبكسلاته واستضافته في استشارة مجانية، ثم نجهّز بانر الموافقة وصفحة الخصوصية تقنيًا وفق نظام حماية البيانات الشخصية.
هذه القائمة مكتوبة لتُفحص على الموقع نفسه، لا لتُقرأ فقط. افتح موقعك في نافذة خاصة من المتصفح، وامشِ على البنود واحدًا واحدًا. البند الذي لا تستطيع الإجابة عنه بـ«نعم» واضحة هو مهمتك القادمة.
البنود من 5 إلى 12 تقنية بحتة وتحتاج مطوّرًا، أما البنود 13 إلى 15 فتحتاج قرارًا إداريًا وصياغة قانونية. هذا التقسيم يساعدك في معرفة من تكلّف بماذا. وإن كان موقعك يعمل على ووردبريس، فيمكن إدراج كثير من هذه البنود ضمن عقد الصيانة الدوري؛ راجع ما يجب أن يشمله العقد في مقال تكلفة صيانة المواقع الإلكترونية في السعودية.
التكلفة تعتمد على حجم الموقع وعدد الأدوات المربوطة به ونوع البيانات. الجدول التالي نطاقات تقريبية حتى 2026 لموقع شركة أو متجر متوسط في الرياض أو جدة أو الدمام، وتختلف حسب المزود وتعقيد الموقع. الأسعار غير شاملة ضريبة القيمة المضافة 15%.
| البند | التكلفة التقريبية (ريال) | ملاحظات |
|---|---|---|
| أداة إدارة موافقة الكوكيز (CMP) | مجانية بميزات محدودة، أو نحو 40–210 ريال شهريًا للنطاق | تسعير الأدوات العالمية بالدولار ويتغير، وتتوفر إضافات ووردبريس بنحو 220 ريالًا سنويًا |
| تهيئة تقنية: بانر الموافقة، ضبط البكسلات ووضع الموافقة، تعديل النماذج | 2,000 – 8,000 | مرة واحدة، ترتفع مع عدد أدوات التتبّع |
| صفحة سياسة خصوصية مخصصة ومراجعتها قانونيًا | 1,500 – 6,000 | تقديرية، وتختلف كثيرًا حسب المكتب وتعقيد النشاط |
| نموذج طلبات الحقوق وإجراء داخلي للرد | 1,000 – 3,500 | قد يُدمج مع نظام التذاكر أو إدارة العملاء |
| فحص أمني للموقع وإغلاق الثغرات الأساسية | 3,000 – 15,000 | حسب حجم الموقع وعمق الفحص |
| شهادة SSL | 0 – 1,500 سنويًا | الشهادات المجانية كافية لمعظم المواقع |
| متابعة دورية ضمن عقد الصيانة | ضمن الباقة الشهرية غالبًا | مراجعة الأدوات الجديدة وحذف الحسابات القديمة |
للمقارنة: بناء الامتثال داخل مشروع موقع جديد من البداية أرخص بكثير من إصلاحه لاحقًا، لأن النماذج وصفحات الإفصاح وتحميل السكربتات تُصمَّم صحيحة مرة واحدة. لذلك نضمّن هذه البنود افتراضيًا عند تصميم المواقع وإنشاء المتاجر الإلكترونية في بتيل، بدل أن تكون إضافة مدفوعة بعد الإطلاق.
كثير من المحتوى المنتشر يكتب «غرامة 5 ملايين ريال» وكأنها تُفرض تلقائيًا على كل خطأ. هذا غير دقيق. الأرقام في النظام حدود قصوى، والعقوبة تُقدَّر حسب نوع المخالفة وجسامتها ومداها. هذه خلاصة النصوص كما وردت في النظام بعد تعديله:
| المادة | المخالفة | العقوبة كما في النص |
|---|---|---|
| الخامسة والثلاثون | الإفصاح عن بيانات حساسة أو نشرها خلافًا للنظام بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية | السجن مدة لا تزيد على سنتين، أو غرامة لا تزيد على 3 ملايين ريال، أو بهما معًا |
| السادسة والثلاثون | مخالفة أي حكم آخر من أحكام النظام أو لوائحه (خارج حالات المادة 35) | إنذار، أو غرامة لا تزيد على 5 ملايين ريال، ويجوز مضاعفة الغرامة عند التكرار بما لا يتجاوز ضعف الحد الأعلى |
| الثامنة والثلاثون | عقوبات تبعية | للمحكمة مصادرة الأموال المتحصلة من المخالفة، ونشر ملخص الحكم على نفقة المخالف |
| الأربعون | الضرر الواقع على صاحب البيانات | حق صاحب البيانات في المطالبة بالتعويض عن الضرر المادي أو المعنوي |
لاحظ أمرين. الأول: العقوبة الجنائية (السجن) مرتبطة بحالة محددة هي الإفصاح عن البيانات الحساسة بقصد الإضرار أو المنفعة، وليست عقوبة لنسيان بانر الكوكيز. الثاني: المادة 36 تبدأ بالإنذار، ما يعني أن المخالفة الإدارية قد تنتهي بإنذار أو بغرامة أقل بكثير من الحد الأعلى بحسب الحالة.
في يناير 2026 أعلنت لجان النظر في مخالفات النظام بسدايا أنها أصدرت خلال العام السابق 48 قرارًا بثبوت المخالفة وفرض العقوبة (وكالة الأنباء السعودية). وفي يونيو 2026 أعلنت قرارات جديدة بحق عدد من الجهات بإيقاع العقوبات المقررة نظامًا، دون الإعلان عن مبالغ الغرامات أو أسماء الجهات. ومن المخالفات التي ذُكرت في الإعلانين:
الرسالة لصاحب المتجر واضحة: رسائل واتساب والرسائل النصية والبريد التسويقي لعملاء لم يوافقوا عليها هي من أكثر المخاطر واقعية، وهي في الوقت نفسه من أسهل ما يمكن إصلاحه.
من خلال مراجعة مواقع الشركات والمتاجر، تتكرر الأخطاء نفسها، وأغلبها لا يحتاج ميزانية كبيرة:
وإن كنت في مرحلة إطلاق متجر جديد، راجع أيضًا متطلبات إنشاء متجر إلكتروني في السعودية حتى تجمع الاشتراطات التجارية والتقنية والخصوصية في خطة واحدة.
نعم. النظام لا يستثني المنشآت حسب حجمها، فكل متجر يجمع بيانات عملاء في السعودية لأغراض تجارية مشمول به. الفرق أن المتجر الصغير الذي لا يعالج بيانات حساسة غالبًا لا يلزمه التسجيل في منصة سدايا ولا تعيين مسؤول حماية بيانات، لكن تلزمه سياسة الخصوصية والموافقة وحماية البيانات.
المخالفات العامة عقوبتها إنذار أو غرامة لا تزيد على 5 ملايين ريال، وتجوز مضاعفتها عند التكرار. أما الإفصاح عن بيانات حساسة بقصد الإضرار أو المنفعة فعقوبته السجن حتى سنتين أو غرامة حتى 3 ملايين ريال أو كلاهما. وهذه حدود قصوى تُقدَّر حسب جسامة المخالفة.
لا يسمّي النظام الكوكيز صراحة، لكن كوكيز التحليل والإعلانات التي يمكن ربطها بشخص تُعد معالجة لبيانات شخصية تحتاج أساسًا نظاميًا وإفصاحًا. الممارسة الأسلم هي بانر يعرض القبول والرفض بوضوح، ولا يفعّل البكسلات إلا بعد الموافقة، مع إبقاء الكوكيز الضرورية مفعّلة.
ليست مخالفة بذاتها لمعظم منشآت القطاع الخاص. النظام يسمح بنقل البيانات للخارج وفق ضوابط المادة 29 ولائحة النقل، مثل توفر مستوى حماية مناسب أو البنود التعاقدية القياسية. لكن بعض القطاعات المنظمة والجهات الحكومية لها اشتراطات استضافة محلية، فتحقق من جهتك التنظيمية.
تشير اللائحة التنفيذية إلى الرد على طلبات أصحاب البيانات خلال مدة لا تتجاوز 30 يومًا، مع إمكانية التمديد في حالات محددة. لذلك جهّز قناة معلنة للطلبات وإجراءً داخليًا واضحًا، وتذكّر أن بعض البيانات قد يلزم الاحتفاظ بها لمدة نظامية، مثل الفواتير.
الامتثال لنظام حماية البيانات الشخصية للمواقع والمتاجر ليس مشروعًا قانونيًا معقدًا في معظم الحالات، بل مجموعة قرارات تقنية وإدارية واضحة: نماذج بحقول أقل، وبكسلات لا تعمل قبل الموافقة، واستضافة معروفة الموقع، وسياسة خصوصية تشبه نشاطك، وقناة تستقبل طلبات العملاء. وهو أيضًا ميزة تسويقية، لأن العميل السعودي صار أكثر وعيًا بمن يعطيه رقم جواله.
في بتيل للحلول التقنية نراجع موقعك أو متجرك وفق قائمة التدقيق أعلاه، وننفذ الجزء التقني منها: بانر الموافقة، وضبط البكسلات، وتعديل النماذج، وصفحات الإفصاح، والتقوية الأمنية، ويمكنك إشراك مستشارك القانوني في صياغة السياسة. تواصل معنا عبر واتساب أو من خلال صفحة تواصل معنا واحصل على مراجعة مبدئية مجانية لموقعك.
