أصبحت حماية البيانات الشخصية اليوم من أهم متطلبات الامتثال القانوني في المملكة العربية السعودية مع تسارع التحول الرقمي واعتماد المنشآت على البيانات في مختلف أنشطتها. ويضع نظام حماية البيانات الشخصية (PDPL) إطاراً قانونياً شاملاً ينظم جمع البيانات الشخصية ومعالجتها وتخزينها ومشاركتها، ويحدد حقوق الأفراد والتزامات المنشآت بوضوح.
سواء كنت تدير شركة محلية أو منشأة دولية تتعامل مع بيانات الأفراد داخل المملكة، فإن فهم متطلبات نظام PDPL يُعد خطوة أساسية لتقليل المخاطر القانونية وتحقيق الامتثال . ويقدم فريق ايقن للاستشارات القانونية الدعم القانوني اللازم لمساعدة المنشآت على تطبيق النظام وبناء منظومة فعّالة لحماية البيانات.
لماذا أصبح قانون حماية البيانات ضرورةً لا خياراً؟
جاء نظام PDPL استجابةً للتطور السريع في الاقتصاد الرقمي وزيادة الاعتماد على البيانات الشخصية في مختلف القطاعات. ويوضح هذا القسم الأسباب التي جعلت حماية البيانات جزءاً أساسياً من الحوكمة والامتثال في المملكة.
البيانات الشخصية بوصفها أصلاً اقتصادياً في عصر رؤية 2030
تحوّلت البيانات الشخصية في السنوات الأخيرة إلى أصل اقتصادي حقيقي تتنافس عليه الشركات وتتجارى فيه القطاعات. تطبيقات التجارة الإلكترونية، ومنصات الخدمات المالية، والأنظمة الصحية الرقمية — جميعها تستند إلى بيانات المستخدمين لتحسين خدماتها وزيادة إيراداتها. وحين تكون هذه البيانات محوراً اقتصادياً، فإن حمايتها تصبح ضرورةً اجتماعية وتنظيمية قبل أن تكون التزاماً قانونياً.
الفجوة الرقمية التي جاء نظام PDPL ليسدّها
قبل صدور نظام PDPL، كانت المملكة تفتقر إلى تشريع موحَّد وشامل لحماية البيانات الشخصية. كانت ثمة نصوص متفرقة في نظام مكافحة الجرائم المعلوماتية وأنظمة قطاعية، لكنها لم تُوفّر منظومة متكاملة. جاء النظام ليسدّ هذه الفجوة ويضع معايير موحّدة تنطبق على جميع المنشآت التي تتعامل مع بيانات الأفراد داخل المملكة وخارجها في حالات معينة.
ما هو قانون حماية البيانات الشخصية في السعودية؟
لفهم متطلبات النظام بصورة صحيحة، من المهم التعرف على الإطار التشريعي الذي يقوم عليه، والجهات المسؤولة عن تطبيقه، وكيف تطورت آليات إنفاذه منذ صدوره.
المرسوم الملكي رقم م/19 والإطار التشريعي للنظام
صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم م/19 بتاريخ 9/2/1443هـ الموافق 17/9/2021م. دخل النظام حيز التنفيذ على مراحل، حيث أُعطيت المنشآت مهلة للتوافق مع أحكامه، ثم سرت الأحكام الكاملة اعتباراً من سبتمبر 2024م. يتألف النظام من خمسة وثلاثين مادة تُغطي تعريف البيانات، وحقوق أصحابها، والتزامات المنشآت، والعقوبات المترتبة.
الجهة المشرفة على التطبيق: دور SDAIA ومكتب إدارة البيانات الوطنية
تضطلع الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بالإشراف على تطبيق نظام PDPL وتفسير أحكامه. وينبثق عنها مكتب إدارة البيانات الوطنية المنوط به استقبال الشكاوى والتحقيق في المخالفات وفرض العقوبات. تُصدر سدايا لوائح تنفيذية وتوجيهات إرشادية تُساعد المنشآت على ترجمة أحكام النظام إلى إجراءات عملية.
تاريخ النفاذ الكامل وما تغيّر منذ سبتمبر 2024
مع دخول النفاذ الكامل في سبتمبر 2024م، أصبحت جميع أحكام النظام نافذةً بالكامل بما فيها أحكام العقوبات. وقبل هذا التاريخ، كانت سدايا تتعامل مع المخالفات بالتوجيه والتصحيح أكثر من الملاحقة. واليوم تعمل الهيئة بأدوات رقابية كاملة: المراجعات الميدانية، وتلقّي الشكاوى، وفرض الغرامات.
ما هو القانون رقم 151 لسنة 2020 بشأن حماية البيانات الشخصية؟
تستفيد الشركات التي تعمل في أكثر من دولة من فهم أوجه التشابه والاختلاف بين الأنظمة القانونية المختلفة. ويستعرض هذا القسم مقارنة موجزة بين النظام السعودي والقانون المصري لحماية البيانات الشخصية.
مقاربة مصر في حماية البيانات مقارنةً بالنظام السعودي
يُشير القانون رقم 151 لسنة 2020م إلى قانون حماية البيانات المصري الصادر في ذات الفترة التقريبية من صدور النظام السعودي. اتبع المشرّع المصري نهجاً مماثلاً في التأسيس على مبادئ الشفافية والموافقة وحقوق الأفراد، وإن اختلفت التفاصيل التشغيلية والعقوبات. يهم هذا المقارنة الشركات العاملة في كلا السوقَين التي تحتاج إلى منظومة امتثال مزدوجة.
أوجه التشابه والاختلاف بين التشريعَيْن
يتشابه التشريعات في المبادئ الجوهرية: اشتراط الموافقة المسبقة لجمع البيانات، وحق الأفراد في الوصول إلى بياناتهم وتصحيحها وحذفها، والتزام المنشآت بالإبلاغ عن الاختراقات. أما الاختلاف يكمن في آليات التطبيق، ومستوى العقوبات، ومتطلبات تعيين مسؤول حماية البيانات، نطاق انطباق النظام على الكيانات خارج البلد.
ما هو قانون حماية البيانات العامة؟
تُعد اللائحة الأوروبية العامة لحماية البيانات (GDPR) المرجع الدولي الأبرز في مجال حماية البيانات، وقد تأثر بها العديد من التشريعات الحديثة، ومنها نظام حماية البيانات الشخصية السعودي مع مراعاة خصوصية البيئة التنظيمية في المملكة.
اللائحة الأوروبية GDPR ومبادئها التأسيسية
اللائحة الأوروبية العامة لحماية البيانات GDPR الصادرة عام 2018م هي المرجع العالمي في تشريعات حماية البيانات. تُرسي ستة مبادئ أساسية: المشروعية والشفافية، وتحديد الغرض، والحد الأدنى من البيانات، والدقة، والتخزين المحدود، والسلامة والسرية. وترتّب على خرقها غرامات قد تصل إلى 4% من الإيرادات العالمية السنوية للمنشأة المخالفة.
كيف استلهم نظام PDPL السعودي من GDPR وتجاوزه في سياقات محددة
اقتبس نظام PDPL السعودي كثيراً من مبادئ GDPR، لا سيما في مجالات الموافقة الصريحة وحقوق الأفراد وآليات الإبلاغ عن الاختراقات. بيد أن النظام السعودي يتميّز بسياقه الثقافي والشرعي: يُعطي أهمية خاصة لمفهوم البيانات الحساسة التي تشمل المعلومات الدينية والبيانات الجنائية، ويُراعي طبيعة السوق المحلية في تحديد استثناءات بعينها.
نطاق تطبيق قانون حماية البيانات الشخصية
لا يقتصر تطبيق النظام على الشركات السعودية فحسب، بل يمتد في بعض الحالات إلى جهات خارج المملكة. ويبين هذا القسم نطاق تطبيق النظام والبيانات التي يشملها والاستثناءات الواردة عليه.
من تشمله أحكام النظام داخل المملكة وخارجها
يسري النظام على كل منشأة تعالج بيانات شخصية لأفراد داخل المملكة، بصرف النظر عن مقرها أو جنسيتها. أي شركة أجنبية تُقدّم خدماتها لمقيمين في السعودية وتجمع بياناتهم ملزَمة بأحكام النظام، حتى لو كانت بنيتها التحتية خارج المملكة. هذا النطاق الواسع يجعله مشابهاً لنموذج GDPR في خاصية الانطباق خارج الحدود.
تعريف البيانات الشخصية والبيانات الحساسة في النظام
عرّف النظام البيانات الشخصية بأنها كل ما يُمكّن من التعرف على الفرد بصورة مباشرة أو غير مباشرة، كالاسم ورقم الهوية وبيانات الاتصال والصورة والبيانات الرقمية. وخصّص النظام درجة حماية أعلى للبيانات الحساسة التي تشمل: البيانات المتعلقة بالعرق والأصل العرقي والآراء السياسية والمعتقدات الدينية، والبيانات الصحية والجينية والبيومترية، والبيانات الجنائية.
الجهات المستثناة من بعض أحكام النظام
استثنى النظام من بعض أحكامه جهاتٍ بعينها لاعتبارات تتعلق بالأمن الوطني والصالح العام: كالأجهزة الأمنية في سياق عملها الرسمي، والبيانات المُعالَجة لأغراض قانونية وقضائية بموجب أوامر قضائية، والبيانات التي يمتلكها الفرد بصفته الشخصية لاستخدامها الشخصي فقط.
التزامات المنشآت بموجب قانون حماية المعلومات السعودي
يفرض النظام مجموعة من الالتزامات العملية التي يجب على المنشآت الالتزام بها عند جمع البيانات الشخصية أو معالجتها، وذلك لضمان الامتثال وتقليل مخاطر المخالفات والعقوبات.
الحصول على موافقة صاحب البيانات قبل الجمع والمعالجة
يُشترط قبل جمع أي بيانات شخصية الحصول على موافقة صريحة من صاحبها، مُحددة بغرض الجمع والاستخدام. لا تُجزئ الموافقة الضمنية المدرجة في شروط الاستخدام الطويلة المُصاغة بلغة معقدة؛ يجب أن تكون الموافقة واضحة ومحددة الغرض وقابلة للإلغاء. وعلى المنشأة الاحتفاظ بسجل يُثبت الموافقة في حالة النزاع.
اعتماد سياسة الخصوصية وإتاحتها للجمهور
يُلزَم كل كيان يجمع بيانات شخصية بنشر سياسة خصوصية واضحة تُبيّن: أنواع البيانات التي يجمعها، والأغراض التي تُستخدم فيها، والجهات التي تُشارَك معها، ومدة الاحتفاظ بها، وحقوق صاحب البيانات وكيفية ممارستها. ويجب أن تكون السياسة في متناول الجمهور وتُحدَّث عند أي تغيير جوهري.
تعيين مسؤول حماية البيانات وإجراء تقييم الأثر
تُلزَم المنشآت التي تُعالج بيانات بصفة منتظمة أو تتعامل مع بيانات حساسة بتعيين مسؤول حماية بيانات يُشرف على الامتثال الداخلي ويكون نقطة تواصل مع الجهات الرقابية. كما يُشترط إجراء تقييم أثر الخصوصية (DPIA) قبل الشروع في أي نشاط جديد لمعالجة البيانات قد يُشكّل خطراً على خصوصية الأفراد.
الإبلاغ الفوري عن حوادث تسرّب البيانات
عند حدوث أي اختراق أو تسرّب لبيانات شخصية، يُلزَم النظام المنشأةَ بإخطار سدايا فور اكتشاف الحادثة وبدون تأخير غير مبرر. وفي حالات معينة، يجب إبلاغ أصحاب البيانات المتأثرين. التأخر في الإبلاغ يُشكّل بذاته مخالفةً مستقلة.
حقوق الأفراد بموجب قانون حماية البيانات في السعودية
منح النظام أصحاب البيانات الشخصية مجموعة من الحقوق التي تعزز الشفافية وتمكنهم من التحكم في بياناتهم. ويجب على المنشآت وضع إجراءات واضحة للتعامل مع هذه الحقوق والاستجابة لها وفقاً لأحكام النظام.
الحق في العلم والوصول والتصحيح
يُكفل النظام لكل فرد الحق في معرفة ما إذا كانت المنشأة تمتلك بياناته، والحصول على نسخة منها، وطلب تصحيح أي بيانات خاطئة أو غير محدَّثة. يجب على المنشأة الاستجابة لهذه الطلبات خلال مهلة معقولة، وعدم الاستجابة دون مبرر مشروع يُعدّ مخالفة.
حق الإتلاف وتقييد المعالجة والاعتراض
يحق للفرد طلب حذف بياناته ("حق النسيان") في حالات محددة، كانتهاء الغرض الذي جُمعت من أجله أو سحب الموافقة. كذلك يحق له تقييد معالجة بياناته في سياقات معينة والاعتراض على استخدامها لأغراض التسويق المباشر. المنشأة ملزَمة بتنفيذ هذه الطلبات ما لم يكن ثمة سند قانوني يُجيز الاستمرار.
ضوابط نقل البيانات الشخصية إلى خارج المملكة
لا يجوز نقل البيانات الشخصية إلى دول أو جهات خارج المملكة إلا في حالات محددة: إما أن تُقرّر سدايا بأن الدولة المستقبِلة توفر مستوى كافياً من الحماية، أو أن يُبرم عقد يضمن حماية مماثلة. هذا القيد بالغ الأهمية للشركات متعددة الجنسيات التي تُخزّن بيانات عملائها السعوديين على خوادم خارجية.
العقوبات المترتبة على مخالفة نظام PDPL
يترتب على مخالفة أحكام النظام آثار قانونية ومالية قد تكون كبيرة، فضلاً عن انعكاسها على سمعة المنشأة وثقة عملائها. وفيما يلي أبرز العقوبات التي نص عليها النظام.
غرامات تصل إلى 5 ملايين ريال والسجن سنتين
يُقرّر النظام عقوبات رادعة على المخالفات؛ تصل الغرامة في المخالفات الجسيمة إلى خمسة ملايين ريال وقد تصاحبها عقوبة سجن لا تتجاوز سنتين في المخالفات المقصودة. تُصنَّف المخالفات وفق جسامتها: الإخلال بشرط الموافقة، ونقل البيانات غير المشروع، والإخفاق في الإبلاغ عن الاختراقات — كلها مخالفات في المستويات العليا.
مضاعفة العقوبة عند تكرار المخالفة والتشهير الإعلامي
عند تكرار المخالفة، يُضاعَف الحد الأقصى للغرامة. وفي الجرائم الجسيمة والمتكررة، تملك سدايا صلاحية التشهير بالمنشأة المخالفة عبر النشر الرسمي، وهو عقوبة تعلو في أثرها العملي على الغرامة المالية في كثير من الحالات نظراً للآثار التي تتركها على سمعة المنشأة في السوق.
التبعات غير المالية: خسارة الثقة والسمعة التجارية
تتجاوز تبعات مخالفة PDPL العقوبات المالية الرسمية؛ فاختراق بيانات المستخدمين أو إساءة استخدامها يُلحق ضرراً بالغاً بثقة العملاء يصعب جبره. في اقتصاد تتصاعد فيه التجارة الرقمية، الثقة في التعامل مع البيانات باتت عاملاً تنافسياً حقيقياً لا مجرد التزام قانوني.
هل منشأتك مستعدة قانونياً للامتثال؟
لا يكفي أن تكون قد سمعت بنظام PDPL؛ السؤال الحقيقي هو: هل منظومة جمع بياناتك وتخزينها ومشاركتها متوافقة فعلياً مع أحكامه؟ كثير من المنشآت لا تزال تتعامل مع البيانات بممارسات أُسسّت قبل صدور النظام ولم تُعدَّل بعد.
يُقدّم فريق ايقن القانوني تقييم امتثال PDPL لمنشأتك وخارطة طريق عملية لتحقيق التوافق الكامل مع النظام. تواصل معنا الآن أو احجز استشارتك.