تخيّل أنك تمتلك موقعًا إلكترونيًا لشركتك في السعودية، وقد حرصت على تصميمه بطريقة احترافية، وتفعيل شهادة SSL، وتوفير نموذج للتواصل مع العملاء، وربطه بأدوات التحليل والحملات الإعلانية.

يبدو كل شيء ممتازًا من الناحية التقنية.

لكن هل سألت نفسك يومًا: أين تُحفظ بيانات الأشخاص الذين يتواصلون معك؟ ومن يستطيع الاطلاع عليها؟ وهل يعلم الزائر لماذا يجمع موقعك بياناته وكيف تستخدمها؟

وماذا عن ملفات تعريف الارتباط (Cookies) التي تساعدك على قياس زيارات الموقع أو استهداف العملاء بالإعلانات؟

هل يكفي وجود صفحة بعنوان «سياسة الخصوصية» حتى يصبح موقعك متوافقًا مع نظام حماية البيانات الشخصية السعودي؟

الإجابة: لا.

فحماية البيانات الشخصية لا تقتصر على نشر سياسة مكتوبة أو استخدام اتصال مشفر، بل تتطلب تنظيم جمع البيانات ومعالجتها وحفظها والإفصاح عنها، واحترام حقوق أصحابها، وتطبيق الضوابط المناسبة.

وفي المملكة العربية السعودية، ينظم نظام حماية البيانات الشخصية (Personal Data Protection Law – PDPL) هذه الجوانب، وتوضح لوائحه التنفيذية متطلبات إضافية على الجهات المشمولة بأحكامه.

في هذا الدليل من استضافة رؤيتنا لتقنية المعلومات والحلول الرقمية، نشرح أبرز الالتزامات المتعلقة بمواقع الشركات والمتاجر والمنصات الإلكترونية، بما يشمل سياسة الخصوصية ونماذج التواصل والكوكيز والتسويق وحقوق الأفراد، مع خطوات عملية تساعد أصحاب المواقع على مراجعة ممارساتهم.

أولًا: ما هو نظام حماية البيانات الشخصية السعودي PDPL؟

نظام حماية البيانات الشخصية هو الإطار النظامي السعودي الذي ينظم معالجة البيانات الشخصية، ويهدف إلى حماية حقوق الأفراد فيما يتعلق ببياناتهم.

صدر النظام بالمرسوم الملكي رقم (م/19) بتاريخ 9 صفر 1443هـ، وعدّل بالمرسوم الملكي رقم (م/148) بتاريخ 5 رمضان 1444هـ.

وتتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، من خلال اختصاصاتها التنظيمية ذات الصلة، إصدار اللوائح والأدلة والإرشادات المتعلقة بتطبيق النظام.

ويشمل الإطار التنظيمي نظام حماية البيانات الشخصية، ولائحته التنفيذية، ولائحة نقل البيانات الشخصية خارج المملكة، وما يرتبط بها من قواعد وضوابط.

ماذا يعني ذلك لصاحب موقع إلكتروني؟

إذا كان موقعك يجمع أو يعالج بيانات شخصية ضمن نطاق تطبيق النظام، فقد تترتب عليك التزامات تتعلق بالغرض من جمع البيانات والمسوغ النظامي لمعالجتها وحمايتها، وكيفية ممارسة الأفراد لحقوقهم.

ولا يعني ذلك أن جميع المواقع تواجه الالتزامات التفصيلية نفسها.

فقد تختلف المسؤوليات بحسب طبيعة المنشأة، والبيانات التي تعالجها، وأغراض المعالجة، ودورها كجهة تحكم أو معالجة، والأنظمة الأخرى المنطبقة عليها.

وجود موقع إلكتروني ليس المشكلة؛ المهم هو معرفة البيانات التي يتعامل معها الموقع وكيفية إدارتها بطريقة نظامية وآمنة.

ثانيًا: هل ينطبق نظام PDPL على مواقع الشركات والمتاجر الصغيرة؟

من المفاهيم الخاطئة الاعتقاد بأن حماية البيانات الشخصية تخص البنوك والمستشفيات والشركات الكبرى فقط.

فقد تجمع شركة صغيرة بيانات الأشخاص عبر نموذج تواصل أو طلب عرض سعر، وقد يحتفظ متجر إلكتروني بمعلومات العملاء وعناوينهم وطلباتهم.

وقد تدير جمعية أو مؤسسة قاعدة بيانات للأعضاء أو المستفيدين أو المتطوعين.

هذه الأنشطة قد تنطوي على معالجة بيانات شخصية، مما يستدعي تقييم انطباق النظام ومتطلباته.

أمثلة عملية

موقع شركة مقاولات: يجمع أسماء العملاء وأرقام هواتفهم وتفاصيل مشاريعهم.

موقع عقاري: يستقبل معلومات المهتمين بالعقارات وطلبات التواصل.

متجر إلكتروني: يحتفظ بمعلومات الطلبات والعملاء وعناوين التوصيل.

موقع جمعية: يتعامل مع بيانات الأعضاء أو المستفيدين والمتطوعين.

منصة تعليمية: تدير حسابات الطلاب ومعلوماتهم ونتائجهم.

مدونة إلكترونية: قد تستخدم أدوات تحليل أو نماذج اشتراك أو تقنيات تتبع تجمع بيانات مرتبطة بأفراد.

ولا يعني هذا أن جميع البيانات أو العمليات تخضع للأحكام نفسها؛ إذ يتطلب التقييم النظر إلى نوع البيانات والغرض من معالجتها والنطاق القانوني للنشاط.

ثالثًا: ما المقصود بالبيانات الشخصية؟

البيانات الشخصية هي البيانات التي من شأنها أن تؤدي إلى معرفة الفرد بصورة مباشرة أو غير مباشرة.

وقد تشمل:

• الاسم.
• رقم الهوية.
• رقم الهاتف.
• البريد الإلكتروني.
• العنوان.
• معلومات الحساب.
• بيانات الطلبات المرتبطة بشخص.
• معلومات الموقع الجغرافي.
• المعرّفات الإلكترونية التي تتيح تحديد شخص أو ربط المعلومات به.

وقد يُعد عنوان IP أو معرف الجهاز أو ملف تعريف الارتباط بيانات شخصية عندما يؤدي، بمفرده أو بالاقتران مع معلومات أخرى، إلى تحديد فرد.

هل جميع البيانات متساوية من حيث الحساسية؟

لا.

يتضمن النظام أحكامًا خاصة لبعض أنواع البيانات الحساسة، وقد تتطلب معالجتها تدابير وضوابط إضافية.

ومن المهم ألا يجمع الموقع بيانات حساسة لمجرد احتمال الحاجة إليها مستقبلًا.

مثال

إذا كان هدف نموذج التواصل الحصول على استفسار حول تصميم موقع إلكتروني، فقد يكون الاسم ووسيلة التواصل وتفاصيل الطلب كافية.

وغالبًا لن يحتاج النموذج إلى رقم هوية العميل أو نسخة من وثيقته الرسمية لهذا الغرض.

القاعدة الأساسية: لا تطلب من الزائر بيانات أكثر مما يحتاجه الغرض المشروع والمحدد من جمعها.

رابعًا: ما الفرق بين جهة التحكم وجهة المعالجة؟

من المهم لصاحب الموقع فهم هذين المفهومين.

جهة التحكم (Controller)

هي الجهة التي تحدد الغرض من معالجة البيانات الشخصية وكيفية القيام بها، وفق تعريف النظام.

فإذا كانت شركتك تحدد لماذا تجمع بيانات العملاء وكيف تستخدمها، فقد تكون جهة تحكم بالنسبة لهذه العمليات.

جهة المعالجة (Processor)

هي الجهة التي تعالج البيانات الشخصية لمصلحة جهة التحكم ونيابة عنها.

قد يكون مقدم خدمة تقنية أو تشغيلية جهة معالجة بالنسبة إلى عمليات معينة، وفق طبيعة العلاقة الفعلية.

لماذا يهم هذا الفرق؟

لأن توزيع المسؤوليات بين صاحب الموقع والمطور وشركة الاستضافة ومزودي الخدمات الخارجية يحتاج إلى تنظيم واضح.

ولا يعني أن الموقع مستضاف لدى شركة خارجية أن صاحب النشاط تخلص تلقائيًا من مسؤولياته تجاه البيانات.

كذلك لا يصبح كل مزود استضافة جهة تحكم في بيانات جميع عملائه لمجرد استضافتها؛ إذ تتحدد الأدوار بحسب أغراض المعالجة والقرارات المتخذة بشأنها.

المسؤولية عن البيانات لا تُحدد باسم الشركة أو نوع الاستضافة وحده، بل بالدور الفعلي في معالجتها.

خامسًا: هل وجود سياسة خصوصية في الموقع إلزامي؟

تنص المادة الثانية عشرة من نظام حماية البيانات الشخصية على اعتماد جهة التحكم سياسة للخصوصية وإتاحتها لأصحاب البيانات الشخصية، بما يسمح لهم بالاطلاع عليها عند جمع بياناتهم.

ومن هنا تظهر أهمية وجود سياسة خصوصية واضحة ومناسبة للممارسات الفعلية للموقع.

لكن هناك فرقًا كبيرًا بين نشر سياسة مكتوبة وتطبيقها بصورة صحيحة.

ماذا ينبغي أن تتضمن سياسة الخصوصية؟

من أبرز المعلومات التي ينبغي تغطيتها، بحسب الأنشطة والمتطلبات المنطبقة:

هوية الجهة المسؤولة: من الجهة التي تجمع البيانات وتعالجها؟

أنواع البيانات: ما المعلومات التي يجمعها الموقع؟

أغراض المعالجة: لماذا تُجمع تلك البيانات؟

المسوغات النظامية: ما الأساس الذي تعتمد عليه الجهة لمعالجة البيانات؟

طرق الجمع: هل تُجمع عبر النماذج أم الحسابات أم التحليلات أم وسائل أخرى؟

الإفصاح والمشاركة: ما الجهات التي قد تتلقى البيانات، ولماذا؟

التخزين والاحتفاظ: كيف تحفظ البيانات، ومتى تُزال وفق الضوابط المناسبة؟

النقل خارج المملكة: هل تُنقل أو تُعالج البيانات خارج السعودية، وفق المتطلبات المنطبقة؟

حقوق الأفراد: كيف يمكن لصاحب البيانات ممارسة حقوقه؟

وسيلة التواصل: أين يرسل الفرد استفساراته أو طلباته المتعلقة بخصوصيته؟

هل يمكن نسخ سياسة من موقع آخر؟

لا ننصح بذلك.

فقد تستخدم شركة أخرى خدمات مختلفة لمعالجة البيانات، أو تخزن المعلومات في دولة مختلفة، أو تعتمد وسائل تسويقية لا تستخدمها مؤسستك.

وإذا نسخت سياستها حرفيًا، فقد تنشر معلومات لا تعكس الواقع الفعلي لموقعك.

كما أن استخدام نص مولد بالذكاء الاصطناعي دون مراجعة العمليات الحقيقية قد يؤدي إلى الأخطاء نفسها.

سياسة الخصوصية الجيدة تصف ما يحدث داخل موقعك فعلًا، وليس ما ترغب في أن يعتقده الزائر.

سادسًا: هل يجب الحصول على موافقة المستخدم قبل جمع بياناته؟

الموافقة من المسوغات النظامية لمعالجة البيانات، لكنها ليست المسوغ الوحيد في جميع الحالات.

فقد توجد مسوغات أخرى يقررها النظام، مثل تنفيذ اتفاق يكون صاحب البيانات طرفًا فيه، أو الالتزام بمتطلب نظامي، أو غير ذلك من الحالات والشروط المحددة.

لذلك، لا يصح القول إن كل عملية جمع بيانات تحتاج دائمًا إلى مربع موافقة مستقل.

وفي المقابل، لا يجوز افتراض أن جميع أنواع المعالجة مسموحة لمجرد أن المستخدم دخل الموقع.

مثال: نموذج طلب خدمة

إذا قدّم العميل بيانات لازمة لدراسة طلبه أو تنفيذ اتفاق معه، فينبغي تقييم المسوغ المناسب لتلك المعالجة وإحاطته بالمعلومات المطلوبة.

مثال: استخدام البيانات للإعلانات

قد يكون استخدام رقم هاتف العميل لإرسال عروض ترويجية عملية مختلفة عن استخدامه للتواصل بشأن طلب قائم.

وتخضع معالجة البيانات لأغراض التسويق المباشر لمتطلبات خاصة، منها الحصول على الموافقة وفق الأحكام المطبقة، وإتاحة طريقة مناسبة لإيقاف الرسائل.

ما المشكلة في مربعات الموافقة الإجبارية؟

إذا كانت الموافقة هي المسوغ المعتمد لعملية معينة، فيجب مراعاة شروط صحتها وحرية اتخاذها.

ولا ينبغي جعل الموافقة على معالجة غير ضرورية للخدمة شرطًا للحصول عليها، إلا وفق الحالات التي يسمح بها النظام.

لا تستخدم مربع موافقة واحدًا ليغطي جميع الأغراض دون توضيح، ولا تخلط تلقائيًا بين موافقة إتمام الطلب وموافقة استقبال الإعلانات.

سابعًا: ما هي ملفات تعريف الارتباط Cookies؟ وهل تحتاج إلى موافقة؟

ملفات تعريف الارتباط هي بيانات صغيرة يمكن للمواقع تخزينها في متصفح المستخدم لأغراض مختلفة.

قد تساعد على الاحتفاظ بحالة تسجيل الدخول، أو تذكر محتويات سلة التسوق، أو قياس استخدام الموقع، أو دعم بعض أنشطة التسويق.

لكنها ليست كلها متساوية من ناحية الغرض والمعلومات التي تجمعها.

أنواع شائعة من الكوكيز

وهذا تقسيم تقني شائع، وليس تصنيفًا يعفي أي نوع تلقائيًا من جميع الالتزامات النظامية.

هل يجب إظهار نافذة كوكيز لكل موقع؟

ليست المسألة مجرد إلزام عام بظهور نافذة موحدة على جميع المواقع.

الأهم هو تقييم طبيعة التقنيات المستخدمة، وهل تجمع أو تعالج بيانات شخصية، وما المسوغ النظامي الذي تعتمد عليه المعالجة، وما متطلبات الشفافية والموافقة المنطبقة.

ماذا لو استخدم الموقع Google Analytics؟

ينبغي معرفة البيانات التي تجمعها الأداة، وإعداداتها، وفترات الاحتفاظ، ومشاركة البيانات، والمتطلبات النظامية ذات الصلة.

فمجرد استخدام أداة تحليل شائعة لا يعني إعفاء الموقع من مسؤوليات حماية البيانات.

وماذا عن أدوات الإعلانات؟

قد تستخدم أدوات تتبع الحملات معرّفات تساعد على ربط نشاط الزائر بحملات تسويقية.

ولهذا ينبغي تقييمها بصورة مستقلة، خاصة عندما تتضمن معالجة بيانات لأغراض التسويق أو مشاركة معلومات مع جهات خارجية.

كيف تصمم واجهة تفضيلات الخصوصية؟

عندما تتطلب المعالجة موافقة، ينبغي توفير تجربة واضحة تسمح للمستخدم باتخاذ قرار فعلي.

ومن الجيد تقنيًا توفير وصف لأغراض المعالجة، وتمييز الخيارات، وتسجيل حالة الموافقة وإتاحة إدارتها عند الحاجة.

ويجب ألا تستخدم الواجهة حيلًا بصرية لإجبار المستخدم على قبول تتبع غير ضروري.

وجود نافذة تقول «نحن نستخدم الكوكيز» لا يعالج وحده متطلبات الخصوصية إذا كانت آلية المعالجة نفسها غير مناسبة.

ثامنًا: كيف تحمي نماذج التواصل وطلبات العملاء؟

نماذج التواصل من أكثر وسائل جمع البيانات انتشارًا في المواقع التعريفية.

فقد يحتوي النموذج على اسم العميل ورقم الهاتف والبريد الإلكتروني وطبيعة استفساره.

ما الأخطاء الشائعة؟

طلب معلومات غير ضرورية.

إرسال محتوى النموذج إلى عدة موظفين دون تنظيم.

تخزين البيانات في ملفات يمكن الوصول إليها دون صلاحيات مناسبة.

الاحتفاظ بجميع الطلبات إلى أجل غير محدد دون مبرر.

استخدام بيانات التواصل لاحقًا في حملات تسويقية دون مراعاة المسوغ المناسب.

كيف تحسن النموذج؟

ابدأ بمراجعة الحقول، واحتفظ بما تحتاج إليه فقط.

وضح الغرض من جمع البيانات، ووفر وسيلة للوصول إلى سياسة الخصوصية عند نقطة الجمع.

ثم تأكد من إرسال البيانات عبر اتصال آمن، وتحديد صلاحيات الوصول إليها، ووضع مدة احتفاظ مناسبة.

وإذا كانت البيانات تنتقل إلى نظام خارجي، فتحقق من دور الجهة التي تستقبلها وترتيبات المعالجة المرتبطة بها.

مثال عملي

إذا كان النموذج بعنوان «اطلب عرض سعر»، فقد تحتاج إلى اسم العميل ووسيلة التواصل ونوع المشروع ووصف مختصر.

أما طلب تاريخ الميلاد ورقم الهوية والعنوان التفصيلي في تلك المرحلة، فقد يكون غير مبرر إذا لم تكن هناك حاجة نظامية أو تشغيلية واضحة.

كل حقل تجمعه يزيد مسؤولية إدارتك للبيانات، لذلك ابدأ بالحد الأدنى اللازم.

تاسعًا: ما حقوق أصحاب البيانات الشخصية في السعودية؟

يمنح نظام حماية البيانات الشخصية الأفراد مجموعة من الحقوق، مع مراعاة الشروط والاستثناءات النظامية.

ومن أبرزها:

1. الحق في العلم

أن يعرف الفرد المسوغ والغرض من جمع بياناته ومعالجتها، وفق متطلبات النظام.

2. الحق في الوصول إلى البيانات

يمكن لصاحب البيانات طلب الوصول إلى بياناته الشخصية وفق الضوابط المنطبقة.

3. الحق في الحصول على نسخة

يمكن للفرد طلب الحصول على بياناته بصيغة واضحة ومقروءة، وفق متطلبات النظام واللائحة.

4. الحق في التصحيح

يشمل طلب تصحيح البيانات غير الدقيقة أو استكمال الناقصة أو تحديث القديمة.

5. الحق في طلب الإتلاف

يمكن للفرد طلب إتلاف بياناته وفق الحالات والشروط المقررة.

6. الحق في العدول عن الموافقة

عندما تستند معالجة البيانات إلى الموافقة، يحق لصاحب البيانات العدول عنها وفق الضوابط ذات الصلة.

هل تعني هذه الحقوق حذف جميع البيانات فورًا عند الطلب؟

ليس بالضرورة.

فقد توجد التزامات نظامية للاحتفاظ بسجلات أو فواتير أو معلومات مرتبطة بمطالبات قانونية، أو حالات استثناء أخرى.

لذلك ينبغي فحص كل طلب وتحديد الإجراء المناسب بدل الرفض التلقائي أو الحذف العشوائي.

كيف يستعد موقعك لهذه الحقوق؟

وفر قناة واضحة لاستقبال طلبات الخصوصية.

وحدد من يتولى مراجعتها والتحقق من هوية مقدم الطلب بالقدر اللازم.

كما ينبغي تنظيم آلية للبحث عن البيانات وتصحيحها أو تقديمها أو إتلافها عندما تتوفر الشروط.

احترام حقوق العميل ليس مجرد نص في سياسة الخصوصية؛ بل يحتاج إلى إجراءات عملية تستطيع المؤسسة تنفيذها.

عاشرًا: هل يجوز استخدام بيانات العملاء في التسويق عبر WhatsApp أو البريد الإلكتروني؟

قد يجمع المتجر رقم الهاتف لإرسال تأكيد الطلب أو التنسيق مع شركة الشحن.

لكن ذلك لا يعني تلقائيًا جواز استخدام الرقم لإرسال رسائل إعلانية مستمرة.

تنظم اللائحة التنفيذية معالجة البيانات لأغراض التسويق المباشر، وتشمل متطلبات تتعلق بالموافقة وإمكانية إيقاف استقبال المواد التسويقية.

ما الذي ينبغي مراعاته؟

• تحديد الغرض التسويقي بوضوح.
• الحصول على الموافقة المطلوبة وفق الأحكام المنطبقة.
• توثيق الموافقة عند الحاجة.
• توضيح هوية الجهة المرسلة.
• توفير طريقة سهلة لإلغاء استقبال المواد التسويقية.
• احترام طلبات الإيقاف دون تأخير غير مبرر.
• مراعاة متطلبات الأنظمة الأخرى وسياسات قنوات التواصل.

مثال

يمكن أن يحتاج المتجر إلى رقم العميل لتنفيذ طلب شحن.

لكن إضافة هذا الرقم تلقائيًا إلى قائمة رسائل العروض الترويجية عملية تتطلب تقييمًا منفصلًا لمشروعيتها ومتطلباتها.

بيانات العملاء ليست قائمة تسويقية مفتوحة يمكن استخدامها لأي غرض بمجرد حصول المتجر عليها.

الحادي عشر: أين يجب تخزين بيانات العملاء؟ وهل الاستضافة خارج السعودية ممنوعة؟

هذا من أكثر الأسئلة أهمية لأصحاب المواقع السعودية.

قد تستخدم شركة سعودية استضافة في دولة أخرى، أو تربط موقعها بخدمة بريد إلكتروني دولية، أو تستخدم نظام تحليلات أو تخزين سحابي خارج المملكة.

هل يعني ذلك أن موقعها مخالف تلقائيًا؟

لا يمكن إصدار هذا الحكم بناءً على موقع الخادم وحده.

ينظم النظام ولائحة نقل البيانات الشخصية خارج المملكة الحالات والمتطلبات المتعلقة بالنقل والإفصاح والمعالجة عبر الحدود.

وقد تتطلب بعض الحالات تقييم المخاطر والضمانات المناسبة، إلى جانب التحقق من المسوغ والغرض والجهات المستقبلة للبيانات.

ما الذي ينبغي مراجعته؟

أين توجد قواعد البيانات؟

هل توجد نسخ احتياطية في منطقة جغرافية أخرى؟

هل تستطيع جهات خارج المملكة الوصول إلى البيانات؟

ما خدمات البريد والتحليلات والدعم التي تعالج المعلومات؟

هل توجد اتفاقيات مناسبة لتنظيم العلاقة بين الجهات؟

هل تنطبق اشتراطات إضافية على قطاع النشاط؟

وقد تحتاج بعض الجهات إلى ضوابط خاصة بموقع البيانات أو المعالجة وفق تنظيمات قطاعية أخرى.

اختيار استضافة داخل السعودية قد يساعد بعض المشاريع على تلبية متطلباتها، لكنه لا يعني تلقائيًا تحقيق الامتثال الكامل لنظام حماية البيانات الشخصية.

الثاني عشر: ما دور SSL والتشفير والأمن السيبراني في الامتثال؟

تتطلب حماية البيانات الشخصية تطبيق تدابير تقنية وإدارية وتنظيمية مناسبة.

ومن الجوانب المهمة:

الاتصال المشفر: استخدام HTTPS/TLS بصورة صحيحة.

إدارة الحسابات: تفعيل المصادقة متعددة العوامل للحسابات الحساسة عندما تكون مناسبة.

تحديث الأنظمة: معالجة الثغرات الأمنية في التطبيقات والخوادم.

صلاحيات الوصول: تقييد الاطلاع على البيانات بحسب حاجة العمل.

النسخ الاحتياطي: توفير نسخ محمية وخطة استعادة مجربة.

مراقبة العمليات: تسجيل الأنشطة المهمة والكشف عن التصرفات غير المعتادة.

حماية قواعد البيانات: منع الوصول غير المصرح به وتنظيم إدارة الأسرار.

هل شهادة SSL تعني الامتثال؟

لا.

فشهادة TLS تحمي البيانات أثناء نقلها، لكنها لا تنظم سبب جمع البيانات أو مدة الاحتفاظ بها أو حقوق أصحابها.

وقد يكون الموقع آمنًا نسبيًا من الناحية التقنية، لكنه يفتقر إلى سياسة خصوصية صحيحة أو يجمع معلومات أكثر مما يحتاجه.

حماية البيانات تحتاج إلى الجمع بين الأمن السيبراني والامتثال الإداري والنظامي.

الثالث عشر: ماذا يحدث عند تسرب بيانات العملاء؟

قد يقع حادث يؤدي إلى وصول غير مشروع إلى قاعدة بيانات العملاء، أو فقدان معلومات، أو كشف ملفات تحتوي على بيانات شخصية.

وفي هذه الحالة يجب التعامل مع الحادث بصورة منظمة.

هل يجب الإبلاغ خلال 72 ساعة؟

تحدد المادة الرابعة والعشرون من اللائحة التنفيذية حالات إشعار الجهة المختصة عن حوادث تسرب البيانات الشخصية.

وتقرر مهلة لا تتجاوز 72 ساعة من وقت العلم بالحادث عند تحقق شروط الإبلاغ، ومنها احتمال إلحاق ضرر بالبيانات الشخصية أو صاحبها، أو التعارض مع حقوقه أو مصالحه.

كما ينظم النظام واللائحة إشعار أصحاب البيانات المتأثرين عند تحقق شروطه.

ولا يعني ذلك أن جميع المحاولات الأمنية الفاشلة تستوجب الإبلاغ تلقائيًا.

كيف تستعد للحوادث؟

ضع خطة تشمل اكتشاف الحادث واحتواءه وحفظ الأدلة وتقييم البيانات المتأثرة.

وحدد المسؤول عن اتخاذ القرارات، وكيفية التنسيق مع الجهات التقنية والقانونية والتنظيمية.

ولا تبدأ بحذف السجلات أو إعادة تثبيت النظام بصورة عشوائية قبل حفظ الأدلة الضرورية للتحقيق.

كما ينبغي إصلاح سبب الحادث قبل إعادة تشغيل الخدمات بصورة طبيعية.

الاستجابة السريعة تبدأ قبل الاختراق، من خلال وجود خطة واضحة ومسؤوليات محددة.

الرابع عشر: هل تحتاج مؤسستك إلى مسؤول حماية بيانات شخصية؟

قد تتطلب طبيعة بعض الجهات وأنشطتها تعيين مسؤول لحماية البيانات الشخصية وفق الحالات والضوابط التي تحددها اللوائح والقواعد ذات الصلة.

ولا يصح افتراض أن كل موقع إلكتروني صغير ملزم بتعيين موظف مستقل لهذا الغرض.

كذلك لا ينبغي افتراض أن الجهات الصغيرة معفاة من جميع الالتزامات المتعلقة بحماية البيانات.

يتطلب الأمر مراجعة طبيعة النشاط وحجم المعالجة ونوع البيانات والضوابط التنظيمية المنطبقة.

وحتى إذا لم ينطبق شرط التعيين، فمن المفيد إداريًا تحديد مسؤول واضح لمتابعة طلبات الخصوصية وتنسيق الإجراءات داخل المنشأة.

الخامس عشر: هل يجب تسجيل جميع المواقع في منصة حوكمة البيانات الوطنية؟

لا ينبغي الخلط بين انطباق نظام حماية البيانات الشخصية وبين الالتزام بالتسجيل في السجل الوطني لجهات التحكم.

فالتسجيل يخضع لقواعد وضوابط تتعلق بالجهات التي تنطبق عليها متطلباته.

ولذلك، لا يصح القول إن كل موقع أو متجر إلكتروني ملزم بالتسجيل لمجرد أنه يستخدم نموذج تواصل.

كما لا يصح اعتبار عدم التسجيل دليلًا كافيًا على عدم الامتثال دون التحقق من انطباق شروط التسجيل.

ينبغي مراجعة قواعد السجل الوطني لجهات التحكم والخدمات الرسمية المتاحة عبر منصة حوكمة البيانات الوطنية.

السادس عشر: 12 خطأ شائعًا في خصوصية المواقع الإلكترونية

قد يرتكب أصحاب المواقع أخطاء دون قصد نتيجة الاعتماد على إعدادات جاهزة أو سياسات لا تعكس الممارسات الفعلية.

الخطأ الأول: نسخ سياسة خصوصية من موقع آخر

قد تحتوي على معلومات غير صحيحة بشأن الجهات التي تشارك معها البيانات أو أماكن تخزينها.

الخطأ الثاني: طلب بيانات أكثر من اللازم

مثل طلب الهوية الوطنية في نموذج استفسار عام دون حاجة واضحة.

الخطأ الثالث: استخدام البيانات لغرض جديد دون تقييم

كجمع رقم الهاتف لإتمام طلب ثم استخدامه في حملات إعلانية دون مراعاة المسوغ والمتطلبات المنطبقة.

الخطأ الرابع: تشغيل أدوات تتبع دون معرفة البيانات التي تجمعها

قد تضيف خدمات التحليل والإعلانات عمليات معالجة لا ينتبه إليها صاحب الموقع.

الخطأ الخامس: عدم تحديد مدة الاحتفاظ

قد تبقى معلومات العملاء في أنظمة قديمة لسنوات دون غرض واضح أو مسوغ مناسب.

الخطأ السادس: منح جميع الموظفين صلاحية الاطلاع

ينبغي تطبيق مبدأ أقل الصلاحيات المناسبة للعمل.

الخطأ السابع: تجاهل الجهات الخارجية

مثل مزودي الاستضافة والبريد والدفع والشحن والتسويق.

الخطأ الثامن: غياب وسيلة لطلبات الخصوصية

قد لا يستطيع الفرد معرفة كيفية طلب تصحيح بياناته أو الوصول إليها.

الخطأ التاسع: الاعتماد على SSL وحده

التشفير لا يعالج متطلبات الشفافية وأغراض المعالجة وحقوق الأفراد.

الخطأ العاشر: افتراض أن الاستضافة السعودية تحقق الامتثال تلقائيًا

موقع الخادم جانب واحد فقط من منظومة معالجة البيانات.

الخطأ الحادي عشر: عدم وجود خطة لحوادث التسرب

قد يؤدي غياب الإجراءات إلى تأخير الاحتواء أو الإبلاغ الواجب.

الخطأ الثاني عشر: اعتبار الامتثال مهمة تُنفذ مرة واحدة

قد تتغير أدوات الموقع ووظائفه وخدماته، مما يتطلب مراجعة ممارسات معالجة البيانات بصورة دورية.

السابع عشر: كيف تراجع امتثال موقعك لنظام PDPL؟

يمكن بدء مراجعة أولية من خلال هذا الجدول:

هذا الجدول أداة توعوية للمراجعة الأولية، وليس شهادة امتثال نظامي أو تقرير تدقيق قانوني.

الثامن عشر: خطة عملية لمراجعة خصوصية موقعك خلال 14 يومًا

يمكن للمؤسسات الصغيرة والمتوسطة استخدام الخطة التالية نقطة انطلاق لتنظيم المراجعة.

لا تعني هذه الخطة ضمان الامتثال خلال 14 يومًا، إذ قد تتطلب بعض الجهات مراجعات قانونية وتقنية وتعاقدية أكثر تعقيدًا.

والأفضل أن تكون نتيجة المراجعة قائمة واضحة بالمخاطر والإجراءات والمسؤوليات ومواعيد المعالجة.

الأسئلة الشائعة حول نظام حماية البيانات الشخصية السعودي

هل نظام PDPL ينطبق على المتاجر الإلكترونية الصغيرة؟

قد ينطبق بحسب طبيعة النشاط ومعالجة البيانات والنطاق النظامي، ولا يقتصر الاهتمام بحماية البيانات على الشركات الكبيرة فقط.

هل يجب وجود سياسة خصوصية على الموقع؟

تنص المادة الثانية عشرة على اعتماد جهة التحكم سياسة خصوصية وإتاحتها لأصحاب البيانات، مع مراعاة انطباق النظام ومتطلباته.

هل يكفي نسخ سياسة خصوصية جاهزة؟

لا يُنصح بذلك؛ لأن السياسة يجب أن تعكس طريقة جمع البيانات ومعالجتها وحفظها ومشاركتها في الموقع الفعلي.

هل كل ملفات الكوكيز تحتاج إلى موافقة؟

تختلف المتطلبات بحسب طبيعة البيانات والأغراض والمسوغ النظامي المنطبق، ولا توجد قاعدة واحدة تجعل جميع أنواع الكوكيز متطابقة قانونيًا.

هل يجوز جمع رقم الهوية الوطنية في نموذج التواصل؟

يجب تقييم الحاجة الفعلية والمسوغ النظامي والضوابط الخاصة بالوثائق الرسمية. ولا ينبغي طلب بيانات الهوية لمجرد أنها قد تكون مفيدة مستقبلًا.

هل يمكن استخدام أرقام العملاء للإعلانات؟

تخضع معالجة البيانات لأغراض التسويق المباشر لمتطلبات خاصة، تتضمن الموافقة وفق الأحكام المنطبقة وإتاحة إيقاف استقبال المواد التسويقية.

هل يحق للعميل طلب حذف بياناته؟

نعم، وفق الحقوق والشروط والاستثناءات النظامية. وقد توجد حالات تستلزم استمرار الاحتفاظ ببعض البيانات.

هل يجب استضافة الموقع داخل السعودية؟

لا يمكن إصدار حكم عام على جميع المواقع بناءً على الدولة التي يوجد فيها الخادم. وتخضع عمليات نقل البيانات خارج المملكة للضوابط ذات الصلة، وقد توجد اشتراطات إضافية لبعض القطاعات.

هل شركة الاستضافة مسؤولة عن حماية بيانات العملاء؟

تتحدد المسؤوليات بحسب طبيعة الخدمة ودور كل طرف والاتفاقيات والأنظمة المنطبقة. ولا يعفي الاستعانة بمزود خارجي جهة التحكم تلقائيًا من مسؤولياتها.

هل وجود SSL يعني التوافق مع PDPL؟

لا. التشفير يحمي الاتصال، لكنه لا يكفي وحده لتنظيم أغراض المعالجة والمسوغات والاحتفاظ والحقوق.

متى يجب الإبلاغ عن تسرب البيانات؟

عند تحقق شروط الإبلاغ المحددة في النظام واللائحة، مع مراعاة مهلة 72 ساعة من وقت العلم بالحادث في الحالات الخاضعة لهذا الالتزام.

هل يجب تعيين مسؤول حماية بيانات؟

يعتمد ذلك على انطباق الحالات والضوابط النظامية ذات الصلة، وليس مجرد وجود موقع إلكتروني.

هل استخدام Google Analytics ممنوع في السعودية؟

لا يمكن اعتباره ممنوعًا بصورة عامة لمجرد كونه خدمة تحليل، لكن يجب تقييم البيانات التي يعالجها وإعداداته والجهات المستقبلة ومتطلبات النظام المنطبقة.

هل يجب تسجيل جميع المتاجر في السجل الوطني لجهات التحكم؟

يخضع التسجيل لقواعد محددة، ولا ينبغي افتراض إلزام جميع المتاجر بالتسجيل دون تقييم الشروط الرسمية.

هل يمكن للذكاء الاصطناعي كتابة سياسة الخصوصية؟

يمكن استخدامه للمساعدة في إعداد مسودة أولية، لكن يجب مراجعة السياسة بناءً على المعالجة الفعلية والمتطلبات النظامية، واعتمادها من المختصين المناسبين.

الخلاصة: حماية بيانات العملاء تبدأ قبل الضغط على زر «إرسال»

قد يكون موقعك جميلًا وسريعًا وآمن الاتصال، لكنه يحتاج إلى عمل إضافي حتى تصبح ممارسات جمع البيانات ومعالجتها أكثر وضوحًا وتنظيمًا.

فالخصوصية ليست مجرد صفحة توضع في تذييل الموقع، ولا نافذة كوكيز تظهر للزائر عند أول زيارة.

إنها طريقة متكاملة للتعامل مع البيانات الشخصية، تبدأ من تحديد الحاجة إلى جمعها، وتمر باستخدامها وحفظها ومشاركتها، وتنتهي بإتلافها أو الاحتفاظ بها وفق مسوغ مناسب.

ومع تطور الخدمات الرقمية في السعودية، تزداد أهمية بناء الثقة بين المؤسسات والعملاء من خلال الشفافية والمسؤولية وحماية البيانات.

لا تسأل فقط: هل موقعي محمي من الاختراق؟ بل اسأل أيضًا: هل أجمع بيانات العملاء وأستخدمها وأحتفظ بها بالطريقة الصحيحة؟

في استضافة رؤيتنا لتقنية المعلومات والحلول الرقمية، نؤمن بأن نجاح الموقع الإلكتروني يعتمد على جودة التصميم والأداء والأمان والوعي بالمتطلبات التي ترتبط بطبيعة نشاطه.

ونقدم حلول الاستضافة وتصميم وتطوير المواقع والمتاجر الإلكترونية والخدمات التقنية، مع المساعدة في اختيار البنية التقنية المناسبة وإعداد الوظائف بما يتوافق مع احتياجات المشروع.

إذا كنت تخطط لإطلاق موقع جديد أو تطوير موقع قائم، فمن الأفضل إدراج خصوصية البيانات ضمن مراحل التخطيط والتصميم والتطوير، وليس تأجيلها إلى ما بعد الإطلاق.

احمِ بيانات عملائك، وراجع ممارسات موقعك، واجعل الثقة والخصوصية جزءًا من جودة خدماتك الرقمية.

استضافة رؤيتنا لتقنية المعلومات والحلول الرقمية

المصادر والمراجع الرسمية

1. سدايا – نظام حماية البيانات الشخصية السعودي
2. سدايا – اللائحة التنفيذية لنظام حماية البيانات الشخصية
3. سدايا – الدليل الاسترشادي لنظام حماية البيانات الشخصية
4. سدايا – دليل إعداد وتطوير سياسة الخصوصية
5. سدايا – لائحة نقل البيانات الشخصية إلى خارج المملكة
6. سدايا – الدليل الاسترشادي لتحديد الحد الأدنى من البيانات الشخصية
7. سدايا – المركز المعرفي لحماية البيانات الشخصية

إعداد: استضافة رؤيتنا لتقنية المعلومات والحلول الرقمية.

تاريخ النشر: 23 أكتوبر 2026.

هذه المقالة مادة توعوية عامة، وليست رأيًا قانونيًا أو شهادة امتثال. وتعتمد الالتزامات الفعلية على طبيعة الجهة وأنشطة معالجة البيانات والأنظمة واللوائح السارية، ويُنصح بالاستعانة بمختص مؤهل عند تقييم الامتثال.