نظام حماية البيانات الشخصية: ما الذي يجب أن يتغير في موقع شركتك ومتجرك الإلكتروني

يطبّق نظام حماية البيانات الشخصية في السعودية (PDPL) على كل منشأة تجمع بيانات أشخاص داخل المملكة، ويشمل ذلك موقع شركتك ومتجرك الإلكتروني. فاسم العميل ورقم جواله وبريده في نموذج التواصل بيانات شخصية، ومثلها عنوان الشحن في صفحة الدفع، وسجل الطلبات، وقائمة المشتركين في رسائلك التسويقية. وقد أصبح النظام ملزماً بالكامل منذ 14 سبتمبر 2024 بعد سنة انتقالية، وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

باختصار، يحتاج موقعك إلى ستة تعديلات عملية: سياسة خصوصية واضحة تظهر قبل جمع البيانات، وموافقة صريحة قبل أي رسائل تسويقية مع طريقة سهلة لإلغاء الاشتراك، وطريقة للاستجابة لطلبات العملاء خلال 30 يوماً، وخطة لإبلاغ سدايا عن أي تسرب خلال 72 ساعة، واستضافة وخدمات خارجية يُعرف مكانها وتُنقل البيانات إليها وفق اللائحة، وحماية تقنية أساسية مثل التحديثات والنسخ الاحتياطي وتقييد الصلاحيات. نشرح في هذا المقال كل نقطة وما تغيّره في موقعك.

هذا المقال شرح عملي وليس استشارة قانونية. النصوص المعتمدة هي النظام ولوائحه المنشورة رسمياً، وإذا كان نشاطك يعالج بيانات حساسة، كالبيانات الصحية، فراجع مستشاراً قانونياً.

ما هو نظام حماية البيانات الشخصية السعودي باختصار؟

صدر النظام بالمرسوم الملكي (م/19) وتاريخ 1443/2/9هـ، ثم عُدّل بالمرسوم الملكي (م/148) وتاريخ 1444/9/5هـ، وصدرت معه لائحة تنفيذية ولائحة لنقل البيانات إلى خارج المملكة. النص الكامل مع لوائحه متاح في نسخة منشورة على موقع جمعية قضاء.

يسمّي النظام صاحب الموقع أو المتجر جهة تحكم، لأنه يقرر لماذا تُجمع البيانات وكيف تُستخدم. أما الشركة التي تستضيف موقعك أو تشغّل بوابة الدفع أو منصة الرسائل فتُعدّ جهة معالجة تعمل لحسابك. والمهم هنا أن المسؤولية الأساسية أمام النظام تقع عليك أنت، حتى لو كان كل شيء يعمل على منصة جاهزة.

هل يطبّق النظام فعلاً على المنشآت الصغيرة؟

نعم. لا يستثني النظام المنشآت بحسب حجمها، والعقوبات تُطبّق فعلاً. ففي يونيو 2026 أعلنت سدايا قرارات بغرامات مالية وإنذارات بحق عدد من الجهات استناداً إلى المادة 36 من النظام. وكان من المخالفات المذكورة:

• معالجة البيانات لأغراض التسويق المباشر دون موافقة صريحة من صاحبها.
• عدم وجود إجراءات تتيح الاستجابة السريعة لطلبات أصحاب البيانات.
• عدم إشعار الهيئة بالتسرب خلال 72 ساعة من العلم به.
• عدم اتخاذ تدابير إدارية وتقنية كافية لحماية البيانات.
• عدم تعيين مسؤول لحماية البيانات حين يكون ذلك واجباً.

كل مخالفة في هذه القائمة لها ما يقابلها في موقع أو متجر عادي، ولهذا تأتي الأقسام التالية مرتبة على هذه المخالفات نفسها.

أي بيانات يجمعها موقعك ومتجرك فعلاً؟

قبل أن تغيّر أي شيء اكتب جرداً بسيطاً بما يجمعه موقعك. أغلب أصحاب الأعمال يتفاجؤون بطول القائمة:

مكان الجمع	البيانات المعتادة	أين تُحفظ غالباً
نموذج "تواصل معنا"	الاسم، الجوال، البريد، نص الرسالة	قاعدة بيانات الموقع وصندوق البريد
صفحة الحجز	الاسم، الجوال، الموعد، وأحياناً سبب الزيارة	نظام الحجز أو تقويم خارجي
حساب العميل وصفحة الدفع	الاسم، العنوان، الجوال، سجل الطلبات	لوحة المتجر وشركة الشحن
بوابة الدفع	بيانات البطاقة	لدى مزوّد الدفع وليس في موقعك، إن رُبطت البوابة بشكل صحيح
النشرة البريدية وواتساب	البريد أو الجوال وتاريخ الاشتراك	منصة الرسائل، وقد تكون خارج المملكة
أدوات التحليلات والإعلانات	معرّفات الجهاز وسلوك التصفح	لدى مزوّد الأداة، غالباً خارج المملكة

هذا الجرد هو أساس كل ما بعده، فلا يمكنك كتابة سياسة خصوصية صحيحة ولا الرد على طلب حذف ما لم تعرف أين توجد البيانات.

وانتبه للبيانات الحساسة. فالنظام يعامل البيانات الصحية والوراثية وبعض الأنواع الأخرى معاملة أشد، وأقسى عقوبة فيه، وهي السجن حتى سنتين أو غرامة حتى ثلاثة ملايين ريال أو كلتاهما، مخصصة لإفشاء البيانات الحساسة أو نشرها بقصد الإضرار أو تحقيق منفعة شخصية. أما المخالفات الأخرى فعقوبتها إنذار أو غرامة حتى خمسة ملايين ريال، ويجوز مضاعفتها عند التكرار. فإذا كان نموذج الحجز في عيادتك يسأل عن الأعراض أو الحالة الصحية، فاجمع أقل قدر ممكن من المعلومات وقيّد من يستطيع الاطلاع عليها.

سياسة الخصوصية للموقع: ماذا يجب أن تتضمن؟

تُلزم المادة 12 من النظام جهة التحكم بإعداد سياسة خصوصية وإتاحتها لأصحاب البيانات قبل جمع بياناتهم. ويجب أن تذكر السياسة:

1. الغرض من جمع كل نوع من البيانات، كتنفيذ الطلب أو الرد على الاستفسار أو التسويق.
2. البيانات التي تُجمع فعلاً، أي ما خرج به الجرد السابق، لا قالب منسوخ من موقع آخر.
3. وسيلة الجمع: النماذج، والحسابات، والأدوات الخارجية.
4. وسيلة الحفظ والمعالجة والإتلاف: أين تُحفظ البيانات، ومن يعالجها، ومتى تُحذف.
5. حقوق صاحب البيانات وطريقة ممارستها: كيف يطلب العميل نسخة من بياناته أو تصحيحها أو حذفها.

ما يتغير في الموقع:

• اكتب السياسة بالعربية بلغة يفهمها العميل، واجعل رابطها ظاهراً في تذييل كل صفحة.
• ضع رابطاً قصيراً لها بجوار كل نموذج وفي صفحة الدفع، لأن النظام يشترط أن تكون متاحة قبل الجمع لا بعده.
• حدّثها كلما أضفت أداة جديدة كبرنامج دردشة أو منصة رسائل أو أداة إعلانات، فالسياسة التي لا تطابق ما يحدث في الموقع لا تفيدك.

الموافقة على التسويق وملفات تعريف الارتباط

هذه أكثر نقطة يخالفها أصحاب المتاجر. فالمادة 25 من النظام تشترط موافقة المتلقي قبل إرسال أي مواد دعائية إلى وسائل اتصاله الشخصية كالبريد والجوال، وتشترط وجود آلية واضحة لإيقاف الإرسال. والتسويق المباشر بلا موافقة صريحة كان أول مخالفة ذُكرت في قرارات سدايا لعام 2026.

ما يتغير في المتجر:

• مربع "أوافق على استلام العروض" في صفحة التسجيل والدفع يكون غير محدد مسبقاً. ولا تربط الموافقة على التسويق بإتمام الشراء.
• احفظ سجل الموافقة: متى وافق العميل، ومن أي صفحة، وعلى أي قناة. هذا السجل دليلك إذا سُئلت.
• ضع رابط إلغاء الاشتراك في كل رسالة بريدية، وطريقة واضحة للإيقاف في رسائل الجوال وواتساب، ثم احترم الإلغاء فوراً في كل الأنظمة لا في منصة واحدة فقط.
• لا تستورد قوائم أرقام من مصدر آخر وتراسلها.

وماذا عن ملفات تعريف الارتباط (الكوكيز)؟ لا يتضمن النظام مادة مخصصة لها، لكن أدوات التتبع الإعلاني والتحليلات تجمع معرّفات يمكن ربطها بالشخص. والنهج الأسلم الذي تتبعه المواقع الحريصة هو شريط موافقة يفصل بين الملفات الضرورية لتشغيل الموقع، كسلة الشراء وتسجيل الدخول، والملفات الإعلانية والتحليلية التي لا تُحمَّل إلا بعد موافقة الزائر. وهذا اختيار حذر وليس نصاً صريحاً في النظام، فراجعه مع مستشارك إذا كان التسويق الرقمي جوهر عملك.

حقوق أصحاب البيانات: كيف تجهّز موقعك للرد على الطلبات؟

تمنح المادة 4 من النظام صاحب البيانات حق العلم بالأساس النظامي والغرض من الجمع، وحق الوصول إلى بياناته والحصول على نسخة منها، وحق التصحيح والإكمال والتحديث، وحق طلب إتلاف بياناته حين تنتفي الحاجة إليها. وتلزم اللائحة التنفيذية جهة التحكم بتنفيذ الطلب خلال مدة لا تتجاوز 30 يوماً، ويجوز تمديدها 30 يوماً أخرى في حالات محددة بشرط إشعار صاحب الطلب مسبقاً بالتمديد وأسبابه.

قد تصلك ثلاثة طلبات في السنة، لكن المخالفة التي عاقبت عليها سدايا كانت غياب الإجراءات التي تتيح الاستجابة. لذا جهّز ما يلي:

• قناة واضحة لاستقبال الطلبات مذكورة في سياسة الخصوصية، مثل بريد مخصص أو نموذج "طلب بيانات".
• تصدير بيانات العميل من لوحة التحكم: زر يجمع حسابه وطلباته وعناوينه في ملف واحد، بدلاً من النسخ اليدوي من خمسة أماكن.
• حذف أو إخفاء البيانات مع الإبقاء على ما تحتاجه لأسباب نظامية أخرى، كالفواتير التي تلزمك أنظمة الضريبة بحفظها. ومن هنا أهمية أن تكون لوحة التحكم قادرة على إخفاء هوية العميل مع الإبقاء على سجل الفاتورة.
• سجل للطلبات: تاريخ الاستلام وتاريخ التنفيذ، حتى تثبت التزامك بمدة الثلاثين يوماً.
• التحقق من الهوية قبل تسليم أي بيانات، كإرسال رمز إلى الجوال المسجل.

تسرب البيانات: ماذا تفعل خلال 72 ساعة؟

تلزم المادة 20 من النظام جهة التحكم بإشعار الجهة المختصة فور علمها بتسرب البيانات أو تلفها أو الوصول غير المشروع إليها، وحددت اللائحة التنفيذية المدة بـ72 ساعة من العلم بالحادثة، وهي المدة نفسها التي عاقبت سدايا على تجاوزها. ويكون الإشعار عبر خدمة "الإشعار بتسرب البيانات الشخصية" في منصة حوكمة البيانات التابعة لسدايا. ويجب كذلك إشعار أصحاب البيانات إذا كان التسرب قد يلحق بهم ضرراً جسيماً.

72 ساعة مدة قصيرة إذا لم تكن مستعداً، فجهّز الأمور الآتية مسبقاً:

• من يقرر ومن يبلّغ: اسم الشخص المسؤول في منشأتك، واسم من يتواصل معه لدى الجهة التي تدير موقعك.
• سجلات دخول إلى لوحة التحكم والخادم، تبيّن ما حدث ومتى ومن أي حساب.
• نسخ احتياطية حديثة ومختبرة تتيح لك الاستعادة دون فقدان الطلبات.
• بند في عقدك مع مطوّر الموقع أو المستضيف يلزمه بإبلاغك فوراً إذا اكتشف حادثة، لأن المدة تُحسب منذ علمك أنت.

وأغلب التسربات في المواقع الصغيرة تبدأ من إضافة قديمة أو نسخة برمجية لم تُحدَّث. وقد شرحنا مثالاً حديثاً على ذلك في مقال ثغرة PHP التي هزّت المواقع.

استضافة البيانات داخل المملكة أو خارجها

لا يفرض النظام أن تكون كل استضافة داخل المملكة، لكنه ينظّم نقل البيانات الشخصية إلى خارجها. وبحسب لائحة نقل البيانات الشخصية خارج المملكة المنشورة في أم القرى، يجوز النقل إذا لم يمس الأمن الوطني أو المصالح الحيوية، واقتصر على الحد الأدنى من البيانات اللازمة، وتوفر في البلد المستقبل مستوى حماية ملائم، أو وُجدت ضمانات مناسبة كالبنود التعاقدية المعيارية أو القواعد المؤسسية الملزمة. وتشترط اللائحة في حالات معينة تقييماً للمخاطر، وتلزم بإيقاف النقل إذا تبيّن أنه يمس الأمن الوطني.

ما يعنيه ذلك عملياً:

• اعرف أين يقع خادم موقعك وأين تحفظ منصة الرسائل وأدوات التحليلات بياناتها. فكل خدمة خارج المملكة تستقبل بيانات عملائك تُعد نقلاً للبيانات.
• اقرأ اتفاقية معالجة البيانات لدى كل مزوّد خارجي، وتأكد أنها تتضمن ضمانات مناسبة.
• إذا كان نشاطك يتعامل مع بيانات حساسة أو مع جهات حكومية ومنظّمة، فالاستضافة داخل المملكة تختصر عليك كثيراً من هذه الأسئلة، ومن المعقول أن تجعلها شرطاً في العقد.
• أما الموقع التعريفي الذي لا يجمع سوى نموذج تواصل، فالقرار فيه أبسط، لكن عليك مع ذلك أن تعرف أين تذهب رسائل النموذج.

الحماية التقنية: ما المطلوب من الموقع نفسه؟

يتطلب النظام اتخاذ تدابير إدارية وتنظيمية وتقنية لحماية البيانات، وهذا ما تعنيه هذه التدابير في موقع أو متجر:

• التحديثات المستمرة لنظام إدارة المحتوى والإضافات ولغة البرمجة والخادم.
• تقييد الصلاحيات: لكل موظف حساب خاص بصلاحيات على قدر عمله، فموظف الشحن لا يحتاج إلى تصدير قائمة العملاء كلها، والحسابات المشتركة ممنوعة.
• التحقق بخطوتين لحسابات لوحة التحكم والاستضافة.
• التشفير: شهادة SSL على كل الصفحات، وتشفير النسخ الاحتياطية.
• حذف ما لا تحتاجه: الرسائل القديمة في النماذج، والحسابات المهجورة، وملفات التصدير المنسية على الخادم.
• عقود مع جهات المعالجة: المطوّر والمستضيف ومنصة الرسائل، تحدد ما يحق لكل منهم فعله بالبيانات.

وبعض المنشآت ملزمة بأمور إضافية، كالتسجيل في السجل الوطني لحماية البيانات أو تعيين مسؤول لحماية البيانات الشخصية. وتوفر منصة حوكمة البيانات أداة رسمية تحدد إن كان تعيين المسؤول واجباً عليك، إضافة إلى تقييم ذاتي للامتثال. استخدمهما بدلاً من التخمين.

قائمة التعديلات: من نص النظام إلى موقعك

المتطلب	ما يجب تغييره في الموقع أو المتجر
سياسة خصوصية قبل الجمع (م12)	صفحة سياسة بالعربية مبنية على جرد حقيقي، ورابط بجوار كل نموذج وفي صفحة الدفع
موافقة على المواد الدعائية (م25)	مربع غير محدد مسبقاً، وسجل للموافقات، ورابط إلغاء في كل رسالة
حقوق أصحاب البيانات (م4)	قناة طلبات، وتصدير بيانات العميل وحذفها من لوحة التحكم، والتنفيذ خلال 30 يوماً
الإشعار بالتسرب	سجلات دخول، ونسخ احتياطية، وبند إبلاغ فوري في عقد المطوّر، وإشعار سدايا خلال 72 ساعة
النقل خارج المملكة	معرفة موقع كل خادم وخدمة خارجية، واتفاقيات معالجة فيها ضمانات
التدابير الأمنية	تحديثات، وصلاحيات فردية، وتحقق بخطوتين، وتشفير، وحذف دوري
البيانات الحساسة	جمع الحد الأدنى، وتقييد الاطلاع، ومراجعة قانونية
مسؤول حماية البيانات والتسجيل	التحقق عبر أدوات منصة حوكمة البيانات

واللوائح التنفيذية قابلة للتعديل، لذلك راجع النص المعتمد على منصة حوكمة البيانات قبل أي قرار كبير، ولا تعتمد على ملخصات قديمة.

المنصة الجاهزة أم موقع مبني لك؟

إذا كان متجرك على منصة جاهزة فبعض هذه الأمور بيد المنصة، كأمان الخادم والتحديثات، وبعضها بيدك أنت، كسياسة الخصوصية والموافقات والرد على الطلبات. وتبقى بعض الأسئلة مما لا تملك تغييره: أين تُحفظ البيانات، وهل تستطيع تصدير بيانات عميل واحد بضغطة زر، وهل يمكنك إخفاء هويته مع الإبقاء على فواتيره.

أما الموقع أو المتجر المبني لك، فتستطيع أن تحدد هذه الأمور منذ البداية في نطاق العمل. وهذا ما نفعله في Buildly: نصمم المواقع والمتاجر الإلكترونية ونبنيها ونستضيفها ونصونها باشتراك شهري. وتبدأ بإرسال طلب مجاني، فتحصل على نطاق عمل مكتوب وسعر واضح، وتوافق على كل مرحلة. وفي النطاق يمكنك أن تطلب ما ورد في هذا المقال: موافقات تسويق مسجلة، وتصدير بيانات العميل وحذفها من لوحة التحكم، وصلاحيات لكل موظف. كما يُذكر نوع الاستضافة وتفاصيلها في النطاق المكتوب، ويمكنك الاطلاع على ما تشمله الاستضافة في كل باقة.

بعد الإطلاق يتولى الاشتراك الصيانة المستمرة، من تحديثات ونسخ احتياطية، وتُجرى التعديلات عبر طلبات التغيير المشمولة في باقتك. وتبدأ باقة Essential بسعر إطلاق 35 دولاراً شهرياً بدلاً من السعر المعتاد 60 دولاراً، ويحتفظ المشتركون الآن بهذا السعر ما داموا مشتركين، وتصبح الشيفرة المصدرية وقاعدة البيانات ملكاً للعميل بعد 12 شهراً. ونلفت إلى أن الالتزام بالنظام مسؤوليتك كجهة تحكم، وأن الموقع الجيد يسهّله ولا يغني عن المراجعة القانونية. تعرّف على مواقع الأعمال التي نبنيها، أو اقرأ ما يجب أن تعرفه عن تكلفة إنشاء متجر إلكتروني في السعودية.

الخلاصة

نظام حماية البيانات الشخصية لا يطلب من موقعك أشياء معقدة، لكنه يطلب أن تكون مقصودة وموثقة: أن تعرف ما تجمعه، وتخبر العميل به قبل الجمع، ولا تراسله تسويقياً إلا بموافقته، وتستجيب لطلبه خلال 30 يوماً، وتبلّغ سدايا عن أي تسرب خلال 72 ساعة، وتعرف أين تُحفظ بياناته. ابدأ بالجرد هذا الأسبوع، ثم امشِ على جدول التعديلات بنداً بنداً.