أنظمة الخصوصيّة في الخليج: دليل دولة بدولة

دول مجلس التعاون الخليجي في خضمّ تحوّل تنظيمي. خلال السنوات الخمس الماضية، أصدرت خمس من الدول الستّ تشريعات شاملة لحماية البيانات، محوِّلةً منطقةً كانت تنظيمها الخصوصي محدودًا إلى منطقة بأُطُر متداخلة على الشركات أن تتنقّل بينها بحذر. لأيّ شركة تعمل عبر دول الخليج — علامة سعوديّة تشحن إلى كلّ الدول الست، أو منصّة SaaS إماراتيّة بعملاء إقليميين، أو شركة متعدّدة الجنسيّات بمكاتب عبر الخليج — فهم متطلّبات كلّ اختصاص ضروري لتجنّب العقوبات، وللحفاظ على الثقة، وللعمل بصورة نظاميّة.

السعوديّة — نظام حماية البيانات الشخصيّة (PDPL)

يُعدّ PDPL السعودي (المرسوم الملكي م/19) أشمل أنظمة الخصوصيّة في الخليج وأكثرها إنفاذًا فعليًّا. دخل حيّز التنفيذ في 14 سبتمبر 2023، وانتهت مهلة السنة الممنوحة للمعالجات القائمة في 14 سبتمبر 2024، وتُديره SDAIA (الهيئة السعوديّة للبيانات والذكاء الاصطناعي) بوصفها جهة إشرافيّة مركزيّة بصلاحيّات تحقيق وإنفاذ واسعة. للنظام نطاق سريان خارج الحدود — يسري على أيّ جهة تعالج بيانات شخصيّة لأفراد في السعوديّة، بصرف النظر عن موقع مقرّها.

الإمارات — PDPL اتّحادي + DIFC + ADGM

تملك الإمارات أكثر منظومات حماية البيانات تعقيدًا في الخليج، بثلاثة أُطُر متداخلة. يُرسي المرسوم الاتّحادي رقم 45 لسنة 2021 الأساس للدولة كاملةً، ويُديره مكتب الإمارات للبيانات. لكنّ DIFC (مركز دبي المالي العالمي) و ADGM (سوق أبوظبي العالمي) يحتفظان بلوائح حماية بيانات مستقلّة بسلطات إنفاذ منفصلة. الشركات في المناطق الحرّة ملزَمة بالامتثال للوائح المنطقة والقانون الاتّحادي معًا.

البحرين — قانون حماية البيانات الشخصيّة (PDPL 2019)

قانون حماية البيانات الشخصيّة البحريني (القانون رقم 30 لسنة 2018، الساري سنة 2019) من الأنظمة الخليجيّة الأقدم. تُنفّذه هيئة حماية البيانات الشخصيّة التابعة لوزارة الصناعة والتجارة. يشترط القانون تسجيل كلّ أنشطة معالجة البيانات لدى الهيئة، ويوجب الموافقة لجمع البيانات مع استثناءات للضرورة التعاقديّة، والالتزامات النظاميّة، والمصالح الحيويّة.

قطر — القانون رقم 13 لسنة 2016 لخصوصيّة البيانات الشخصيّة

قانون خصوصيّة البيانات الشخصيّة القطري ساري منذ سنة 2017، وتُنفّذه إدارة الامتثال وحماية البيانات في وزارة المواصلات والاتّصالات. يسري على كلّ معالجة بيانات شخصيّة داخل قطر، وعلى الجهات القطريّة في الخارج. يشترط أن يكون لجمع البيانات غرض مشروع، وأن يُبلَّغ صاحب البيانات بالغرض، وألّا تُحتَفظ البيانات الشخصيّة بعد انتهاء الغرض المعلَن.

عُمان — قانون حماية البيانات الشخصيّة (المرسوم السلطاني 6/2022)

قانون حماية البيانات الشخصيّة العُماني، الصادر بالمرسوم السلطاني 6/2022، يعكس عن قرب PDPL السعودي في النطاق والمتطلّبات. تُنفّذه وزارة النقل والاتّصالات وتقنية المعلومات، ويسري على كلّ معالجة بيانات شخصيّة داخل عُمان وعلى الجهات العُمانيّة في الخارج. يُرسي متطلّبات شاملة للموافقة، وحقوق أصحاب البيانات، وإبلاغ الاختراقات، ونقل البيانات عبر الحدود.

الكويت — إطار ناشئ

الكويت هي الدولة الخليجيّة الوحيدة بلا قانون شامل لحماية البيانات حتّى 2026، رغم وجود لوائح قطاعيّة للمصارف (تعميمات حماية البيانات لبنك الكويت المركزي)، والاتّصالات (لوائح هيئة CITRA)، والرعاية الصحّيّة. مشروع قانون شامل لحماية البيانات قيد النقاش في مجلس الأمّة، لكنّه لم يُسنّ بعد.

استراتيجيّة امتثال خليجيّة شاملة

للشركات العاملة عبر عدّة دول خليجيّة، الحفاظ على برامج امتثال منفصلة لكلّ اختصاص غير عملي ومكلف. النهج الأكثر كفاءة تطبيق المعيار الإقليمي الأشدّ — PDPL السعودي — بوصفه أساسك، ثمّ إضافة متطلّبات اختصاصيّة حيث تختلف. ينجح ذلك لأنّ متطلّبات PDPL تشمل ما تشترطه معظم الأُطُر الخليجيّة الأخرى.