مخالفات نظام حماية البيانات الشخصيّة وعقوباتها: ما تعنيه قرارات سدايا لمتجرك

دخل نظام حماية البيانات الشخصيّة (PDPL) في السعوديّة مرحلة الإنفاذ في 14 سبتمبر 2024، مع انتهاء فترة السماح التي امتدّت سنة كاملة. وفي يناير 2026 أكّدت الهيئة السعوديّة للبيانات والذكاء الاصطناعي (SDAIA) صدور 48 قرار إنفاذ. يشرح هذا الدليل العقوبات التي ينصّ عليها النظام، وكيف يجري الإنفاذ، وما الذي شملته تلك القرارات، وما يعنيه ذلك لشريط الموافقة في متجرك الإلكتروني.

العقوبات جزء من الصورة. ولمعرفة ما يطلبه النظام من ملفات تعريف الارتباط أصلًا، وكيف تحتفظ بإثبات الموافقة، ابدأ بالدليل الرئيسي.

ما عقوبات مخالفة نظام حماية البيانات الشخصيّة؟

للعقوبات مساران. في المسار الإداري تصل الغرامة إلى 5 ملايين ريال سعودي، وتتضاعف إلى 10 ملايين عند تكرار المخالفة. وفي المسار الجزائي، يُعاقَب من يُفصح عن بيانات شخصيّة حسّاسة بقصد الإضرار أو لتحقيق منفعة شخصيّة بالسجن مدّة تصل إلى سنتين وغرامة تصل إلى 3 ملايين ريال.

أغلب المنشآت لن تواجه إلّا المسار الأوّل؛ فالغرامات الإداريّة هي ما ينطبق على إخفاقات الامتثال اليوميّة: معالجة البيانات دون أساس نظامي صحيح، أو ضعف الضمانات، أو إرسال رسائل تسويقيّة دون موافقة. أمّا الحكم الجزائي فأضيق ممّا يُصوَّر عادةً، إذ يشترط قصد الإضرار أو المنفعة الشخصيّة. والمتجر الذي يُشغّل Meta Pixel دون موافقة يقع في المسار الإداري، لا في دائرة السجن.

• الغرامة الإداريّة: حتّى 5,000,000 ر.س
• تكرار المخالفة: يتضاعف السقف إلى 10,000,000 ر.س
• العقوبة الجزائيّة: السجن حتّى سنتين وغرامة حتّى 3,000,000 ر.س، عند الإفصاح عن بيانات شخصيّة حسّاسة بقصد الإضرار أو لتحقيق منفعة شخصيّة
• مهلة الردّ: خمسة أيّام من تاريخ الإخطار الرسمي بالمخالفة المنسوبة

لم نذكر أرقام المواد عمدًا؛ فالمصادر الثانويّة التي نعتمد عليها لا تستشهد بها بصورة متّسقة، ولم نتمكّن من مطابقتها مع النصّ الرسمي للنظام وقت الكتابة. والنصّ المعتمَد منشور على موقع هيئة الخبراء بمجلس الوزراء، ورابطه في آخر الدليل.

من الجهة المسؤولة عن إنفاذ النظام؟

الهيئة السعوديّة للبيانات والذكاء الاصطناعي (SDAIA) هي الجهة المختصّة بنظام حماية البيانات الشخصيّة؛ تُصدر لوائحه التنفيذيّة وتتولّى إنفاذه، وهي التي أعلنت قرارات الإنفاذ الـ 48 في يناير 2026. وعلى خلاف أوروبا حيث تملك كلّ دولة جهتها الرقابيّة، يمرّ الإنفاذ في السعوديّة عبر جهة مركزيّة واحدة.

هل بدأ إنفاذ نظام حماية البيانات الشخصيّة فعلًا؟

نعم. انتهت فترة السماح في 14 سبتمبر 2024، والنظام نافذ منذ ذلك التاريخ. وفي إعلانها الصادر في 16 يناير 2026، أكّدت SDAIA صدور 48 قرار إنفاذ بحقّ جهات خالفت النظام. فالإنفاذ لم يعد توقّعًا مستقبليًّا للمنشآت السعوديّة، بل واقعًا قائمًا.

وصفت تحليلات سابقة، ومنها نسخة أقدم من هذه الصفحة، الإنفاذ بأنّه أمر متوقَّع خلال 2026، وهذا الوصف لم يعد دقيقًا؛ ففترة السماح انتهت، والجهة التنظيميّة أصدرت قراراتها. ما يبقى غير واضح هو وتيرة الإنفاذ وأولويّاته، لا وجوده من عدمه.

المسار الزمني لإنفاذ النظام

• سبتمبر 2021: صدور نظام حماية البيانات الشخصيّة بالمرسوم الملكي م/19
• 14 سبتمبر 2023: دخول النظام حيّز النفاذ، مع فترة سماح مدّتها سنة لتصحيح الأوضاع
• 14 سبتمبر 2024: انتهاء فترة السماح وبدء الإنفاذ
• 16 يناير 2026: إعلان SDAIA عن 48 قرار إنفاذ

ماذا شملت قرارات الإنفاذ الـ 48 الصادرة عن SDAIA؟

أكّد إعلان SDAIA في يناير 2026 صدور 48 قرار إنفاذ، ومن فئات المخالفات التي سمّاها: معالجة البيانات الشخصيّة دون أساس نظامي صحيح، والإفصاح غير المصرَّح به، وضعف الضمانات، وإرسال رسائل تسويقيّة دون موافقة. والفئة الأخيرة هي الأقرب إلى المتاجر الإلكترونيّة، لأنّها الأشبه بما تفعله أداة تتبّع أو رسالة ترويجيّة دون موافقة.

• معالجة البيانات الشخصيّة دون أساس نظامي صحيح
• الإفصاح عن البيانات الشخصيّة دون تصريح
• ضعف الضمانات لحماية البيانات الشخصيّة
• إرسال رسائل تسويقيّة دون موافقة

وهنا تنبيهان. الأوّل: تختلف المصادر في تحديد الفترة التي تغطّيها القرارات الـ 48، لذلك لا نذكر فترة بعينها، والصياغة الآمنة هي «48 قرار إنفاذ أكّدها إعلان SDAIA في يناير 2026». والثاني: لم نطّلع على عدد منشور من SDAIA للقرارات في كلّ فئة، فلا يستطيع أحد أن يجزم بأيّ الفئات كانت الأكثر تكرارًا. تعامل بحذر مع أيّ صفحة تدّعي غير ذلك، حتّى لو كانت صفحة مزوّد خدمة.

وإذا قرأت هذه الفئات بعين صاحب متجر، تحوّلت إلى أسئلة محدّدة: هل لكلّ أداة تتبّع تعمل في متجرك أساس نظامي؟ هل يُمرّر متجرك بيانات العملاء إلى طرف ثالث، كمنصّة إعلانيّة، دون هذا الأساس؟ هل سجلّات العملاء محميّة؟ وهل وافق كلّ عميل تصله رسالة ترويجيّة عبر البريد أو SMS أو WhatsApp على استلامها؟

ماذا يحدث إن أخطرتك SDAIA بمخالفة؟

بعد الإخطار الرسمي بمخالفة منسوبة، أمام المنشأة خمسة أيّام للردّ. وهي مدّة لا تكفي لبناء الامتثال من الصفر، لذا فالاستعداد العملي أن تكون أدلّتك جاهزة قبل وصول أيّ إخطار: سجلّات الموافقة، وسياسة الخصوصيّة، وسجلّات أنشطة المعالجة، وقائمة واضحة بأدوات التتبّع العاملة في موقعك.

تكفي خمسة أيّام لجمع وثائق موجودة أصلًا، لكنّها لا تكفي لتكتشف للمرّة الأولى أيّ النصوص البرمجيّة الخارجيّة تُحمَّل في متجرك، وماذا يجمع كلّ منها، وهل وافق الزوّار عليها. تعامل مع مهلة الأيّام الخمسة سببًا لإبقاء سجلّاتك محدَّثة، لا موعدًا تخطّط حوله. وهذه الأدلّة التي يحسن أن تكون في متناولك:

• سجلّات موافقة بطوابع زمنيّة تُثبت ما اختاره كلّ زائر ومتى
• سياسة خصوصيّة منشورة بالعربيّة تذكر نظام حماية البيانات الشخصيّة وتشرح ما تجمعه ولماذا
• قائمة محدَّثة بأدوات التتبّع والأدوات الخارجيّة في موقعك، وفئة الموافقة التي تنتمي إليها كلّ أداة
• ما يُثبت موافقة المشتركين في قوائمك التسويقيّة
• شخص محدَّد يتولّى طلبات حماية البيانات والتواصل مع الجهة التنظيميّة

ماذا يعني الإنفاذ لشريط الموافقة في متجرك الإلكتروني؟

شريط الموافقة هو المكان الذي يُثبت فيه المتجر الأساس النظامي لأدوات التتبّع. فبموجب النظام، تحتاج علامات التحليلات والإعلانات التي تجمع بيانات شخصيّة إلى أساس صحيح قبل أن تعمل، والموافقة هي هذا الأساس عادةً في التتبّع غير الأساسي. أمّا الشريط الذي يعرض تنبيهًا بينما تعمل أدوات التتبّع في الخلفيّة فلا يحقّق ذلك.

هنا تلتقي فئات المخالفات بواجهة المتجر. علامة Meta Pixel أو Google Ads التي تنطلق مع أوّل صفحة، قبل أن يختار الزائر أيّ شيء، تعالج بيانات شخصيّة قبل وجود أيّ أساس، وترسلها إلى طرف ثالث أيضًا. ولا يُصلح الشريط هذا إلّا إذا غيّر ما تفعله الصفحة، لا ما تعرضه فحسب. والشريط الذي يؤدّي عمله يستوفي ستّة شروط:

• تبقى أدوات التتبّع غير الأساسيّة محجوبة، أو في حالة رفض، حتّى يختار الزائر
• يستطيع الزائر قبول التحليلات ورفض التسويق، لا الاكتفاء بقبول كلّ شيء
• الرفض بسهولة القبول، ويمكن سحب الموافقة لاحقًا
• الشريط والسياسة المرتبطة به متاحان بالعربيّة
• يُسجَّل كلّ اختيار بطابع زمني لتتمكّن من إثباته لاحقًا
• يصل الاختيار إلى علامات Google عبر Google Consent Mode v2 لتلتزم به

تستطيع التحقّق من الشرط الأوّل بنفسك في دقائق: افتح متجرك في نافذة تصفّح خاص، ثمّ افتح لسان Network في أدوات المطوّر، وأعد تحميل الصفحة دون لمس الشريط. إن رأيت طلبات تتّجه إلى google-analytics.com أو facebook.com أو نطاقات مشابهة قبل أن تنقر أيّ زرّ، فشريطك للزينة لا أكثر.

كيف يُقلّل المتجر تعرّضه لمخاطر الإنفاذ؟

ابدأ بما يراه أيّ أحد من الخارج: أوقف أدوات التتبّع التي تعمل قبل الموافقة، وانشر سياسة خصوصيّة بالعربيّة تذكر النظام صراحةً، وسجّل كلّ اختيار موافقة. ثمّ أغلق الثغرات الداخليّة: إجراء واضح لطلبات أصحاب البيانات، وإثبات موافقة المشتركين في قوائمك التسويقيّة، واتّفاقيّات مع المورّدين الذين يعالجون بيانات عملائك.

• افحص متجرك لتعرف أيّ أدوات التتبّع تعمل قبل الموافقة
• ثبّت شريط موافقة بواجهة عربيّة يحجب أدوات التتبّع غير الأساسيّة حتّى يختار الزائر
• اربط Google Consent Mode v2 لتلتزم علامات Google باختيار الزائر
• انشر سياسة خصوصيّة بالعربيّة مكتوبة لنظام حماية البيانات الشخصيّة، لا قالبًا مترجَمًا من GDPR
• احتفظ بسجلّات موافقة بطوابع زمنيّة
• تأكّد من موافقة المشتركين في كلّ قائمة تسويقيّة عبر البريد أو SMS أو WhatsApp
• ضع إجراءً واضحًا لطلبات أصحاب البيانات
• تحقّق ممّا إذا كان عليك التسجيل لدى SDAIA بصفتك جهة تحكّم، واحتفظ بسجلّات أنشطة المعالجة
• وثّق أيّ نقل للبيانات الشخصيّة إلى خارج المملكة

أسئلة شائعة

المصادر