فحصنا 27 متجرًا إلكترونيًّا سعوديًّا في مايو 2026. هذا ما وجدناه.

في مايو 2026 فحصنا أكثر 27 متجرًا إلكترونيًّا سعوديًّا زيارةً لنقيس امتثالها لنظام حماية البيانات الشخصيّة (PDPL). هذه نسخة مايو 2026 من مؤشّر الامتثال للتجارة الإلكترونيّة السعوديّة، ومنها تأتي كلّ الأرقام في هذه الصفحة: 81% من المتاجر تُظهر مؤشّرات على عدم الامتثال للنظام، بوسيط درجات امتثال يبلغ 49 من 100. وقد أعدنا تشغيل المؤشّر لاحقًا على نطاق أوسع، فصفحة المؤشّر الحيّة تعرض الآن نسخة سبتمبر 2026 التي تغطّي 1,556 متجرًا، ولذلك تختلف أرقامها عن الأرقام هنا.

أبرز النتائج

• 81% من المتاجر (22 من 27) معرّضة لعدم الامتثال لـ PDPL — العنوان الرقمي للمؤشّر
• 67% (18 من 27) تُطلق بكسلات التسويق وكوكيز التتبّع قبل أيّ موافقة
• 56% (15 من 27) تفتقد تحويل الأحداث من الخادم، وهو الأساس التقني لاسترداد التحويلات في Google Consent Mode v2
• 52% (14 من 27) تكتب كوكيز غير ضروريّة بأعداد مرتفعة من أوّل تحميل صفحة
• 44% (12 من 27) لا تملك شريط موافقة إطلاقًا — تعتمد ضمنيًّا موافقة لا تُجيزها PDPL
• وسيط الامتثال: 49 / 100. أسوأ متجر: 14 / 100. أفضل متجر: 100 / 100 — تنفيذ نظيف موجود بالفعل

ما يعنيه ذلك

دخل نظام حماية البيانات الشخصيّة (PDPL) مرحلة الإنفاذ الكامل في 14 سبتمبر 2024، منهيًا فترة السماح التي بدأت مع سريانه في سبتمبر 2023. وتصل الغرامات الإداريّة إلى 5 ملايين ريال سعودي، وتتضاعف إلى 10 ملايين عند تكرار المخالفة، ويُعاقَب الإفصاح عن بيانات شخصيّة حسّاسة بقصد الإضرار أو لتحقيق منفعة شخصيّة بالسجن حتّى سنتين وغرامة تصل إلى 3 ملايين ريال. ونسبة عدم الامتثال البالغة 81% هنا ليست توقّعًا، بل مسؤوليّة قائمة على المتاجر ضمن تلك الشريحة.

وإلى جانب التعرّض التنظيمي، تخسر نسبة الـ 67% التي تُطلق أدوات التتبّع قبل الموافقة فوائد نمذجة Google Consent Mode v2 أيضًا. فدون ربط GCM v2 بصورة صحيحة، لا تستطيع Google Ads نمذجة التحويلات التي تضيع بسبب اختيارات الموافقة. وقد ذكرت Google في نتائجها الأولى المنشورة في أبريل 2021 أنّ هذه النمذجة تستعيد في المتوسّط أكثر من 70% من مسارات «النقر على الإعلان ثمّ التحويل» الضائعة، مع تفاوت كبير بين المعلنين. والأثر المركّب تعرّض للنظام وفقدان للإسناد معًا، والإصلاح واحد لكليهما: ربط Consent Mode v2 برفض افتراضي بصورة صحيحة، وحجب التتبّع حتّى الموافقة، وإرسال الإشارات عبر الواجهة التي تتوقّعها Google.

كيف تُصلح ذلك

الخبر الجيّد أنّ أساسيّات الامتثال للموافقة سهلة بالأدوات الصحيحة. إليك كيف تنتقل من الصفر إلى إعداد موافقة يعمل في أقلّ من 10 دقائق:

• شغّل ماسح أرقام٣٦٠ المجّاني لرؤية فجواتك الحاليّة
• ثبّت أداة الموافقة من أرقام٣٦٠: سطر برمجي واحد
• تنطلق إشارات Google Consent Mode v2 تلقائيًّا عند التثبيت
• خصِّص شريطك بالعربيّة RTL وبنصّ متوافق مع PDPL
• راقب معدّلات الموافقة وحالة الامتثال من لوحة التحكّم

المنهجيّة

اخترنا المتاجر الـ 27 من بيانات الزيارات العلنيّة (أعلى 100 متجر تجارة إلكترونيّة سعودي على SimilarWeb، مُصفّاة على عمل نشط وخدمة لزوّار مقيمين في السعوديّة). فُحص كلّ متجر بفاحص امتثال أرقام٣٦٠ باستخدام متصفّح Chrome مقطوع الواجهة حقيقي في مايو 2026 (النافذة: 21-23 مايو). سجّل الفاحص الكوكيز المضبوطة، ونطاقات التتبّع من طرف ثالث، ووجود شريط الموافقة، ووجود إشارات Google Consent Mode v2، ووجود سياسة خصوصيّة مرتبطة، وطابَق أسماء الكوكيز مع مكتبة 113 نمطًا تضمّ 32 نمطًا خاصًّا بالمنطقة (كوكيز خدمات الدفع لاحقًا وبوّابات الدفع، كوكيز منصّتَي سلة وزد، معرّفات شركات الاتّصالات السعوديّة). حصل كلّ متجر على درجة امتثال 0-100 بناءً على إطار PDPL ومعايير GDPR الموصى بها. المنهجيّة من جانب المتصفّح فقط — لم نُقيّم اتّفاقيّات المعالجة من جانب الخادم، ولا تدفّقات DSAR، ولا حالة التسجيل في NDGP. وصفحة المؤشّر الحيّة على arqam360.com/ksa-compliance-index تعرض الآن نسخة سبتمبر 2026 اللاحقة، لا بيانات مايو هذه.

لماذا يهمّ هذا الفحص الآن

انتقلت الهيئة السعوديّة للبيانات والذكاء الاصطناعي (SDAIA) من بناء الوعي إلى الإنفاذ الفعلي في 14 سبتمبر 2024، مع نهاية فترة السماح البالغة سنة. وفي إعلانها بتاريخ 16 يناير 2026 أكّدت صدور 48 قرار إنفاذ، ومن فئات المخالفات التي سمّتها: المعالجة دون أساس نظامي صحيح، والإفصاح غير المصرَّح به، وضعف الضمانات، وإرسال رسائل تسويقيّة دون موافقة. والرسالة للتجارة الإلكترونيّة السعوديّة واضحة: الإنفاذ ليس نظريًّا، والفئات المسمّاة قريبة ممّا تفعله نسبة الـ 67% من المتاجر التي تُطلق أدوات التتبّع قبل الموافقة مع كلّ تحميل صفحة.

والخلفيّة الاقتصاديّة مهمّة كذلك. تلتزم رؤية السعوديّة 2030 باقتصاد رقمي يستوفي المعايير الدوليّة، ولم يمنح الاتّحاد الأوروبي نظام حماية البيانات الشخصيّة قرار كفاية. وبالنسبة للتجّار، أصبح الامتثال جزءًا من الوصول إلى السوق لا شأنًا تنظيميًّا فحسب؛ فمنتجات Google الإعلانيّة مثلًا تعتمد على إشارات الموافقة مثل GCM v2 لقياس التحويلات ونمذجتها.

التوزيع بحسب القطاع

الامتثال غير موحَّد عبر القطاعات. الوسائط أدناه تأتي من مجموعة البيانات نفسها، المؤلَّفة من 27 متجرًا، مقسومة بحسب فئة الصناعة. النمط هيكلي لا مصادفة — القطاعات التي تَضمّ مؤسّسات كبرى وفِرَق قانونيّة داخليّة تُؤدّي بصورة أفضل ملحوظًا ممّن تَهيمن عليه متاجر السوق المتوسّطة المعتمدة على الإعدادات الافتراضيّة.

البقالة والسلع الاستهلاكيّة (وسيط 85)

أقوى الأداء في مجموعة البيانات بهامش واسع. تَضمّ فئة البقالة والسلع الاستهلاكيّة سريعة الحركة مؤسّسات كبرى ذات فِرَق امتثال داخليّة وميزانيّة لتنفيذ إدارة الموافقة بصورة صحيحة. يَعكس وسيط 85 شرائط موافقة ناضجة، وتنفيذات GCM v2 فعّالة، وسياسات خصوصيّة منشورة تُسمّي PDPL تحديدًا. النمط مفيد: حين تَعتبر المنظّمة الخصوصيّة انضباطًا لا خانة تفعيل، يَتبع الامتثال. الفجوة بين هؤلاء التجّار والقطاعات الأدنى هي الفجوة بين القدرة القانونيّة الداخليّة والاعتماد على الإعدادات الافتراضيّة للمنصّة.

الجمال (وسيط 62)

وسط قوي من المجموعة. تَستخدم متاجر الجمال عادةً Shopify أو منصّات مخصّصة بتكاملات CMP راسخة، وتَخدم كثير منها زوّارًا أوروبيين دَفعوا إلى تنفيذات بمستوى GDPR قبل إنفاذ PDPL بفترة طويلة. تَضمّ الفئة بعض كبرى مجموعات الجمال السعوديّة التي يَعكس وضعها للخصوصيّة تفكيرًا متعدّد الولايات. تحت الوسيط، تَسجّل البوتيكات الأصغر للجمال في الأربعينات — النمط نفسه كالعطور والصيدليّات أدناه.

الأزياء (وسيط 61)

ستّة متاجر في مجموعة البيانات، أكبر قطاع منفرد. يَضع وسيط 61 الأزياء فوق الوسيط الإجمالي (49) لكن بكثير تحت البقالة (85). الأزياء خليط: حفنة من العلامات متعدّدة الجنسيّات التي تَعمل في السعوديّة (تَرث متاجرها السعوديّة وضع GDPR العالمي) تَسجّل بين 70 و90؛ علامات الأزياء الإقليميّة تَسجّل بين 40 و60، مع تَولّي الإعدادات الافتراضيّة معظم عمل الموافقة. تَباين القطاع تشخيص مفيد — حين تَسجّل متاجر متجاورة على المنصّة نفسها فرقًا قدره 40 نقطة، المُميِّز هو الانضباط التشغيلي، لا القدرة التقنيّة.

العطور (وسيط 43)

أضعف قطاع بحجم عيّنة مناسب. خمسة متاجر، وسيط 43، وهو دون الوسيط الإجمالي البالغ 49. تُشغِّل معظم متاجر العطور في المجموعة Shopify أو سلة بإعدادات افتراضيّة، ولم تُضِف تطبيقات CMP؛ النتيجة موافقة ضمنيّة على أوّل تحميل صفحة مع تفعيل المتعقّبات الكامل. اقتصاديّات القطاع — منتجات هامش مرتفع، حركة عابرة للحدود قويّة إلى مشترين خليجيّين، إنفاق ثقيل على Google Ads — تَجعل هذه الفجوة مكلفة بصورة خاصّة. ومتجر العطور الذي يخسر نمذجة التحويلات من Google يترك إيرادات معتبرة، حتّى قبل احتساب التعرّض التنظيمي.

الأسواق الإلكترونيّة (وسيط 59)

ثلاث أسواق متعدّدة الباعة في مجموعة البيانات، وسيط 59. الأسواق مشكلة هيكليّة صعبة لإدارة الموافقة، لأنّ حالة الموافقة يجب أن تَنتشر لا إلى تتبّع السوق نفسه فحسب، بل إلى بكسلات تتبّع كلّ بائع، وتَصل غالبًا بعد أن عَبَر الزائر عدّة صفحات. متاجر هذه الشريحة تُصيب الأساسيّات (شريط موجود، رفض افتراضي) لكنّها تَصارع مشكلة الانتشار — موافقة جزئيّة في جلسة الزائر رقم 1 تَتسرّب إلى تفعيل المتعقّبات في الجلسة رقم 3 نمط إخفاق شائع. الأسواق تَحتاج تنفيذ CMP أكثر تطوّرًا من متاجر بائع واحد، ومعظمها لم يَستثمر بعد.

أكبر ثلاثة إخفاقات

يَعود معظم عدم الامتثال إلى واحد من ثلاثة إخفاقات هيكليّة. الأنماط أدناه مرتّبة بحسب التكرار في مجموعة البيانات، مع البند المحدّد في PDPL الذي يُخالفه كلٌّ منها.

الإخفاق 1 — إطلاق متعقّبات قبل الموافقة (67% من المتاجر). الإخفاق المنفرد الأكثر شيوعًا. تُحمَّل Google Analytics و Meta Pixel وبكسل TikTok ووسوم مماثلة في أوّل عرض صفحة، وتَكتب كوكيز قبل أن يَتفاعل الزائر مع أيّ سطح موافقة. وبموجب نظام حماية البيانات الشخصيّة، هذه معالجة بلا أساس نظامي — لم يُؤسَّس بعد الأساس القانوني (الموافقة). الإصلاح ميكانيكي: حمّل سكربتات المتعقّبات فقط بعد إطلاق الموافقة الافتراضيّة، وفقط بعد منح الزائر الإذن. تنفيذ Consent Mode v2 مربوط بصورة صحيحة يُدير كلتا البوّابتَين تلقائيًّا؛ القيام بذلك يدويًّا أصعب ممّا يَبدو لأنّ التحميل اللامتزامن للسكربتات وتنقّل الزائر يَتسابقان مع حالة الموافقة.

الإخفاق 2 — فقدان Google Consent Mode v2 (78% من المتاجر). فوق رقم العنوان 81% لمخاطرة PDPL، هناك نسبة 78% من المتاجر تُشغّل منتجات Google (GA4 و Google Ads و gtag.js) دون العوامل الأربعة اللازمة (analytics_storage و ad_storage و ad_user_data و ad_personalization). دون ربط GCM v2، تَخسر Google Ads الوصول إلى تنميط التحويلات المُعَوَّض — ضربة إيرادات قابلة للقياس فوق التعرّض التنظيمي. الإصلاح يَشترط على CMP أن تُصدر نداءات gtag('consent', ...) صحيحة، لا فقط كتابة الكوكيز؛ كثير من أدوات «شريط الكوكيز» الأقدم تَفعل الثانية لا الأولى.

الإخفاق 3 — لا شريط موافقة إطلاقًا (44% من المتاجر). الرقم الأكثر إدهاشًا في مجموعة البيانات. ما يقرب من نصف أكبر 27 متجرًا سعوديًّا للتجارة الإلكترونيّة بلا سطح موافقة — يَهبط الزوّار، تَنطلق المتعقّبات، ولا تُعرض فرصة موافقة أبدًا. تحت PDPL هذه أعلى مخالفة من حيث الشدّة، لأنّها تَدلّ ليس فقط على فجوة تنفيذ بل على فجوة سياسة: لم يُؤسّس التاجر آليّة الموافقة أصلًا، فضلًا عن ربطها صحيحًا. الإصلاح مباشر — ثبّت CMP، اربطها بالمنصّة — لكنّه يَشترط قرارًا بأنّ الامتثال أولويّة. النسبة 44% التي لم تَفعل ذلك تَجري على الجمود لا على قبول مخاطر نشط.

كيف يَبدو الأداء الجيّد

سَجّلت خمسة متاجر في مجموعة البيانات بين 80 و100 — دليل ملموس على أنّ امتثال PDPL قابل للتحقيق تشغيليًّا لأيّ متجر سعودي للتجارة الإلكترونيّة اليوم، لا هدف نظري. النمط المشترك عبر أعلى السجلّات: شريط موافقة يَنطلق في أوّل تحميل صفحة بإشارات Consent Mode v2 برفض افتراضي، سياسة خصوصيّة تُسمّي PDPL و SDAIA صراحةً (لا مجرّد ترجمة عامّة لـ GDPR)، قناة تواصل DSAR فعّالة، ومتعقّبات لا تَنطلق حقًّا حتّى الموافقة. لم يَخترع أيّ من هذه المتاجر شيئًا جديدًا؛ نَفّذت أنماطًا موثَّقة كاملةً.

النمط الذي لا يَظهر في أعلى السجلّات هو التخصيص الثقيل. تَستخدم المتاجر الأعلى منصّات CMP معروفة، وأنماط تنفيذ قياسيّة، وسطح الموافقة الأصلي للمنصّة (Customer Privacy API في Shopify، ونمط وسم السكربت في سلة، وإضافة WordPress). المُميِّز ليس عمق الهندسة — إنّه قرار تنفيذ النمط القياسي صحيحًا بدل إنجاز نصف تنفيذ مخصّص. الامتثال يُفضّل المنضبط على الذكي.

التداعيات على القطاع

نسبة عدم الامتثال 81% لها تداعيات تتجاوز المتاجر الفرديّة المُقاسة. على مستوى القطاع، يَتعرّض قطاع التجارة الإلكترونيّة السعودي ككلّ لديناميكيّة تنظيميّة لم تَظهر بعد في إفصاحات الأرباح، لكنّها تَظهر في فحوصات العناية الواجبة. يَطلب المستثمرون الذين يُقيّمون اندماجات واستحواذات التجارة الإلكترونيّة السعوديّة أدلّة امتثال PDPL بصورة متزايدة؛ ويُفلتر مزوّدو تأمين المسؤوليّة السيبرانيّة عليها؛ ويُفلتر مزوّدو الدفع الذين يُقدّمون حسابات تجاريّة لمتاجر بحركة أوروبيّة عليها. سَتَرتفع علاوة المخاطرة الهيكليّة على التجارة الإلكترونيّة السعوديّة حتّى يَتحرّك معدّل الامتثال على مستوى الصناعة بصورة جوهريّة.

هناك أيضًا زاوية تطوير سوق. امتثال PDPL إحدى عدّة إشارات تُميّز التجّار المقيمين في السعوديّة عن منافسين إقليميّين يَعملون في ولايات MENA أقلّ تنظيمًا. التجّار الذين يَسبقون الامتثال الآن — لا بعد أن يُطلق إجراء إنفاذ علني من SDAIA الذعر — يُموضعون أنفسهم تجّارًا سعوديّين تُفضّل المنصّات الدوليّة (Google و Meta و TikTok) والمعالجات الدوليّة (Stripe و Adyen) والمشترون الدوليّون (تجّار تجزئة متعدّدو الجنسيّات يَستوردون من موَرِّدين سعوديّين) العمل معهم. عدم التماثل في السبق حقيقي حتّى لو لم تَتّصل الجهة التنظيميّة شخصيًّا أبدًا.

كيف تَخرج من شريحة 81%

إن كنت تَقرأ هذا وتُدير متجرًا سعوديًّا للتجارة الإلكترونيّة، فهذه قائمة الإجراءات للانتقال من شريحة الـ 81% غير الممتثلة إلى شريحة الـ 19% الممتثلة. كلّ بند أدناه يُقابل اكتشافًا محدّدًا في مجموعة بيانات الفحص، واختُبر تنفيذًا على متجر واحد على الأقلّ من أعلى السجلّات.

• ثبّت منصّة CMP تَربط Google Consent Mode v2 افتراضيًّا — أرخص مسار هو CMP مجّانيّة تَفعل هذا، لا حاوية GTM مخصّصة
• تحقّق أنّ الرفض الافتراضي يَنطلق قبل تحميل أيّ وسم Google — استخدم Tag Assistant Companion في التصفّح الخاص للتأكّد
• احجب كلّ سكربتات التتبّع من طرف ثالث من التحميل حتّى الموافقة — وضع حجر السكربتات في منصّات CMP الحديثة يُدير ذلك تلقائيًّا
• انشر سياسة خصوصيّة خاصّة بنظام حماية البيانات الشخصيّة تذكر النظام و SDAIA صراحةً، لا قالب GDPR مترجَمًا
• أعدّ قناة لطلبات أصحاب البيانات تلتزم بمهلة الردّ البالغة 30 يومًا وفق اللائحة التنفيذيّة للنظام
• سجّل على المنصّة الوطنيّة لحوكمة البيانات (NDGP) إن كنت تُعالج بيانات حسّاسة أو يَكون نشاطك الرئيس معالجة بيانات
• أعد فحص موقعك شهريًّا بأداة علنيّة (فاحص أرقام٣٦٠ المجّاني يَستغرق نحو 60 ثانية) للقبض على انجراف المتعقّبات قبل أن يَصبح شكوى
• وثّق كلّ شيء — سجلّات الموافقة، طوابع زمنيّة للفحوص، إصدارات السياسة، سجلّات تَعامل DSAR — لأنّ تحقيق SDAIA سيَطلب أثرًا ورقيًّا

أسئلة متكرّرة

مصادر موثوقة

قابليّة إعادة المنهجيّة

المنهجيّة التي أنتجت هذه البيانات قابلة للتَكرار علنًا. فاحص أرقام٣٦٠ على arqam360.com/scan هو الفاحص نفسه الذي أنتج أرقام المؤشّر — يستطيع أيّ شخص تَشغيله على أيّ متجر سعودي وتَكرار نتيجة المتجر الفردي. منطق الفحص (تصنيف الكوكيز، اكتشاف المتعقّبات، تَحقّق إشارات GCM v2، أوزان التَسجيل) موثَّق في قسم المنهجيّة على صفحة المؤشّر الحيّة. مكتبة 113 نمطًا لتصنيف الكوكيز مَفتوحة حول مصادرها: 81 نمطًا مشتقّ من سلوك متعقّبات موثَّق علنيًّا (Google Analytics و Meta Pixel وغيرهما) و32 نمطًا خاصًّا بالمنطقة بنيناها من نتائج فحوصنا. وهذه الأعداد كما كانت وقت فحص مايو 2026، وقد نمت المكتبة منذ ذلك الحين.

نُشجّع التَحقّق المستقلّ. إن أردت الطعن بأيّ اكتشاف في هذه البيانات — درجة متجر معيّن، وسيط قطاع معيّن، تكرار اكتشاف معيّن — أعد تَشغيل الفاحص على المتجر ذي العلاقة وأبلغ عن التَناقض. نُعامل النزاعات المنهجيّة بجدّيّة؛ مجموعة البيانات أهمّ من وضع امتثال أيّ متجر منفرد. مجموعة البيانات الكاملة لكلّ متجر (مجهّلة) متاحة بطلب للباحثين الجادّين والصحفيّين والجهات التنظيميّة. تواصل مع admin@arqam360.com مع شرح موجز للاستخدام المُعتزَم.