تستعدّ للإطلاق في السعوديّة؟
الموافقة شرط انطلاق، لا خطوة أخيرة.
معظم العمل في أيّ إطلاق سعوديّ شحن ومدفوعات وتعريب. أمّا الموافقة فتُؤجَّل عادةً إلى الأسبوع الأخير، لأنّ نظام حماية البيانات الشخصيّة يَطالك أينما كان مقرّك، ولأنّ شريطك الحاليّ بُني لسوق أخرى، ولأنّ شيئاً من ذلك لا يظهر قبل أن يُفتح الموقع فعلاً. هذه هي القائمة كاملة، ومعها فحص يُريك أين يقف موقعك اليوم.
النظام السعودي و GDPR والقانون الإماراتي جنبًا إلى جنب
النظام السعودي قريب من GDPR في بنيته، فبرنامجك الحاليّ نقطة بداية جيّدة لكنّه لا يكفي وحده: للنظام جهة رقابيّة واحدة هي سدايا ومهلة ردّ خمسة أيّام، ولائحة خاصّة لنقل البيانات إلى الخارج، وقائمة مختلفة للبيانات الحسّاسة مع مسار جزائي، ولا قاعدة مستقلّة لملفات تعريف الارتباط (الكوكيز)، إذ يحكمها النظام نفسه بوصفها بيانات شخصيّة.
راجعه طه، مؤسّس أرقام٣٦٠آخر مراجعة:
| المسألة | نظام حماية البيانات الشخصيّة (السعوديّة) | GDPR (الاتّحاد الأوروبي والمملكة المتّحدة) | القانون الاتّحاديّ الإماراتيّ (المرسوم بقانون 45 لسنة 2021) |
|---|---|---|---|
| على من يسري | المعالجة داخل المملكة، ومعالجة البيانات الشخصيّة للمقيمين فيها من جهة خارجها. | الجهات القائمة في الاتّحاد الأوروبي، والجهات خارجه التي تعرض سلعًا أو خدمات على أشخاص فيه أو تراقب سلوكهم (المادة 3). | الجهات في الإمارات التي تعالج بيانات شخصيّة، والجهات خارجها التي تعالج بيانات أشخاص فيها. وتُستثنى المناطق الحرّة التي لها تشريعات خاصّة بحماية البيانات، مثل مركز دبي الماليّ العالميّ وسوق أبوظبي العالميّ (المادة 2(2)(ز)). |
| الجهة الرقابيّة | جهة واحدة هي سدايا، وخمسة أيّام للردّ بعد إبلاغك رسميًّا بمخالفة منسوبة إليك. | جهة رقابيّة في كلّ دولة عضو، ومكتب مفوّض المعلومات (ICO) في المملكة المتّحدة. | مكتب الإمارات للبيانات. ولكلّ من مركز دبي الماليّ العالميّ وسوق أبوظبي العالميّ مفوّض خاصّ لحماية البيانات. |
| الأساس النظامي للمعالجة | الموافقة هي الأصل، مع أسس أخرى ينصّ عليها النظام. ومنذ تعديل 2023 تجوز المعالجة للمصلحة المشروعة لجهة التحكّم، لكن ليس للبيانات الحسّاسة أبدًا. | ستّة أسس متساوية، منها المصالح المشروعة (المادة 6). | الموافقة هي الأصل: تُحظر المعالجة دون موافقة إلّا في حالات استثناء محدّدة على سبيل الحصر (المادة 4). ولا يوجد أساس للمصلحة المشروعة. |
| ملفات تعريف الارتباط (الكوكيز) | لا يوجد نظام خاصّ بها. فالملف الذي يمكن أن يحدّد هويّة الزائر يجمع بيانات شخصيّة، ولذلك تحتاج علامات التحليلات والإعلانات في العادة إلى موافقة مسبقة. | قاعدة مستقلّة: توجيه الخصوصيّة الإلكترونيّة (المادة 5(3))، و PECR في المملكة المتّحدة، يشترطان الموافقة على الملفات غير الضروريّة، مع استثناءات محدودة. | لا قاعدة خاصّة بملفات تعريف الارتباط. والملف الذي يمكنه تمييز الزائر يجمع بيانات شخصيّة، فأدوات التحليل والإعلانات تحتاج عادةً إلى موافقة مسبقة. أمّا في مركز دبي الماليّ العالميّ فاللائحة 9 تتناول ملفات تعريف الارتباط مباشرةً. |
| إثبات الموافقة | توثيق الموافقة بما يسمح بالتحقّق منها لاحقًا، كسجلّات موافقات أصحاب البيانات (اللائحة التنفيذيّة، المادة 11). | على جهة التحكّم أن تستطيع إثبات الموافقة (المادة 7(1)). | على جهة التحكّم أن تكون قادرة على إثبات موافقة صاحب البيانات (المادة 6(1)(أ)). |
| الردّ على طلبات أصحاب البيانات | 30 يومًا، تُمدَّد مرّة واحدة حتّى 30 يومًا أخرى إن أبلغت الشخص مسبقًا بالسبب. | شهر واحد، يُمدَّد شهرين إضافيّين للطلبات المعقّدة أو الكثيرة (المادة 12(3)). | لا يحدّد القانون مهلة، وتركها للائحة التنفيذيّة التي لم تُنشر حتّى سبتمبر 2026. |
| الإبلاغ عن الاختراقات | إلى سدايا خلال 72 ساعة من العلم به، وإلى المتأثّرين دون تأخير غير مبرّر. | إلى الجهة الرقابيّة خلال 72 ساعة متى أمكن، ما لم يكن الاختراق مستبعَد الخطر (المادة 33). | إلى مكتب البيانات وإلى أصحاب البيانات المتأثّرين، خلال مدّة تحدّدها اللائحة التنفيذيّة (المادة 9). ولا يحدّد القانون عدد ساعات. |
| مسؤول حماية البيانات | إلزامي في ثلاث حالات: معالجة جهة عامّة على نطاق واسع، أو مراقبة منتظمة ومنهجيّة بوصفها نشاطًا أساسيًّا، أو أنشطة أساسيّة تقوم على بيانات حسّاسة (اللائحة التنفيذيّة، المادة 32). | إلزامي للجهات العامّة، وللمراقبة المنتظمة والمنهجيّة على نطاق واسع، ولمعالجة الفئات الخاصّة على نطاق واسع (المادة 37). | مطلوب عند المعالجة عالية المخاطر، أو التقييم المنهجيّ الشامل للبيانات الحسّاسة بما فيه التنميط، أو معالجة كمّيّات كبيرة من البيانات الحسّاسة (المادة 10). ويجوز أن يكون المسؤول داخل الدولة أو خارجها. |
| النقل إلى الخارج | المادة 29 ولائحة نقل البيانات الشخصيّة إلى خارج المملكة: مستوى حماية ملائم أو ضمانات مناسبة، في حدود استثناءات محدّدة. ومنصّات التحليلات والإعلانات في الخارج مشمولة. | الفصل الخامس: قرارات الملاءمة، أو البنود التعاقديّة القياسيّة، أو القواعد المؤسّسيّة المُلزمة. | إلى الدول التي توفّر مستوى ملائمًا من الحماية، وفي غير ذلك وفق الشروط التي يحدّدها القانون، مثل الضمانات التعاقديّة أو الموافقة الصريحة لصاحب البيانات. |
| أقصى العقوبات | غرامات إداريّة تصل إلى 5,000,000 ر.س وتتضاعف عند التكرار، والسجن حتّى سنتين وغرامة تصل إلى 3,000,000 ر.س على إفشاء بيانات حسّاسة بقصد الإضرار أو لمصلحة شخصيّة. | حتّى 20 مليون يورو أو 4% من الإيرادات السنويّة العالميّة، أيّهما أعلى (المادة 83(5)). | لا يحدّدها القانون: تترك المادة 26 المخالفات والجزاءات الإداريّة لقرار من مجلس الوزراء لم يُنشر حتّى سبتمبر 2026. ويفرض مركز دبي الماليّ العالميّ وسوق أبوظبي العالميّ غراماتهما وفق قانونيهما. |
الخانات السعوديّة من نصّ النظام ولائحته التنفيذيّة كما يوثّقها دليلنا للنظام السعودي، والخانات الأوروبيّة من مواد اللائحة العامّة لحماية البيانات، والخانات الإماراتيّة من نصّ المرسوم بقانون الاتّحاديّ رقم 45 لسنة 2021 على بوّابة التشريعات الرسميّة (ولا يسري على مركز دبي الماليّ العالميّ وسوق أبوظبي العالميّ). وهذه المقارنة ليست استشارة قانونيّة.
سجلّ الإنفاذ — بمصادره، لا بالتقدير
أُعلنت عبر وكالة الأنباء السعوديّة في يناير 2026. انتهى عهد التنبيه.
المرجع: Clyde & Coويتضاعف إلى 10 ملايين عند التكرار، مع مسؤوليّة جزائيّة في إفشاء البيانات الحسّاسة.
المرجع: A&O Shearmanالإجراءات إلكترونيّة ومواعيدها صارمة. والتسويق دون موافقة من أكثر المخالفات ذكراً، وقطاع التجزئة مذكور بالاسم.
المرجع: IAPPلماذا لا تُغطّي هذا أداتك الحاليّة
إن كنت ملتزماً بالفعل في أوروبا فقد أنجزت الجزء الصعب مرّة. لكنّ السوق السعوديّ يَطلب منك ثلاثة أشياء لم تُبنَ حزمتك الحاليّة لها.
منصّتك الأوروبيّة تتحدّث اللغة الخطأ
لا توجد بين منصّات إدارة الموافقة الكبرى واحدة عربيّة أوّلاً. وحيث يوجد «دعم PDPL» فهو صفحة مترجَمة رُكّبت على منتج بُني لسوق أخرى، والشريط الذي يراه زائرك السعوديّ آخر ما فُكّر فيه. أرقام٣٦٠ بُني بالعربيّة أوّلاً: اتّجاه صحيح من اليمين إلى اليسار، ووصف ثنائيّ اللغة لكلّ ملفّ ارتباط، وسجلّ موافقة يقرؤه مدقّقك بأيّ اللغتين شاء.
النظام السعوديّ ليس اللائحة الأوروبيّة باسم آخر
يَسري نظام حماية البيانات الشخصيّة خارج الحدود على كلّ شركة تعالج بيانات المقيمين في السعوديّة — الامتداد نفسه الذي جعل GDPR عالميّة. غير أنّ أساس الموافقة فيه، وما يُتوقَّع من تسجيل جهة التحكّم، وإجراءات لجنة سدايا، كلّها تختلف عمّا تفترضه أدواتك الحاليّة. وأرقام٣٦٠ يكشف نطاق الزائر تلقائيّاً ويَعرض نموذج الموافقة الصحيح لكلّ حالة.
منصّاتك قد تختلف هنا
مواقع الشركات في السعوديّة تعمل على WordPress أو مبنيّة خصّيصًا، والمتاجر على سلة وزد إلى جانب Shopify، وأغلب أدوات الموافقة الأوروبيّة لا تطبيق لها على هذه المنصّات. أمّا أرقام٣٦٠ فيُركَّب على أيّ موقع بسطر برمجي واحد، وله تطبيقات لزد و Shopify و WordPress، بلوحة تحكّم واحدة — بالإنجليزيّة — تُغطّي كلّ مواقعك.
ما الذي لا تغطّيه إعدادات GDPR في نظام حماية البيانات الشخصيّة
النظامان متقاربان في البنية، وإعدادات GDPR نقطة بداية جيّدة. لكنّ أربعة فروق تُسقط الافتراض بأنّها تكفي.
- جهة رقابيّة واحدة بإجراءاتها الخاصّة
- تنفّذ GDPR جهةٌ رقابيّة في كلّ دولة أوروبيّة، أمّا نظام حماية البيانات الشخصيّة فتنفّذه جهة واحدة هي سدايا. وحين تُبلغك رسميًّا بمخالفة منسوبة إليك تكون أمامك خمسة أيّام للردّ، لذا يجب أن يكون سجلّ الموافقات وقائمة أنشطة المعالجة جاهزَين قبل وصول الإشعار.
- النقل يُقاس بالقواعد السعوديّة
- يخضع نقل البيانات إلى خارج المملكة للائحة نقل البيانات الشخصيّة إلى خارج المملكة، لا لقرارات الملاءمة الأوروبيّة. فالنقل الذي يغطّيه برنامجك الحاليّ لـGDPR يجب أن يُفحص مجدّدًا وفقها: مستوى ملائم من الحماية في دولة الوجهة، أو ضمانات مناسبة، في حدود الاستثناءات التي تنصّ عليها اللائحة.
- قائمة مختلفة للبيانات الحسّاسة، ومسار جزائي
- تشمل الفئات الحسّاسة في النظام البيانات الائتمانيّة والبيانات التي تدلّ على أنّ والدَي الشخص أو أحدهما مجهول، وليستا في قائمة GDPR. والإفصاح عن بيانات حسّاسة بقصد الإضرار أو لمصلحة شخصيّة قد يؤدّي إلى السجن حتى سنتين وغرامة تصل إلى 3,000,000 ر.س، وهي عقوبة جزائيّة لا تتضمّنها GDPR نفسها. أمّا التتبّع دون موافقة فيقع في مسار الغرامات الإداريّة، التي تصل إلى 5,000,000 ر.س.
- الموافقة المستنيرة تكون بالعربيّة
- قواعد الموافقة مألوفة: محدّدة، ومستنيرة، وقابلة للسحب في أيّ وقت. ما يتغيّر هو القارئ. فالشريط وإعلان ملفات تعريف الارتباط اللذان لا يستطيع الزائر السعودي قراءتهما لا يُعلمانه بشيء، ولذلك فالنسخة العربيّة هي الموضع الأرجح لقصور إعداداتك الحاليّة.
قائمة تحقّق: إطلاق موقع في السعوديّة أو الإمارات لشركة أوروبيّة أو بريطانيّة
ثماني خطوات بالترتيب الذي يمرّ به الفريق عادةً. معظم عملك على GDPR ينتقل معك، وهذه هي الأجزاء التي تتغيّر.
- 1.
حدّد القانون الذي يغطّي كلّ زائر
يَسري نظام حماية البيانات الشخصيّة السعوديّ على بيانات المقيمين في المملكة أينما كان مقرّ شركتك. وفي الإمارات يُطبَّق المرسوم بقانون الاتّحاديّ رقم 45 لسنة 2021، ما عدا الشركات في المناطق الحرّة التي لها قانونها الخاصّ لحماية البيانات، مثل مركز دبي المالي العالمي وسوق أبوظبي العالمي. ويبقى زوّارك من أوروبا والمملكة المتّحدة خاضعين لـGDPR ونسختها البريطانيّة.
- 2.
اعرض الشريط بالعربيّة ومن اليمين إلى اليسار
طلب الموافقة الذي لا يستطيع الزائر قراءته لا يُعلمه بشيء. اعرض الشريط ولوحة التفضيلات وإعلان ملفات تعريف الارتباط بالعربيّة ومن اليمين إلى اليسار، مع الإنجليزيّة إلى جانبها.
- 3.
اطلب الموافقة قبل تشغيل وسوم التحليلات والإعلانات
لا تحمّل الوسوم غير الضروريّة إلّا بعد الموافقة، واجعل الرفض بسهولة القبول. وفي مركز دبي المالي العالمي تطلب اللائحة 9 أزرارًا محايدة اللون لا تدفع إلى اختيار ولا تثني عنه.
- 4.
احتفظ بإثبات لكلّ موافقة
تتوقّع اللائحة التنفيذيّة للنظام السعوديّ توثيق الموافقة بحيث يمكن التحقّق منها (المادّة 11)، وينصّ القانون الاتّحاديّ الإماراتيّ على أن يكون المتحكّم قادرًا على إثبات الموافقة (المادّة 6). احفظ كلّ اختيار بتاريخه ووقته وفئاته، وكن قادرًا على تصديره.
- 5.
أرسل وضع موافقة Google v2 لكلّ زائر
تشترط Google إشارات وضع الموافقة v2 الأربع لزوّار المنطقة الاقتصاديّة الأوروبيّة منذ مارس 2024. أرسلها لزوّار الخليج أيضًا، لتعرف Google بماذا وافق كلّ زائر.
- 6.
انشر إشعار الخصوصيّة بالعربيّة
اشرح ما تجمعه ولماذا، وكيف يمارس الزوّار حقوقهم، بالعربيّة إلى جانب الإنجليزيّة.
- 7.
راجع نقل البيانات إلى خارج المملكة
نقل البيانات الشخصيّة السعوديّة إلى الخارج، ومنه إلى مقرّك الرئيسيّ، يخضع للائحة نقل البيانات الشخصيّة إلى خارج المملكة، لا لقرارات الملاءمة الأوروبيّة.
- 8.
كن مستعدًّا للردّ على سدايا خلال خمسة أيّام
حين تُبلغك سدايا رسميًّا بمخالفة منسوبة إليك تكون أمامك خمسة أيّام للردّ. جهّز سجلّ الموافقات وقائمة أنشطة المعالجة قبل ذلك.
شريط واحد، تشريعان، وكلّ متاجرك
يَعرض أرقام٣٦٠ شريط موافقة ثنائيّ اللغة يُطبّق قواعد النظام السعوديّ على زوّارك في السعوديّة وقواعد GDPR على زوّارك الأوروبيّين، تلقائيّاً وبحسب موقع الزائر. وسجلّات الموافقة، وبيانات ملفات تعريف الارتباط، ومعالجة طلبات أصحاب البيانات، جاهزة للتدقيق باللغتين. ويُدير فريقك ذلك كلّه من لوحة واحدة بالإنجليزيّة، سواء كان المتجر على Shopify أو سلة أو زد أو WordPress.
وللشركات التي تريد أن يُتولّى الامتثال عنها لا أن تُديره بنفسها، تشمل باقة Managed الإعداد والتهيئة وقناة تواصل مباشرة — يَطلب فريقك، ونُنفّذ نحن.
أسئلة عن النظام السعودي و GDPR
- هل نظام حماية البيانات الشخصيّة السعودي هو GDPR نفسها؟
- لا. بنيتهما متقاربة، فبرنامج GDPR نقطة بداية جيّدة، لكنّ النظام السعودي له جهة رقابيّة واحدة (سدايا) ومهلة ردّ خمسة أيّام، ولائحة نقل خاصّة به، وقائمة مختلفة للبيانات الحسّاسة، ومسار جزائي لإفشائها، ولا قاعدة مستقلّة لملفات تعريف الارتباط.
- هل يسري النظام السعودي على شركة خارج المملكة؟
- نعم، متى عالجت البيانات الشخصيّة للمقيمين في المملكة. فالشركة البريطانيّة أو الأوروبيّة التي يجمع موقعها بيانات زوّار من السعوديّة، عبر النماذج أو علامات التحليلات والإعلانات، مشمولة به.
- هل يكفي شريط ملفات تعريف الارتباط المصمَّم لأوروبا لزوّاري من السعوديّة؟
- آليّته صالحة في الغالب: اطلب الموافقة قبل تشغيل العلامات غير الضروريّة، ولكلّ غرض على حدة، واحفظ السجلّ. أمّا ما يقصّر فيه عادةً فهو اللغة، فالشريط الذي لا يقرؤه الزائر السعودي لا يُعلمه بشيء، ولذلك تكون النسخة العربيّة موضع العمل الأوّل.
- خلال كم يومًا أردّ على طلب صاحب البيانات في النظام السعودي وفي GDPR؟
- في النظام السعودي خلال 30 يومًا، تُمدَّد مرّة واحدة حتّى 30 يومًا أخرى بإشعار مسبق. وفي GDPR خلال شهر واحد، يُمدَّد شهرين للطلبات المعقّدة أو الكثيرة.
- هل تسري GDPR على شركتي في السعوديّة أو الإمارات؟
- فقط إن كنت تعرض سلعًا أو خدمات على أشخاص في الاتّحاد الأوروبي أو تراقب سلوكهم هناك، بعلامات تحليلات أو إعلانات على زوّار أوروبيّين مثلًا. وقد تحتاج عندها أيضًا إلى ممثّل في الاتّحاد وفق المادة 27، ويشرح ذلك دليلنا للشركات المتوسّعة إلى أوروبا.