أسئلة قوانين الخصوصية في السعودية والإمارات، وأجوبتها
كل جواب قصير، يأتي أولًا، ويستند إلى نص القانون. والتفاصيل الكاملة في أدلّة القوانين.
السعودية (نظام حماية البيانات الشخصية)
الدليل الكاملهل تكفي الموافقة الضمنيّة على الكوكيز في السعوديّة؟لا تكفي لعلامات التحليلات والإعلانات. فالأساس النظاميّ لهذه العلامات في نظام حماية البيانات الشخصيّة هو عادةً موافقة الزائر الصريحة والمستنيرة، مستقلّةً لكلّ غرض، وموثّقةً بطريقة تتيح التحقّق منها لاحقًا. أمّا الإشعار الذي يعدّ استمرار التصفّح قبولًا فلا يسجّل اختيارًا لأيّ غرض، ولا يترك للموقع ما يُثبته.هل تُعدّ ملفات تعريف الارتباط بياناتٍ شخصيّة في نظام حماية البيانات الشخصيّة؟نعم، إذا كانت تحدّد هويّة الزائر. فلا يوجد في المملكة نظام خاصّ بالكوكيز، ويحكمها نظام حماية البيانات الشخصيّة: كلّ ملف تعريف ارتباط أو أداة تتبّع تحدّد هويّة الزائر، مباشرةً أو بشكل غير مباشر، تجمع بيانات شخصيّة. وعندها يحتاج الموقع إلى أساس نظاميّ قبل تشغيلها، وهو في علامات التحليلات والإعلانات عادةً الموافقة الصريحة والمستنيرة.ما الموافقة الصحيحة في نظام حماية البيانات الشخصيّة؟هي موافقة مستقلّة لكلّ غرض، تُطلب بعد شرح الغرض، وتُوثَّق بطريقة تتيح التحقّق منها لاحقًا مع وقتها ووسيلتها (اللائحة التنفيذيّة، المادة 11). ويحقّ لصاحبها سحبها في أيّ وقت، ولا يجوز أن تُجعل شرطًا لتقديم خدمة إلّا إذا كانت الخدمة نفسها تتوقّف على تلك المعالجة.هل يمكنني الاستناد إلى المصلحة المشروعة في نظام حماية البيانات الشخصيّة؟في حالات محدودة. فالنصّ المعدَّل يجيز المعالجة لتحقيق مصلحة مشروعة لجهة التحكّم، على ألّا تشمل البيانات الحسّاسة. لكنّ الموافقة تبقى الأساس الافتراضيّ، وأساس علامات التحليلات والإعلانات في الموقع هو عادةً موافقة الزائر الصريحة والمستنيرة، لا المصلحة المشروعة.هل يسري نظام حماية البيانات الشخصيّة على المنشآت الصغيرة؟نعم. فالنظام يسري على كلّ جهة، عامّة أو خاصّة، محلّيّة أو أجنبيّة، تعالج بيانات شخصيّة لأفراد في السعوديّة، أمّا معالجة الفرد للبيانات لأغراض شخصيّة أو عائليّة بحتة فخارجه. وأغلب المنشآت الصغيرة والمتوسّطة لا تحتاج إلى مسؤول لحماية البيانات، لكنّها تحتاج مع ذلك إلى شخص يتولّى هذه المسؤوليّة.من الجهة التي تنفّذ نظام حماية البيانات الشخصيّة؟تشرف عليه الهيئة السعوديّة للبيانات والذكاء الاصطناعي (سدايا)، وتملك اللجان التي تشكّلها أن توجّه إنذارًا أو تفرض غرامة تصل إلى 5 ملايين ريال، يتضاعف سقفها عند تكرار المخالفة. أمّا العقوبة الجنائيّة على الإفصاح عن البيانات الحسّاسة فطريقها النيابة العامّة والمحاكم. وقد أكّدت سدايا صدور 48 قرار إنفاذ في إعلانها في يناير 2026.هل أحتاج إلى موافقة مستقلّة لـ Google Analytics و Meta Pixel؟في الغالب نعم، لأنّ غرضيهما مختلفان. فاللائحة التنفيذيّة لنظام حماية البيانات الشخصيّة (المادة 11) تشترط موافقة مستقلّة لكلّ غرض، والتحليلات غرضٌ والإعلانات غرضٌ آخر. لذلك ينبغي أن يتيح الشريط للزائر قبول التحليلات ورفض الإعلانات أو العكس، وأن يسجّل جوابه عن كلّ فئة على حدة، لا «نعم» أو «لا» واحدة.هل يكفي شريط الكوكيز للامتثال لنظام حماية البيانات الشخصيّة؟لا يكفي وحده. فالشريط هو ما يراه الزائر من النظام: يستأذنه قبل تشغيل علامات التحليلات والإعلانات ويسجّل جوابه. ووراءه يطلب النظام الردّ على طلبات أصحاب البيانات خلال 30 يومًا، وإخطار سدايا خلال 72 ساعة من أيّ حادثة قد تُلحق ضررًا، وسجلًّا لأنشطة المعالجة، ومراجعةَ كلّ نقل للبيانات إلى خارج المملكة.هل يوجد شريط مجّانيّ لموافقة الكوكيز للمواقع السعوديّة؟نعم، والنظام لا يشترط أن تدفع ثمن الأداة، بل يشترط النتيجة: موافقة قبل تشغيل علامات التحليلات والإعلانات، وخيارًا مستقلًّا لكلّ غرض، وسجلًّا لكلّ جواب، وإعدادات تتيح للزائر سحب موافقته. فإن أدّى الشريط المجّانيّ ذلك كفى، أمّا الشريط الذي يعرض رسالة ولا يحفظ شيئًا فلا يكفي.كم تكلّف أداة موافقة الكوكيز في السعوديّة؟لا يحدّد النظام سعرًا ولا يشترط أداة مدفوعة، والأدوات تتدرّج من باقات مجّانيّة إلى خدمات مُدارة. أمّا ما يحدّده فهو العمل نفسه: موافقة قبل تشغيل علامات التحليلات والإعلانات، وخيار مستقلّ لكلّ غرض، وسجلّ لكلّ جواب، ووسيلة لسحب الموافقة. فقارن الأدوات على هذا أوّلًا، ثمّ على السعر.هل يكفي شريط الكوكيز المدمج في Shopify لنظام حماية البيانات الشخصيّة؟يتوقّف ذلك على ما يشغّله متجرك. فالنظام يطلب موافقة قبل تشغيل علامات التحليلات والإعلانات، وخيارًا لكلّ غرض، وسجلًّا لكلّ جواب. وشريط Shopify يتحكّم في أدوات Shopify نفسها، ومنها ملفات تعريف الارتباط الخاصّة بها و Shopify Pixels، أمّا وسوم التتبّع التي تُضاف يدويًّا أو عبر التطبيقات فتقول Shopify إنّها قد تحتاج إلى شريط من طرف ثالث أو منطق مخصّص.هل تحتاج متاجر سلة وزد إلى شريط موافقة على الكوكيز؟نعم، إن كان المتجر يشغّل علامات تحليلات أو إعلانات مثل Google Analytics أو Google Ads أو Meta Pixel. فالمنصّة لا تغيّر النظام: هذه العلامات تحتاج عادةً إلى موافقة الزائر الصريحة والمستنيرة قبل تشغيلها، لكلّ غرض على حدة، مسجّلةً، وقابلةً للسحب في أيّ وقت.هل يحتاج Meta Pixel إلى موافقة الزائر في السعوديّة؟في الغالب نعم. فـ Meta Pixel علامة إعلانيّة، وما تجمعه العلامة التي تحدّد هويّة الزائر بيانات شخصيّة بحسب النظام، وعلامات الإعلانات تحتاج عادةً إلى موافقة الزائر الصريحة والمستنيرة قبل تشغيلها. ولأنّ Meta Pixel لا يقرأ وضع موافقة Google، فلا بدّ من منع تحميله حتّى يوافق الزائر على الإعلانات.هل يجب أن يكون شريط الكوكيز بالعربيّة؟لا يوجد نصّ سعوديّ يقول صراحةً إنّ شريط الكوكيز يجب أن يكون بالعربيّة. لكنّ اللائحة التنفيذيّة للنظام تشترط موافقة مستنيرة، يُشرح فيها كلّ غرض قبل طلبها أو عنده (المادة 11). والشريط الذي لا يقرؤه الزائر لا يشرح له شيئًا، ولذلك فالشريط العربيّ هو ما يجعل الموافقة مستنيرة فعلًا لجمهور يقرأ العربيّة.لماذا انخفضت بيانات GA4 بعد إضافة شريط الكوكيز؟لأنّ GA4 صار ينتظر الموافقة. فالتحليلات تحتاج عادةً في نظام حماية البيانات الشخصيّة إلى موافقة الزائر الصريحة والمستنيرة قبل تشغيلها، وعبر وضع موافقة Google v2 تبقى إشارة analytics_storage على الرفض حتّى يقبل الزائر التحليلات. فمن يرفض، أو لا يجيب أصلًا، لم يعد يُقاس كما كان قبل الشريط.هل يمكنني بناء شريط الكوكيز بنفسي؟نعم، فالنظام يطلب نتيجة لا أداة بعينها: موافقة قبل تشغيل علامات التحليلات والإعلانات، وخيارًا مستقلًّا لكلّ غرض يُشرح قبل طلبه، وسجلًّا لكلّ جواب، وإعدادات تتيح للزائر سحب موافقته. وعلى الشريط الذي تبنيه أن يفي بذلك كلّه، فالشريط الذي يعرض رسالة ولا يحفظ شيئًا لا يترك للموقع ما يُثبته.ما قائمة التحقّق لتطبيق نظام حماية البيانات الشخصيّة في الموقع الإلكترونيّ؟ستّ خطوات: اعرف البيانات التي تجمعها والعلامات التي تشغّلها، وانشر سياسة خصوصيّة بالعربيّة، واطلب الموافقة قبل تشغيل علامات التحليلات والإعلانات واحفظها في سجلّ، وأجب طلبات أصحاب البيانات خلال 30 يومًا، وأخطِر سدايا خلال 72 ساعة من أيّ حادثة قد تُلحق ضررًا، وراجع كلّ نقل للبيانات إلى خارج المملكة.ما البيانات الحسّاسة في نظام حماية البيانات الشخصيّة السعوديّ؟هي الأصل العرقي أو القبلي، والمعتقد الديني أو الفكري أو السياسي، والبيانات الأمنيّة والجنائيّة، والسمات الحيويّة والبيانات الوراثيّة التي تُستخدم لتحديد الهويّة، والبيانات الصحّيّة، والبيانات التي تدلّ على أنّ أحد الوالدين أو كليهما مجهول. ولمعالجتها شروط أشدّ، ولا يجوز أن تستند إلى المصلحة المشروعة أبدًا.هل يجوز نقل بيانات الموقع إلى خارج السعوديّة في نظام حماية البيانات الشخصيّة؟نعم، وفق المادة 29 من النظام ولائحة نقل البيانات الشخصيّة إلى خارج المملكة: إلى دولة توفّر مستوى ملائمًا من الحماية، أو بضمانات مناسبة كالبنود التعاقديّة القياسيّة والقواعد المؤسّسيّة الملزمة، وفي حدود الاستثناءات التي تنصّ عليها اللائحة. ويجب أن يقتصر كلّ نقل على الحدّ الأدنى اللازم من البيانات.متى يجب الإخطار بحادثة تسرّب البيانات في نظام حماية البيانات الشخصيّة؟خلال 72 ساعة. فاللائحة التنفيذيّة للنظام تُلزم بإخطار سدايا خلال 72 ساعة من العلم بأيّ حادثة قد تُلحق ضررًا بالبيانات الشخصيّة أو بأصحابها، وبإبلاغ أصحاب البيانات أنفسهم دون تأخير غير مبرّر وبلغة واضحة.ماذا يجب أن تتضمّن سياسة الخصوصيّة في نظام حماية البيانات الشخصيّة السعوديّ؟ينبغي أن تكون بالعربيّة، وأن تشرح ما يحقّ للناس السؤال عنه في النظام: الأساس النظاميّ للمعالجة وغرضها، وكيف يطّلعون على بياناتهم ويحصلون على نسخة منها ويطلبون تصحيحها أو إتلافها ويسحبون موافقتهم. وينبغي أن تطابق سجلّ أنشطة المعالجة: الأغراض، والجهات التي تتلقّى البيانات، والنقل إلى خارج المملكة، ومدد الاحتفاظ.ما مسودة تعديلات اللائحة التنفيذيّة لنظام حماية البيانات الشخصيّة في 2026؟هي مشروع تعديلات على اللائحة التنفيذيّة لنظام حماية البيانات الشخصيّة، طرحته سدايا لاستطلاع آراء العموم عبر منصّة «استطلاع» في 6 أكتوبر 2026. والمسودة لم تُعتمد بعد، وما زالت اللائحة الحاليّة هي النافذة. وبحسب ملخّص مكتب Clyde & Co، تُلزم المسودة جهات التحكّم بالاحتفاظ بما يثبت الموافقة.ماذا يجمع Google Analytics حين يرفض الزائر ملفات تعريف الارتباط؟يتوقّف ذلك على إعداد وضع الموافقة. ففي الوضع الأساسيّ لا تُحمَّل علامات Google حتى يوافق الزائر، فلا يُرسَل شيء. وفي الوضع المتقدّم تُحمَّل والموافقة مرفوضة، ولا ترسل إلّا حالة الموافقة وإشارات قياس دون ملفات تعريف الارتباط (cookieless pings). وفي الوضعين لا تُكتب ملفات تعريف ارتباط إعلانيّة لزائر رفض.هل يحتاج التتبّع من الخادم إلى موافقة في نظام حماية البيانات الشخصيّة؟نعم. فنقل التتبّع من المتصفّح إلى خادمك، عبر أدوات مثل Google Tag Manager من جانب الخادم أو Meta Conversions API، لا يغيّر الأساس النظاميّ. فالنظام يشترط الموافقة لمعالجة البيانات الشخصيّة أينما جرت، وهي في التحليلات والإعلانات عادةً موافقة صريحة ومستنيرة لكلّ غرض.
الإمارات (القانون الاتحادي)
الدليل الكاملما غرامات قانون حماية البيانات الشخصيّة الإماراتي؟لا يحدّد القانون أيّ مبلغ. فالمرسوم بقانون اتحادي رقم 45 لسنة 2021 يترك في مادّته 26 تحديد المخالفات والجزاءات الإداريّة لقرار من مجلس الوزراء، ولم يُنشر هذا القرار في بوّابة التشريعات الرسميّة للدولة حتى سبتمبر 2026. وأيّ رقم يُتداول للقانون الاتحادي، كعشرة ملايين درهم، لا أساس له في نصّه.متى لا تلزم الموافقة في قانون حماية البيانات الشخصيّة الإماراتي؟حين تنطبق إحدى الحالات التي يستثنيها القانون، كتنفيذ عقد مع صاحب البيانات أو الوفاء بالتزام قانوني. فالموافقة هي الأصل في المرسوم بقانون اتحادي رقم 45 لسنة 2021، والاستثناءات قائمة محدّدة. وإن اعتمدت على الموافقة فيجب أن تكون محدّدة وواضحة وصريحة، ويجوز سحبها في أيّ وقت.أيّ قانون لحماية البيانات يسري في المناطق الحرّة الإماراتيّة؟يتوقّف ذلك على المنطقة. فالجهات المنشأة في مركز دبي المالي العالمي (DIFC) تخضع لقانون حماية البيانات فيه رقم 5 لسنة 2020، والمنشأة في سوق أبوظبي العالمي (ADGM) تخضع للوائح حماية البيانات فيه لعام 2021، ولكلٍّ منهما جهته الرقابيّة. أمّا المناطق الحرّة التي ليس لها قانون خاصّ فيسري عليها القانون الاتحادي، المرسوم بقانون رقم 45 لسنة 2021.من الجهة التي تنفّذ قانون حماية البيانات الشخصيّة الإماراتي؟مكتب الإمارات للبيانات هو الجهة الرقابيّة على المرسوم بقانون اتحادي رقم 45 لسنة 2021: إليه تُبلَّغ الاختراقات، وإليه يشكو أصحاب البيانات. أمّا مبالغ الجزاءات فلم تُحدَّد بعد، إذ تتركها المادّة 26 لقرار من مجلس الوزراء لم يُنشر حتى سبتمبر 2026. ولمركز دبي المالي العالمي وسوق أبوظبي العالمي جهاتهما الرقابيّة الخاصّة.هل صدرت اللائحة التنفيذيّة لقانون حماية البيانات الشخصيّة الإماراتي؟لا، حتى سبتمبر 2026. فالمادّة 28 من المرسوم بقانون اتحادي رقم 45 لسنة 2021 نصّت على إصدار اللائحة التنفيذيّة خلال ستّة أشهر من صدور القانون، لكنّها لم تُنشر في بوّابة التشريعات الرسميّة للدولة. أمّا القانون نفسه فيُعمل به منذ 2 يناير 2022.ما الفرق بين قانون حماية البيانات الشخصيّة الإماراتي و GDPR في المواقع الإلكترونيّة؟يتبع مبادئ مشابهة، لكنّ الموافقة هي الأساس الافتراضيّ للمعالجة، مع قائمة محدّدة من الاستثناءات كتنفيذ عقد أو الوفاء بالتزام قانونيّ. وكثير من التفاصيل، ومنها مبالغ الغرامات، متروك للائحة التنفيذيّة ولقرارات مجلس الوزراء التي لم تُنشر حتى سبتمبر 2026.هل يجوز نقل بيانات الموقع إلى خارج الإمارات؟نعم. فبموجب قانون حماية البيانات الشخصيّة الإماراتي، المرسوم بقانون اتحادي رقم 45 لسنة 2021، يجوز نقل البيانات الشخصيّة إلى الدول التي توفّر مستوى ملائمًا من الحماية، وإلى غيرها وفق الشروط التي يحدّدها القانون، كالضمانات التعاقديّة أو الموافقة الصريحة لصاحب البيانات. أمّا الجهات في مركز دبي المالي العالمي وسوق أبوظبي العالمي فتخضع لقانون منطقتها.متى يجب الإخطار بانتهاك البيانات في قانون حماية البيانات الشخصيّة الإماراتي؟دون تأخير غير مبرّر. فبموجب المرسوم بقانون اتحادي رقم 45 لسنة 2021، يُخطِر المتحكّم مكتب الإمارات للبيانات وأصحاب البيانات المتأثّرين بأيّ انتهاك للبيانات الشخصيّة دون تأخير غير مبرّر. وكثير من التفاصيل متروك للائحة التنفيذيّة، التي لم تُنشر في بوّابة التشريعات الرسميّة للدولة حتى سبتمبر 2026.