الامتثال لنظام حماية البيانات الشخصيّة في المواقع والمتاجر: من ملفات تعريف الارتباط (الكوكيز) إلى سجلّ الموافقات
يبدأ امتثال الموقع لنظام حماية البيانات الشخصيّة من العلامات التي يشغّلها. فملف تعريف الارتباط أو أداة التتبّع التي تحدّد هويّة الزائر، بشكل مباشر أو غير مباشر، تجمع بيانات شخصيّة، ولذلك تحتاج علامات التحليلات والإعلانات عادةً إلى موافقة الزائر أوّلًا: موافقة مستقلّة لكلّ غرض، محفوظة في سجلّ، ويمكن سحبها في أيّ وقت. وتعرض هذه الصفحة ما يشترطه النظام ولائحته التنفيذيّة، مع روابط إلى نصوص سدايا نفسها.
سبتمبر 2024
تاريخ التنفيذ
5 مليون ريال
الغرامة القصوى · 10 ملايين عند التكرار
جميع القطاعات
ينطبق على
التطبيق
كيف تطبّق نظام حماية البيانات الشخصيّة في موقعك أو متجرك؟
يبدأ تطبيق نظام حماية البيانات الشخصيّة في الموقع أو المتجر بستّ خطوات: اعرف البيانات التي تجمعها والعلامات التي تشغّلها، وانشر سياسة خصوصيّة بالعربيّة، واطلب موافقة الزائر قبل تشغيل علامات التحليلات والإعلانات واحفظها في سجلّ، وجهّز طريقة للردّ على طلبات أصحاب البيانات خلال 30 يومًا، وخطّة لإخطار سدايا خلال 72 ساعة من أيّ حادثة، وراجع كلّ نقل للبيانات إلى خارج المملكة.
الإجابة المختصرة
هل يوجد قانون لملفات تعريف الارتباط (الكوكيز) في السعودية؟
لا يوجد في السعودية نظام أو لائحة خاصّة بملفات تعريف الارتباط (الكوكيز). يحكمها نظام حماية البيانات الشخصيّة (PDPL): فحين يحدّد ملف تعريف الارتباط أو أداة التتبّع هويّة الزائر، بشكل مباشر أو غير مباشر، يصبح ما تجمعه بياناتٍ شخصيّة، ويحتاج الموقع إلى أساس نظاميّ قبل تشغيلها. وفي علامات التحليلات والإعلانات يكون هذا الأساس عادةً موافقة الزائر الصريحة والمستنيرة. فإن كان موقع شركتك يشغّل Google Analytics أو Google Ads أو علامات Meta، فهو يحتاج إلى شريط يطلب الموافقة قبل تشغيلها ويسجّل الجواب، أمّا الملفات التي لا يعمل الموقع دونها فحالة مختلفة.
ويقرأ دليل Baker McKenzie للبيانات في السعوديّة الموقف بالطريقة نفسها: لا قاعدة خاصّة بملفات تعريف الارتباط، والنظام يسري على البيانات الشخصيّة التي تجمعها. فشريط الموافقة في السعوديّة ليس إجراءً شكليًّا منقولًا عن أوروبا، بل هو الطريقة التي يحصل بها الموقع على الموافقة التي يطلبها النظام، ويُثبتها لاحقًا. وهذه الصفحة مرجعك: ما يقوله النظام ولائحته التنفيذيّة، وأين تقرأ نصّهما، وما يعنيانه لموقعك. أمّا الإنفاذ والغرامات فلهما صفحة مستقلّة تجد رابطها في قسم العقوبات.
ما المطلوب من نافذة الكوكيز في السعودية، خطوة بخطوةBaker McKenzie: السعودية، ملفات تعريف الارتباط والتتبّع عبر الإنترنتحمّل الدليل المبسّط لنظام حماية البيانات الشخصيّة (PDF)ما نظام حماية البيانات الشخصيّة؟
نظام حماية البيانات الشخصيّة (PDPL) هو النظام العامّ لحماية البيانات الشخصيّة في المملكة، صدر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ (16 سبتمبر 2021)، ثمّ عُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ (27 مارس 2023) قبل أن يُطبَّق أصلًا.
دخل حيّز النفاذ في 14 سبتمبر 2023، وانتهت مهلة السنة الممنوحة للمعالجة القائمة في 14 سبتمبر 2024، وتشرف عليه الهيئة السعوديّة للبيانات والذكاء الاصطناعي (سدايا). ولا يقف النظام عند حدود المملكة، فهو يشمل معالجة البيانات الشخصيّة للمقيمين فيها ولو تمّت من خارجها: الوكالة في دبي والعلامة الأوروبيّة التي تبيع في الرياض داخلتان في نطاقه.
والموافقة هي الأساس الافتراضي للمعالجة، وتشترط اللائحة التنفيذيّة توثيقها والحصول عليها مستقلّةً لكلّ غرض. ويجيز النصّ المعدَّل أيضًا المعالجة لتحقيق مصلحة مشروعة لجهة التحكم، على ألّا تشمل البيانات الحسّاسة.
وتصل الغرامة إلى 5,000,000 ر.س وقد تتضاعف عند تكرار المخالفة، أمّا السجن فمقصور على الإفصاح عن بيانات حسّاسة بقصد الإضرار أو لتحقيق منفعة شخصيّة. والإنفاذ قائم فعلًا: أكّدت سدايا صدور 48 قرار إنفاذ في إعلانها بتاريخ 16 يناير 2026.
متطلّبات الامتثال لنظام حماية البيانات الشخصيّة
- 01
موافقة مستقلّة لكلّ غرض، محفوظة في سجلّ
اشرح كلّ غرض قبل طلب الموافقة أو عند طلبها، واحصل على موافقة مستقلّة لكلّ غرض، واحتفظ بسجلّ يبيّن متى أُعطيت وبأيّ وسيلة (اللائحة التنفيذيّة، المادة 11). ويحقّ للزائر سحب موافقته في أيّ وقت، ولا يجوز أن تجعلها شرطًا لتقديم خدمة إلّا إذا كانت الخدمة نفسها تتوقّف على تلك المعالجة.
- 02
الردّ على الطلبات خلال 30 يومًا
يحقّ لصاحب البيانات أن يعرف الأساس النظامي للمعالجة وغرضها، وأن يطّلع على بياناته ويحصل على نسخة منها بصيغة واضحة ومقروءة، وأن يطلب تصحيحها أو إتلافها. والمهلة 30 يومًا، ويجوز تمديدها مرّة واحدة بما لا يزيد على 30 يومًا أخرى، بشرط أن تُبلغه مسبقًا بالتمديد وسببه.
- 03
إخطار سدايا خلال 72 ساعة
أخطِر سدايا خلال 72 ساعة من علمك بأيّ حادثة قد تُلحق ضررًا بالبيانات الشخصيّة أو بأصحابها، وأبلغ أصحاب البيانات أنفسهم دون تأخير غير مبرّر وبلغة واضحة.
- 04
راجع كلّ نقل للبيانات إلى خارج المملكة
تحدّد المادة 29 من النظام ولائحة نقل البيانات الشخصيّة إلى خارج المملكة متى يجوز إخراج البيانات، ويجب أن يقتصر كلّ نقل على الحدّ الأدنى اللازم منها. ومنصّة التحليلات أو الإعلانات التي تعالج بيانات زوّارك خارج السعوديّة نقلٌ هي الأخرى.
- 05
مسؤول حماية البيانات في ثلاث حالات
يلزم تعيينه إذا كنت جهة عامّة تعالج بيانات شخصيّة على نطاق واسع، أو إذا اقتضت أنشطتك الأساسيّة مراقبة الأفراد مراقبةً منتظمة ومنهجيّة، أو إذا قامت على معالجة بيانات حسّاسة (اللائحة التنفيذيّة، المادة 32). ويجوز أن يتولّى الدور موظّف لديك أو متعاقد من خارج المنشأة.
- 06
سجلّ أنشطة المعالجة وتقييم الأثر
احتفظ بسجلّ لأنشطة المعالجة يكون جاهزًا متى طلبته سدايا: الأغراض، ومن تخصّهم البيانات، والجهات التي تتلقّاها، والنقل إلى خارج المملكة، ومدد الاحتفاظ (المادة 31 من النظام). وأعدّ تقييمًا للأثر حين تعالج بيانات حسّاسة، أو تربط مجموعات بيانات من مصادر مختلفة، أو تراقب الأفراد باستمرار (اللائحة التنفيذيّة، المادة 25).
إثبات الموافقة
سجلّ الموافقات: ما الذي يجب أن تستطيع إثباته
الاعتماد على الموافقة يعني أن تستطيع إثبات أنّها أُعطيت. فلكلّ زائر، ينبغي أن يعرف الموقع متى اختار، وما الذي عُرض عليه، وأيّ الفئات قبل وأيّها رفض، وهل غيّر اختياره لاحقًا أو سحب موافقته.
واللائحة التنفيذيّة صريحة هنا: يجب توثيق الموافقة بطريقة تتيح التحقّق منها لاحقًا، كالاحتفاظ بسجلّات لموافقات أصحاب البيانات، مع وقت الموافقة ووسيلتها (المادة 11). وحين تُبلغ سدايا جهةً رسميًّا بمخالفة منسوبة إليها، تكون أمامها خمسة أيّام للردّ، وخمسة أيّام لا تكفي لإعادة بناء سجلّ الموافقات. أمّا الشريط الذي يعرض رسالة ولا يحفظ شيئًا، فلا يترك للموقع ما يُثبته.
- متى
- تاريخ كلّ اختيار ووقته، لتطابق السجلّ مع ما كان الموقع يفعله في تلك اللحظة.
- ما الذي عُرض على الزائر
- الأغراض والفئات التي عُرضت عليه، باللغة التي رآها بها.
- ما الذي اختاره
- كلّ فئة قبلها أو رفضها، لا مجرّد «نعم» أو «لا» واحدة.
- ما الذي تغيّر لاحقًا
- كلّ تغيير أو سحب لاحق للموافقة، محفوظًا إلى جانب الاختيار الأوّل لا مكانه.
يحفظ أرقام٣٦٠ كلّ اختيار بتاريخه ووقته، مع الفئات التي قبلها الزائر أو رفضها. وتستطيع مراجعة السجلّ في لوحة التحكم وتصديره ملفّ CSV.
ما الذي سيُطلب منك إثباته في تحقيق من سداياوضع موافقة Google v2
هل ينطبق وضع موافقة Google v2 على المواقع السعوديّة؟
ليس بوصفه قاعدةً من Google نفسها. تشترط Google الموافقة لزوّار المنطقة الاقتصاديّة الأوروبيّة والمملكة المتّحدة وسويسرا، ووضع الموافقة v2 هو الطريقة التي تنتظر أن تصلها بها تلك الموافقة. أمّا زوّار السعوديّة فالالتزام فيهم يأتي من نظام PDPL: على المتجر أن يحصل على الموافقة قبل تشغيل أيّ تتبّع غير ضروري، ووضع الموافقة v2 هو ما تعرف به علامات Google قرار الزائر.
كيف يتعامل أرقام٣٦٠ معه
يضبط شريط أرقام٣٦٠ الإشارات الأربع على الرفض افتراضيًّا، ثمّ يحدّثها حين يختار الزائر: موافقة التحليلات تمنح analytics_storage، وموافقة التسويق تمنح ad_storage و ad_user_data و ad_personalization. وللعلامات التي لا تقرأ وضع الموافقة، مثل Meta Pixel و TikTok، يوفّر أرقام٣٦٠ خيار حظر يوقف سكربتات التتبّع المعروفة حتّى الموافقة. وهو معطّل افتراضيًّا لأنّ حظر السكربتات قد يُعطّل واجهة المتجر، ففعّله ثمّ تحقّق من متجرك.
الدليل الكامل لوضع موافقة Google v2، بالإعداد والاختبارسلة وزد و Shopify و WordPress
ما المطلوب من متاجر سلة وزد و Shopify ومواقع WordPress لموافقة ملفات تعريف الارتباط وفق PDPL؟
المطلوب واحد على المنصّات الأربع: شريط يستأذن الزائر قبل تشغيل علامات التحليلات والإعلانات، وسجلّ يحفظ قرار كلّ زائر، وإعدادات تبقى في متناوله ليسحب موافقته متى شاء، وتمرير قراره إلى علامات Google عبر وضع الموافقة v2. والفرق بين المنصّات في طريقة وصول الشريط إلى موقعك.
متاجر سلة
تطبيق أرقام٣٦٠ قيد المراجعة لدى سلة ولم يُدرَج في متجر تطبيقاتها بعد. وحين تثبّته يُنشأ حسابك أثناء التثبيت والعربيّة لغة الشريط الافتراضيّة، ويصل الشريط إلى واجهة متجرك عبر مقتطفات التطبيقات في سلة، فلا كود تلصقه في القالب، وتُفتح لوحة تحكّم أرقام٣٦٠ داخل لوحة سلة نفسها.
متاجر زد
ثبّت تطبيق أرقام٣٦٠ في زد، فيرتبط بمتجرك عبر تسجيل الدخول الخاصّ بزد، ويُنشئ حسابك والعربيّة لغته الافتراضيّة، ويضيف الشريط إلى واجهة متجرك عبر مقتطف التطبيق في زد دون أيّ تعديل على القالب. وتُفتح لوحة التحكّم داخل لوحة زد، ويتمّ الدفع عبر زد.
متاجر Shopify
يعرض تطبيق أرقام٣٦٠ في Shopify الشريط عبر تضمين تطبيق في القالب (App embed)، و Shopify يُبقي هذه التضمينات معطّلة حتّى تفعّلها بنفسك. بعد التثبيت افتح Online Store ← Themes ← Customize ← App embeds وفعّل أرقام٣٦٠. وإلى أن تفعل، لا يُحمَّل الشريط، وإن كان شريط الكوكيز الخاصّ بـ Shopify مفعّلًا فهو ما سيراه زوّارك. ويتمّ الدفع عبر Shopify.
مواقع WordPress ومتاجر WooCommerce
ثبّت إضافة أرقام٣٦٠ من دليل إضافات WordPress.org، واربطها بحسابك في أرقام٣٦٠. تضيف الإضافة الشريط إلى موقعك، وتفتح لوحة تحكم أرقام٣٦٠ داخل لوحة إدارة WordPress.
أيًّا كانت منصّتك، تحقّق من واجهة المتجر لا من الإعدادات: افتح متجرك في نافذة خاصّة، وتأكّد أنّ الشريط يظهر قبل أن تختار، ثمّ شغّل الفاحص المجّاني لترى ملفات تعريف الارتباط التي يضعها متجرك.
افحص متجريأدوات المتجر السعودي
ما النصوص البرمجيّة المحلّيّة التي يضيفها المتجر السعودي؟
إلى جانب علامات Google و Meta، تحمّل المتاجر السعوديّة غالبًا نصوصًا برمجيّة من مزوّدي الدفع والشراء الآن والدفع لاحقًا المحلّيّين. وهل يجب أن يوقفها الشريط حتى الموافقة؟ يتوقّف ذلك على غرضها: فملف تعريف الارتباط الذي لا يتمّ الدفع بدونه حالُه غير حال الملف المستخدَم للتسويق.
تعرض صفحات أدوات التتبّع لدينا أسماء ملفات تعريف الارتباط التي يطابقها الفاحص لكلّ مزوّد، والفئة التي يضعها فيها: تابي وتمارا تحت التسويق، ومدى تحت الضروريّة. استخدمها لتقارن إعلان ملفات تعريف الارتباط في متجرك بما تضعه واجهته فعلًا.
ما تفعله المتاجر السعوديّة فعلًا
كم متجرًا سعوديًّا يطلب الموافقة قبل التتبّع؟
أغلبها لا يطلبها، بحسب البيانات المتاحة. ففي إصدار سبتمبر 2026 من مؤشّر امتثال التجارة الإلكترونيّة السعوديّة للخصوصيّة، حمّل 1,065 متجرًا من أصل 1,556 متجرًا سعوديًّا مفحوصًا (68%) أدوات التتبّع قبل موافقة الزائر، وشغّل 935 متجرًا من أصل 1,556 (60%) أدوات تتبّع أو ملفات تعريف ارتباط غير ضروريّة دون أيّ شريط موافقة.
المؤشّر مجموعة بياناتنا نحن: فحص الصفحة الرئيسيّة لكلّ متجر بمتصفّح حقيقي، مؤرشَف على Zenodo مع ملف CSV والتقرير (DOI 10.5281/zenodo.23053713). ويغطّي واجهة المتجر فقط، لا صفحة الدفع ولا المعالجة الخلفيّة. ودراسة أكاديميّة مستقلّة تشير إلى الاتجاه نفسه: قيّم البشر والسعد والحسين واجهات الموافقة على ملفات تعريف الارتباط في 144 موقعًا عالي الزيارات يُتصفَّح من السعوديّة، في قطاعات الحكومة والتجارة والمال والصحّة والتعليم، ووجدوا عدم امتثال واسعًا لإرشادات الخصوصيّة والتصميم. ولم يتح إلّا 10.42% من تلك المواقع للزائر أن يعود إلى تفضيلاته (PeerJ Computer Science، 2026).
خارج الشريط
ما الذي يطلبه النظام من الموقع أيضًا؟
الشريط هو الجزء الذي يراه الزائر من النظام. ووراءه يحدّد النظام من يشمل، وكيف تُعامَل البيانات الحسّاسة، ومتى يلزم مسؤول لحماية البيانات، وكيف تخرج البيانات من المملكة، وما مسؤوليّتك عن معالجة مزوّديك، وبأيّ سرعة تجيب طلبات عملائك.
من يشمل النظام
يسري النظام على كلّ جهة تعالج بيانات شخصيّة لأفراد في السعوديّة، بما فيها الجهات التي مقرّها خارج المملكة. فالعلامة الأوروبيّة التي تشحن إلى الرياض، والوكالة في دبي التي تدير حملات سعوديّة، داخلتان في نطاقه. أمّا معالجة الفرد للبيانات لأغراض شخصيّة أو عائليّة بحتة فخارجه.
النظام للشركات التي مقرّها خارج السعوديّةالبيانات الحسّاسة
يعدّ النظام بعض الفئات حسّاسة: الأصل العرقي أو القبلي، والمعتقد الديني أو الفكري أو السياسي، والبيانات الأمنيّة والجنائيّة، والسمات الحيويّة والبيانات الوراثيّة، والبيانات الصحّيّة، والبيانات التي تدلّ على أنّ أحد الوالدين أو كليهما مجهول. ولمعالجتها شروط أشدّ، والإفصاح عن بيانات حسّاسة بقصد الإضرار أو لمصلحة شخصيّة هو الطريق الوحيد إلى العقوبة الجنائيّة.
مسؤول حماية البيانات
تشترط اللائحة التنفيذيّة تعيين مسؤول لحماية البيانات في ثلاث حالات: جهة عامّة تقدّم خدمات تتضمّن معالجة بيانات شخصيّة على نطاق واسع، وجهة تقوم أنشطتها الأساسيّة على مراقبة الأفراد مراقبةً منتظمة ومستمرّة على نطاق واسع، وجهة تقوم أنشطتها الأساسيّة على معالجة بيانات حسّاسة. وأغلب المنشآت الصغيرة والمتوسّطة خارج الحالات الثلاث، لكنّها تحتاج مع ذلك إلى شخص يتولّى حماية البيانات.
نقل البيانات خارج المملكة
يجوز نقل البيانات الشخصيّة خارج السعوديّة وفق لائحة نقل البيانات الشخصيّة إلى خارج المملكة: إلى دولة توفّر مستوى ملائمًا من الحماية، أو بضمانات مناسبة كالبنود التعاقديّة القياسيّة والقواعد المؤسّسيّة الملزمة، وفي حدود الاستثناءات التي تنصّ عليها اللائحة. وفي الموقع الإلكتروني لا يقتصر ذلك على الاستضافة، فمنصّات التحليلات والإعلانات التي تعالج بيانات الزوّار في الخارج نقلٌ أيضًا.
معالجة مزوّديك
تبقى مسؤولًا عن البيانات الشخصيّة التي يعالجها مزوّدوك لحسابك: المنصّة، ومزوّدو الدفع والشحن، وأدوات البريد والتحليلات. ويتوقّع النظام أن تختار جهات معالجة تقدّم ضمانات كافية وأن تتحقّق من التزامها، وعمليًّا يعني ذلك اتفاقيّة معالجة بيانات مكتوبة مع كلٍّ منها، وقائمة محدَّثة بمن يتلقّى ماذا.
طلبات أصحاب البيانات
يحقّ لصاحب البيانات الشخصيّة أن يعلم كيف تُستخدم بياناته، وأن يحصل على نسخة منها، وأن يطلب تصحيحها أو إتلافها حين لا تعود لازمة، وأن يسحب موافقته. ويجب الردّ على الطلب خلال 30 يومًا، لذا يحتاج الموقع إلى طريقة موثّقة لاستلام الطلبات، والتحقّق من هويّة مقدّمها، والبحث في كلّ نظام يحتفظ بالبيانات.
كيف تتعامل مع طلبات أصحاب البيانات دون تراكمالنصوص الأصليّة
أين تجد نصّ نظام حماية البيانات الشخصيّة (PDF)
تنشر سدايا النظام ولوائحه ملفّات PDF بالعربيّة والإنجليزيّة في صفحة الأنظمة واللوائح على موقعها. واقرأ النصّ المعدَّل تحديدًا: فقد عُدّل النظام بالمرسوم الملكي رقم (م/148) في مارس 2023 قبل دخوله حيّز النفاذ، وما زالت بعض الأدلّة تنقل عن نسخة 2021.
ويظهر الفرق في العقوبات. فالأدلّة المكتوبة من نصّ 2021 تذكر السجن حتّى سنة على نقل البيانات إلى الخارج بالمخالفة للنظام، أمّا النصّ المعدَّل الذي تنشره سدايا فيخلو من هذه العقوبة، والسجن الوحيد الباقي فيه هو على الإفصاح عن بيانات حسّاسة بقصد الإضرار أو لتحقيق منفعة شخصيّة (المادة 35).
- نظام حماية البيانات الشخصيّة، النصّ المعدَّل (بالإنجليزيّة، PDF)
المرسوم الملكي (م/19) بتعديلات المرسوم الملكي (م/148). 43 مادّة: النطاق، والحقوق، والموافقة، والنقل، والعقوبات.
- اللائحة التنفيذيّة (بالإنجليزيّة، PDF)
وفيها التفاصيل: كيف تُوثَّق الموافقة، ومهلة الردّ البالغة 30 يومًا، والإخطار خلال 72 ساعة، وتقييم الأثر، ومسؤول حماية البيانات.
- صفحة الأنظمة واللوائح لدى سدايا
النصوص العربيّة، ولائحة نقل البيانات الشخصيّة إلى خارج المملكة، والأدلّة الإرشاديّة من سدايا.
نماذج وأدوات
طبّقه على موقعك
- نموذج سياسة ملفات تعريف الارتباط وفق النظام
بالعربيّة والإنجليزيّة، مع خانات لملفات تعريف الارتباط في متجرك.
- نصّ إشعار ملفات تعريف الارتباط بالعربيّة
صيغ جاهزة للنسخ للشريط ولوحة التفضيلات وأزرار القبول والرفض.
- نموذج سياسة الخصوصية لمتجرك
سياسة خصوصية بلغتين لمتجرك من معالج قصير.
- فاحص ملفات تعريف الارتباط المجاني
اعرف ما يضعه متجرك من ملفات تعريف الارتباط وأدوات التتبّع قبل الموافقة وبعدها.
- دليل شريط الموافقة بالعربيّة
الاتجاه من اليمين إلى اليسار، والصياغة، واختبار الشريط العربي.
- اختبار الجاهزيّة لنظام حماية البيانات الشخصيّة
عشرة أسئلة ودرجة وما تبدأ بإصلاحه. ليس التقييم الذاتي الرسمي من سدايا.
عقوبات عدم الامتثال
منذ 14 سبتمبر 2024 يُطبَّق إطار العقوبات كاملًا، وهو مستخدَم فعلًا: أكّدت سدايا صدور 48 قرار إنفاذ في إعلانها بتاريخ 16 يناير 2026، وفق ملخّصات Clyde & Co و Profectus. ومن الفئات التي سمّاها الإعلان: المعالجة دون أساس نظامي صحيح، وإرسال رسائل تسويقيّة دون موافقة.
- 01
الغرامات الإداريّة
غرامات تصل إلى 5,000,000 ر.س (نحو 1.33 مليون دولار بسعر الصرف الثابت 3.75 ريال للدولار). وعند تكرار المخالفة يتضاعف السقف إلى 10,000,000 ر.س.
- 02
العقوبة الجزائيّة
السجن حتّى سنتين وغرامة حتّى 3,000,000 ر.س عند الإفصاح عن بيانات شخصيّة حسّاسة بقصد الإضرار أو لتحقيق منفعة شخصيّة. والموقع الذي يُشغّل علامة تحليلات أو إعلانات دون موافقة يقع في المسار الإداري، لا في هذا المسار.
- 03
خمسة أيّام للردّ
بعد الإخطار الرسمي بمخالفة منسوبة، أمام المنشأة خمسة أيّام للردّ. وهي مهلة أقصر من أن تُبنى فيها سجلّات الموافقة أو سجلّ أنشطة المعالجة من الصفر، فيجب أن تكون جاهزة مسبقًا.
- 04
ما الذي يُعاقَب عليه
من فئات المخالفات التي سمّاها إعلان سدايا في يناير 2026: معالجة البيانات الشخصيّة دون أساس نظامي صحيح، والإفصاح غير المصرَّح به، وضعف الضمانات، وإرسال رسائل تسويقيّة دون موافقة.
ما يقدّمه أرقام٣٦٠ للامتثال لنظام حماية البيانات الشخصيّة
- 01
شريط يطلب الموافقة لكلّ غرض
يطلب الشريط الموافقة لكلّ فئة على حدة، بالعربيّة وباتّجاه من اليمين إلى اليسار أو بالإنجليزيّة، ويُبقي علامات التحليلات والإعلانات تابعةً لقرار الزائر عبر وضع موافقة Google v2.
- 02
طلبات العملاء في قائمة واحدة
تصل الطلبات عبر نموذج على الويب يتحقّق من البريد الإلكتروني، وتتابعها من لوحة التحكم. وإن كان متجرك على Shopify أو سلة أو زد مربوطًا بحسابك، يجلب أرقام٣٦٠ بيانات مقدّم الطلب من المتجر تلقائيًّا.
- 03
سجلّ موافقات تستطيع تصديره
يُحفظ كلّ اختيار، ومعه أيّ تغيير لاحق، بتاريخه ووقته والفئات التي قُبلت أو رُفضت. راجعها في لوحة التحكم، أو صدّرها ملفّ CSV حين يُطلب منك الإثبات.
- 04
فحص لما يضعه موقعك فعلًا
يفتح الفاحص المجّاني موقعك في متصفّح حقيقي، ويسرد ملفات تعريف الارتباط وأدوات التتبّع التي تُحمَّل قبل أيّ اختيار، ويطابقها مع 124 نمطًا معروفًا لملفات تعريف الارتباط.
الجدول الزمني للتنفيذ
صدور النظام
صدر نظام حماية البيانات الشخصيّة بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ (16 سبتمبر 2021)، على أن يُعمل به بعد 720 يومًا من نشره في الجريدة الرسميّة.
تعديل النظام قبل تطبيقه
عُدّل النظام بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ (27 مارس 2023). والنصّ المعدَّل هو الذي تنشره سدايا، وهو الذي يجيز المعالجة لتحقيق مصلحة مشروعة لجهة التحكم، على ألّا تشمل البيانات الحسّاسة.
اللائحة التنفيذيّة
أصدرت سدايا اللائحة التنفيذيّة النهائيّة ولائحة نقل البيانات الشخصيّة إلى خارج المملكة في 7 سبتمبر 2023، بعد مسوّدات طُرحت للاستطلاع في 2022. وعُدّلت لائحة النقل لاحقًا (الإصدار 2.0، أغسطس 2024).
دخول النظام حيّز النفاذ
دخل النظام حيّز النفاذ في 14 سبتمبر 2023، مع مهلة سماح مدّتها عام لتوفيق أوضاع أنشطة المعالجة القائمة.
انتهاء فترة السماح
انتهت مهلة السماح للمعالجة القائمة في 14 سبتمبر 2024، ومن ذلك التاريخ يُطبَّق إطار العقوبات كاملًا.
48 قرار إنفاذ
أكّد إعلان سدايا بتاريخ 16 يناير 2026 صدور 48 قرار إنفاذ بموجب النظام.
مسودة تعديلات مطروحة للاستطلاع
طرحت سدايا في 6 أكتوبر 2026 مشروع تعديلات اللائحة التنفيذيّة لاستطلاع آراء العموم عبر منصة «استطلاع». المسودة لم تُعتمد بعد، وما زالت اللائحة الحالية هي النافذة. وبحسب ملخص مكتب Clyde & Co، تُلزم المسودة جهات التحكم بالاحتفاظ بما يثبت الموافقة.
اعرف ما يفعله موقعك قبل الموافقة
شغّل الفاحص المجّاني على موقعك لترى ملفات تعريف الارتباط وأدوات التتبّع التي تُحمَّل قبل أن يختار الزائر. فهذا هو الجزء من الامتثال للنظام الذي يستطيع أيّ أحد التحقّق منه من الخارج.
تحقق من امتثالك لنظام PDPLنتولّاه عنك
نركّب كلّ شيء على موقعك
نركّب شريط الموافقة، ونضبط وضع الموافقة من Google (Consent Mode v2)، ونختبر وسوم Google و Meta، وننشر سياسة الخصوصية بالعربيّة والإنجليزيّة. 299 دولارًا للتركيب، ثم 99.99 دولارًا شهريًا لكلّ نطاق.
الأسئلة الشائعة عن PDPL السعودي
أسئلة شائعة حول نظام حماية البيانات الشخصية السعودي.
صدر النظام في سبتمبر 2021، ودخل حيّز النفاذ في 14 سبتمبر 2023، ويُطبَّق منذ 14 سبتمبر 2024 بانتهاء مهلة السماح البالغة عامًا. وأصدرت سدايا اللائحة التنفيذيّة النهائيّة ولائحة النقل في سبتمبر 2023، أمّا نسخ 2022 فكانت مسوّدات للاستطلاع.
أسئلة وأجوبة
ضع شريط موافقة PDPL على موقعك
إعداد الشريط يستغرق دقائق، أمّا الامتثال لنظام حماية البيانات الشخصيّة فأوسع من ذلك: سجلّات، وطلبات أصحاب البيانات، ونقل البيانات إلى الخارج. لكنّ الشريط أوّل ما يراه زوّارك منه، ونستطيع تركيبه لك واختبار وسوم Google و Meta.