نظام حماية البيانات الشخصية في السعودية: دليل الامتثال الشامل 2026
أبرز النقاط
- صدر نظام حماية البيانات الشخصية بالمرسوم الملكي (م/19) عام 1443هـ وعُدّل بالمرسوم (م/148) عام 1444هـ، ونفذ في 14 سبتمبر 2023، وبدأ التطبيق الكامل بانتهاء مهلة السنة في سبتمبر 2024.
- سدايا هي الجهة المختصة، ويتم التسجيل والإشعار عن التسرب وتقييم الأثر عبر منصة حوكمة البيانات الوطنية.
- يجب إشعار سدايا خلال 72 ساعة من العلم بأي تسرب قد يضر بالأفراد، والرد على طلبات أصحاب البيانات خلال 30 يوماً.
- تصل الغرامة إلى 5 ملايين ريال للمخالفة، والسجن حتى سنتين وغرامة حتى 3 ملايين ريال للإفصاح غير النظامي عن البيانات الحساسة.
- تقترح مسودة تعديلات أكتوبر 2026 حفظ البيانات داخل المملكة، والإشعار عن كل تسرب، وتوسيع إلزامية التسجيل وتعيين المسؤول.
نظام حماية البيانات الشخصية هو أول نظام شامل لحماية البيانات في المملكة العربية السعودية، صدر بالمرسوم الملكي رقم (م/19) عام 1443هـ وعُدّل عام 1444هـ، ودخل حيز النفاذ في 14 سبتمبر 2023، وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). ويسري على كل جهة تعالج بيانات شخصية لأفراد في المملكة.
ما هو نظام حماية البيانات الشخصية؟
يضع نظام حماية البيانات الشخصية القواعد التي تلتزم بها الجهات العامة والخاصة عند جمع البيانات الشخصية واستخدامها وحفظها ومشاركتها ونقلها وإتلافها. ويمنح الأفراد حقوقاً نظامية واجبة النفاذ على بياناتهم، ويمنح الجهة المختصة صلاحيات التحقيق وفرض الغرامات ونشر القرارات. ويعمل النظام لدى معظم الجهات إلى جانب المتطلبات القطاعية للبنك المركزي السعودي، وهيئة الاتصالات والفضاء والتقنية، والهيئة الوطنية للأمن السيبراني.
ويعرّف النظام البيانات الشخصية تعريفاً واسعاً: كل بيان، مهما كان مصدره أو شكله، يؤدي إلى معرفة الفرد على وجه التحديد أو يجعل التعرف عليه ممكناً بصفة مباشرة أو غير مباشرة. ويشمل ذلك الاسم، ورقم الهوية، والعناوين، وأرقام التواصل، وأرقام الحسابات البنكية والبطاقات الائتمانية، وصور الفرد الثابتة والمتحركة.
التواريخ والصكوك النظامية الرئيسية
| التاريخ | الحدث |
|---|---|
| 1443/2/9هـ (16 سبتمبر 2021) | صدور النظام بالمرسوم الملكي رقم (م/19) |
| 1444/9/5هـ (27 مارس 2023) | تعديل النظام بالمرسوم الملكي رقم (م/148) |
| 7 سبتمبر 2023 | إصدار اللائحة التنفيذية ولائحة نقل البيانات الشخصية خارج المملكة |
| 14 سبتمبر 2023 | دخول النظام حيز النفاذ |
| سبتمبر 2024 | انتهاء مهلة السنة الممنوحة للجهات لتصحيح أوضاعها وبدء التطبيق الكامل |
| 6 أكتوبر إلى 5 نوفمبر 2026 | طرح مسودة تعديلات اللائحة التنفيذية لاستطلاع آراء العموم |
وتُنشر النصوص الرسمية للنظام ولوائحه وأدلته الإرشادية في المركز المعرفي على منصة حوكمة البيانات الوطنية التابعة لسدايا.
من يجب عليه الالتزام بنظام حماية البيانات الشخصية؟
يسري النظام على كل معالجة لبيانات شخصية تتم في المملكة، وعلى معالجة الجهات الموجودة خارج المملكة لبيانات شخصية تخص أفراداً مقيمين فيها. وعملياً يشمل ذلك:
- الشركات السعودية بجميع أحجامها، من المتاجر والعيادات إلى البنوك والمصانع.
- الجهات الحكومية والشركات التابعة لها.
- الشركات الأجنبية التي تبيع عبر الإنترنت للمقيمين في المملكة أو تعالج بياناتهم خارجها.
- جهات المعالجة، مثل مزودي الخدمات السحابية ومراكز الاتصال ومورّدي البرمجيات، التي تعمل نيابة عن جهة التحكم.
ويفرّق النظام بين جهة التحكم التي تحدد الغرض من معالجة البيانات وطريقتها، وجهة المعالجة التي تعالج البيانات لمصلحة جهة التحكم ونيابة عنها. وتتحمل جهة التحكم المسؤولية الأساسية، ويلزمها التحقق دورياً من التزام جهات المعالجة المتعاقدة معها.
من الجهة المشرفة على تطبيق النظام؟
الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) هي الجهة المختصة. وتدير الهيئة منصة حوكمة البيانات الوطنية التي تتيح للجهات التسجيل في السجل الوطني، والإشعار عن حوادث تسرب البيانات الشخصية، وإجراء تقييم الأثر والتقييم الذاتي للالتزام، كما تتيح للأفراد تقديم الشكاوى. وتوفر المنصة أيضاً أداة للتعرف على مدى إلزامية تعيين مسؤول حماية البيانات الشخصية.
ما حقوق صاحب البيانات الشخصية؟
تمنح المادة الرابعة من النظام صاحب البيانات خمسة حقوق أساسية، وتضيف المادة الخامسة حق الرجوع عن الموافقة:
- الحق في العلم بالمسوغ النظامي لجمع بياناته والغرض من جمعها.
- الحق في الوصول إلى بياناته المتوافرة لدى جهة التحكم.
- الحق في الحصول على نسخة من بياناته بصيغة مقروءة وواضحة.
- الحق في طلب تصحيح بياناته أو إتمامها أو تحديثها.
- الحق في طلب إتلاف بياناته التي انتهت الحاجة إليها.
- الحق في الرجوع عن الموافقة في أي وقت متى كانت المعالجة قائمة على الموافقة.
وتُلزم اللائحة التنفيذية جهة التحكم بتنفيذ طلبات ممارسة الحقوق خلال مدة لا تتجاوز 30 يوماً، ويجوز تمديدها بما لا يزيد على 30 يوماً إضافية إذا تطلب التنفيذ جهداً غير معتاد أو تعددت طلبات صاحب البيانات، بشرط إشعاره مسبقاً بالتمديد ومبرراته. ويحق لصاحب البيانات تقديم شكوى إلى الجهة المختصة خلال 90 يوماً من تاريخ الحادثة أو علمه بها.
ما التزامات جهة التحكم الرئيسية؟
الأساس النظامي وتحديد الغرض
لا تجوز المعالجة إلا بموافقة صاحب البيانات ما لم تنطبق إحدى الحالات المستثناة، كأن تكون المعالجة بمقتضى نظام آخر، أو تنفيذاً لاتفاق سابق مع صاحب البيانات، أو لتحقيق مصلحة مشروعة لجهة التحكم دون الإضرار بحقوق صاحب البيانات، على ألا تكون البيانات حساسة. ولا يجوز استخدام البيانات لغير الغرض الذي جُمعت من أجله.
الشفافية وتقليل البيانات
يجب نشر سياسة خصوصية واضحة قبل جمع البيانات، وجمع الحد الأدنى اللازم منها فقط، والحفاظ على دقتها، وإتلافها عند انتهاء الغرض ما لم يوجد متطلب نظامي للاحتفاظ بها. وقد نشرت سدايا أدلة إرشادية لإعداد سياسة الخصوصية، وتحديد الحد الأدنى من البيانات، وإتلاف البيانات وإخفاء الهوية والترميز.
البيانات الحساسة
وفق النظام بعد تعديله، تشمل البيانات الحساسة كل بيان يتعلق بأصل الفرد العرقي أو الإثني، أو معتقده الديني أو الفكري أو السياسي، والبيانات الأمنية والجنائية، وبيانات السمات الحيوية التي تحدد الهوية، والبيانات الوراثية، والبيانات الصحية، والبيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما. وتخضع لشروط أشد وأعلى العقوبات.
السجلات والتقييم والأمن
على جهة التحكم الاحتفاظ بسجلات لأنشطة معالجة البيانات الشخصية، وإجراء تقييم الأثر عندما تكون المعالجة عالية المخاطر، وتطبيق تدابير تنظيمية وإدارية وتقنية لحماية البيانات، واختيار جهات معالجة تقدم ضمانات كافية. وينبغي أن تتوافق التدابير الأمنية مع متطلبات الهيئة الوطنية للأمن السيبراني، ويشرح دليلنا عن الضوابط الأساسية للأمن السيبراني الحد الأدنى المطلوب.
متى يجب الإشعار عن تسرب البيانات الشخصية؟
تنص المادة الرابعة والعشرون من اللائحة التنفيذية على أن تُشعر جهة التحكم الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من علمها بحادثة تسرب البيانات الشخصية، إذا كان من شأنها الإضرار بالبيانات أو بصاحبها أو التعارض مع حقوقه أو مصالحه. ويُقدَّم الإشعار عبر منصة حوكمة البيانات الوطنية، متضمناً وصف الحادثة ووقتها، وفئات أصحاب البيانات المعنيين وأعدادهم الفعلية أو التقريبية، والمخاطر المحتملة، والإجراءات المتخذة لاحتوائها. ويجب إبلاغ أصحاب البيانات دون تأخير غير مبرر إذا كانت الحادثة قد تلحق بهم ضرراً، مع الاحتفاظ بنسخة من كل تقرير. وتقترح مسودة تعديلات أكتوبر 2026 إلغاء شرط الضرر، ليصبح الإشعار إلى سدايا خلال 72 ساعة واجباً في جميع الحالات.
هل يلزم تعيين مسؤول حماية البيانات الشخصية؟
تُلزم المادة الثانية والثلاثون من اللائحة التنفيذية جهة التحكم بتعيين مسؤول أو أكثر لحماية البيانات الشخصية في ثلاث حالات:
- أن تكون جهة عامة تقدم خدمات تتضمن معالجة بيانات شخصية على نطاق واسع.
- أن تقوم أنشطتها الأساسية على عمليات معالجة تتطلب مراقبة منتظمة وممنهجة لأصحاب البيانات.
- أن تقوم أنشطتها الأساسية على معالجة بيانات شخصية حساسة.
ويجوز أن يكون المسؤول موظفاً لدى جهة التحكم أو متعاقداً خارجياً، ويعمل نقطة اتصال مباشرة مع الجهة المختصة. وحتى إن لم يكن التعيين إلزامياً، فإن تحديد مسؤول واضح عن الخصوصية ممارسة جيدة.
هل يجب التسجيل في السجل الوطني لجهات التحكم؟
تشترط القواعد المنظمة للسجل الوطني لجهات التحكم داخل المملكة تسجيل الجهات العامة، وجهات التحكم الخاصة التي يقوم نشاطها الرئيسي على معالجة البيانات الشخصية أو التي تعالج بيانات حساسة، وذلك عبر منصة حوكمة البيانات الوطنية. وتسجّل الجهات الخاصة من خلال ممثل مفوَّض عبر نظام التفويض في منصة المركز السعودي للأعمال، ولا توجد رسوم تسجيل حالياً، وتصدر سدايا شهادة تسجيل تُجدَّد دورياً. وتقترح مسودة التعديلات توسيع إلزامية التسجيل لتشمل الجهات التي تنقل البيانات أو تفصح عنها خارج المملكة.
هل يجوز نقل البيانات الشخصية خارج المملكة؟
نعم، وفق لائحة نقل البيانات الشخصية خارج المملكة فقط. ويُشترط ألا يمس النقل الأمن الوطني أو المصالح الحيوية للمملكة، وأن يقتصر على الحد الأدنى من البيانات اللازمة. وأهم مسارات النقل:
- المستوى المناسب للحماية: أن توفر الدولة المستقبِلة حماية لا تقل عن مستوى الحماية في النظام.
- الضمانات المناسبة: وقد نشرت سدايا البنود التعاقدية القياسية، ودليل إعداد القواعد المشتركة الملزمة لمجموعات الشركات.
- استثناءات محدودة عند تعذر توفير الضمانات، وبشروط محددة.
وتتطلب بعض حالات النقل تقييماً لمخاطره، وقد أصدرت سدايا دليلاً إرشادياً لذلك. وقد تفرض الجهات التنظيمية القطاعية، كالبنك المركزي السعودي، موافقات إضافية. وإن كنت تعتمد على خدمات سحابية أو برمجيات مستضافة خارج المملكة، فراجع دليلنا عن الحوسبة السحابية وإقامة البيانات في المملكة.
ما عقوبات مخالفة نظام حماية البيانات الشخصية؟
- الإفصاح عن بيانات حساسة أو نشرها بالمخالفة للنظام بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية: السجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على 3 ملايين ريال.
- المخالفات الأخرى: الإنذار أو غرامة لا تزيد على 5 ملايين ريال.
- يجوز مضاعفة الغرامة عند التكرار، ومصادرة الأموال المتحصلة من المخالفة، ونشر ملخص القرار على نفقة المخالف.
- يحق لمن لحقه ضرر المطالبة أمام المحكمة المختصة بالتعويض عن الضرر المادي أو المعنوي.
قائمة التحقق من الامتثال لنظام حماية البيانات الشخصية
| الخطوة | المطلوب | الأدلة الواجب الاحتفاظ بها |
|---|---|---|
| 1. حصر البيانات | جرد الأنظمة وفئات البيانات والأغراض ومواقع التخزين وجهات المعالجة | خريطة البيانات وسجلات أنشطة المعالجة |
| 2. تأكيد الأساس النظامي | تحديد الموافقة أو الحالة المستثناة لكل غرض | سجل الأسس النظامية وسجلات الموافقات |
| 3. تحديث الإشعارات | نشر سياسة خصوصية واضحة بالعربية والإنجليزية | السياسة المعتمدة وسجل إصداراتها |
| 4. التسجيل والتعيين | التحقق من إلزامية التسجيل وتعيين المسؤول عبر المنصة | شهادة التسجيل وقرار تعيين المسؤول |
| 5. طلبات أصحاب البيانات | آلية لاستقبال الطلبات والتحقق من الهوية وتتبع مهلة 30 يوماً | سجل الطلبات والردود |
| 6. تقييم الأثر | إجراء تقييم الأثر للمعالجات عالية المخاطر | التقييمات المكتملة وخطط المعالجة |
| 7. حماية البيانات | ضبط الصلاحيات والتشفير والسجلات وضوابط الأمن السيبراني | السياسات الأمنية ونتائج التدقيق |
| 8. ضبط النقل والموردين | حصر عمليات النقل للخارج وتوقيع العقود والبنود القياسية | سجل النقل واتفاقيات المعالجة |
| 9. الاستعداد للحوادث | خطة استجابة خلال 72 ساعة واختبارها | الخطة وتقارير التمارين |
| 10. التدريب والمراجعة | تدريب الموظفين ومراجعة الامتثال سنوياً على الأقل | سجلات التدريب والتقييم الذاتي |
ماذا تتضمن مسودة تعديلات اللائحة التنفيذية لعام 2026؟
في 6 أكتوبر 2026 طرحت سدايا مسودة تعديلات اللائحة التنفيذية لاستطلاع آراء العموم عبر منصة استطلاع، وتستمر حتى 5 نوفمبر 2026. والمسودة ليست نافذة بعد، وإن اعتُمدت فستسري بعد 60 يوماً من نشرها في الجريدة الرسمية. ومن أبرز مقترحاتها:
- إلزام جهات التحكم بحفظ البيانات الشخصية داخل المملكة، مع بقاء النقل للخارج جائزاً وفق النظام ولوائحه.
- الإشعار عن أي تسرب إلى سدايا خلال 72 ساعة بغض النظر عن الضرر.
- توسيع حالات تقييم الأثر لتشمل التقنيات الناشئة والقرارات الآلية التي تمس الأفراد.
- توسيع إلزامية التسجيل وتعيين مسؤول حماية البيانات، خاصة للجهات العامة.
- مهلة 20 يوم عمل للرد على طلبات سدايا، واعتبار طلب صاحب البيانات مرفوضاً إذا لم يُرد عليه خلال المدة النظامية.
- متطلبات أشد لإثبات الموافقة على التسويق وتسهيل الرجوع عنها، وسياسات خصوصية بلغة واضحة مألوفة لجمهور الخدمة.
ماذا يعني النظام لمشاريع الذكاء الاصطناعي والحوسبة السحابية؟
يثير الذكاء الاصطناعي أسئلة تتعلق بالنظام في كل مرحلة: فتدريب النموذج أو تكييفه على بيانات العملاء يحتاج أساساً نظامياً وتقليلاً للبيانات، وإرسال تعليمات تتضمن بيانات شخصية إلى خدمة ذكاء اصطناعي مستضافة خارج المملكة يُعد نقلاً للبيانات إلى الخارج، والقرارات الآلية بشأن الأفراد مرشحة لاشتراط تقييم الأثر. كما أصدرت سدايا في يناير 2024 المبادئ التوجيهية للذكاء الاصطناعي التوليدي، وتتيح على منصتها تقييماً لأخلاقيات الذكاء الاصطناعي. ومن الحلول العملية: إخفاء هوية البيانات قبل وصولها إلى النموذج، وتشغيل النماذج داخل مراكز بيانات في المملكة، واختيار مناطق سحابية محلية. ويشرح مقالنا عن سيادة البيانات والذكاء الاصطناعي المحلي البنية المناسبة، وتنطبق المبادئ نفسها على روبوتات المحادثة العربية التي تجمع بيانات العملاء.
ما الخطوة التالية؟
ابدأ بحصر البيانات وتقييم الفجوات وفق قائمة التحقق أعلاه، ثم عالج الفجوات الأعلى خطورة أولاً: الاستعداد للحوادث، ونقل البيانات للخارج، والبيانات الحساسة. وتصمم أمواج للحلول بنى تقنية متوافقة مع نظام حماية البيانات الشخصية، وحلول إقامة البيانات، وضوابط أمنية متوافقة مع متطلبات الهيئة الوطنية للأمن السيبراني. تعرّف على خدمة الأمن السيبراني والامتثال أو راسلنا على info@amwajsol.sa لحجز استشارة. هذا الدليل معلومات عامة وليس استشارة قانونية، فتحقق من التزاماتك المحددة مع مستشار نظامي مختص.
تكامل تقنية المعلومات
الأسئلة الشائعة
ما هو نظام حماية البيانات الشخصية في السعودية؟
هو النظام الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 1443/2/9هـ، والمعدل بالمرسوم الملكي رقم (م/148) وتاريخ 1444/9/5هـ، والنافذ منذ 14 سبتمبر 2023. ينظم جمع البيانات الشخصية للأفراد في المملكة واستخدامها وحفظها ومشاركتها ونقلها وإتلافها، وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).
هل ينطبق نظام حماية البيانات الشخصية على الشركات خارج المملكة؟
نعم. يشمل النظام معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة حتى لو تمت المعالجة من جهة خارجها. لذلك على المتاجر الإلكترونية الأجنبية ومزودي البرمجيات السحابية والمقرات الرئيسية للمجموعات التي تتعامل مع بيانات المقيمين أن تقيّم التزاماتها، بما فيها التسجيل وسياسة الخصوصية وطلبات أصحاب البيانات وقواعد النقل.
ما المدة النظامية للإشعار عن تسرب البيانات الشخصية؟
تُلزم اللائحة التنفيذية جهة التحكم بإشعار سدايا خلال مدة لا تتجاوز 72 ساعة من علمها بحادثة التسرب، إذا كان من شأنها الإضرار بالبيانات أو بأصحابها أو التعارض مع حقوقهم. كما يجب إبلاغ أصحاب البيانات دون تأخير غير مبرر متى كانت الحادثة قد تلحق بهم ضرراً. وتقترح مسودة تعديلات 2026 جعل الإشعار واجباً في جميع الحالات.
ما عقوبة مخالفة نظام حماية البيانات الشخصية؟
يعاقب من أفصح عن بيانات حساسة أو نشرها بالمخالفة للنظام بقصد الإضرار أو تحقيق منفعة شخصية بالسجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على 3 ملايين ريال. أما المخالفات الأخرى فعقوبتها الإنذار أو غرامة لا تزيد على 5 ملايين ريال، ويجوز مضاعفة الغرامة عند التكرار، مع حق المتضرر في المطالبة بالتعويض.
هل تعيين مسؤول حماية البيانات الشخصية إلزامي؟
في حالات محددة فقط: إذا كانت جهة التحكم جهة عامة تقدم خدمات تتضمن معالجة بيانات على نطاق واسع، أو كانت أنشطتها الأساسية تقوم على مراقبة منتظمة وممنهجة للأفراد، أو على معالجة بيانات حساسة. ويجوز أن يكون المسؤول موظفاً أو متعاقداً خارجياً، وتوفر منصة حوكمة البيانات الوطنية أداة للتحقق من مدى إلزامية التعيين.
ما الفرق بين نظام حماية البيانات الشخصية السعودي واللائحة الأوروبية GDPR؟
يتبع النظام السعودي مبادئ مشابهة للائحة الأوروبية، مثل الأساس النظامي والشفافية وتقليل البيانات وحقوق الأفراد، لكنه يختلف في تفاصيل مهمة: فيتضمن عقوبة السجن للإفصاح غير النظامي عن البيانات الحساسة، وسجلاً وطنياً لجهات التحكم، ولائحة سعودية خاصة لنقل البيانات، وإشعاراً لسدايا عن التسرب خلال 72 ساعة عبر منصة وطنية. لذا لا يكفي الامتثال للائحة الأوروبية وحده.
هل يجوز حفظ البيانات الشخصية على سحابة خارج المملكة؟
يجوز حالياً إذا استوفى النقل لائحة نقل البيانات الشخصية خارج المملكة: مستوى حماية مناسب في الدولة المستقبِلة، أو ضمانات مناسبة كالبنود التعاقدية القياسية الصادرة عن سدايا، أو حالة استثناء نظامية، مع تقليل البيانات وتقييم المخاطر في حالات معينة. لكن مسودة تعديلات 2026 تقترح إلزام الجهات بحفظ البيانات داخل المملكة، فالسحابة المحلية هي الخيار الأسلم مستقبلاً.