فحص الامتثال لنظام حماية البيانات الشخصية: تقييم سدايا

مقدمة حول نظام حماية البيانات الشخصية السعودي (PDPL – سدايا)

يُمثل نظام حماية البيانات الشخصية (PDPL) الصادر بالمرسوم الملكي رقم (م/19) والمعدل بالمرسوم الملكي رقم (م/148) المرجعية التشريعية والتنظيمية الأولى في المملكة العربية السعودية لحماية الخصوصية وحوكمة تدفق البيانات الرقمية. تشرف الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا SDAIA) كجهة تنظيمية ورقابية على تطبيق النظام، وتُلزم كافة المنشآت والشركات والمتاجر الإلكترونية والتطبيقات الذكية بتبني سياسات أمنية وإجرائية تضمن حماية البيانات الشخصية للمواطنين والمقيمين.

يهدف النظام إلى حماية حقوق أصحاب البيانات ومنع استغلالها أو إساءة استخدامها أو تسريبها دون مسوغ نظامي، مع فرض عقوبات وغرامات مالية مشددة تصل إلى 5,000,000 ريال وعقوبات جنائية بالسجن للمخالفات الجسيمة المتعلقة بإفشاء البيانات الحساسة.

🛡️ الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا SDAIA) ✓ تقييم الامتثال لنظام حماية البيانات الشخصية (PDPL) 2026

أداة فحص وتقييم الامتثال لنظام حماية البيانات الشخصية (PDPL)

أداة تدقيق وفحص قانوني وتقني متقدمة لتقييم مدى امتثال المتاجر الإلكترونية والتطبيقات والشركات لمتطلبات نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي (م/19) وتعديلاته، واكتشاف الثغرات وتفادي الغرامات المالية المقررة من سدايا.

طبيعة النشاط ونوع المنشأة *

المتاجر الإلكترونية تخضع لمتطلبات صريحة في جمع بيانات العناوين والدفع والتسويق

معالجة البيانات الشخصية الحساسة *

معالجة البيانات الحساسة تفرض إلزامية تعيين مسؤول حماية بيانات (DPO) وإجراء تقييم الأثر (DPIA)

قائمة التدقيق لركائز الامتثال الثمانية لنظام PDPL (سدايا): حدد البنود المطبقة لدى منشأتك

1. سياسة خصوصية واضحة ومحدثة بالعربية: نشر سياسة خصوصية تفصيلية تحدد الأغراض المشروعة، والبيانات المجموعة، وجهات المشاركة، ومقر الحفظ.

2. إدارة الموافقات الصريحة (Explicit Consent): أخذ موافقة حرة وصريحة ومستقلة دون استخدام صناديق محددة مسبقاً، مع سهولة سحب الموافقة.

3. آلية تلبية حقوق أصحاب البيانات (SLA 30 يوماً): توفير قناة رسمية لاستقبال طلبات الوصول للبيانات، تصحيحها، إتلافها، أو تقييد معالجتها خلال 30 يوماً.

4. تعيين مسؤول حماية البيانات (DPO): تحديد مسؤول داخلي أو خارجي معتمد لحماية البيانات ومتابعة الامتثال والتواصل مع سدايا.

5. تقييم الأثر على حماية البيانات (DPIA): إجراء وتوثيق دراسة تقييم الأثر لأي معالجة جديدة قد تترتب عليها مخاطر على خصوصية الأفراد.

6. خطة الاستجابة للإشعار بالتسريبات (خلال 72 ساعة): بروتوكول موثق لإبلاغ سدايا خلال 72 ساعة وإشعار أصحاب البيانات فوراً عند حدوث تسريب أمني.

7. الامتثال لضوابط نقل البيانات خارج المملكة: حصر استضافة البيانات داخل السعودية أو الالتزام بالبنود التعاقدية القياسية (SCCs) عند النقل الدولي.

8. التسجيل في البوابة الوطنية للبيانات (سدايا): تسجيل المنشأة في السجل الوطني لجهات التحكم بالبيانات التابع للهيئة وإيداع سجل أنشطة المعالجة.

حقوق الأفراد

حقوق صاحب البيانات الشخصية الستة في النظام

الحقوق القانونية الأساسية المكفولة لكل مواطن ومقيم في المملكة:

1. حق العلم: معرفة الأساس النظامي والغرض من جمع ومعالجة بياناته.
2. حق الوصول: الاطلاع على بياناته الشخصية والحصول على نسخة مجانية منها.
3. حق التصحيح: طلب تعديل أو تحديث أو استكمال بياناته غير الدقيقة.
4. حق الإتلاف: طلب حذف وإتلاف بياناته عند انتهاء الغرض من جمعها.
5. حق سحب الموافقة: إمكانية الرجوع عن الموافقة في أي وقت وبنفس سهولة منحها.
6. حق تقييد المعالجة والاعتراض: الاعتراض على التسويق المباشر أو المعالجة الآلية.

مسؤول البيانات DPO

حالات إلزامية تعيين مسؤول حماية البيانات

تُلزم المادة (32) من اللائحة التنفيذية بتعيين مسؤول DPO في الحالات التالية:

إذا كان النشاط الأساسي للمنشأة يتضمن معالجة بيانات شخصية على نطاق واسع.
معالجة البيانات الحساسة (الصحية، المالية، الجنائية، والوراثية).
مراقبة وتتبع سلوك الأفراد بصفة منتظمة ومنهجية (مثل تتبع المواقع والكوكيز).
الجهات الحكومية والمؤسسات العامة التي تتعامل مع سجلات المواطنين.

نقل البيانات للخارج

ضوابط نقل البيانات الشخصية خارج حدود المملكة

وفق لائحة نقل البيانات الصادرة عن سدايا:

الأصل العام هو استضافة ومعالجة البيانات داخل النطاق الجغرافي للمملكة.
يُسمح بالنقل للدول ذات المستوى المماثل من الحماية المعتمدة لدى سدايا.
في حال النقل لدول أخرى، يلزم توقيع البنود التعاقدية القياسية (SCCs) أو الحصول على موافقة صريحة ومسبقة من سدايا لضمان عدم المساس بالأمن الوطني.

لائحة العقوبات

الغرامات والجزاءات المقررة من سدايا (SDAIA)

العقوبات النظامية المحددة في المادتين (35) و (36) من النظام:

تسريب أو إفشاء البيانات الحساسة بقصد الإضرار: عقوبة السجن لمدة تصل إلى سنتين وغرامة تصل إلى 3,000,000 ريال.
مخالفة أحكام النظام ولوائحه التنفيذية: إنذار كتابي وغرامة مالية تصل إلى 5,000,000 ريال وتتضاعف عند التكرار.
التعويض المدني: يحق للمتضرر المطالبة بتعويض قضائي كامل أمام المحاكم المختصة.

🔒

بانتظار إجابتك على معايير الفحص...

أجب على بنود قائمة فحص نظام حماية البيانات الشخصية أعلاه، ثم اضغط على «تحليل درجة الامتثال وإصدار التقرير» لعرض نسبة الجاهزية والتوصيات القانونية الإلزامية.

مؤشر الامتثال والحوكمة الرقمية امتثال ممتاز 100% ✓

100% درجة الامتثال

المنشأة تطبق أعلى معايير الحوكمة وحماية خصوصية العملاء وفق ضوابط سدايا

مستوى المخاطر القانونية والغرامات منخفض جداً

آمن نظامياً حماية كاملة

المنشأة محمية من غرامات سدايا والمساءلة القضائية وتعويضات المتضررين

📜

المعايير المكتملة 8 من 8 ركائز حوكمة الخصوصية الشاملة

👤

مسؤول الحماية DPO مُعيّن ومعتمد متوافق مع المادة 32

⏱️

مهلة الإبلاغ عن التسريب خلال 72 ساعة بروتوكول سدايا المعتمد

🌐

نطاق استضافة البيانات داخل المملكة (محلي) حماية سيادة البيانات

📋 جدول تدقيق الفجوات القانونية وخطة المعالجة التنفيذية (SDAIA Audit Plan):

الركيزة النظامية للامتثال	الحالة الحالية	الأثر القانوني ومستوى الغرامة	الإجراء التصحيحي والتنفيذي المطلوب

📊 التوزيع النسبي لمستوى الجاهزية والحوكمة الرقمية:

المعايير المكتملة: 8 ركائز (100%) الثغرات والنواقص: 0 ركائز (0%)

⚖️

السند والمرجعية النظامية: يستند هذا التقييم إلى نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم (م/19) وتعديلاته بالمرسوم الملكي رقم (م/148) ولائحته التنفيذية ولائحة نقل البيانات الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا SDAIA).

ℹ️ تنبيه إرشادي هام (التمييز بين الحساب الرياضي والالتزام النظامي):

التقييم استرشادي لمستوى امتثال المنشأة لنظام حماية البيانات الشخصية الصادر بالمرسوم الملكي (م/19) وتعديلاته، ولا يعد بديلاً عن التدقيق القانوني والتقني المتخصص المتوافق مع سدايا.

🏛️ المصادر واللوائح الحكومية الرسمية المعتمدة للتحقق:

🏛️ الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) ↗ 🏛️ مكتب إدارة البيانات الوطنية (لوائح PDPL) ↗

المفاهيم والأركان الأساسية في نظام حماية البيانات الشخصية (PDPL)

حددت اللائحة التنفيذية للنظام مجموعة من المفاهيم والكيانات القانونية المحورية التي تُبنى عليها مسؤوليات الامتثال:

صاحب البيانات الشخصية (Data Subject): الشخص الطبيعي (المواطن أو المقيم) الذي تتعلق به البيانات بشكل مباشر أو غير مباشر.
البيانات الشخصية (Personal Data): أي بيان يُؤدي إلى التعرف على الفرد صراحة أو دلالة، مثل: الاسم، رقم الهوية الوطنية، رقم الإقامة، بيانات الموقع الجغرافي، وسجلات الشراء.
البيانات الحساسة (Sensitive Data): كل بيان شخصي يتضمن إشارة إلى أصل عرقي، معتقدات دينية، بيانات وراثية، بيانات صحية، بيانات أمنية وجنائية، أو بيانات القياسات الحيوية (Biometrics).
جهة التحكم (Data Controller): أي منشأة أو جهة تحدد الغرض من جمع البيانات الشخصية وكيفية معالجتها.
جهة المعالجة (Data Processor): أي جهة تقوم بمعالجة البيانات الشخصية نيابة عن جهة التحكم ولحسابها (مثل شركات الاستضافة ومزودي الخدمات السحابية).

الركائز الثمانية للامتثال النظامي لمتطلبات سدايا (SDAIA Compliance Pillars)

يتطلب الامتثال الكامل لنظام PDPL تطبيق حزمة من الإجراءات الإدارية والتقنية المشددة:

سياسة الخصوصية الشاملة باللغة العربية: صياغة ونشر وثيقة خصوصية واضحة ومحدثة توضح للعملاء نوعية البيانات المجموعة، الأساس النظامي للمعالجة، سياسة مشاركة البيانات، ومكان تخزينها.
إدارة الموافقات الصريحة والمستقلة: اشتراط الحصول على موافقة حرة وصريحة من صاحب البيانات قبل البدء في المعالجة، مع حظر استخدام خيارات التحديد المسبق (Pre-ticked Checkboxes).
كفالة حقوق أصحاب البيانات (SLA 30 يوماً): الالتزام بالرد على طلبات الوصول أو التصحيح أو الإتلاف أو سحب الموافقة خلال مدة أقصاها 30 يوماً من تاريخ الاستلام.
تعيين مسؤول حماية البيانات (Data Protection Officer – DPO): تعيين مسؤول مختص يمثل حلقة الوصل مع سدايا ويشرف على تطبيق السياسات الداخلية للمنشآت الملزمة.
إجراء دراسة تقييم الأثر على الخصوصية (DPIA): توثيق تقييم شامل للمخاطر قبل إطلاق أي خدمة جديدة أو تقنية تنطوي على معالجة واسعة النطاق للبيانات الشخصية.
خطة الإخطار الفوري بالتسريبات الأمنية (خلال 72 ساعة): الالتزام بإبلاغ سدايا خلال 72 ساعة من العلم بحدوث أي اختراق أو تسريب أمني للبيانات، مع إشعار المتضررين دون تأخير.
الامتثال لضوابط نقل البيانات خارج حدود المملكة: الالتزام باستضافة البيانات داخل السعودية أو توقيع البنود التعاقدية القياسية (Standard Contractual Clauses – SCCs) في حال النقل الدولي المسموح به نظاماً.
التسجيل في البوابة الوطنية للبيانات: إتمام تسجيل جهة التحكم في السجل الوطني للمتحكمين لدى سدايا وإيداع سجل أنشطة المعالجة (ROPA).

جدول مقارنة بين نظام حماية البيانات الشخصية السعودي (PDPL) واللائحة الأوروبية (GDPR)

وجه المقارنة	نظام حماية البيانات السعودي (PDPL – SDAIA)	اللائحة العامة لحماية البيانات الأوروبية (GDPR)
الجهة المنظمة والمشرفة	الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)	هيئات حماية البيانات في دول الاتحاد الأوروبي (DPAs)
الحد الأقصى للغرامات المالية	تصل إلى 5,000,000 ريال وتتضاعف عند التكرار	تصل إلى 20 مليون يورو أو 4% من إجمالي الدخل السنوي العالمي
العقوبات الجنائية والسجن	نعم (السجن حتى سنتين لنشر البيانات الحساسة بقصد الإضرار)	لا توجد عقوبات سالبة للحرية مباشرة (تقتصر على الغرامات الإدارية)
مهلة الإبلاغ عن التسريبات	خلال 72 ساعة من العلم بالواقعة	خلال 72 ساعة من العلم بالواقعة
الأصل في نقل البيانات خارج الحدود	مشروط بضوابط مشددة ولائحة نقل محددة واعتماد سدايا	مسموح للدول ذات المستوى المماثل أو بالبنود التعاقدية القياسية
مهلة تلبية حقوق أصحاب البيانات	خلال 30 يوماً من تقديم الطلب	خلال شهر واحد (قابلة للتمديد لشهرين إضافيين)

شروط امتثال المتاجر الإلكترونية (سلة، زد، شوبيفاي) لنظام PDPL

تخضع المتاجر الإلكترونية لتدقيق مباشر من وزارة التجارة وهيئة سدايا لضمان حماية بيانات المتسوقين، ويلزم كل صاحب متجر التأكد من الآتي:

بيانات الشحن والتوصيل: قصر جمع بيانات العناوين وأرقام الجوال على ما يلزم لإتمام عملية الشحن فقط وعدم إعادة بيعها لأطراف ثالثة.
بوابات الدفع الإلكتروني: عدم تخزين أرقام بطاقات الائتمان (CVV/PAN) على خوادم المتجر، والاعتماد فقط على بوابات دفع مرخصة ومرتبطة بـ PCI-DSS.
التسويق عبر الرسائل النصية (SMS) والبريد: حظر إرسال الرسائل الترويجية دون موافقة مسبقة من العميل، مع توفير خيار إلغاء الاشتراك المجاني الفوري في كل رسالة.
ملفات تعريف الارتباط (Cookies): إظهار شريط إشعار شفاف يتيح للمستخدم قبول أو رفض ملفات الكوكيز غير الضرورية.

لائحة العقوبات والجزاءات لمخالفات نظام حماية البيانات الشخصية

نوع المخالفة النظامية	العقوبة والجزاء المالي المقرر
إفشاء أو نشر بيانات حساسة بقصد الإضرار بصاحبها	عقوبة السجن لمدة تصل إلى سنتين وغرامة مالية تصل إلى 3,000,000 ريال أو بإحدى العقوبتين.
مخالفة أحكام النقل الدولي للبيانات دون ترخيص	غرامة مالية تصل إلى 5,000,000 ريال مع إيقاف نشاط المعالجة.
عدم الإبلاغ عن التسريبات الأمنية خلال 72 ساعة	إنذار وغرامة مالية تصل إلى 5,000,000 ريال ومساءلة إدارية.
عدم توفير سياسة خصوصية أو حرمان الأفراد من حقوقهم	إنذار كتابي للمرة الأولى وغرامة مالية تصل إلى 1,000,000 ريال.
تكرار المخالفات المرتكبة	مضاعفة قيمة الغرامة المالية ومصادرة الأجهزة ونشر الحكم في الصحف المحلية على نفقة المخالف.

الأسئلة الشائعة حول نظام حماية البيانات الشخصية

هل يشمل نظام PDPL الشركات الصغيرة والمتاجر المنزلية؟

نعم؛ يطبق النظام على كافة المنشآت التجارية داخل المملكة أياً كان حجمها (شركات كبرى، منشآت متوسطة، صغيرة، أو متاجر أفراد مرخصة) طالما أنها تقوم بجمع ومعالجة بيانات شخصية للمستهلكين.

ما هي عقوبة إرسال رسائل تسويقية للعملاء دون موافقتهم؟

يُعد إرسال الرسائل الترويجية دون الحصول على موافقة صريحة مسبقة مخالفة لأحكام نظام حماية البيانات ونظام التجارة الإلكترونية، وتصل غراماتها إلى مئات الآلاف من الريالات وتكرارها قد يؤدي لإيقاف السجل التجاري.

متى يلزم المتجر الإلكتروني بتعيين مسؤول حماية بيانات (DPO)؟

يلزم تعيين DPO إذا كان المتجر يعالج بيانات حساسة (مثل المنتجات الطبية أو التأمينية)، أو يقوم بمراقبة سلوك وتتبع أعداد ضخمة من المستخدمين بصفة دورية ومنهجية.

ما هي المدة النظامية المسموح بها للاحتفاظ ببيانات العملاء؟

يجب إتلاف أو تقييد معالجة البيانات الشخصية فور انتهاء الغرض الأساسي من جمعها، ما لم تكن هناك متطلبات نظامية أخرى تفرض الاحتفاظ بها (مثل الاحتفاظ بالسجلات المحاسبية والضريبية لمدة 5 سنوات وفق تعليمات ZATCA).