المقالات / أنظمة

نظام حماية البيانات الشخصية لأصحاب المواقع والمتاجر: وش يلزمك؟

رسملة · الرياض · أكتوبر 2026 · قراءة 7 دقائق

إذا عندك موقع فيه نموذج تواصل، أو متجر يطلب من العميل اسمه وجواله وعنوان التوصيل، فأنت تجمع بيانات شخصية. ومن سبتمبر 2024 صار الالتزام بنظام حماية البيانات الشخصية واجبا على الجميع، بعد ما انتهت مهلة تصحيح الأوضاع. هذا المقال يشرح لك النظام من زاوية صاحب الموقع، بلغة بسيطة، ومن النصوص الرسمية نفسها.

وقبل ما نبدأ: هذا شرح عملي، مو استشارة قانونية. إذا نشاطك يعالج بيانات حساسة مثل البيانات الصحية، راجع مختصا.

النظام باختصار

• صدر بالمرسوم الملكي رقم م/19 وتاريخ 9/2/1443هـ، وعُدل بالمرسوم الملكي رقم م/148 وتاريخ 5/9/1444هـ.
• صار نافذا في 14 سبتمبر 2023، وأعطى الجهات سنة لتصحيح أوضاعها انتهت في 14 سبتمبر 2024.
• الجهة المشرفة هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).
• معه لوائح، أهمها اللائحة التنفيذية، ولائحة نقل البيانات الشخصية إلى خارج المملكة (نسختها الحالية منشورة في أم القرى بتاريخ 1 سبتمبر 2024).

هل ينطبق على موقعي؟

غالبا نعم. النظام يعتبر «بيانات شخصية» أي بيان يعرّف بشخص، ويذكر منها صراحة الاسم ورقم الهوية والعناوين وأرقام التواصل، وحتى صور الفرد الثابتة أو المتحركة. فلو موقعك يجمع أي واحد منها، ولو برسالة «تواصل معنا»، فأنت معني.

ونقطة تفوت كثير من أصحاب المتاجر: أنت المسؤول عن بيانات عملائك حتى لو متجرك على سلة أو زد. المنصة تعالج البيانات نيابة عنك، لكن أنت اللي جمعتها ولغرضك.

سياسة الخصوصية: وش لازم يكون فيها؟

المادة الثانية عشرة من النظام تلزمك تكون عندك سياسة خصوصية متاحة للناس قبل ما تجمع بياناتهم. واللائحة التنفيذية فصّلت وش لازم يعرفه الشخص عند الجمع. باختصار، سياستك تجاوب على هذي الأسئلة:

1. من أنت وكيف يتواصل معك الشخص بخصوص بياناته.
2. وش البيانات اللي تجمعها، وكيف تجمعها.
3. ليش تجمعها، وعلى أي أساس: تنفيذ طلب هو طرف فيه، أو التزام نظامي، أو موافقته.
4. مع مين تشاركها: بوابة الدفع، شركات الشحن، المنصة، أدوات التحليل.
5. هل تطلع برا المملكة. النظام ينص على إبلاغ الشخص إذا بياناته بتنتقل أو تتعالج خارج المملكة.
6. كم تحتفظ فيها، وكيف تتلفها.
7. وش حقوقه وكيف يطلبها.

سوينا أداة مجانية تكتب لك سياسة على هذي العناوين من إجاباتك، في جهازك وبدون تسجيل: إنشاء سياسة خصوصية لموقعك.

الموافقة: متى تحتاجها وكيف تاخذها؟

مو كل معالجة تحتاج موافقة. لو العميل طلب منك منتجا، فاستخدام عنوانه لتوصيل الطلب جزء من تنفيذ الاتفاق. لكن فيه حالات لازم تاخذ فيها موافقته، مثل الرسائل التسويقية. واللائحة التنفيذية وضعت شروطا للموافقة:

• موافقة مستقلة لكل غرض. ما يصير مربع واحد يوافق فيه على الطلب والتسويق مع بعض.
• صريحة إذا البيانات حساسة، مثل البيانات الصحية.
• سحبها سهل مثل إعطائها. زر إلغاء الاشتراك لازم يكون واضح ويشتغل.
• ما تربط الخدمة بموافقة ما لها علاقة فيها. ما يصير تقول للعميل «وافق على الرسائل التسويقية عشان تكمل الطلب».

عمليا في موقعك: مربع اختيار للنشرة البريدية غير محدد مسبقا، ومنفصل عن الموافقة على الشروط.

حقوق عميلك، والمدة اللي ترد فيها

النظام يعطي الشخص الحق في أن يعرف كيف تُجمع بياناته ولماذا، وأن يطلع عليها ويحصل على نسخة منها، وأن يطلب تصحيحها، وأن يطلب إتلافها إذا انتهت الحاجة لها. واللائحة التنفيذية تعطيك 30 يوما للرد على الطلب، تقدر تمددها مرة وحدة بمثلها في حالات محددة.

عمليا: خصص إيميلا واضحا للخصوصية، واكتبه في السياسة، وخل أحد مسؤول يتابعه.

البيانات اللي تطلع برا المملكة

هنا النقطة اللي ينتبه لها قليل. أدوات كثيرة نستخدمها كل يوم تعالج البيانات خارج المملكة: أدوات تحليل الزيارات، وبكسلات الإعلانات، وبعض خدمات البريد والاستضافة، وأدوات الذكاء الاصطناعي.

المادة التاسعة والعشرون ولائحة النقل تشترط لنقل البيانات للخارج أن يكون للنقل غرض من الأغراض المحددة، وألا يمس الأمن الوطني، وأن يقتصر على الحد الأدنى من البيانات، وأن يتوفر مستوى حماية مناسب في الجهة المستقبلة. ويقيّم هذا المستوى سدايا، أو يُعوَّض بضمانات مثل البنود التعاقدية القياسية التي نشرتها الهيئة في سبتمبر 2024. وتلزم اللائحة في حالات معينة بإجراء تقييم مكتوب لمخاطر النقل قبل البدء.

ما نقدر نلخص هالجزء في قاعدة وحدة تناسب كل الحالات، لكن فيه ثلاث خطوات واضحة لأي صاحب موقع:

1. اعرف وش الأدوات اللي في موقعك وتطلع بياناتها برا.
2. اذكرها في سياستك بوضوح.
3. لا ترسل للخارج إلا الحد الأدنى. وإذا نشاطك يرسل بيانات حساسة بشكل مستمر، مثل الصور الشخصية أو البيانات الصحية، فهذا يحتاج دراسة قبل ما تبدأ.

لو صار تسريب

اللائحة التنفيذية تلزمك تبلغ سدايا خلال 72 ساعة من علمك بالحادثة، إذا كانت قد تلحق ضررا بأصحاب البيانات. وتبلغ المتضررين دون تأخير إذا كان التسريب قد يضرهم. والمعنى العملي: جهّز من الحين مين يتصرف، وكيف تتواصل مع عملائك، قبل ما تحتاجه.

التسجيل ومسؤول حماية البيانات

القواعد المنشورة من سدايا تلزم بعض الجهات بالتسجيل في السجل الوطني على منصة حوكمة البيانات، ومن أبرزها الجهات التي نشاطها الرئيسي قائم على معالجة البيانات الشخصية، أو التي تعالج بيانات حساسة. وتلزم بتعيين مسؤول لحماية البيانات إذا كانت معالجة البيانات الحساسة جوهر نشاطك. أغلب المتاجر الصغيرة نشاطها الأساسي هو البيع، لكن إذا كانت خدمتك نفسها قائمة على البيانات، تأكد من وضعك.

العقوبات

• مخالفة أحكام النظام عموما: إنذار، أو غرامة تصل إلى 5 ملايين ريال، وتتضاعف عند التكرار (المادة السادسة والثلاثون).
• الإفصاح عن بيانات حساسة أو نشرها بقصد الإضرار أو تحقيق منفعة: سجن حتى سنتين وغرامة حتى 3 ملايين ريال (المادة الخامسة والثلاثون).
• ويحق للمتضرر المطالبة بالتعويض.

قائمة سريعة لموقعك

• صفحة سياسة خصوصية، مربوطة من أسفل كل الصفحات ومن نماذج الطلب والتواصل.
• لا تجمع إلا اللي تحتاجه فعلا. رقم الهوية مثلا، هل تحتاجه؟
• موافقة منفصلة وغير محددة مسبقا للتسويق، ورابط إلغاء يشتغل.
• إيميل للخصوصية، ورد خلال 30 يوما.
• قائمة بالأدوات اللي تطلع بياناتها برا المملكة، مذكورة في السياسة.
• خطة مكتوبة للتسريب: مين يبلغ سدايا خلال 72 ساعة، وكيف تبلغ العملاء.
• راجع السياسة كل ما أضفت أداة أو بوابة دفع جديدة.

أسئلة شائعة

هل سياسة الخصوصية إلزامية لمتجر على سلة أو زد؟

إذا متجرك يجمع بيانات شخصية، وهذا يصير في كل طلب، فالنظام يلزمك بسياسة خصوصية متاحة قبل الجمع. والمسؤولية عليك كصاحب متجر، والمنصة تعالج البيانات نيابة عنك.

هل نموذج «تواصل معنا» يخليني معنيا بالنظام؟

نعم. الاسم والجوال والإيميل بيانات شخصية، وجمعها عن طريق النموذج معالجة لها.

كم مدة الرد على طلب عميل يبي يحذف بياناته؟

اللائحة التنفيذية تحدد 30 يوما، وتسمح بتمديدها مرة وحدة بمثلها في حالات محددة.

هل استخدام Google Analytics أو بكسل الإعلانات يعتبر نقلا للبيانات خارج المملكة؟

هذي الأدوات تعالج بيانات الزوار على خوادم مزوديها، وغالبا خارج المملكة. اذكرها في سياستك، وخفف البيانات اللي ترسلها لها لأقل قدر.