انتهت مهلة السماح في 14 سبتمبر 2024. صار نظام حماية البيانات الشخصية نافذا بالكامل من يومها، وصارت الغرامة رقما تشغيليا لا احتمالا بعيدا. وإذا كنت تدير نظام عملاء في شركة سعودية، فأنت لا تحتاج شرحا للنظام. تحتاج جوابا على خمسة أسئلة: كم تبلغ الغرامة، وعلى أي أساس تعالج بيانات عملائك المحتملين، وماذا يحق لك أن ترسل على واتساب، وماذا توقع إذا كان نظامك مستضافا خارج المملكة، وما المهل التي يلتزم بها فريقك. نجيب عليها بالترتيب، ونربط كل إجابة برقم المادة التي تحكمها.
متى أصبح النظام ملزما، وكم تبلغ الغرامة؟
تصل الغرامة الإدارية إلى 5,000,000 ريال، وتتضاعف عند التكرار. أما من يفشي بيانات حساسة بقصد الإضرار أو لتحقيق منفعة شخصية، فعقوبته السجن حتى سنتين وغرامة تصل إلى 3,000,000 ريال. صدر النظام بالمرسوم الملكي م/19 في 16 سبتمبر 2021، ثم عدل بالمرسوم الملكي م/148 في 27 مارس 2023. وبدأ سريانه في 14 سبتمبر 2023 بمهلة تنفيذ اثني عشر شهرا، انتهت في 14 سبتمبر 2024. يعني هذا أن فترة التهيئة التي بنت عليها كثير من الشركات خططها انقضت من سنتين، وأن ما نحن فيه الآن هو الإنفاذ الكامل.
على أي أساس تعالج بيانات عملائك المحتملين؟
الموافقة هي الأصل. لا يجوز أن تعالج بيانات شخصية، ولا أن تغير الغرض من معالجتها، إلا بعد موافقة صاحبها. ويسمح النظام بالمعالجة دون موافقة في أربع حالات، تهمك منها اثنتان. الأولى أن تكون المعالجة لازمة لاتفاق يكون صاحب البيانات طرفا فيه أو لخطوات سابقة عليه، وهذه تغطي عميلا دخل فعلا في تفاوض أو طلب عرض سعر. والثانية أن تكون لمصلحة مشروعة لجهة التحكم، بشرط ألا تتضمن بيانات حساسة. والفرق بينهما ليس شكليا. الأولى تنتهي بانتهاء التعاقد، والثانية تبقى مفتوحة، لكنها وحدها التي يطلب منك إثبات أنك وازنتها قبل أن تبدأ.
لا يجوز أن تكتفي بذكر المصلحة المشروعة في سياسة الخصوصية. يشترط النظام أمرين قبلها: موازنة موثقة بين مصلحتك وحقوق صاحب البيانات، وتقييم أثر تنجزه قبل أن تبدأ المعالجة لا بعدها. والفرق هنا عملي. لو سألتك الجهة المختصة عن أساس معالجة قائمة عملاء محتملين، فالمطلوب مستند مؤرخ قبل تاريخ أول عملية معالجة، لا تبريرا تكتبه وقت السؤال. ولهذا سجل أساس المعالجة في حقل داخل نظام العملاء نفسه، مربوطا بمصدر البيانات، لا في ملف منفصل يصعب إثبات تاريخه.
عميل راسلنا على واتساب أولا، ماذا يحق لنا أن نرسل؟
رد على استفساره وسجل المحادثة في نظام العملاء، ولا تحتاج موافقة تسويقية منفصلة. الاستفسار نفسه هو التفاعل السابق الذي تتحدث عنه المادة 28 من اللائحة التنفيذية. لكن إذا أضفت الرقم إلى قائمة بث أو حملة ترويجية، فهذا تسويق مباشر. وتعريف اللائحة له يشمل أي وسيلة إلكترونية مباشرة، والموافقة مطلوبة فيه، راسلك العميل أولا أو لم يراسلك. الرسالة الواحدة إذن لا تحكمها مادة واحدة بل أربع، وموضعها في التسلسل هو ما يحدد الجواب.
تحكم المادة 26 من النظام معالجة البيانات لأغراض التسويق، وتشترط جمعها من صاحبها مباشرة مع موافقته. وتحكم المادة 25 من النظام القناة نفسها، وتشترط موافقة مسبقة قبل استخدام وسائل الاتصال الشخصية لإرسال مواد إعلانية أو توعوية. والمادتان تنطبقان على أي رسالة تسويقية مهما كان محتواها. ثم تفصل اللائحة التنفيذية بعد ذلك بحسب نوع الرسالة، وهنا يقع الفرق الذي يهم فريق المبيعات فعلا.
لا تجد هذه التفرقة بين المادتين 28 و 29 مكتوبة في أي صفحة عربية ظاهرة في نتائج البحث، وهي مصدر أكثر خطأين شيوعا. الأول أن يفترض الفريق أن استفسارا سابقا يفتح الباب لكل شيء، فيضيف الرقم إلى قائمة بث، ويقع تحت المادة 29. والثاني أن يفترض أن كل رسالة تحتاج موافقة موقعة، فيمتنع عن الرد على استفسار وصله فعلا، ويخسر عميلا بلا سبب نظامي. وتبقى بعد ذلك منطقة رمادية في المواد التوعوية لمن راسلك أولا. لم تصدر سدايا توجيها يحسم الحد الفاصل بين المادتين، فتعامل مع ما سبق كقراءة موثقة للنص، لا كإجابة نهائية.
وأيا كان مسارك في المخطط أعلاه، يجب أن تتوفر في كل رسالة تسويقية ثلاثة أمور مستقلة عن الموافقة نفسها. أن تكون آلية إيقاف الرسائل سهلة ومبسطة، ومماثلة أو أسهل من إجراءات الحصول على الموافقة، وأن يكون الإيقاف فوريا وبلا مقابل. وأن يذكر اسم المرسل بوضوح دون إخفاء هويته. وأن تحتفظ بما يثبت موافقة المستهدف على استقبال المواد. فحملة واتساب تشغل من رقم غير معرف، وبلا زر إيقاف، وبلا سجل للموافقات، تخالف النص في ثلاث نقاط منفصلة، وكل واحدة منها كافية وحدها. وضبط الثلاثة معا أسهل حين تكون قناة واتساب موصولة بنظام العملاء بدل أن تعمل من تطبيق بث منفصل.
نظام العملاء مستضاف خارج المملكة، ما الذي نوقعه؟
صارت الضمانات المناسبة للنقل خارج المملكة ثلاثة منذ سبتمبر 2024 بعد أن كانت أربعة، إذ ألغيت مدونات السلوك الملزمة. والباقي هو الشروط التعاقدية القياسية الصادرة عن سدايا، والقواعد الملزمة المشتركة داخل المجموعة الواحدة، وشهادة الاعتماد. ولو كنت شركة سعودية تشغل نظام عملاء على منصة عالمية، فالمسار العملي الوحيد من الثلاثة هو الأول، لأن القواعد الملزمة تفترض مجموعة شركات، وشهادة الاعتماد تفترض جهة مانحة معتمدة. والشروط التعاقدية القياسية إلزامية وغير قابلة للتعديل. لا تملأ فيها إلا الحقول الفارغة، وأي تعديل غير مصرح به لا تعترف به الجهة المختصة، ويعد مخالفة قائمة بذاتها.
وهنا النقطة التي لا تجدها مكتوبة في أي صفحة عربية ظاهرة: الشروط التعاقدية القياسية الأوروبية الواردة في اتفاقيات معالجة البيانات لدى مزودي الأنظمة العالمية ليست هي الشروط السعودية، ولا تغني عنها. ولم تنشر حتى تاريخ هذه المادة قائمة دول تعتبر ذات حماية كافية. وتلزمك إرشادات تقييم مخاطر النقل الصادرة في 25 فبراير 2025 بتقييم كل جهة متلقية على حدة، ولا تشير إلى قائمة معتمدة مسبقا. فلا تبن خطتك على وجود اختصار. وثق تقييمك لكل مزود على حدة، وتذكر أنك تبقى مسؤولا أمام سدايا عن التزام معالجك، ولو كان شركة عالمية كبيرة.
ما المهل الزمنية التي يلزمك الالتزام بها؟
أربع مهل تحتاج أن تعرفها، وثلاث منها مشروطة بشرط تسقطه أغلب الملخصات المتداولة:
| المهلة | ما الذي يجب أن يحدث خلالها | الشرط الذي يغير الإجابة |
|---|---|---|
| 72 ساعة | إبلاغ سدايا بحادثة تسريب بيانات، عبر منصة حوكمة البيانات الوطنية، من وقت العلم بالحادثة | المادة 24 من اللائحة تربط الالتزام باحتمال أن يسبب الحادث ضررا، فليس كل حادث واجب الإبلاغ |
| دون تأخير غير مبرر | إبلاغ أصحاب البيانات المتأثرين، مع وصف الأثر وإجراءات الحد منه | لا مهلة رقمية هنا، والمعيار هو ما يمكن تبريره أمام الجهة المختصة |
| 30 يوم | الرد على طلب صاحب بيانات: اطلاع أو تصحيح أو حذف أو سحب موافقة | تمتد ثلاثين يوما إضافية للطلبات المعقدة، بشرط إشعار مسبق قبل التمديد لا بعده |
| مدة المعالجة زائد 5 سنوات | الاحتفاظ بسجل أنشطة المعالجة | لا يوجد إعفاء للمنشآت الصغيرة كما هو الحال في الأنظمة الأوروبية |
والمهلة الوحيدة التي تستهلك عمليا هي الثلاثون يوما. وسببها ليس قانونيا بل تشغيلي. يذهب الوقت في البحث اليدوي عن كل مكان يظهر فيه العميل داخل النظام، بين جهات الاتصال والصفقات والمحادثات ومرفقات البريد. والشركات التي ترد في يومين هي التي بنت تصدير بيانات جهة اتصال واحدة بضغطة واحدة، قبل أن يصلها أول طلب. وهذا التصدير جزء من تنفيذ نظام عملاء مضبوط من البداية، لا إضافة تلحق به بعد أول طلب.
من أين تبدأ عمليا هذا الأسبوع؟
أربع خطوات تنجزها داخل نظام العملاء نفسه، مرتبة بحسب ما يوفر عليك أكبر وقت عند أول سؤال من جهة مختصة:
- سجل أساس المعالجة في حقل ظاهر. حدد لكل مصدر بيانات الأساس الذي تعتمد عليه، واكتبه داخل النظام لا في مستند منفصل.
- افصل حقل موافقة التسويق عن حقل الموافقة على التواصل. الخلط بينهما أكثر خطأ رأيناه، وهو بالضبط ما يجعل المخطط أعلاه غير قابل للتطبيق.
- فعل تصدير بيانات جهة اتصال واحدة بضغطة واحدة. هذه هي الخطوة التي تحول مهلة الثلاثين يوما من مشكلة إلى إجراء.
- أدرج مزود الاستضافة ومكان الخوادم في سجل أنشطة المعالجة. قبل أن تحتاجه، لا بعد أن يطلب منك.
لماذا لا تجد هذه الإجابات في نتائج البحث؟
قسنا نتائج البحث العربية لعبارة نظام حماية البيانات الشخصية في قاعدة بيانات السعودية بتاريخ 2 أغسطس 2026، وقرأنا الصفحات التجارية الظاهرة فيها. تعود المرتبة الأولى إلى laws.boe.gov.sa، وهي النص النظامي الخام. وتعرض المرتبة الثالثة النص ذاته مرة أخرى عبر منصة حوكمة البيانات الوطنية. أما المرتبة الثانية فصفحة تعريفية على sdaia.gov.sa. ولا توجد صفحة واحدة ضمن العشرين الأولى تجيب على سؤال المشغل: نظام العملاء لدينا مستضاف خارج المملكة، ما الذي نوقعه؟ تشرح الصفحات ما يقوله النظام، ولا تشرح ما تفعله أنت يوم الاثنين صباحا. وهذه المادة مكتوبة لسد تلك المسافة بالذات.
أسئلة متكررة
هل يشمل نظام حمايه البيانات الشخصيه الشركات الصغيرة؟
نعم. لا يتضمن النظام حدا عدديا ولا إعفاء للمنشآت الصغيرة، والالتزام مرتبط بطبيعة النشاط لا بحجم الشركة.
هل تسجيل الشركة في السجل الوطني لجهات التحكم إلزامي علينا؟
يلزم التسجيل الجهات العامة، ومن يكون نشاطها الرئيسي معالجة البيانات الشخصية، ومن يعالج بيانات حساسة. والشركة التي تشغل نظام عملاء كوظيفة مساندة لا يقع عليها الالتزام بحسب هذين المعيارين. لكن الفصل في ذلك يستحق استشارة قانونية محلية، لأنه أكثر حكم يترتب عليه أثر تشغيلي.
هل الشروط التعاقديه القياسيه الأوروبية تكفي؟
لا تكفي. الشروط الأوروبية الواردة في اتفاقيات معالجة البيانات لدى المزودين العالميين وثيقة مستقلة تماما عن الشروط السعودية، وتوقيعها لا يغني عن توقيع النموذج الصادر عن سدايا وتعبئة ملاحقه.
هل نحتاج مسؤول حماية بيانات؟
غالبا لا. تشترط المادة 32 من اللائحة التعيين في ثلاث حالات، وكل واحدة منها مقيدة بالنطاق الواسع: جهة عامة تعالج بيانات على نطاق واسع، أو أنشطة رئيسية تتطلب مراقبة منتظمة ومستمرة للأفراد على نطاق واسع، أو أنشطة أساسية تعالج بيانات حساسة. وقيد النطاق الواسع في الحالة الثانية هو ما يخرج موقعا تجاريا اعتياديا يغذي نظام عملاء من دائرة الالتزام، وهو قيد تسقطه أغلب الملخصات المتداولة.
هذه المادة مرجع تشغيلي وليست استشارة قانونية. وأرقام المواد النظامية تحتاج تحققا من النص المنشور في أم القرى قبل الاعتماد عليها في أي التزام تعاقدي.