جزء من سلسلة Compliance & Regulation

المملكة العربية السعودية PDPL: الامتثال لحماية البيانات الشخصية

يمثل قانون حماية البيانات الشخصية في المملكة العربية السعودية (PDPL)، الصادر بموجب المرسوم الملكي م/19 بتاريخ 16 سبتمبر 2021 ودخل حيز التنفيذ في 17 سبتمبر 2023، أول تشريع شامل لحماية البيانات في المملكة. وينطبق قانون حماية البيانات الشخصية (PDPL)، الذي تديره الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA)، على المؤسسات التي تعالج البيانات الشخصية للمقيمين السعوديين، وله آثار كبيرة على الشركات العاملة في السوق السعودي أو التي تخدمه.

وكان قانون حماية البيانات مصحوبًا بلوائحه التنفيذية (الصادرة عن سدايا في مارس 2023)، والتي توفر متطلبات مفصلة بشأن التدابير الفنية والتنظيمية، وعمليات حقوق أصحاب البيانات، وشروط نقل البيانات عبر الحدود. يمكن أن يؤدي عدم الامتثال إلى غرامات تصل إلى 5 ملايين ريال سعودي (1.33 مليون دولار أمريكي) والسجن لمدة عام واحد بسبب الانتهاكات الجنائية.

الوجبات الرئيسية

ينطبق قانون حماية البيانات الشخصية السعودي على أي معالجة للبيانات الشخصية للأفراد في المملكة العربية السعودية، بغض النظر عن مكان وجود جهة المعالجة

توجد ثمانية أسس قانونية للمعالجة؛ ويجب أن تكون الموافقة صريحة ومحددة ومستنيرة وقابلة للتحقق

تتطلب البيانات الحساسة (الصحة، والجينات، والائتمان، والسجلات الجنائية، والقياسات الحيوية، والتوجه الجنسي) موافقة صريحة أو استثناءات قانونية محددة

تتطلب عمليات النقل عبر الحدود موافقة SDAIA أو ضمانات محددة - يمثل توطين البيانات تحديًا كبيرًا للامتثال

تشمل حقوق صاحب البيانات الوصول والتصحيح والحذف وقابلية النقل والاعتراض - مع جداول زمنية للاستجابة مدتها 30 يومًا

يعد تعيين DPO إلزاميًا لبعض المؤسسات التي تعالج البيانات الحساسة على نطاق واسع

يمكن لـ SDAIA فرض غرامات تصل إلى 5 ملايين ريال سعودي وتشمل صلاحياتها التنظيمية تعليق معالجة البيانات

ينطبق قانون حماية البيانات الشخصية جنبًا إلى جنب مع اللوائح الخاصة بالقطاعات الصادرة عن البنك المركزي السعودي (ساما) والجهات التنظيمية الأخرى

نطاق PDPL وإمكانية تطبيقه

من يجب أن يمتثل

ينطبق قانون حماية البيانات الشخصية السعودي (المرسوم الملكي م/19 لسنة 1443 هـ / 2021) على:

المعالجة في المملكة العربية السعودية: أي جهة تعالج البيانات الشخصية داخل الأراضي السعودية
معالجة بيانات المقيمين السعوديين: الجهات خارج المملكة العربية السعودية التي تقوم بمعالجة البيانات الشخصية للأفراد المقيمين في المملكة العربية السعودية
المعالجة للأغراض الموجودة في المملكة العربية السعودية: المعالجة المتعلقة بتقديم السلع أو الخدمات للأفراد في المملكة العربية السعودية

ويعني هذا النطاق الذي يتجاوز الحدود الإقليمية أن الشركات الدولية التي تخدم العملاء السعوديين - بما في ذلك منصات التجارة الإلكترونية، ومقدمي البرامج كخدمة، والخدمات الرقمية - يجب أن تمتثل لقانون حماية البيانات الشخصية.

** التعريفات الرئيسية: **

البيانات الشخصية: أي بيانات تؤدي إلى تحديد هوية فرد ما على وجه التحديد، أو تتيح التعرف عليه، بما في ذلك الاسم ورقم التعريف الشخصي والعنوان وأرقام الاتصال وأي بيانات أخرى تحدد هوية الفرد
البيانات الشخصية الحساسة: البيانات الصحية، والبيانات الجينية، والبيانات الائتمانية والمالية، والبيانات المتعلقة بالأفراد ذوي الاحتياجات الخاصة، والسجلات الجنائية، والبيانات البيومترية، والبيانات التي تكشف الأصول العرقية أو الإثنية، والمعتقدات الدينية، والبيانات المتعلقة بالحياة الخاصة بما في ذلك التوجه الجنسي

الإعفاءات

لا ينطبق قانون PDPL على:

البيانات الشخصية التي تحتفظ بها السلطات الحكومية لأغراض أمنية أو قضائية
بيانات الأشخاص المتوفين (لا توجد أحكام تتعلق بحقوق الأقارب)
البيانات الشخصية التي تتم معالجتها لأغراض شخصية أو عائلية
البيانات مجهولة المصدر بطريقة تجعل إعادة تحديد الهوية مستحيلة

الأسس القانونية للمعالجة

تضع اللوائح التنفيذية لقانون حماية البيانات الشخصية أسسًا قانونية لمعالجة البيانات الشخصية. يجب على المراقبين توثيق الأساس القانوني المعمول به لكل نشاط معالجة:

الأساس القانوني	الوصف
موافقة	موافقة صريحة من صاحب البيانات - مجانية ومحددة ومستنيرة وقابلة للتحقق
العقد	المعالجة اللازمة لتنفيذ العقد مع صاحب البيانات
التزام قانوني	الامتثال لالتزام قانوني أو تنظيمي
مصالح حيوية	حماية حياة أو صحة صاحب البيانات
المصلحة العامة	أداء المهام للمصلحة العامة
المصالح المشروعة	حيث تكون مصالح المراقب مشروعة ومتوازنة مع حقوق صاحب البيانات
أبحاث وإحصائيات	للبحث العلمي أو الأغراض الإحصائية مع الضمانات المناسبة
حماية الحقوق القانونية	إنشاء أو ممارسة أو الدفاع عن الدعاوى القانونية

متطلبات الموافقة بموجب PDPL:

يجب أن تكون صريحة ومحددة لغرض المعالجة
لا يمكن تجميعها مع موافقات أخرى
يجب أن يكون بلغة واضحة، دون المصطلحات التقنية
يجب أن يكون الانسحاب سهلاً مثل تقديم الموافقة
يجب الاحتفاظ بسجل الموافقة
يتطلب التسويق والإعلان موافقة صريحة منفصلة

البيانات الحساسة: تتطلب المعالجة موافقة صريحة أو تقع ضمن أحد الإجراءات التالية: الالتزام القانوني، أو حماية المصالح الحيوية لصاحب البيانات أو الآخرين، أو الضرورة الطبية مع التزامات سرية الرعاية الصحية، أو المعالجة فيما يتعلق بالإجراءات القانونية، أو البحث العلمي مع الضمانات المناسبة.

حقوق صاحب البيانات

يمنح قانون حماية البيانات الشخصية الحقوق التالية لأصحاب البيانات، مع **فترة استجابة عامة 30 يومًا (قابلة للتمديد إلى 30 يومًا إضافيًا مع الإخطار):

الحق في الحصول على المعلومات: يجب إبلاغ أصحاب البيانات بأنشطة المعالجة قبل أو في وقت جمع البيانات. يجب على المراقبين الكشف عن: الهوية وتفاصيل الاتصال، والأغراض، والأساس القانوني، وفئات البيانات، وفترة الاحتفاظ، وحقوق أصحاب البيانات، ومعلومات النقل عبر الحدود.

حق الوصول: يمكن لأصحاب البيانات طلب تأكيد ما إذا كانت بياناتهم قيد المعالجة والحصول على نسخة. يجب تقديم الرد خلال 30 يومًا؛ نسخة مجانية واحدة كل 12 شهرًا (يُسمح برسوم النسخ الإضافية).

الحق في التصحيح: يمكن لأصحاب البيانات طلب تصحيح البيانات الشخصية غير الدقيقة أو القديمة.

الحق في المحو: يمكن لأصحاب البيانات طلب الحذف في الحالات التالية: استيفاء الغرض، أو سحب الموافقة (بدون أي أساس قانوني آخر)، أو جمع البيانات بشكل غير قانوني، أو التزام قانوني يتطلب الحذف. تشمل الاستثناءات الالتزام القانوني بالاحتفاظ بالحقوق القانونية وممارسة الحقوق وأبحاث المصلحة العامة.

الحق في إمكانية النقل: يمكن لأصحاب البيانات طلب بياناتهم بتنسيق منظم يمكن قراءته آليًا لنقلها إلى وحدة تحكم أخرى.

الحق في الاعتراض: يمكن لأصحاب البيانات الاعتراض على المعالجة بناءً على المصالح المشروعة (يجب على المراقب إثبات وجود أسباب مشروعة مقنعة تتجاوز مصالح صاحب البيانات).

الحق في تقييد اتخاذ القرارات الآلية: يمكن لأصحاب البيانات أن يطلبوا مراجعة بشرية للقرارات الآلية المهمة.

التزامات وحدة التحكم والمعالج

متطلبات إشعار الخصوصية

يجب على وحدات التحكم تقديم إشعار خصوصية واضح ويمكن الوصول إليه ويغطي ما يلي:

اسم الكيان ومعلومات الاتصال
فئات البيانات الشخصية التي تم جمعها
الأغراض والأسس القانونية للمعالجة
كيفية استخدام البيانات والإفصاح عنها ونقلها
فترات الاحتفاظ بالبيانات
حقوق أصحاب البيانات وكيفية ممارستها
معلومات حول أي عمليات نقل عبر الحدود
معلومات الاتصال بـ DPO (إذا تم تعيينه)

يجب أن تكون إشعارات الخصوصية باللغة العربية للعمليات الموجودة في المملكة العربية السعودية (تنطبق متطلبات الترجمة على الشركات التي تخدم المستهلكين السعوديين).

مسؤول حماية البيانات (DPO)

بموجب اللوائح التنفيذية لقانون حماية البيانات الشخصية، يعد تعيين مسؤول حماية البيانات أمرًا إلزاميًا لما يلي:

يقوم المتحكمون بمعالجة البيانات الشخصية الحساسة على نطاق واسع
يقوم المراقبون بمراقبة منهجية واسعة النطاق لموضوعات البيانات
السلطات العامة (مع الاستثناءات)

يجب على مسؤول حماية البيانات:

أن يكون لديك معرفة متخصصة بحماية البيانات وأمن المعلومات
تقديم التقارير مباشرة إلى الإدارة العليا
العمل كنقطة اتصال لـ SDAIA وموضوعات البيانات
مراقبة الامتثال لـ PDPL
تقديم المشورة بشأن تقييم الأثر البيئي

يجب الكشف عن تفاصيل الاتصال بمسؤول حماية البيانات (DPO) في إشعار الخصوصية.

تقييمات تأثير حماية البيانات (DPIAs)

تتطلب اللائحة التنفيذية إجراءات حماية البيانات الشخصية قبل معالجة الأنشطة التي قد تؤدي إلى مخاطر عالية على أصحاب البيانات، بما في ذلك:

معالجة واسعة النطاق للبيانات الحساسة
التنميط المنهجي لموضوعات البيانات
المعالجة التي تنطوي على تقنيات جديدة
معالجة بيانات الأطفال على نطاق واسع

يجب الاحتفاظ بوثائق DPIA وإتاحتها لـ SDAIA عند الطلب.

متطلبات الأمان

يجب على المراقبين تنفيذ إجراءات فنية وتنظيمية تتناسب مع حساسية البيانات ومخاطر معالجتها، بما في ذلك:

تشفير البيانات في التخزين والنقل
ضوابط الوصول مع مبدأ الامتياز الأقل
تسجيل التدقيق للوصول إلى البيانات الشخصية
اختبارات أمنية منتظمة وتقييمات الضعف
إجراءات الاستجابة للحوادث
استمرارية الأعمال والتعافي من الكوارث لأنظمة البيانات الشخصية
تقييم أمن البائع والمتطلبات التعاقدية

عمليات نقل البيانات عبر الحدود

تفرض المادة 29 من قانون حماية البيانات الشخصية قيودًا كبيرة على نقل البيانات الشخصية خارج المملكة العربية السعودية. يعد هذا أحد الجوانب الأكثر تحديًا من الناحية التشغيلية للامتثال لـ PDPL.

آليات النقل المسموح بها:

موافقة SDAIA: يخضع النقل لموافقة SDAIA المسبقة والشروط التي تحددها
الحماية الكافية: النقل إلى بلد يتمتع بمستوى مناسب من حماية البيانات (تحتفظ SDAIA بقائمة معتمدة)
الضمانات التعاقدية: النقل بموجب عقود توفر الحماية الكافية وتلبية متطلبات SDAIA
قواعد الشركة الملزمة: عمليات النقل داخل المجموعة بموجب قواعد الشركة الملزمة المعتمدة
الموافقة: موافقة صريحة ومستنيرة لصاحب البيانات
ضرورة العقد: النقل اللازم لتنفيذ العقد مع صاحب البيانات
المصالح الحيوية: النقل الضروري لحماية المصالح الحيوية حيث لا يمكن الحصول على الموافقة
المصلحة العامة: النقل المطلوب للمصلحة العامة مع توفير الضمانات المناسبة

اعتبارات توطين البيانات: تفرض اللوائح الخاصة بالقطاع الصادرة عن مؤسسة النقد العربي السعودي وهيئة الاتصالات والفضاء والتقنية (CST) ووزارة الصحة متطلبات توطين البيانات للبيانات المالية وبيانات الاتصالات والبيانات الصحية. يجب على موفري الخدمات السحابية الاحتفاظ بمراكز بيانات داخل المملكة العربية السعودية لبعض فئات البيانات المنظمة.

التأثير العملي: نفذت العديد من الشركات متعددة الجنسيات ذات العمليات السعودية حلول إقامة البيانات - باستخدام المناطق السحابية الموجودة في المملكة العربية السعودية (المتوفرة من AWS وAzure وGoogle Cloud) - لتجنب الامتثال المعقد للنقل عبر الحدود.

إشعار الخرق

تتطلب المادة 20 من قانون حماية البيانات الشخصية (PDPL) من المراقبين إخطار SDAIA بانتهاكات البيانات الشخصية خلال 72 ساعة من اكتشاف الانتهاك الذي يشكل خطرًا على حقوق أصحاب البيانات أو مصالحهم.

محتوى إشعار الانتهاك المطلوب:

طبيعة وظروف الانتهاك
الفئات والعدد التقريبي لموضوعات البيانات المتضررة
الفئات والعدد التقريبي للسجلات المتضررة
الاسم وتفاصيل الاتصال بـ DPO أو جهة اتصال أخرى
العواقب المحتملة للانتهاك
الإجراءات المتخذة أو المخطط لها لمعالجة الانتهاك

إخطار أصحاب البيانات: مطلوب دون تأخير غير مبرر عندما يؤدي الانتهاك على الأرجح إلى مخاطر كبيرة على حقوق أصحاب البيانات أو حرياتهم. يجب أن يتضمن الإخطار: ما حدث، والبيانات التي تأثرت، والخطوات التي يمكن أن يتخذها أصحاب البيانات لحماية أنفسهم، ومعلومات الاتصال لمزيد من الاستفسارات.

تطبيق SDAIA والعقوبات

السلطات التنظيمية

تتمتع SDAIA بصلاحيات تنظيمية واسعة بموجب قانون حماية البيانات الشخصية (PDPL):

إصدار الإرشادات واللوائح
التحقيق في الشكاوى المقدمة من أصحاب البيانات – إجراء عمليات تدقيق لمراقبي البيانات
فرض العقوبات الإدارية
تعليق أنشطة المعالجة التي تنتهك قانون حماية البيانات الشخصية (PDPL).
إحالة المخالفات الجنائية إلى النيابة العامة

العقوبات

العقوبات الإدارية:

غرامة تصل إلى مليون ريال سعودي (267,000 دولار أمريكي) لانتهاك حقوق صاحب البيانات أو التزامات المراقب
غرامة تصل إلى 5 ملايين ريال سعودي (1.33 مليون دولار أمريكي) لانتهاك البيانات الشخصية الحساسة
غرامة تصل إلى 5 ملايين ريال لمخالفات التحويل عبر الحدود
يمكن مضاعفة الغرامات في حالة تكرار المخالفة خلال سنتين

العقوبات الجنائية:

الكشف عن بيانات حساسة أو نشرها دون تصريح: السجن لمدة تصل إلى سنتين و/أو غرامة تصل إلى 3 ملايين ريال سعودي
نقل البيانات خارج المملكة العربية السعودية للإضرار بالمصالح الوطنية: السجن لمدة تصل إلى سنة واحدة و/أو غرامة تصل إلى مليون ريال سعودي

الإفصاح العام: قد تنشر SDAIA معلومات حول الانتهاكات والعقوبات، مع ما يترتب على ذلك من آثار كبيرة على السمعة في سوق الأعمال المركزة في المملكة العربية السعودية.

التفاعل مع اللوائح السعودية الأخرى

إطار عمل مؤسسة النقد العربي السعودي للأمن السيبراني

يمتلك البنك المركزي السعودي (SAMA) إطارًا خاصًا به للأمن السيبراني (SAMACF) ينطبق على جميع الكيانات الخاضعة لرقابة مؤسسة النقد العربي السعودي (البنوك وشركات التأمين وشركات التمويل). يتضمن الإطار ما يلي:

تصنيف البيانات ومتطلبات الحماية المتوافقة مع PDPL
الاستجابة للحوادث ومتطلبات الإخطار
التزامات إدارة مخاطر الطرف الثالث
متطلبات تقييم مزود الخدمة السحابية

يجب على الكيانات الخاضعة لرقابة مؤسسة النقد العربي السعودي (SAMA) الالتزام بكل من SAMACF وPDPL، مع مراعاة المتطلبات الأكثر صرامة.

لوائح حماية البيانات الشخصية لـ CST (الاتصالات)

أصدرت هيئة الاتصالات والفضاء والتكنولوجيا متطلبات حماية البيانات الخاصة بالاتصالات بما في ذلك حماية بيانات المشتركين، وقيود بيانات الموقع، وتوطين البيانات لمشغلي الاتصالات.

لوائح القطاع الصحي

أصدرت وزارة الصحة والمجلس الصحي السعودي متطلبات حماية بيانات الرعاية الصحية التي تنص على: موافقة المريض على مشاركة البيانات، وتوطين البيانات للسجلات الصحية، ومعايير أمنية محددة لأنظمة المعلومات الصحية، والقيود المفروضة على استخدام البيانات الصحية لأغراض تجارية.

قائمة مراجعة الامتثال لـ PDPL السعودية

الأسئلة المتداولة

متى أصبح قانون حماية البيانات الشخصية في المملكة العربية السعودية قابلاً للتنفيذ؟

تم إصدار قانون حماية البيانات الشخصية بموجب المرسوم الملكي م/19 في سبتمبر 2021 وتم إصدار لائحته التنفيذية في مارس 2023. وبدأ التنفيذ في 17 سبتمبر 2023 - بعد عامين من صدور القانون. أشارت SDAIA في البداية إلى فترة سماح للتحضير للامتثال، ولكن التنفيذ نشط الآن. تواجه الشركات التي لم تبدأ بعد برامج الامتثال مخاطر تنظيمية حقيقية.

هل ينطبق قانون حماية البيانات الشخصية السعودي على أعمالي خارج المملكة العربية السعودية؟

نعم، إذا قمت بمعالجة البيانات الشخصية للأفراد المقيمين في المملكة العربية السعودية. يشبه النطاق الذي يتجاوز الحدود الإقليمية نهج اللائحة العامة لحماية البيانات: إذا كنت تقدم سلعًا أو خدمات للمقيمين السعوديين، أو تقوم بمعالجة بيانات المقيمين السعوديين لأي غرض من الأغراض، فسيتم تطبيق قانون حماية البيانات الشخصية (PDPL). ويشمل ذلك شركات التجارة الإلكترونية ومقدمي SaaS والخدمات الرقمية وأي شركة بها موظفون سعوديون (بالنسبة لبيانات التوظيف الخاصة بهم).

ما هي متطلبات توطين البيانات في المملكة العربية السعودية؟

لا يفرض قانون PDPL نفسه توطينًا شاملاً للبيانات، فهو يسمح بعمليات النقل عبر الحدود من خلال آليات معتمدة. ومع ذلك، فإن اللوائح الخاصة بالقطاع تخلق متطلبات توطين كبيرة: يجب على المؤسسات المالية الخاضعة لرقابة مؤسسة النقد العربي السعودي الاحتفاظ بالبيانات المالية للعملاء داخل المملكة العربية السعودية؛ يجب أن يتم تخزين البيانات الصحية داخل المملكة العربية السعودية للكيانات الصحية المنظمة؛ تحتوي بيانات مشتركي الاتصالات على متطلبات إقامة محددة. قام موفرو الخدمات السحابية AWS، وMicrosoft Azure، وGoogle Cloud بإنشاء مناطق سحابية في المملكة العربية السعودية لتلبية هذه المتطلبات.

كيف تتفاعل PDPL مع القانون العام لحماية البيانات (GDPR) للشركات متعددة الجنسيات؟

يجب على الشركات متعددة الجنسيات الخاضعة لكل من اللائحة العامة لحماية البيانات (GDPR) وقانون حماية البيانات الشخصية السعودي (PDPL) تلبية كلا الإطارين في وقت واحد. وهي تشترك في مبادئ متشابهة ولكنها تختلف في التفاصيل – متطلبات موافقة PDPL، وآليات النقل عبر الحدود، والجداول الزمنية للإخطار بالانتهاك لها متطلبات خاصة بالمملكة العربية السعودية. يتمثل التحدي العملي الرئيسي في تدفقات البيانات عبر الحدود: فالبيانات المتدفقة من المملكة العربية السعودية إلى دول الاتحاد الأوروبي لا تتوافق تلقائيًا مع قانون حماية البيانات الشخصية السعودي لمجرد تطبيق اللائحة العامة لحماية البيانات في الوجهة. يجب تقييم كل عملية نقل بموجب آليات PDPL.

ما هو SDAIA وما هي صلاحياته؟

سدايا (الهيئة السعودية للبيانات والذكاء الاصطناعي) هي الهيئة الحكومية المسؤولة عن الإشراف على البيانات والذكاء الاصطناعي في المملكة العربية السعودية. تأسست SDAIA في عام 2019، وهي تدير PDPL وتتمتع بصلاحيات تنظيمية وتحقيقية وتنفيذية واسعة. ويتولى إصدار الإرشادات واللوائح، والتحقيق في الشكاوى، وإجراء عمليات التدقيق، وفرض الغرامات الإدارية، وإحالة المخالفات الجنائية إلى النيابة العامة. تدير SDAIA أيضًا الإطار الوطني لإدارة البيانات وتشرف على تطوير اقتصاد البيانات في المملكة العربية السعودية.

الخطوات التالية

يعمل الاقتصاد الرقمي المتنامي في المملكة العربية السعودية والتحول في رؤية 2030 على خلق فرص عمل كبيرة إلى جانب المتطلبات التنظيمية الصارمة بشكل متزايد. أصبح الامتثال لـ PDPL شرطًا أساسيًا لممارسة الأعمال التجارية مع الجهات الحكومية السعودية والبنوك ومنظمات الرعاية الصحية وعملاء المؤسسات.

تساعد ECOSIRE المؤسسات على التنقل عبر الامتثال لـ PDPL السعودي إلى جانب متطلبات حماية البيانات الإقليمية الأخرى. تشمل خدماتنا تقييمات فجوات الامتثال، وتصميم برامج الخصوصية، والتنفيذ الفني، وإدارة الامتثال المستمرة.

معرفة المزيد: خدمات ECOSIRE

إخلاء المسؤولية: هذا الدليل لأغراض إعلامية فقط ولا يشكل مشورة قانونية. تتطور متطلبات PDPL السعودية من خلال توجيهات SDAIA وقرارات التنفيذ. استشر مستشارًا قانونيًا سعوديًا مؤهلًا للحصول على مشورة خاصة بمؤسستك.

الوسوم:saudi-arabia pdpl compliance data-protection gcc

E

بقلم

ECOSIRE Research and Development Team

بناء منتجات رقمية بمستوى المؤسسات في ECOSIRE. مشاركة رؤى حول تكاملات Odoo وأتمتة التجارة الإلكترونية وحلول الأعمال المدعومة بالذكاء الاصطناعي.

عرض جميع المقالات

Saudi Arabia PDPL: Personal Data Protection Compliance