الامتثال والحوكمة
ما هو نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية؟
يُطبَّق نظام حماية البيانات الشخصية في المملكة العربية السعودية منذ 14 سبتمبر 2023، وتُعد سدايا (SDAIA) الجهة التنظيمية له. النطاق، والالتزامات، والإشعار بحوادث التسرب خلال 72 ساعة، ونقل البيانات، والعقوبات.
بقلم Vigilbaseنُشر في
يحكم نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية معالجة البيانات الشخصية في المملكة، بما في ذلك معالجة البيانات الشخصية الخاصة بالأفراد المقيمين فيها من خارج المملكة. وقد صدر بالمرسوم الملكي رقم م/19 وتاريخ 9/2/1443هـ، وعُدِّل بالمرسوم الملكي رقم م/148 وتاريخ 5/9/1444هـ. ووفقًا للهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، دخل النظام حيز النفاذ في 14 سبتمبر 2023، مع مهلة سنة واحدة للامتثال انتهت في 14 سبتمبر 2024. وسدايا (SDAIA) هي الجهة المختصة التي تشرف على تطبيقه.
من أصدر نظام حماية البيانات الشخصية (PDPL)، ومن يتولى إنفاذه؟
صدر النظام بمرسوم ملكي، وتدعمه لائحتان: اللائحة التنفيذية لنظام حماية البيانات الشخصية، ولائحة نقل البيانات الشخصية إلى خارج المملكة، التي نشرت سدايا نسختها الحالية في أغسطس 2024. وقد جعل قرار مجلس الوزراء رقم 98 سدايا الجهة المختصة لمدة سنتين، على أن يُنظر خلالهما في نقل هذه المسؤولية إلى مكتب إدارة البيانات الوطنية (NDMO). وتذكر منصة حوكمة البيانات الوطنية التابعة لسدايا أن سدايا تشرف على تطبيق النظام، وتتولى المنصة تسجيل جهات التحكم واستقبال الإشعارات بحوادث التسرب.
من الملزم بالامتثال لنظام حماية البيانات الشخصية (PDPL)؟
يسري النظام على أي معالجة للبيانات الشخصية المتعلقة بالأفراد تتم في المملكة بأي وسيلة كانت، وعلى معالجة البيانات الشخصية الخاصة بالأفراد المقيمين في المملكة من أي جهة خارجها. وتُستثنى المعالجة لأغراض شخصية أو عائلية بحتة، ما دامت البيانات لا تُنشر ولا يُفصح عنها للغير؛ وتوضح اللائحة التنفيذية أن الاستخدامات المهنية والتجارية وغير الربحية لا تُعد استخدامًا شخصيًا أو عائليًا. كما يجب على بعض جهات التحكم التسجيل في السجل الوطني لدى سدايا.
1.الجهات العامة.
2.جهات التحكم التي يقوم نشاطها الرئيسي على معالجة البيانات الشخصية.
3.جهات التحكم التي تعالج بيانات حساسة.
4.الأفراد الذين يعالجون بيانات شخصية لأغراض تتجاوز الاستخدام الشخصي أو العائلي.
ما الالتزامات الرئيسية في نظام حماية البيانات الشخصية (PDPL)؟
يضع النظام المبادئ، وتحدد اللائحة التنفيذية التفاصيل. وبإيجاز، يجب على جهة التحكم:
1.عدم معالجة البيانات الشخصية إلا بموافقة صاحب البيانات أو بموجب أحد الاستثناءات التي ينص عليها النظام، مثل المصلحة المشروعة حين لا تكون هناك بيانات حساسة. وتتطلب البيانات الحساسة والبيانات الائتمانية والقرارات المبنية حصرًا على المعالجة الآلية موافقة صريحة.
2.عدم استخدام البيانات إلا للأغراض التي جُمعت من أجلها، وفي حدود الحد الأدنى اللازم.
3.الاحتفاظ بسجلات مكتوبة لأنشطة المعالجة طوال مدة المعالجة ولمدة خمس سنوات بعد انتهائها.
4.تعيين مسؤول عن حماية البيانات الشخصية إذا كانت جهة عامة تعالج بيانات شخصية على نطاق واسع، أو إذا كانت الأنشطة الأساسية تتطلب مراقبة منتظمة ومنهجية لأصحاب البيانات، أو إذا كانت الأنشطة الأساسية تقوم على معالجة بيانات حساسة.
5.اتخاذ التدابير الأمنية التنظيمية والإدارية والتقنية، مع اعتماد ضوابط الهيئة الوطنية للأمن السيبراني، أو أفضل الممارسات المعترف بها حيثما لا تنطبق تلك الضوابط.
6.إجراء تقييمات الأثر للمعالجة الأعلى خطورة، مثل معالجة البيانات الحساسة أو المراقبة على نطاق واسع.
7.عدم نقل البيانات الشخصية إلى خارج المملكة إلا وفق شروط لائحة النقل، مثل توفر مستوى ملائم من الحماية أو ضمانات كالبنود التعاقدية المعيارية، مع إجراء تقييم لمخاطر النقل حيثما تشترط اللائحة ذلك.
ما الحقوق التي يتمتع بها أصحاب البيانات؟
يحق لأصحاب البيانات العلم بالمعالجة، والوصول إلى بياناتهم، والحصول عليها بصيغة مقروءة وواضحة، وتصحيحها أو استكمالها أو تحديثها، وإتلافها عند انتفاء الحاجة إليها. ويمكنهم الرجوع عن الموافقة في أي وقت. ويجب على جهات التحكم الرد على الطلبات خلال 30 يومًا، قابلة للتمديد لمدة لا تتجاوز 30 يومًا إضافية في الحالات التي تجيزها اللائحة التنفيذية.
كيف يجب الإبلاغ عن حوادث تسرب البيانات الشخصية؟
بموجب المادة 24 من اللائحة التنفيذية، يجب على جهة التحكم إشعار سدايا خلال 72 ساعة من علمها بحادثة تسرب قد تُلحق ضررًا بالبيانات الشخصية أو بأصحابها، أو تتعارض مع حقوقهم أو مصالحهم. ويصف الإشعار الحادثة، بما في ذلك وقت علم جهة التحكم بها، وفئات البيانات وعدد الأشخاص المتأثرين، والمخاطر، والتدابير المتخذة. وإذا لم تتوفر بعض المعلومات خلال 72 ساعة، فيجب تقديمها في أقرب وقت ممكن مع بيان مبررات التأخير. ويجب على جهات التحكم أيضًا إبلاغ أصحاب البيانات المتأثرين دون تأخير غير مبرر إذا كان التسرب قد يُلحق بهم ضررًا، والاحتفاظ بنسخ من التقارير والإجراءات التصحيحية المتخذة.
ما العقوبات المنصوص عليها في نظام حماية البيانات الشخصية (PDPL)؟
يُعاقَب على الإفصاح عن البيانات الحساسة أو نشرها بالمخالفة لأحكام النظام، بقصد الإضرار بصاحب البيانات أو لتحقيق منفعة شخصية، بالسجن مدة لا تزيد على سنتين، أو بغرامة لا تزيد على 3 ملايين ريال سعودي (SAR)، أو بهما معًا. ويمكن أن تؤدي المخالفات الأخرى لأحكام النظام أو لوائحه إلى إنذار أو غرامة لا تزيد على 5 ملايين ريال سعودي (SAR)، تفرضها لجنة تابعة للجهة المختصة. ويجوز مضاعفة الغرامات في حال تكرار المخالفة، بما لا يتجاوز ضعف الحد الأقصى.
في أي الجوانب تساعدكم Vigilbase على توفير أدلة الالتزام بنظام حماية البيانات الشخصية (PDPL)؟
تعتمد التزامات الأمن والإشعار بحوادث التسرب في نظام حماية البيانات الشخصية على معرفة ما حدث بسرعة. يربط Vigilbase OS أدوات الأمان التي تدفعون مقابلها بالفعل، ويحفظ سجلاتها وأحداثها قابلة للتدقيق والاستعلام في مكان واحد، ويسجّل كل تحقيق الأدلة والإجراء المتخذ ونتيجة التحقق. ويساعدكم ذلك على جمع الوقائع التي يتطلبها الإشعار خلال 72 ساعة، مثل وقت اكتشاف الحادثة وما اتُّخذ لاحتوائها. ولأن اللائحة التنفيذية تُحيل جهات التحكم إلى ضوابط الهيئة الوطنية للأمن السيبراني، فإن السجل التشغيلي نفسه يدعم أيضًا أدلة الالتزام بالضوابط الأساسية للأمن السيبراني (NCA ECC). وقد تحتوي السجلات الأمنية على بيانات شخصية، لذا أدرجوا في تقييمكم بموجب نظام حماية البيانات الشخصية أي مزوّد خدمات أمنية يتلقى هذه السجلات، بما في ذلك مكان تخزين البيانات، واطرحوا هذه المتطلبات عند تحديد النطاق.
حول هذا الدليل
يلخّص هذا الدليل نظام حماية البيانات الشخصية (PDPL) ولائحته التنفيذية وإرشادات سدايا كما نُشرت في أكتوبر 2026. وهو ليس استشارة قانونية. تأكدوا من المتطلبات الحالية بالرجوع إلى منشورات سدايا ومستشاركم القانوني، ولا سيما فيما يتعلق بالتسجيل، ونقل البيانات إلى خارج المملكة، والقواعد القطاعية مثل قواعد البنك المركزي السعودي.
أبرز النقاط
✓يسري نظام حماية البيانات الشخصية (PDPL) على المعالجة التي تتم في المملكة العربية السعودية، وعلى المعالجة التي تتم من الخارج لبيانات الأفراد المقيمين في المملكة.
✓تُعدّ SDAIA الجهة المختصة؛ وقد انتهت فترة السماح للامتثال في 14 سبتمبر 2024.
✓يجب على جهات التحكم إشعار SDAIA بأي تسرّب ضارّ للبيانات الشخصية خلال 72 ساعة من علمها به.
✓تصل العقوبات إلى غرامة قدرها 5 ملايين ريال سعودي عن كل مخالفة، تُضاعَف في حال التكرار، وإلى السجن مدة لا تزيد على سنتين بسبب الإفصاح غير المشروع عن البيانات الحساسة.
المصادر
- SDAIA: نظام حماية البيانات الشخصية، النص باللغة الإنجليزية (PDF)
- SDAIA: اللائحة التنفيذية لنظام حماية البيانات الشخصية (PDF)
- SDAIA: لائحة نقل البيانات الشخصية إلى خارج المملكة (PDF)
- SDAIA: دليل نظام حماية البيانات الشخصية لجهات التحكم وجهات المعالجة (PDF)
- SDAIA: القواعد المنظِّمة للسجل الوطني لجهات التحكم (PDF)
- منصة حوكمة البيانات الوطنية التابعة لـ SDAIA: نظام حماية البيانات الشخصية
حلول ذات صلة
خدمات Vigilbase المرتبطة بهذا الدليل
الأسئلة الشائعة
متى دخل نظام حماية البيانات الشخصية (PDPL) السعودي حيز التنفيذ؟
وفقًا لـ SDAIA، دخل نظام حماية البيانات الشخصية (PDPL) حيز التنفيذ في 14 سبتمبر 2023. ومُنحت الجهات فترة سماح مدتها سنة واحدة للامتثال، انتهت في 14 سبتمبر 2024.
ما الجهة المسؤولة عن إنفاذ نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية؟
الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، بصفتها الجهة المختصة. وتتولى لجنة يشكّلها رئيس الهيئة النظر في المخالفات وإصدار الإنذارات أو الغرامات.
ما المهلة المحددة للإبلاغ عن تسرّب البيانات الشخصية بموجب نظام حماية البيانات الشخصية (PDPL)؟
خلال 72 ساعة من علم جهة التحكم به، إذا كان من شأن التسرّب الإضرار بالبيانات الشخصية أو بأصحابها أو التعارض مع حقوقهم أو مصالحهم. ويجب إبلاغ أصحاب البيانات المتأثرين دون تأخير غير مبرر متى كان التسرّب قد يُلحق الضرر بهم.مسؤوليات العمليات الأمنيةما الذي يفعله SIEM
ما الغرامات المقررة بموجب نظام حماية البيانات الشخصية (PDPL) السعودي؟
تصل إلى 5 ملايين ريال سعودي عن كل مخالفة، ويجوز مضاعفتها في حال تكرار المخالفة. كما قد يؤدي الإفصاح عن البيانات الحساسة أو نشرها على نحو غير مشروع بقصد الإضرار أو لتحقيق منفعة شخصية إلى السجن مدة لا تزيد على سنتين، أو غرامة لا تزيد على 3 ملايين ريال سعودي، أو كلتيهما.
هل ينطبق نظام حماية البيانات الشخصية (PDPL) على الشركات خارج المملكة العربية السعودية؟
نعم، عندما تعالج بيانات شخصية لأفراد مقيمين في المملكة. كما توفر منصة حوكمة البيانات الوطنية التابعة لـ SDAIA مسارًا للتسجيل للجهات الواقعة خارج المملكة.
ابدأ الآن
هل أنت مستعد لتحسين أمنك؟
يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.