نظام حماية البيانات الشخصية السعودي: شرح مبسط لحقوقك والتزامات الجهات 2026

نظام حماية البيانات الشخصية السعودي هو القانون الذي يحدد متى يجوز لأي جهة أن تجمع اسمك ورقم جوالك وسجلك الصحي، وكيف تحفظها، وما الذي يحق لك أن تطلبه منها. صدر النظام بالمرسوم الملكي رقم (م/19) وتاريخ 1443/2/9هـ الموافق 16 سبتمبر 2021، ثم عُدّل بالمرسوم الملكي (م/148) وتاريخ 1444/9/5هـ، وبدأ سريانه فعلياً في 1445/02/29هـ. وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، التي بدأت بالفعل إيقاع غرامات وإنذارات على جهات مخالفة في يونيو 2026.

في هذا الشرح المبسط نجيب عن أكثر الأسئلة تداولاً، مستندين إلى النص الرسمي للنظام في موقع هيئة الخبراء وإلى بيانات سدايا.

ما نظام حماية البيانات الشخصية ومتى بدأ تطبيقه؟

النظام تشريع يضم 43 مادة، تغطي التعريفات ونطاق التطبيق وحقوق صاحب البيانات وواجبات الجهات والعقوبات. نُشر في الجريدة الرسمية في 24 سبتمبر 2021، وكانت المادة الأخيرة تنص على العمل به بعد 180 يوماً من النشر. ثم عدّلها المرسوم (م/148) لتصبح المدة 720 يوماً، فبدأ السريان في 1445/02/29هـ كما أعلنت جهات حكومية وجامعية عند بدئه.

ويعرّف النظام البيانات الشخصية بأنها كل بيان، مهما كان مصدره أو شكله، يؤدي إلى معرفة الفرد على وجه التحديد أو يجعل التعرف عليه ممكناً بصفة مباشرة أو غير مباشرة، ومن ذلك الاسم ورقم الهوية. ويسمي الجهة التي تحدد الغرض من جمع البيانات «جهة التحكم»، وهي المسؤولة أمام النظام.

على من يطبق النظام؟

تنص المادة الثانية على أن النظام يطبق على أي عملية معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة. ويشمل ذلك معالجة بيانات المقيمين في المملكة من أي جهة خارجها. أي إن التطبيق الأجنبي الذي يخدم سكان السعودية داخل في النطاق.

• يشمل النظام بيانات المتوفى إذا كانت تؤدي إلى معرفته أو معرفة أحد أفراد أسرته.
• يستثنى الفرد الذي يعالج البيانات لاستخدام شخصي أو عائلي، ما دام لم ينشرها أو يفصح عنها للغير.
• تدخل في تعريف جهة التحكم أي جهة عامة، وأي شخص طبيعي أو اعتباري خاص يحدد غرض معالجة البيانات وكيفيتها.

ما حقوقك الخمسة بصفتك صاحب البيانات؟

بعد التعديل، حددت المادة الرابعة خمسة حقوق واضحة، وهي خلاصة ما يهم الفرد العادي:

ومثال تطبيقي على ذلك أن الهيئة العامة للإحصاء تتيح خدمة لطلب هذه الحقوق بالدخول عبر النفاذ الوطني واختيار نوع الحق، وحددت مدة تنفيذ الخدمة بثلاثين يوماً، وهي خدمة مجانية.

متى تحتاج الجهة إلى موافقتك؟

القاعدة في المادة الخامسة أنه لا تجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلا بعد موافقة صاحبها، فيما عدا الأحوال التي نص عليها النظام. ويجوز لك الرجوع عن موافقتك في أي وقت.

ويلزم النظام الجهة باعتماد سياسة خصوصية متاحة قبل جمع البيانات، توضح الغرض والمحتوى وطريقة الجمع والحفظ والإتلاف وكيفية ممارسة حقوقك. كما لا يجوز للجهة الإفصاح عن بياناتك إلا في حالات محددة، منها موافقتك، أو طلب جهة عامة لأغراض أمنية أو قضائية، أو حماية الصحة والسلامة العامة.

ما البيانات الحساسة ولماذا تعامل بصرامة أكبر؟

عرّف النظام بعد تعديله البيانات الحساسة بأنها ما يتعلق بأصل الفرد العرقي أو الإثني، أو معتقده الديني أو الفكري أو السياسي، إضافة إلى:

• البيانات الأمنية والجنائية.
• بيانات السمات الحيوية التي تحدد الهوية، مثل البصمة.
• البيانات الوراثية.
• البيانات الصحية، الجسدية والعقلية والنفسية.
• البيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما.

وخص النظام البيانات الصحية بمادة مستقلة تلزم بقصر الاطلاع عليها على أقل عدد ممكن من العاملين وبالقدر اللازم لتقديم الخدمة.

ماذا يحدث إذا تسربت بياناتك؟

تلزم المادة العشرون جهة التحكم بإشعار الجهة المختصة عند علمها بتسرب البيانات أو تلفها أو الوصول غير المشروع إليها. وتلزمها كذلك بإشعارك أنت إذا كان التسرب قد يضر ببياناتك أو يتعارض مع حقوقك ومصالحك.

وحددت اللوائح مدة الإشعار. فقد ذكرت وكالة الأنباء السعودية في يونيو 2026 أن من المخالفات التي عاقبت عليها سدايا عدم إشعار الهيئة بحوادث التسرب خلال المدة النظامية المحددة بـ72 ساعة من تاريخ العلم بالحادثة.

ما العقوبات وهل طُبقت فعلاً؟

يضع النظام مستويين من العقوبات:

• المادة 35: السجن مدة لا تزيد على سنتين وغرامة لا تزيد على ثلاثة ملايين ريال، أو إحداهما، لمن أفصح عن بيانات حساسة أو نشرها مخالفاً النظام بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية. وتختص النيابة العامة بالتحقيق، ويجوز للمحكمة مضاعفة الغرامة.
• المادة 36: الإنذار أو غرامة لا تزيد على خمسة ملايين ريال لأي مخالفة أخرى للنظام أو لوائحه، وتجوز مضاعفة الغرامة عند التكرار.

وفي 29 يونيو 2026 أصدرت لجان المخالفات في سدايا قرارات بغرامات وإنذارات. وشملت المخالفات:

1. معالجة البيانات للتسويق المباشر دون موافقة صريحة.
2. عدم تبني وسائل تضمن سرعة الاستجابة لطلبات أصحاب البيانات.
3. عدم الإشعار عن التسرب خلال 72 ساعة.
4. عدم اتخاذ الإجراءات التقنية والإدارية الكفيلة بحفظ البيانات.
5. عدم تعيين مسؤول لحماية البيانات رغم انطباق حالات تعيينه.

ما الذي يجب على الشركات والجهات فعله؟

إذا كنت تدير منشأة تجمع بيانات عملاء أو موظفين، فهذه أهم الالتزامات العملية:

1. اعتماد سياسة خصوصية واضحة ونشرها قبل جمع البيانات.
2. جمع الحد الأدنى من البيانات اللازم للغرض المعلن فقط.
3. الحصول على موافقة صريحة قبل التسويق المباشر.
4. بناء آلية للرد على طلبات الوصول والتصحيح والإتلاف.
5. إعداد خطة استجابة تضمن إشعار سدايا خلال 72 ساعة من العلم بأي تسرب.
6. التحقق من شروط نقل البيانات خارج المملكة الواردة في المادة 29 قبل استخدام خوادم أجنبية.

وتتيح منصة حوكمة البيانات الوطنية خدمات التسجيل في السجل الوطني لحماية البيانات الشخصية، وتقييم الأثر على معالجة البيانات، وإشعار تسرب البيانات، وتقديم الشكاوى، إضافة إلى أداة للتعرف على مدى إلزامية تعيين مسؤول حماية البيانات.

ما ينبغي الانتباه إليه

النظام لا يمنع جمع البيانات، بل ينظمه. فهناك حالات يجيز فيها النظام المعالجة أو الإفصاح دون موافقتك، مثل متطلبات الجهات العامة الأمنية والقضائية أو حماية الصحة العامة. كما أن كثيراً من التفاصيل الإجرائية ترد في اللوائح التنفيذية لا في النظام نفسه، لذا راجع أحدث نسخة من الجهة المختصة قبل أي قرار نظامي، ولا تكتفِ بالملخصات.

الخلاصة

إذا طلبت منك جهة بياناتك، فمن حقك أن تعرف لماذا، وأن تراها، وأن تصححها، وأن تطلب حذفها حين تنتهي الحاجة إليها. وإذا شككت في إساءة استخدامها، فقدم شكواك عبر منصة سدايا. وإن كنت صاحب منشأة، فاعتبر الالتزام بالنظام جزءاً من تكلفة التشغيل، لأن الغرامات أصبحت واقعاً لا احتمالاً.

الأسئلة الشائعة

متى بدأ تطبيق نظام حماية البيانات الشخصية في السعودية؟

بدأ سريانه في 1445/02/29هـ بعد تعديل مدة نفاذه إلى 720 يوماً من نشره.

ما حقوقي في نظام حماية البيانات الشخصية؟

العلم، والوصول، والحصول على نسخة مقروءة، والتصحيح والتحديث، والإتلاف عند انتهاء الحاجة.

هل يطبق النظام على استخدامي الشخصي للبيانات؟

لا، ما دام الاستخدام شخصياً أو عائلياً ولم تنشر البيانات أو تفصح عنها للغير.

ما عقوبة مخالفة نظام حماية البيانات الشخصية؟

الإنذار أو غرامة حتى خمسة ملايين ريال، والسجن حتى سنتين مع غرامة حتى ثلاثة ملايين لإفشاء البيانات الحساسة بقصد الإضرار أو المنفعة.

كيف أشتكي من جهة أساءت استخدام بياناتي؟

عبر خدمة تقديم الشكوى في منصة حوكمة البيانات الوطنية التابعة لسدايا.