الامتثال لنظام حماية البيانات الشخصية (PDPL) في السعودية: دليل عملي للمؤسسات لعام 2026

يعتمد تقييم الامتثال على النظام ولائحته التنفيذية والقواعد الصادرة عن سدايا، وليس على قائمة موحدة تنطبق على كل مؤسسة. هذا الدليل إرشادي للتخطيط التقني والتشغيلي، ولا يغني عن مراجعة قانونية لحالة المؤسسة.

هذا الدليل يضع بين يدي قيادات تقنية المعلومات والامتثال خارطة طريق عملية تجيب عن السؤال الحقيقي: ماذا يجب أن نُطبّق فعليًا، وبأي ترتيب، وما هي البنية التقنية المطلوبة لإثبات الالتزام عند التدقيق؟

على من ينطبق النظام؟ النطاق الإقليمي للـ PDPL

ينطبق نظام حماية البيانات الشخصية على أي جهة — عامة أو خاصة، داخل المملكة أو خارجها — تُعالج بيانات شخصية لأفراد مقيمين في المملكة العربية السعودية. هذا النطاق خارج الحدود (Extraterritorial) يعني أن الشركات الألمانية أو المصرية أو الإماراتية التي تخدم عملاء سعوديين تقع ضمن دائرة الالتزام، حتى لو لم يكن لديها كيان قانوني محلي.

الفئات الأكثر تأثرًا تشمل:

• القطاع المصرفي والتأمين: يخضع لـ PDPL إضافة إلى إطار الأمن السيبراني لـ البنك المركزي السعودي (SAMA CSF).
• القطاع الصحي: تتعامل المنشآت الصحية مع «بيانات حساسة» وفق المادة 6، مما يرفع متطلبات الموافقة والتشفير.
• الاتصالات والخدمات الرقمية: يُطبَّق PDPL بالتوازي مع لوائح هيئة الاتصالات والفضاء والتقنية (CST).
• الشركات متعددة الجنسيات: أي معالجة لبيانات الموظفين أو العملاء في المملكة تستوجب الامتثال، بما في ذلك أنظمة الموارد البشرية وCRM السحابية.

الالتزامات الجوهرية السبعة للـ PDPL

بصرف النظر عن القطاع، تتبلور متطلبات النظام في سبعة التزامات أساسية يجب على كل وحدة معالجة بيانات تطبيقها وتوثيقها.

1) الأساس القانوني للمعالجة وموافقة صاحب البيانات

المعالجة مشروعة فقط إذا استندت إلى أحد الأسس المنصوص عليها — الموافقة الصريحة، التنفيذ التعاقدي، الالتزام النظامي، أو المصلحة المشروعة. تتطلب البيانات الحساسة (الصحية، المالية، البيومترية، الموقع الجغرافي الدقيق) موافقة منفصلة وصريحة لا يجوز دمجها في شروط الاستخدام العامة. كل تدفق بيانات يجب أن يُربط بأساس قانوني موثّق في سجل أنشطة المعالجة (RoPA).

2) تعيين مسؤول حماية البيانات (DPO)

تُراجع ضرورة تعيين مسؤول حماية البيانات بحسب حالات المادة 32 من اللائحة التنفيذية والقواعد ذات الصلة ونطاق المعالجة. يُوثَّق قرار الانطباق والأدوار ومتطلبات التسجيل مع مستشار الخصوصية؛ ولا يُفترض أن كل مؤسسة ملزمة بالتعيين.

3) التسجيل لدى سدايا والمنصة الوطنية لحوكمة البيانات

يجب التمييز بين سجل أنشطة المعالجة الداخلي والتسجيل في السجل الوطني لحماية البيانات الشخصية. تُراجع أهلية الجهة ومتطلبات التسجيل والتحديث عبر منصة سدايا وفق القواعد المنطبقة، مع توثيق الأغراض وفئات البيانات والاحتفاظ والجهات المستلمة ومسارات النقل في السجلات الداخلية.

4) ضوابط نقل البيانات عبر الحدود

نقل البيانات الشخصية خارج المملكة يخضع للمادة 29 من النظام ولائحة نقل البيانات الشخصية إلى خارج المملكة. تُراجع الغاية من النقل ومستوى الحماية والضمانات المناسبة والاستثناءات وتقييم المخاطر بحسب الحالة؛ ولا تُعد الموافقة أو بنود العقد وحدها تصريحاً عاماً بالنقل.

قبل اختيار منطقة سحابية، وثّق مواقع التخزين والوصول والدعم والنسخ الاحتياطية والمزوّدين الفرعيين، ثم راجع متطلبات القطاع ونوع البيانات؛ فالاستضافة المحلية لا تُغني وحدها عن تقييم النقل أو الامتثال.

5) الإبلاغ عن انتهاكات البيانات خلال 72 ساعة

على جهة التحكم إشعار سدايا خلال مدة لا تتجاوز 72 ساعة من وقت العلم بحادثة تسرب البيانات الشخصية، إذا كان من شأنها الإضرار بالبيانات الشخصية أو صاحبها، أو التعارض مع حقوقه أو مصالحه، وفق المادة 24 من اللائحة التنفيذية لنظام حماية البيانات الشخصية. المصدر: خدمة إشعار تسرب بيانات شخصية لدى سدايا. يُقيَّم إشعار أصحاب البيانات بشكل مستقل وفق شروط اللائحة، وتُوثَّق طبيعة الحادثة ووقت العلم بها وأثرها والتدابير المتخذة.

6) حقوق أصحاب البيانات

يكفل النظام حقوقاً تشمل العلم والوصول والحصول على نسخة والتصحيح والإتلاف، وفق شروط النظام والاستثناءات المنطبقة. تُراجع طلبات أصحاب البيانات ومهل الاستجابة والتمديد مع مسؤول الخصوصية، مع التحقق من الهوية وتوثيق القرارات.

7) التدابير التقنية والتنظيمية الكافية

يُلزم النظام المتحكمين باتخاذ تدابير تتناسب مع طبيعة المخاطر — التشفير عند التخزين والنقل، إدارة الهوية والوصول، التصنيف، النسخ الاحتياطي، وإدارة الموردين. هذه التدابير تتقاطع مباشرة مع ضوابط الوعي بالأمن السيبراني ومنظومة الحماية متعددة الطبقات التي يبنيها قسم الأمن السيبراني للمؤسسات لدى Evolvice.

كيف يتقاطع PDPL مع NCA ECC وSAMA CSF وISO 27701

الخبر السار للمؤسسات التي استثمرت سابقًا في الامتثال هو أن PDPL لا يبدأ من الصفر، بل يعيد توظيف الضوابط القائمة:

• NCA ECC: يمكن مراجعة ضوابط الحوكمة والهوية وحماية البيانات والحوادث كأدلة تقنية مساعدة، دون نسبة تغطية موحدة أو افتراض تكافؤ قانوني.
• SAMA CSF: للقطاع المالي، يوفّر إطار البنك المركزي بنية حوكمة وإبلاغ حوادث متوافقة عمليًا مع متطلبات سدايا.
• ISO/IEC 27701: الامتداد الخاص بنظام إدارة معلومات الخصوصية (PIMS) فوق ISO 27001 هو أقرب معيار دولي يُترجم مباشرة إلى لغة PDPL، خصوصًا في توثيق أدوار المتحكم/المعالج وسجلات RoPA.

يمكن استخدام سياسات وسجلات مخاطر ISO 27001 كأدلة مساعدة بعد مراجعتها، لكن شهادة أمن المعلومات لا تثبت وحدها الامتثال لنظام حماية البيانات الشخصية.

خارطة طريق عملية: 10 خطوات للامتثال خلال 90 يومًا

هذه خطة إرشادية من 12 أسبوعاً لترتيب العمل، وليست مهلة نظامية أو ضماناً لتحقيق الامتثال. يتحدد الجدول الفعلي بعد تحليل الفجوات ومراجعة النطاق والموارد.

1. الأسبوع 1–2: تعيين راعٍ تنفيذي على مستوى مجلس الإدارة، وتشكيل لجنة حوكمة البيانات (Privacy Steering Committee).
2. الأسبوع 2–3: تقييم ضرورة تعيين مسؤول حماية البيانات ومتطلبات تسجيله، وتحديد الأدوار بحسب الشروط المنطبقة.
3. الأسبوع 3–5: رسم خرائط تدفقات البيانات (Data Flow Mapping) لكل وحدة أعمال، وبناء سجل أنشطة المعالجة (RoPA).
4. الأسبوع 5–6: تنفيذ تقييم تأثير حماية البيانات (DPIA) للأنشطة عالية المخاطر — التحليلات، الذكاء الاصطناعي، المراقبة.
5. الأسبوع 6–7: مراجعة عقود الموردين والمعالجين الخارجيين وتعديلها بإضافة بنود PDPL (DPA) ومتطلبات النقل عبر الحدود.
6. الأسبوع 7–8: تطبيق ضوابط أمن البيانات الأساسية: تشفير at-rest وin-transit، MFA، إدارة الوصول المتميّز (PAM).
7. الأسبوع 8–9: بناء بوابة طلبات أصحاب البيانات (DSAR) ودمجها مع أنظمة CRM وHR وERP.
8. الأسبوع 9–10: إعداد دليل الاستجابة لانتهاكات البيانات (Incident Response Playbook) بنموذج إخطار سدايا الجاهز.
9. الأسبوع 10–11: تدريب جميع الموظفين على PDPL وحقوق أصحاب البيانات، وتدريب متخصص للفرق التقنية والقانونية.
10. الأسبوع 11–12: التحقق من متطلبات التسجيل المنطبقة وإجراء مراجعة داخلية للأدلة والفجوات المتبقية.

الغرامات والمسؤولية على مستوى الإدارة

لا تُطبَّق العقوبة نفسها على كل مخالفة. تُراجع المواد 35 و36 و40 من النظام لتحديد العقوبات وشروطها والتعويض. الإفصاح عن البيانات الحساسة أو نشرها بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية له حكم مختلف عن بقية المخالفات؛ ويجب مراجعة تفاصيل الحالة مع المستشار القانوني.

لماذا Evolvice شريك الامتثال للمؤسسات في المملكة

تقدم Evolvice خدمات تقنية لتقييم الفجوات وتنفيذ ضوابط الحماية. يُحدَّد نطاق العمل والمخرجات والجدول الزمني بعقد، وتبقى التفسيرات القانونية ومراجعة انطباق النظام من اختصاص مستشار قانوني مؤهل.

• تقييم جاهزية PDPL وتحليل الفجوات ضمن نطاق وجدول متفق عليهما.
• مراجعة احتياجات حوكمة الخصوصية وتحديد مسؤوليات المؤسسة والمستشار القانوني.
• تنفيذ بنية تقنية متوافقة عبر الخدمات المُدارة لمركز عمليات الأمن (SOC) ومراقبة الامتثال المستمرة.
• برامج تدريب وتأهيل للفرق التقنية والقانونية بالعربية والإنجليزية.

المصادر وحدود الدليل

المراجعة التحريرية: 13 أكتوبر 2026. منصة سدايا: النظام واللوائح والقواعد؛ شروط إشعار التسرب — المادة 24. لا يمثل الدليل رأياً قانونياً أو مراجعة قانونية معتمدة للمؤسسة.

هل أنت مستعد لتقييم جاهزية مؤسستك للـ PDPL؟

👉 احجز جلسة استشارية مع فريق Evolvice في الرياض لمراجعة وضعك الحالي وبناء خارطة طريق مخصصة خلال 30 دقيقة.