تعديلات لائحة حماية البيانات الشخصية في السعودية مطروحة الآن للمشاورة العامة، وأهم ما تقترحه أن تُخزَّن البيانات الشخصية داخل المملكة بشكل افتراضي. بحسب تحليل نشرته Clyde & Co، فُتحت المشاورة في 6 أكتوبر 2026 وتُغلق في 5 نوفمبر 2026. إن كنت تدير متجرًا إلكترونيًا أو عيادة أو مدرسة أو قاعدة بيانات لعملائك، فبإمكانك تقديم ملاحظاتك خلال هذه الفترة، والمسودة تعنيك حتى وإن كانت جهتك صغيرة.
تنبيه قبل المتابعة: لم نطّلع بعد على النص الكامل للمسودة على منصة استطلاع أو على موقع سدايا، والمعلومات هنا مستقاة من تحليلات قانونية منشورة. راجع النص الرسمي قبل أن تبني عليه قرارًا.
ما الذي تقترحه تعديلات لائحة حماية البيانات الشخصية
اللائحة التنفيذية هي الوثيقة التي تفصّل ما ورد في نظام حماية البيانات الشخصية، وتشرف سدايا على تطبيقه. وتصف عدة تحليلات قانونية المسودة الجديدة بأنها واسعة، إذ تتجاوز تعديلات الصياغة إلى تغييرات في طريقة عمل الجهات، وفق تحليل Reed Smith.
وأبرز ما تتضمنه المسودة:
- جعل تخزين البيانات الشخصية داخل المملكة هو الأصل.
- توسيع الحالات التي يجب فيها إبلاغ الجهة المختصة عند تسرّب البيانات.
- توسيع متطلبات التسجيل.
- حذف الحد الأدنى من البيانات الواجب تضمينها في سجلات أنشطة المعالجة.
- إلزام الجهات بتقديم معلومات الخصوصية والشفافية بلغة مناسبة ومبسطة.
- إلغاء قواعد تعيين مسؤول حماية البيانات، ونقل متطلباتها إلى اللائحة التنفيذية.
هذه القائمة لا تخص شركات التقنية وحدها. فالعيادة التي تحتفظ بملفات مرضاها، والمدرسة التي تجمع بيانات طلابها، والعامل المستقل الذي يدير قاعدة بيانات عملائه، كلها معنية بالتغييرات نفسها.
تخزين البيانات داخل المملكة افتراضيًا: ما المقصود
كلمة «افتراضيًا» تحمل الفارق الأهم. فالمسودة تجعل التخزين داخل المملكة هو القاعدة الأساسية، أي ما يُطبَّق على معظم الحالات ما لم يوجد استثناء. ويعني ذلك أن الجهة التي تحتفظ ببياناتها في خوادم خارج المملكة ستحتاج إلى مراجعة وضعها عند إقرار النص.
لكن الصورة ليست كاملة بعد. تشرح إحدى الجهات المتخصصة في امتثال شركات التقنية المالية، في دليلها المنشور عبر Saudi Compliance، أن التخزين داخل المملكة جزء من المسودة، بينما يبقى النقل إلى الخارج مسموحًا بموجب نظام حماية البيانات الشخصية. وإلى أن تصدر سدايا نصًا نهائيًا، تبقى لائحة النقل الحالية هي المعمول بها.
ويبقى السؤال الأكبر: هل يصمد شرط التخزين داخل المملكة أمام المشاورة؟ فهو أثقل التعديلات من الناحية التشغيلية، ولذلك قد تتغير صياغته بعد جمع الملاحظات. لا داعي لنقل بياناتك قبل أن تتضح الصيغة النهائية، لكن جرد بياناتك الآن يوفّر عليك وقتًا لاحقًا: اعرف أين تُخزَّن بياناتك اليوم وعند أي مزوّد خدمة.
خطوات تقديم الملاحظات عبر منصة استطلاع قبل 5 نوفمبر
تُقدَّم الملاحظات عبر منصة استطلاع، وهي المنصة التي تنشر عليها الجهات الحكومية مشاوراتها العامة. ويؤكد Pinsent Masons مواعيد المشاورة نفسها. اتبع هذه الخطوات:
- ادخل إلى منصة استطلاع وابحث عن مشاورة سدايا على مسودة تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية.
- اقرأ النص كاملًا، وركّز على المواد المتعلقة بالتخزين والنقل والتسجيل وإشعار التسريبات.
- اكتب ملاحظتك بوضوح: اذكر المادة، وسبب الاعتراض أو الاقتراح، والأثر العملي على نشاطك.
- أرسل ملاحظاتك قبل 5 نوفمبر 2026. تفصلك عن الموعد الأخير 16 يومًا من تاريخ اليوم.
حين تدخل المنصة، تأكد من عنوانها عبر موقع سدايا الرسمي، ولا تُدخل بياناتك في أي رابط يصلك برسالة نصية أو بريد مجهول المصدر. ولا تؤجل الرد إلى اللحظة الأخيرة، فالمهلة قصيرة نسبيًا.
ما الذي يبقى ساريًا حتى صدور النص النهائي
حتى تُقرّ المسودة وتُنشر، تبقى القواعد الحالية هي المعمول بها، وهي:
- نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم م/19 بتاريخ 9/2/1443هـ (16 سبتمبر 2021)، والمعدَّل بالمرسوم الملكي رقم م/148 بتاريخ 5/9/1444هـ (27 مارس 2023)، بحسب Recording Law.
- اللائحة التنفيذية الحالية، الصادرة في 7 سبتمبر 2023.
- التطبيق الكامل للنظام، الذي بدأ في 14 سبتمبر 2024 بعد فترة سماح مدتها سنة.
- لائحة النقل الحالية إلى أن يصدر النص النهائي.
وتتولى سدايا الإشراف على تطبيق النظام، ولها إصدار اللوائح والتحقيق في المخالفات وفرض غرامات إدارية.
وإذا أُقرّت التعديلات، فستدخل حيز التنفيذ بعد 60 يومًا من نشرها في الجريدة الرسمية. أي أن الالتزامات الجديدة لن تبدأ قبل نشر النص النهائي ومرور هذه المدة. ولم تتضمن المصادر التي اعتمدنا عليها موعدًا لنشر النص النهائي، ولذلك لا يمكن تحديد تاريخ النفاذ الآن.
لماذا تختلف هذه الجولة عن مسودة 2025
هذه ليست المحاولة الأولى. فقد طرحت سدايا مسودة في 2025، ولم تُعتمد حتى الآن بحسب ما تتابعه إحدى مكاتب المحاماة. ومسودة 2026 تحمل معظم تلك المقترحات وتذهب أبعد منها، وفق Bird & Bird.
ومن المهم متابعة الفرق بين الجولتين، لأن ما لم يُحسم في 2025 ما زال مفتوحًا، ولأن مسودة 2026 تمس طريقة التشغيل اليومية للجهات وليس الصياغة وحدها. ويبقى سؤال مطروح: كيف ستُوفَّق قواعد النقل المعدَّلة مع ما تبقّى من مسودة 2025؟ ولم تتضح الإجابة في المصادر المتاحة لنا.
تسجيل الجهات الأجنبية في منصة الحوكمة الوطنية للبيانات
فتحت سدايا منصة الحوكمة الوطنية للبيانات أمام الجهات الأجنبية، فصار بإمكان المسؤولين عن معالجة البيانات من خارج المملكة التسجيل لأول مرة، بحسب ما ذكره Global Privacy Blog. وتوسّع المسودة محفزات التسجيل، أي أن عددًا أكبر من الجهات قد يجد نفسه ملزمًا بالتسجيل.
إن كانت جهتك أجنبية وتعالج بيانات أشخاص في السعودية، فراجع مسار التسجيل في موقع سدايا مباشرة قبل أي خطوة. لم نتحقق من عنوان البوابة أو خطوات التسجيل من مصدر حكومي، لذلك لا نذكرها هنا.
أما من يخطط لنشاط آخر في المملكة، كالاستثمار العقاري، فالقواعد مختلفة تمامًا. يمكنك الاطلاع على شروط تملك غير السعوديين للعقار والمدن المتاحة والرسوم في مقالنا تملك غير السعوديين للعقار في السعودية: الشروط والمدن والرسوم الفعلية.
خطوات عملية لمن يحتفظ ببيانات الأفراد الآن
ابدأ بجرد بسيط يجيب عن ثلاثة أسئلة: ما البيانات الشخصية التي تجمعها؟ ومن أصحابها؟ وأين تُخزَّن؟ وتشمل الإجابة بيانات العملاء والموظفين والمرضى والطلاب ومقدمي الخدمة. ثم:
- حدّد كل مزوّد خدمة سحابية أو تطبيق أو منصة تستضيف بياناتك، ومكان الخوادم لديه.
- راجع سياسة الخصوصية في نشاطك، وصغها بلغة واضحة ومبسطة، فالمسودة تطلب ذلك.
- احتفظ بسجل لأنشطة المعالجة، فهو يساعدك على مراجعة نشاطك عند صدور النص النهائي.
- تابع سدايا والجريدة الرسمية لمعرفة النص النهائي وموعد نشره.
وإذا كان موظفوك من المقيمين وتحتاج إلى معاملاتهم الحكومية، فقد يفيدك دليل خدمات أبشر للمقيمين في التعرف على الخدمات المتاحة في منصتي أفراد وأعمال.
هذا الجرد لا يغني عن استشارة قانونية متخصصة لجهتك، لكنه يضعك في موقع أفضل أيًا كانت الصيغة النهائية للنص. وما يُحسم بعد المشاورة هو ما سيحدد الكثير: هل يبقى شرط التخزين داخل المملكة؟ وكيف ستتضح قواعد النقل؟ الجهات التي تعرف بياناتها اليوم ستتعامل مع أي تغيير بهدوء أكبر.
