نقل البيانات وتوطينها في السعودية: آلية النقل بموجب PDPL

كثيرا ما يُوصف نظام حماية البيانات الشخصية السعودي (PDPL)، في التعليقات الثانوية على أنظمة الخصوصية في دول الخليج، بأنه يفرض تخزين البيانات الشخصية داخل المملكة. هذا الوصف غير دقيق. فما ينظمه PDPL وData Transfer Regulation التابع له فعليا هو الإجراء الذي يجب على مراقب البيانات اتباعه قبل إرسال البيانات الشخصية خارج السعودية، وليس ما إذا كان يجوز إخراجها أصلا. هذه الصفحة دليل إجرائي لهذه الآلية: تسلسل النقل، وتقييم المخاطر الإلزامي، والعقوبات المترتبة على الإخلال به. للاطلاع على الإطار الأوسع لـ PDPL، راجع أنظمة الخصوصية في السعودية، ولمقارنة مباشرة مع GDPR، راجع PDPL السعودي مقابل GDPR.

مسألة التوطين: الإجابة أولا

هذه هي الحقيقة الأكثر تحريفا بشأن نظام الخصوصية في السعودية، لذا من الأنسب توضيحها منذ البداية بدلا من دفنها تحت تفاصيل آلية النقل. لا يفرض PDPL تخزين البيانات الشخصية أو معالجتها داخل السعودية. فبحث نصي مباشر في PDPL وImplementing Regulation عن أي صياغة متعلقة بالتوطين، بما في ذلك عبارات مثل «محلي» أو «داخل المملكة» أو «مخزّن»، لم يُظهر أي حكم يجعل التخزين داخل البلاد قاعدة افتراضية. أما Data Transfer Regulation، الذي نتناوله بالتفصيل أدناه، فينظم الشروط التي يجوز بموجبها إخراج البيانات من المملكة. وهو لا يحظر النقل إلى الخارج ولا يشترط إبقاء نسخة من البيانات داخل السعودية.

ويقع هذا الخلط لسببين. الأول أن بعض الأنظمة القانونية الأخرى في الخليج تفرض بالفعل قواعد إقامة قطاعية، مثل بعض متطلبات بيانات القطاع المصرفي أو الصحي في دول أخرى بالمنطقة، فتُعمَّم هذه الحالات لتصبح ادعاء بأن «قانون الخصوصية الخليجي يفرض التوطين»، وهو ادعاء لا ينطبق على PDPL تحديدا. والثاني أن PDPL يمتد فعلا إلى خارج المملكة، لكن بمعنى مختلف تماما: إذ تُطبّق المادة 2(1) النظام خارج الحدود الإقليمية على معالجة البيانات الشخصية للمقيمين في السعودية «بأي وسيلة ومن أي جهة خارج المملكة». وهذا حكم يتعلق بنطاق الاختصاص القانوني، مماثل من الناحية الوظيفية للنطاق خارج الإقليمي في المادة 3 من GDPR، ويسهل الخلط بينه وبين اشتراط الإقامة لأن كلا الحكمين يستخدم كلمة «المملكة». غير أن الحكمين يقومان بأمرين متعاكسين: فالمادة 2(1) توسّع نطاق تطبيق النظام؛ ولا تتطرق إطلاقا إلى المكان الذي يجب أن تتواجد فيه البيانات فعليا.

وللاطلاع على قواعد التوطين التي تتفاوت فعليا بين الدول، راجع مسحنا الشامل حول قوانين توطين البيانات حسب الدولة. وتُصنَّف السعودية هناك بشكل صحيح كنظام قانوني يعتمد نظام نقل قائما على الشروط، وليس نظام توطين إلزامي.

تسلسل النقل: من المادة 3 إلى المادة 8 في Data Transfer Regulation

وبمجرد استبعاد مسألة التوطين، يصبح سؤال الامتثال الفعلي هو: أي من المسارات الثلاثة في Data Transfer Regulation ينطبق على عملية نقل معينة؟ فهذا النظام، وهو فصل مستقل مدمج ضمن ملف PDF نفسه الخاص بـ Implementing Regulation، يحدد تسلسلا متتابعا وليس قائمة خيارات مفتوحة. ويُتوقع من مراقب البيانات أن يسير في هذا التسلسل بالترتيب، فلا يلجأ إلى الضمانات أو الاستثناء إلا لأن الخطوة الأعلى غير متاحة.

المسار الأول: قرار الكفاءة (المادتان 3 و4)، مسار نظري حاليا

تُلزم المادة 3 SDAIA، بالتنسيق مع الجهات المعنية، بتقييم الدولة أو القطاع أو المنظمة الدولية المستقبِلة للبيانات وفق سبعة معايير:

1. وجود قوانين حماية تعادل PDPL على الأقل.
2. سيادة القانون في الجهة المستقبِلة.
3. الإنفاذ الفعّال لقوانين الحماية تلك.
4. القدرة الفعلية لأصحاب البيانات على ممارسة حقوقهم وتقديم الشكاوى.
5. وجود جهة إشرافية مستقلة في الجهة المستقبِلة.
6. استعداد تلك الجهة للتعاون مع SDAIA.
7. وضوح القواعد المنظمة لوصول الجهات الحكومية إلى البيانات الشخصية في تلك الجهة.

وتُلزم المادة 4 SDAIA برفع توصية بالقرار إلى رئيس مجلس الوزراء، الذي يُصدر قرار الكفاءة الفعلي أو يمتنع عن إصداره، على أن يُعاد النظر فيه مرة كل أربع سنوات على الأقل بعد صدوره. وحتى وقت إعداد هذا البحث، لم يصدر أي قرار كفاءة بشأن أي دولة أو قطاع أو منظمة. وهذا يجعل مسار الكفاءة قائما من الناحية القانونية لكنه غير قابل للاستخدام عمليا في الوقت الحالي. فلا يمكن لمراقب البيانات اليوم الاعتماد على الكفاءة لأي عملية نقل إلى أي جهة، بما في ذلك الشركاء التجاريون الرئيسيون، لأن SDAIA لم تمارس بعد الصلاحية التي تمنحها لها المادتان 3 و4.

المسار الثاني: الضمانات المناسبة (المادة 5)، حيث تجري الغالبية العظمى من عمليات النقل

في ظل غياب قائمة كفاءة، يُعد مسار الضمانات المناسبة بموجب المادة 5 الموطن الفعلي للغالبية العظمى من عمليات النقل الحقيقية. ويوفر هذا المسار أربع أدوات:

• البنود التعاقدية القياسية (Standard Contractual Clauses)، وفق النموذج القياسي الذي أصدرته SDAIA نفسها في سبتمبر 2024. وهذا هو الخيار الافتراضي لمعظم علاقات المورّدين ومقدمي الخدمات، أي النمط المألوف من الممارسة في GDPR الخاص بالبنود التعاقدية القياسية المبرمة مع معالج البيانات، لكن وفق نموذج SDAIA الخاص بدلا من نموذج المفوضية الأوروبية.
• القواعد الموحدة الملزمة (Binding Common Rules)، وهي أداة داخل المجموعة الواحدة تعتمدها SDAIA حالة بحالة، وتناسب المجموعات متعددة الجنسيات التي تنقل البيانات بين الشركات التابعة لها أكثر من ملاءمتها لمورّد خارجي.
• شهادات الامتثال الصادرة عن جهة تصديق معتمدة من SDAIA.
• مدونات السلوك الملزمة.

وتحمل القواعد الموحدة الملزمة أثقل عبء توثيقي بين الأدوات الأربع. إذ تشترط المادة 5(2) توفر أربعة عشر عنصرا محددا على الأقل قبل أن توافق SDAIA على مجموعة القواعد الموحدة الملزمة، منها بيانات السجل التجاري للمجموعة، وفئات البيانات المشمولة وأغراضها والجهات المستقبِلة لها، والحقوق التي يمكن لأصحاب البيانات ممارستها وطريقة تقديم الشكاوى، وتحديد جهة مسؤولة عن مراقبة الامتثال (وهو دور مماثل وظيفيا لمسؤول حماية البيانات لكن مخصص لبرنامج النقل تحديدا)، والتزامات التدقيق، وآلية لتصعيد تنازع القوانين بين المملكة والجهة المستقبِلة. وعمليا، لا يستحق هذا المستوى من التوثيق العناء إلا بالنسبة لمجموعة تنقل البيانات بشكل متكرر وبكميات كبيرة بين الشركات التابعة؛ أما النقل لمرة واحدة أو بحجم منخفض إلى مورّد واحد فلا يناسب القواعد الموحدة الملزمة، وينبغي أن يسلك بدلا من ذلك مسار البنود التعاقدية القياسية.

وتتناول صفحتنا حول البنود التعاقدية القياسية كيفية عمل هذه البنود كآلية نقل بشكل عام؛ أما النقطة الخاصة بالسعودية تحديدا فهي أن نموذج SDAIA الصادر في سبتمبر 2024 أداة قائمة بذاتها، وليس نسخة معاد تسميتها من البنود التعاقدية القياسية للاتحاد الأوروبي، وأن مراقب البيانات الذي يطبق بالفعل بنود الاتحاد الأوروبي على نفس علاقة المورّد ما زال بحاجة إلى إضافة عقد نموذج SDAIA للجزء السعودي من تدفق البيانات.

المسار الثالث: استثناءات ضيقة دون ضمانة (المادة 6)

تسمح المادة 6 لمراقب البيانات بالنقل دون أي ضمانة من ضمانات المادة 5، لكن فقط حين يتعذر فعليا تطبيق أي ضمانة، وليس لمجرد كون تطبيقها غير مريح. والحالات المنصوص عليها هي:

• تنفيذ اتفاق يكون صاحب البيانات طرفا فيه.
• نقل جهة عامة لأغراض التعاون الدولي أو المتطلبات القضائية.
• حماية المصالح الحيوية لصاحب البيانات.
• أغراض البحث العلمي.

ولأن هذا المسار يشترط عدم توفر الضمانة فعليا وليس مجرد تجاوزها، فهو يعمل كاستثناء حقيقي، لا كخيار افتراضي بديل يختاره مراقب البيانات لمجرد الملاءمة. والاعتماد على المادة 6 دون توثيق سبب تعذر استخدام المادة 5 تجاوز شائع؛ راجع قسم نقاط الإخفاق أدناه.

آلية الإيقاف الفوري: المادة 7

وفوق أي مسار من المسارات السابقة، تُلزم المادة 7 مراقب البيانات بالإيقاف الفوري لأي عملية نقل تمت بموجب المادة 5 أو المادة 6 إذا كانت تمس الأمن الوطني للسعودية أو مصالحها الحيوية، أو إذا خلص تقييم المخاطر إلى وجود خطر مرتفع على الخصوصية. ويجب على مراقب البيانات إعادة التقييم قبل استئناف النقل. وهذا ليس بوابة تُطبَّق مرة واحدة عند بدء برنامج النقل، بل التزام قائم يسري طوال استمرار عملية النقل، ما يعني أن نقلا كان ممتثلا عند بدايته قد يصبح غير ممتثل لاحقا إذا تغيّرت الظروف، ومراقب البيانات هو المسؤول عن ملاحظة ذلك.

تقييم المخاطر: جوهر الامتثال العملي لعملية النقل

بالنسبة لمعظم مراقبي البيانات، يكمن العمل الحقيقي للامتثال في تقييم المخاطر المطلوب بموجب المادة 8 من Data Transfer Regulation، أكثر من كونه في اختيار مسار التسلسل المناسب.

متى يكون إلزاميا

تشترط المادة 8 إجراء تقييم مخاطر موثق في ثلاث حالات، وهي غير متعارضة فيما بينها:

1. اعتماد النقل على ضمانات المادة 5 المناسبة. وهذه الحالة وحدها تشمل معظم عمليات النقل الفعلية، لأن المادة 5 هي المسار الذي يستخدمه الجميع تقريبا في ظل غياب قائمة الكفاءة.
2. اعتماد النقل على استثناء المادة 6.
3. كون النقل مستمرا أو واسع النطاق ويشمل بيانات حساسة، بصرف النظر عن الآلية المستخدمة. وهذا السبب الثالث يستحق الإشارة إليه بشكل منفصل: فهو غير مرتبط بأي مسار قانوني محدد على الإطلاق. فحجم البيانات وحساسيتها وحدهما يفرضان تقييم مخاطر جديدا حتى في حال وجود آلية نقل سارية بالفعل، كعقد بنود تعاقدية قياسية موقّع مسبقا.

وإذا قُرئت هذه الأسباب الثلاثة معا، فإنها تجعل تقييم المخاطر شبه شامل من الناحية العملية. وينبغي لأي مراقب بيانات يرسل كمية معتبرة من البيانات الشخصية إلى خارج المملكة أن يفترض انطباق تقييم المخاطر الموثق ما لم يستطع أن يثبت إيجابا عدم تحقق أي من الأسباب الثلاثة.

ما يجب أن يغطيه التقييم

تحدد المادة 8(2) العناصر المطلوبة:

• الغرض من النقل وأساسه القانوني.
• طبيعة النقل ونطاقه.
• مدى كفاية آلية الضمانة المختارة لتلك العملية تحديدا.
• تدابير تقليل البيانات المطبقة فعليا.
• الأثر المادي أو المعنوي المحتمل على أصحاب البيانات المعنيين.

ويوفر دليل تقييم المخاطر لنقل البيانات الشخصية إلى خارج المملكة الصادر عن SDAIA في فبراير 2025 التفاصيل التنفيذية لكيفية إجراء هذا التقييم. ومن المهم عدم الخلط بين الوثيقتين: فالمادة 8 هي الالتزام القانوني الأساسي الذي يحدد ما يجب تقييمه؛ أما دليل فبراير 2025 فهو إرشاد SDAIA بشأن منهجية التنفيذ. فمراقب البيانات الذي يشير إلى «شرط تقييم المخاطر» ينبغي أن يستند إلى المادة 8 باعتبارها القاعدة، وإلى الدليل باعتباره أسلوب التنفيذ.

متى يجب تحديثه

لا يعامل النظام تقييم المخاطر المكتمل كوثيقة تُنجز مرة واحدة وتُحفظ مع العقد. ويوجد سببان يفرضان تحديثه:

• بعد وقوع حدث إيقاف فوري. إذ تشترط المادة 7 إعادة التقييم قبل أن يستأنف مراقب البيانات نقلا تم إيقافه بسبب مساس بالأمن الوطني أو نتيجة رصد خطر مرتفع.
• عندما يتحول طابع النقل نفسه ليدخل ضمن سبب النقل المستمر أو واسع النطاق للبيانات الحساسة. فالنقل الذي يبدأ صغيرا ثم يتوسع حجمه، أو الذي يبدأ في شمول بيانات حساسة لم يكن يتضمنها أصلا، قد يدخل ضمن السبب الثالث في المادة 8 حتى دون أي تغيير في الآلية القانونية الأساسية، ما يعني أن تقييم المخاطر الذي أُجري في البداية قد يصبح متجاوَزا لمجرد توسّع حجم النقل.

والنتيجة العملية لذلك أن تقييم المخاطر المرتبط بلحظة زمنية محددة فقط، والمنجز مرة واحدة عند توقيع العقد دون مراجعته لاحقا، لا يكون كافيا إذا تغيّر حجم النقل أو مزيج البيانات فيما بعد. وبناء مراجعة دورية ضمن برنامج النقل، لا مجرد مراجعة أولية، هو التفسير الأكثر أمانا للمادة 8 مقترنة بالمادة 7.

أي مسار ينطبق عليك: جدول قرار

كيف يتفاعل هذا مع السجل الوطني لمراقبي البيانات

لا يعمل Data Transfer Regulation بمعزل عن البنية الأوسع للامتثال التي وضعتها SDAIA، والسجل الوطني لمراقبي البيانات هو الجزء الأكثر احتمالا للتقاطع مع أي برنامج نقل.

تمنح المادة 30(4)(ج) من PDPL SDAIA، بصفتها الجهة المختصة، صلاحية تحديد الأدوات والآليات اللازمة لمراقبة امتثال مراقبي البيانات، بما في ذلك «الاحتفاظ بسجل وطني لمراقبي البيانات». وتُفوّض المادة 34 من Implementing Regulation الآلية التنفيذية الفعلية: إذ «تُصدر SDAIA قواعد التسجيل»، ويجب أن تحدد تلك القواعد فئات مراقبي البيانات الملزمين بالتسجيل. ولا يفصّل النظام ولا Implementing Regulation معايير التسجيل الدقيقة في نصهما؛ إذ يُحدَّد ذلك وينشر بشكل منفصل، كقواعد صادرة عن SDAIA وليست نصا نظاميا.

وما يعنيه ذلك عمليا لمراقب بيانات يدير برنامج نقل عبر الحدود: أن حالة التسجيل مسألة امتثال منفصلة عن مسار النقل المنطبق، ولا ينبغي افتراض عدم انطباقها. فقد يكون برنامج النقل ممتثلا بالكامل من ناحية Data Transfer Regulation، بآلية صحيحة، وتقييم مخاطر موثق، ومراقبة إيقاف فوري قائمة، بينما يظل مراقب البيانات نفسه ملزما بشكل منفصل بالتسجيل في سجل SDAIA بسبب عوامل تحددها قواعد SDAIA الخاصة. ونظرا لأن هذه المعايير غير مثبتة في نص Implementing Regulation ويمكن لـ SDAIA تحديثها بمعزل عن النظام، ينبغي لمراقب البيانات مراجعة قواعد التسجيل الحالية المنشورة من SDAIA مباشرة بدلا من الاعتماد على أي ملخص ثانوي قديم لمن يجب عليه التسجيل، بما في ذلك هذه الصفحة نفسها.

عقوبات الإخلال بعمليات النقل

تخضع أي مخالفة خاصة بالنقل لـ PDPL لنفس هيكل العقوبات ذي المسارين المطبق على النظام بشكل عام، ومن المفيد إعادة توضيح ذلك في سياق النقل لأن كلا المسارين يمكن أن يُفعَّل تحديدا بسبب سوء التعامل مع عملية نقل عبر الحدود.

المسار الإداري (المادة 36): إنذار أو غرامة تصل إلى SAR 5,000,000 عن أي مخالفة لا تشملها المادة 35، كالنقل دون ضمانة مناسبة، أو تجاوز تقييم مخاطر مطلوب، أو تجاهل التزام الإيقاف الفوري بموجب المادة 7. وتتضاعف الغرامة إلى SAR 10,000,000 عند تكرار المخالفة. وتبت في القضية لجنة تعيّنها SDAIA مكونة من ثلاثة أعضاء على الأقل، من بينهم متخصص تقني ومستشار قانوني، ويُعتمد القرار من رئيس SDAIA.

المسار الجنائي (المادة 35): ينطبق تحديدا عند الإفصاح عن بيانات حساسة أو نشرها بما يخالف النظام، بقصد الإضرار بصاحب البيانات أو تحقيق منفعة شخصية. فإذا استوفت عملية نقل بيانات حساسة سيئة التعامل معيار القصد هذا، كإرسال بيانات حساسة إلى الخارج دون أساس نظامي بغرض استغلالها أو كشفها تحديدا، فإن العقوبة تصل إلى السجن مدة سنتين و/أو غرامة تصل إلى SAR 3,000,000، تُضاعف عند العودة، وتتولى النيابة العامة الملاحقة أمام المحكمة المختصة. وهذا المسار منفصل تماما عن المسار الإداري في المادة 36 ويمكن أن يُطبَّق إضافة إليه.

لا توجد آلية نسبة مئوية من الإيرادات. بخلاف المادة 83 من GDPR التي تحدد سقف الغرامات بالأعلى بين مبلغ مقطوع أو نسبة من إجمالي الإيرادات السنوية العالمية (حتى 4%)، فإن السقف الإداري في PDPL ثابت بصرف النظر عن حجم مراقب البيانات أو إيراداته العالمية. وبالنسبة لمراقب بيانات صغير، يُعد مبلغ SAR 5,000,000 (نحو 1.3 مليون دولار أمريكي) مبلغا معتبرا؛ أما بالنسبة لشركة متعددة الجنسيات كبيرة، فهو سقف ثابت لا يتناسب مع حجمها كما تفعل آلية النسبة المئوية في GDPR. وتتجه المخاطرة المميزة للسعودية في الاتجاه المعاكس: فهي تنشئ جريمة جنائية لإساءة استخدام البيانات الحساسة لا ينشئها GDPR نفسه على مستوى النظام.

وبالإضافة إلى الغرامات، يجوز للمحاكم أن تأمر بمصادرة الأموال المتحصلة من المخالفة (المادة 38(1))، ويجوز للمحاكم أو اللجنة أن تأمر بنشر ملخص المخالفة في الصحف المحلية على نفقة المخالف (المادة 38(2))، ويحتفظ أصحاب البيانات بحق مدني منفصل في رفع دعوى للمطالبة بتعويض مناسب عن الضرر المادي أو المعنوي بموجب المادة 40، بمعزل عن أي من مساري العقوبة.

التسلسل العملي: كيف تنقل الشركة متعددة الجنسيات بيانات سعودية إلى الخارج فعليا

إذا جُمعت هذه العناصر معا، فإن التسلسل، وتقييم المخاطر، والسجل، تتفاعل وفق ترتيب محدد. وفيما يلي تسلسل عملي لشركة متعددة الجنسيات تُنشئ تدفق بيانات جديدا من السعودية إلى جهة أخرى:

1. تصنيف البيانات أولا. هل تُعد بيانات حساسة بموجب المادة 1(11) من PDPL؟ وهل التدفق مستمر أو واسع النطاق؟ يحدد هذان السؤالان ما إذا كان السبب الثالث لتقييم المخاطر في المادة 8 ينطبق، بصرف النظر عن آلية النقل التي تُختار لاحقا.
2. التحقق من وجود قرار كفاءة يشمل الجهة المستقبِلة. حتى وقت إعداد هذا البحث، لن تُثمر هذه الخطوة نتيجة قابلة للاستخدام لأي جهة، لعدم صدور أي قرار كفاءة حتى الآن، لكن ينبغي التحقق منها بدلا من افتراض نتيجتها، لأن SDAIA قد تصدر قرارا في أي وقت.
3. اختيار آلية الضمانة التي تناسب طبيعة العلاقة، لا الأسهل توثيقا. فعلاقة مورّد واحد تستدعي نموذج SDAIA للبنود التعاقدية القياسية. أما تدفقات البيانات المتكررة بين الشركات التابعة لمجموعة متعددة الجنسيات فتناسبها القواعد الموحدة الملزمة بشكل أفضل، رغم عبء التوثيق الأثقل بعناصره الأربعة عشر، لأنها تغطي المجموعة كاملة بدلا من اشتراط عقد جديد لكل زوج من الشركات التابعة.
4. تحديد ما إذا كان تقييم المخاطر واجبا، باستخدام الشروط الثلاثة في المادة 8. وعمليا، من الأفضل افتراض وجوبه والتأكد من عكس ذلك، بدلا من افتراض عدم وجوبه ثم اكتشاف الخطأ.
5. إجراء تقييم المخاطر وتوثيقه وفق العناصر الخمسة المطلوبة في المادة 8(2)، مستعينا بدليل SDAIA الصادر في فبراير 2025 لتحديد المنهجية.
6. التحقق من حالة تسجيل مراقب البيانات وفق قواعد التسجيل الحالية لدى SDAIA، بمعزل عن آلية النقل المختارة، لأن التسجيل يعتمد على فئات تحددها SDAIA بشكل منفصل عن Data Transfer Regulation.
7. دمج مراقبة الإيقاف الفوري ضمن البرنامج المستمر، لا عند الإطلاق فقط. فالتزام الإيقاف وإعادة التقييم في المادة 7 التزام دائم، وقد يستوجب النقل الذي كان ممتثلا عند الإطلاق تدخلا لاحقا إذا تغيّر حجمه أو حساسيته أو مستوى خطورته.

نقاط الإخفاق الشائعة

• اعتبار بنود GDPR التعاقدية القياسية كافية. فنموذج SDAIA الصادر في سبتمبر 2024 أداة مستقلة عن بنود المفوضية الأوروبية. وعقد المورّد الذي يتضمن بالفعل بنود الاتحاد الأوروبي القياسية ما زال بحاجة إلى عقد نموذج SDAIA للجزء السعودي من نفس تدفق البيانات.
• افتراض أن المصلحة المشروعة تغطي مسألة النقل. فالمصلحة المشروعة أساس قانوني محلي بموجب المادة 6 من PDPL، وغير متاحة للبيانات الحساسة ومشروطة بتقييم مسبق إلزامي؛ وهي ليست آلية نقل عبر الحدود ولا تحل محل ضمانة المادة 5 أو استثناء نقل المادة 6.
• التعامل مع تقييم المخاطر كوثيقة تُنجز مرة واحدة. فالنقل الذي يتوسع حجمه أو يبدأ في حمل بيانات حساسة قد يدخل لاحقا ضمن سبب التقييم الإلزامي في المادة 8، حتى دون أي تغيير في الآلية القانونية المستخدمة.
• تجاوز التسجيل لأن آلية النقل ممتثلة من نواح أخرى. فحالة التسجيل بموجب المادتين 30(4)(ج) و34 تعتمد على فئات تحددها SDAIA بشكل منفصل؛ وامتثال برنامج النقل لا يعني تلقائيا إعفاء مراقب البيانات من التسجيل.
• افتراض انطباق التوطين والمبالغة في تصميم حل تخزين مقتصر على السعودية. ولأن خرافة التوطين متكررة على نطاق واسع، تنفق بعض المؤسسات جهدا هندسيا في الاحتفاظ بنسخة بيانات مقتصرة على السعودية لا يشترطها PDPL، بدلا من بناء عملية الامتثال الفعلية للنقل التي يتطلبها النظام.
• عدم مراقبة أسباب الإيقاف الفوري بعد الإطلاق. فالمادة 7 التزام دائم، لا فحص يُجرى مرة واحدة فقط عند إنشاء برنامج النقل.

آخر المستجدات

Frequently Asked Questions

هل يفرض PDPL السعودي تخزين البيانات الشخصية داخل المملكة؟

لا. هذا ادعاء متكرر بشأن أنظمة الخصوصية الخليجية لكنه غير صحيح. فبحث مباشر في PDPL وImplementing Regulation لم يجد أي حكم يفرض معالجة البيانات الشخصية أو تخزينها داخل السعودية بشكل افتراضي. وينظم Data Transfer Regulation شروط نقل البيانات إلى خارج المملكة؛ وهو لا يحظر النقل إلى الخارج ولا يشترط بقاء البيانات داخل البلاد.

هل يمكن لشركة نقل البيانات الشخصية من السعودية إلى دولة استنادا إلى قرار كفاءة؟

ليس حاليا. تنشئ المادتان 3 و4 من Data Transfer Regulation عملية قرار كفاءة تقيّم فيها SDAIA جهة مستقبِلة وترفع توصية إلى رئيس مجلس الوزراء، لكن حتى وقت إعداد هذا البحث لم يصدر أي قرار كفاءة بشأن أي دولة أو قطاع أو منظمة. فالمسار قائم في النظام لكن لا استخدام عمليا له اليوم.

ما آلية النقل الافتراضية التي تستخدمها معظم الشركات فعليا؟

البنود التعاقدية القياسية، وفق النموذج القياسي الذي أصدرته SDAIA في سبتمبر 2024 بموجب المادة 5 من Data Transfer Regulation. وفي ظل غياب قائمة كفاءة، تُعد البنود التعاقدية القياسية الخيار الافتراضي العملي لعمليات النقل مع الموردين ومقدمي الخدمات، بينما تناسب القواعد الموحدة الملزمة عمليات النقل المتكررة داخل مجموعة متعددة الجنسيات.

متى يكون تقييم المخاطر الموثق إلزاميا لعملية نقل بيانات سعودية؟

بموجب المادة 8 من Data Transfer Regulation، كلما اعتمد النقل على آلية ضمانات مناسبة (المادة 5)، أو على استثناء ضيق (المادة 6)، أو كان نقلا مستمرا أو واسع النطاق لبيانات حساسة بصرف النظر عن الآلية. وعمليا، تستوفي معظم عمليات النقل الفعلية سببا واحدا على الأقل من هذه الأسباب.

ما الذي ينظمه فعليا دليل تقييم المخاطر الصادر عن SDAIA في فبراير 2025؟

يوفر إرشاد SDAIA التنفيذي حول كيفية إجراء تقييم المخاطر الذي تشترطه بالفعل المادة 8 من Data Transfer Regulation. فالمادة 8 هي الالتزام القانوني الأساسي الذي يحدد ما يجب تقييمه؛ ويوضح دليل فبراير 2025 المنهجية التي تتوقعها SDAIA لتنفيذه.

ماذا يحدث إذا كان النقل يشكل خطرا مرتفعا على الخصوصية أو يمس الأمن الوطني؟

تُلزم المادة 7 من Data Transfer Regulation مراقب البيانات بالإيقاف الفوري للنقل وإعادة التقييم قبل الاستئناف. وهذا الالتزام بالإيقاف الفوري واجب دائم يسري طوال استمرار عملية النقل، لا فحص يُجرى مرة واحدة فقط عند إطلاق برنامج النقل.

هل يعتمد التسجيل في السجل الوطني لمراقبي البيانات لدى SDAIA على إجراء عمليات نقل عبر الحدود؟

يقوم السجل الوطني بموجب المادة 30(4)(ج) من PDPL والمادة 34 من Implementing Regulation، لكن Implementing Regulation يُفوّض معايير التسجيل المحددة لقواعد منفصلة صادرة عن SDAIA بدلا من إثباتها في نص النظام أو اللائحة. وينبغي التحقق من حالة التسجيل مقابل القواعد الحالية المنشورة من SDAIA مباشرة بدلا من افتراضها استنادا إلى آلية النقل وحدها.

ما عقوبات عملية نقل بيانات عبر الحدود غير ممتثلة؟

المخالفة المتعلقة بالنقل التي لا تنطوي على إساءة استخدام متعمدة لبيانات حساسة تخضع للمسار الإداري في المادة 36، بغرامة تصل إلى SAR 5,000,000، تُضاعف إلى SAR 10,000,000 عند تكرار المخالفة. وإذا أُفصح عن بيانات حساسة عمدا بقصد الإضرار بصاحب البيانات أو لتحقيق منفعة شخصية، يُطبق مسار المادة 35 الجنائي بشكل منفصل، ويصل إلى السجن مدة سنتين و/أو غرامة تصل إلى SAR 3,000,000. ولا توجد لدى السعودية آلية غرامة بنسبة مئوية من الإيرادات كما في GDPR (4% من إجمالي الإيرادات العالمية).