PDPL السعودي مقابل GDPR: التسجيل والنقل والجزاءات

يستند قانون حماية البيانات السعودي وGDPR كلاهما إلى بنية متشابهة قوامها الموافقة، وحقوق أصحاب البيانات، وإشراف الجهة التنظيمية، لكن التفاصيل تتباين بطرق تهم كل من يعالج بيانات أشخاص داخل المملكة. تُطبّق السعودية نظام تسجيل للمتحكمين تخلى عنه GDPR عام 2018، ولا تملك أي قائمة منشورة للدول الكافية للنقل الخارج، وتفرض جزاء جنائياً على إساءة استخدام البيانات الحساسة لا يوجد له نظير على مستوى GDPR.

تقارن هذه الصفحة قانون حماية البيانات الشخصية (PDPL) ولائحته التنفيذية ولائحة نقل البيانات مع GDPR مادة بمادة، اعتماداً على النصوص الإنجليزية الرسمية الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA).

لمحة سريعة: PDPL مقابل GDPR

الخلفية والجدول الزمني للإنفاذ

دخلت GDPR حيز النفاذ في دول الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية في 25 May 2018، ولا تزال أكثر أطر حماية البيانات خضوعاً للتقاضي وأكثرها استناداً إلى إرشادات موسعة في العالم. لخلفية حول كيفية عملها، راجع شرحنا لـما تتطلبه GDPR.

صدر قانون حماية البيانات الشخصية السعودي بموجب Royal Decree No. M/19 وعُدّل لاحقاً بموجب Royal Decree No. M/148. ويُستكمل بلائحة تنفيذية، تتضمن هي نفسها فصلاً مستقلاً يُعرف بلائحة نقل البيانات، الناظمة للنقل عبر الحدود. وتُشرف SDAIA على الأدوات الثلاثة جميعها، بصفتها الجهة المختصة بتطبيق PDPL.

حمل القانون مهلة سماح مدتها ثلاث سنوات قبل بدء سريان الإنفاذ الكامل، وانتهت هذه المهلة في 14 September 2024. ومنذ ذلك التاريخ، أصبحت الالتزامات الموضوعية لـPDPL، بما فيها التسجيل والإخطار بالاختراق ومساري الجزاء الإداري والجنائي، سارية بالكامل. لمزيد من التفاصيل على مستوى الدولة، راجع صفحتنا عن قوانين خصوصية البيانات في السعودية.

ملاحظة حول ترقيم المواد: يرقّم PDPL المعدل أحكام الموافقة والأساس القانوني كالتالي: المادة 5 (الموافقة) والمادة 6 (المعالجة دون موافقة)، وأحكام الحقوق في المادة 4. وتُحيل اللائحة التنفيذية بشكل منفصل إلى المادة 10 من القانون نفسه، التي تحكم جمع البيانات من مصدر غير صاحب البيانات، وهي مادة مختلفة عن المادة 6. وتستشهد هذه الصفحة بكل مادة بدقة بدلاً من التعامل مع «المادة 6» و«المادة 10» كأنهما قابلتان للتبادل.

النطاق

تسري GDPR على المتحكمين والمعالجين المؤسسين في دول EU/EEA، وتمتد خارج الإقليم لتشمل الكيانات من خارج الاتحاد الأوروبي التي تعرض سلعاً أو خدمات على أشخاص داخله أو تراقب سلوكهم.

يسري PDPL على معالجة البيانات الشخصية للأفراد المقيمين في السعودية، ويمتد هو الآخر خارج الإقليم: إذ تُطبّق المادة 2(1) من PDPL القانون على المعالجة التي تتم «بأي وسيلة من أي طرف خارج المملكة» متى تعلقت ببيانات مقيم سعودي. وهذا الامتداد خارج الإقليم هو ركيزة اختصاص قضائي، مماثلة في وظيفتها للمادة 3 من GDPR، ولا ينبغي الخلط بينه وبين إلزام بتوطين البيانات (راجع القسم المخصص لذلك أدناه).

التعريفات: البيانات الحساسة وبيانات الائتمان فئتان منفصلتان

تُعرّف المادة 1(11) من PDPL البيانات الحساسة بأنها البيانات الشخصية التي تكشف عن الأصل العرقي أو الإثني، أو المعتقد الديني أو الفكري أو السياسي؛ والبيانات المتعلقة بالأمن والإدانات الجنائية والجرائم؛ والبيانات البيومترية أو الجينية المستخدمة لتحديد هوية الشخص؛ والبيانات الصحية؛ والبيانات التي تشير إلى أن أحد والدَي الفرد أو كليهما مجهول. وتتبع هذه القائمة الفئات الخاصة في المادة 9 من GDPR عن كثب، مع فئة واحدة لا تعدّها GDPR حساسة على الإطلاق: حالة النسب، وهي فئة قريبة من مفهوم عدم الشرعية لا نظير لها في GDPR. أما بيانات الإدانة الجنائية، التي تعالجها GDPR ضمن نظام مرتبط لكن منفصل في المادة 10، فهي مندرجة مباشرة ضمن تعريف البيانات الحساسة في PDPL.

بيانات الائتمان فئة منفصلة معرّفة بشكل مستقل. تُعرّف المادة 1(15) من PDPL بيانات الائتمان بأنها البيانات الشخصية المتعلقة بطلب الفرد للحصول على تمويل أو حصوله عليه، بما في ذلك قدرته على الحصول على الديون وسدادها وتاريخه الائتماني. وهي ليست جزءاً من تعريف البيانات الحساسة الوارد في المادة 1(11). بل تُنظَّم بموجب حكم مستقل خاص بها، هو المادة 24 من PDPL، التي تُحيل إلى نظام المعلومات الائتمانية في المملكة وتستلزم التحقق من الموافقة الصريحة إضافة إلى إشعار صاحب البيانات عند الإفصاح عن بياناته الائتمانية. ولا تملك GDPR أي فئة خاصة مماثلة للبيانات المالية أو الائتمانية على الإطلاق، لذا فإن معاملة السعودية لمعلومات الائتمان كفئة منظمة بشكل منفصل، متمايزة عن قواعدها العامة للبيانات الحساسة، تمثل نقطة اختلاف حقيقية تستحق أن تُذكر بدقة بدلاً من دمج الفئتين معاً.

الأسس القانونية للمعالجة وأساس المصلحة المشروعة المقيَّد

تمنح المادة 6 من GDPR المتحكمين ستة أسس قانونية محتملة: الموافقة، وضرورة تنفيذ العقد، والالتزام القانوني، والمصالح الحيوية، والمهمة العامة، والمصالح المشروعة، مع نظام أكثر صرامة للبيانات ذات الفئة الخاصة بموجب المادة 9.

ويبني PDPL هذا الهيكل بشكل مختلف وأضيق نطاقاً.

الموافقة هي القاعدة الافتراضية. تستلزم المادة 5(1) من PDPL موافقة صاحب البيانات لمعالجة بياناته، أو لتغيير غرض المعالجة، «باستثناء الحالات المنصوص عليها في هذا النظام». وتجعل المادة 5(2) الموافقة قابلة للسحب في أي وقت.

تحدد المادة 6 أربعة أسس للمعالجة دون موافقة، كل منها أضيق وأكثر تحديداً من الأسس الستة في GDPR:

1. أن تخدم المعالجة المصلحة الفعلية لصاحب البيانات، لكن الاتصال به متعذر أو صعب.
2. أن تكون المعالجة مطلوبة بموجب نظام آخر، أو بموجب اتفاق سابق صاحب البيانات طرف فيه. ويغطي هذا الأساس الواحد ما تقسمه GDPR إلى أساسين منفصلين للعقد والالتزام القانوني.
3. أن يكون المتحكم جهة عامة وتكون المعالجة لأغراض أمنية أو لمتطلبات قضائية.
4. المصلحة المشروعة للمتحكم، «دون الإخلال بحقوق ومصالح صاحب البيانات»، وشريطة ألا تُعالَج أي بيانات حساسة.

الأساس الرابع هو نقطة الاختلاف الأكبر بين القانونين. وتوضح المادة 16 من اللائحة التنفيذية أن المصلحة المشروعة متاحة للمتحكمين من القطاع الخاص فقط، لا للجهات العامة. وتستلزم غرضاً مشروعاً، واختباراً موثّقاً للموازنة، وضماناً بعدم تعلق الأمر بأي بيانات حساسة، ومعالجة تبقى ضمن التوقعات المعقولة لصاحب البيانات. وتذهب المادة 16(3) أبعد من ذلك، إذ تستلزم تقييم أثر موثّقاً إلزامياً، يغطي الغرض والضرورة والضرر المحتمل وإجراءات التخفيف، قبل أن يتمكن المتحكم من الاستناد إلى هذا الأساس أصلاً. ولا يوجد لاختبار الموازنة بموجب المادة 6(1)(f) من GDPR أي متطلب عام مماثل لإتمام تقييم رسمي قبل الاستناد إلى المصلحة المشروعة.

ولا يوجد أساس منفصل للمهمة العامة أو المصالح الحيوية بموجب المادة 6 من PDPL على النحو الذي تُعدّدهما به GDPR كلاً على حدة. بل تدمج السعودية لغة المصالح الحيوية والصحة/السلامة العامة ضمن حكم مختلف، هو المادة 10، التي تحكم جمع البيانات من مصدر غير صاحب البيانات.

والنتيجة الصافية: المصلحة المشروعة السعودية حقيقية، لكنها بديل الموافقة للمتحكمين من القطاع الخاص فقط، ومستبعدة تماماً من أي بيانات حساسة، ومقيدة بتقييم مسبق موثّق لا تستلزمه GDPR كقاعدة عامة.

حقوق أصحاب البيانات والثغرات

تُعدّد المادة 4 من PDPL حقوق أصحاب البيانات على سبيل الحصر:

1. الحق في العلم بالأساس القانوني وغرض جمع البيانات.
2. الحق في الوصول إلى البيانات الشخصية التي يحتفظ بها المتحكم، مع مراعاة المهل والحدود الواردة في المادة 9.
3. الحق في طلب الحصول على البيانات الشخصية «بصيغة قابلة للقراءة وواضحة».
4. الحق في طلب التصحيح أو الاستكمال أو التحديث.
5. الحق في طلب الإتلاف، مع مراعاة استثناءات الاحتفاظ الواردة في المادة 18.

ومقارنة بالمواد 15 حتى 22 من GDPR، لا يوجد لعدة حقوق تمنحها GDPR نظير في PDPL، والفجوات محددة بما يكفي لذكرها بوضوح:

• لا يوجد حق اعتراض. لا يوجد حكم في PDPL مماثل للمادة 21 من GDPR الذي يتيح لصاحب البيانات الاعتراض على المعالجة القائمة على المصلحة المشروعة، أو على التسويق المباشر، لأسباب تتعلق بوضعه الخاص. بل تجعل السعودية موافقة التسويق قائمة على القبول المسبق بموجب المادتين 25 و26، وهو ما يغطي أرضية متقاطعة لكنه لا يُصاغ كحق اعتراض.
• لا يوجد حق يتعلق باتخاذ القرارات الآلية أو التنميط. لا يظهر أي حكم مماثل للمادة 22 من GDPR في أي موضع من PDPL أو لائحته التنفيذية. وبحث مباشر في النصين لا يكشف عن أي معالجة موضوعية لاتخاذ القرارات الآلية تتجاوز إدراجه كأسلوب معالجة ضمن تعريف «المعالجة» في المادة 1، ولا عن أي معالجة للتنميط على الإطلاق. وهذه فجوة حقيقية وملحوظة.
• لا يوجد حق حقيقي في نقل البيانات. حق المادة 4(3) في الحصول على البيانات الشخصية «بصيغة قابلة للقراءة وواضحة» هو حق نسخ بصيغة قابلة للاستخدام، أقرب إلى حق الوصول في GDPR (المادة 15) منه إلى حق النقل في المادة 20 من GDPR، الذي يشمل الحق في نقل البيانات مباشرة إلى متحكم آخر. ولا يمنح PDPL حق النقل هذا.
• لا يوجد حق صريح في تقييد المعالجة منفصل عن التصحيح أو الإتلاف، خلافاً للمادة 18 من GDPR.
• حق الإتلاف القائم مقيّد هو الآخر: تتيح المادة 18 للمتحكم الاحتفاظ بالبيانات بعد اكتمال الغرض حين يدعم أساس قانوني مدة احتفاظ محددة، أو حين تتعلق البيانات بمسألة قضائية قائمة.

السجل الوطني للمتحكمين

هذا أحد أوضح الانقسامات البنيوية بين القانونين. فقد ألغت GDPR الإخطار والتسجيل المسبقين العامين عام 2018، وانتقلت إلى نموذج قائم على المساءلة يوثّق فيه المتحكمون امتثالهم بأنفسهم بدلاً من التسجيل المسبق لدى جهة تنظيمية.

وسارت السعودية في الاتجاه المعاكس. إذ تخوّل المادة 30(4)(C) من PDPL الهيئة SDAIA، بصفتها الجهة المختصة، تحديد أدوات وآليات لرصد امتثال المتحكمين، «بما في ذلك الاحتفاظ بسجل وطني للمتحكمين». وتُحيل المادة 34 من اللائحة التنفيذية قواعد التسجيل الفعلية إلى SDAIA، إذ تنص على أن الجهة المختصة «تُصدر قواعد التسجيل»، شريطة أن تحدد هذه القواعد المتحكمين الملزَمين بالتسجيل. ولا تفصّل اللائحة التنفيذية نفسها معايير التسجيل المحددة؛ بل تحددها SDAIA وتنشرها بشكل منفصل كإرشادات تنظيمية بدلاً من نص تشريعي.

والخلاصة العملية للمتحكم الذي يقيّم ما إذا كان بحاجة إلى التسجيل هي مراجعة قواعد التسجيل الحالية المنشورة من SDAIA مباشرة، لأن النص القانوني الأساسي يُحيل هذا التحديد بدلاً من تثبيته في نص التشريع.

الإخطار بالاختراق

يقسّم PDPL ولائحته التنفيذية مهلة الإخطار بالاختراق بين أداتين، ومن السهل الاستشهاد بالأداة الخاطئة.

لا تحدد المادة 20 من PDPL نفسها أي مهلة رقمية. إذ تُلزم المتحكم بإخطار SDAIA «فور العلم بأي اختراق أو ضرر أو دخول غير مشروع إلى البيانات الشخصية، وفقاً للائحة»، وبإخطار صاحب البيانات في حال الاختراق الذي قد يسبب ضرراً أو يمس حقوقه، مرة أخرى «وفقاً للائحة». ويُحيل القانون صراحة تحديد المهلة الفعلية إلى اللائحة التنفيذية بدلاً من تثبيتها بنفسه.

تحدد المادة 24 من اللائحة التنفيذية المهلة. تستلزم المادة 24(1) إخطار SDAIA «خلال مدة لا تتجاوز (72) ساعة» من العلم بحادثة قد تُسبب ضرراً للبيانات الشخصية، أو لصاحب البيانات، أو تتعارض مع حقوقه أو مصالحه، وهو معيار قائم على المخاطر وليس عتبة عددية ثابتة. وتتيح المادة 24(2) للمتحكم غير القادر على تقديم كامل المعلومات خلال 72 ساعة تقديمها في أقرب وقت لاحق ممكن، مع تبرير التأخير. وتستلزم المادة 24(5) إخطار صاحب البيانات «دون تأخير لا مبرر له» حين قد يسبب الاختراق ضرراً أو يتعارض مع حقوقه أو مصالحه، دون عدد ساعات ثابت لهذا الشق.

وبذلك تُماثل مهلة إخطار الجهة التنظيمية (72 ساعة) معيار المادة 33 من GDPR ذاته عن كثب. أما مهلة إخطار الأفراد فتختلف في الشكل فقط: تستخدم المادة 34 من GDPR هي الأخرى صيغة «دون تأخير لا مبرر له» بالنسبة للاختراقات عالية الخطورة، ولذا يصل القانونان إلى موقف متقارب بشأن إخطار الأفراد، رغم أن PDPL يصل إلى هذا المعيار عبر لائحته التنفيذية لا عبر نص القانون نفسه. لمقارنة هذا الأمر عبر اختصاصات قضائية أخرى، راجع مسحنا حول مهل الإخطار بالاختراقات حسب الدولة.

النقل عبر الحدود، والبنود التعاقدية القياسية، وقائمة الكفاية المفقودة

هنا يتباين عبء الامتثال في PDPL عن عبء GDPR بأشد وضوح على أرض الواقع، وهو يستحق التعمق الذي تتجاهله الملخصات الثانوية عادة.

تُوجد الكفاية كآلية، لكن لم تُوجد بعد أي دولة كافية. تتيح المادة 3 من لائحة نقل البيانات لـSDAIA، بالتعاون مع السلطات المنسِّقة، تقييم دولة أو قطاع أو منظمة وجهة وفق سبعة معايير: قوانين حماية تعادل PDPL على الأقل؛ وسيادة القانون؛ والإنفاذ الفعّال؛ والقدرة العملية لأصحاب البيانات على ممارسة حقوقهم وتقديم الشكاوى؛ ووجود سلطة إشرافية؛ واستعداد تلك السلطة للتعاون مع SDAIA؛ ووضوح قواعد وصول الحكومة في تلك الوجهة. وتتيح المادة 4 لـSDAIA رفع توصية بقرار إلى رئيس مجلس الوزراء، الذي يُصدر قرار الكفاية أو يرفضه، على أن يُراجَع كل أربع سنوات على الأقل. وبحسب أحدث تحقق من المصدر الأساسي، لم تُنشر أي قرارات كفاية. أما GDPR، في المقابل، فلديها بالفعل قائمة كفاية مأهولة تشمل دولاً مثل المملكة المتحدة واليابان وكوريا الجنوبية، حيث لا تحتاج عمليات النقل إلى أي آلية إضافية على الإطلاق.

وبسبب عدم وجود قائمة كفاية، تعتمد معظم عمليات النقل الفعلية على الضمانات الملائمة بموجب المادة 5. والخيارات هي القواعد المشتركة الملزمة (ترتيبات داخل المجموعة تعتمدها SDAIA حالة بحالة)، أو البنود التعاقدية القياسية وفق نموذج SDAIA الخاص الصادر في سبتمبر 2024، أو شهادات الامتثال الصادرة من جهة اعتماد معتمدة من SDAIA، أو مدونات السلوك الملزمة. وتحمل القواعد المشتركة الملزمة عبء توثيق كبيراً: إذ تُدرج المادة 5(2) ما لا يقل عن أربعة عشر عنصراً إلزامياً، منها معلومات السجل التجاري، وفئات النقل وأغراضه ووجهاته، وحقوق أصحاب البيانات وآليات الشكاوى، ودور مخصص لرصد الامتثال، والتزامات التدقيق، وآلية تصعيد لتنازع القوانين. وتغطي صفحتنا عن البنود التعاقدية القياسية كيفية عمل SCCs كآلية نقل بشكل أوسع.

توجد استثناءات ضيقة بلا ضمانة، لكن فقط حيث يتعذر فعلياً استخدام أي ضمانة. تسمح المادة 6 من لائحة نقل البيانات بالنقل دون ضمانة بموجب المادة 5 في حالات تنفيذ اتفاق صاحب البيانات طرف فيه، أو نقل الجهات العامة لأغراض التعاون الدولي أو المتطلبات القضائية، أو حماية المصالح الحيوية لصاحب البيانات، أو البحث العلمي.

ويعلو على كل ذلك التزام بمفتاح إيقاف فوري. تُلزم المادة 7 المتحكم بوقف أي نقل بموجب المادة 5 أو المادة 6 فوراً إذا مسّ الأمن الوطني للمملكة أو مصالحها الحيوية، أو إذا كشف تقييم مخاطر عن خطر مرتفع على الخصوصية، وبإعادة التقييم قبل استئناف النقل.

ويُعد تقييم المخاطر الموثّق إلزامياً بشكل منفصل بموجب المادة 8 من لائحة نقل البيانات كلما اعتمد النقل على مسار ضمانات المادة 5، أو استند إلى استثناء المادة 6، أو تضمن نقلاً مستمراً أو واسع النطاق لبيانات حساسة خارج المملكة. ويكتسب هذا المحفز الثالث أهمية بذاته: فالحجم والحساسية وحدهما قد يفرضان تقييم مخاطر جديداً حتى لو كانت آلية نقل صحيحة قائمة بالفعل. وتستلزم المادة 8(2) أن يغطي التقييم الغرض والأساس القانوني للنقل، وطبيعته ونطاقه، ومدى ملاءمة الضمانة المختارة، وتدابير تقليل البيانات المتخذة، والأثر المادي أو المعنوي المحتمل على أصحاب البيانات. وأصدرت SDAIA دليلها الإرشادي لتقييم مخاطر نقل البيانات الشخصية خارج المملكة في فبراير 2025، ليوفر إرشادات SDAIA التنفيذية حول كيفية إجراء هذا التقييم؛ فالتزام المادة 8 هو المتطلب القانوني الأساسي، والدليل هو الطريقة التي تتوقع SDAIA تنفيذه بها.

الخلاصة العملية: بسبب عدم وجود قائمة كفاية، فإن كل عملية نقل روتينية تقريباً عبر الحدود، بما فيها أمر عادي مثل استخدام مزود خدمات سحابية أمريكي، تعتمد على ضمانات المادة 5، وفي الغالبية العظمى من الحالات على SCCs، إضافة إلى تقييم مخاطر موثّق بموجب المادة 8 حيثما تحقق المحفز الحساس أو المستمر أو واسع النطاق. وهذا عبء امتثال أثقل بكثير من نقل بموجب GDPR إلى دولة مدرجة بالفعل في قائمة الكفاية الخاصة بالمفوضية الأوروبية، حيث لا تُطلب أي آلية نقل على الإطلاق.

توطين البيانات: تصحيح فهم شائع خاطئ

توطين البيانات، أي وجود متطلب قانوني ببقاء البيانات الشخصية مخزنة فعلياً داخل حدود دولة ما، من أكثر السمات المنسوبة بشكل متكرر وغير صحيح إلى قوانين الخصوصية في منطقة الخليج ضمن التعليقات الثانوية. لا يفرض PDPL أي متطلب عام لتوطين البيانات. وبحث مباشر في النصين الرسميين لـPDPL ولائحته التنفيذية عن أي لغة متعلقة بالتوطين، بما فيها «محلي» و«داخل المملكة» و«مخزّن»، لا يكشف عن أي حكم يستلزم معالجة أو تخزين البيانات الشخصية داخل السعودية كقاعدة افتراضية.

وما يفعله PDPL ولائحة نقل البيانات فعلياً هو تنظيم الشروط التي يمكن بموجبها للبيانات مغادرة المملكة، من خلال إطار الكفاية والضمانات والاستثناءات الموصوف أعلاه. فهما ينظمان النقل الخارج؛ ولا يحظرانه ولا يفترضان التخزين داخل المملكة كقاعدة. وكثيراً ما يُخلط هذا التمييز بقواعد توطين قطاعية في دول خليجية أخرى، مثل بعض قواعد البيانات المصرفية أو الصحية في الإمارات، وهي أنظمة منفصلة تماماً غير مرتبطة بـPDPL.

وأقرب حكم في PDPL إلى ركيزة متعلقة بالإقامة هو حكم الامتداد خارج الإقليم المذكور أعلاه، المادة 2(1)، التي تُطبّق القانون على معالجة بيانات المقيمين السعوديين التي تجري من خارج المملكة. وهذا حكم متعلق بالامتداد الاختصاصي، يعمل مثل المادة 3 من GDPR، وليس إلزاماً بالتوطين؛ فهو يوسّع نطاق سريان القانون، ولا يُقيّد مكان تخزين البيانات. لمعرفة كيف تتفاوت قواعد التوطين في أماكن أخرى، راجع مسحنا حول قوانين توطين البيانات حسب الدولة.

الجزاءات: الإدارية والجنائية

تحدد المادة 83 من GDPR سقفاً للغرامات عند الأعلى من مبلغ ثابت، يصل إلى 20 مليون يورو لأشد الفئات جسامة، أو نسبة من حجم الأعمال السنوي العالمي، تصل إلى 4%. وتُوسّع آلية النسبة المئوية التعرض المالي بحسب حجم الشركة، وتكاد تكون غير محدودة من الناحية المطلقة بالنسبة لشركة متعددة الجنسيات كبيرة.

لا تملك السعودية أي آلية نسبة من الإيرادات على الإطلاق. بل يدير PDPL مسارين منفصلين تماماً:

المسار الإداري (المادة 36): إنذار أو غرامة تصل إلى SAR 5,000,000 لأي مخالفة لا تغطيها المادة 35، تتضاعف إلى SAR 10,000,000 عند تكرار المخالفة. ويُتخذ القرار من لجنة معينة من SDAIA تضم ثلاثة أعضاء على الأقل، بينهم متخصص تقني ومستشار قانوني، ويُعتمد من رئيس SDAIA.

المسار الجنائي (المادة 35): حتى سنتين سجناً و/أو غرامة تصل إلى SAR 3,000,000، تتضاعف عند العودة إلى المخالفة، وتُلاحَق أمام محكمة مختصة من قبل النيابة العامة. ويسري هذا المسار تحديداً على من يفصح عن بيانات حساسة أو ينشرها خلافاً للنظام، بقصد الإضرار بصاحب البيانات أو تحقيق منفعة شخصية. وهو منفصل تماماً عن مسار المادة 36 الإداري ومضاف إليه، ويُلاحَق كمسألة جنائية لا تبت فيها لجنة SDAIA.

عواقب أخرى تتجاوز جدول الغرامات: يمكن للمحاكم أن تأمر بمصادرة الأموال المتحصلة من مخالفة (المادة 38(1))؛ ويمكن للمحاكم أو اللجنة أن تأمر بنشر ملخص للمخالفة في الصحف المحلية على نفقة المخالِف (المادة 38(2))؛ ويحتفظ أصحاب البيانات بحق مدني منفصل في مقاضاة المتحكم طلباً لتعويض متناسب عن ضرر مادي أو معنوي بموجب المادة 40، بمعزل عن أي من المسارين الإداري أو الجنائي.

التباين البنيوي: بالنسبة لشركة متعددة الجنسيات كبيرة، يكون التعرض المالي الواقعي بموجب GDPR عادة أعلى بكثير من سقف السعودية الإداري الثابت، لأن آلية نسبة الـ4% من حجم الأعمال تتسع بحسب حجم الشركة بينما لا يفعل سقف PDPL الثابت عند SAR 5,000,000 (يتضاعف إلى SAR 10,000,000) ذلك. أما التعرض الفريد نسبياً للسعودية فيسير في الاتجاه المعاكس: جريمة لا تُنشئها GDPR نفسها، إذ يُترك التعرض الجنائي لمخالفات حماية البيانات في الاتحاد الأوروبي لقوانين الدول الأعضاء كل على حدة، لا للائحة نفسها.

متطلب مسؤول حماية البيانات

تجعل المادة 32(1) من اللائحة التنفيذية تعيين مسؤول حماية بيانات إلزامياً، سواء كان موظفاً أو متعاقداً خارجياً، في ثلاث حالات: جهة عامة تقدم خدمات تنطوي على معالجة واسعة النطاق؛ وأنشطة رئيسية تستلزم مراقبة منتظمة ومستمرة واسعة النطاق للأفراد؛ وأنشطة أساسية تتألف من معالجة بيانات حساسة. وتُماثل هذه المحفزات الثلاثة عن كثب المحفزات الثلاثة في المادة 37(1) من GDPR نفسها: صفة السلطة العامة، والأنشطة الأساسية التي تستلزم مراقبة منتظمة ومنهجية واسعة النطاق، والأنشطة الأساسية التي تنطوي على بيانات ذات فئة خاصة أو بيانات إدانات جنائية واسعة النطاق، ما يجعل هذا أحد المجالات القليلة التي يتقارب فيها القانونان بنيوياً بدلاً من أن يتباينا. وتمنح المادة 32(3) مسؤول حماية البيانات مسؤوليات تُماثل دوره في GDPR: العمل كنقطة اتصال مع الجهة التنظيمية، والإشراف على تقييمات الأثر، وتمكين حقوق أصحاب البيانات، ومعالجة الإخطار بالاختراق، وإدارة الشكاوى. لمزيد من التفاصيل حسب كل اختصاص قضائي حول متى يُطلب مسؤول حماية بيانات، راجع صفحتنا عن متطلبات مسؤول حماية البيانات.

التطورات الأخيرة

إرشادات الامتثال المزدوج

ينبغي للمتحكم العامل بموجب القانونين كليهما أن يتعامل معهما كبرنامجين مترابطين لكن غير قابلين للاستبدال، لا أن يفترض أن امتثال GDPR يغطي الالتزامات السعودية تلقائياً.

• تحقق من حالة التسجيل مباشرة مع SDAIA. ألغت GDPR التسجيل العام؛ ولم يفعل PDPL ذلك. لا تفترض أن نموذج المساءلة على طريقة GDPR ينطبق هنا.
• لا تعتمد أبداً على المصلحة المشروعة للبيانات الحساسة، وأتمم التقييم المسبق الموثّق قبل الاستناد إليها في أي أمر آخر. فتحليل الموازنة على طريقة المادة 6(1)(f) من GDPR لا يكفي وحده بموجب المادة 16 من اللائحة التنفيذية، التي تستلزم هذا التقييم المسبق كخطوة إلزامية منفصلة.
• ابنِ مسارات عمل منفصلة لتلبية الحقوق. فأي عملية مبنية فقط على حقوق PDPL الأربعة ستقصر عن التزامات GDPR تجاه أصحاب البيانات في الاتحاد الأوروبي، والعكس صحيح؛ حدد أي الأفراد يغطيهم كل طلب فعلياً قبل تطبيق عملية عالمية واحدة.
• تعامل مع عمليات النقل الخارج باعتبارها بحاجة إلى آليتها الخاصة. فالبنود التعاقدية القياسية الخاصة بـGDPR ليست الأداة نفسها التي يمثلها نموذج SCC الخاص بـSDAIA الصادر في سبتمبر 2024، ولا ينتقل قرار كفاية بموجب أحد النظامين إلى الآخر. وخصص ميزانية لتقييم مخاطر موثّق بموجب المادة 8 كخطوة امتثال حقيقية حيثما تنطبق محفزاتها.
• سمِّ خطر التعرض الجنائي في التدريب تحديداً. فبرامج GDPR ليست مبنية حول تعرض جنائي شخصي للموظفين؛ بينما تُدخل المادة 35 من PDPL تعرضاً من هذا النوع للإفصاح المتعمد أو الضار أو لتحقيق منفعة شخصية عن بيانات حساسة.
• لا تصف PDPL بأنه يستلزم بقاء البيانات داخل السعودية. فهو لا يستلزم ذلك؛ ابنِ برنامجك حول المتطلب الفعلي، وهو عملية نقل موثّقة ومضمونة.

Frequently Asked Questions

هل يستلزم PDPL السعودي تسجيل الشركات لدى الجهة التنظيمية؟

نعم، على نحو لا تستلزمه GDPR. تخوّل المادة 30(4)(C) من PDPL هيئة SDAIA الاحتفاظ بسجل وطني للمتحكمين، وتُحيل المادة 34 من اللائحة التنفيذية إلى SDAIA تحديد فئات المتحكمين الملزَمة بالتسجيل بشكل منفصل. وقد ألغت GDPR الإخطار والتسجيل المسبقين العامين عام 2018 لصالح نموذج قائم على المساءلة، لذا فهذا اختلاف بنيوي لا أسلوبي.

هل يمكن لشركة نقل بيانات شخصية من السعودية إلى الولايات المتحدة أو الاتحاد الأوروبي دون ضمانات إضافية؟

ليس تلقائياً. لم تنشر SDAIA أي قرار كفاية لأي دولة، لذا لا يوجد ما يعادل بموجب PDPL النقل إلى دولة مدرجة بالفعل في قائمة كفاية الاتحاد الأوروبي. عملياً، تعتمد عمليات النقل على البنود التعاقدية القياسية المعتمدة من SDAIA أو القواعد المشتركة الملزمة، ويُطلب تقييم مخاطر موثّق بشكل منفصل حين يكون النقل مستمراً أو واسع النطاق أو يتضمن بيانات حساسة.

هل يستلزم PDPL تخزين البيانات الشخصية داخل السعودية؟

لا. هذا فهم خاطئ شائع. ينظم PDPL ولائحة نقل البيانات الشروط التي يمكن بموجبها للبيانات مغادرة المملكة؛ ولا يستلزمان تخزينها داخلها كقاعدة افتراضية. ولم يكشف بحث مباشر في النصوص الرسمية عن أي متطلب توطين عام.

هل يمنح PDPL أصحاب البيانات حق الاعتراض على المعالجة أو الانسحاب من القرارات الآلية، مثلما تفعل GDPR؟

لا. تمنح المادة 4 من PDPL أربعة حقوق فقط: العلم، والوصول، والتصحيح، والإتلاف. ولا يوجد حق اعتراض على المعالجة مماثل للمادة 21 من GDPR، ولا حق يتعلق باتخاذ القرارات الآلية أو التنميط مماثل للمادة 22. ولا يظهر أي من الحكمين في أي موضع من القانون أو لائحته التنفيذية.

هل يمكن لمتحكم سعودي الاستناد إلى المصلحة المشروعة بالشروط نفسها التي تسمح بها GDPR؟

ليس بالشروط نفسها. أساس المصلحة المشروعة في المادة 6 من PDPL متاح للمتحكمين من القطاع الخاص فقط، وغير متاح أبداً حين تتعلق البيانات ببيانات حساسة، وتستلزم المادة 16 من اللائحة التنفيذية تقييم أثر موثّقاً إلزامياً قبل أن يتمكن المتحكم من الاستناد إليها. ولا يحمل اختبار الموازنة بموجب المادة 6(1)(f) من GDPR أي متطلب عام مماثل للتقييم المسبق.

هل تُعامَل البيانات الائتمانية أو المالية كبيانات شخصية حساسة بموجب PDPL؟

لا. تُعرَّف بيانات الائتمان بشكل منفصل بموجب المادة 1(15) من PDPL وتُنظَّم بموجب حكم مستقل خاص بها، هو المادة 24، الذي يُحيل إلى نظام المعلومات الائتمانية. وهي ليست جزءاً من تعريف البيانات الحساسة الوارد في المادة 1(11)، رغم أنها تخضع لضوابط معززة خاصة بها، منها التحقق من الموافقة الصريحة وإشعار صاحب البيانات عند الإفصاح.

كيف يقارَن توقيت الإخطار بالاختراق بين PDPL وGDPR؟

يصلان إلى موقف متقارب عبر مسارين مختلفين. لا تحدد المادة 20 من PDPL نفسها أي مهلة رقمية وتُحيل إلى اللائحة التنفيذية، التي تحدد المادة 24(1) منها مهلة 72 ساعة لإخطار SDAIA، بما يماثل معيار 72 ساعة في المادة 33 من GDPR. ويستخدم إخطار الأفراد بموجب القانونين معيار «دون تأخير لا مبرر له» بدلاً من عدد ساعات ثابت.

ما الحد الأقصى للجزاء على مخالفة PDPL، وكيف يقارَن بغرامات GDPR؟

يبلغ سقف المسار الإداري لـPDPL SAR 5,000,000، يتضاعف إلى SAR 10,000,000 عند تكرار المخالفة، دون أي آلية نسبة من الإيرادات مثل نسبة الـ4% من حجم الأعمال العالمي في GDPR. وتضيف السعودية ما لا تضيفه GDPR: جريمة بموجب المادة 35 للإفصاح المتعمد عن بيانات حساسة بقصد الإضرار أو تحقيق منفعة شخصية، تصل عقوبتها إلى السجن مدة سنتين و/أو غرامة تصل إلى SAR 3,000,000.