نظام حماية البيانات الشخصية هو النظام السعودي الذي يحكم جمع البيانات الشخصية ومعالجتها وحفظها ومشاركتها، ويخاطب كل جهة تجمع بيانات أشخاص في المملكة وتقرر لماذا وكيف تُستخدم، ومنها المتجر والعيادة وشركة الخدمات التي ترد على عملائها عبر الإنترنت. دخل النظام حيز النفاذ في 14 سبتمبر 2023 بحسب دليل سدايا، وانتهت فترته التصحيحية في 14 سبتمبر 2024، فلم تعد هناك مهلة انتظار. والمشكلة العملية تبدأ من الإعلان: تدفع ثمن النقرة، فيصل العميل إلى موقعك أو إلى واتساب ويكتب اسمه ورقم جواله وتفاصيل طلبه. إذا كان من يرد عليه نظاماً بالذكاء الاصطناعي، فهذه البيانات تُجمع وتُحفظ، وقد تمر عبر مزوّد خارجي، منذ الرسالة الأولى. يشرح هذا الدليل ما يلزمك في الأساس النظامي والإشعار والموافقة، وعقد المزوّد والنقل خارج المملكة، والاحتفاظ والتسرب والعقوبات، ثم يختم بقائمة تحقق من 12 بنداً قبل التشغيل.
ما نظام حماية البيانات الشخصية في السعودية ومتى أصبح ملزماً؟
نظام حماية البيانات الشخصية ملزم اليوم بالكامل: نفذ في 14 سبتمبر 2023، وكان على الجهات أن تلتزم بأحكامه بنهاية الفترة التصحيحية في 14 سبتمبر 2024 كما يحدد دليل سدايا. من المفيد ألا تخلط بين التاريخين؛ الأول موعد النفاذ، والثاني نهاية المهلة التي أُعطيت للجهات لترتيب أوضاعها.
والنظام ليس نصاً واحداً. أمامك ثلاثة مستويات يخلط بينها كثير من المحتوى المنشور:
- النظام نفسه: يضع المبادئ والحقوق والعقوبات، ونصه منشور على بوابة سدايا لحماية البيانات.
- اللائحة التنفيذية: تفصّل شروط الموافقة والإشعار ومهل الاستجابة والإبلاغ عن التسرب وسجلات المعالجة، ونصها المتاح في 2026 منشور على صفحة اللائحة لدى سدايا.
- لائحة نقل البيانات الشخصية خارج المملكة: لائحة مستقلة، وتحمل الوثيقة المنشورة منها عبارة الإصدار 2.0 بتاريخ أغسطس 2024، وتربط مادتها التاسعة النفاذ بالنشر الرسمي.
وتذكر اللائحة التنفيذية أن النظام صدر بالمرسوم الملكي م/19 بتاريخ 9/2/1443هـ، وعُدّل بالمرسوم الملكي م/148 بتاريخ 5/9/1444هـ. نذكر التاريخين بالهجري كما وردا في النص؛ فهذه هي الصيغة التي استطعنا التحقق منها.
لماذا يهمك هذا التقسيم؟ لأن كل التزام في هذا الدليل منسوب إلى مصدره. نص النظام أعلى مرتبة، واللوائح هي التي تحدد التفاصيل الإجرائية: المهل والنماذج وما يُوثّق. وعندما يقول لك مزوّد أو مستشار إن أمراً ما «مطلوب في PDPL»، اسأله: في النظام أم في اللائحة، وفي أي مادة؟
هل يخضع الرد الآلي على استفسارات الإعلانات لنظام حماية البيانات الشخصية؟
نعم. كون الرد آلياً لا يُخرج المعالجة من نطاق النظام؛ فالسؤال ليس من كتب الرد، بل ما البيانات التي جُمعت ولأي غرض. حين يكتب العميل اسمه ورقم جواله في محادثة على موقعك أو في واتساب، فهذه بيانات شخصية، وأنت الجهة التي حددت سبب جمعها.
وهناك نص سعودي آخر يحسم مسألة «الآلة لا تُسأل». فبحسب نظام التعاملات الإلكترونية، المواد 10 إلى 12، يعترف النظام بالإيجاب والقبول الإلكترونيين وبالتعاقد الآلي بشروطه، وينسب السجل الصادر آلياً إلى من برمج النظام ليعمل نيابة عنه. وتؤكد اللائحة التنفيذية لنظام التعاملات الإلكترونية المنشورة في أم القرى في 7 يونيو 2024، في المادة 7/2، نسبة السجل الآلي إلى منشئه بشرط سلامة الإنشاء والإرسال. النتيجة العملية: المسؤولية لا تزول لمجرد غياب موظف يكتب الرد.
خذ مثالاً واقعياً. عيادة أسنان في الرياض تشغّل إعلاناً على Google، والإعلان يقود إلى صفحة فيها نافذة محادثة. يسأل العميل عن سعر التنظيف، فيطلب منه الرد الآلي اسمه وجواله ليحجز موعداً، ثم يسأله إن كان يعاني من حساسية أو مرض مزمن. في هذه المحادثة القصيرة جُمعت بيانات تواصل، وربما بيانات صحية، وحُفظ كل ذلك في سجل المحادثة لدى المزوّد. كل خطوة من هذه الخطوات لها حكم في النظام ولوائحه، وهذا ما تعالجه الأقسام التالية.
على أي أساس نظامي يجمع الرد الآلي بيانات العميل؟
الموافقة هي الأصل، لكنها ليست الأساس الوحيد. بحسب نص النظام، المواد 5 إلى 7، الموافقة أصل مع استثناءات محددة، ومنها أن تكون المعالجة تنفيذاً لاتفاق سابق يكون صاحب البيانات طرفاً فيه. ويقيّد النص ربط الخدمة بموافقة لا تلزمها؛ أي لا تجعل العميل يوافق على شيء لا يحتاجه الرد على طلبه.
عملياً، الرد الآلي في نشاط يدفع مقابل الإعلانات يجمع البيانات لأكثر من غرض في المحادثة نفسها:
| الغرض | مثال في المحادثة | ما تفكر فيه |
|---|---|---|
| الرد على الاستفسار | «كم سعر الكشف؟» | جمع ما يلزم للجواب فقط |
| الحجز أو الطلب | الاسم والجوال والموعد | تنفيذ طلب طلبه العميل نفسه |
| المتابعة والدعم | «أين طلبي؟» | ربط المحادثة بطلب قائم |
| التسويق المباشر | عروض لاحقة عبر واتساب | موافقة مستقلة وإيقاف سهل |
الخطأ الشائع أن يُعامل الجدول كله بأساس واحد. حدد مسوّغ الحجز والدعم والتسويق كلاً على حدة، ووثّق ذلك كتابة قبل التشغيل؛ هذا هو التطبيق العملي الذي يقترحه بحثنا للمواد 5 إلى 7.
ويرافق الأساس النظامي مبدأ تحديد الغرض والحد الأدنى. فبحسب النظام، المادتان 10 و11، تُجمع البيانات وتُعالج بما يحقق الغرض المحدد ضمن الأحكام والاستثناءات النظامية. لا تطلب رقم الهوية أو ملفاً صحياً لحجز بسيط دون حاجة ومسوّغ. وفي مثال عيادة الأسنان، سؤال الحساسية قد يكون له مكان عند الطبيب، لكن مكانه ليس بالضرورة نافذة محادثة على صفحة إعلان.
ماذا يجب أن يقول إشعار الخصوصية ومتى تلزم الموافقة الصريحة؟
يجب أن يصل الإشعار قبل جمع البيانات أو عنده، لا بعد اكتمال الحجز. بحسب النظام، المادتان 12 و13، واللائحة، المادة 4، يبيّن الإشعار هوية الجهة، والغرض، والمسوّغ النظامي، ومدة الاحتفاظ، وحقوق صاحب البيانات، وما يلزم الإفصاح عنه بشأن المعالجة الآلية.
في واجهة محادثة، هذا يعني أمراً بسيطاً: حين يبدأ الرد الآلي بطلب الاسم أو الجوال، يظهر سطر قصير يشرح من أنت، ولماذا تطلب هذه البيانات، ورابطاً إلى إشعار الخصوصية الكامل. لا تؤجله إلى رسالة التأكيد. ومن الممارسات الجيدة، وإن لم تكن نصاً قرأناه في البحث، أن تقول بوضوح إن الرد يصدر عن نظام آلي، وأن تتيح التحويل إلى موظف.
أما الموافقة حين تعتمد عليها، فشروطها في اللائحة التنفيذية، المواد 11 و12 و29: موافقة حرة ومحددة وموثقة، وصريحة في ثلاث حالات: البيانات الحساسة، والبيانات الائتمانية، والقرارات المبنية بالكامل على معالجة آلية. وللتسويق المباشر قاعدة خاصة: موافقة، وطريقة سهلة لإيقاف الرسائل.
ثلاث نتائج عملية لتصميم المحادثة:
- افصل خيار الرسائل التسويقية عن إجابة الاستفسار. العميل الذي سأل عن السعر لم يوافق على تلقي العروض. اجعل خيار التسويق خطوة مستقلة يختارها بنفسه.
- احفظ أثر الموافقة والعدول. متى وافق، وعلى ماذا، ومتى سحب موافقته. إن لم يكن ذلك مسجلاً، فلا تستطيع إثباته.
- انتبه للقرار الآلي الكامل. رد يجيب عن الأسئلة شيء، ونظام يقرر وحده قبول طلب أو رفضه شيء آخر. الثاني يحتاج موافقة صريحة بحسب اللائحة، والأفضل أن يمر بمراجعة بشرية.
ولا تنسَ حقوق صاحب البيانات نفسها: الوصول، والحصول على نسخة، والتصحيح، والإتلاف، والعدول عن الموافقة. بحسب اللائحة التنفيذية، المادة 3، تستجيب للطلب خلال 30 يوماً، ويجوز التمديد حتى 30 يوماً إضافية عند انطباق الشروط وإبلاغ صاحب الطلب. إذا كتب العميل في واتساب «احذفوا بياناتي»، فيجب أن يكون هناك مسار يصل به هذا الطلب إلى شخص يستطيع تنفيذه، ويمكن تتبعه. وكيف تتحول هذه الممارسات إلى تشغيل يومي؟ راجع دليلنا عن خصوصية بيانات العملاء عند استخدام الذكاء الاصطناعي.
ماذا تطلب من مزوّد الذكاء الاصطناعي في عقد المعالجة؟
اطلب عقد معالجة مكتوباً قبل التشغيل، لا بعده. بحسب النظام، المادة 8، واللائحة، المادة 17، يحدد عقد المعالجة الغرض، وفئات البيانات، والمدة، والضوابط الأمنية، والإبلاغ، والمقاولين الفرعيين وفق الشروط النظامية. منشأتك هي التي تقرر لماذا تُجمع البيانات، والمزوّد ينفّذ؛ والعقد هو الوثيقة التي تثبت أنك اخترته ووجّهته بعناية.
ولأدوات الذكاء الاصطناعي خصوصية تجعل العقد أهم من المعتاد: نادراً ما يكون المزوّد طرفاً واحداً. خلف واجهة المحادثة غالباً مزوّد للنموذج اللغوي، ومزوّد للاستضافة، وربما مزوّد لأدوات التحليل. لذلك يقترح بحثنا مراجعة مزوّد النموذج والاستضافة والتعهيد ومورديهم، لا عقد الواجهة وحده.
ما تطلبه كحد أدنى:
- الغرض والتعليمات: المزوّد يعالج بيانات عملائك للغرض الذي حددته فقط. واسأل صراحة: هل تُستخدم محادثات عملائي لتدريب نماذجكم؟ واطلب الجواب مكتوباً.
- فئات البيانات والمدة: ما الذي يُحفظ، وإلى متى، وكيف يُحذف عند انتهاء العقد بما في ذلك النسخ الاحتياطية.
- الأمن والإبلاغ: ضوابط موثقة، والتزام بإبلاغك بأي حادثة بسرعة تمكّنك من الوفاء بمهلتك النظامية.
- المقاولون الفرعيون: قائمة معلنة بهم، وما يحدث عند إضافة مقاول جديد.
- مواقع المعالجة: الدول التي تُخزّن فيها البيانات أو يُوصل إليها منها، وهذا يقودنا إلى السؤال التالي.
هل يجوز نقل بيانات العملاء خارج المملكة عند استخدام الذكاء الاصطناعي؟
النقل خارج المملكة ليس ممنوعاً تلقائياً ولا جائزاً تلقائياً؛ هو مشروط. بحسب النظام، المادة 29، ولائحة النقل، المواد 2 إلى 7، يكون النقل مشروطاً بمستوى حماية مناسب، أو بضمانات أو استثناءات منطبقة. والنقل اللاحق، أي حين تنقل الجهة المستقبِلة البيانات إلى طرف آخر، خاضع أيضاً، وتقويم المخاطر لازم في الحالات التي تحددها اللائحة.
وهذا يهم كل من يستخدم أداة ذكاء اصطناعي سحابية، لأن كثيراً من هذه الأدوات يعالج المحادثات على خوادم أو لدى موردين خارج المملكة. لا يكفي أن يقول المزوّد إن الأداة «متوافقة مع PDPL». يقترح بحثنا أن توثّق بدلاً من ذلك:
- الدول التي تصل إليها البيانات، بما فيها الوصول عن بعد.
- المستلمين في كل دولة، ومن ينقل إليه كل منهم لاحقاً.
- الضمان المناسب الذي يستند إليه النقل.
- تقويم المخاطر حين تكون حالتك من الحالات التي يلزم فيها.
لا تصف كل واجهة برمجية خارجية بأنها ممنوعة، ولا بأنها جائزة دون فحص. وللتفصيل الكامل في هذا الملف، راجع دليل نقل البيانات خارج المملكة عند استخدام أدوات الذكاء الاصطناعي.
كم يحق لك الاحتفاظ بمحادثات العملاء؟
لا توجد في البحث الذي اعتمدنا عليه مدة واحدة ثابتة لكل محادثة؛ القاعدة أن تُتلف البيانات عند انتهاء الغرض. بحسب النظام، المادة 18، واللائحة، المادة 8، الإتلاف عند انتهاء الغرض، مع الاستثناءات النظامية والقضائية، ويمكن الاحتفاظ بالبيانات بعد إزالة ما يحدد هوية صاحبها على نحو معتبر.
وهنا يقع خلط شائع يستحق التصحيح. تنص اللائحة التنفيذية، المادة 33 على الاحتفاظ بسجلات أنشطة المعالجة طوال النشاط و5 سنوات بعد انتهائه. هذا السجل يصف المعالجة نفسها: ما البيانات، ولأي غرض، ومن يستلمها. هو ليس مدة إلزامية للاحتفاظ بكل محادثة عميل، ولا ترخيصاً بحفظ محتوى المحادثات 5 سنوات.
ويضيف نظام التجارة الإلكترونية، المادة 5 التزاماً موازياً للمتاجر الإلكترونية: تقليل مدة الاحتفاظ ببيانات المستهلك، وحماية اتصالاته، والالتزام بضوابط استخدامها ومشاركتها.
التطبيق العملي: ضع مدداً منفصلة لأربعة أشياء مختلفة:
| ما يُحفظ | سؤال المدة |
|---|---|
| بيانات الحجز أو الطلب | ما المدة التي يحتاجها تنفيذ الطلب وما بعده نظاماً؟ |
| نص المحادثة | متى ينتهي الغرض من الاحتفاظ بها؟ |
| سجل أنشطة المعالجة | طوال النشاط و5 سنوات بعده بحسب المادة 33 |
| النسخ لدى المزوّد | هل تُحذف حين تحذف أنت، وفي أي مهلة؟ |
إذا كانت إعدادات الأداة تحفظ المحادثات بلا نهاية افتراضياً، فهذا قرار اتخذته الأداة نيابة عنك، وأنت من سيجيب عنه.
متى تبلّغ عن تسرب البيانات؟
تبلّغ الجهة المختصة خلال 72 ساعة من علمك بالحادثة إذا كان من شأنها الإضرار بالبيانات أو بحقوق أصحابها أو مصالحهم. هذا ما تنص عليه اللائحة التنفيذية، المادة 24، وتضيف أن صاحب البيانات يُبلَّغ دون تأخير غير مبرر عند انطباق المعيار.
لاحظ شيئين في هذا النص. الأول: المهلة تبدأ من وقت العلم، لا من وقت اكتمال التحقيق. الثاني: الإبلاغ مرتبط بمعيار الضرر، وإشعار الجهة المختصة غير إشعار الأشخاص المتضررين؛ لكل منهما توقيته.
ما يعنيه ذلك لنشاط يعتمد على مزوّد ذكاء اصطناعي: إذا تسربت محادثات عملائك من خوادم المزوّد، فساعتك تبدأ حين تعلم أنت، وقد لا تعلم إلا من المزوّد. لذلك يقترح بحثنا إجراءً مكتوباً يحدد أربعة أمور: كيف يُصنّف الحادث، ومتى يُعدّ أنك علمت، وكيف تُحفظ الأدلة، وكيف يبلّغك المزوّد فوراً. لا تنتظر تقريره النهائي لتبدأ. وعيّن من يملك صلاحية قرار التبليغ قبل أن تحتاجه.
كم تبلغ العقوبات في نظام حماية البيانات الشخصية؟
السقف الإداري إنذار أو غرامة تصل إلى 5 ملايين ريال سعودي. هذا ما تنص عليه المادة 36 من النظام، مع أحكام للعود تسمح بمضاعفة الغرامة ضمن ما يحدده النص.
وإلى جانبها عقوبة جنائية لنوع محدد من المخالفات. فبحسب المادة 35 من النظام، يعاقب بالسجن مدة تصل إلى سنتين و/أو بغرامة تصل إلى 3 ملايين ريال سعودي من يفصح عن بيانات حساسة أو ينشرها بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية، مع أحكام للعود.
| المادة | ما تنص عليه | ما لا تعنيه |
|---|---|---|
| المادة 36 | إنذار أو غرامة حتى 5 ملايين ريال، مع أحكام العود | ليست غرامة تلقائية لكل خطأ |
| المادة 35 | سجن حتى سنتين و/أو غرامة حتى 3 ملايين ريال لإفصاح محدد عن بيانات حساسة | ليست العقوبة المعتادة لكل مخالفة |
ونصيحة في قراءة المحتوى المنشور: لا تخلط الحدود النظامية بغرامات صدرت فعلاً. هذه الأرقام سقوف في النص، لا مبالغ صدرت بحق منشأة مسماة. ولم نجد في البحث الذي اعتمدنا عليه مصدراً مقروءاً يثبت عدد قرارات الإنفاذ أو مبالغها في 2025 أو 2026، لذلك لا نذكر أرقاماً عنها. ولمزيد عن اللجان والعقوبات، راجع مقالنا عن الإنفاذ والعقوبات في نظام حماية البيانات الشخصية.
وإن كنت متجراً إلكترونياً، فهناك سقف آخر من نظام مختلف: بحسب نظام التجارة الإلكترونية، المادتان 18 و19، تصل الغرامة إلى مليون ريال سعودي، مع إنذار أو إيقاف النشاط أو حجب المتجر، ويُقدّر ذلك بحسب الجسامة والتكرار والضرر والحجم.
هل يحتاج نشاطك مسؤول حماية بيانات أو تقويم أثر؟
ليس بالضرورة؛ كلاهما مرتبط بحالات محددة لا بكل نشاط. بحسب اللائحة التنفيذية، المادة 32، يلزم تعيين مسؤول حماية البيانات الشخصية في حالات منها: جهة عامة تعالج على نطاق واسع، أو نشاط أساسي يقوم على مراقبة منتظمة للأشخاص، أو نشاط أساسي يعالج بيانات حساسة. ويجوز أن يكون المسؤول من خارج المنشأة.
ما يعنيه ذلك: لا تفرض على كل متجر صغير وظيفة مستقلة لحماية البيانات، لكن قيّم حالتك الفعلية. العيادات تستحق نظرة أدق، لأنها قد تعالج بيانات حساسة.
أما تقويم الأثر، فتنص اللائحة التنفيذية، المادة 25 على لزومه في حالات منها: معالجة البيانات الحساسة، وربط مجموعات بيانات، والمعالجة بتقنيات ناشئة على نطاق واسع أو بصورة متكررة، والخدمات التي يحتمل أن تسبب ضرراً جسيماً. وقد يندرج الذكاء الاصطناعي التوليدي ضمن التقنيات الناشئة، فإن كنت تشغّله على حجم كبير من المحادثات، أو تستخدمه لتصنيف العملاء أو لاتخاذ قرارات آلية، فافحص الحاجة إلى تقويم الأثر قبل التشغيل، ودوّن المعالجة والمخاطر والضوابط.
ما البنود الـ12 التي تراجعها قبل تشغيل الرد الآلي؟
هذه القائمة تجمع ما سبق في تسلسل تنفيذي واحد، مع نسبة كل بند إلى مصدره. البنود مستنتجة من النصوص الرسمية، وليست اختباراً لواجهة حساب بعينه:
| # | الإجراء | المرجع |
|---|---|---|
| 1 | احصر البيانات التي يجمعها الرد الآلي ويخزنها وينقلها، من الإعلان إلى المحادثة إلى الحجز إلى مزوّد النموذج | اللائحة، المادة 33 (سجل الأنشطة) |
| 2 | حدّد ووثّق المسوّغ النظامي لكل غرض: الرد، الحجز، الدعم، التسويق | النظام، المواد 5–7 |
| 3 | اطلب الحد الأدنى من البيانات الذي يحقق الغرض | النظام، المادتان 10 و11 |
| 4 | أظهر إشعار الخصوصية عند بدء جمع الاسم والجوال، لا بعد الحجز | النظام، المادتان 12 و13؛ اللائحة، المادة 4 |
| 5 | افصل موافقة التسويق عن إجابة الاستفسار، واحفظ أثر الموافقة والعدول | اللائحة، المواد 11 و12 و29 |
| 6 | اجعل القرارات الآلية الكاملة استثناءً بموافقة صريحة ومراجعة بشرية | اللائحة، المادة 29 |
| 7 | ابنِ مساراً يمكن تتبعه لطلبات الوصول والنسخة والتصحيح والإتلاف خلال 30 يوماً | اللائحة، المادة 3 |
| 8 | وقّع عقد معالجة يحدد الغرض والفئات والمدة والأمن والإبلاغ والمقاولين الفرعيين | النظام، المادة 8؛ اللائحة، المادة 17 |
| 9 | وثّق دول المعالجة والمستلمين والنقل اللاحق والضمان وتقويم المخاطر عند وجوبه | النظام، المادة 29؛ لائحة النقل |
| 10 | ضع مدد احتفاظ منفصلة للحجز والمحادثة والسجلات ونسخ المزوّد | النظام، المادة 18؛ اللائحة، المادة 8 |
| 11 | جهّز إجراء التسرب: التصنيف، وقت العلم، الأدلة، تبليغ المزوّد، وصاحب قرار التبليغ خلال 72 ساعة | اللائحة، المادة 24 |
| 12 | قيّم الحاجة إلى مسؤول حماية بيانات وإلى تقويم الأثر قبل التشغيل | اللائحة، المادتان 25 و32 |
وعند المفاضلة بين المزوّدين، اجعل هذه القائمة معيار الاختيار الأول قبل قائمة الميزات، وخصوصاً البنود 8 و9 و11. المزوّد الذي لا يستطيع أن يجيب عن مكان معالجة البيانات، أو عن مدة حفظ المحادثات، أو عن طريقة إبلاغك بالحوادث، يخبرك بشيء مهم قبل أن توقّع.
أين يدخل Omago في هذا الملف؟
Omago وكيل مبيعات بالذكاء الاصطناعي للشركات التي تدفع مقابل الإعلانات: يرد على استفسارات العملاء على موقعك وفي واتساب وتيليغرام على مدار الساعة، بلغة العميل، ويحوّل المحادثة إلى موظف عند الحاجة. الاشتراك ثابت بين 49 و99 دولاراً شهرياً، وتفاصيل الباقات في صفحة الأسعار. لكن لا أداة تنقل التزاماتك النظامية عنك؛ فاطرح على Omago، وعلى أي مزوّد آخر، أسئلة القائمة أعلاه قبل الاشتراك. وإن أردت أن ترى بنفسك، الصق عنوان موقعك واسأل الوكيل سؤالك الخاص.
الأسئلة الشائعة
هل أحتاج موافقة العميل قبل أن يجمع الرد الآلي بياناته؟
ليس في كل حالة. الموافقة هي الأصل في النظام، لكن له استثناءات محددة، منها المعالجة تنفيذاً لاتفاق يكون العميل طرفاً فيه، كمتابعة حجز طلبه بنفسه. أما الرسائل التسويقية فتحتاج موافقة مع طريقة سهلة للإيقاف، والبيانات الحساسة والقرارات الآلية الكاملة تحتاج موافقة صريحة بحسب اللائحة. وثّق المسوّغ لكل غرض على حدة.
كم مدة الاحتفاظ بمحادثات العملاء في السعودية؟
لم نجد مدة واحدة ثابتة لكل محادثة؛ القاعدة في النظام إتلاف البيانات عند انتهاء الغرض، مع استثناءات نظامية وقضائية. أما مدة 5 سنوات في المادة 33 من اللائحة فتخص سجلات أنشطة المعالجة، لا محتوى المحادثات. ضع مدة مكتوبة للمحادثات، وتأكد أن المزوّد يحذف نسخه أيضاً.
متى أبلّغ سدايا عن تسرب بيانات؟
بحسب المادة 24 من اللائحة التنفيذية، تبلّغ الجهة المختصة خلال 72 ساعة من علمك بالحادثة إذا كان من شأنها الإضرار بالبيانات أو بحقوق أصحابها أو مصالحهم. ويُبلَّغ الأشخاص المتضررون دون تأخير غير مبرر عند انطباق المعيار. المهلة تبدأ من وقت العلم، فاتفق مع مزوّدك على إبلاغك فوراً.
هل يحتاج المتجر الصغير مسؤول حماية بيانات؟
في الغالب لا، إلا إذا انطبقت عليه إحدى الحالات في المادة 32 من اللائحة، كأن يكون نشاطه الأساسي معالجة بيانات حساسة أو مراقبة منتظمة للأشخاص. ويجوز أن يكون المسؤول من خارج المنشأة. قيّم حالتك الفعلية بدلاً من الافتراض، خصوصاً إن كنت عيادة.
المصادر: سدايا — دليل نفاذ نظام حماية البيانات الشخصية ونهاية الفترة التصحيحية (2023–2024)، سدايا — نص نظام حماية البيانات الشخصية (المواد 5–8، 10–13، 18، 29، 35، 36)، سدايا — اللائحة التنفيذية لنظام حماية البيانات الشخصية (المواد 3، 4، 8، 11، 12، 17، 24، 25، 29، 32، 33)، سدايا — لائحة نقل البيانات الشخصية خارج المملكة، الإصدار 2.0 (2024)، نظام التجارة الإلكترونية — ترجمة رسمية لدى وزارة الاستثمار (المواد 5، 18، 19)، نظام التعاملات الإلكترونية — ترجمة رسمية لدى وزارة الاستثمار (المواد 10–12)، أم القرى — اللائحة التنفيذية لنظام التعاملات الإلكترونية (2024) (تاريخ التحقق 2026-10-20). هذا المقال معلومات عامة وليس استشارة قانونية؛ التطبيقات العملية المقترحة استنتاجات تحريرية من النصوص وليست أحكاماً قضائية، ومواد نظامي التجارة والتعاملات الإلكترونية مأخوذة من ترجمة حكومية لا من النص العربي لدى هيئة الخبراء، فراجع النصوص الرسمية واستشر مختصاً قانونياً في المملكة قبل اتخاذ أي إجراء.