قانونان بنفس الاسم: الفروقات بين حماية البيانات في السعودية والإمارات

يحمل القانونان الاسم نفسه تقريباً: «نظام حماية البيانات الشخصية» في السعودية، و«قانون حماية البيانات الشخصية» في الإمارات — وكلاهما يُختصر بالإنجليزية إلى PDPL. هذا التطابق في التسمية يخدع كثيراً من أصحاب الأعمال: شركة تقرأ دليلاً إماراتياً عن حماية البيانات وتفترض أن ما ينطبق في دبي ينطبق في الرياض، أو العكس. الحقيقة أن النظامين يختلفان في الجهة الرقابية، ونضج الإنفاذ، والأسس القانونية للمعالجة، وقواعد نقل البيانات خارج الحدود، وحتى في وجود مسؤولية جنائية من عدمها.

لماذا يهمّ هذا شركةً صغيرة أو متوسطة؟ لأن كثيراً من الأنشطة التجارية في الخليج تخدم السوقين معاً: متجر إلكتروني سعودي يشحن إلى دبي، أو وكالة عقارية إماراتية تستقبل استفسارات عملاء من جدة، أو أي نشاط يستخدم أدوات ذكاء اصطناعي وسحابة أجنبية لخدمة عملاء في البلدين. كل استفسار عميل يمرّ عبر موقعك أو قنوات المراسلة يعني جمعاً ومعالجةً لبيانات شخصية — واسم العميل ورقم هاتفه وتفاصيل طلبه تخضع لقانون البلد الذي يقيم فيه ذلك العميل، لا لقانون البلد الذي سُجّلت فيه شركتك.

يفكّك هذا الدليل الفروقات الجوهرية بين النظامين بنداً بنداً، اعتماداً على النصوص والمصادر المتاحة حتى 2026.

لماذا لا يكفي الامتثال لقانون واحد في السوقين؟

لأن كل التزام تقريباً — من الأساس القانوني للمعالجة إلى مهلة الإبلاغ عن التسريب — يختلف بين النظامين، والامتثال الكامل في أحدهما قد يترك ثغرات مخالفة صريحة في الآخر.

النظام السعودي صدر بالمرسوم الملكي م/19 لعام 2021 وعُدّل بالمرسوم م/148 عام 2023، وأصبح نافذاً بالكامل — بانتهاء المهلة التصحيحية — في 14 سبتمبر 2024. أما النظام الإماراتي فصدر بالمرسوم بقانون اتحادي رقم 45 لسنة 2021، لكن لائحته التنفيذية لم تصدر بعد حتى وقت كتابة هذا المقال، وتشير التقارير إلى مهلة امتثال تمتد إلى يناير 2027.

النتيجة العملية: شركة «ممتثلة» في الإمارات قد تكون مخالفةً فعلياً في السعودية اليوم، لأن الإنفاذ السعودي بدأ بالفعل بينما الإطار الإماراتي لا يزال قيد الاستكمال. وقد رصدت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) 48 قراراً رقابياً خلال عام واحد حتى مطلع 2026، في أول موجة إنفاذ فعلية للنظام.

ما الفروقات الجوهرية بين النظامين؟

الجدول التالي يلخّص أهم أوجه الاختلاف، ثم نفصّل كل بند على حدة:

من يراقب التطبيق في كل دولة، وما مدى جدّية الإنفاذ؟

الجهة الرقابية في السعودية هي سدايا، وهي منفّذ نشط بالفعل؛ أما في الإمارات فهي مكتب الإمارات للبيانات، وهو لا يزال في مرحلة بناء القدرات بانتظار اللائحة التنفيذية.

هذا الفارق في النضج هو أخطر ما يغفل عنه من يقرأ عن النظامين وكأنهما نظام واحد. في السعودية، صدرت 48 قراراً رقابياً عن اللجان المختصة خلال عام واحد حتى مطلع 2026، وتركّزت المخالفات في: المعالجة دون أساس قانوني صحيح، والإفشاء غير المصرّح به، وضعف الضوابط الأمنية، وإرسال رسائل تسويقية دون موافقة مسبقة. والإجراءات سريعة: للجهة المخالفة 5 أيام فقط للرد على الإخطار، والإجراءات كلها إلكترونية.

في الإمارات، القانون الاتحادي قائم منذ 2021 لكن أدوات إنفاذه — بما فيها جدول الغرامات التفصيلي — معلّقة على صدور اللائحة التنفيذية. يضاف إلى ذلك تعقيد لا نظير له في السعودية: مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) لكل منهما قانون حماية بيانات مستقل وجهة رقابية مستقلة، أي أن «الامتثال في الإمارات» قد يعني ثلاثة أنظمة لا نظاماً واحداً بحسب مكان تأسيس نشاطك.

كتبنا تفصيلاً عن الجانب السعودي في دليل العقوبات والإنفاذ في نظام حماية البيانات السعودي، وعن الجانب الإماراتي في دليل بيانات العملاء والذكاء الاصطناعي في ظل قانون الإمارات.

كيف تختلف الأسس القانونية والموافقة بين البلدين؟

كلا النظامين يجعل الموافقة الأساس الافتراضي للمعالجة، لكن السعودية أضافت عام 2023 أساس «المصلحة المشروعة» الذي لا نظير صريحاً له في القانون الاتحادي الإماراتي.

في السعودية، المادة الخامسة من النظام تجعل الموافقة القاعدة، والمادة السادسة تعدّد الحالات المستثناة منها — ومنها تنفيذ اتفاق يكون صاحب البيانات طرفاً فيه (الضرورة التعاقدية)، ومنها «المصلحة المشروعة» التي أُضيفت بتعديل م/148 عام 2023 بشرط ألا تمسّ حقوق صاحب البيانات وألا تشمل أي بيانات حساسة. هذا الاستثناء الأخير مفيد عملياً لأغراض مثل تحليلات خدمة العملاء، لكنه يتطلّب توثيق اختبار موازنة.

في الإمارات، لا يوجد أساس «مصلحة مشروعة» صريح في القانون الاتحادي، ما يعني أن نشاطاً يعتمد على هذا الأساس في السعودية لا يستطيع نسخ المنطق نفسه لعملائه في الإمارات — وسيحتاج غالباً إلى موافقة أو ضرورة تعاقدية.

وتشترط اللائحة التنفيذية السعودية شروطاً دقيقة للموافقة: أن تكون محدّدة ومستقلة لكل غرض، وموثّقة بطريقة يمكن التحقق منها، وصريحة للبيانات الحساسة والمعالجة الآلية، وأن يكون سحبها سهلاً بقدر منحها، وألا تُجعل شرطاً لتقديم الخدمة إلا إذا كانت المعالجة ضرورية لها فعلاً.

ماذا عن نقل البيانات خارج حدود البلدين؟

في كلا البلدين لم تُنشر بعد قائمة «الدول ذات الحماية الكافية»، لكن السعودية وحدها نشرت أدوات بديلة جاهزة وواجباً إلزامياً بتقييم المخاطر.

هذه النقطة حاسمة لأي نشاط يستخدم أدوات سحابية أو ذكاء اصطناعي أجنبية، فمعظم هذه الأدوات تنقل البيانات خارج البلد بحكم بنيتها. في السعودية، لائحة نقل البيانات الشخصية خارج المملكة — وهي لائحة مستقلة نفذت نسختها المحدّثة في 1 سبتمبر 2024 — تنظّم النقل عبر ثلاث آليات عند غياب قرار الكفاية: البنود التعاقدية القياسية التي نشرتها سدايا بأربع نسخ ولا يجوز تعديلها، أو القواعد المشتركة الملزمة للمجموعات، أو شهادة اعتماد. ويضاف إلى ذلك تقييم مخاطر موثّق قبل النقل، وهو إلزامي للنقل المستمر أو واسع النطاق للبيانات الحساسة، وقد نشرت سدايا دليله الإرشادي في فبراير 2025.

في الإمارات، يقوم النقل على الكفاية أو الضمانات المناسبة، لكن قائمة الكفاية لم تُنشر، ولم تصدر أدوات مماثلة للبنود القياسية السعودية بعد. والمفارقة اللافتة: المنطقتان الماليتان الحرّتان DIFC وADGM لا تُعدّان تلقائياً «وجهة كافية» من منظور القانون الاتحادي نفسه.

الخلاصة للشركة العاملة في السوقين: عقد نقل بيانات واحد مع مزوّدك السحابي لا يغطي البلدين تلقائياً. النقل من السعودية يحتاج النسخة الصحيحة من البنود السعودية القياسية دون تعديل + تقييم مخاطر، بينما النقل من الإمارات ينتظر وضوحاً تنظيمياً إضافياً.

كيف تُقارن العقوبات — وهل توجد مسؤولية جنائية؟

الفارق الأكبر أن النظام السعودي يتضمّن عقوبة جنائية بالسجن، بينما لا يتضمّن القانون الاتحادي الإماراتي نصّ سجن عام مماثل.

في السعودية، تصل الغرامة الإدارية إلى 5 ملايين ريال سعودي وتُضاعف عند التكرار بموجب المادة 36، وللمحكمة مصادرة المكاسب غير المشروعة ونشر الحكم، ولسدايا إيقاف المعالجة. والأشد: المادة 35 تفرض عقوبة جنائية تصل إلى السجن سنتين و/أو غرامة 3 ملايين ريال سعودي على من يفشي أو ينشر بيانات حساسة مخالفةً للنظام بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية.

في الإمارات، تصل الغرامات المشار إليها إلى 5 ملايين درهم إماراتي، لكن جدولها التفصيلي منوط باللائحة التنفيذية التي لم تصدر بعد — أي أن سقف العقوبة معلوم نظرياً وآلية توقيعه غير مكتملة عملياً.

ويمتد الفارق إلى الإبلاغ عن التسريبات: السعودية تفرض إبلاغ سدايا خلال 72 ساعة دون أي حدّ أدنى لجسامة الحادثة — وهو أشدّ من كثير من الأنظمة العالمية — بينما لا يحدّد القانون الاتحادي الإماراتي مهلة 72 ساعة، ويترك التفاصيل للائحة المنتظرة.

ماذا يعني هذا عملياً لنشاط يخدم السوقين؟

القاعدة العملية: ابنِ برنامج امتثال واحداً على أساس النظام الأشدّ — وهو السعودي حالياً بحكم إنفاذه الفعلي — ثم أضف الفروقات الإماراتية فوقه، لا العكس.

عملياً، يعني ذلك لعملائك في السعودية: التحقق من وجوب التسجيل في السجل الوطني لجهات التحكم على المنصة الوطنية لحوكمة البيانات (التسجيل مجاني وعتبته منخفضة)، وإشعار خصوصية بالعربية، وتوثيق الأساس القانوني لكل غرض، وبنوداً تعاقدية قياسية سعودية غير معدّلة مع أي مزوّد ينقل البيانات خارج المملكة، وخطة إبلاغ خلال 72 ساعة. أعددنا قائمة تحقق كاملة للامتثال السعودي عند استخدام الذكاء الاصطناعي في خدمة العملاء تغطي هذه البنود خطوة بخطوة.

ولعملائك في الإمارات: التزم بمتطلبات القانون الاتحادي القائمة (الموافقة، حقوق أصحاب البيانات، أمن المعالجة)، وراقب صدور اللائحة التنفيذية قبل المهلة المتداولة في يناير 2027، وحدّد أولاً أي نظام يحكمك أصلاً: الاتحادي أم نظام DIFC أو ADGM المستقل.

وفي الحالتين، اختيار مزوّدي الأدوات الرقمية يصبح قراراً قانونياً لا تقنياً فقط: اسأل كل مزوّد أين تُستضاف البيانات، وما ضمانات النقل التي يدعمها، وهل يستخدم بيانات عملائك لتدريب نماذجه. ‏Omago (أوماجو) هي منصة وكلاء ذكاء اصطناعي تجيب على استفسارات العملاء تلقائياً بلغتهم، على مدار الساعة، وتحوّل المحادثة إلى موظف بشري عند الحاجة. وأياً كانت المنصة التي تختارها، تبقى المسؤولية النظامية أمام الجهة الرقابية عليك أنت بصفتك جهة التحكم — فاختر مزوّداً يمكّنك من الوفاء بالتزاماتك في كلا السوقين.

الأسئلة الشائعة

متجري يبيع للبلدين — أي قانون يُطبَّق على بيانات عملائي؟

كلاهما، كلٌّ على عملائه. بيانات العميل المقيم في السعودية تخضع للنظام السعودي، وبيانات العميل في الإمارات تخضع للقانون الإماراتي — بغضّ النظر عن بلد تسجيل شركتك. الأنظمة الحديثة لحماية البيانات تمتد إلى أي جهة تعالج بيانات أشخاص داخل أراضيها، فالسؤال الصحيح ليس «أين شركتي؟» بل «أين عملائي؟». والنتيجة العملية أن النشاط العابر للسوقين يحتاج إلى تغطية النظامين معاً.

هل الامتثال لقانون الإمارات يكفيني في السعودية؟

لا. أبرز الثغرات التي سيتركها نهج إماراتي مطبَّق في السعودية: غياب التسجيل في السجل الوطني لجهات التحكم، وغياب البنود التعاقدية القياسية السعودية وتقييم مخاطر النقل، وعدم الجاهزية لمهلة الإبلاغ خلال 72 ساعة، وإشعار خصوصية قد لا يكون بالعربية. والعكس صحيح جزئياً: الامتثال السعودي أساس أقوى للسوق الإماراتي لأنه الأشدّ حالياً، لكنه لا يغني عن مراجعة الفروقات — خصوصاً غياب أساس «المصلحة المشروعة» في القانون الاتحادي الإماراتي.

أيهما أشدّ صرامةً اليوم؟

النظام السعودي، من ثلاث زوايا: الإنفاذ فعلي وموثّق (48 قراراً رقابياً خلال عام واحد حتى مطلع 2026)، والمسؤولية الجنائية قائمة بنص المادة 35 عن إفشاء البيانات الحساسة بقصد الإضرار أو المنفعة، ومهلة الإبلاغ عن التسريب محددة بـ72 ساعة دون حدّ أدنى للجسامة. أما القانون الإماراتي فسقف غراماته مرتفع، لكن أدوات تطبيقه معلّقة على اللائحة التنفيذية المنتظرة.

أستخدم أدوات ذكاء اصطناعي أجنبية لخدمة عملاء في البلدين — ماذا أفعل الآن؟

ثلاث خطوات عملية: أولاً، اجرد أين تُستضاف بيانات كل أداة تستخدمها ومَن مزوّدوها من الباطن. ثانياً، لعملائك السعوديين وقّع النسخة الصحيحة من البنود التعاقدية القياسية السعودية (جهة تحكم إلى جهة معالجة) دون أي تعديل، ووثّق تقييم مخاطر النقل قبل النقل. ثالثاً، ضمّن عقد المعالجة بنداً يمنع المزوّد من استخدام محادثات عملائك لتدريب نماذجه دون تصريح صريح — وهو بند تغفله معظم القوائم العامة رغم أنه جوهري في عصر الذكاء الاصطناعي.

إخلاء مسؤولية: هذا المقال معلومات عامة وليس استشارة قانونية؛ راجع النصوص الرسمية للنظامين واستعن بمستشار قانوني مرخّص في كل بلد قبل اتخاذ أي إجراء.

المصادر: IAPP — تصعيد الإنفاذ لدى الهيئة السعودية لحماية البيانات (فبراير 2026)، وكالة الأنباء السعودية — لائحة نقل البيانات الشخصية خارج المملكة (سبتمبر 2024)، Mayer Brown — تحديثات لوائح حماية البيانات السعودية والبنود القياسية (2024)، King & Spalding — نقل البيانات الشخصية الدولي بموجب النظام السعودي (2025)، ICLG — قوانين حماية البيانات: السعودية (2025–2026)، نص المادة 35 من النظام السعودي (2024)، Recording Law — قوانين خصوصية البيانات السعودية (2026)، Global Privacy Blog — الإنفاذ النشط للنظام السعودي (مايو 2026)، Morgan Lewis — دليل التسجيل كجهة تحكم (ديسمبر 2024).