السعودية وتشديد حوكمة البيانات الشخصية: ماذا يعني ذلك للشركات الرقمية؟

لم تعد حوكمة البيانات الشخصية في السعودية التزاماً نظرياً على الورق، بل نموذج امتثال قابل للتدقيق يصل إلى صندوق بريد كل مسؤول بيانات مسجَّل.

في مطلع يوليو 2026 بدأت الهيئة السعودية للبيانات والذكاء الاصطناعي، سدايا، إرسال مستند رسمي يحمل تاريخ 7 يوليو إلى الجهات المسجَّلة كمسؤولي بيانات على منصة حوكمة البيانات الوطنية. المستند اسمه نموذج التحقق من الامتثال، ويطلب أدلة موثّقة عبر تسعة محاور، من لحظة جمع البيانات حتى إتلافها، مروراً بالنقل خارج المملكة وحقوق أصحاب البيانات. هذا ليس إعلاناً تشريعياً جديداً. إنه انتقال من مرحلة النظام المُعلن إلى مرحلة النظام المُراجَع، وهو الفارق الذي يحدد فعلاً ماذا تعني حوكمة البيانات الشخصية لأي شركة رقمية تعمل في السعودية اليوم.

من نظام نُشر إلى نظام يُراجَع: ثلاث سنوات صنعت الفارق

صدر نظام حماية البيانات الشخصية بنسخته الأولى في سبتمبر 2021 بموجب مرسوم ملكي، وكُلّفت سدايا بالإشراف عليه عبر ذراعها التنظيمي، المكتب الوطني لإدارة البيانات. ثم انتهت المهلة الانتقالية في 14 سبتمبر 2024، لتدخل المملكة مرحلة الإنفاذ الكامل. والفارق بين النظام والممارسة اتضح بوضوح في يناير 2026، حين أعلنت سدايا أن لجان النظر في المخالفات أصدرت 48 قراراً خلال عام 2025 وحده، مؤكدة مخالفات وفارضة العقوبات المقررة بموجب المادة 36.

اللافت أن سدايا لم تنشر تفصيل المبالغ لكل قضية، ووصفت فقط أربعة أنماط متكررة: المعالجة دون أساس نظامي صحيح، وضعف إجراءات أمن البيانات، وقصور في الإشعار عن حوادث التسرب، والإخلال بحقوق أصحاب البيانات. غياب الشفافية في الأرقام لا يُضعف أثر الرسالة. 48 قراراً في سنة واحدة يعني أن آلية الإنفاذ تعمل فعلاً، لا أنها نص معطَّل بانتظار التفعيل.

المادتان 35 و36: حيث يلتقي الإداري بالجزائي

يحتاج أي مسؤول امتثال سعودي التمييز بين مسارين منفصلين في النظام. تمنح المادة 36 لجان النظر في المخالفات صلاحية إصدار إنذار، أو فرض غرامة لا تتجاوز خمسة ملايين ريال، وتتضاعف الغرامة عند التكرار إلى عشرة ملايين، مع صلاحية أمر الجهة المخالفة بنشر العقوبة على نفقتها. هذا المسار إداري بحت، ولا يتطلب إثبات نية الإضرار.

أما المادة 35 فمسارها جزائي، وتُفعَّل فقط حين يُفصح أحد عمداً عن بيانات حساسة بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية، وعقوبتها السجن حتى سنتين و/أو غرامة حتى ثلاثة ملايين ريال. والتفريق هنا جوهري لأي شركة: مخالفة إجرائية في تصميم نظام المعالجة تقع تحت المادة 36، بينما تسريب متعمد لبيانات ائتمانية بقصد الابتزاز يفتح الباب أمام المادة 35 والملاحقة الجزائية معاً. وبحسب تحليل قانوني نشرته Securiti، تُضاف إلى ذلك صلاحية اللجان في استدعاء الأشخاص والاطلاع على السجلات، وهي صلاحية تحقيقية لا تملكها كل الجهات الرقابية العربية المناظرة.

النقل عبر الحدود: الاختبار الأصعب للشركات الرقمية

تواجه كل شركة رقمية تستخدم خوادم سحابية خارج المملكة، أو تتعامل مع مزوّد تحليلات أمريكي، أو تُخزّن نسخاً احتياطية في مركز بيانات أوروبي، سؤالاً واحداً محورياً: هل هذا النقل مشروع بموجب لائحة نقل البيانات الشخصية خارج المملكة الصادرة في أغسطس 2024؟ تشترط اللائحة إجراء تقويم مخاطر قبل أي عملية نقل أو إفصاح، يغطي على الأقل فاعلية تطبيق أنظمة حماية البيانات في الدولة المستقبِلة، ومدى تأثر خصوصية أصحاب البيانات. وإذا كشف التقويم عن مخاطر عالية، تلتزم الجهة بالتوقف عن النقل دون تأخر غير مبرر، أو إعادة التقويم.

المفارقة أن سدايا لم تنشر حتى منتصف 2026 قائمة علنية بالدول ذات المستوى الكافي من الحماية، على النحو الذي تعتمده المفوضية الأوروبية في قرارات الكفاية بموجب اللائحة العامة لحماية البيانات. فكل شركة تُجري تقويم المخاطر بنفسها، وتتحمل عبء إثباته أمام سدايا عند الطلب، دون مرجع رسمي جاهز تستند إليه. هذا يرفع تكلفة الامتثال على الشركات الصغيرة والمتوسطة، التي لا تملك عادة فريقاً قانونياً متخصصاً في تقويمات النقل عبر الحدود، بينما تستوعبها الشركات الكبرى كبند تشغيلي ثابت في ميزانية الحوكمة.

مسؤول حماية البيانات: التزام مشروط لا شامل

تُلزم المادة الثانية والثلاثون من اللائحة التنفيذية بعض الجهات بتعيين مسؤول حماية بيانات، موظفاً كان أو متعاقَداً خارجياً، وتحدد اللوائح الحالات التي يصبح فيها التعيين إلزامياً بدل أن تفرضه على كل جهة تحكم بلا استثناء. يخلق هذا نمطاً مألوفاً في تشريعات حماية البيانات الناشئة: إلزام تدرّجي يربط الصرامة بحجم المعالجة وحساسية البيانات، لا بحجم الشركة نفسها. شركة ناشئة صغيرة تعالج بيانات صحية حساسة على نطاق واسع قد تقع تحت الإلزام أسرع من شركة توزيع كبيرة تعالج بيانات أساسية فقط.

وتوفر منصة حوكمة البيانات الوطنية أداة استرشادية للتحقق من إلزامية هذا التعيين، وهو مؤشر آخر على أن سدايا تتجه إلى أدوات تفاعلية تُجنّب الشركات تفسير النص بأنفسها، بدل الاكتفاء بالنص القانوني المجرد.

الفجوة بين النص المثالي والتطبيق الفعلي

النظام السعودي، في بنيته، أقرب إلى اللائحة العامة لحماية البيانات الأوروبية من أي تشريع عربي آخر: إشعار حوادث التسرب خلال 72 ساعة، سجلات أنشطة معالجة إلزامية تُحفظ خمس سنوات بعد انتهاء المعالجة، حقوق وصول وتصحيح وحذف لأصحاب البيانات، وتعريف موسّع للبيانات الحساسة يشمل البيانات الائتمانية وبيانات مجهولي الأبوين، وهو امتداد لا تحمله النسخة الأوروبية بالصيغة نفسها.

لكن التوتر بين الطموح التشريعي والتطبيق الفعلي ما زال قائماً في نقطتين. الأولى غياب الشفافية في نشر تفاصيل القرارات الـ48، ما يترك الشركات بلا سابقة قضائية واضحة تقيس عليها سلوكها. والثانية غياب قائمة الدول ذات الكفاية، ما يحوّل تقويم مخاطر النقل إلى اجتهاد فردي متكرر بدل مرجع موحد. سدّ هاتين الفجوتين، لا سنّ نص جديد، هو ما سيحدد فعلاً صلابة النظام في عينَي المستثمر الأجنبي خلال العامين المقبلين.

الأثر العملي: ماذا يجب أن تفعله شركة رقمية الآن؟

لأي شركة تدير منصة رقمية، تطبيقاً، أو خدمة سحابية موجهة لمستخدمين في السعودية، يتحول نموذج التحقق من الامتثال من إشعار بريدي إلى اختبار فعلي لجاهزية الحوكمة الداخلية. ثلاثة أسئلة تحدد مستوى التعرّض: هل سجلات أنشطة معالجة البيانات موثقة كتابياً ومحدَّثة كما تشترط اللائحة التنفيذية؟ هل أُجري تقويم مخاطر موثّق لكل عملية نقل بيانات تتجه إلى خادم أو مزوّد خدمة خارج المملكة؟ وهل آلية الإشعار عن حوادث التسرب قادرة فعلاً على الاستجابة خلال 72 ساعة، لا على الورق فقط؟

شركة لا تملك إجابة موثّقة عن هذه الأسئلة الثلاثة ليست بالضرورة مخالفة، لكنها تدخل دائرة المخاطرة التي كشفتها سدايا في الأنماط الأربعة لقراراتها الـ48. والإنفاذ، كما يتضح من حركة سدايا طوال 2025 و2026، لم يعد ينتظر شكوى من صاحب بيانات؛ هو يصل الآن عبر نموذج تحقق استباقي يطال كل مسجَّل على المنصة الوطنية.

الزاوية الإقليمية: نموذج يتقدم فجوات لم تُسد بعد

يمنح النضج النسبي للنظام السعودي المملكة موقعاً مرجعياً خليجياً، لا عربياً فحسب. قطر سبقت الجميع بإصدار القانون رقم 13 لسنة 2016، لكن سقف الغرامة فيه ثابت عند خمسة ملايين ريال قطري دون آلية إنفاذ معلنة بالحجم الذي تُظهره سدايا. والإمارات أصدرت القانون الاتحادي رقم 45 لسنة 2021 منذ سبتمبر من العام نفسه، لكن مقدار الجزاءات الإدارية ما زال، حسب النص نفسه، رهن قرار من مجلس الوزراء لم تتضح تفاصيله بعد في مصدر حكومي أساسي حتى أواخر 2026، فتبقى الشركات العاملة هناك بلا سقف غرامة واضح تخطط عليه.

مصر، من جهتها، أصدرت اللائحة التنفيذية للقانون 151 لسنة 2020 في نوفمبر 2025 فقط، بعد خمس سنوات من صدور النص الأساسي، وتسري مهلة التوافق حتى نهاية 2026. والمغرب ما زال يطبّق سقف عقوبة لا يتجاوز 300 ألف درهم بموجب القانون 09-08 الصادر عام 2009، دون تعديل تشريعي معلن حتى 2026، ودون تسجيل غرامات كبيرة في الممارسة، إذ تفضّل اللجنة الوطنية هناك الإنذار على الغرامة.

الفارق إذن ليس في نص القانون السعودي وحده، بل في دورة الإنفاذ الكاملة: نظام، لائحة تنفيذية، منصة تسجيل، نموذج تحقق استباقي، وقرارات مخالفة فعلية موثقة. هذه الدورة مكتملة في السعودية وناقصة في أغلب الجوار العربي. والشركة الإقليمية التي تُصمم نظام حوكمتها على النموذج السعودي، لا على الحد الأدنى المحلي في كل دولة، تضمن عملياً اجتيازها لأي تشديد مستقبلي في مصر أو الإمارات، لأن المعيار السعودي يميل بالفعل إلى أن يكون الأعلى إقليمياً.

لكن يبقى سؤال لم يُحسم بعد: هل يتحول هذا النموذج إلى مرجع تنسّق عليه هيئات الخليج سياساتها، أم يبقى كل بلد يطوّر إنفاذه بمعزل عن جاره، فتتحمل الشركات العابرة للحدود كلفة التوافق مع تسعة محاور سعودية وملف منفصل في كل دولة أخرى؟ الجواب سيحدده الأعوام القليلة القادمة، لا نص اللائحة الحالي.

الأسئلة الشائعة