باختصار
- نافذ بالكامل: منذ 14 سبتمبر 2024، بعد مهلة تصحيح مدتها سنة.
- المسؤولية لا تنتقل: تبقى جهة التحكم مسؤولة أمام الجهة المختصة حتى لو نفّذ المعالجة مورّد، والمورّد معالج تختاره بعناية وتراقبه.
- الوصول من الخارج: تعامل اطلاع مهندس خارج المملكة على بيانات شخصية معاملة النقل، ما لم يرَ مستشارك غير ذلك.
- العقوبات: غرامات تصل إلى 5 ملايين ريال لكل مخالفة، وقد تُضاعف عند التكرار.
بدون بطاقة · حجز مجاني 72 ساعة
على من ينطبق PDPL؟
ينطبق PDPL على أي معالجة لبيانات شخصية تجري داخل المملكة، وعلى المعالجة التي تجري خارجها إذا تعلقت ببيانات أفراد مقيمين فيها. وهذا الشق الثاني هو ما يغفل عنه كثير من المشترين: فريق في القاهرة أو وارسو أو بنغالور يعمل على قاعدة بيانات عملائك يقع داخل نطاق النظام.
ويمتد الأثر إلى العملاء غير السعوديين أيضًا. شركة إماراتية أو أوروبية تخدم مستخدمين مقيمين في المملكة تعالج بيانات خاضعة لـPDPL، حتى لو كانت خوادمها وفرقها خارج المملكة بالكامل. لذلك نسأل كل عميل في مكالمة تحديد النطاق عن موقع المستخدمين، لا عن موقع الشركة فقط.
جهة التحكم والمعالج
جهة التحكم هي التي تحدد غرض معالجة البيانات الشخصية ووسيلتها، والمعالج هو من يعالجها لحسابها ووفق تعليماتها. في توسيع الفريق والتسليم المُدار يكون العميل عادةً جهة التحكم والمورّد معالجًا، وقد تكون الأدوات التي يستخدمها المورّد معالجين من الباطن.
الجهة المختصة
الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) هي الجهة المختصة. تصدر اللائحة التنفيذية ولائحة نقل البيانات الشخصية خارج المملكة، وتنشر الإرشادات، ومنها البنود التعاقدية المعيارية.
أنظمة قطاعية فوق PDPL
تضيف البنوك وشركات التأمين متطلبات البنك المركزي السعودي (SAMA)، ومنها قواعد الإسناد الخارجي. وتضيف الجهات الحكومية والبنية التحتية الحساسة ضوابط NCA ECC-2:2024، بما فيها ضوابط الأطراف الخارجية. راجع شروحات الأنظمة الأخرى.
الالتزامات التي تمسّ التعهيد
| الالتزام | ما يعنيه عمليًا | الدليل الذي تطلبه من المورّد |
|---|---|---|
| الأساس النظامي للمعالجة | الموافقة هي الأساس الرئيسي، إلى جانب العقد والالتزام النظامي والمصلحة الحيوية والمصلحة المشروعة التي لا تجوز للبيانات الحساسة | تعليمات معالجة مكتوبة تحدد الغرض |
| حقوق أصحاب البيانات | العلم، والوصول، والحصول على نسخة، والتصحيح، والإتلاف | إجراء موثق لدعم الطلبات خلال المهلة النظامية |
| الأمن والسجلات | ضمانات تنظيمية وإدارية وتقنية، وسجل لأنشطة المعالجة طوال مدتها و5 سنوات بعدها | تقارير أمنية ومساهمة في سجل المعالجة |
| الإخطار بالتسرب | إخطار سدايا خلال 72 ساعة من العلم بتسرب قد يضر الأفراد، وإبلاغ المتأثرين دون تأخير عند احتمال الضرر | مهلة إخطار تعاقدية أقصر، ومسؤول خصوصية مسمّى |
| مسؤول حماية البيانات وتقييم الأثر | تعيين مسؤول في حالات يحددها النظام، وتقييم أثر موثق للمعالجة عالية المخاطر | اسم مسؤول الخصوصية لدى المورّد، ومساهمته في التقييم |
| النقل خارج المملكة | دولة ذات حماية كافية، أو ضمانات مناسبة مثل البنود التعاقدية المعيارية أو القواعد المؤسسية الملزمة، مع تقييم للمخاطر في حالات محددة | البنود التعاقدية المعيارية، ونموذج تقييم مخاطر النقل |
البيانات الحساسة والبيانات الائتمانية
تشمل البيانات الحساسة البيانات الصحية والجينية والحيوية، والمعتقد الديني والسياسي، والسوابق الجنائية. وللبيانات الائتمانية أحكام إضافية خاصة بها، ما يضع معظم مشاريع البنوك والتمويل في فئة العناية العالية.
PDPL وGDPR جنبًا إلى جنب
| الموضوع | PDPL السعودي | GDPR الأوروبي |
|---|---|---|
| الجهة المختصة | سدايا | سلطات الرقابة الوطنية |
| النطاق | المعالجة داخل المملكة، ومعالجة بيانات المقيمين فيها من الخارج | المنشآت في الاتحاد الأوروبي، واستهداف الأفراد فيه أو مراقبتهم |
| الأسس النظامية | الموافقة أولًا؛ ولا تجوز المصلحة المشروعة للبيانات الحساسة | 6 أسس متساوية |
| إخطار الجهة المختصة بالتسرب | 72 ساعة | 72 ساعة |
| النقل إلى الخارج | الكفاية أو الضمانات، مع تقييم للمخاطر عند اشتراطه | الكفاية، والبنود المعيارية، والقواعد الملزمة، والاستثناءات، وتقييم أثر النقل |
| الحد الأقصى للغرامة | 5 ملايين ريال لكل مخالفة، وتُضاعف عند التكرار | 20 مليون يورو أو 4% من الإيرادات العالمية |
| العقوبات الجنائية | سجن حتى سنتين وغرامة حتى 3 ملايين ريال لإفشاء البيانات الحساسة دون وجه حق | تحددها الدول الأعضاء |
ما الذي يغيّره PDPL حين تستعين بفريق خارجي
موقع المهندسين يغيّر التحليل
- مهندسون داخل المملكة يعملون في بيئتك: لا نقل عبر الحدود، لكن التزامات المعالج تبقى قائمة.
- مهندسون في الخارج بصلاحيات على بيانات الإنتاج: يُعامَل ذلك نقلًا يحتاج ضمانات وتقييمًا للمخاطر.
- مهندسون في الخارج على بيانات مقنّعة أو اصطناعية: لا تغادر بيانات شخصية تقريبًا، وتنخفض المخاطر كثيرًا.
ما يجب أن يتضمنه العقد
تعليمات معالجة موثقة، والسرية، وإجراءات الأمن، والموافقة على المعالجين من الباطن، والإخطار بالتسرب، وحق التدقيق، وإعادة البيانات أو حذفها عند الخروج. وأضف البنود التعاقدية المعيارية الصادرة عن سدايا متى جرى الوصول إلى البيانات من الخارج.
المعالجون من الباطن
كل أداة سحابية أو منصة تذاكر أو خدمة ذكاء اصطناعي يستخدمها المورّد قد تكون معالجًا من الباطن. اطلب قائمة مكتوبة بهم، وحق الاعتراض قبل إضافة أي جديد، والتزامًا بعدم إدخال بياناتك في أدوات ذكاء اصطناعي استهلاكية.
أين تتسرب البيانات في فرق التطوير
تأتي معظم مخاطر PDPL في العمل الهندسي من 4 مواضع: نسخ بيانات الإنتاج إلى بيئات الاختبار، وكتابة بيانات شخصية في السجلات، ولصق البيانات في أدوات ذكاء اصطناعي استهلاكية، ونسخ احتياطية لا يتابعها أحد. أغلق المواضع الأربعة قبل الدورة الأولى.
كيف تتعامل Remote Pro Ai مع PDPL
- شروط المعالج: تتضمن اتفاقية معالجة البيانات لدينا بنود المعالج وفق PDPL، والبنود التعاقدية المعيارية السعودية حين تغادر البيانات المملكة.
- نمط موقع البيانات في بيان العمل: داخل بيئتك، أو في منطقتك السحابية، أو في بيئة معزولة بالقاهرة، ويُثبَّت كتابةً.
- كوادر داخل المملكة: الأدوار التي تحتاج بيانات شخصية في الإنتاج يمكن تشغيلها داخل المملكة، حضوريًا في الرياض أو من مكتبنا في الخبر.
- بيانات مقنّعة افتراضيًا: بيئات التطوير والاختبار تعمل ببيانات مقنّعة أو اصطناعية.
- إخطار خلال 24 ساعة: نُخطرك خلال 24 ساعة من التحقق من أي حادثة، داخل مهلة سدايا البالغة 72 ساعة.
- سياسة أدوات الذكاء الاصطناعي: أدوات معتمدة فقط، بأوضاع لا تحتفظ بالبيانات، ولا بيانات عملاء في الأدوات الاستهلاكية.
- المعالجون من الباطن: قائمتهم منشورة في مركز الثقة، مع إشعار مسبق بأي تغيير.
- الخروج: إعادة البيانات أو حذفها عند انتهاء العقد، مع تأكيد مكتوب.
سُلّمت الحالة B-02، المساعد العربي بالذكاء الاصطناعي التوليدي لشركة تأمين سعودية، بسجلات متوافقة مع PDPL وتسجيل لكل مخرجات الذكاء الاصطناعي. حالة ISO/IEC 27001: قيد التنفيذ (الهدف: الحصول على الشهادة في الربع الثاني 2027).
12 بندًا في قائمة تحقق PDPL للفرق الخارجية
- حدد كتابةً من جهة التحكم ومن المعالج.
- حدد البيانات الشخصية التي سيراها كل مهندس، حسب النظام والبيئة، وميّز البيانات الحساسة والائتمانية.
- اسأل أولًا: هل تكفي بيانات مقنّعة أو اصطناعية بدل البيانات الحقيقية؟
- حدد موقع كل دور، واكتب نمط الوصول في بيان العمل.
- لأي وصول من الخارج، وثّق أساس النقل: الكفاية أو البنود التعاقدية المعيارية الصادرة عن سدايا.
- أجرِ تقييم مخاطر النقل حين تشترطه الأنظمة، واحفظه في ملفك.
- وقّع اتفاقية معالجة تحدد الغرض والتعليمات والأمن والمدة والحذف.
- اعتمد كل معالج من الباطن، ومنها أدوات الذكاء الاصطناعي والتذاكر والتعاون، مع حق الاعتراض.
- حدد مهلة إخطار من المورّد إليك لا تتجاوز 24 ساعة.
- تحقق من هوية مستقلة لكل مهندس، والمصادقة متعددة العوامل، وتسجيل الجلسات، والإلغاء الفوري للصلاحيات.
- أجرِ تقييم أثر للمعالجة الحساسة أو الواسعة.
- اتفق على إعادة البيانات وحذفها عند الخروج بشهادة مكتوبة؛ وعلى الجهات الحكومية والمالية مطابقة العقد مع NCA ECC-2:2024 أو قواعد SAMA أيضًا.
أسئلة يطرحها المشترون عن PDPL
راجع هذا الشرح رئيس الحوكمة والثقة في Remote Pro Ai (يُنشر الاسم بعد اعتماد المؤسس) · أكتوبر 2026
هذا الشرح للتوعية العملية ولا يُعد استشارة قانونية. راجع مستشارك القانوني قبل أي قرار تعاقدي.
المراجع نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم م/19 وتعديلاته، ولائحته التنفيذية، ولائحة نقل البيانات الشخصية خارج المملكة. وروجعت العقوبات والتواريخ مقابل دليل CMS لقوانين حماية البيانات والأمن السيبراني في السعودية، بتاريخ اطلاع 9 أكتوبر 2026: دليل cms.law، السعودية
كل شروحات الأنظمة · احجز مكالمة مع الامتثال · فرق هندسية في المملكة
آخر تحديث: أكتوبر 2026