قواعد نقل البيانات عبر الحدود بموجب PDPL — متى تحتاج إلى موافقة سدايا

نظرة عامة

تضع المواد 29-31 من اللائحة التنفيذية لـ PDPL أعلى سقف للخصوصية في المملكة: لا تخرج البيانات الشخصية من المملكة إلا وفق شروط مضبوطة. تنشر سدايا قائمة الدول ذات الحماية الكافية، وما عداها يتطلب آلية مرخّصة وتقييم أثر وأحيانًا موافقة مسبقة.

على من يطبَّق

• كل مراقب يعالج بيانات أشخاص في المملكة وينقلها (أو يتيحها) خارجها.
• النقل يشمل: التخزين في مناطق سحابية أجنبية، إتاحة الوصول عن بُعد من خارج المملكة، البريد الإلكتروني، النسخ على الأشرطة.

آليات النقل المشروع

| الآلية | الاستخدام | موافقة سدايا | |---|---|---| | قرار كفاية | بلد ضمن القائمة | لا | | SCC من سدايا | خارج القائمة | إخطار | | BCR | مجموعات متعددة الجنسيات | موافقة | | استثناءات المادة 31 | حالات محدودة | تبرير موثَّق | | موافقة محددة | بيانات حساسة على نطاق واسع | مطلوبة |

الخطوة 1: تعقّب كل نقل

المعرّف: TRF-2026-014
المصدر: شركة سعودية
المتلقّي: مزوّد سحابي (US-EAST-1)
البيانات: سجلات + إيميل (سرية)
الغرض: نسخ احتياطي
الآلية: SCC + تدابير تكميلية
الحجم: 12 تيرابايت/سنة

الخطوة 2: تقييم أثر النقل (TIA)

• قانون الدولة المتلقية وصلاحيات المراقبة.
• نضج المتلقّي وشهاداته.
• حجم البيانات وحساسيتها.
• فاعلية التدابير التكميلية.
• وسائل التظلّم لأصحاب البيانات.

الخطوة 3: التدابير التكميلية

• تشفير النقل TLS 1.2+ ويُفضَّل TLS 1.3.
• تشفير الراحة بمفاتيح يديرها العميل.
• إخفاء الهوية مع إبقاء جدول الربط داخل المملكة.
• بنود تعاقدية لإخطار طلبات الوصول الحكومية.

الخطوة 4: البيانات الحساسة

الصحية والوراثية والحيوية والدينية والمالية والجنائية: غالبًا موافقة صريحة أو موافقة سدايا.

الخطوة 5: تثبيت المنطقة السحابية

أبسط استراتيجية: ابقَ داخل المملكة (AWS me-central-1، Azure Saudi، Oracle Jeddah، STC Cloud، Mobily Cloud).

SCP يرفض المناطق خارج المملكة
سياسة Azure: المناطق المسموحة = saudiarabia*
فحص IaC لرفض PR إن المنطقة ليست ksa

الخطوة 6: التقارير

تقرير سنوي محتمل إلى سدايا للنقل الكبير، وسجل النقل، ونتائج TIA، وسجلات طلبات الوصول الحكومية لدى المتلقّي.

أخطاء شائعة

• "البيانات مشفّرة" ليست أساسًا قانونيًا للنقل.
• BCR معتمد لـ GDPR ليس مقبولًا تلقائيًا لدى سدايا.
• دعم عن بُعد من الهند يدخل نظامًا في الرياض = نقل.
• شحن أشرطة نسخ احتياطية إلى أرشيف أجنبي = نقل.

التحقق

• سجل النقل خلال آخر 6 أشهر.
• TIAs لكل نقل خارج الكفاية.
• نصوص SCC من قالب سدايا.
• سياسات تثبيت المنطقة.

الخلاصة

نقل البيانات هو المكان الأشد عثرة؛ ابقَ داخل المملكة عند الإمكان، طبّق تدابير متعددة الطبقات، ووثّق كل شيء.

أدلة ذات صلة

• PDPL — الدليل الكامل
• قالب DPIA للامتثال لـ PDPL
• دليل الحوسبة السحابية من ساما