نظام حماية البيانات الشخصية PDPL من سدايا — دليل الامتثال الكامل

نظرة عامة

نظام حماية البيانات الشخصية (PDPL) صادر بالمرسوم الملكي M/19 لعام 1443هـ، وله لائحة تنفيذية صادرة عن سدايا. دخل النظام حيّز التنفيذ في 14 سبتمبر 2023 مع فترة انتقالية سنة، والإلزام الكامل في سبتمبر 2024. تصل العقوبات إلى 5 ملايين ريال لكل مخالفة، والسجن حتى سنتين للجرائم الخطيرة. كل جهة تعالج بيانات أفراد في المملكة خاضعة، بغض النظر عن مكان تأسيسها.

على من يطبَّق

• كل مراقب بيانات يقرّر غرض ووسيلة المعالجة.
• كل مُعالج يعمل بالنيابة عن مراقب.
• القطاعان العام والخاص.
• اختصاص خارج الحدود: الشركات الأجنبية التي تخدم عملاء سعوديين.

الالتزامات الرئيسية

1. أساس قانوني (موافقة، عقد، التزام نظامي، مصلحة مشروعة محدودة).
2. حقوق صاحب البيانات (الوصول، التصحيح، النقل، الحذف، التقييد، الاعتراض).
3. الشفافية (إشعار خصوصية بالعربية).
4. تحديد الغرض وتقليل البيانات.
5. الدقة والاحتفاظ.
6. الأمن (تدابير تقنية وتنظيمية).
7. نقل البيانات عبر الحدود وفق شروط سدايا.
8. إخطار الاختراق خلال 72 ساعة.
9. المساءلة (DPO، ROPA، DPIA).

الخطوة 1: السجل (ROPA)

سجِّل لكل نشاط: الغرض، فئات الأشخاص، فئات البيانات، فئات المتلقّين، النقل الخارجي وضماناته، فترة الاحتفاظ، التدابير الأمنية، الأساس القانوني.

الخطوة 2: إشعارات الخصوصية

عند كل نقطة جمع: هوية المراقب، الغرض، المتلقّون، النقل الخارجي، الاحتفاظ، الحقوق، حق الشكوى لسدايا.

الخطوة 3: إدارة الموافقة

دقيقة وحرة وقابلة للإثبات والسحب.

{
  "subject_id": "user-1029384",
  "consent_id": "CNS-2026-04-21-9ab1f3",
  "purpose": "marketing_email",
  "given_at": "2026-04-21T08:14:55+03:00",
  "channel": "web_signup_v3"
}

الخطوة 4: طلبات أصحاب البيانات

• تحقق من الهوية.
• إقرار خلال 5 أيام عمل.
• استجابة خلال 30 يومًا (قابلة للتمديد 60).
• سجل بطلبات DSR والنتائج.

الخطوة 5: DPIA للمعالجات عالية الخطر

مطلوب للبيانات الحساسة على نطاق واسع، المراقبة المنتظمة، القرارات الآلية ذات الأثر، التقنيات الجديدة، النقل إلى دول غير ملائمة.

الخطوة 6: إخطار الاختراق

• اكتشاف عبر SIEM/DLP/EDR.
• تقييم خلال ساعة.
• إخطار سدايا خلال 72 ساعة.
• إخطار الأفراد دون تأخير غير مبرَّر.
• سجل اختراقات حتى لغير المُلزِم بالإخطار.

الخطوة 7: مسؤول حماية البيانات (DPO)

مطلوب عند المعالجة الواسعة للبيانات الحساسة أو المراقبة المنتظمة أو في الجهات الحكومية.

أخطاء شائعة

• إشعارات بالإنجليزية فقط.
• مربعات موافقة مُعلَّمة مسبقًا.
• موافقات تسويق أقدم من 12 شهرًا دون تجديد.
• ردود DSR تتجاوز 30 يومًا دون إخطار.

التحقق

• ROPA خلال آخر 6 أشهر.
• سجل إصدارات إشعارات الخصوصية.
• أدوات إدارة موافقة مع سجل تدقيق.
• سجل DSR.
• DPIAs مكتملة لكل معالجة عالية الخطر.
• تعيين DPO عند الانطباق.

الخلاصة

PDPL ليس "GDPR-سعودي" بل نظام مستقل بمتطلبات خاصة (العربية، سدايا، النقل الخارجي).

أدلة ذات صلة

• قواعد نقل البيانات عبر الحدود
• قالب DPIA للامتثال لـ PDPL
• NCA ECC v2