فتحت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) استطلاع رأي على مسودة تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية، ويمكن للجهات والأفراد تقديم ملاحظاتهم حتى 5 نوفمبر 2026. تشمل المقترحات شرط تخزين البيانات الشخصية داخل المملكة، وتوسيع إشعارات الخرق، وتوسيع متطلبات تسجيل الجهات الأجنبية. الصياغة ما زالت مسودة قابلة للتغيير، لذلك ما يلي هو ما تقترحه المسودة اليوم، لا ما هو نافذ الآن.
إذا كنت تدير منشأة تجمع بيانات عملاء أو موظفين، أو كانت لديك جهة خارج المملكة تتعامل مع بيانات سعودية، فهذه التعديلات تعنيك مباشرة. وفيما يلي التفاصيل المتوفرة، مع تمييز ما يحتاج إلى تحقق.
تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية: ما الذي تقترحه المسودة؟
بدأت القصة في 6 أكتوبر 2026، حين نشرت سدايا مسودة تعديلات على اللائحة التنفيذية لنظام حماية البيانات الشخصية. وبحسب بيان وكالة الأنباء السعودية (واس)، تهدف التعديلات إلى توضيح الإجراءات والضوابط الواردة في اللائحة، ودعم إجراءات الإنفاذ، وتمكين الجهات والأفراد الخاضعين للنظام من الامتثال بشكل أفضل.
ومن أبرز المقترحات التي تناولتها التغطيات القانونية:
- شرط تخزين البيانات الشخصية داخل المملكة.
- توسيع محفّز إشعار الخرق.
- توسيع متطلبات التسجيل.
ويبدو أن الصياغة المقترحة تُزيل عتبة الإخطار الحالية لسدايا، وهو ما قد يوسّع نطاق الحوادث التي تستوجب الإبلاغ. أي أن حادثة كانت تقع دون الحد الحالي قد تصبح مطلوبة الإبلاغ إذا أُقرّت الصياغة كما هي.
خطوات تقديم الملاحظات على المسودة قبل 5 نوفمبر 2026
الاستطلاع مفتوح حتى 5 نوفمبر 2026، أي أن أمامك نحو أسبوعين من تاريخ اليوم. تشير سدايا عبر واس إلى أن التغذية الراجعة تُقدَّم عبر رابط على منصة الاستطلاع الإلكترونية «استطلاع» (Istitlaa).
لم نتمكن من التحقق من الرابط المباشر للمنصة ضمن هذا البحث، لذلك لا ننشره هنا. اتبع الخطوات التالية:
- افتح بيان سدايا على واس واستخرج الرابط الوارد فيه إلى منصة «استطلاع».
- اقرأ نص المسودة كاملًا، ودوّن المواد التي تمس نشاطك مباشرة، مثل التخزين والإبلاغ والتسجيل.
- قدّم ملاحظاتك قبل 5 نوفمبر 2026، واحتفظ بنسخة منها.
تذكّر أن الملاحظات تُقدَّم على مسودة، ولم تُنشر حتى الآن أي نتائج أو موعد لإقرار النسخة النهائية، لذلك يصعب توقع أثر ملاحظتك على الصياغة بدقة.
تخزين البيانات داخل المملكة وتوسيع متطلبات التسجيل
يُعد شرط تخزين البيانات داخل المملكة من أكثر المقترحات التي قد تؤثر في الشركات التي تعتمد على خدمات سحابية خارجية، أو على فرق عمل موزعة بين أكثر من دولة. وما ورد في التغطيات حتى الآن هو إضافة الشرط إلى المتطلبات، أما تفاصيل الاستثناءات وآليات التطبيق فلم ترد في المصادر التي اطلع عليها هذا البحث، ولذلك لا نذكر تفاصيل غير مؤكدة.
أما توسيع متطلبات التسجيل فيرتبط جزئيًا بالجهات الأجنبية، وهو موضوع مستقل نتناوله في قسم لاحق.
إشعار الخرق والاحتفاظ بسجلات المعالجة
تشير التغطيات القانونية إلى أن المنشآت ستحتاج إلى الاحتفاظ بسجلات معالجة البيانات مدة خمس سنوات إضافية من تاريخ اكتمال النشاط. وهذا يعني عمليًا أن على الجهة تنظيم سجلاتها منذ الآن، لأن الوثائق غير المنظمة يصعب استرجاعها عند الطلب.
أما مهلة الإبلاغ عن الخرق، فقد وردت في مصدر تجميعي واحد بأنها 72 ساعة، ولم يجدها البحث في المسودة نفسها. لذلك نعدّ هذه المهلة معلومة تحتاج إلى تحقق، ولا ينبغي بناء إجراءاتك الداخلية عليها قبل الرجوع إلى النص الرسمي.
تسجيل الجهات الأجنبية غير المقيمة: ما المؤكد وما يحتاج تحققًا
في منتصف أكتوبر، ظهرت تغطيات قانونية متخصصة تتحدث عن فتح سدايا منصة الحوكمة الوطنية للبيانات أمام الجهات الواقعة خارج المملكة، ما يتيح للجهات المسؤولة عن بيانات غير مقيمة في المملكة أن تسجّل نفسها لأول مرة. وصفت مدونة قانونية متخصصة هذه الخطوة في 15 أكتوبر 2026.
لكن هناك ملاحظتان مهمتان. الأولى أننا لم نجد بيانًا رسميًا من سدايا يؤكد تاريخ السريان. والثانية أن المصادر القانونية لا تفصل بوضوح بين كون التسجيل ساريًا بقرار نافذ، وكونه جزءًا من المسودة المطروحة للاستطلاع.
إذا كنت جهة أجنبية غير مقيمة، فالخطوة العملية هي التحقق من متطلبات التسجيل في منصة الحوكمة الوطنية للبيانات، بعد التأكد من سريانها الفعلي من سدايا مباشرة، لا من المقالات وحدها.
نظام حماية البيانات الشخصية منذ النفاذ إلى الإنفاذ
بدأ نفاذ نظام حماية البيانات الشخصية بالكامل في 14 سبتمبر 2023، وانتهت فترة السماح للإنفاذ في 14 سبتمبر 2024. والنظام صادر بمرسوم ملكي، وتشرف عليه سدايا.
وقد أعلنت لجان المخالفات في يناير 2026 أولى 48 قرارًا تنفيذيًا، شملت غرامات على رسائل التسويق المرسلة دون موافقة. هذا يوضح أن مرحلة الإنفاذ قائمة فعلًا، وأن ملف الرسائل التسويقية شهد قرارات ملموسة.
ولا تُعد هذه التعديلات أول عرض للنقاش، فقد أعلنت سدايا عن مسودة سابقة في 2025، ولم يتأكد البحث من اعتمادها. وهذا يؤكد أن النص النهائي قد يختلف عمّا هو مطروح الآن.
متى تدخل التعديلات حيز التنفيذ إذا أُقرّت؟
إذا أُقرّت التعديلات، فستدخل حيز التنفيذ بعد ستين يومًا من نشرها في الجريدة الرسمية. وبحسب أحد التحليلات القانونية، فهي فترة قصيرة نسبيًا للتعديل، أي أن المنشأة التي تتأخر في مراجعة سياساتها وأنظمتها قد تجد مهلتها محدودة.
ولمعرفة كيف تنتقل الأنظمة الجديدة من الإقرار إلى السريان، يمكنك قراءة نظام المنافسات والمشتريات الحكومية الجديد: ما الذي تغيّر ومتى يسري؟. وفي مجال آخر، يمكن مقارنة المسار بما ورد في نظام براءات الاختراع الجديد في السعودية: ما الذي أقرّه مجلس الوزراء؟
ماذا تفعل الآن قبل إغلاق الاستطلاع؟
المرحلة الحالية هي مرحلة الملاحظات والتحضير، والنص النهائي لم يُعلن بعد. ابدأ بهذه الخطوات:
- راجع سجلات معالجة البيانات لديك، وحدد أين تُخزَّن، وهل يقع جزء منها خارج المملكة.
- ضع خريطة لمسؤوليات الإبلاغ عن الحوادث داخل فريقك، وحدد من يتخذ القرار عند وقوع الحادثة.
- إذا كانت لديك جهة أجنبية تتعامل مع بيانات سعودية، راجع وضعها في التسجيل بعد التحقق من سدايا.
- لا تبنِ إجراءً نهائيًا على رقم لم يتأكد منه أحد، مثل مهلة 72 ساعة.
ما يمكن قوله بثقة اليوم أن المسودة مفتوحة للتعليق حتى 5 نوفمبر 2026، وأن الاتجاه العام في ما نُشر يميل إلى تشديد متطلبات الامتثال. أما التفاصيل النهائية فستتضح حين تُنشر النسخة المعتمدة، فتابع بيانات سدايا الرسمية قبل أن تتخذ أي قرار يخص منشأتك.
