البنية المطلوبة
- سجل أغراض وأسس ومالكي معالجة على مستوى مجموعة البيانات
- مسار حقوق وموافقة واحتفاظ يمكن تتبعه عبر الأنظمة
- خريطة نقل ووصول ودعم ومفاتيح تشمل المعالجين الفرعيين
نظرة عامة
نظام حماية البيانات الشخصية السعودي (PDPL) صدر بالمرسوم الملكي رقم م/19 لعام 2021، وبدأ التطبيق الكامل في سبتمبر 2023. يُمثّل النظام تحولاً جوهرياً في المشهد التنظيمي السعودي — من غياب تشريع شامل لحماية البيانات إلى إطار مُلزَم يُحاسب مخالفيه.
النظام يُحكم قبضته على أي كيان يجمع أو يعالج بيانات شخصية لمواطنين أو مقيمين في المملكة، بصرف النظر عن موقع الكيان. وهذا يشمل الشركات الدولية التي تتعامل مع عملاء سعوديين عبر الإنترنت.
متطلبات الإقامة المحلية للبيانات في بعض القطاعات الحساسة تُضيف تعقيداً تقنياً — يجب أن تُخزَّن فئات معينة من البيانات على خوادم داخل المملكة أو في مناطق معتمدة من الهيئة.
المتطلبات الرئيسية
ما يفرضه Saudi PDPL تقنياً
الموافقة والغرض المحدد
جمع البيانات لغرض محدد وواضح مع موافقة صريحة، ولا يجوز استخدامها لأغراض مختلفة
إقامة البيانات المحلية
بيانات القطاعات الحساسة يجب أن تُخزَّن داخل المملكة أو في مواقع معتمدة
حقوق الأفراد
حق الوصول والتصحيح والمحو — مع آليات تقنية لتلبية الطلبات في مواعيد محددة
الإشعار بالاختراق
إشعار الهيئة الوطنية للبيانات والأفراد فور اكتشاف أي اختراق
نقل البيانات للخارج
ضوابط صارمة على نقل البيانات للخارج — تتطلب موافقة تنظيمية أو ضمانات تعاقدية
أمن البيانات
تدابير أمنية تقنية وإدارية تُثبت حماية البيانات من الوصول غير المُصرَّح به
التطبيق التقني
ماذا يعني هذا لبنيتك التقنية
01
بنية تحتية داخل المملكة أو في مناطق سحابية معتمدة (مثل AWS الرياض)
02
نظام إدارة الموافقة مُدمج مع كل نقطة جمع بيانات
03
واجهة برمجية لتلبية طلبات حقوق الأفراد
04
نظام كشف الاختراقات والإشعار الآلي
05
تشفير البيانات الحساسة مع إدارة المفاتيح المحلية
06
سجلات معالجة البيانات والتدقيق القابلة للفحص
سؤال المشتري
ما المشكلة التي يجب أن يحلها النظام؟
تحتاج المؤسسة إلى فصل متطلبات النظام الوطني عن قيود الاستضافة القطاعية والعقود، ثم ربط كل التزام بالبيانات والأنظمة الفعلية.
من النص إلى النظام
قرارات البنية وتسلسل التنفيذ
طريقة التنفيذ
- تحديد الكيان والدور وفئات البيانات والمستفيدين
- مراجعة النقل والإقامة القطاعية مع القانون والامتثال
- تنفيذ الحقوق والحذف والاحتفاظ والحوادث كاختبارات تشغيلية
- جمع دليل دوري وإعادة التقييم عند تغير الغرض أو المورد
حدود الدليل
قابلية التطبيق تُحسم من الوقائع والمصدر الرسمي
لا يفرض النظام قاعدة استضافة واحدة على كل البيانات. قد تضيف الجهات القطاعية متطلبات أخرى؛ يحدد المختصون النطاق والآلية المناسبة لكل تدفق.
هل كل البيانات يجب أن تبقى داخل المملكة؟
لا يمكن تعميم ذلك؛ تُراجع فئة البيانات والقطاع والغرض وآلية النقل واللوائح الحالية.
كيف نتحقق من سحب الموافقة؟
باختبار توقف الاستخدام المستقبلي وانتشار الحالة إلى الأنظمة التابعة مع حفظ ما يلزم قانوناً فقط.
كيف نبني للامتثال
الامتثال لـ Saudi PDPL مُدمج — لا يُضاف لاحقاً
لا تكفي السياسة المكتوبة وحدها. بعد أن يحدد المسؤولون المختصون المتطلبات المنطبقة، يمكن ربطها بالهوية والبيانات والتغيير والسجلات ومصادر الدليل، ثم اختبار عمل الضوابط ومراجعة الاستثناءات قبل الاعتماد عليها.
ناقش متطلباتك مع فريقناأطر ذات صلة