تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية: التخزين داخل المملكة، والإشعار بالتسرب خلال 72 ساعة، وخريطة البيانات التي تحتاجها الآن

تقترح مسودة تعديلات سدايا على اللائحة التنفيذية لنظام حماية البيانات الشخصية، التي دعت إلى إبداء المرئيات حولها في 6 أكتوبر 2026، أن تخزّن جهات التحكم البيانات الشخصية داخل المملكة، وأن تُبلغ عن كل تسرب خلال 72 ساعة، وأن تستجيب للجهة المختصة خلال 20 يوم عمل. ما زالت مسودة، فابدأ برسم خريطة لأماكن بياناتك الشخصية.

ما الذي تغيّر. 6 أكتوبر 2026: دعت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) إلى إبداء المرئيات حيال المسودة عبر منصة «استطلاع» الحكومية. تقرأ هذه الصفحة النص المقترح مقابل النص الحالي كما كان في 31 أكتوبر 2026.

ما الذي تغيّره المسودة باختصار

تعرض صفحة «استطلاع» النص المقترح لكل مادة إلى جانب النص الحالي. وهذه التغييرات التي تمسّ نظام ERP:

ويقول إعلان وكالة الأنباء السعودية (واس) إن التعديلات تهدف إلى توضيح الإجراءات والضوابط الواردة في اللائحة، والأحكام المتعلقة بتخزين البيانات الشخصية.

التخزين داخل المملكة: ماذا يقول النص وما الذي يتركه مفتوحاً

المادة 23(2) المقترحة جملة واحدة: على جهة التحكم تخزين البيانات الشخصية داخل المملكة، ويجوز نقلها إلى خارج المملكة أو الإفصاح عنها لجهة خارجها وفقاً لأحكام النظام ولوائحه التنفيذية.

ويترتب على الصياغة أمران:

• طريق النقل باقٍ. يُبقي الشطر الثاني النقل والإفصاح إلى الخارج ممكنين وفق أحكام النظام، لكن النص لا يبيّن كيف يعمل الشطران معاً.
• مسألة النسخة مفتوحة. لا يحدد النص هل يكفي الاحتفاظ بنسخة واحدة داخل المملكة إذا عولجت البيانات نفسها في الخارج أيضاً. استشر مستشارك قبل نقل الأنظمة أو تكرارها.

وكما في النص الحالي، تطلب المادة نفسها من جهات التحكم الالتزام بضوابط الهيئة الوطنية للأمن السيبراني حيث تنطبق، أو بأفضل الممارسات المتعارف عليها حيث لا تنطبق. وقد تقيّد أنظمة أخرى مكان بعض البيانات أصلاً، وهذه الصفحة تتناول هذه المسودة وحدها.

مهلة الـ72 ساعة للإشعار بالتسرب

وفق المسودة، تبدأ المهلة من وقت علم جهة التحكم بالحادثة لا من وقت وقوعها، وتُحسب بالساعات لا بأيام العمل.

يصف الإشعار ما حدث ومتى، ومن تأثر وأي بيانات (بالأعداد الفعلية أو التقريبية)، والمخاطر والتدابير المتخذة، وهل أُشعر أصحاب البيانات أو سيُشعرون، وبيانات التواصل. وما لا تستطيع تقديمه خلال 72 ساعة تقدّمه في أقرب وقت ممكن مع مبررات التأخير. وتبقى التزامات الإبلاغ للهيئة الوطنية للأمن السيبراني قائمة إلى جانبه. ويُشعَر أصحاب البيانات المتأثرون دون تأخير غير مبرر إذا كان من شأن الحادثة الإضرار بهم.

استعد لحادثة تُكتشف في عطلة نهاية الأسبوع: حدّد مسبقاً من يقرر ومن يرفع الإشعار.

خريطة البيانات التي تحتاجها الآن: قائمة تحقق

أياً كان النص النهائي، فخريطة البيانات هي الخطوة الأولى: أن تعرف أين توجد البيانات الشخصية. وتُبقي المادة 33 المقترحة سجل أنشطة المعالجة طوال استمرارها وخمس سنوات بعد انتهاء كل نشاط، دقيقاً ومتاحاً للجهة المختصة عند طلبها، وتحذف قائمة الحد الأدنى من محتوياته الواردة في النص الحالي.

ثم ثلاث مهام قصيرة:

1. حدّد مسؤولاً عن كل نظام في القائمة، ومسؤولاً لحماية البيانات الشخصية إن انطبقت عليك إحدى حالات المسودة.
2. اكتب إجراءات التعامل مع التسرب: من يقرر أن الحادثة تستوجب الإشعار، ومن يرفعه، ومن يُشعر المتأثرين، وكيف يصل إليهم اتصال في عطلة نهاية الأسبوع.
3. راجع موافقات التسويق. تنص المادة 29 المقترحة على أنه إذا عدل صاحب البيانات عن موافقته على التسويق، تتوقف عن تلك المعالجة وتُتلف البيانات الناتجة عنها دون تأخير غير مبرر.

ولإبداء مرئياتك، كانت صفحة «استطلاع» تعرض نموذج تعليق تحت كل مادة عند مراجعتنا في 31 أكتوبر 2026، ولم تذكر تاريخاً للإغلاق.

كيف تساعدك Tarleaks

يحفظ تطبيق الموارد البشرية في Tarleaks قائمة لطلبات أصحاب البيانات بمواعيد استحقاق وسجلاً للتسرب بوقت الاكتشاف ووقت الإبلاغ، ويحفظ تطبيق إدارة علاقات العملاء سجلاً لموافقات التسويق بكل حالات العدول. ولكل شركة قاعدة بيانات خاصة بها، وتذكر صفحة الأمان أربعة أماكن يمكن أن تُحفظ فيها بياناتك، ويحفظ تطبيق الأمان سجل تدقيق للبيانات الشخصية. هذا دليل لتقييمك أنت، وليس شهادة اعتماد.

ماذا تفعل بعد ذلك

• اقرأ لماذا بُنيت Tarleaks بلغة Rust لتعرف كيف تعمل قاعدة البيانات الخاصة بكل شركة وسجل التدقيق.
• تدير رواتب في السعودية أيضاً؟ راجع الرواتب في السعودية مع مدد والتأمينات الاجتماعية وقوى.
• احجز عرضاً تجريبياً ونراجع معك خيارات مكان البيانات مع استبيانك.

أسئلة شائعة

هل أصبح نظام حماية البيانات الشخصية يُلزم بتخزين البيانات داخل المملكة؟

ليس بموجب هذه المسودة بعد. تنص المادة 23(2) المقترحة في مسودة تعديلات سدايا على أن تخزّن جهة التحكم البيانات الشخصية داخل المملكة، ويجوز لها نقلها إلى الخارج وفق أحكام النظام. وإلى أن يُنشر نص نهائي في الجريدة الرسمية تبقى اللائحة الحالية هي المعمول بها، وقد تقيّد أنظمة أخرى مكان بعض البيانات أصلاً، فاسأل مستشارك.

ما مهلة الإبلاغ عن تسرب البيانات في المسودة؟

خلال 72 ساعة من علم جهة التحكم بالتسرب أو التلف أو الوصول غير المشروع، وتُبلَّغ الجهة المختصة. يطلب النص الحالي الإشعار خلال 72 ساعة فقط إذا كان من شأن الحادثة الإضرار، وتحذف المسودة هذا الشرط. ويُشعَر أصحاب البيانات دون تأخير غير مبرر إذا كان من شأن الحادثة الإضرار بهم.

متى يُعمل بالتعديلات؟

تنص المادة 38 المقترحة على العمل بها بعد 60 يوماً من نشرها في الجريدة الرسمية. ودعت سدايا إلى إبداء المرئيات في 6 أكتوبر 2026، ولم يكن قد صدر نص نهائي عند مراجعتنا في 31 أكتوبر 2026.

هل يظل نقل البيانات الشخصية إلى خارج السعودية ممكناً وفق المسودة؟

تُبقي المسودة النقل والإفصاح إلى الخارج ممكنين وفق أحكام النظام ولوائحه، إلى جانب التزام التخزين الجديد. ولا تحدد هل يكفي الاحتفاظ بنسخة داخل المملكة إذا عولجت البيانات في الخارج أيضاً، فاسأل مستشارك عن أثر ذلك على أنظمتك.

أين تخزّن Tarleaks البيانات؟

تختار بين أربعة خيارات مذكورة في صفحة الأمان لدينا: سحابتنا مع قاعدة بيانات خاصة بشركتك، أو حاوية التخزين الخاصة بك، أو قاعدة بياناتك الخاصة، أو خوادمك الخاصة. ولم يُنشر موقع سحابتنا في تلك الصفحة بعد، فاسألنا عنه في جلسة تعريفية بالأمان.

---

معلومات عامة، وليست استشارة قانونية. روجعت هذه المعلومات مقابل المصادر الرسمية المذكورة في هذه الصفحة في 31 أكتوبر 2026. التعديلات ما زالت مسودة، فتأكد من وضعك لدى سدايا أو مستشارك.