نظام حماية البيانات الشخصية للمتاجر الإلكترونية: دليل 2026

مع كل طلب، يعطيك العميل السعودي اسمه وجواله وعنوانه وبيانات الدفع. ونظام حماية البيانات الشخصية يحدد كيف تحافظ عليها.

النظام مطبّق بالكامل منذ سبتمبر 2024. ويشمل أيضًا المتاجر خارج المملكة التي تبيع لمقيمين فيها.

الخبر الجيد؟ الالتزام به سهل نسبيًا. سياسة خصوصية واضحة، وموافقة صادقة، وبعض العقود مع التطبيقات التي تستخدمها تغطي معظم المطلوب.

ستجد هنا كل قاعدة بلغة بسيطة، ومثالًا عمليًا، وقائمة تحقق تنجزها هذا الأسبوع. وهذا الدليل جزء من دليل الأنظمة في السعودية.

ما هو نظام حماية البيانات الشخصية؟

هو النظام الأساسي للخصوصية في السعودية. ينظم كيف تجمع الشركات البيانات الشخصية وتستخدمها وتحفظها وتشاركها وتتلفها. والبيانات الشخصية هي أي معلومة تدل على شخص بعينه.

في المتجر، هذا يعني الأسماء وأرقام الجوال والعناوين والبريد وسجل الطلبات والمحادثات، وحتى معرّفات ملفات تعريف الارتباط التي تضعها البكسلات.

الجهة المختصة هي سدايا (الهيئة السعودية للبيانات والذكاء الاصطناعي). وتدير خدمات النظام الإلكترونية: السجل الوطني لجهات التحكم، والإبلاغ عن التسرب، وأداة تخبرك هل تحتاج مسؤولًا لحماية البيانات.

هل ينطبق النظام على متجرك؟

نعم، إذا كنت تبيع لأشخاص يقيمون في السعودية. المادة 2 تشمل المعالجة داخل المملكة، وأي معالجة خارجها لبيانات المقيمين فيها.

إذن متجر في دبي، ومتجر شوبيفاي في بريطانيا، وبائع في شنجن يشحن إلى الرياض، كلهم مشمولون.

في لغة النظام، متجرك هو "جهة التحكم"، لأنك تقرر لماذا تُستخدم البيانات وكيف. أما التطبيقات وشركات الشحن وبوابات الدفع فهي "جهات معالجة" تعمل لحسابك. وتبقى أنت مسؤولًا عمّا تفعله ببيانات عملائك.

متى تحتاج موافقة العميل؟

الموافقة هي الأساس الافتراضي في النظام. لكنها ليست الأساس الوحيد، ومعظم بيانات الطلبات لا تحتاجها.

هكذا تتوزع الأسس في متجر عادي:

• تنفيذ الطلب: الاسم والعنوان والجوال وبيانات الدفع تعتمد على العقد مع العميل. لا حاجة لخانة موافقة.
• الضريبة والفواتير: حفظ الفواتير التزام نظامي.
• مكافحة الاحتيال والأمان: يمكن أن تعتمد على المصلحة المشروعة، لكن ليس للبيانات الحساسة.
• التسويق والتحليلات والبكسلات: تحتاج موافقة.

الموافقة الصحيحة حرة ومحددة لغرض واحد وموثّقة. الخانة المؤشَّر عليها مسبقًا لا تُعد موافقة، ولا عبارة "باستخدامك الموقع فأنت توافق".

لذلك اكتب أغراضك أولًا، ثم أضف خطوة الموافقة للأغراض المذكورة في البند الأخير فقط.

ماذا تتضمن سياسة الخصوصية؟

اعرض سياسة الخصوصية قبل جمع البيانات. وسدايا نشرت دليلًا لمحتواها.

غطِّ على الأقل:

• من أنت وكيف يتواصل معك العميل.
• ما البيانات التي تجمعها ولماذا، مع الأساس النظامي لكل غرض.
• من يستلمها: شركات الشحن، ومزودو الدفع، وأدوات التسويق.
• هل تخرج البيانات من السعودية، وإلى أين.
• مدة الاحتفاظ بها.
• حقوق العميل وطريقة ممارستها.

اكتبها بالعربية والإنجليزية، وضع رابطها في التذييل وصفحة الدفع وكل نموذج تسجيل. ودليل عناصر الثقة في المتجر يوضح أين يتوقع العميل السعودي أن يجدها.

موافقة التسويق: البريد والرسائل النصية وواتساب

التسويق هو المكان الذي تخطئ فيه معظم المتاجر، وفيه أكبر الغرامات.

تمنع المادة 25 من النظام إرسال المواد الإعلانية عبر وسائل الاتصال الشخصية، كالبريد والجوال، دون موافقة مسبقة من المستلم. وتشترط وجود طريقة واضحة لإيقاف استقبالها.

وتضيف المادة 28 من اللائحة التنفيذية أن الموافقة يجب أن تكون محددة وحرة وموثّقة. ويجب أن يكون إلغاء الاشتراك بسهولة الاشتراك، ومجانيًا، ويُنفّذ فورًا.

ما زالت المادة 28 المنشورة تذكر استثناءً لمن تعاملت معهم سابقًا. لكن مسودة 2025 اقترحت إلغاءه، فاطلب الموافقة من عملائك الحاليين أيضًا. الغرامات تصل إلى 5 ملايين ريال لكل مخالفة، وتتضاعف عند التكرار.

لأسماء المرسلين وأوقات الإرسال وتوقيت رمضان، راجع أنظمة الرسائل النصية التسويقية في السعودية والإمارات.

حقوق العملاء ومهلة الرد

من حق العميل:

• أن يعرف ما تجمعه عنه ولماذا.
• أن يطّلع على بياناته ويحصل على نسخة منها.
• أن يصحح البيانات الخاطئة أو الناقصة.
• أن تُتلف بياناته عندما تنتهي الحاجة إليها.
• أن يسحب موافقته في أي وقت.

نفّذ كل طلب خلال 30 يومًا. ويمكن التمديد حتى 30 يومًا أخرى في بعض الحالات، بشرط أن تخبر العميل بالسبب.

وخصص قناة واحدة لها، مثل بريد للخصوصية أو نموذج في حساب العميل، حتى لا تضيع بين محادثات واتساب.

تسرب البيانات: قاعدة 72 ساعة

التسرب هو أي تسريب أو فقدان أو وصول غير مصرّح به للبيانات الشخصية. مثل اختراق حساب المدير، أو إرسال ملف طلبات الشحن إلى مجموعة خاطئة.

إذا كان التسرب قد يضر العملاء، فأبلغ سدايا خلال 72 ساعة من علمك به. استخدم خدمة الإبلاغ في منصة سدايا.

وعليك أيضًا إبلاغ العملاء المتأثرين دون تأخير إذا كان الضرر محتملًا. ويضيف نظام التجارة الإلكترونية إبلاغًا خاصًا به لوزارة التجارة خلال 3 أيام، فقد يحتاج الحادث الواحد إلى بلاغين.

اكتب الآن خطة من صفحة واحدة: من يقرر، ومن يقدّم كل بلاغ، وماذا تقول للعملاء.

نقل البيانات خارج السعودية

معظم المتاجر تنقل البيانات للخارج دون أن تنتبه. شوبيفاي وKlaviyo وGoogle Analytics وMeta Pixel وكثير من أنظمة ERP الصينية تحفظ البيانات خارج المملكة.

هذا مسموح. ولائحة نقل البيانات الشخصية خارج المملكة من سدايا تحدد الطرق:

1. الحماية الكافية: انقل البيانات بحرية إلى الدول التي تقيّمها سدايا بأنها توفر حماية كافية.
2. الضمانات المناسبة: إن لم تتوفر، فاستخدم البنود التعاقدية القياسية من سدايا، أو القواعد المؤسسية الملزمة لمجموعات الشركات، أو شهادات الاعتماد.
3. استثناءات محدودة: مثل أن يكون النقل ضروريًا لتنفيذ عقد مع العميل.

والنقل الكبير أو المستمر، وأي بيانات حساسة، يحتاج أيضًا تقييمًا مكتوبًا لمخاطر النقل. وأرسل لكل أداة أقل قدر من البيانات تحتاجه.

الأداة	أين تذهب البيانات	ماذا تفعل
شوبيفاي	خارج السعودية	تأكد أن اتفاقية معالجة البيانات تغطي النقل من السعودية
سلة / زد	منصتان سعوديتان، وسلة توفر حفظ البيانات داخل السعودية	عقد معالجة، وراجع أين يرسل كل تطبيق تضيفه البيانات
Klaviyo وMailchimp	غالبًا الولايات المتحدة	وقّع البنود القياسية أو تأكد من الحماية الكافية، مع موافقة التسويق
Meta Pixel وGoogle Analytics	الولايات المتحدة ودول أخرى	موافقة ملفات تعريف الارتباط أولًا، ثم البنود القياسية أو الحماية الكافية
أنظمة ERP أو إدارة الطلبات الصينية	الصين	البنود القياسية مع تقييم مخاطر النقل
شركة 3PL أو شحن سعودية	داخل السعودية	عقد معالجة يتضمن شروط الأمان

السجل الوطني ومسؤول حماية البيانات

تدير سدايا السجل الوطني لجهات التحكم. والتسجيل إلزامي لثلاث فئات:

• الجهات العامة.
• جهات التحكم التي نشاطها الأساسي معالجة البيانات الشخصية.
• جهات التحكم التي تعالج بيانات حساسة، مثل البيانات الصحية أو الحيوية.

المتجر الإلكتروني المعتاد ليس ضمن هذه الفئات، لكن يمكنه التسجيل طوعًا. والسجل يقبل الجهات السعودية والجهات خارج المملكة.

ولا يلزم تعيين مسؤول لحماية البيانات إلا في حالات معينة. منها المراقبة المنتظمة للأشخاص على نطاق واسع، أو نشاط أساسي يقوم على بيانات حساسة.

معظم المتاجر الصغيرة لا تحتاجه. استخدم أدوات سدايا للتسجيل ومسؤول حماية البيانات، وستعرف الجواب خلال دقائق.

مثال عملي: علامة عناية بالبشرة تبيع في الرياض

تخيّل علامة بريطانية للعناية بالبشرة على شوبيفاي. تشحن لعملائها في السعودية عبر شركة 3PL في الرياض، وتستخدم Klaviyo للبريد وإعلانات Meta.

هذه قائمة مهامها حسب النظام:

1. خريطة البيانات: صفحة الدفع، والحسابات، وKlaviyo، وMeta Pixel، وGoogle Analytics، وشركة 3PL، وبريد الدعم.
2. سياسة الخصوصية: صفحة واحدة بالعربية والإنجليزية تذكر كل أداة والدول التي تذهب إليها البيانات.
3. الموافقة: شريط ملفات تعريف الارتباط، وخانات غير مؤشَّر عليها للبريد والرسائل النصية في صفحة الدفع.
4. النقل للخارج: مراجعة اتفاقيات شوبيفاي وKlaviyo، وتوقيع البنود القياسية من سدايا حيث تنقص.
5. عقد شركة 3PL: عقد معالجة يتضمن شروط الأمان والإتلاف.
6. الاستعداد للحوادث: خطة للتسرب، وبريد للخصوصية مع قاعدة الرد خلال 30 يومًا.

هذا عمل أسبوع أو أسبوعين، معظمه كتابة وإعدادات. وبعدها يعمل كل شيء بهدوء في الخلفية.

قائمة التحقق للالتزام بالنظام

النظام السعودي مقارنة بقانون الإمارات

تبيع في السوقين؟ القانونان يتشابهان في الأساس، لذلك إعداد جيد واحد يغطي معظم متطلبات الاثنين.

	السعودية	الإمارات
القانون	المرسوم الملكي م/19 (2021)، المعدّل 2023	المرسوم بقانون اتحادي 45/2021
التطبيق الكامل	منذ 14 سبتمبر 2024	نافذ منذ يناير 2022، واللائحة التنفيذية لم تصدر
الجهة المختصة	سدايا	مكتب الإمارات للبيانات
يشمل المتاجر الأجنبية
التسويق	موافقة مسبقة وإلغاء مجاني (المادة 25)	حق الاعتراض، وقواعد هيئة تنظيم الاتصالات للرسائل النصية
مهلة الإبلاغ عن التسرب	72 ساعة لسدايا	فورًا، واللائحة ستحدد المهلة
الرد على طلبات البيانات	30 يومًا	شهر واحد، قابل للتمديد
أدوات النقل للخارج	البنود التعاقدية القياسية من سدايا	قائمة الدول الكافية لم تصدر؛ عقود أو موافقة
الحد الأعلى للغرامة	5 ملايين ريال لكل مخالفة، وتتضاعف عند التكرار	يحددها قرار لاحق من مجلس الوزراء
المناطق الحرة	يُطبّق في كل المملكة	مركز دبي المالي وسوق أبوظبي العالمي لهما قوانين خاصة

ولتفاصيل الجانب الإماراتي، راجع دليل قانون حماية البيانات في الإمارات للمتاجر.

ملاحظات لمتاجر شوبيفاي

• فعّل شريط ملفات تعريف الارتباط المدمج في شوبيفاي، أو تطبيق موافقة يوقف البكسلات حتى يوافق العميل.
• شوبيفاي يحفظ البيانات خارج المملكة، فاذكره في سياستك كجهة معالجة خارجية.
• استخدم خانات منفصلة في صفحة الدفع للتسويق بالبريد والرسائل النصية. ودليل إعداد شوبيفاي للخليج يشرح الإعدادات.

ملاحظات لمتاجر سلة وزد

• سلة وزد منصتان سعوديتان. سلة توفر حفظ البيانات داخل السعودية، فتبقى بيانات الطلبات الأساسية محلية. وفي زد، اسأل الدعم أين تُستضاف بيانات متجرك واذكر ذلك في سياسة الخصوصية.
• لكن التطبيقات التي تضيفها قد تنقل البيانات للخارج. راجع كل تطبيق تسويق أو تحليل أو محادثة قبل تثبيته.
• اكتب سياسة خصوصية خاصة بمتجرك بدل نص عام. اذكر أدواتك الفعلية وشركات الشحن وبيانات التواصل.

ملاحظات للبائعين الأجانب والصينيين

• النظام يشملك حتى بدون كيان سعودي. وسجل سدايا فيه فئة للجهات خارج المملكة.
• إرسال بيانات العملاء إلى نظام ERP أو مستودع في الصين يُعد نقلًا للخارج. وقّع البنود القياسية واحتفظ بتقييم مخاطر النقل.
• شارك مع كل شريك ما يحتاجه فقط. شركة الشحن في السعودية تحتاج العنوان والجوال، لا سجل الطلبات كاملًا.