متطلبات سياسة الخصوصية وفق نظام حماية البيانات الشخصية: ماذا يجب أن يتضمن إشعار الخصوصية؟

فريق الامتثال في WaqiSec · آخر مراجعة: 2026-09-26

ما الذي يشترطه النظام

يتضمن نظام حماية البيانات الشخصية التزامين بالشفافية يعملان معاً:

• المادة 12 — سياسة الخصوصية: يجب على جهة التحكم إعداد سياسة خصوصية وإتاحتها لأصحاب البيانات قبل جمع بياناتهم. وتوضح السياسة الغرض من الجمع، والبيانات التي تُجمع، وطريقة جمعها ومعالجتها وحفظها وإتلافها، وحقوق صاحب البيانات وكيفية ممارستها.
• المادة 13 — الإبلاغ عند الجمع: عند جمع البيانات من الشخص مباشرة يجب إبلاغه بالأساس النظامي والغرض، وبما هو إلزامي واختياري من البيانات. ويجب إبلاغه أيضاً بهوية الجهة التي تجمعها، والجهات التي ستُفصَح لها وهل ستُنقل أو تُعالج خارج المملكة، وأثر عدم تقديمها، وحقوقه.

وعملياً، تلبي أغلب الشركات الالتزامين بإشعار خصوصية واحد منظم على الموقع أو التطبيق، مع رابط إليه من كل نموذج يجمع بيانات.

المحتوى المطلوب: القائمة الكاملة

بالجمع بين المادتين 12 و13 ودليل سدايا الصادر في أغسطس 2024، ينبغي أن يتضمن الإشعار:

1. هوية جهة التحكم: اسم الجهة ونشاطها، ووسائل التواصل، وبيانات مسؤول حماية البيانات إن وُجد.
2. البيانات الشخصية التي تُجمع: فئاتها، وما هو إلزامي منها وما هو اختياري.
3. الغرض من كل نشاط معالجة.
4. الأساس النظامي لكل غرض: الموافقة، أو العقد، أو الالتزام النظامي، أو المصلحة المشروعة وغيرها.
5. طريقة الجمع ووسائل المعالجة.
6. الجهات المستلمة: الجهات التي تُفصَح لها البيانات وبأي صفة.
7. النقل خارج المملكة إن وُجد.
8. الاحتفاظ والإتلاف: مدة الاحتفاظ بالبيانات وطريقة إتلافها.
9. أثر عدم تقديم البيانات.
10. حقوق صاحب البيانات: العلم، والوصول، والحصول على نسخة بصيغة واضحة ومقروءة، والتصحيح، والإتلاف، وسحب الموافقة، والشكوى، والمطالبة بالتعويض.
11. كيفية ممارسة الحقوق وآلية الشكاوى، بما فيها حق تقديم شكوى إلى سدايا.
12. تاريخ السريان وطريقة الإبلاغ بالتحديثات.

ويطلب دليل سدايا أيضاً أن تكون السياسة بلغة واضحة ومقروءة وبصيغة مناسبة، وأن تُراجَع بشكل دوري.

هيكل مقترح قسماً بقسم

البيانات التي تُجمع بشكل غير مباشر

إذا وصلتك بيانات شخصية من طرف ثالث، كشريك أو مزود بيانات أو شركة ضمن مجموعتك، فتشترط اللائحة التنفيذية إبلاغ صاحب البيانات دون تأخير غير مبرر، مع بيان مصدر البيانات. وتشير قراءات مكاتب المحاماة إلى مهلة لا تتجاوز 30 يوماً. ضمّن ذلك في مسارات التسجيل وتبادل البيانات مع الشركاء.

ملفات الارتباط والتسويق والبيانات الحساسة والقرارات الآلية

• ملفات تعريف الارتباط: لا يوجد في المملكة نظام خاص بها، لكن البيانات التي تُجمع عبرها تبقى بيانات شخصية. صِفها في الإشعار، واستخدم الموافقة إن كانت أساسك النظامي.
• التسويق: تحتاج الرسائل التسويقية إلى موافقة مسبقة وطريقة سهلة لإلغاء الاشتراك. والتسويق غير المرغوب من المخالفات التي اتخذت فيها سدايا قرارات بالفعل.
• البيانات الحساسة (مثل البيانات الصحية والحيوية والوراثية): تحتاج إلى موافقة صريحة وتقييم أثر، فاذكر ذلك بوضوح في الإشعار.
• القرارات الآلية: إذا كانت القرارات تُتخذ بالمعالجة الآلية وحدها، فيجب الإفصاح عن ذلك في الإشعار، ويلزم تقييم الأثر.

7 أخطاء شائعة في إشعارات الخصوصية في المملكة

1. نسخ إشعار مكتوب وفق اللائحة الأوروبية (GDPR): النظام السعودي مختلف. فمثلاً لا يتضمن حق نقل البيانات بصيغته الأوروبية ولا صيغة حق الاعتراض الأوروبية، لكنه يمنح حق الحصول على نسخة من البيانات بصيغة واضحة ومقروءة.
2. عدم ذكر سدايا أو حق الشكوى والمطالبة بالتعويض.
3. عدم التمييز بين البيانات الإلزامية والاختيارية.
4. إغفال النقل خارج المملكة، مع أن الأدوات السحابية وفرق الدعم الخارجية تُعد نقلاً.
5. غياب مدد الاحتفاظ، أو الاكتفاء بعبارة «طالما كان ذلك ضرورياً».
6. إشعار مؤرخ قبل سبتمبر 2024، أي قبل التطبيق الكامل للنظام.
7. الاكتفاء بالإنجليزية لجمهور يتحدث العربية. هذا ليس مخالفة صريحة للنظام، لكنه يضعف شرط الوضوح والفهم.

قائمة التحقق لإشعار الخصوصية

• متاح قبل جمع أي بيانات، ومرتبط من كل نموذج
• اسم الجهة ونشاطها ووسائل التواصل (وبيانات مسؤول حماية البيانات إن وُجد)
• فئات البيانات مع تحديد الإلزامي والاختياري
• الغرض والأساس النظامي لكل نشاط معالجة
• طرق الجمع، بما فيها ملفات الارتباط والمصادر الخارجية
• الجهات المستلمة والنقل خارج المملكة
• مدد الاحتفاظ وطريقة الإتلاف
• أثر عدم تقديم البيانات
• جميع حقوق النظام وطريقة ممارستها ومدة الرد 30 يوماً
• حق الشكوى إلى سدايا والمطالبة بالتعويض
• موافقة التسويق وطريقة إلغاء الاشتراك
• نسخة عربية وإنجليزية، مؤرخة وتُراجَع دورياً

أدلة ذات صلة

هذا الدليل لأغراض إعلامية عامة ولا يُعد استشارة قانونية. تحقق دائماً من النص الرسمي لدى الجهة المختصة قبل اتخاذ أي قرار.