نقل البيانات الشخصية خارج المملكة: كيف تنقل البيانات نظامياً وفق نظام حماية البيانات الشخصية

فريق الامتثال في WaqiSec · آخر مراجعة: 2026-10-01

ما الذي يُعد نقلاً للبيانات الشخصية خارج المملكة؟

يقع النقل كلما أُرسلت بيانات شخصية تخص أفراداً في المملكة إلى جهة خارجها، أو خُزنت لديها، أو أُتيح لها الوصول إليها. وأغلب الشركات تنقل البيانات يومياً دون أن تسميه نقلاً:

• الأنظمة السحابية المستضافة في الخارج: إدارة العملاء، والبريد، والموارد البشرية، والرواتب، والتذاكر، والتحليلات
• المقر الرئيسي للمجموعة في دبي أو لندن أو الولايات المتحدة حين يتلقى بيانات العملاء أو الموظفين
• فرق الدعم أو التطوير خارج المملكة التي تصل إلى بيانات التشغيل
• النسخ الاحتياطية المكررة في مناطق استضافة خارج المملكة

يفترض أن يتضمن سجل أنشطة المعالجة كل حالة من هذه مع الدولة والأداة النظامية المعتمدة، فإن لم يتضمنها فابدأ منه.

ما الذي تشترطه المادة 29 من النظام؟

تجيز المادة 29 النقل لأغراض محددة: تنفيذ التزام بموجب اتفاقية تكون المملكة طرفاً فيها، أو خدمة مصالح المملكة، أو تنفيذ التزام يكون صاحب البيانات طرفاً فيه، أو أغراض أخرى تحددها اللوائح. ويجب أن يستوفي كل نقل ثلاثة شروط:

1. ألا يترتب عليه مساس بالأمن الوطني أو بمصالح المملكة الحيوية؛
2. أن تحظى البيانات بمستوى مناسب من الحماية لا يقل عن المستوى الذي يكفله النظام، وتحققه لائحة النقل عبر قرار الملاءمة أو الضمانات المناسبة؛
3. أن يقتصر النقل على الحد الأدنى من البيانات الشخصية اللازمة.

وقد ألغت تعديلات عام 2023 اشتراط موافقة سدايا على النقل، فلا يوجد ترخيص يُطلب. ويقع على جهة التحكم عبء إثبات نظامية النقل.

المساران النظاميان والحالات المعفاة

وعملياً، تنتهي أغلب الشركات التي لا يتوفر لها قرار ملاءمة إلى المسار الثاني. واحرص على ألا ترسل إلا ما يحتاجه المستلم من بيانات، فالمادة 29 تشترط ذلك، وتقييم المخاطر يسأل عن كيفية تحقيقه.

كيف تعمل البنود التعاقدية القياسية الصادرة عن سدايا؟

نشرت سدايا في عام 2024 بنوداً تعاقدية قياسية خاصة بها، في أربعة نماذج:

• من جهة تحكم إلى جهة تحكم
• من جهة تحكم إلى جهة معالجة
• من جهة معالجة إلى جهة تحكم
• من جهة معالجة إلى جهة معالجة فرعية

وتقع الشركات غالباً في ثلاثة أخطاء. أولها تعديل النص، والتعديل غير جائز إلا بتعبئة الحقول الفارغة، وتعد سدايا أي تعديل آخر مخالفة. وثانيها الاكتفاء بالبنود الأوروبية، وهي أداة مختلفة لا تحل محل بنود سدايا. وثالثها إغفال الالتزامات المستمرة في البنود، ومنها التدابير الأمنية، ومهل قصيرة للإبلاغ عن الاختراقات بين الطرفين تمكّن جهة التحكم من الالتزام بمهلة الـ72 ساعة لدى سدايا، والتعاون مع سدايا. راجع دليل الإبلاغ عن الاختراق خلال 72 ساعة.

القواعد المشتركة الملزمة وشهادة الاعتماد

القواعد المشتركة الملزمة تقابل ما يُعرف أوروبياً بقواعد الشركات الملزمة، وتناسب المجموعات متعددة الجنسيات التي تنقل البيانات بين شركاتها بانتظام. وقد نشرت سدايا دليلاً يحدد ما يجب أن تتضمنه، ويغطي التزامات جهة التحكم وحقوق أصحاب البيانات والتعامل مع الاختراقات والسجلات. وتحقق من سدايا من آلية مراجعتها قبل الاعتماد عليها.

شهادة الاعتماد هي الضمانة الثالثة، وتصدر عن جهة تقييم معتمدة لهذا الغرض. تحقق من سدايا من الجهات المتاحة قبل بناء خطتك عليها.

ما الحالات المعفاة؟

تحدد المادة 4 من لائحة النقل حالات تُعفى من شرطين في المادة 29: المستوى الملائم من الحماية، والحد الأدنى من البيانات. ووفق النص المنشور لدى سدايا تشمل النقل بين الجهات الحكومية تنفيذاً لاتفاقيات دولية، والنقل غير المتكرر والمحدود، والاحتياجات التشغيلية داخل المجموعات متعددة الجنسيات، والنقل الذي يقدم خدمة أو منفعة مباشرة لصاحب البيانات، والبحث العلمي. وتستثني بعض الحالات البيانات الحساسة، ولكل حالة شروطها. وهي ليست طريقاً لتجاوز الضمانات، فالضمانة المناسبة تبقى واجبة، وهذا ما تقرره قراءة Hourani Partners لكل الحالات المعفاة.

متى يلزم تقييم مخاطر نقل البيانات؟

توجب المادة 7 من لائحة النقل المعدلة تقييماً موثقاً للمخاطر في حالتين:

1. النقل بموجب المادة 4، أي استناداً إلى ضمانة مناسبة، بما في ذلك الحالات المعفاة؛
2. النقل المستمر أو واسع النطاق للبيانات الحساسة، ولو كانت الجهة المستلمة ملائمة.

ونشرت سدايا في مطلع 2025 دليلاً لإجراء التقييم، وتوضح Clyde & Co أنه دليل استرشادي غير ملزم. ويلخصه Global Privacy Blog في أربعة أجزاء:

وإذا بقيت مخاطر عالية لا يمكن تداركها بعد المعالجة، يوجه الدليل إلى بدائل أو إلى وقف النقل. وبموجب المادة 6 من لائحة النقل، يجب على جهة التحكم وقف النقل وإشعار الجهات المستلمة إذا أُخل بالضمانة أو لم تعد توفر حماية ملائمة.

خطة نقل البيانات خطوة بخطوة

1. حصر عمليات النقل من سجل المعالجة وفواتير الاشتراكات السحابية والبنية التقنية.
2. تصنيف البيانات في كل تدفق مع تمييز البيانات الحساسة.
3. اختيار المسار: الملاءمة (غير متاحة عملياً حتى الآن) أو الضمانة المناسبة، مع تحديد ما إذا كانت إحدى الحالات المعفاة تنطبق.
4. توقيع نموذج البنود القياسية المناسب مع كل مورد أو شركة في المجموعة دون تعديل النص.
5. إجراء تقييم المخاطر وحفظه لكل نقل أو لكل مجموعة متشابهة من عمليات النقل.
6. تقليل البيانات: لا ترسل إلا الحقول التي يحتاجها المستلم.
7. تحديث سياسة الخصوصية لتوضيح أن البيانات تُنقل إلى الخارج.
8. المراجعة السنوية وعند صدور قرارات ملاءمة أو أدلة جديدة من سدايا.

وقد تضيف الأنظمة القطاعية متطلبات استضافة فوق النظام، كضوابط الهيئة الوطنية للأمن السيبراني للجهات الحكومية والبنى التحتية الحساسة، وقواعد ساما للمؤسسات المالية الخاضعة لإشرافها، فراجعها على حدة.

أخطاء شائعة في نقل البيانات خارج المملكة

• افتراض أن وثائق النقل المعدة للائحة الأوروبية تغطي البيانات السعودية
• تعديل البنود القياسية لتوافق نموذج المورد
• إغفال وصول الفرق الموجودة خارج المملكة عن بُعد
• عدم حفظ تقييم مخاطر للنقل المستند إلى الضمانات
• اعتبار الحالة المعفاة مبرراً لترك الضمانة
• سياسة خصوصية لا تذكر النقل إلى الخارج

قائمة التحقق لنقل البيانات

• قائمة بكل عمليات النقل: الوجهة والمستلم والبيانات والغرض
• مسار محدد وموثق لكل عملية نقل
• نموذج البنود القياسية الصحيح موقّع دون تعديل
• تقييم مخاطر النقل محفوظ حيث يلزم
• مراجعة مستقلة لنقل البيانات الحساسة
• تقليل البيانات لكل مستلم
• تحديث سياسة الخصوصية وسجل المعالجة
• موعد محدد للمراجعة السنوية

وللصورة الكاملة راجع دليل الامتثال لنظام حماية البيانات الشخصية.

أدلة ذات صلة

هذا الدليل لأغراض إعلامية عامة ولا يُعد استشارة قانونية. تحقق دائماً من النص الرسمي لدى الجهة المختصة قبل اتخاذ أي قرار.