حقوق صاحب البيانات الشخصية: إجراء عملي للرد على طلبات الوصول والتصحيح والإتلاف خلال 30 يوماً
يمنح نظام حماية البيانات الشخصية صاحب البيانات الحق في العلم، والوصول إلى بياناته والحصول على نسخة منها، وطلب تصحيحها، وطلب إتلافها، والرجوع عن موافقته. وتوجب المادة 3 من اللائحة التنفيذية على جهة التحكم تنفيذ الطلب خلال مدة لا تتجاوز 30 يوماً، ويجوز تمديدها مرة واحدة بما لا يزيد على 30 يوماً أخرى مع إشعار صاحب البيانات مسبقاً، إذا تطلب التنفيذ جهداً غير متوقع أو تعددت الطلبات. وعلى جهة التحكم التحقق من هوية مقدم الطلب وتوثيق جميع الطلبات، بما فيها الشفهية.
| الحقوق في النظام | المادة 4 (العلم، الوصول، الحصول على نسخة، التصحيح، الإتلاف) والمادة 5 (الرجوع عن الموافقة) |
|---|---|
| الأحكام التفصيلية | المواد 3 إلى 8 و12 من اللائحة التنفيذية |
| المهلة | دون تأخير، خلال 30 يوماً |
| التمديد | حتى 30 يوماً إضافية مع إشعار مسبق، عند الجهد غير المتوقع أو تعدد الطلبات |
| الرفض | جائز للطلبات المتكررة دون مبرر أو التي يتطلب تنفيذها جهداً غير عادي، مع بيان الأسباب |
| التحقق من الهوية | واجب قبل تنفيذ الطلب |
| التوثيق | توثيق جميع الطلبات، بما فيها الطلبات الشفهية |
| الولي | يمارس حقوق القاصر وناقص الأهلية (المادتان 3 و13 من اللائحة) |
| الشكوى | إلى سدايا خلال 90 يوماً من تاريخ الحادثة (المادة 37 من اللائحة) |
ما حقوق صاحب البيانات الشخصية في النظام؟
تنص المادة 4 من النظام على خمسة حقوق، وتضيف المادة 5 حق الرجوع عن الموافقة، ثم تفصّل اللائحة التنفيذية طريقة ممارسة كل حق.
| الحق | السند | ما يجب على جهة التحكم |
|---|---|---|
| العلم | النظام م4 · اللائحة م4 | إبلاغ صاحب البيانات قبل الجمع أو عنده بهوية الجهة، ووسيلة التواصل مع مسؤول حماية البيانات، والغرض، ومدة الاحتفاظ، وطريقة ممارسة الحقوق، وهذا مضمون سياسة الخصوصية. |
| الوصول | النظام م4 · اللائحة م5 | تمكينه من الاطلاع على بياناته، دون إخلال بحقوق الغير كحقوق الملكية الفكرية. |
| الحصول على نسخة | النظام م4 · اللائحة م6 | تقديم نسخة بصيغة مقروءة وواضحة، وعادةً بصيغة إلكترونية شائعة، ونسخة مطبوعة متى أمكن. |
| التصحيح | النظام م4 · اللائحة م7 | تصحيح البيانات أو إكمالها أو تحديثها، وتقييد المعالجة أثناء التحقق من دقتها، وإشعار من سبق الإفصاح لهم. |
| الإتلاف | النظام م4 · اللائحة م8 | إتلاف البيانات التي انتفت الحاجة إليها، أو التي كانت الموافقة سندها الوحيد ثم سُحبت، أو التي عولجت بالمخالفة للنظام، مع إشعار المستلمين وإتلاف جميع النسخ. |
| الرجوع عن الموافقة | النظام م5 · اللائحة م12 | تكون إجراءات الرجوع مماثلة لإجراءات الحصول على الموافقة أو أسهل منها، وتتوقف المعالجة المبنية عليها دون أن يؤثر ذلك في مشروعية ما سبق. |
ما مهلة الرد على طلب صاحب البيانات؟
تحدد المادة 3 من اللائحة التنفيذية المهلة كما يلي:
- 30 يوماً لتنفيذ الطلب.
- تمديد واحد لا يتجاوز 30 يوماً إذا تطلب التنفيذ جهداً إضافياً غير متوقع أو غير عادي، أو تعددت الطلبات من صاحب البيانات نفسه، بشرط إشعار صاحب البيانات قبل انقضاء المهلة الأولى.
لا تحدد اللائحة نوع الأيام، والأحوط احتسابها أياماً متصلة من تاريخ الاستلام. وإذا وصل الطلب عبر قناة لا يتابعها أحد، كرسالة واتساب لمندوب مبيعات، فالمهلة تسري مع ذلك؛ ولهذا يجب أن يعرف كل فريق يتعامل مع العملاء إلى أين يحيل هذه الطلبات.
ولا تحدد اللائحة رسوماً لتنفيذ الطلبات، والأسلم أن تُنفَّذ دون مقابل.
هل يجوز رفض طلب صاحب البيانات أو تقييده؟
نعم، في حالات محدودة. تجيز المادة 3 لجهة التحكم رفض الطلبات المتكررة دون مبرر أو التي يتطلب تنفيذها جهداً غير عادي، مع إشعار صاحب البيانات بالأسباب. وثمة قيود أخرى نابعة من طبيعة الحقوق:
- لا يجوز أن يمس الوصول حقوق الغير، كبيانات عميل آخر أو حقوق الملكية الفكرية للمنشأة.
- لا يُسقط طلب الإتلاف التزاماً نظامياً بالاحتفاظ، كالسجلات المالية أو العمالية. وثّق السبب والتاريخ الذي ستُتلف فيه البيانات.
اجعل كل رفض مكتوباً، فإذا اشتكى صاحب البيانات إلى سدايا كان ملفك هو دليلك.
إجراء التعامل مع طلبات أصحاب البيانات خطوة بخطوة
- اليوم 0 · التسجيل: سجّل التاريخ والقناة ومقدم الطلب والحق المطلوب. الطلب الشفهي طلب معتبر ويجب توثيقه.
- الأيام 0–3 · التحقق من الهوية: اطلب إثباتاً متناسباً؛ فمطابقة البريد أو الجوال المسجل تكفي غالباً، ولا تطلب الهوية إلا إذا كانت البيانات حساسة. ولا تجمع بيانات تزيد على حاجة التحقق.
- الأيام 1–10 · البحث: يراجع مسؤول الطلب جميع الأنظمة المدرجة في سجل أنشطة المعالجة، بما فيها أنظمة جهات المعالجة.
- اليوم 20 · قرار التمديد: إن تعذر الإنجاز، أرسل إشعار التمديد الآن مع التاريخ الجديد، على ألا يتجاوز 30 يوماً إضافية.
- قبل اليوم 30 · الرد: قدّم النسخة، أو أكّد التصحيح أو الإتلاف، أو أرسل رفضاً مسبباً.
- في اليوم نفسه · إشعار المستلمين: في حالتي التصحيح والإتلاف، أشعر الجهات التي أُفصح لها عن البيانات.
- إغلاق الملف: احفظ الطلب والأدلة والرد في سجل الطلبات.
جهّز خمسة نماذج بالعربية والإنجليزية: إشعار الاستلام، وطلب إثبات الهوية، وإشعار التمديد، والرد، والرفض المسبب. فمعظم حالات تجاوز المهلة سببها صياغة كل رد من الصفر.
الولي وجهات المعالجة وبيانات الغير
- الولي: وفق المادتين 3 و13 من اللائحة، يجوز للولي الشرعي على القاصر أو ناقص الأهلية ممارسة حقوقه بما يحقق مصلحته، مع التحقق من صفة الولاية.
- جهات المعالجة: يصلك الطلب، لكن البيانات قد تكون لدى مزود الرواتب أو نظام إدارة العملاء. ينبغي أن تُلزم اتفاقيات المعالجة هذه الجهات بمساعدتك خلال مدة محددة، كخمسة أيام عمل.
- بيانات الغير: احجب البيانات الشخصية لغير مقدم الطلب من النسخ، كأسماء الزملاء في سلسلة رسائل.
ما لا يتضمنه النظام مقارنة باللائحة الأوروبية
كثير من الشركات المعتادة على اللائحة الأوروبية GDPR تبني أكثر أو أقل من المطلوب. فلم نجد في النظام السعودي حقاً عاماً في الاعتراض على المعالجة، ولا حقاً في نقل البيانات بالصيغة الأوروبية؛ وأقرب ما يقابله الحق في الحصول على نسخة بصيغة إلكترونية شائعة. وتختلف المهلة أيضاً: 30 يوماً قابلة للتمديد 30 يوماً في النظام، مقابل شهر قابل للتمديد حتى شهرين في اللائحة الأوروبية. ويغطي دليل المقارنة بين النظام وGDPR بقية الفروق.
الشكوى إلى سدايا
يحق لصاحب البيانات تقديم شكوى إلى سدايا إذا لم يرضَ عن طريقة التعامل مع بياناته. وتحدد المادة 37 من اللائحة مهلة 90 يوماً من تاريخ الحادثة، ويجوز للجهة المختصة قبول الشكوى بعدها إذا وُجد عذر مقبول. وقد تؤدي المخالفات إلى الإنذار أو غرامة تصل إلى 5 ملايين ريال تُضاعَف عند التكرار. وفي 16 يناير 2026 نقلت وكالة الأنباء السعودية أن لجان سدايا أصدرت 48 قراراً بثبوت مخالفات للنظام خلال العام السابق، فالتطبيق قائم فعلاً.
قائمة الجاهزية لطلبات أصحاب البيانات
- إجراء مكتوب معتمد من الإدارة مع مسؤول محدد
- قنوات تقديم الطلبات منشورة في سياسة الخصوصية (بريد أو نموذج أو تطبيق)
- سجل طلبات يشمل الطلبات الشفهية والمكتوبة
- خطوات متناسبة للتحقق من الهوية
- متابعة لمهلة 30 يوماً مع تنبيه في اليوم 20 لقرار التمديد
- نماذج ردود بالعربية والإنجليزية لكل حالة
- عقود جهات المعالجة تتضمن مدة محددة للمساعدة
- قواعد لحجب بيانات الغير وللالتزامات النظامية بالاحتفاظ
- الرجوع عن الموافقة بسهولة الحصول عليها
- اختبار سنوي بطلب تجريبي من البداية إلى النهاية
الأسئلة الشائعة
ما مهلة الرد على طلب صاحب البيانات الشخصية في السعودية؟
30 يوماً. ووفق المادة 3 من اللائحة التنفيذية يجوز تمديدها بما لا يزيد على 30 يوماً أخرى إذا تطلب التنفيذ جهداً إضافياً غير متوقع أو غير عادي، أو تعددت الطلبات من صاحب البيانات نفسه، بشرط إشعار صاحب البيانات مسبقاً.
ما حقوق صاحب البيانات في نظام حماية البيانات الشخصية؟
الحق في العلم، والوصول إلى بياناته، والحصول على نسخة منها بصيغة مقروءة وواضحة، وطلب تصحيحها، وطلب إتلاف ما انتفت الحاجة إليه، والرجوع عن الموافقة.
هل يجوز تحصيل رسوم مقابل طلب الوصول إلى البيانات؟
لا تحدد اللائحة التنفيذية رسوماً لطلبات أصحاب البيانات، والأسلم تنفيذها دون مقابل.
هل يجوز رفض طلب صاحب البيانات؟
نعم، إذا كان الطلب متكرراً دون مبرر أو يتطلب تنفيذه جهداً غير عادي، مع إشعار صاحب البيانات بالأسباب. كما لا يجوز أن يمس الوصول حقوق الغير.
هل يتضمن النظام السعودي حقاً في نقل البيانات كاللائحة الأوروبية؟
لا يوجد حق مستقل في نقل البيانات كما في اللائحة الأوروبية، وأقرب ما يقابله الحق في الحصول على نسخة من البيانات بصيغة إلكترونية شائعة ومقروءة.
ما المهلة المتاحة لتقديم شكوى إلى سدايا؟
تتيح المادة 37 من اللائحة التنفيذية تقديم الشكوى خلال 90 يوماً من تاريخ الحادثة، ويجوز قبولها بعد ذلك إذا وُجد عذر مقبول.
أدلة ذات صلة
المصادر
- أم القرى — اللائحة التنفيذية لنظام حماية البيانات الشخصية (المواد 3–13 و37)
- المنصة الوطنية لحوكمة البيانات — اللائحة التنفيذية
- المنصة الوطنية لحوكمة البيانات — نظام حماية البيانات الشخصية (المادتان 4 و5)
- Akin — PDPL and Implementing Regulations: key obligations
- Addleshaw Goddard — Impact of the Regulations on the Saudi PDPL
- CMS — Data protection and cybersecurity laws in Saudi Arabia
- وكالة الأنباء السعودية — قرارات لجان سدايا (يناير 2026)
هذا الدليل لأغراض إعلامية عامة ولا يُعد استشارة قانونية. تحقق دائماً من النص الرسمي لدى الجهة المختصة قبل اتخاذ أي قرار.