عقوبات نظام حماية البيانات الشخصية وقرارات سدايا: الغرامات والعقوبات الجزائية وما تكشفه قرارات 2026

فريق الامتثال في WaqiSec · آخر مراجعة: 2026-10-14

عقوبات نظام حماية البيانات الشخصية في لمحة

لم نتمكن من الاطلاع على النص الموحد بعد التعديل في موقع هيئة الخبراء، لذا تتبع أرقام المواد أعلاه نص النظام كما نُشر مادة مادة، وإعلانات سدايا في 2026 التي تستند إلى المادة 36. راجع النص الرسمي قبل الاعتماد على رقم مادة بعينه في أي نزاع.

الغرامات الإدارية وفق المادة 36

المادة 36 هي الأهم لأغلب الشركات. فأي مخالفة للنظام أو لائحته التنفيذية، عدا الجريمة الواردة في المادة 35، قد تُعاقب بالإنذار أو بغرامة لا تزيد على خمسة ملايين ريال، وتجوز مضاعفة الغرامة عند تكرار المخالفة.

ويُطبق الحد الأقصى على كل مخالفة على حدة، فالشركة التي تسوّق دون موافقة، وليس لديها إجراء للتسرب، وتتجاهل طلبات أصحاب البيانات، قد تواجه قراراً مستقلاً عن كل مخالفة.

الجريمة الوحيدة وفق المادة 35

بعد تعديل النظام لم يبق إلا فعل واحد يُعد جريمة: الإفصاح عن البيانات الحساسة أو نشرها خلافاً لأحكام النظام بقصد الإضرار بصاحب البيانات أو تحقيق منفعة شخصية. والعقوبة السجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على ثلاثة ملايين ريال. وتتولى النيابة العامة التحقيق والادعاء، وتنظر المحكمة المختصة الدعوى، ولها مضاعفة الغرامة عند العود.

وكان النظام الأصلي الصادر في 2021 يجرّم كذلك نقل البيانات إلى خارج المملكة خلافاً للنظام بعقوبة تصل إلى سنة ومليون ريال، لكن تعديلات 2023 ألغت هذه الجريمة (بحسب Clyde & Co والتميمي ومشاركوه)، وما زالت ملخصات كثيرة على الإنترنت تذكرها.

المصادرة والنشر والتعويض

• المادة 37 تنظم عمل موظفي الضبط، وتجيز حجز الوسائل أو الأدوات المستخدمة في المخالفة إلى حين صدور القرار.
• المادة 38 تجيز للمحكمة مصادرة الأموال المتحصلة من المخالفة، ونشر ملخص الحكم أو القرار النهائي على نفقة المخالف.
• المادة 40 تمنح كل متضرر حق المطالبة أمام المحكمة المختصة بالتعويض عن الضرر المادي أو المعنوي.

كيف تعمل لجان النظر في المخالفات؟

1. تصل الشكوى عبر منصة حوكمة البيانات الوطنية، أو ترصد سدايا المخالفة بنفسها.
2. تبلّغ سدايا الجهة، ولديها 5 أيام للرد وفق قواعد اللجان.
3. تنظر اللجنة، المكونة من 3 أعضاء على الأقل بينهم مختص تقني ومستشار نظامي، في الملف، ولها استدعاء الأطراف وطلب المعلومات وتعيين الخبراء، ويجوز عقد الجلسات افتراضياً.
4. يُبلَّغ القرار خلال 15 يوماً.
5. يحق للجهة التظلم أمام المحكمة المختصة خلال 60 يوماً من التبليغ.

وتستند مدد 5 و15 و60 يوماً إلى مراجعة مكتب Clyde & Co لقواعد اللجان في مارس 2026. ومهلة الأيام الخمسة قصيرة، ولهذا تكون جاهزية الوثائق أهم من صياغة الدفاع لاحقاً.

ما تكشفه قرارات 2025 و2026

وتظهر ثلاثة أنماط: أولها أن كل العقوبات المعلنة حتى الآن إدارية ولم يُعلن عن أي حكم بالسجن، وثانيها أن سدايا لم تنشر الأسماء ولا المبالغ، وثالثها أن المخالفات أساسية: إجراءات غائبة، ومسؤول حماية غير معيّن، وموافقة غير موجودة، لا إخفاقات تقنية معقدة. وكل منها يقابله مستند يمكن تجهيزه مسبقاً: إجراء الإبلاغ عن التسرب، وإجراء حقوق أصحاب البيانات، وقرار موثق بشأن مسؤول الحماية، وآلية للموافقة التسويقية.

نموذج التحقق من الامتثال

بدأت سدايا في يوليو 2026 ترسل نموذج التحقق من الامتثال إلى جهات التحكم المسجلة، ويطلب أدلة على الحوكمة والأسس النظامية للمعالجة والأطراف الأخرى والاحتفاظ والإتلاف وحقوق أصحاب البيانات والنقل خارج المملكة والاستجابة للحوادث ومسؤول حماية البيانات (بحسب Clyde & Co). ولم تُعلن مهلة أو قناة للتقديم. راجع دليلنا عن التسجيل في منصة حوكمة البيانات الوطنية لتعرف هل جهتك ضمن القائمة.

ما تضيفه مسودة أكتوبر 2026

لا تغيّر مسودة تعديلات اللائحة التنفيذية، المطروحة للمرئيات حتى 5 نوفمبر 2026، مبالغ الغرامات الواردة في النظام. لكنها تقترح مادة جديدة (36 مكرر) تلزم الجهات بالرد على طلبات سدايا خلال 20 يوم عمل، وإبلاغ سدايا بكل تسرب خلال 72 ساعة، واعتبار طلب صاحب البيانات الذي لا يُرد عليه خلال 30 يوماً مرفوضاً بما يتيح له الشكوى، وتحديد 90 يوماً لتقديم الشكاوى (بحسب Clyde & Co). وتبقى هذه مقترحات حتى اعتمادها.

كيف تقلل مخاطر العقوبات؟

1. احصر بياناتك الشخصية في سجل أنشطة المعالجة.
2. انشر سياسة خصوصية متوافقة مع النظام.
3. اعتمد إجراءً للتعامل مع التسرب يتضمن إبلاغ سدايا خلال 72 ساعة، واختبره.
4. اعتمد إجراءً لحقوق أصحاب البيانات بمهلة رد 30 يوماً.
5. قرر كتابياً هل يلزمك تعيين مسؤول حماية البيانات.
6. أوقف أي تسويق لا تملك عليه موافقة موثقة.
7. اجمع الأدلة في ملف واحد لترد على سدايا خلال أيام.

قائمة الجاهزية لتطبيق النظام

• نعرف أي أنشطتنا قد تؤدي إلى مخالفات وفق المادة 36.
• لا يستطيع أحد في الشركة الإفصاح عن البيانات الحساسة دون صلاحية وتسجيل.
• إجراء التسرب لدينا يلبي مهلة الإبلاغ خلال 72 ساعة.
• تُسجَّل طلبات أصحاب البيانات ويُرد عليها خلال 30 يوماً.
• قرارنا بشأن مسؤول حماية البيانات موثق.
• لدينا موافقة تسويقية موثقة لكل جهة اتصال نراسلها.
• نستطيع إرسال وثائقنا الأساسية إلى سدايا خلال 5 أيام.

أدلة ذات صلة

هذا الدليل لأغراض إعلامية عامة ولا يُعد استشارة قانونية. تحقق دائماً من النص الرسمي لدى الجهة المختصة قبل اتخاذ أي قرار.