الفرق بين نظام حماية البيانات الشخصية السعودي واللائحة الأوروبية GDPR: ما الذي تحتاجه الشركات الممتثلة أوروبياً؟

فريق الامتثال في WaqiSec · آخر مراجعة: 2026-10-01

جدول المقارنة بين النظام السعودي واللائحة الأوروبية

النطاق: من يشمله كل نظام؟

يسري نظام حماية البيانات الشخصية على كل معالجة تتم في المملكة، وعلى معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة إذا تمت خارجها (المادة 2). ولا يوجد فيه اختبار "الاستهداف" المعروف في اللائحة الأوروبية، فإذا كنت تحتفظ ببيانات أفراد في المملكة فافترض أنك مشمول. أما اللائحة الأوروبية فتسري على المنشآت القائمة في الاتحاد، وعلى غيرها إذا قدمت سلعاً أو خدمات لأفراد فيه أو راقبت سلوكهم.

وبذلك قد تخضع شركة في دبي أو الولايات المتحدة لديها عملاء سعوديون وأوروبيون للنظامين معاً، فتطبق الحكم الأشد في كل مسألة.

الأسس النظامية والموافقة

يعترف النظامان بالموافقة، والعقد، والالتزام النظامي، والمصلحة الحيوية، والمصلحة العامة، والمصلحة المشروعة. وقد أُضيفت المصلحة المشروعة إلى النظام السعودي بتعديلات 2023، بقيود حددتها المادة 16 من اللائحة التنفيذية: ألا تشمل البيانات الحساسة، وألا تُخل بحقوق صاحب البيانات، وأن يُوثَّق التقييم. وفي النظامين يجب أن يكون الرجوع عن الموافقة بسهولة منحها.

وفي التسويق، توجب المادة 29 من اللائحة الحصول على الموافقة قبل التسويق المباشر، وتعريف المرسل بنفسه بوضوح، وإتاحة وسيلة سهلة لإيقاف الرسائل. فلا تنقل ممارسات أوروبية كالاعتماد على "الموافقة الضمنية للعملاء الحاليين" دون التحقق من سريانها في المملكة.

كيف يختلف تعريف البيانات الحساسة؟

تشمل البيانات الحساسة في النظام السعودي: الأصل العرقي أو الإثني، والمعتقد الديني أو الفكري أو السياسي، والبيانات الأمنية والجنائية، وبيانات السمات الحيوية أو الوراثية لغرض تحديد الهوية، والبيانات الصحية، والبيانات الدالة على أن الفرد مجهول الأبوين أو أحدهما. أما الفئات الخاصة في اللائحة الأوروبية فتشمل عضوية النقابات وبيانات الحياة الجنسية أو التوجه الجنسي، ولا ترد في القائمة السعودية، كما تعالج اللائحة الأوروبية البيانات الجنائية في مادة مستقلة. لذا أعد حصر بياناتك الحساسة وفق القائمة السعودية بدلاً من الاعتماد على الحصر الأوروبي.

حقوق أصحاب البيانات ومهل الرد

الحقوق في النظام السعودي أقل عدداً، فلا يوجد حق مستقل في الاعتراض ولا حق في نقل البيانات بالصيغة الأوروبية. والمهلة القصوى أقصر: 30 يوماً وتمديد واحد مدته 30 يوماً، مقابل شهر وتمديد شهرين في اللائحة الأوروبية. ويجوز رفض الطلبات المتكررة دون مبرر أو التي يتطلب تنفيذها جهداً غير عادي. ويشرح دليل حقوق صاحب البيانات الشخصية الإجراء كاملاً.

الإبلاغ عن الاختراقات: المهلة واحدة والشرط مختلف

يحدد النظامان 72 ساعة من العلم بالاختراق، لكن الفرق في عتبة الإبلاغ. فاللائحة الأوروبية تعفي من الإبلاغ إذا كان من المستبعد أن يُحدث الاختراق خطراً، بينما يوجب النظام السعودي إبلاغ سدايا إذا كان الاختراق قد يُلحق ضرراً بالبيانات أو بأصحابها أو يتعارض مع حقوقهم أو مصالحهم، ويوجب إبلاغ الأفراد متى كان قد يضر بهم، لا عند الخطر العالي فقط. فتوقع أن تبلغ أكثر في المملكة. راجع دليل الإبلاغ عن الاختراق خلال 72 ساعة.

النقل الدولي للبيانات

لا تصلح البنود التعاقدية الأوروبية لنقل البيانات من المملكة. فلسدايا بنود تعاقدية قياسية خاصة بها في أربعة نماذج، لا يجوز تعديلها إلا بتعبئة الحقول الفارغة. والبدائل هي القواعد المشتركة الملزمة أو شهادة الاعتماد. ويلزم تقييم موثق لمخاطر النقل عند الاستناد إلى هذه الأدوات، وعند النقل المستمر أو واسع النطاق للبيانات الحساسة. التفاصيل في دليل نقل البيانات الشخصية خارج المملكة.

مسؤول حماية البيانات والسجلات وتقييم الأثر والتسجيل

• مسؤول حماية البيانات: الحالات قريبة من المادة 37 من اللائحة الأوروبية مع فارق واحد: فاللائحة الأوروبية تشمل كل السلطات العامة (عدا المحاكم في عملها القضائي)، بينما تقصر المادة 32 من اللائحة التنفيذية الحالة الأولى على الجهات العامة التي تتضمن خدماتها معالجة واسعة النطاق. أما المراقبة المنتظمة والممنهجة، ومعالجة البيانات الحساسة كنشاط أساسي، فتوجب التعيين في النظامين. راجع دليل مسؤول حماية البيانات الشخصية.
• سجل أنشطة المعالجة: لا استثناء للمنشآت الصغيرة، ويُحفظ السجل نفسه خمس سنوات بعد انتهاء المعالجة.
• تقييم الأثر: تحدد المادة 25 من اللائحة حالاته، ومنها معالجة البيانات الحساسة، والربط بين مجموعات بيانات، والمراقبة المنتظمة لناقصي الأهلية، والتقنيات الناشئة، والقرارات المؤتمتة.
• التسجيل: لا تفرض اللائحة الأوروبية تسجيلاً عاماً، أما في النظام السعودي فتُلزم قواعد السجل الوطني الصادرة عن سدايا فئات من جهات التحكم بالتسجيل في المنصة الوطنية لحوكمة البيانات، وتذكر تعليقات مكاتب المحاماة منها الجهات العامة، والجهات التي نشاطها الرئيس معالجة البيانات الشخصية، ومن يعالج بيانات حساسة. تحقق من المعايير الحالية على المنصة.

العقوبات: أيهما أشد؟

غرامات اللائحة الأوروبية أعلى: حتى 20 مليون يورو أو 4% من الإيرادات السنوية العالمية، أيهما أعلى. أما النظام السعودي فتجيز المادة 36 منه الإنذار أو غرامة لا تزيد على 5 ملايين ريال، ويجوز مضاعفتها عند التكرار. لكنه يضيف مساراً جزائياً لا تعرفه اللائحة الأوروبية: إفشاء البيانات الحساسة أو نشرها بقصد الإضرار بصاحبها أو لتحقيق منفعة شخصية يُعاقب عليه بالسجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على 3 ملايين ريال. والتطبيق قائم فعلاً، إذ نقلت وكالة الأنباء السعودية في 16 يناير 2026 أن لجان سدايا أصدرت 48 قراراً بثبوت مخالفات خلال العام السابق.

قائمة سد الفجوات للشركات الممتثلة للائحة الأوروبية

إذا كنت ممتثلاً للائحة الأوروبية، فهذه أكثر البنود غياباً عادةً:

• نسخة عربية من سياسة الخصوصية تعكس الحقوق في النظام وتذكر سدايا جهةً للشكوى
• إعادة حصر البيانات الحساسة وفق القائمة السعودية
• تعديل إجراء الحقوق إلى مهلة 30 + 30 يوماً
• خفض معايير تقييم الاختراق إلى شرط "قد يُلحق ضرراً"، مع ترتيب الوصول إلى منصة الإبلاغ لدى سدايا
• توقيع بنود سدايا القياسية لكل نقل خارج المملكة وحفظ تقييمات المخاطر
• التحقق من حالة التسجيل في المنصة الوطنية لحوكمة البيانات
• إعادة تقييم الحاجة إلى مسؤول حماية البيانات وفق قواعد سدايا
• حفظ سجل المعالجة خمس سنوات بعد انتهائها
• مراجعة موافقات التسويق وآلية الإيقاف وفق المادة 29 من اللائحة

أدلة ذات صلة

هذا الدليل لأغراض إعلامية عامة ولا يُعد استشارة قانونية. تحقق دائماً من النص الرسمي لدى الجهة المختصة قبل اتخاذ أي قرار.