في هذا المقالالعناوين · 4
الملخص التنفيذي
مسودة سدايا لتعديل اللائحة التنفيذية لنظام حماية البيانات الشخصية مفتوحة لإبداء المرئيات على منصة استطلاع لين 5 نوفمبر 2026. المسودة تضيف فقرة للمادة 23: على جهة التحكم تخزين البيانات الشخصية داخل المملكة، مع جواز النقل للخارج حسب النظام. وتلغي شرط الضرر من الإبلاغ خلال 72 ساعة، وتلزم بالتسجيل كل جهة تنقل بيانات شخصية للخارج. ولا شي منها نافذ للحين. ارسم تدفقات بياناتك اللي تطلع برا المملكة الحين، وشارك برأيك قبل ما تقفل النافذة.
سدايا طرحت الجولة الثانية من تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية لإبداء المرئيات. النافذة على منصة استطلاع من 6 أكتوبر إلى 5 نوفمبر 2026.
فيها سطر واحد يغير طريقة تفكير المؤسس السعودي في الاستضافة:
على جهة التحكم تخزين البيانات الشخصية داخل المملكة
هذي الفقرة الثانية المقترحة في المادة 23. هي مسودة، مو نظام. لكن إذا اعتمدت، التخزين المحلي ما يعود شي تطلبه قطاعات معينة والعمل الحكومي بس، ويصير نقطة البداية لكل من يعالج بيانات شخصية في السعودية.
راجعت النص على صفحة المشروع في منصة استطلاع بتاريخ 10 أكتوبر 2026. هذا مو استشارة قانونية، والنص العربي هو الملزم.
وش تقول المسودة بالضبط
الفقرة المقترحة كاملة:
على جهة التحكم تخزين البيانات الشخصية داخل المملكة، ويجوز نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارج المملكة وفقاً لأحكام النظام ولوائحه التنفيذية.
يعني هذا مو منع للاستضافة برا. النقل يبقى ممكن عبر المسارات اللي يعترف فيها النظام حاليا في المادة 29 ولائحة النقل. اللي يتغير هو الأصل. اليوم، شركة ناشئة على منطقة AWS في Frankfurt أو Virginia تسأل: «هل هالنقل مسموح؟». حسب المسودة، السؤال الأول يصير: «ليش هالبيانات مو مخزنة داخل المملكة؟»، ومسار النقل هو اللي لازم يجاوب.
كيف بتقرأ سدايا الجملتين مع بعض عمليا، للحين مو محسوم. القراءة الآمنة: خل النسخة الأساسية داخل المملكة قدر ما تقدر، ووثق مسار نظامي لكل تدفق يطلع برا.
التعديلات الثانية اللي تهمك
الإبلاغ عن التسرب يتوسع. المادة 24 الحالية تلزم بإشعار سدايا خلال 72 ساعة إذا كان من شأن الحادثة الإضرار بالبيانات أو بصاحبها. النص المقترح يبقي الـ72 ساعة ويشيل شرط الضرر. أي تسرب أو تلف أو وصول غير مشروع يصير لازم الإبلاغ عنه بحد ذاته.
جهات أكثر بتسجل. المادة 34 المقترحة تلزم بالتسجيل في السجل الوطني لجهات التحكم عبر منصة سدايا إذا انطبقت أي حالة من هذي:
- إذا كنت جهة عامة.
- إذا كان نشاطك الأساسي معالجة بيانات شخصية.
- إذا تعالج بيانات حساسة، أو بيانات ناقصي أو عديمي الأهلية.
- إذا تنقل بيانات شخصية لخارج المملكة أو تفصح عنها لجهة خارجها.
الحالة الأخيرة هي الأهم للشركات الناشئة. إذا كانت منظومتك ترسل بيانات شخصية لمنطقة سحابية برا، أو لـAPI ذكاء اصطناعي، أو لأداة دعم فني، فأنت بتسجل.
مهلة للرد على سدايا. مادة جديدة (36 مكرر) تعطي الجهات 20 يوم عمل للرد على طلبات سدايا بخصوص تطبيق النظام.
مسار شكوى مباشر لصاحب البيانات. فقرة جديدة في المادة 3 تسمح لصاحب البيانات يشتكي لسدايا إذا جهة التحكم ما تعاملت مع طلبه خلال المدة المحددة.
وش اللي ما تغير للحين
ولا شي في هالمسودة ملزم اليوم. اللائحة الحالية هي المطبقة، بما فيها شرط الضرر في الإبلاغ عن التسرب. والمسودة تنص على النفاذ بعد 60 يوم من نشرها في الجريدة الرسمية، والنص ممكن يتغير بعد الاستطلاع.
وهذي مو مسودة 2025. سدايا طرحت جولة أولى من 27 أبريل إلى 27 مايو 2025 وانتهت. الحالية مشروع مستقل فيه أحكام جديدة، منها فقرة التخزين.
وش أسوي لو كنت مكانك هالشهر
- ارسم كل تدفق يطلع برا المملكة. مو بس قاعدة البيانات الرئيسية: النسخ الاحتياطية، والسجلات، والتحليلات، والإيميل، واستدعاءات نماذج الذكاء الاصطناعي، والـembeddings، وأدوات الدعم. دليلي للمؤسسين عن الاستضافة في السعودية يوضح وين تختبي البيانات عادة.
- وثق المسار النظامي لكل تدفق الحين. حسب النظام الحالي تحتاجه أصلا. وحسب المسودة، هو اللي يبرر عدم التخزين المحلي.
- شيك هل بتلزمك حالات التسجيل. إذا انطبقت عليك وحدة من حالات المادة 34، اعتبر إنك بتسجل وشوف وش تطلب المنصة.
- جرب سيناريو إبلاغ عن تسرب خلال 72 ساعة بدون فلتر الضرر. مين يقرر، ومين يكتب، ومين يرسل.
- شارك برأيك قبل 5 نوفمبر. إذا كان أصل التخزين المحلي بيضر منتجك، منصة استطلاع هي المكان اللي يحسب فيه هالكلام. الملاحظات المحددة والعملية (وش التكلفة، وكيف يكون الاستثناء المعقول) أنفع من الاعتراض العام.
إذا كنت تبيع لجهات تحت إشراف ساما أو هيئة السوق المالية أو لجهات حكومية، فالاتجاه مألوف لك: هالعملاء أصلا يطلبون استضافة سعودية أو موافقة موثقة. المسودة بتقرب باقي السوق من نفس التوقع.
دليل استضافة البيانات والامتثال في السعودية يتابع هالمسودة في الخط الزمني، وبيتحدث لما يقفل الاستطلاع.
أسئلة شائعة
هل مسودة التعديل تمنع استضافة البيانات الشخصية خارج السعودية؟
لا. الفقرة المقترحة في المادة 23 تقول إن على جهة التحكم تخزين البيانات الشخصية داخل المملكة، وفي نفس الفقرة تجيز نقلها أو الإفصاح عنها لجهة خارج المملكة وفق أحكام النظام ولوائحه. يعني التخزين المحلي يصير هو الأصل، والنقل للخارج يبقى ممكن عبر المسارات النظامية الحالية. والمسودة غير نافذة.
متى تصير تعديلات اللائحة التنفيذية نافذة؟
للحين لا. إبداء المرئيات على منصة استطلاع من 6 أكتوبر إلى 5 نوفمبر 2026. والمسودة تنص على النفاذ بعد 60 يوم من نشرها في الجريدة الرسمية. لين ذاك الوقت، اللائحة الحالية هي المطبقة.
وش يتغير في الإبلاغ عن تسرب البيانات حسب المسودة؟
النص الحالي يلزم بإشعار سدايا خلال 72 ساعة إذا كان من شأن الحادثة الإضرار بالبيانات أو بصاحبها. المادة 24 المقترحة تبقي الـ72 ساعة وتشيل شرط الضرر، فيصير الإشعار لازم لأي تسرب أو تلف أو وصول غير مشروع.
هل شركتي بتحتاج تسجل في السجل الوطني لجهات التحكم؟
حسب المادة 34 المقترحة، التسجيل لازم إذا كنت جهة عامة، أو كان نشاطك الأساسي معالجة بيانات شخصية، أو تعالج بيانات حساسة أو بيانات ناقصي أو عديمي الأهلية، أو تنقل بيانات شخصية لخارج المملكة. كثير من منتجات SaaS والذكاء الاصطناعي بتنطبق عليها حالة وحدة على الأقل.