دخل نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية حيّز التنفيذ الكامل بتاريخ ١٤ سبتمبر ٢٠٢٤. وكانت السنة التي تلت هذا التاريخ أول اختبار حقيقي لما يعنيه النظام على أرض الواقع — لا في نصوصه، بل في قرارات هيئة البيانات والذكاء الاصطناعي (SDAIA).
أصدرت لجان التحقيق بالهيئة في عام ٢٠٢٥ ما مجموعه ٤٨ قرارًا بإثبات مخالفات. لم يُلخّص أي مزوّد SaaS شكل هذه القرارات علنًا حتى اليوم. في هذا المقال، نحاول أن نفعل ذلك — ونستخلص خمسة أنماط ينبغي لفريق المشتريات لدى أي جهة سعودية أن يتوقعها عند تقييم أي عقد مع مزوّد برمجي.
ماذا يشترط نظام PDPL فعليًا
يعكس النظام أغلب محاور GDPR الأوروبي — الأساس النظامي للمعالجة، حقوق أصحاب البيانات، الإبلاغ عن الاختراقات، ضوابط النقل عبر الحدود — مع ثلاثة ملامح خاصة بالسعودية: التسجيل لدى SDAIA لفئات محددة من جهات المعالجة، ولغة موافقة صريحة تطابق الأعراف العربية في النماذج، وتوجّهٌ لصالح تخزين البيانات الحساسة داخل المملكة.
خمسة أنماط تفرضها SDAIA بوضوح
- لغة موافقة لا تطابق المعالجة الفعلية. إذا جمع النموذج الفئة س وأشارت لغة الموافقة إلى الفئة ص، فتعاملها الهيئة كغياب للموافقة.
- النقل عبر الحدود دون إفصاح. جهات المعالجة في الولايات المتحدة أو أيرلندا مقبولة — ولكن غير المُفصح عنها ليست كذلك.
- التأخّر في الإبلاغ عن الاختراقات. تُطبَّق مهلة الاثنتين وسبعين ساعة بصرامة.
- قنوات حقوق أصحاب البيانات غير العاملة. وعدٌ في سياسة الخصوصية بتصدير البيانات أو حذفها لا يقابله زر فعلي في المنتج — هو الملاحظة الأكثر تكرارًا في ٢٠٢٥.
- غياب اتفاقية معالجة البيانات (DPA). المزوّد يمتلكها، لكن العميل السعودي لم يحصل على نسخة موقّعة. تُستدعى الجهتان معًا.
ثلاثة أنماط لم تُفرض حتى الآن
من الأمانة قول ذلك. حتى الربع الأول من ٢٠٢٦، لم تتحرّك SDAIA ضدّ منصات SaaS المستضافة في سنغافورة حصرًا وتخدم عملاء سعوديين، ولا ضدّ فترات الاحتفاظ بالبيانات المبالغ فيها، ولا ضدّ تغيير جهات المعالجة الثانوية بإشعار بريدي بدل تعديل تعاقدي. قد يتغيّر هذا — يُتيحه النظام — لكن لا توجد سابقة منشورة حتى الآن.
ماذا يعني هذا لاتفاقية DPA لدى أي مزوّد SaaS
صار المشترون يقرؤون اتفاقيات معالجة البيانات بنفس الجديّة التي كانوا يقرؤون بها بنود التعويض سابقًا. إن لم تتضمّن اتفاقيتك (أ) إشارة إلى مواد نظام PDPL بالرقم، و(ب) قائمة بجهات المعالجة الثانوية، و(ج) تعهّدًا بالإبلاغ خلال ٧٢ ساعة، و(د) آلية واضحة لممارسة حقوق أصحاب البيانات — فهي أضعف ماديًّا من الاتفاقيات التي تقارن بها فرق المشتريات اليوم.
قائمة تحقّق — ما يجب سؤاله لكل مزوّد
- هل تُشير اتفاقيتك إلى نظام PDPL بأرقام المواد؟
- أين تُخزَّن بيانات الإنتاج اليوم، ومتى سيتغيّر ذلك؟
- من هي جهات المعالجة الثانوية، وكيف يُبلَّغ عن تغيّرها؟
- ما نافذة الإبلاغ عن الاختراق، ومن أيّ حدث تبدأ؟
- كيف يُتاح حق الوصول أو المحو — عبر API، لوحة تحكم، أم طلب بريدي؟
إجابات مزوّد مدرك لنظام PDPL على هذه الأسئلة الخمسة ستبدو متشابهة بشكل لافت. أمّا إجابات مزوّد غير مدرك، فستتضمّن “سنعاود التواصل” كثيرًا.