قوانين حماية البيانات في دول الخليج جنبًا إلى جنب: عُمان والسعودية والإمارات والبحرين وقطر والكويت

خمس من دول الخليج الست لديها اليوم قانون عام لحماية البيانات الشخصية: عُمان والسعودية والإمارات والبحرين وقطر. أما الكويت فتنظّم البيانات الشخصية أساسًا عبر لائحة صادرة عن جهة تنظيم الاتصالات فيها. وتتفق هذه القوانين في الأساسيات: الموافقة في المركز، وحقوق للأفراد، وإبلاغ عن الاختراقات، وضوابط على إرسال البيانات إلى الخارج.

لكنها تختلف في المواضع التي تغيّر طريقة بناء الأنظمة. فقانونا عُمان والسعودية يصلان إلى شركات خارج حدودهما. وقانون الإمارات الاتحادي نافذ، لكن لائحته التنفيذية لم تكن قد صدرت حتى تاريخ كتابة هذا المقال. والسعودية والبحرين تجيزان المعالجة استنادًا إلى «المصلحة المشروعة»، وعُمان لا تجيزها. ولكل دولة مهلتها في الإبلاغ عن الاختراق وقواعدها في النقل.

فإن كنت تعمل في أكثر من دولة خليجية، أو تبيع لإحداها من دولة أخرى، فأنت خاضع فعلًا لأكثر من قانون من هذه القوانين.

المقارنة في لمحة

	عُمان	السعودية	الإمارات (الاتحادي)	البحرين	قطر	الكويت
الأداة	المرسوم السلطاني 6/2022، المعدّل بالمرسوم 68/2026	نظام حماية البيانات الشخصية، المرسوم الملكي م/19 لعام 2021، المعدّل في 2023	المرسوم بقانون اتحادي 45/2021	القانون 30/2018	القانون 13/2016	قرار هيئة الاتصالات (CITRA) رقم 26/2024 (لائحة لا قانون)
نافذ منذ	فبراير 2023؛ التعديلات منذ 7 سبتمبر 2026	14 سبتمبر 2023؛ والمهلة حتى 14 سبتمبر 2024	2 يناير 2022؛ اللائحة التنفيذية لم تصدر	1 أغسطس 2019	صدر في نوفمبر 2016	القرار صدر في 2024
الجهة المنظِّمة	وزارة النقل والاتصالات وتقنية المعلومات	الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)	مكتب الإمارات للبيانات؛ انظر الملاحظة أدناه	هيئة حماية البيانات الشخصية، وتتولى وزارة العدل مهامها	الوكالة الوطنية للأمن السيبراني	هيئة تنظيم الاتصالات وتقنية المعلومات
يصل إلى شركات في الخارج؟	نعم — بيانات الأشخاص في عُمان، سواء عولجت داخلها أم خارجها	نعم — بيانات المقيمين في المملكة	نعم — بيانات الأشخاص في الإمارات	أساسًا المعالجة داخل البحرين	ليس سمة حاسمة فيه	المرخّص لهم فقط
المعالجة دون موافقة	أربع حالات محددة؛ لا «مصلحة مشروعة»	حالات محددة منها المصلحة المشروعة (لا للبيانات الحساسة)	حالات محددة؛ لا «مصلحة مشروعة»	حالات محددة منها المصلحة المشروعة	«غرض مشروع» وحالات محددة	قائمة على الموافقة
الإبلاغ عن الاختراق للجهة المنظِّمة	72 ساعة متى هُدّدت الحقوق	72 ساعة متى كان الضرر مرجحًا	«فور العلم»، والمهلة متروكة للائحة	72 ساعة	72 ساعة بموجب إرشادات الجهة المنظِّمة متى كان الضرر مرجحًا	مهلة قصيرة؛ راجع النص الساري
أثقل عقوبة	100,000 – 500,000 ريال عماني للنقل غير المشروع إلى الخارج	حتى 5 ملايين ريال سعودي، تُضاعف عند التكرار؛ والسجن لإفشاء البيانات الحساسة	يحددها قرار من مجلس الوزراء لم يصدر	السجن حتى سنة وغرامة من 1,000 إلى 20,000 دينار بحريني	حتى 5 ملايين ريال قطري	بموجب قانون الهيئة: السجن حتى 5 سنوات و/أو 20,000 دينار كويتي

ملاحظة الإمارات: أُعلن في يونيو 2026 عن هيئة اتحادية جديدة للذكاء الاصطناعي والبيانات، ويُذكر أنها ستضم مكتب الإمارات للبيانات. كما يدير كل من مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) نظامًا مستقلًا خاصًا به، وكلاهما مشروح في أنظمة حماية البيانات الثلاثة في الإمارات.

واقرأ الجدول خريطةً لا قائمةَ امتثال؛ فكل خانة فيه تختصر مادة ولائحة، وأحيانًا إرشادات جهة منظِّمة، في بضع كلمات.

ما تشترك فيه كل القوانين

مساحة الاتفاق واسعة بما يكفي للبناء عليها.

الموافقة هي الأصل. كل نظام يبدأ من موافقة صاحب البيانات ثم يعدّد الحالات التي تجوز فيها المعالجة دونها. بعض القوائم أطول من بعض، لكن لا أحد من هذه القوانين يعامل الموافقة كورقة شكلية.

للأفراد حقوق عليك أن تقدر على تلبيتها. الاطلاع والتصحيح والحذف والاعتراض حاضرة في كل مكان بصورة أو بأخرى. وقدرتك على الرد على طلب ما تتوقف على معرفة أنظمتك بمكان بيانات كل شخص، فالمسألة هندسية قبل أن تكون قانونية.

الاختراقات يُبلَّغ عنها بسرعة. حيث حُددت مهلة، فهي 72 ساعة أو أقل. وهذه مدة لا تكفي لاكتشاف الحادثة والتحقيق فيها وكتابة الإخطار، ما لم يكن تسجيل الأحداث ومسار التصعيد موجودين سلفًا.

إرسال البيانات إلى الخارج مضبوط. لا يحظر أي قانون خليجي النقل حظرًا مطلقًا، ولا يتركه أي منها بلا شروط. والشروط مختلفة، وهناك يكمن معظم عمل التصميم.

البيانات الحساسة لها وزن إضافي. البيانات الصحية والحيوية والوراثية والسوابق الجنائية تستدعي تصاريح أو موافقات مسبقة أو شروطًا أشد في معظم هذه القوانين.

أين تختلف بطريقة تغيّر أنظمتك

الامتداد: أي قانون يرافق بياناتك

تطبّق المادة 2 المعدّلة في القانون العُماني أحكامه على البيانات الشخصية للأشخاص الطبيعيين في عُمان، سواء تمت المعالجة داخل السلطنة أم خارجها. ويشمل النظام السعودي معالجة البيانات الشخصية للمقيمين في المملكة من جهات خارجها. ويشمل القانون الإماراتي الاتحادي المتحكمين والمعالجين خارج الإمارات الذين يعالجون بيانات أشخاص داخلها.

والنتيجة مباشرة لشركة في مسقط تبيع في الرياض أو دبي: أنظمتها في عُمان تخضع للقانون السعودي أو الإماراتي فيما يخص سجلات أولئك العملاء. وقد فتحت سدايا في أكتوبر 2026 باب التسجيل أمام المتحكمين من خارج المملكة، فسقطت الذريعة العملية بأنه لا سبيل إلى التسجيل. ويتناول ذلك بالتفصيل مقال ما الذي يتطلبه النظام السعودي من شركة خارج المملكة.

الأساس النظامي: المصلحة المشروعة موجودة في بعض القوانين دون غيرها

تجيز تعديلات 2023 في السعودية المعالجة دون موافقة إذا كانت للمتحكم مصلحة مشروعة، بشرط ألا تمس حقوق صاحب البيانات وألا تكون البيانات حساسة. وتعترف البحرين كذلك بالمصالح المشروعة.

أما عُمان فلا. فبعد تعديلات سبتمبر 2026، لا تجوز المعالجة دون موافقة صريحة إلا في أربع حالات محددة: التزام قانوني، أو بيانات متاحة للجمهور، أو مصلحة حيوية مع تعذّر الاتصال بالشخص، أو عقد يتضمن ما يفيد أن المعالجة تتم وفق القانون. وكذلك يخلو القانون الإماراتي الاتحادي من أساس عام للمصلحة المشروعة.

فالنظام المصمم حول خانة واحدة اسمها «مصلحة مشروعة» سيكون خاطئًا في عُمان والإمارات. اجعل الموافقة هي الأصل، وسجّل لكل غرض الاستثناء الذي تستند إليه في كل دولة.

النقل: خمس آليات مختلفة

• عُمان: موافقة صريحة من صاحب البيانات قبل النقل، ما لم تنطبق اتفاقية دولية أو تكن البيانات مجهولة الهوية. وعليك أيضًا التأكد من أن الجهة المستقبِلة توفر حماية لا تقل عن الحماية العُمانية، والاحتفاظ بتقييم مكتوب يجوز للوزارة طلبه. والنقل غير المشروع يحمل أثقل غرامة في القانون.
• السعودية: النقل إلى دول توفر مستوى حماية ملائمًا، أو بضمانات مناسبة، مع استثناءات محدودة. وتوجد مسودة تعديل مطروحة للاستطلاع حتى 5 نوفمبر 2026 تجعل حفظ البيانات داخل المملكة هو الأصل، وهي ليست نافذة بعد.
• الإمارات (الاتحادي): النقل إلى دول توفر حماية كافية، مع استثناءات كالموافقة الصريحة وتنفيذ العقد. وكثير من التفاصيل ينتظر اللائحة التي لم تصدر.
• البحرين: النقل إلى الدول المدرجة في قائمة الهيئة المعتمدة، أو بإذن خاص لكل حالة، أو باستثناء محدد.
• قطر: يتجه القانون إلى عدم تقييد تدفق البيانات عبر الحدود دون داعٍ، فيجيز النقل لغرض مشروع أو بالموافقة، وفق شروطه.

فإن كانت أنظمتك تنسخ البيانات بين الدول — نظام عملاء مشترك، أو نظام موارد مؤسسة للمجموعة، أو مستودع بيانات مركزي — فكل سهم في ذلك المخطط يحتاج سندًا بموجب قانون الدولة التي تغادرها البيانات. ويتناول مقال أين يُسمح لبيانات شركتك أن تُخزَّن الجانب العُماني بعمق.

البيانات الحساسة: تصاريح أم شروط

تشترط عُمان تصريحًا من الوزارة لمعالجة الفئات الحساسة، ومنذ سبتمبر 2026 يوجد استثناء لبيانات العاملين المعالجة في إطار تنظيم العمل الداخلي ولكاميرات المراقبة. وتشترط قطر إذنًا وشروطًا إضافية لبياناتها ذات الطبيعة الخاصة. وتشترط البحرين موافقة مسبقة على المعالجة الحيوية والوراثية وغيرها. أما السعودية فلا تدير نظام تصاريح عامًا، لكنها تستثني البيانات الحساسة من مسار المصلحة المشروعة، وتربط عقوبة السجن الوحيدة لديها بالإفصاح غير المشروع عن البيانات الحساسة.

التسجيل والأوراق

تُلزم السعودية فئات من المتحكمين بالتسجيل في المنصة الوطنية لحوكمة البيانات لدى سدايا. وتُلزم البحرين بإخطار الهيئة وبموافقة مسبقة على بعض المعالجات. وتشترط عُمان تصريحًا للبيانات الحساسة، وسجلًا لأنشطة المعالجة، وسياسة منشورة لحماية البيانات، وتحديد مسؤول لحمايتها. الأوراق مختلفة، لكن الأساس واحد: حصر مُحدَّث لما تحتفظ به، ولماذا، وأين، وإلى متى.

نضج التطبيق

انتهت مهلة السعودية في سبتمبر 2024، وكان نظامها يُطبَّق فعليًا مع مطلع 2026. وانتهت مهلة عُمان في 5 فبراير 2026، فالجهة المنظِّمة فيها الآن في مرحلة التطبيق. أما القانون الإماراتي الاتحادي فلا يمكن تطبيقه كاملًا قبل صدور لائحته وقرار العقوبات. وفي مركز دبي المالي وسوق أبوظبي العالمي أنظمة عاملة منذ سنوات. ولائحة الكويت تصل إلى المرخّص لهم لا إلى الاقتصاد كله.

ولا يجعل ذلك القانون الإماراتي اختياريًا؛ بل يجعل توقيت تطبيقه غامضًا، وهذا وضع تخطيطي أسوأ من موعد معروف.

تصميم نظام واحد لعدة دول

ثلاث مقاربات تنجح عمليًا.

الحد الأعلى المشترك. ابنِ كل مسار وفق القاعدة الأشد المنطبقة: موافقة صريحة، ومحو عند انتهاء الغرض، وجاهزية للإبلاغ خلال 72 ساعة، وتقييمات موثقة للنقل. سهل الفهم، وقد يفرض أحيانًا احتكاكًا أكبر مما تحتاجه سوق واحدة.

نواة مشتركة وإعدادات لكل دولة. نظام واحد تُضبط فيه صياغة الموافقة ومدد الاحتفاظ وسجلات الأساس النظامي وموقع الاستضافة لكل دولة. وهو النمط الذي تنتهي إليه معظم المجموعات متوسطة الحجم، ويوازي المقاربة الضريبية في التوسع في دول الخليج: نظام واحد أم عدة أنظمة.

نسخ منفصلة. تشغيل مستقل في كل دولة حين يفرض قانون أو منظِّم قطاعي الحفظ المحلي. وهو الخيار الأغلى، ولا يُلجأ إليه إلا حين يفرضه قيد محدد.

وأيًّا كان اختيارك، فخمسة مستندات تنتقل بين الدول بتغيير قليل:

1. حصر للبيانات مصنّف حسب دولة صاحب البيانات.
2. سجل للمعالِجين يبين أين يخزّن كل مورد البيانات.
3. سجلات موافقة تحفظ الصياغة ورقم الإصدار والتوقيت.
4. دليل للتعامل مع الاختراقات يحمل مهلة الإبلاغ في كل دولة.
5. خريطة للنقل تحدد السند النظامي لكل تدفق عابر للحدود.

أي هذه القوانين ينطبق عليك؟

أجب عن أربعة أسئلة:

1. أين أنت مؤسَّس؟ قانون تلك الدولة ينطبق عليك.
2. أين يقيم عملاؤك وموظفوك؟ في عُمان والسعودية والإمارات، قد يكفي ذلك وحده لتطبيق قانونها.
3. أين تُعالج البيانات؟ أماكن الاستضافة والمعالجة تستدعي قواعد النقل، وفي البحرين تسهم في تحديد نطاق القانون.
4. هل أنت في منطقة حرة أو قطاع منظَّم؟ لمركز دبي المالي وسوق أبوظبي العالمي ومركز قطر للمال أنظمة مستقلة، والمصارف والصحة والاتصالات تضيف غالبًا قواعد قطاعية فوق ذلك.

وإن كان النظام الأوروبي العام لحماية البيانات (GDPR) قد ينطبق أيضًا لأنك تخدم عملاء في أوروبا، فاقرأ هل ينطبق GDPR على شركة في عُمان أو الخليج.

---

أسئلة شائعة

أي دول الخليج لديها أشد قانون لحماية البيانات؟ يتوقف ذلك على الالتزام. فعُمان تسعّر النقل غير المشروع إلى الخارج بأثقل غرامة ولا تجيز المعالجة بالمصلحة المشروعة. والسعودية لديها أعلى سقف عام للغرامات والعقوبة الوحيدة بالسجن على إفشاء البيانات الحساسة. وللشركة متعددة الدول تختلف القاعدة الأشد من موضوع لآخر، فصمّم حسب الالتزام لا حسب الدولة.

هل أحتاج موافقة لكل نشاط معالجة في الخليج؟ الموافقة هي الأصل في كل مكان، لكن كل قانون يعدد استثناءات. وقائمة عُمان ضيقة: التزام قانوني، أو بيانات علنية، أو مصلحة حيوية، أو عقد يتضمن ما يفيد أن المعالجة تتم وفق القانون. وتجيز السعودية والبحرين كذلك المصالح المشروعة بشروط محددة.

هل قانون حماية البيانات الإماراتي قابل للتطبيق الآن؟ القانون الاتحادي نافذ منذ 2 يناير 2022، لكن لائحته التنفيذية وقرار مجلس الوزراء بشأن العقوبات لم يكونا قد صدرا حتى تاريخ كتابة هذا المقال. أما نظاما مركز دبي المالي وسوق أبوظبي العالمي فعاملان بالكامل داخل المنطقتين.

هل لدى الكويت قانون لحماية البيانات؟ ليس قانونًا عامًا. تعتمد الكويت أساسًا على لائحة حماية خصوصية البيانات الصادرة عن هيئة الاتصالات، وتنطبق على مقدمي خدمات الاتصالات وتقنية المعلومات المرخّص لهم، إلى جانب أحكام في قانوني التجارة الإلكترونية والجرائم الإلكترونية.

هل أستطيع حفظ بيانات كل عملائي الخليجيين في دولة واحدة؟ غالبًا نعم، لكن كل نقل إلى تلك الدولة يحتاج سندًا بموجب قانون الدولة التي تغادرها البيانات. فعُمان تشترط موافقة صريحة أو سندًا آخر محددًا مع تقييم مكتوب، ومسودة القواعد السعودية ستجعل الحفظ المحلي هو الأصل إن اعتُمدت. خطّط للبنية قبل توقيع عقد الاستضافة.

كم المهلة للإبلاغ عن اختراق في الخليج؟ حيث حُددت المهلة فهي عمومًا 72 ساعة أو أقل من وقت العلم، مع شروط تتعلق بالخطر أو الضرر. ويقول القانون الإماراتي الاتحادي «فور العلم» ويترك التوقيت للائحة التي لم تصدر. احتفظ بدليل واحد يحمل مهلة كل دولة.

---

يعرض هذا المقال الموقف وفق القوانين واللوائح النافذة، والمسودات المطروحة للاستطلاع، في 21 أكتوبر 2026، تاريخ نشره، وهو ليس استشارة قانونية. وقد تغيّر عدد من هذه الأنظمة خلال 2026 وتغييرات أخرى قيد الإعداد؛ تحقق من وضعك في كل دولة لدى مستشار مؤهل.

المصادر: المرسوم السلطاني 68/2026 بتعديل قانون حماية البيانات الشخصية · DLA Piper — حماية البيانات في السعودية · Clyde & Co — مسودة تعديلات سدايا، أكتوبر 2026 · Clyde & Co — قانون حماية البيانات الإماراتي · DLA Piper — البحرين · DLA Piper — قطر · DLA Piper — الكويت · Addleshaw Goddard — تعديلات النظام السعودي 2023

تدير أنظمة في أكثر من دولة خليجية؟ تبني «ذوات» أنظمة أعمال وتتولى التكامل والدعم مع إعدادات للموافقة والاحتفاظ والاستضافة خاصة بكل دولة منذ التصميم. احجز مكالمة.