تبيع للسعودية من عُمان؟ ما الذي يتطلبه نظام حماية البيانات الشخصية السعودي من شركة خارج المملكة
إن كانت شركتك في عُمان تعالج بيانات شخصية لأشخاص مقيمين في السعودية، فنظام حماية البيانات الشخصية السعودي ينطبق عليك، سواء كان لك مكتب في المملكة أم لا. ويشمل ذلك متجرًا إلكترونيًا يشحن إلى الرياض، ومنتجًا برمجيًا له مستخدمون سعوديون، ومنشأة خدمية تحتفظ بسجلات عملاء سعوديين.
وقد تغيّر أمران في أكتوبر 2026. ففتحت «سدايا»، الجهة المنظِّمة، باب تسجيل المتحكمين أمام الجهات من خارج المملكة. ونشرت مسودة تعديلات تجعل حفظ البيانات الشخصية داخل السعودية هو الأصل، وهي مطروحة لإبداء الرأي حتى 5 نوفمبر 2026 وليست نافذة بعد.
يتناول هذا المقال ما يطلبه النظام السعودي من شركة تخدم عملاء سعوديين من عُمان أو من أي دولة خليجية أخرى. أما مقارنته ببقية قوانين الخليج ففي قوانين حماية البيانات في دول الخليج جنبًا إلى جنب.
الجواب المختصر
- النطاق: يشمل النظام معالجة البيانات الشخصية للأفراد المقيمين في السعودية، ومنها ما تقوم به جهات خارج المملكة.
- التسجيل: منذ أكتوبر 2026 يستطيع المتحكم الأجنبي التسجيل في المنصة الوطنية لحوكمة البيانات لدى سدايا. والتسجيل إلزامي إن كان نشاطك الرئيس قائمًا على معالجة البيانات الشخصية أو كنت تعالج بيانات حساسة.
- الإبلاغ عن الاختراق: خلال 72 ساعة إلى سدايا متى كان الاختراق مرجحًا لإحداث ضرر، عبر المنصة.
- العقوبات: غرامة حتى 5 ملايين ريال سعودي للمخالفة، تُضاعف عند التكرار، والسجن على الإفصاح غير المشروع عن البيانات الحساسة.
- قيد الإعداد: مسودة تعديل تجعل الحفظ داخل المملكة هو الأصل، وتوسع التسجيل ليشمل كل من ينقل البيانات إلى الخارج.
هل ينطبق النظام السعودي عليك؟
صدر النظام بالمرسوم الملكي م/19 عام 2021 وعُدّل في 2023، ودخل حيّز النفاذ في 14 سبتمبر 2023، ومُنح المتحكمون حتى 14 سبتمبر 2024 لتوفيق أوضاعهم. وهو، بحسب ملخص DLA Piper، يشمل المعالجة داخل المملكة بأي وسيلة، كما يشمل معالجة البيانات الشخصية للأفراد المقيمين في المملكة من جهات خارجها.
ثلاثة أسئلة تجعل ذلك ملموسًا لشركة عُمانية:
- هل تحتفظ ببيانات أشخاص يعيشون في السعودية؟ حسابات العملاء، وعناوين التوصيل، وتذاكر الدعم، والمشتركون في النشرة، وجهات الاتصال في الشركات السعودية — كلها تُحسب، لأن الشخص المسمّى في جهة الاتصال شخص طبيعي.
- هل تعالجها بأي شكل؟ الحفظ معالجة، وكذلك إرسال فاتورة أو إدخالها في نظام إدارة العملاء.
- هل هي خارج الاستثناءات الضيقة؟ الاستخدام الشخصي أو العائلي البحت مستثنى، أما النشاط التجاري فلا.
فإن كانت إجاباتك الثلاث نعم، فخطط على أن النظام ينطبق عليك. والسؤال الأصعب هو كيف ستطبقه سدايا على شركة لا وجود لها في السعودية. وقبل أكتوبر 2026 كان لهذا السؤال جواب عملي: الشركات الأجنبية لم تكن تستطيع حتى التسجيل. وهذا الجواب لم يعد قائمًا.
ما يطلبه منك النظام وأنت خارج المملكة
الالتزامات هي نفسها التي تحملها أي شركة سعودية، والفرق في كيفية الوفاء بها عن بعد.
أساس نظامي لكل غرض. الموافقة هي الأساس الرئيس. وأضافت تعديلات 2023 المعالجة لتحقيق المصلحة المشروعة للمتحكم، بشرط ألا تمس حقوق صاحب البيانات وألا تكون البيانات حساسة. وهذا أوسع من القانون العُماني الذي لا يعرف مسار المصلحة المشروعة. فالنظام الذي يخدم الدولتين يجب أن يسجل الأساس لكل غرض ولكل دولة، لا مرة واحدة للجميع.
سياسة خصوصية يقرؤها الناس قبل الجمع. تشترط مسودة تعديلات سدايا لغة واضحة ومبسطة تناسب الجمهور، ويقرأ المعلقون ذلك على أنه يستلزم العربية لمعظم الخدمات الموجهة للسعودية. فإن كان عملاؤك السعوديون يرون اليوم سياسة بالإنجليزية فقط، فأصلح ذلك قبل أن يصبح قاعدة.
حقوق أصحاب البيانات خلال 30 يومًا. تمنح القواعد الحالية المتحكم 30 يومًا للرد. وبموجب المسودة يُعدّ عدم الرد في الموعد رفضًا يفتح الباب لشكوى إلى سدايا. وكما في كل نظام، العمل الحقيقي في معرفة مكان بيانات كل شخص.
مسؤول لحماية البيانات في حالات محددة. تشترط قواعد سدايا تعيين مسؤول إذا كان المتحكم جهة عامة تقدم خدمات واسعة النطاق، أو كانت أنشطته الأساسية تتضمن رقابة منتظمة ومنهجية واسعة، أو كانت أنشطته الأساسية تتعلق ببيانات حساسة.
الأمن والسجلات. على المتحكم اتخاذ تدابير تنظيمية وإدارية وتقنية لحماية البيانات، ومنها أثناء النقل، وأن يقدر على إثبات ما يعالجه ولماذا.
الإبلاغ عن الاختراق. حيث يلزم الإبلاغ، تُبلّغ سدايا خلال 72 ساعة من العلم عبر المنصة الوطنية لحوكمة البيانات، ويُبلّغ الأفراد المتأثرون دون تأخير غير مبرر متى كان الاختراق قد يضر بهم.
التسجيل: ما الذي تغيّر في أكتوبر 2026
حتى أكتوبر 2026 كانت المنصة الوطنية لحوكمة البيانات تشترط رقم سجل تجاري سعودي. فلم يكن المتحكم الأجنبي يستطيع التسجيل، ولا تقديم تعيين مسؤول حماية البيانات عبرها، ولا يملك حسابًا يبلّغ من خلاله عن اختراق.
ثم أضافت سدايا خدمة لتسجيل الجهات الخارجية. وبحسب ما وصفته Clyde & Co ومدونة متخصصة في الخصوصية في منتصف أكتوبر 2026، تتحقق الجهة الأجنبية من هويتها عبر إجراءات وزارة الخارجية، ثم تسجل في المنصة، وتعيّن ممثلًا مفوضًا لهذه الإجراءات، وتحصل على شهادة تسجيل. والخدمة جديدة، والخبرة العملية بها ما زالت محدودة.
فهل التسجيل إلزامي عليك؟ بموجب قواعد التسجيل لدى سدايا، يلزم إذا كان النشاط الرئيس للمتحكم قائمًا على معالجة البيانات الشخصية أو كان يعالج بيانات حساسة. فشركة برمجيات منتجها قاعدة بيانات للعملاء، ومنصة حجز عيادات تحتفظ ببيانات صحية، وخدمة تسويقية مبنية على البيانات الشخصية — كلها مرشحة بقوة. أما مصنع لديه بيانات اتصال لعدد قليل من المشترين السعوديين فالأرجح أنه ليس كذلك بموجب القواعد الحالية.
وهناك سبب عملي للتسجيل حتى إن لم تكن متأكدًا: الإبلاغ عن الاختراقات يمر عبر المنصة. ودون حساب قد تعجز عن الوفاء بمهلة الـ72 ساعة المطبقة عليك أصلًا.
النقل: حين يكون نظامك نفسه هو النقل
يضبط النظام نقل البيانات الشخصية أو الإفصاح عنها خارج المملكة. وبموجب لائحة النقل الحالية، يكون النقل إلى دولة توفر مستوى حماية ملائمًا، أو بضمانات مناسبة، مع استثناءات محدودة. ويجب ألا يمس أي نقل الأمن الوطني أو المصالح الحيوية للمملكة، وأن يقتصر على الحد الأدنى اللازم.
ويطرح هذا على الشركة العُمانية سؤالًا لم تحسمه النصوص التي راجعناها. فإن أدخل عميل في جدة بياناته مباشرة في موقعك المستضاف في مسقط، فهل «نقل» أحدٌ البيانات خارج المملكة؟ الحالة أوضح حين تبدأ البيانات داخل السعودية فعلًا: موزع سعودي يرسل إليك قائمة عملائه، أو شركة تابعة في السعودية تتزامن مع نظام موارد المؤسسة للمجموعة، أو مركز بيانات في السعودية ينسخ إلى عُمان.
اعرض الحالة الأولى على مستشار سعودي، وتعامل مع الثانية بوصفها نقلًا يحتاج إلى سند.
مسودة التعديلات، ولماذا تخطط لها الآن
نشرت سدايا في 6 أكتوبر 2026 نسخة معدلة من مسودة تعديلات اللائحة التنفيذية، وطرحتها لإبداء الرأي حتى 5 نوفمبر 2026. ولم تُعتمد جولة سابقة في 2025، فقد تتغير المسودة مرة أخرى. وبحسب ملخصي Clyde & Co وReed Smith، أبرز المقترحات:
- الحفظ داخل المملكة أصلًا. حكم جديد يُلزم المتحكم بحفظ البيانات الشخصية في المملكة مع بقاء النقل المشروع إلى الخارج جائزًا. وتشير Reed Smith إلى أن النص قد يُقرأ على أنه يستلزم نسخة محلية، وطالبت سدايا بالتوضيح.
- التسجيل لكل من ينقل البيانات إلى الخارج. يصبح النقل أو الإفصاح خارج السعودية سببًا مستقلًا لوجوب التسجيل.
- الإبلاغ عن الاختراق دون اشتراط الضرر. يصبح إبلاغ سدايا خلال 72 ساعة واجبًا سواء كان الضرر مرجحًا أم لا.
- توسيع واجبات مسؤول الحماية وتقييم الأثر. يُشترط تقييم أثر حماية البيانات للمعالجة المتعلقة بالقُصّر، والرقابة الواسعة، والتقنيات الناشئة، والقرارات المؤتمتة التي تمس حقوق الأشخاص.
- سرعة الرد على سدايا: 20 يوم عمل لطلبات الجهة المنظِّمة.
- سياسات خصوصية بلغة مبسطة تناسب الجمهور.
لا شيء من ذلك قانون بعد. لكن مقترح الحفظ داخل المملكة هو الذي سيغير البنية، والبنية بطيئة التغيير. فإن كان تصميمك يحفظ بيانات العملاء السعوديين في عُمان دون أي مسار إلى منطقة سعودية، فاسأل الآن عن كلفة نقلها؛ فالسؤال بعد الاعتماد يترك لك وقتًا أقل.
العقوبات
عقوبات النظام كما لخصتها DLA Piper:
| المخالفة | العقوبة |
|---|---|
| الإفصاح عن البيانات الحساسة أو نشرها خلافًا للنظام، بقصد الإضرار أو تحقيق منفعة شخصية | السجن حتى سنتين و/أو غرامة حتى 3 ملايين ريال سعودي |
| المخالفات الأخرى | إنذار أو غرامة حتى 5 ملايين ريال سعودي |
| العود | يجوز مضاعفة الغرامة بما لا يتجاوز ضعف حدها الأعلى |
ويجوز للمحكمة أيضًا مصادرة المتحصلات ونشر الحكم على نفقة المخالف، ولكل متضرر حق المطالبة بالتعويض.
ماذا تفعل إن كنت تخدم عملاء سعوديين من عُمان
- ميّز أصحاب البيانات السعوديين في أنظمتك. لا تستطيع تطبيق قواعد دولة على سجلات لا تستطيع إيجادها.
- سجّل الأساس النظامي لكل غرض للعملاء السعوديين — موافقة أو عقد أو مصلحة مشروعة، ولا مصلحة مشروعة أبدًا للبيانات الحساسة.
- انشر سياسة خصوصية بالعربية للخدمات الموجهة للسعودية، بلغة مبسطة.
- احسم قرار التسجيل. إن كان نشاطك الرئيس معالجة البيانات الشخصية أو كنت تحتفظ ببيانات حساسة، فسجّل عبر خدمة الجهات الخارجية.
- أضف السعودية إلى دليل الاختراقات بمهلتها البالغة 72 ساعة وبالمنصة قناةً للإبلاغ.
- ارسم خريطة البيانات التي تبدأ داخل المملكة — الموزعين والشركات التابعة والأنظمة المستضافة هناك — وحدد لكل تدفق سندًا للنقل.
- احسب كلفة خيار داخل المملكة لبيانات السعوديين قبل أن تصبح المسودة نهائية.
أسئلة شائعة
هل ينطبق النظام السعودي على شركة لا مكتب لها في السعودية؟ يشمل النظام معالجة البيانات الشخصية للأفراد المقيمين في المملكة، ومنها ما تقوم به جهات خارجها. فعلى الشركة العُمانية التي تحتفظ ببيانات عملاء سعوديين أن تخطط على هذا الأساس. وكيفية التطبيق على شركة بلا وجود في السعودية أقل وضوحًا، لكن خدمة تسجيل الجهات الأجنبية التي أطلقتها سدايا في أكتوبر 2026 تشير إلى اتجاه واحد.
هل يجب أن أسجل لدى سدايا؟ بموجب قواعد التسجيل، يلزم التسجيل إذا كان نشاطك الرئيس معالجة البيانات الشخصية أو كنت تعالج بيانات حساسة. وتضيف مسودة أكتوبر 2026 النقل خارج المملكة سببًا آخر. فإن كنت قريبًا من أي من الحدين فاستشر مختصًا، وتذكر أن الإبلاغ عن الاختراقات يمر عبر المنصة نفسها.
هل سأضطر إلى حفظ بيانات العملاء السعوديين في السعودية؟ ليس بموجب القواعد النافذة وقت كتابة هذا المقال. فمسودة التعديل المطروحة حتى 5 نوفمبر 2026 تجعل الحفظ داخل المملكة هو الأصل مع بقاء النقل المشروع جائزًا. انتظر النص النهائي قبل إعادة تصميم أي شيء، لكن احسب كلفة الخيار الآن.
هل أستطيع الاستناد إلى المصلحة المشروعة بدل الموافقة؟ للبيانات غير الحساسة، تجيز تعديلات 2023 المعالجة لتحقيق المصلحة المشروعة للمتحكم بشرط ألا تمس حقوق صاحب البيانات، ولا تجوز للبيانات الحساسة. ولا مقابل لذلك في القانون العُماني، فالنظام الذي يخدم الدولتين يحتاج سجلات للأساس النظامي لكل دولة.
ما الحد الأقصى للغرامة؟ حتى 5 ملايين ريال سعودي للمخالفة، ويجوز مضاعفتها عند العود. والإفصاح عن البيانات الحساسة أو نشرها بصورة غير مشروعة بقصد الإضرار أو المنفعة الشخصية قد يعرّض للسجن حتى سنتين وغرامة حتى 3 ملايين ريال.
كم المهلة لإبلاغ سدايا عن اختراق؟ 72 ساعة من العلم متى كان الاختراق مرجحًا لإحداث ضرر، عبر المنصة الوطنية لحوكمة البيانات. وتلغي مسودة التعديلات شرط الضرر في الإبلاغ إلى سدايا.
يعرض هذا المقال الموقف وفق نظام حماية البيانات الشخصية السعودي ولوائحه النافذة، ومسودة التعديلات المنشورة لإبداء الرأي، في 21 أكتوبر 2026، تاريخ نشره، وهو ليس استشارة قانونية. وقد تتغير المسودة قبل اعتمادها؛ تحقق من وضعك لدى مستشار مرخّص في السعودية.
المصادر: Clyde & Co — فتح تسجيل المتحكمين للجهات خارج المملكة، أكتوبر 2026 · Clyde & Co — مسودة تعديلات اللائحة التنفيذية، أكتوبر 2026 · Global Privacy Blog — تسجيل الجهات الأجنبية لدى سدايا · Reed Smith — استطلاع سدايا على تعديلات اللائحة · DLA Piper — حماية البيانات في السعودية · Addleshaw Goddard — تعديلات النظام السعودي 2023
تبيع للسعودية من عُمان؟ تبني «ذوات» أنظمة أعمال ومنصات ويب تُبقي بيانات كل دولة وموافقاتها وخيارات استضافتها قابلة للفصل. احجز مكالمة.