حماية البيانات الشخصية: ما الذي يعنيه نظام PDPL لموقعك عملياً؟

الموافقة في نظام حماية البيانات الشخصية السعودي ليست مربع اختيار، بل سجلاً موثّقاً بنصّه ووقته وغرضه. هذا فرق تقني يغيّر طريقة بناء النماذج في موقعك أو متجرك، وهو أكثر ما تتكرر المخالفة فيه.

أغلب ما يُكتب عن هذا النظام موجّه إلى المحامين، ويشرح المواد والتعريفات. وأغلب أصحاب المواقع يقرؤونه، ويخرجون بانطباع أن الأمر «قانوني» ولا علاقة له بالكود.

هذا غير صحيح. الجزء الأكبر من الالتزام يُنفَّذ في الموقع نفسه: في نماذج التواصل، وفي شريط ملفات تعريف الارتباط، وفي قاعدة البيانات التي تخزّن ما يرسله الزوار.

هذا الدليل يشرح ذلك الجزء التقني تحديداً.

تنبيه مهم: هذا ليس استشارة قانونية، وأنا لست جهة قانونية. المرجع الوحيد المعتمد هو الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) والنص النظامي نفسه، وأي قرار يخصّك يجب أن يمرّ على مستشار قانوني مختص. المعلومات أدناه مجمّعة من مصادر قانونية منشورة وليست من نص نظامي مقروء مباشرة، فتحقّق منها قبل البناء عليها.

أين نحن الآن من التطبيق؟

نظام حماية البيانات الشخصية (PDPL) هو النظام السعودي الذي ينظّم جمع بيانات الأفراد ومعالجتها، وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وبحسب المصادر القانونية المنشورة: النظام دخل حيّز النفاذ في 14 سبتمبر 2023، ومُنحت المنشآت مهلة سنة للتوافق انتهت في 14 سبتمبر 2024. أي أننا لم نعد في مرحلة التوعية بل في مرحلة التطبيق الفعلي.

وقد أعلنت الهيئة مطلع 2026 عن إصدارها عشرات القرارات بحق منشآت مخالفة. والنمط المتكرر في تلك المخالفات، بحسب التحليلات المنشورة، معالجة بيانات دون أساس نظامي، وغياب ضوابط أمنية، وممارسات غير موثّقة، ورسائل تسويقية بلا موافقة.

انتبه إلى البند الأخير تحديداً، لأنه الأقرب إلى ما تفعله المواقع يومياً.

الفرق الجوهري: الموافقة سجلّ لا مربع اختيار

هنا الفكرة التي تغيّر طريقة البناء.

كثير من المواقع، من متجر ناشئ في الرياض إلى شركة خدمات في جدة، تضع مربع اختيار «أوافق على سياسة الخصوصية» وتعتبر المسألة منتهية. المشكلة أن المربع يثبت شيئاً واحداً وقت الإرسال فقط، ولا يثبت شيئاً بعد ستة أشهر حين تُطلب منك إثبات أن هذا الشخص وافق.

ما يُحتاج فعلياً هو سجل: مَن وافق، وعلى ماذا بالضبط، ومتى، ومن أي نموذج. وهذا عمل قاعدة بيانات لا عمل واجهة.

عملياً، مع كل إرسال نموذج احفظ:

• نص الموافقة كما كان معروضاً وقتها: لا رابطاً إلى صفحة قد تتغيّر لاحقاً. • الطابع الزمني بدقة. • الغرض الذي وافق عليه: تواصل بخصوص استفسار؟ أم رسائل تسويقية؟ هذان غرضان منفصلان. • مصدر النموذج وإصداره.

ولهذا فإن نسخ نص «أوافق» من موقع آخر لا يحلّ شيئاً. المطلوب بنية تخزين، لا صياغة.

الأخطاء الثلاثة الأكثر تكراراً في المواقع السعودية

الأول: موافقة مفترضة بدل موافقة صريحة. مربع مُعلَّم مسبقاً، أو جملة «باستخدامك الموقع فأنت توافق»، أو شريط ملفات ارتباط بزر «موافق» فقط بلا خيار رفض. النمط المشترك أن المستخدم لم يقم بفعل إيجابي واضح.

الثاني: سياسة خصوصية منسوخة. تجد في مواقع سعودية سياسات تتحدث عن حقوق مأخوذة من أنظمة أوروبية وتذكر جهات إشراف غير سعودية. سياسة الخصوصية للموقع التي لا تصف ما يفعله موقعك فعلاً ديكور لا وثيقة امتثال، والأسوأ أنها تصف التزامات لا تنفّذها.

الثالث: لا توجد آلية للسحب أو الحذف. الموقع يجمع البيانات بسهولة، ولا يوفّر أي طريق واضح للمستخدم ليطلب نسخته أو حذفها. وحتى لو كان البريد الإلكتروني كافياً كوسيلة، فغالباً لا يوجد أحد يعرف كيف ينفّذ الطلب داخلياً حين يصل.

قائمة عملية: ما الذي يُنفَّذ في الموقع؟

هذه بنود تقنية يمكن تنفيذها هذا الأسبوع:

1. راجع كل نموذج في الموقع. لكل واحد: ما البيانات التي يجمعها؟ ولماذا؟ وأين تُخزَّن؟ وكم تبقى؟ أغلب المواقع لا تملك إجابة مكتوبة لهذه الأسئلة الأربعة. 2. افصل الأغراض. موافقة على «التواصل بخصوص طلبي» غير الموافقة على «إرسال عروض». اجعلهما اختيارين منفصلين، وغير مُعلَّمين مسبقاً. 3. خزّن سجل الموافقة كما في القسم السابق، نصاً وطابعاً زمنياً وغرضاً. 4. اكتب سياسة خصوصية تصف موقعك أنت. ما الذي تجمعه فعلاً، وأين يُخزَّن فعلاً، وأي أدوات تحليلات تعمل فعلاً. 5. وفّر طريقاً للطلبات. بريد معلن أو نموذج مخصص لطلبات الوصول والتصحيح والحذف، ومسؤول داخلي يعرف كيف ينفّذها. 6. راجع أدوات الطرف الثالث. أدوات التحليلات وخرائط الحرارة وبكسلات الإعلانات كلها تنقل بيانات إلى أطراف أخرى. إن لم تكن مذكورة في سياستك فهي غير معلنة. 7. قلّل ما تجمعه. أبسط طريقة لخفض مخاطرك: لا تطلب حقلاً لا تستخدمه. كل حقل إضافي التزام إضافي بلا مقابل.

البند الذي يفاجئ الجميع: الاحتفاظ

النماذج تجمع، والبيانات تتراكم، ولا أحد يحذف شيئاً. صندوق بريد فيه آلاف الرسائل من نموذج التواصل منذ ثلاث سنوات هو مخزن بيانات شخصية بكل معنى الكلمة، وإن لم تفكّر فيه أبداً بهذه الصفة.

اسأل نفسك: ما الغرض الذي ما زال قائماً لاحتفاظك ببيانات شخص راسلك قبل سنتين وانتهى تعامله؟ إن لم يوجد غرض قائم فالاحتفاظ نفسه هو المخاطرة.

حدّد مدة احتفاظ مكتوبة لكل نوع بيانات، ونفّذها فعلاً، لا أن تكتبها في السياسة وتتركها. والقاعدة نفسها تسري على الموافقة الصريحة: إن لم تُسجَّل بوقتها ونصّها، فهي عملياً لم تُؤخذ.

ما علاقة هذا بترتيبك في محركات البحث؟

لا علاقة مباشرة، وسأقولها بوضوح بدل ادّعاء ربط لا وجود له: الالتزام بحماية البيانات الشخصية ليس عامل ترتيب.

لكن أثره غير المباشر حقيقي:

• صفحة سياسة خصوصية حقيقية إشارة ثقة يقرؤها المشتري قبل أن يترك بياناته، وغيابها أو ركاكتها احتكاك في مسار التحويل. • شريط ملفات ارتباط ثقيل أو منفّذ بشكل رديء يؤثر على سرعة الصفحة وثباتها البصري، وهذان عاملان مقيسان فعلاً. • جمع أقل يعني نماذج أقصر، والنماذج الأقصر تُكمَل أكثر.

فالفائدة الحقيقية تشغيلية وتحويلية، لا ترتيبية.

البيانات الحساسة: الفئة التي تُجمَع بالخطأ

بعض البيانات تخضع لمعاملة أشد، والمواقع تجمعها أحياناً دون أن تقصد.

أمثلة تتكرر في مواقع سعودية:

• نموذج توظيف يطلب صورة الهوية أو تاريخ الميلاد أو الحالة الاجتماعية. • متجر منتجات صحية فيه حقل «اذكر حالتك»، وهذه بيانات صحية. • نموذج حجز يطلب رقم الهوية «للتأكيد» بينما الاسم والجوال يكفيان. • حقل مفتوح بلا حدّ يكتب فيه العميل ما شاء، فيرسل تفاصيل لم تطلبها أصلاً ولا تريد تحمّل مسؤوليتها.

القاعدة الوقائية بسيطة: لا تطلب ما لا تحتاجه. كل حقل حسّاس تجمعه يرفع التزامك ومخاطرتك دون أن يضيف لك شيئاً في أغلب الأحيان. وإن كنت تحتاجه فعلاً لسبب تشغيلي، فهذا موضع سؤال مستشارك القانوني لا اجتهادك.

وانتبه للحقل المفتوح تحديداً. أنت لا تتحكم فيما يكتبه المستخدم فيه، لكنك تتحكم في ما تفعله بما وصلك. أضف تنبيهاً قصيراً فوق الحقل: «لا تُدرج بيانات حساسة هنا».

حماية البيانات الشخصية عبر الحدود: أين يُخزَّن موقعك؟

سؤال يُغفل تماماً، رغم أنه ينطبق على أغلب المواقع السعودية الحديثة.

موقعك على الأرجح مستضاف على بنية تحتية عالمية، وملفاتك في تخزين سحابي، ونماذجك تمر عبر خدمة بريد، وتحليلاتك عند مزوّد أجنبي. أي أن بيانات زوارك تغادر المملكة في مسارها الطبيعي، حتى لو لم تفكّر في الأمر يوماً.

هذا ليس ممنوعاً بالضرورة، لكنه شيء يجب أن تعرفه وتعلنه: والمصادر القانونية المنشورة تشير إلى وجود ضوابط على النقل خارج المملكة، وتفاصيلها موضع سؤال لمستشارك.

وملاحظة أخيرة إن كنت تخدم عملاء خارج المملكة: لكل دولة خليجية نظامها الخاص لحماية البيانات، فالإمارات وقطر لديهما تشريعاتهما المستقلة، وهذا الدليل يتناول النظام السعودي تحديداً.

الحد الأدنى العملي:

• اعرف أين تُخزَّن بياناتك فعلاً. الاستضافة، وقاعدة البيانات، وتخزين الملفات، ومزوّد البريد، وأدوات التحليلات. اكتب القائمة. • اذكرها في سياستك بصراحة: «قد تُنقل بياناتك وتُعالَج خارج بلد إقامتك». • اسأل قبل إضافة أي أداة جديدة: إلى أين ترسل البيانات؟ سؤال واحد قبل التركيب أرخص من مراجعة بعد سنة.

والفكرة الجامعة في كل ما سبق: لا يمكنك حماية ما لا تعرف بوجوده. الجرد هو الخطوة الأولى دائماً، ومعظم المواقع لم تقم بها قط.

من يفعل ماذا؟

الخلط في المسؤوليات سبب رئيسي لبقاء المشكلة معلّقة:

• المطوّر ينفّذ: فصل الأغراض، وتخزين سجل الموافقة، وآلية الحذف، ومراجعة أدوات الطرف الثالث. • المستشار القانوني يقرّر: الأساس النظامي، وصياغة السياسة، والتزامات التسجيل إن انطبقت، ومدد الاحتفاظ. • أنت تحسم: ما البيانات التي يحتاجها نشاطك فعلاً، ومن يتولى الرد على الطلبات.

لا تترك المطوّر يقرّر ما هو قانوني، ولا تنتظر من المستشار أن يكتب لك كوداً.

من أين تبدأ إن كان موقعك قائماً بالفعل؟

لا تبدأ بالسياسة. ابدأ بالجرد، لأن السياسة وصف لما تفعله، ولا يمكنك وصف ما لا تعرفه.

الأسبوع الأول: اجرد. افتح كل صفحة فيها نموذج، واكتب في جدول: اسم النموذج، والحقول التي يجمعها، وإلى أين تذهب البيانات، ومن يستطيع الوصول إليها. ثم افتح كود الموقع واكتب كل سكربت طرف ثالث يعمل عليه. أغلب من ينفّذ هذه الخطوة يكتشف أداتين أو ثلاثاً لم يعد يذكر أنه ركّبها.

الأسبوع الثاني: قلّل. احذف كل حقل لا تستخدمه فعلاً، وعطّل كل أداة لم تعد تنظر إلى بياناتها. هذه الخطوة وحدها تخفض حجم التزامك أكثر من أي إجراء آخر، وتكلفتها صفر.

الأسبوع الثالث: نفّذ. فصل الأغراض، وتخزين سجل الموافقة، وآلية استقبال الطلبات.

وبعدها فقط: اكتب السياسة: بناءً على الجدول الذي بين يديك، لا على قالب من الإنترنت.

الترتيب هنا مقصود: من يبدأ بالسياسة ينتهي بوثيقة جميلة تصف موقعاً غير موجود.

مواضيع ذات صلة: الفاتورة الإلكترونية، كود المنصات، تجربة المستخدم.

بيانات السوق: تقرير Statista — صناعة الويب السعودية.