في 29 يونيو 2026 أعلنت لجان النظر في مخالفات نظام حماية البيانات الشخصية في «سدايا» قرارات بغرامات وإنذارات، أبرزها: تسويق مباشر دون موافقة صريحة، وعدم الإبلاغ عن تسرّب البيانات خلال 72 ساعة، وعدم تعيين مسؤول حماية بيانات حين يلزم. للمتجر الإلكتروني يعني هذا ثلاثة أشياء الآن: موافقة واضحة قبل رسائل التسويق مع طريقة إيقاف، وسياسة خصوصية حقيقية، وخطة مكتوبة لما تفعله إن تسرّبت بيانات عملائك.
آخر تحديث: أكتوبر 2026
وإن كان متجرك على سلة وتريد ضبط خانة الموافقة وصفحة الخصوصية: تجهيز متجر سلة كاملًا.
ماذا حدث في يونيو 2026؟
بحسب صحيفة عاجل ووكالة الأنباء السعودية (29 يونيو 2026)، أصدرت لجان النظر في المخالفات قرارات بحق عدد من الجهات استنادًا إلى المادة 36 من النظام، وشملت العقوبات غرامات مالية وإنذارات. المخالفات المعلنة:
| المخالفة المعلنة | ما يقابلها في متجرك |
|---|---|
| معالجة البيانات لأغراض التسويق المباشر دون موافقة صريحة | رسائل واتساب أو SMS أو بريد ترويجية لعملاء لم يوافقوا |
| عدم اتخاذ إجراءات تضمن الرد على طلبات أصحاب البيانات في وقتها | عميل طلب حذف بياناته أو نسخة منها ولم يرد عليه أحد |
| عدم إبلاغ «سدايا» عن تسرّب بيانات خلال 72 ساعة من العلم به | ملف عملاء تسرّب أو حساب موظف اختُرق ولم يُبلَّغ |
| عدم اتخاذ التدابير الإدارية والتقنية والتنظيمية اللازمة لحماية البيانات | كلمات مرور مشتركة، وصلاحيات مفتوحة لكل الموظفين |
| عدم تعيين مسؤول حماية بيانات رغم وجوبه | جهات تنطبق عليها حالات التعيين ولم تعيّن |
الأخبار لم تذكر أسماء الجهات ولا قيمة كل غرامة، فلن نخمّن. لكن الرسالة واضحة: النظام لم يعد نصًا على الورق. وأول مخالفة في القائمة هي بالضبط ما تفعله متاجر كثيرة كل يوم.
خلفية سريعة عن النظام
دخل نظام حماية البيانات الشخصية حيز النفاذ في سبتمبر 2023، ومُنحت الجهات مهلة سنة للامتثال (Clyde & Co). النص الرسمي منشور على منصة حماية البيانات الشخصية في سدايا، ومنه نقلنا المواد أدناه.
ما يقوله النظام عن رسائل التسويق
هذه المادة هي الأهم لكل متجر يرسل عروضًا:
المادة الخامسة والعشرون: يُشترط لإرسال المواد الإعلانية أو التوعوية إلى وسائل التواصل الشخصية أن تؤخذ موافقة المتلقي المستهدف على إرسالها إليه، وأن توفّر آلية تمكّنه من إبداء رغبته في التوقف عن إرسالها إليه.
والمادة السادسة والعشرون تجيز معالجة البيانات الشخصية لأغراض تسويقية، عدا البيانات الحساسة، إذا جُمعت من صاحبها مباشرة ووافق على ذلك.
ترجمة ذلك إلى متجرك:
- رقم الجوال الذي أعطاك إياه العميل لتوصيل الطلب ليس موافقة على العروض. الموافقة على التسويق شيء منفصل.
- خانة الموافقة لا تكون مؤشَّرة مسبقًا، ولا تُدمج في «أوافق على الشروط».
- كل رسالة تسويقية فيها طريقة إيقاف واضحة، مثل: «لإيقاف العروض أرسل: إيقاف».
- لا تشترِ قوائم أرقام، ولا ترسل لأرقام جمعتها من مجموعات أو مسابقات لم تُذكر فيها الرسائل.
وماذا عن رسائل السلات المتروكة؟
هذه منطقة رمادية تستحق الحذر. رسالة «طلبك شُحن» رسالة خدمة مرتبطة بطلب قائم. أما رسالة «نسيت منتجات في سلتك، وهذا كوبون خصم» فأقرب إلى التسويق، خاصة حين تحمل عرضًا. النظام لم يضع تعريفًا خاصًا للسلات المتروكة، وليس لدينا قرار منشور يفصل فيها، فالأسلم: أرسل تذكير السلة لمن وافق على التواصل التسويقي، وضع فيه طريقة إيقاف. والتفاصيل العملية في مقالتنا عن تسلسل رسائل السلات المتروكة في سلة. وإن كان عندك شك في حالتك، فاستشر مستشارًا قانونيًا؛ هذه المقالة إرشاد عملي لا رأي قانوني.
الحقوق التي يجب أن يستطيع عميلك ممارستها
المادة الرابعة تعطي صاحب البيانات حقوقًا منها: الحق في العلم بالسبب النظامي لجمع بياناته والغرض منه، والحق في الوصول إليها ونسخة منها، والتصحيح، وطلب إتلاف ما انتهت الحاجة إليه.
عمليًا، يحتاج متجرك:
- بريد أو رقم واضح لطلبات الخصوصية في سياسة الخصوصية.
- شخص مسؤول يستلم الطلب ويرد عليه، لا صندوقًا لا يقرؤه أحد. تذكّر أن «التأخر في الرد على الطلبات» من المخالفات المعلنة.
- طريقة لمعرفة أين بيانات العميل: لوحة سلة، وتطبيق الرسائل، وبرنامج المحاسبة، وشركة الشحن، وملفات Excel على جهاز الموظف.
سياسة الخصوصية: ليست صفحة منسوخة
المادة الثانية عشرة تلزم جهة التحكم بأن تعتمد سياسة للخصوصية وتجعلها متاحة لأصحاب البيانات. ومنصة الأعمال تطلب صفحة سياسات ظاهرة لتوثيق المتجر، كما شرحنا في دليل توثيق المتجر في منصة الأعمال.
سياسة خصوصية مفيدة لمتجر سلة تجيب بلغة بسيطة عن:
| السؤال | مثال لما تكتبه |
|---|---|
| ما البيانات التي نجمعها؟ | الاسم، الجوال، البريد، العنوان الوطني للتوصيل، سجل الطلبات |
| لماذا؟ | تنفيذ الطلب والتوصيل والفوترة، والتسويق لمن وافق |
| مع من نشاركها؟ | شركة الشحن، بوابة الدفع، مزوّد الرسائل، برنامج المحاسبة |
| كم نحتفظ بها؟ | مدة محددة تتسق مع التزاماتك المحاسبية والضريبية |
| كيف تطلب نسخة أو تصحيحًا أو حذفًا؟ | بريد أو رقم واضح، ومدة رد تلتزم بها |
| كيف توقف رسائل التسويق؟ | «أرسل إيقاف» أو رابط إلغاء الاشتراك |
الخطأ الأشهر: نسخ سياسة متجر آخر باسمه وبريده، أو سياسة مترجمة تذكر قوانين دولة أخرى. اقرأها كأنك عميل: هل تصف متجرك فعلًا؟
في منتصف الطريق، يفيدك أن ترى متجرك بعين العميل: هل سياسة الخصوصية ظاهرة؟ هل خانة التسويق منفصلة؟ اطلب الفحص المجاني ونرسل لك ما وجدناه.
التسرّب: خطة 72 ساعة
المادة العشرون تلزم جهة التحكم بإشعار الجهة المختصة عند علمها بتسرّب بيانات شخصية أو تلفها أو الوصول غير المشروع إليها، والقرارات المعلنة في يونيو 2026 عاقبت على عدم الإبلاغ خلال 72 ساعة من العلم بالتسرّب.
المتجر الصغير لا يحتاج فريق أمن، لكنه يحتاج ورقة واحدة مكتوبة قبل أن يحدث شيء:
- من يقرّر أن هناك تسرّبًا؟ (صاحب المتجر أو مديره)
- ماذا نوقف فورًا؟ تغيير كلمات المرور، وحذف حساب الموظف المخترق، وإيقاف التطبيق المشتبه به.
- ما الذي تسرّب؟ أي بيانات، ولكم عميل تقريبًا.
- الإبلاغ عبر منصة حماية البيانات الشخصية في سدايا (فيها خدمة إلكترونية للإبلاغ عن التسرّب) خلال 72 ساعة من العلم.
- إبلاغ العملاء المتضررين حين يلزم، برسالة واضحة.
- التوثيق: ماذا حدث ومتى وماذا فعلنا.
أكثر أسباب التسرّب في المتاجر الصغيرة
- كلمة مرور لوحة المتجر مشتركة بين عدة أشخاص أو مع مستقل.
- ملف Excel بالعملاء يُرسل في واتساب أو بريد شخصي.
- تطبيقات مثبّتة بصلاحيات واسعة ولم يعد أحد يستعملها.
- موظف غادر وما زال حسابه فعّالًا.
سلة تتيح إضافة الموظفين بصلاحيات محددة. استعملها: كل شخص بحسابه، وبالصلاحيات التي يحتاجها عمله فقط، ويُحذف حسابه يوم ينتهي عمله.
قائمة تحقق PDPL لمتجر سلة (قابلة للنسخ)
- سياسة خصوصية تصف متجرك فعلًا، ومربوطة في التذييل وصفحة الدفع
- خانة موافقة على التسويق منفصلة وغير مؤشَّرة مسبقًا
- كل رسالة تسويقية فيها طريقة إيقاف، والإيقاف يُنفَّذ فعلًا
- لا رسائل تسويقية لأرقام لم توافق، ولا قوائم مشتراة
- بريد أو رقم لطلبات الخصوصية، وشخص مسؤول عن الرد
- قائمة بالأماكن التي توجد فيها بيانات العملاء (سلة، التطبيقات، المحاسبة، الشحن)
- لا تجمع ما لا تحتاجه (رقم الهوية مثلًا ليس ضروريًا لطلب عادي)
- حساب منفصل لكل موظف وصلاحيات محدودة
- مراجعة التطبيقات المثبّتة وحذف غير المستعمل
- ورقة خطة التسرّب مكتوبة، ويعرفها من يجب أن يعرفها
- معرفة هل تنطبق عليك حالات تعيين مسؤول حماية البيانات
مثال توضيحي: متجر عطور يرسل عروض واتساب
مثال افتراضي للتوضيح. متجر عطور في الرياض يرسل عرضًا أسبوعيًا عبر واتساب لكل من اشترى منه، أي لكل رقم في لوحة الطلبات. ما الذي يغيّره؟
- يضيف في صفحة الدفع خانة منفصلة غير مؤشَّرة: «أوافق على استلام العروض عبر واتساب».
- يرسل لقائمته الحالية رسالة واحدة تطلب الموافقة، ولا يرسل العروض إلا لمن ردّ بالموافقة.
- يضيف في آخر كل عرض: «لإيقاف العروض أرسل: إيقاف»، ويحذف الرقم فعلًا عند الطلب.
- يُبقي رسائل الخدمة (تأكيد الطلب، الشحن) لكل العملاء، لأنها مرتبطة بطلب قائم ولا تحمل عرضًا.
- يكتب الخطوات في سياسة الخصوصية، ويعيّن من يتابع طلبات الإيقاف والحذف.
القائمة ستصغر في الشهر الأول. لكنها تصبح قائمة من يريد رسائلك فعلًا، وهذا أفضل لك من قائمة كبيرة لا تريد رسائلك.
العقوبات كما في النص الرسمي
| المادة | العقوبة |
|---|---|
| المادة 35 | الإفصاح عن بيانات حساسة أو نشرها خلافًا للنظام بقصد الإضرار أو تحقيق منفعة: السجن مدة لا تزيد على سنتين و/أو غرامة لا تزيد على 3 ملايين ريال |
| المادة 36 | بقية المخالفات: إنذار أو غرامة لا تزيد على 5 ملايين ريال |
المصدر: نص النظام على منصة سدايا. وقرارات يونيو 2026 صدرت بموجب المادة 36.
ما القادم؟ تعديلات على اللائحة
بحسب ما نقلته صحيفة سبق، أدرجت «سدايا» مشروع تعديلات على اللائحة التنفيذية للنظام في منصة «استطلاع» لأخذ آراء العموم حتى 5 نوفمبر 2026. لم نطّلع على نص التعديلات المقترحة، فلن ننقل عنها تفاصيل. راجع منصة استطلاع إن أردت المشاركة، وسنحدّث هذه المقالة حين تُعتمد التعديلات.
أخطاء شائعة عند المتاجر
- اعتبار رقم التوصيل موافقة على التسويق.
- خانة تسويق مؤشَّرة مسبقًا أو مدمجة في الموافقة على الشروط.
- رسائل بلا طريقة إيقاف، أو طريقة لا تعمل.
- سياسة خصوصية منسوخة باسم متجر آخر.
- كلمة مرور واحدة لكل الفريق والمستقلين.
- لا أحد مسؤول عن طلبات العملاء بشأن بياناتهم.
- الاعتقاد أن النظام للشركات الكبيرة فقط. النظام يخاطب كل من يعالج بيانات شخصية، والمتجر الإلكتروني يفعل ذلك مع كل طلب.
كيف نساعدك؟
أغلب ما في هذه المقالة تفعله بنفسك في يوم عمل: صفحة سياسة، وخانة موافقة، وصلاحيات موظفين، وورقة خطة. لا تحتاج شركة لتبدأ.
نفيدك في الجزء التقني: ضبط صفحات السياسات وخانة الموافقة في المتجر، وإعداد تطبيقات الرسائل بحيث لا تصل العروض إلا لمن وافق، وترتيب صلاحيات الموظفين والتطبيقات. هذا جزء من خدماتنا لتاجر سلة في مركز سلة، ولمواقع الشركات والمتاجر في السعودية عمومًا في صفحة السعودية. أو راسلنا برابط متجرك. ولمن يستعد للفوترة أيضًا: دليل الفاتورة الإلكترونية للمجموعة 25.
أسئلة شائعة
هل نظام حماية البيانات الشخصية يشمل المتاجر الصغيرة؟
نعم. النظام يخاطب كل من يعالج بيانات شخصية في المملكة، والمتجر يجمع الاسم والجوال والعنوان مع كل طلب.
هل أحتاج موافقة لإرسال عروض واتساب لعملائي؟
نعم. المادة 25 تشترط موافقة المتلقي على المواد الإعلانية وآلية تمكّنه من طلب الإيقاف، والتسويق دون موافقة صريحة كان أول مخالفة في قرارات يونيو 2026.
ما مدة الإبلاغ عن تسرّب البيانات؟
القرارات المعلنة عاقبت على عدم الإبلاغ خلال 72 ساعة من العلم بالتسرّب. الإبلاغ يتم عبر منصة حماية البيانات الشخصية في سدايا.
كم تبلغ غرامة مخالفة النظام؟
بحسب المادة 36: إنذار أو غرامة لا تزيد على 5 ملايين ريال. وللإفصاح عن البيانات الحساسة بقصد الإضرار عقوبة أشد في المادة 35.
هل يلزمني تعيين مسؤول حماية بيانات؟
ليس كل متجر. التعيين يلزم في حالات تحددها اللائحة. وقرارات يونيو عاقبت جهات لم تعيّن «رغم وجوبه». راجع حالتك في اللائحة أو مع مستشار.
هل رسائل السلات المتروكة تحتاج موافقة؟
لا يوجد نص أو قرار منشور يفصل فيها تحديدًا. والأسلم أن تعاملها كرسالة تسويقية حين تحمل عرضًا: أرسلها لمن وافق، وضع فيها طريقة إيقاف.
أين أقرأ نص النظام الرسمي؟
على منصة حماية البيانات الشخصية التابعة لسدايا (dgp.sdaia.gov.sa)، في مركز المعرفة.
المصادر
المراجع الرسمية والمنشورة التي استندت إليها المقالة، كما اطّلعنا عليها في أكتوبر 2026:
- عاجل: قرارات بحق جهات مخالفة لنظام حماية البيانات الشخصية (29 يونيو 2026)
- واس: لجان النظر في المخالفات تُصدر قرارات (يونيو 2026)
- Clyde & Co: نفاذ نظام حماية البيانات الشخصية (سبتمبر 2024)
- سدايا: نص نظام حماية البيانات الشخصية (منصة حماية البيانات)
- سبق: مشروعات منصة استطلاع
عن هذا الدليل: أعدّته نقلة للحلول الرقمية، شركة خليجية مرخّصة (س.ت 1647570) تصمّم المواقع ومتاجر سلة والأنظمة. الأرقام والإجراءات منقولة من المصادر أعلاه بتاريخ آخر تحديث المذكور أول المقالة، وإن رأيت معلومة تغيّرت راسلنا لنحدّثها.
هذه معلومات عامة للتوعية وليست استشارة قانونية أو ضريبية؛ النص الرسمي والجهة المختصة هما المرجع قبل أي قرار.
بقلم نقلة للحلول الرقميةنُشرت في كل المقالات
