قانون حماية البيانات الشخصية السعودي (PDPL): دليل عملي للمطورين ومدراء المنتجات

ملخص سريع

• PDPL السعودي (نظام حماية البيانات الشخصية) ساري المفعول منذ سبتمبر 2023، وتنفذه هيئة البيانات والذكاء الاصطناعي (SDAIA). يفرض متطلبات مماثلة لـ GDPR الأوروبي، مع خصوصيات محلية في نقل البيانات والموافقة.
• خمسة فخاخ تقنية تظهر بشكل متكرر في المنتجات السعودية: سجلات تتجاوز الغرض المحدد، نقل البيانات لمزودين خارجيين دون تقييم كافٍ، حذف اسمي لا فعلي، اتفاقيات معالجة فارغة المحتوى، وربط الموافقة بالخدمة.
• الامتثال لـ PDPL ليس تدقيقاً في نهاية المشروع — بل خاصية معمارية في الكود تُراجَع مع كل طلب سحب (pull request).

أصدرت المملكة نظام حماية البيانات الشخصية في 2021، ودخل حيز التنفيذ في 2023 بعد فترة انتقالية. التعديلات التنفيذية الصادرة عن SDAIA في 2024 وضحت جوانب النقل الخارجي والأساس القانوني للمعالجة.

الشركات السعودية التي تطور منتجات رقمية — من تطبيقات التجارة الإلكترونية إلى منصات SaaS والبنوك الرقمية — تحتاج إلى ترجمة هذا النظام إلى متطلبات معمارية ملموسة. هذا المقال يقدم تلك الترجمة من منظور المطور، لا المحامي.

الإطار العام لـ PDPL

النظام يغطي معالجة البيانات الشخصية داخل المملكة أو لأغراض خدمة مقيمين فيها. «البيانات الشخصية» تعرَّف بشكل واسع يشمل المعرفات المباشرة (الاسم، رقم الهوية، البريد الإلكتروني) وغير المباشرة (عنوان IP، معرف الجهاز، بصمات الزيارة).

الأسس القانونية للمعالجة تتضمن: تنفيذ العقد، التزام قانوني، الحماية الحيوية، المصلحة المشروعة، والمصلحة العامة، بالإضافة إلى الموافقة. الاعتماد على «المصلحة المشروعة» يتطلب اختبار موازنة موثقاً.

الفخ الأول: السجلات تتجاوز الغرض

أغلب التطبيقات تسجل أحداث الوصول لأغراض تحليل الأعطال. ذلك مقبول، لكن الاحتكاك مع PDPL يبدأ عندما تحتوي السجلات على بيانات شخصية — وهي شبه دائماً كذلك. معرف المستخدم، عنوان IP، هاش البريد، رموز الجلسة.

المادة التاسعة من النظام تلزم بتحديد مدة احتفاظ واضحة. دلو سجلات بلا تدوير هو ببساطة ملف تعريف غير محدود قانونياً.

المعالجة العملية: تحديد قواعد الاحتفاظ على مستوى التخزين (30 يوماً لسجلات الوصول، 7 أيام لسجلات التنقيح)، تهيئة أدوات مثل Loki أو Elasticsearch مع ILM، وتجزئة الحقول الشخصية قبل مغادرتها نطاق التطبيق.

الفخ الثاني: نقل البيانات خارج المملكة

PDPL يضع قيوداً صارمة على نقل البيانات الشخصية خارج المملكة. النقل مسموح فقط في حالات محددة: موافقة SDAIA، ضرورة لحماية مصلحة حيوية، تنفيذ التزام تعاقدي أو دولي، أو وجود بلد مستقبل يوفر حماية كافية.

ضمن سلاسل الأدوات (CRM، خدمات البريد، تتبع الأخطاء)، البيانات تذهب عادة إلى مزودين خارجيين دون تقييم كافٍ. المنتج المتوسط ينقل بيانات إلى عشرين إلى خمسين خدمة خارجية.

الحل البراغماتي: بيانات الإنتاج في منطقة داخل المملكة (STC Cloud Riyadh، Mobily Cloud، Saudi Data Center)، استخدام مزودي SaaS لديهم مراكز بيانات في المنطقة (AWS Bahrain، Google Cloud Dammam، Microsoft Azure Riyadh القادم)، وتوثيق كل سلسلة نقل منفردة.