في هذه الصفحة
بالشراكة مع جهة موثّقة ومسجّلة لدى الهيئة الوطنية للأمن السيبراني
تنفّذ Summit خدمات الاستعداد لنظام حماية البيانات واختبار الاختراق للجهات السعودية من أول المشروع إلى آخره بالشراكة مع جهة موثّقة ومسجّلة لدى الهيئة، وقد خدمت أكثر من 115 عميلاً في الرياض وجدة والدمام ومدن أخرى. تواصل مع فريقنا.
ثمانية وأربعون قراراً ليست رقماً ضخماً. المهم هو أنواع المخالفات. لا شيء منها غريب، وكلها أمور قد تقع فيها أي شركة سعودية عادية اليوم.
ما الذي عوقب عليه فعلاً؟
الفئات الأربع المعلنة في بيان سدايا تقابل عمليات يومية مألوفة:
| فئة المخالفة | أين تختبئ عادةً |
|---|---|
| المعالجة دون أساس نظامي | استيراد قوائم إلى نظام العملاء، قوائم مشتراة، حقول نماذج «اعتدنا جمعها» |
| الإفصاح دون مسوّغ نظامي | مشاركة بيانات العملاء مع شركاء أو وكالات أو شركات في المجموعة دون أساس أو اتفاقية |
| عدم تطبيق الضمانات التنظيمية والإدارية والتقنية | بوابات غير مُحدَّثة، ضعف في ضبط الوصول، غياب الاختبار والتسجيل |
| التسويق دون موافقة | رسائل SMS وواتساب لعملاء لم يوافقوا قط |
لم تُنشر القرارات الفردية ولا أسماء الجهات ولا مبالغ الغرامات. فاحذر ممن يذكر «متوسط غرامات PDPL». الفئات هي المؤشر الموثوق.
سقف العقوبات
- المخالفات العامة: إنذار أو غرامة حتى 5 ملايين ريال، تُضاعف عند التكرار.
- الإفصاح المتعمد عن بيانات حساسة أو نشرها بقصد الإضرار بصاحب البيانات أو لتحقيق منفعة شخصية: السجن حتى سنتين و/أو غرامة حتى 3 ملايين ريال.
- ويجوز للجان إلزام الجهة بنشر العقوبة النهائية. وبالنسبة لعلامة تجارية موجّهة للمستهلكين، قد تكلّف هذه أكثر من الغرامة نفسها.
الإجراءات أسرع مما تتوقع الشركات
بحسب تحليل Clyde & Co في مارس 2026 لقواعد إجراءات اللجان، تُدار القضايا عبر منصة إلكترونية بمهل قصيرة:
- 5 أيام للرد بعد الإخطار بالمخالفة المزعومة؛
- 15 يوماً لإخطار الجهة بقرار اللجنة بعد صدوره؛
- 60 يوماً للتظلم أمام المحكمة المختصة.
والاطلاع على لائحة الدعوى ليس تلقائياً، فعلى الممثل المخوَّل أن يرفع إثبات صفته أولاً. وإذا كان لا أحد في شركتك يعرف من يحمل الوكالة، فقد تضيع أيام من مهلة الخمسة في الأوراق.
الجانب الأمني الذي تغفله المراجعات القانونية
«عدم تطبيق الضمانات» هي الفئة التي يلتقي فيها الأمن السيبراني بالخصوصية. فالنظام يتوقع من جهة التحكم حماية البيانات الشخصية بتدابير تنظيمية وإدارية وتقنية مناسبة. وحين تسألك اللجنة كيف حميت قاعدة البيانات، فالجواب المقنع هو الدليل:
- اختبار اختراق حديث للأنظمة التي تحتوي بيانات شخصية، مع إغلاق نتائجه؛
- سجل لإدارة الثغرات؛
- مراجعات للصلاحيات وسجلات للوصول؛
- خطة استجابة للتسرب جُرّبت فعلاً.
هنا يتوقف اختبار الاختراق عن كونه بنداً في ميزانية التقنية، ويصبح جزءاً من دفاعك القانوني.
الإبلاغ عن التسرب: 72 ساعة
بموجب اللائحة التنفيذية للنظام (المادة 24)، على جهة التحكم إبلاغ سدايا خلال 72 ساعة من علمها بتسرب البيانات الشخصية، وإبلاغ الأفراد المتضررين دون تأخير غير مبرر متى كان الضرر محتملاً. ويتم الإبلاغ عبر المنصة الوطنية لحوكمة البيانات.
والـ72 ساعة تذهب سريعاً في عطلة تمتد من الخميس إلى السبت. حدّد الآن من يقيّم التسرب، ومن يصوغ الإشعار، ومن يضغط زر الإرسال.
خطة جاهزية لـ30 و60 و90 يوماً
أول 30 يوماً: كن قابلاً للوصول
- تأكد من الشخص الذي يحمل الوكالة والصلاحية على المنصة في إجراءات سدايا.
- أعدّ جرداً لأنشطة المعالجة: أي بيانات، وما الأساس النظامي، وأي أنظمة.
- أوقف التسويق إلى أي قائمة لا تستطيع إثبات موافقة أصحابها.
من اليوم 31 إلى 60: أغلق الفجوات الواضحة
- عالج فجوات الأساس النظامي وحدّث إشعارات الخصوصية.
- ضع اتفاقيات مشاركة البيانات مع المعالجين والشركاء.
- نفّذ اختبار اختراق للأنظمة التي تحتوي بيانات شخصية، وابدأ ببوابات العملاء والتطبيقات.
من اليوم 61 إلى 90: أثبت جاهزيتك
- جرّب إجراء الإبلاغ خلال 72 ساعة بتمرين محاكاة.
- أنشئ مسار طلبات أصحاب البيانات بمواعيد محددة.
- اجمع ملف الأدلة: سجلات المعالجة وتقارير الاختبار والمعالجة والتدريب.
كيف تساعد Summit؟
يشرح دليلنا عن نظام حماية البيانات الشخصية كيف نتناول تقييم الفجوات وسجلات المعالجة ومعالجة الموافقات والإشعارات والاستعداد للاستجابة للتسرب. ويقدّم اختبار الاختراق لدينا، بالشراكة مع جهة موثّقة ومسجّلة لدى الهيئة الوطنية للأمن السيبراني، الدليل التقني على الضمانات الذي ستطلبه أي لجنة. وقد عملنا مع أكثر من 115 عميلاً في الرياض وجدة والدمام ومدن أخرى من البداية إلى النهاية.
سبق القرارات الثمانية والأربعين القادمة
احجز مراجعة جاهزية لنظام حماية البيانات مع Summit واخرج بخطة معالجة مرتّبة بالأولويات. ابدأ من هنا.
اقرأ أيضاً: مسودة تعديلات اللائحة التنفيذية، أكتوبر 2026 · اختبار الاختراق بحسب ضوابط NCA ECC
الأسئلة الشائعة
كم قراراً أصدرت سدايا في إنفاذ نظام حماية البيانات الشخصية؟
في 16 يناير 2026 أفادت وكالة الأنباء السعودية بأن لجان النظر في المخالفات التابعة لسدايا أصدرت 48 قراراً تؤكد وقوع مخالفات وتطبّق العقوبات المقررة على جهات التحكم، وذلك عن عام 2025.
ما الحد الأقصى لغرامة نظام حماية البيانات الشخصية؟
حتى 5 ملايين ريال عن المخالفة الواحدة، ويجوز مضاعفتها عند تكرار المخالفة. وقد تصل عقوبة الإفصاح المتعمد عن بيانات حساسة إلى السجن سنتين و/أو غرامة حتى 3 ملايين ريال.
كم مهلة الرد على إشعار مخالفة من سدايا؟
خمسة أيام من تاريخ الإخطار بحسب قواعد إجراءات اللجان كما لخّصها مكتب Clyde & Co.
ما مهلة الإبلاغ عن تسرب البيانات؟
72 ساعة من العلم بالتسرب، بإبلاغ سدايا. ويُبلَّغ الأفراد المتضررون دون تأخير غير مبرر إذا كان الضرر محتملاً.
هل ينطبق النظام على الشركات خارج المملكة؟
نعم. ينطبق على معالجة البيانات الشخصية المتعلقة بالأفراد في المملكة، ومنها ما تجريه جهات خارجها.
