التطبيق الفعلي لنظام حماية البيانات الشخصية: غرامات تصل 5 ملايين ريال

انتهت مرحلة السماح في نظام حماية البيانات الشخصية منذ 14 سبتمبر 2024، ودخلت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) مرحلة التطبيق الفعّال. وأعلنت الهيئة مطلع 2026 عن إصدار 48 قراراً خلال عامٍ واحد ضد منشآت خالفت أحكام النظام — وهو رقم يكشف أن المخالفة لم تعد بلا ثمن، بل باتت الملاحقة روتينية لا استثنائية.

أبرز المخالفات المرصودة

تركزت قرارات اللجان على: جمع البيانات ومعالجتها دون أساس نظامي، والإفصاح عن بيانات شخصية دون سند قانوني، والتقصير في اتخاذ التدابير الوقائية اللازمة لحمايتها، وإرسال رسائل إعلانية وتسويقية دون الحصول على موافقة صريحة من صاحب البيانات.

سقف الغرامات

تصل الغرامة الإدارية إلى خمسة ملايين ريال، وقد تُضاعَف عند التكرار. أما إذا تعلقت المخالفة ببيانات حساسة وأدت لضررٍ جسيم، فقد تصل العقوبة إلى الحبس مدةً لا تتجاوز سنتين، مع غرامة تصل إلى ثلاثة ملايين ريال — أي أن بعض المخالفات لم تعد مسألة مدنية بحتة، بل جنائية.

مهلة الرد: خمسة أيام فقط

من أكثر التفاصيل الإجرائية إغفالاً أن قواعد المنصة تمنح المنشأة المُخطَرة مهلة خمسة أيام فقط للرد على الإخطار الوارد عبر بوابة التبليغات. وهي مدة قصيرة تستدعي أن تُهيّئ الشركات مسبقاً آلية داخلية للتعامل السريع مع أي إخطار، بدل مفاجأتها به دون استعداد.

ما الذي ينبغي أن تفعله المنشآت الآن؟

مراجعة سياسة الخصوصية وأساس المعالجة القانوني لكل نشاط بيانات، والتأكد من وجود موافقة موثقة قبل أي رسالة تسويقية، ووضع إجراء داخلي سريع للرد على إخطارات الهيئة خلال مهلتها القصيرة، ومراجعة العقود مع مزوّدي الخدمات التقنية الذين يعالجون بيانات العملاء نيابة عن المنشأة. فالتطبيق الفعلي للنظام يعني أن الامتثال لم يعد رفاهية اختيارية، بل خط دفاع أول ضد مسؤولية قد تصل لحدّ التجريم.

كتبه: نافع بن سعيد السُّلمي — مستشار قانوني.