نقل البيانات الشخصية خارج المملكة: ما تشترطه اللائحة لأدوات السحابة والذكاء الاصطناعي

نقل البيانات الشخصية خارج المملكة جائز بشروط. فنظام حماية البيانات الشخصية السعودي يسمح للشركة بأن ترسل البيانات إلى الخارج، أو تتيح لجهة هناك الاطلاع عليها، متى كان للنقل غرض يقرّه النظام، ولم يمسّ الأمن الوطني، واقتصر على الحد الأدنى من البيانات. ويُشترط كذلك أن تتوافر في الدولة المستقبِلة حماية مناسبة تقرّها الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وإلا وجب أن يدخل النقل في إحدى حالات الإعفاء الخمس مع ضمانتها. وسدايا هي الجهة المختصة بتطبيق النظام. أما اشتراطات الاستضافة داخل المملكة فمصدرها ضوابط حكومية واشتراطات قطاعية.

وهذا الدليل موجّه إلى فئتين: شركة في المملكة تعمل أدواتها السحابية وأدوات الذكاء الاصطناعي على خوادم خارجها، وشركة في الإمارات أو غيرها من دول الخليج أو في أي بلد آخر تعالج بيانات أفراد مقيمين في المملكة.

هذا المقال معلومات عامة وليس استشارة قانونية. راجع التزامات منشأتك وفق النص النافذ للنظام ولوائحه.

الجواب المختصر: ما تجيزه المادة 29 وبأي شروط

تجيز المادة 29 من النظام، بعد تعديلها بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، أن تنقل جهة التحكم البيانات الشخصية إلى خارج المملكة أو تفصح عنها لجهة خارج المملكة، لتنفيذ التزام بموجب اتفاقية تكون المملكة طرفًا فيها، أو لخدمة مصالح المملكة، أو لتنفيذ التزام يكون صاحب البيانات طرفًا فيه، أو لأغراض أخرى تحددها اللوائح. وتشترط لذلك:

• ألا يترتب على النقل «مساس بالأمن الوطني أو بمصالح المملكة الحيوية»؛
• أن يتوافر في الخارج مستوى مناسب للحماية «وفقاً لنتائج تقويم تجريه الجهة المختصة»؛
• أن يقتصر النقل على «الحد الأدنى من البيانات الشخصية الذي تدعو الحاجة إليه».

ولا تسري هذه الشروط في حالات الضرورة القصوى للمحافظة على حياة صاحب البيانات أو مصالحه الحيوية، أو للوقاية من عدوى مرضية أو فحصها أو معالجتها [1، المادة 29].

وجهة التحكم هي التي تحدد الغرض من المعالجة وكيفيتها، وجهة المعالجة هي التي تعالج البيانات لمصلحة جهة التحكم ونيابةً عنها [1، المادة 1]؛ فالشركة التي تحفظ بيانات عملائها في نظام سحابي جهةُ تحكم غالبًا، ومزوّد النظام جهةُ معالجة. فإن استخدم المزوّد البيانات لأغراضه هو، كتدريب نماذجه، عُدّ جهة تحكم في ذلك الاستخدام.

خطآن شائعان، ونصوص قديمة

«يجب أن تبقى البيانات داخل المملكة». ليس في المملكة نظام عام لتوطين البيانات يسري على كل الشركات الخاصة؛ فالاشتراطات الأشد حكومية وقطاعية، كما سيأتي.

«كل نقل يحتاج إلى موافقة سدايا». كان النص الأصلي للمادة 29 يشترط «موافقة الجهة المختصة على النقل أو الإفصاح»، ثم سقط الشرط بتعديل عام 1444هـ (2023م)، ويعرض موقع هيئة الخبراء بمجلس الوزراء النصين معًا [1]. وكانت «القواعد العامة لنقل البيانات الشخصية خارج الحدود الجغرافية للمملكة»، التي أصدرها مكتب إدارة البيانات الوطنية عام 2020، تشترط في أغلب حالاتها موافقة كتابية من الجهة التنظيمية [2]. أما النافذ اليوم فهو «لائحة نقل البيانات الشخصية إلى خارج المملكة» الصادرة بقرار رئيس سدايا رقم (1840) وتاريخ 27/2/1446هـ، والمنشورة في جريدة أم القرى في 1 سبتمبر 2024 [3]، بعد نسخة سابقة نُشرت في 7 سبتمبر 2023 [4]. ولا تعرض صفحة الأنظمة واللوائح في موقع سدايا إلا نسخة 2024 [5]، فتحقق من تاريخ أي نص تعتمد عليه.

من أين تأتي اشتراطات التوطين؟

تُلزم «ضوابط الأمن السيبراني للحوسبة السحابية (CCC – 2: 2024)» الصادرة عن الهيئة الوطنية للأمن السيبراني الجهاتِ الحكومية، وجهاتِ القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، ومقدّمي الخدمات السحابية لهذه الجهات [6]. وقد حذف إصدار 2024 الضابطين اللذين كانا يشترطان تقديم الخدمات السحابية من داخل المملكة، ونقل الضوابط المتعلقة بتوطين البيانات وسيادتها إلى سدايا، وعلى الجهات الرجوع إلى مكتب إدارة البيانات الوطنية فيها قبل اتخاذ أي إجراء [6، الملحق د]. وفي القطاع المصرفي مثلًا قد تلزم موافقة البنك المركزي السعودي [7].

شركة سعودية أم شركة خارج المملكة: من تشمله هذه الأحكام؟

إن كانت شركتك في المملكة، فأنت غالبًا جهة التحكم، ومزوّد الخدمة السحابية أو أداة الذكاء الاصطناعي في الخارج جهة معالجة، واستخدامك الأداة نقلٌ للبيانات تبقى مسؤوليته عليك؛ فالمادة 8 من النظام تُلزمك باختيار جهة معالجة «توفر الضمانات اللازمة لتنفيذ أحكام النظام واللوائح»، والتحقق من التزامها [1، المادة 8].

وإن كانت شركتك خارج المملكة، فالنظام يشملك دون أن يكون لك مكتب فيها، لأنه يسري على «معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة بأي وسيلة كانت من أي جهة خارج المملكة» [1، المادة 2]:

التسجيل. في منصة حوكمة البيانات الوطنية مسار «تسجيل الجهات خارج المملكة»، يتطلب سجلًا تجاريًا ساريًا وممثلًا مفوضًا يوثَّق عبر وزارة الخارجية، وينتهي بإصدار «شهادة السجل الوطني لحماية البيانات الشخصية» [10]. لكن تحديد من يلزمه التسجيل متروك لقواعد التسجيل [11، المادة 34]، والقواعد المنشورة تخص الجهات داخل المملكة، وتنص على أن الجهة المختصة (سدايا) «ستصدر … قواعد التسجيل لجهات التحكم خارج المملكة» [12]، ولم نجدها منشورة عند مراجعتنا في 29 سبتمبر 2026 [5]. فتحقق مما إذا كان التسجيل يلزم منشأتك، ولا تبنِ قرارك على افتراض.

ولقرّاء الخليج: في تقويم سدايا لمستوى حماية البيانات خارج المملكة، يسري على «المدن والمناطق الاقتصادية الخاصة ومراكز التجارة العالمية» ما يسري على الدول [3، المادة 3]، فقد تُقوَّم المنطقة بمعزل عن دولتها. أما قواعد النقل في دولتك فراجعها على حدة.

لائحة نقل البيانات الشخصية خارج المملكة: مسار القرار في ست خطوات

الاطلاع من الخارج نقلٌ أيضًا. تعرّف البنود التعاقدية القياسية النقل بأنه «نقل البيانات الشخصية أو الكشف عنها (أو منح حق الوصول إليها)» من المملكة إلى جهات في دول أخرى [9]، ويعدّ دليل تقويم المخاطر «الوصول عن بعد» من صوره [13]. فقاعدة بيانات في الرياض يطّلع عليها فريق دعم في الخارج داخلةٌ في النطاق.

أجب عن هذه الأسئلة لكل تدفق بيانات على حدة:

1. هل تُخزَّن بيانات شخصية لأفراد في المملكة، أو تُعالَج، أو يُطَّلع عليها من الخارج؟ إن لم يكن كذلك، فلا تنطبق أحكام النقل على هذا التدفق، وتبقى سائر أحكام النظام سارية؛ وإلا فانتقل إلى السؤال 2.
2. هل منشأتك جهة حكومية، أو تشغّل بنية تحتية وطنية حساسة، أو تعمل في قطاع لجهته التنظيمية اشتراطات خاصة بالبيانات (كالقطاع المصرفي)؟ إن كانت كذلك، فابدأ باشتراطات جهتك، ثم أكمل الأسئلة التالية؛ فهي تسري إلى جانبها.
3. ما الغرض؟ أحد أغراض المادة 29 الأربعة [1]، أو ما أضافته اللائحة: العمليات التشغيلية الضرورية للمعالجة المركزية، أو تقديم خدمة أو منفعة لصاحب البيانات، أو البحوث والدراسات العلمية [3، المادة 2]. ومن أمثلة العمليات التشغيلية في اللائحة «عمليات الموارد البشرية، والفواتير والحسابات» [3، المادة 1]. فإن لم تجد غرضًا، فلا تنقل.
4. هل تستطيع أن ترسل أقل؟ الحد الأدنى شرط في النظام، فاحذف الأسماء وأرقام الهوية متى أمكن. وتدعو البنود التعاقدية القياسية إلى النظر في التشفير أو إزالة ما يحدد الهوية [9، البند 11].
5. هل الدولة في قائمة سدايا؟ تُلزم اللائحةُ سدايا بأن تنشر قائمة الدول والمنظمات الدولية التي توفر مستوى مناسبًا لحماية البيانات الشخصية، وأن تراجعها «كل أربع سنوات أو عند الاقتضاء» [3، المادة 3]. ولم نجد القائمة منشورة عند مراجعتنا في 29 سبتمبر 2026 [5]، فأعد التحقق. إن كانت الدولة فيها، فانقل الحد الأدنى وسجّل النقل، وإلا فانتقل إلى السؤال 6.
6. أي حالة إعفاء تنطبق، وما ضمانتها؟ تعفي المادة 4 جهةَ التحكم من شرطَي المستوى المناسب للحماية والحد الأدنى من البيانات، أو من أحدهما، مع بقاء النقل مقيّدًا بالضمانات المناسبة، ولا تعفي من شرط عدم المساس بالأمن الوطني [3، المادة 4].

ويرد قيد «وألا تكون تلك البيانات بيانات حساسة» في النص العربي في آخر الحالتين (ب) و(هـ)، فيشمل كلًّا منهما بخياريها، أما الترجمة الإنجليزية فتربطه في (ب) بخيار الشهادة وحده [14]؛ والنص العربي هو المعتمد. والبيانات الحساسة في النظام تشمل ما يتعلق بالأصل العرقي أو الإثني، أو المعتقد الديني أو الفكري أو السياسي، والبيانات الأمنية والجنائية، وبيانات السمات الحيوية التي تحدد الهوية، والبيانات الوراثية والصحية [1، المادة 1].

تنبيه: لا تتناول أي من الحالات الخمس صراحةً شركةً تشترك في خدمة سحابية أو أداة ذكاء اصطناعي خارجية؛ فالحالة (ج) تتطلب مجموعة كيانات متعددة الجنسيات، و(د) جهة لديها شهادة اعتماد، و(ب) نقلًا محدودًا. فاختيار حالة أداتك تقدير نظامي: اكتب الحالة التي تستند إليها وأسبابك، واطلب من محامٍ مراجعتها، واحفظ المذكرة مع تقويم المخاطر. وإلى أن يتضح ذلك، ضيّق ما يحتاج إلى رأي نظامي:

• اسأل المزوّد هل يستطيع تخزين بياناتك ومعالجتها داخل المملكة. يبقى اطلاع فريق الدعم من الخارج نقلًا، لكنه أضيق وأسهل في التقييد والتسجيل [9؛ 13].
• فضّل جهة مستقبِلة تحمل شهادة اعتماد متى نُشرت قائمة الجهات الحاصلة عليها؛ فالشهادة ضمانة مقبولة في الحالات من (ب) إلى (هـ) [3، المادة 4].

أجرِ تقويم المخاطر قبل أي نقل وفق المادة 4 [3، المادة 7]. وسجّل كل نقل وأساسه النظامي والجهات المستقبِلة في سجل أنشطة معالجة البيانات الشخصية، واحتفظ بالسجل طوال المعالجة وخمس سنوات بعد انتهائها [11، المادة 33]. وإذا أخللت بالضمانات أو رأت سدايا عدم كفايتها، سقط الإعفاء ووجب التوقف عن النقل وإشعار الجهات المستقبِلة [3، المادة 6]. وتبقى الأحكام سارية إذا نقل مزوّدك البيانات إلى طرف آخر، وهو ما تسميه اللائحة «النقل اللاحق» [3، المادة 5].

البنود التعاقدية القياسية أو القواعد المشتركة الملزمة أو شهادة الاعتماد: أي ضمانة تختار؟

البنود التعاقدية القياسية

البنود التعاقدية القياسية نصوص عقدية ثابتة توقّعها الجهة المصدِّرة في المملكة والجهة المستوردة في الخارج ضمانةً للنقل [3، المادة 4]. وقد أصدرتها سدايا (الإصدار 1.0، سبتمبر 2024) في أربعة نماذج، يحدد الأطراف منها ما يطابق أدوارهم ويحذفون الباقي [9]:

ما توافق عليه الجهة المستوردة في الخارج:

• لا تعديل على النص إلا في الحقول الفارغة، وأي تعديل آخر لا تعتد به سدايا ويُعد مخالفة [9، القاعدة 5]؛ ويجوز إضافة ضمانات لا تتعارض مع البنود [9، البند 2].
• الأنظمة السعودية ومحاكم المملكة: تخضع الجهة المستوردة للاختصاص القضائي للمملكة، وتحكم البنودَ أنظمتُها، وتختص محاكمها بالنزاعات [9، القاعدة 8 والبند 8].
• التعاون مع سدايا في طلباتها وإجراءات التدقيق [9، القاعدة 9 والبند 9].
• مهل قصيرة: إذا عجزت الجهة المستوردة عن الالتزام، أشعرت الجهة المصدِّرة خلال 24 ساعة، فيتوقف النقل فورًا، ولها مهلة 30 يومًا قابلة للتمديد مدة مماثلة لإثبات قدرتها على الالتزام، فإن انقضت دون ذلك اتفق الطرفان على إنهاء التعاقد [9، البند 12]. وفي النموذج الثاني: إشعار بتسرب البيانات خلال 24 ساعة، وإحالة طلبات أصحاب البيانات خلال 48 ساعة [9، النموذج الثاني، البندان 6 و10].
• النقل اللاحق: لا تنقل الجهة المستوردة البيانات إلى طرف ثالث خارج المملكة إلا إذا انضم إلى البنود بالنموذج المناسب [9، النموذج الثاني، البند 8].
• الإتلاف: تُتلف البيانات بعد انتهاء الغرض ما لم تطلب الجهة المصدِّرة إعادتها، ويوثَّق الإتلاف عند الإنهاء [9، النموذج الثاني، البند 5؛ البند 12].
• المانع القانوني: لا نقل إذا كانت قوانين دولة المستورد تمنعه من الالتزام بالبنود [9، القاعدة 7].

القواعد المشتركة الملزمة

للمجموعات متعددة الجنسيات. يشترط دليل سدايا أن يعتمدها داخليًا صاحب الصلاحية في المجموعة، وأن تُلزم كل عضو فيها قانونًا، وأن تخضع للأنظمة السعودية ولاختصاص محاكم المملكة [15، القواعد 3 و4 و6]. ولا يذكر الدليل اعتمادًا مسبقًا من سدايا، بخلاف نسخة 2023 من اللائحة التي نصت على موافقة الجهة المختصة عليها [4].

شهادة الاعتماد

بحسب «القواعد المنظمة لإصدار شهادات الاعتماد لجهات التحكم وجهات المعالجة» (الإصدار 1.0، 2026)، تصدر الشهادة جهةٌ مرخص لها من سدايا لجهة تحكم أو معالجة داخل المملكة أو خارجها، مسجلة في السجل الوطني لجهات التحكم. ويصدر تقرير التقييم خلال 90 يوم عمل كحد أقصى، وتسري الشهادة سنتين، وعلى الحاصلة عليها خارج المملكة أن تُبلغ الجهةَ المرخص لها بأي تغيير في المتطلبات النظامية أو الممارسات في دولتها يتعارض مع شروط الشهادة [16]. وتصلح الشهادة ضمانةً في الحالات (ب) إلى (هـ)، وهي الضمانة الوحيدة في الحالة (د)؛ فإن حملها المزوّد الأجنبي، أمكن لعملائه الاستناد إليها. ونصّت القواعد على نشر قائمة الجهات المرخص لها على منصة سدايا [16، المادة 5]، وقائمة الجهات الحاصلة على الشهادة ومدة سريانها على موقعها الرسمي [16، المادة 13]؛ ولم نجد أيًّا من القائمتين في صفحة الأنظمة واللوائح ولا في الصفحات العامة لمنصة حوكمة البيانات الوطنية عند مراجعتنا في 29 سبتمبر 2026 [5].

تقويم مخاطر نقل البيانات الشخصية: ورقة عمل

يجب إجراء التقويم قبل أي نقل وفق المادة 4، وقبل نقل بيانات حساسة «بصفة مستمرة أو على نطاق واسع» [3، المادة 7]. وينص الدليل الاسترشادي الذي أصدرته سدايا في فبراير 2025 على أنه لا يُعد «وثيقة نظامية ملزمة»، وتدعمه أداة على منصة سدايا [13]. ويطلب الدليل تحديد دولة التخزين بدقة، ومكانه (سحابة عامة أو خاصة أو مقر الجهة)، ومدة الاحتفاظ، و«الوصول عن بعد»، والإفصاح لأطراف أخرى «في نطاق تعاقدات لاحقة».

انسخ الجدول واملأه لكل أداة، وعناصره من المادة 7 (الفقرة 2) [3]:

وإن بقيت المخاطر عالية بعد التدابير، وكانت لها آثار قد لا يمكن تداركها على المدى القريب، فعلى جهة التحكم «البحث عن أساليب أخرى»، كتعديل نشاط المعالجة أو الاستغناء عنه [13].

أدوات السحابة والذكاء الاصطناعي: عشرة أسئلة لكل مزوّد

تحدد المادة 17 من اللائحة التنفيذية ما يتضمنه اتفاقك مع أي جهة معالجة، ومنه: الغرض، وفئات البيانات، والمدة، والإشعار بالتسرب «دون تأخر غير مبرر»، و«توضيح ما إذا كانت جهة المعالجة تخضع لأنظمة في دول أخرى»، وجهات المعالجة الفرعية، ولا تُضاف جهة فرعية إلا بموافقتك المسبقة [11، المادة 17].

ثم أرسل هذه الأسئلة كتابةً إلى كل مزوّد في الخارج. الأسئلة 7 إلى 9 نصيحة عملية منا، وسائرها مستند إلى النصوص السابقة [9؛ 11؛ 13؛ 16]. وإن كنت أنت المزوّد في الخارج، فهذه هي الأسئلة التي سيرسلها إليك عملاؤك في المملكة؛ فجهّز إجاباتها المكتوبة وملاحق النموذج الثاني مملوءة قبل أن تُطلب.

1. في أي دول تُخزَّن بياناتنا وتُعالَج وتُنسخ احتياطيًا، ومن أين يُطَّلع عليها، بما في ذلك فرق الدعم؟
2. ما جهات المعالجة الفرعية لديكم وأين هي؟ وهل تُشعروننا قبل إضافة جهة جديدة، بما في ذلك حين ترسل ميزة ذكاء اصطناعي جديدة بياناتنا إلى مزوّد آخر أو منطقة أخرى، وهل يحق لنا الاعتراض عليها؟
3. هل تخضعون لأنظمة دولة أخرى قد تُلزمكم بالإفصاح عن بياناتنا؟
4. هل توقّعون النموذج الثاني من بنود سدايا دون تعديل، وتقبلون أنظمة المملكة ومحاكمها؟
5. هل تُشعروننا بأي تسرب لبياناتنا خلال 24 ساعة؟
6. عند انتهاء العقد، هل تتلفون بياناتنا أو تعيدونها، وتؤكدون ذلك كتابةً؟
7. للذكاء الاصطناعي: هل تُحفظ المدخلات (الأوامر النصية) والملفات والمخرجات؟ وكم مدة حفظها، وفي أي دولة؟
8. للذكاء الاصطناعي: هل تُستخدم لتدريب النماذج أو تحسينها، وهل يمكن استبعاد ذلك في العقد؟
9. للذكاء الاصطناعي: هل يقرأ موظفوكم محتوانا، لمراجعة السلامة مثلًا، ومن أي دولة؟
10. هل تحملون شهادة اعتماد وفق قواعد سدايا؟ ومن أي جهة مرخص لها، وما رقمها وتاريخ انتهائها؟

قلّل قبل الإرسال. لتلخيص تذاكر الدعم مثلًا، احذف الأسماء وأرقام الهوية والإقامة والجوال إن لم تحتجها المهمة، وأبقِ البيانات الحساسة خارج الأداة ما لم تُجرِ تقويم المخاطر. وإن كنت ما زلت تختار أول مهمة للذكاء الاصطناعي، فابدأ من دليل المهمة الواحدة المتكررة، وهذه الأسئلة تنطبق كذلك على مساعد واتساب للرد على العملاء. وعلى مكاتب المحاماة واجب سرية تجاه العملاء فوق أحكام النظام؛ انظر الذكاء الاصطناعي في المحاماة بالمملكة.

وصرّح لعملائك بما يحدث فعلًا. فالمادة 13 من النظام تُلزمك بأن تُحيطهم عند جمع بياناتهم بما إذا كانت ستُعالج خارج المملكة [1، المادة 13]. وهكذا تصف O AI (أو إيه آي)، ناشرة هذا الدليل وشركة ذكاء اصطناعي وبرمجيات سعودية في الخبر، استضافتها:

الاستضافة الأساسية (الحوسبة وقاعدة البيانات والملفات) على بنية سحابية سعودية داخل المملكة. وعدد محدود من الخدمات المساندة، كمعالجة الذكاء الاصطناعي وإرسال البريد، قد يعمل خارج المملكة؛ وتبيّن سياسات الخصوصية كل تدفق من هذه التدفقات.

والعبرة بالترتيب: الموقع الأساسي أولًا، ثم الاستثناءات بوضوح، بدل القول إن كل شيء يبقى داخل المملكة.

جدول جرد من صفحة واحدة: الأداة، والبيانات، والدولة، والضمانة

خصّص عمودًا لكل أداة تمسّ بيانات شخصية، بما فيها الأدوات «المجانية» التي سجّل فيها الموظفون بأنفسهم. والأمثلة الثلاثة افتراضية:

وراجعه حين يغيّر مزوّد مناطقه أو جهاته الفرعية، وحين تنشر سدايا قائمة الدول أو تعدّل الضمانات، ولها أن تفعل ذلك «كل سنتين أو عند الاقتضاء» [3، المادة 4]. وإن كنت تقارن بين برنامج جاهز ونظام يُبنى لشركتك، فأضف الأسئلة 1 إلى 6 إلى دليل المقارنة بين البرنامج الجاهز والنظام المبني لشركتك.

ما تفعله خلال الأسبوعين القادمين

1. اكتب كل أداة تمسّ بيانات شخصية: إدارة العملاء، والبريد، والموارد البشرية، والمحاسبة، والمحادثات، والذكاء الاصطناعي، والنسخ الاحتياطي.
2. املأ لكل أداة عمودًا في جدول الجرد، وأرسل الأسئلة العشرة إلى كل مزوّد في الخارج.
3. حدد المسار والضمانة لكل أداة، واطلب من محامٍ مراجعة اختيارك.
4. أجرِ تقويم المخاطر حيث يجب، ثم حدّث سجل أنشطة المعالجة وسياسة الخصوصية.

لست متأكدًا أي أدواتك ترسل بيانات شخصية إلى خارج المملكة؟ احجز استشارة مجانية لنناقشها معك دون أي التزام، ونردّ عليك خلال يوم عمل واحد.