نظام حماية البيانات الشخصية السعودي للمسوّقين: ماذا تعني 48 قرارًا تنفيذيًا في 2025 لحملات البريد الإلكتروني والرسائل النصية وواتساب

باتت الجهات التنظيمية السعودية تعاقب المسوّقين الذين يراسلون الناس دون موافقتهم. ففي 2025 أصدرت لجان الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) 48 قرارًا بموجب نظام حماية البيانات الشخصية (PDPL)، وكانت الرسائل الإعلانية المرسلة دون موافقة أحد أربعة أنواع مخالفات سُمّيت صراحةً. وبالنسبة للبريد الإلكتروني والرسائل النصية وواتساب، يعني الامتثال: اشتراكًا موثّقًا، وإلغاء اشتراك بسهولة الاشتراك نفسها، ومرسلًا معروف الاسم، ومسارًا نظاميًا للبيانات المخزنة خارج المملكة.

هذه قراءتنا المبسّطة للنصوص الرسمية، وليست استشارة قانونية. تحقّق من إعداداتك مع مستشار قانوني سعودي مؤهل، وراجع نص الجهة التنظيمية نفسها على منصة حوكمة البيانات التابعة لسدايا.

ماذا شملت قرارات سدايا الـ48 في 2025؟

أصدرت لجان المخالفات في سدايا 48 قرارًا في 2025 تثبت مخالفات لنظام حماية البيانات الشخصية وتفرض عقوبات بموجب المادة 36 من النظام. وذكر إعلان وكالة الأنباء السعودية في 16 يناير 2026 أربعة أنواع من المخالفات: الجمع والمعالجة غير النظاميين، والإفصاح دون سند نظامي، وضعف إجراءات الحماية، والرسائل الإعلانية أو التسويقية المرسلة دون موافقة.

‏ بيان واس لم يذكر أسماء الشركات ولا القطاعات ولا مبالغ الغرامات. وأي مقال يذكر علامة تجارية بعينها غُرّمت فهو يخمّن. أما ما يُظهره السجل فهو المجالات التي ركّزت عليها اللجان، وثلاث من الفئات الأربع تمس العمل اليومي للحملات: بناء القوائم، ومشاركتها مع المورّدين، وإرسال الرسائل.

‏ ويضيف تحليل IAPP، المنشور في 25 فبراير 2026، أن عددًا لافتًا من القضايا تعلّق برسائل ترويجية أُرسلت دون موافقة مسبقة، ويصف هذه الممارسة بأنها منتشرة في قطاعات التجزئة والاتصالات والخدمات المالية. وهذه قراءة IAPP، إذ لم تنشر سدايا أي تفصيل حسب نوع المخالفة، لذا تبقى الحصة الدقيقة لقضايا التسويق غير معروفة خارج اللجان.

والخلاصة لمسؤول التسويق محددة: الموافقة على الرسائل انتقلت من سياسة الخصوصية إلى سجل الإنفاذ، وهي من المخالفات القليلة التي اختارت الجهة التنظيمية تسميتها علنًا.

الجدول الزمني للنظام: ساري منذ 2023، والعقوبات منذ سبتمبر 2024

دخل نظام حماية البيانات الشخصية حيز التنفيذ في 14 سبتمبر 2023، وفقًا لدليل سدايا للنظام، ومُنحت الجهات مهلة سنة انتهت في 14 سبتمبر 2024، وقالت سدايا إنها لن تطبّق أي عقوبات خلالها. وبالتالي تغطي القرارات الـ48 أول سنة ميلادية كاملة كانت الغرامات فيها متاحة.

تواريخ دخول النظام حيز التنفيذ والمهلة مأخوذة من دليل نظام حماية البيانات الشخصية السعودي الصادر عن سدايا. كما طرحت سدايا مسودة تعديلات على اللائحة التنفيذية لاستطلاع آراء العموم من 27 أبريل إلى 27 مايو 2025، بحسب ملخص Bird & Bird. وعندما راجعنا منصة سدايا في 1 أكتوبر 2026، كان النص المنشور لا يزال يحمل الصياغة الأصلية، لذا تتبع أرقام المواد أدناه ذلك الإصدار.

ما تشترطه اللائحة التنفيذية للرسائل التسويقية

تشترط المادة 25 من النظام موافقة المتلقي وخيارًا واضحًا لإلغاء الاشتراك قبل استخدام رقم هاتفه أو بريده الإلكتروني للإعلان. وتضيف المادتان 28 و29 من اللائحة التنفيذية التفاصيل: موافقة حرة وموثّقة، والإفصاح عن اسم المرسل دون إخفاء هويته، وإلغاء اشتراك بسهولة الاشتراك نفسها.

وبقراءتها مع المادة 11 (الموافقة) والمادة 12 (سحب الموافقة)، تضع اللائحة التنفيذية الالتزامات التالية للإعلان والتسويق المباشر:

• جودة الموافقة. تُمنح بحرية، دون أساليب مضللة، ويختار المتلقي المواد التي يقبلها (المادة 28(2)).
• الغرض والإثبات. شرح الأغراض قبل طلب الموافقة أو عنده، وموافقة مستقلة لكل غرض، وسجل يُظهر الوقت والطريقة (المادة 11(1)).
• مرسل معروف الاسم. ذكر اسم المرسل دون إخفاء الهوية (المادة 28(3)(أ))، والجهة المرسِلة دون إغفال (المادة 29(2)).
• إلغاء الاشتراك. بسهولة الاشتراك، ومجانًا، ويُنفَّذ فورًا (المادة 28(3)(ب) إلى (د)).
• الأدلة. الاحتفاظ بدليل مادي على موافقة كل متلقٍ (المادة 28(3)(هـ)).

وهناك قيدان في النظام نفسه. المادة 26 لا تسمح بالاستخدام التسويقي إلا للبيانات المجموعة مباشرةً من صاحبها بموافقته، ولا تسمح بذلك أبدًا للبيانات الحساسة، ومنها البيانات الصحية. وبالنسبة للعيادات والمختبرات، يغلق ذلك الباب أمام استخدام سجلات المرضى قوائم تسويقية، ولهذا يبني دليلنا لاستراتيجية SEO في القطاع الصحي الطلب من البحث بدلًا من ذلك.

لا تزال المادة 28(1) بصيغتها المنشورة تربط واجب الموافقة بالحالات التي لا يوجد فيها تعامل سابق. لا تبنِ خطتك على هذه الثغرة، فالمادة 25 من النظام لا تتضمن أي استثناء من هذا القبيل.

قناة بقناة: ما يشترطه النظام والحل العملي

تحتاج كل قناة تواصل صادرة إلى الأمور الثلاثة نفسها بموجب النظام: موافقة مسجّلة مرتبطة بغرض، ومرسل معروف الاسم، وإلغاء اشتراك يعمل بسهولة الاشتراك. وتضيف الرسائل النصية قواعد الاتصالات من هيئة الاتصالات والفضاء والتقنية، وتضيف وحدات بكسل التتبع مسألة نقل البيانات. ويربط الجدول كل قناة بقاعدتها وحلّها.

يعتمد صف واتساب على سياسة رسائل واتساب للأعمال، المحدّثة آخر مرة في 23 سبتمبر 2026. لست متأكدًا من أن نماذجك ووحدات البكسل لديك ستصمد أمام شكوى؟ راجعوا نماذج العملاء المحتملين وإعدادات التتبع لديّ في السعودية.

للرسائل النصية دليل قواعد ثانٍ من هيئة الاتصالات

تخضع الرسائل النصية الترويجية أيضًا للائحة الحد من الرسائل والمكالمات الاقتحامية (SPAM) الصادرة عن هيئة الاتصالات والفضاء والتقنية، والمعتمدة بالقرار 493/1444 في 17 أكتوبر 2022. وتشترط أسماء مرسلين مسجّلة، ولاحقة -AD لمرسلي الإعلانات، وموافقة صريحة مع إثباتها، والإيقاف خلال 24 ساعة من الطلب.

‏ ولوائح هيئة الاتصالات (لا يزال المستند يحمل الاسم السابق للهيئة: هيئة الاتصالات وتقنية المعلومات) تذهب أبعد من نص نظام حماية البيانات في عدة مواضع:

• الموافقة الواردة في سياسات الخصوصية وعقود الخدمة لا تُعتد بها، ويجب على المرسل تقديم الإثبات (البند 4.6.6.1).
• تُضاف اللاحقة -AD إلى كل اسم مرسل مصنّف إعلانيًا (البند 4.3.10).
• تُحظر الرسائل الترويجية والتوعوية من 10:00 مساءً إلى 9:00 صباحًا يوميًا، ومن 1:00 صباحًا إلى 12:00 ظهرًا خلال رمضان، بتوقيت السعودية (البند 4.6.8).
• لا يجوز إرسال الرسائل النصية الترويجية من رقم جوال (البند 4.6.9).
• يجب على المرسلين تأكيد كل اشتراك وإلغاء اشتراك برسالة إشعار (البند 4.6.6.4).

ويجب على المشغّلين أيضًا حظر الرسائل الترويجية افتراضيًا والسماح لكل مشترك بقبول مرسلين محددين (البند 4.4.8.2). وبموجب هذا البند، يبدأ مرسلك ذو اللاحقة -AD محظورًا لدى أي مشترك لم يسمح له، لذا فإن جمع الموافقات يحقق مكسبًا في وصول الرسائل إضافةً إلى المكسب النظامي. وحيث تسمح الهيئة بـ24 ساعة وتنص اللائحة التنفيذية على “فورًا”، فابنِ نظامك على التنفيذ الفوري.

هل يمكنك استخدام نظام CRM أو منصة بريد إلكتروني مستضافة خارج السعودية؟

نعم، بشرط وجود مسار نظامي. فالمادة 29 من النظام تسمح بالنقل إلى الخارج لأغراض محددة إذا لم يُمس الأمن الوطني، وكانت الحماية في الخارج كافية، ولم يُنقل إلا الحد الأدنى من البيانات. وفي غياب قرار بكفاية الحماية، توجّهك لائحة نقل البيانات إلى ضمانات مثل البنود التعاقدية القياسية، إضافةً إلى تقييم مخاطر موثّق.

‏ ولائحة نقل البيانات الشخصية خارج المملكة (الإصدار 2.0، أغسطس 2024) تعمل على ثلاث طبقات:

• قائمة الكفاية. تنص المادة 3 على أن سدايا ستنشر قائمة بالدول ذات الحماية الكافية، تُراجع كل أربع سنوات. ولم نجد قائمة منشورة على منصة سدايا في 1 أكتوبر 2026.
• الضمانات. تذكر المادة 4 البنود التعاقدية القياسية والقواعد المشتركة الملزمة وشهادات الاعتماد، مع حالات إعفاء مثل النقل الذي يقدّم خدمة مباشرة لصاحب البيانات.
• تقييم المخاطر. تشترط المادة 7 إجراء تقييم قبل أي نقل بموجب المادة 4، يغطي الغرض والسند النظامي والضمانات وتقليل البيانات والأضرار المحتملة وسبل الحد منها.

ابدأ بحصر كل أداة تستقبل جهات اتصال سعودية: منصة البريد الإلكتروني، ونظام CRM، وبوابة الرسائل النصية، ومزوّد واتساب، والتحليلات. ونحن نعامل أيضًا رفع قوائم العملاء إلى منصات الإعلان على أنه نقل للبيانات، لأن المنصة تطابق القائمة مع أشخاص يمكن التعرف عليهم. اجرد كل أداة، ووقّع البنود التعاقدية الصادرة عن سدايا حيث يسمح المورّد بذلك، وأنجز التقييم قبل الحملة التالية.

هل توجد قاعدة لملفات تعريف الارتباط تخص البكسل والتحليلات؟

ليست هناك قاعدة مخصصة. فلا النظام ولا اللائحة التنفيذية يتضمنان مادة عن ملفات تعريف الارتباط. لكن إرشادات سياسة الخصوصية الصادرة عن سدايا في أغسطس 2024 تشترط أن تذكر سياسات الخصوصية بيانات ملفات تعريف الارتباط بوصفها فئة، وأن تُدرج ملفات تعريف الارتباط وتحليلات المواقع ضمن طرق الجمع غير المباشر مع بيان الغرض والسند النظامي.

‏ وتُدرج الإرشادات الأسس النظامية التي يمكن لجهة التحكم الاستناد إليها، ومنها الموافقة والمصالح المشروعة لجهة التحكم. وتوصي أيضًا بوضع رابط لسياسة ملفات تعريف الارتباط داخل سياسة الخصوصية، لكنها لا تصل إلى حد إلزام شريط الموافقة.

وبالنسبة لبكسل التسويق، نعتبر الموافقة الأساس الأكثر أمانًا لثلاثة أسباب: فالمصلحة المشروعة بموجب المادة 6(4) من النظام غير متاحة للبيانات الحساسة، وتسقط أيضًا حين تتعارض المعالجة مع مصالح صاحب البيانات، وبيانات إعادة الاستهداف تغادر المملكة في أغلب الأحوال، ما يُدخل قواعد النقل المذكورة أعلاه في الحسبان.

وهناك إعدادان يخلقان مخاطر يمكن تجنبها: الأول بكسل يعمل في كل صفحة، بما فيها صفحات تأكيد الحجز ونتائج الفحوصات. والثاني سياسة خصوصية منسوخة من قالب أوروبي لا تذكر النظام السعودي ولا مسار النقل أبدًا. وتعالج أداة إدارة وسوم مع تقييد بالموافقة، إلى جانب إعادة كتابة السياسة، المشكلتين معًا.

كيف تبدو عقوبات النظام؟

تندرج معظم المخالفات، ومنها التسويق غير المرغوب فيه، تحت المادة 36: إنذار أو غرامة تصل إلى 5 ملايين ريال، يمكن مضاعفتها عند تكرار المخالفة إلى حد أقصى قدره 10 ملايين ريال. أما الإفصاح عن البيانات الحساسة أو نشرها بقصد الإضرار بشخص أو لتحقيق منفعة شخصية فجريمة بموجب المادة 35، عقوبتها السجن حتى سنتين.

الأرقام مأخوذة من النص العربي للنظام على منصة سدايا. ويؤكد بيان يناير 2026 أن اللجان طبّقت المادة 36 في 2025، لكن لم يُكشف عن أي مبالغ فردية.

رأينا

تعامل مع كل جهة اتصال سعودية على أساس الاشتراك المسبق فقط، أيًا كانت صياغة التعامل السابق في المادة 28. فالمادة 25 من النظام لا تستثني العملاء الحاليين، وهيئة الاتصالات تتجاهل الموافقة المدفونة في العقود، واللجان سمّت التسويق غير المرغوب فيه مخالفةً رئيسية. وأرخص برنامج امتثال هو سجل موافقات يمكنك تصديره بنقرة واحدة.

ونرى أيضًا أن زمن القوائم المشتراة انتهى في السعودية. فالمادة 26 تقصر التسويق على البيانات التي جمعتها مباشرةً، وهذه الجملة وحدها تُسقط معظم السوق الرمادية لأرقام الرسائل النصية وواتساب.

وهذا ينقل الميزانية نحو القنوات التي يأتي فيها الناس إليك أولًا. والبحث وإجابات الذكاء الاصطناعي هي الأوضح بينها، ويشرح دليلنا لتحسين الظهور في Google AI Overviews كيف تكسب الصفحات الاستشهادات. فأحد عملاء VOCTOS، مختبرات دلتا الطبية، وهو مختبر طبي سعودي، تجاوز مليون زيارة عضوية شهريًا خلال تعاون بدأ في مارس 2026، ويتصدر المركز الأول في السعودية بـ1,186 كلمة مفتاحية. والزوار العضويون يأتون باختيارهم، دون أي قوائم.

ولا يجعل أي من ذلك البريد الإلكتروني أو الرسائل النصية أو واتساب أقل فائدة، بل يجعلها قنوات لمن قالوا نعم بالفعل.

الأسئلة الشائعة

هل أحتاج إلى موافقة لمراسلة العملاء الحاليين عبر البريد الإلكتروني في السعودية؟

خطط على أن الإجابة نعم. فالمادة 28(1) من اللائحة التنفيذية، بصيغتها المنشورة، تربط واجب الموافقة بالمتلقين الذين لم يسبق التعامل معهم. لكن المادة 25 من النظام تشترط موافقة المتلقي على الإعلانات المرسلة إلى عناوينه الشخصية، دون استثناء للعملاء. اسأل عملاءك الحاليين عند إتمام الشراء أو في إعدادات الحساب، وسجّل كل إجابة.

هل يمكنني شراء قائمة أرقام لحملة رسائل نصية أو واتساب في السعودية؟

لا توجد طريقة آمنة لذلك. فالمادة 26 من النظام لا تسمح بالاستخدام التسويقي للبيانات الشخصية إلا إذا جُمعت مباشرةً من صاحبها بموافقته، ولا تسمح بذلك أبدًا للبيانات الحساسة. كما تحظر هيئة الاتصالات الأرقام المجموعة ببرامج الجمع الآلي، وتشترط سياسة واتساب نفسها اشتراك كل متلقٍ تراسله.

هل ينطبق النظام إذا كانت شركتنا خارج السعودية؟

نعم، حين تعالج بيانات أشخاص يقيمون في المملكة. فالمادة 2 من النظام تشمل المعالجة التي تتم في السعودية، ومعالجة بيانات المقيمين فيها من أي جهة خارجها. ففريق في دبي أو لندن يراسل مقيمين في السعودية يقع ضمن النطاق، وأدواته في الخارج تُفعّل قواعد النقل أيضًا.

طلب منا شخص التوقف عن مراسلته. ما السرعة المطلوبة للتنفيذ؟

فورًا. فالمادة 28(3)(ج) من اللائحة التنفيذية تشترط التوقف الفوري عند الطلب، والمادة 12 تنص على إيقاف المعالجة دون تأخير غير مبرر بمجرد سحب الموافقة. وفي الرسائل النصية، تضع هيئة الاتصالات حدًا أقصى قدره 24 ساعة وتشترط رسالة تأكيد. أتمت قائمة الحظر بدلًا من الاعتماد على تصدير يدوي أسبوعي.

هل ستنشر سدايا أسماء الشركات التي تغرّمها؟

لم تفعل حتى الآن. فإعلان يناير 2026 ذكر العدد وأنواع المخالفات دون أسماء شركات أو مبالغ. لكن المادة 38 من النظام تسمح للجنة أو المحكمة بالأمر بنشر ملخص للقرار النهائي في الصحف المحلية على نفقة المخالف، لذا تبقى التسمية العلنية احتمالًا قائمًا.

ما يعنيه ذلك لحملتك السعودية التالية

هناك سؤال أدق أهم من احتمال الغرامة: هل تستطيع أن تُثبت، لأي رقم أو عنوان في قائمتك، متى وكيف قال صاحبه نعم؟ فالقرارات الـ48 في 2025 تخبرك أن اللجان تطرح هذا السؤال بالضبط، واللائحة التنفيذية تخبرك بشكل الإجابة المقبولة.

إذا كنت تستطيع تصدير هذا الإثبات اليوم، فخصص الدورة القادمة لمسار إلغاء الاشتراك، والمرسل ذي اللاحقة -AD، وبنود النقل مع مورّديك، ثم واصل الإرسال. وإن لم تكن تستطيع، فأوقف الإرسال للقوائم الباردة وأصلح نقاط الجمع أولًا: النماذج، وصفحة إتمام الشراء، وروابط واتساب للمحادثة، والتسجيل في المتاجر. ويجب أن تحمل كل جهة اتصال تُجمع بعد ذلك سجل موافقتها الخاص.

وفي الحالتين، معظم العمل بنية تحتية. فسجلات الموافقة وقوائم الحظر وبنود المورّدين نادرًا ما تظهر في موجز الحملة، لكنها تحدد ما إذا كانت الحملة ستصمد أمام أول شكوى.

هل تريد مسارًا لا يعتمد على القوائم إطلاقًا؟ ساعدوني في بناء جمهور سعودي يأتي إلينا أولًا.