امتثال موقعك لنظام حماية البيانات الشخصية: دليل عملي للسعودية ومصر والإمارات

الإجابة المختصرة: ليكون موقعك متوافقًا مع أنظمة حماية البيانات الشخصية في السعودية ومصر والإمارات، يجب أن تجمع أقل قدر من البيانات تحتاجه فعلًا، وأن تحصل على موافقة واضحة قبل تشغيل أدوات التتبع والإعلانات، وأن تنشر سياسة خصوصية تشرح ماذا تجمع ولماذا، وأن تتيح للعميل طلب الاطلاع على بياناته أو تصحيحها أو حذفها، وأن تحمي البيانات تقنيًا وتعرف أين تُخزن.

لم يعد هذا الموضوع رفاهية قانونية. فنظام حماية البيانات الشخصية في السعودية أصبح ملزمًا بالكامل منذ سبتمبر 2024، وفي مصر صدرت اللائحة التنفيذية للقانون رقم 151 لسنة 2020 في نوفمبر 2025 ومنحت الجهات مهلة سنة لتوفيق أوضاعها. وفي هذا الدليل نشرح ما يعنيه ذلك لموقع شركتك أو متجرك عمليًا.

ما هي القوانين التي تنطبق على موقعك؟

نقطة مهمة: هذه القوانين تهتم بمكان صاحب البيانات وليس فقط بمكان شركتك. فإذا كان موقعك يستقبل طلبات من عملاء في السعودية أو مصر، فغالبًا ينطبق عليك قانون تلك الدولة حتى لو كانت شركتك مسجلة في دولة أخرى.

ما البيانات الشخصية التي يجمعها موقعك دون أن تنتبه؟

معظم الشركات تظن أنها لا تجمع بيانات لأنها لا تبيع أونلاين، بينما يجمع موقعها يوميًا:

• بيانات النماذج: الاسم والجوال والبريد في نماذج التواصل وطلب عرض السعر.
• ملفات تعريف الارتباط (الكوكيز): من Google Analytics وبكسل ميتا وتيك توك وأدوات الخرائط الحرارية.
• عنوان IP وبيانات الجهاز: في سجلات الخادم وأدوات الحماية.
• محادثات واتساب والشات بوت: وما يُنقل منها إلى نظام CRM.
• بيانات الحسابات والطلبات والدفع: في المتاجر والمنصات.

8 متطلبات عملية ليصبح موقعك متوافقًا

1. نافذة موافقة حقيقية على الكوكيز

لا يكفي شريط يقول "نحن نستخدم الكوكيز". الموافقة المقبولة هي التي تمنع تشغيل أدوات التحليلات والإعلانات حتى يوافق الزائر، وتعطيه خيار الرفض بنفس سهولة القبول، وتحفظ سجلًا بموافقته. ويمكن ربطها بوضع Google Consent Mode حتى لا تفقد قياس إعلاناتك بالكامل عند الرفض.

2. سياسة خصوصية مكتوبة لموقعك أنت

سياسة الخصوصية المنسوخة من موقع آخر لا تحميك. يجب أن تذكر البيانات التي تجمعها فعلًا، والغرض منها، والأساس النظامي، ومن تشاركها معه مثل شركات الشحن والدفع والإعلانات، ومدة الاحتفاظ بها، وكيف يتواصل العميل معك بشأنها. واجعلها بالعربية والإنجليزية إذا كان موقعك ثنائي اللغة.

3. نماذج تجمع الحد الأدنى فقط

اسأل نفسك عن كل حقل: هل أحتاجه لتقديم الخدمة؟ احذف ما لا تحتاجه، وأضف نصًا قصيرًا بجوار زر الإرسال يشرح كيف ستستخدم البيانات مع رابط لسياسة الخصوصية. وافصل موافقة التسويق عن إرسال الطلب: لا تضع خانة موافقة على الرسائل التسويقية محددة مسبقًا.

4. آلية لطلبات أصحاب البيانات

من حق العميل أن يطلب الاطلاع على بياناته أو تصحيحها أو حذفها أو سحب موافقته. جهّز بريدًا أو نموذجًا مخصصًا لذلك، وإجراءً داخليًا واضحًا يعرف فيه فريقك أين توجد بيانات العميل في الموقع وCRM وواتساب حتى يستطيع الاستجابة.

5. أمن تقني يناسب حساسية البيانات

شهادة SSL وإعدادات https صحيحة هي البداية فقط. أضف تحديثات منتظمة، وصلاحيات محدودة للوحة التحكم، وتحققًا ثنائيًا للمدراء، ونسخًا احتياطية مشفرة، وحماية النماذج من الرسائل المزعجة والحقن. راجع دليلنا عن إدارة شهادات SSL وحلول أتمتة الأمان للمواقع.

6. معرفة أين تُخزن البيانات ومن يعالجها

استضافتك وأدوات البريد والتحليلات وCRM قد تكون خارج الدولة، والقوانين الثلاثة تضع ضوابط على نقل البيانات للخارج. في مصر مثلًا تتطلب اللائحة التنفيذية ترخيصًا أو تصريحًا من مركز حماية البيانات قبل النقل خارج الدولة في حالات كثيرة. اعمل قائمة بكل مزود خدمة يصل إلى بيانات عملائك ومكان خوادمه.

7. خطة للتعامل مع التسريب

تفرض هذه الأنظمة إبلاغ الجهة المشرفة عند حدوث تسريب يمس البيانات الشخصية خلال مدد قصيرة. جهّز من الآن من المسؤول، وكيف تكتشف التسريب، وكيف توثقه، وكيف تبلغ الجهة والعملاء المتأثرين.

8. عناية خاصة بالبيانات الحساسة وبيانات الأطفال

إذا كان موقعك لعيادة أو مدرسة أو تطبيق صحي، فأنت تتعامل مع بيانات حساسة تحتاج موافقة صريحة وحماية أعلى. وفي المنصات التعليمية يجب الانتباه لبيانات الطلاب القُصّر وموافقة أولياء الأمور.

قائمة تحقق سريعة لموقعك

• لا تعمل أدوات التحليلات والبكسلات قبل موافقة الزائر.
• زر "رفض" ظاهر بنفس وضوح زر "قبول".
• سياسة خصوصية محدثة تذكر أدواتك الحقيقية، ورابطها في التذييل وبجوار كل نموذج.
• لا توجد حقول غير ضرورية في النماذج.
• موافقة التسويق منفصلة وغير محددة مسبقًا.
• طريقة واضحة ليطلب العميل حذف بياناته.
• https في كل الصفحات، وتحديثات منتظمة، وتحقق ثنائي للوحة التحكم.
• قائمة بمزودي الخدمة ومكان تخزين البيانات.

أخطاء شائعة نراها في مواقع الشركات

• تشغيل بكسل ميتا وتيك توك فور فتح الصفحة قبل أي موافقة.
• سياسة خصوصية عامة لا تذكر واتساب أو CRM أو شركات الشحن.
• إرسال بيانات النماذج بالبريد العادي إلى بريد شخصي لأحد الموظفين.
• تصدير قواعد العملاء إلى ملفات Excel تتداول بين الفريق دون ضوابط.
• نسيان أن إضافات WordPress القديمة قد تكون بابًا لتسريب البيانات.

كيف تساعدك ديف لابيكو؟

نراجع موقعك أو متجرك تقنيًا لنعرف ما يجمعه فعلًا من بيانات وأدوات تتبع، ثم ننفذ نافذة موافقة الكوكيز وربطها بأدوات القياس، ونعيد بناء النماذج بالحد الأدنى من البيانات، ونؤمّن لوحة التحكم والاستضافة، ونجهز آلية طلبات العملاء وربطها بنظام CRM. أما الصياغة القانونية النهائية لسياسة الخصوصية فننصح بمراجعتها مع مستشار قانوني مختص. تواصل معنا لمراجعة موقعك.

أسئلة شائعة

هل ينطبق نظام حماية البيانات على موقع شركة صغيرة؟

نعم في الغالب. القوانين لا تستثني الشركات الصغيرة لمجرد حجمها، فأي موقع يجمع اسمًا ورقم جوال عبر نموذج تواصل يعالج بيانات شخصية.

هل أحتاج نافذة كوكيز إذا كنت أستخدم Google Analytics فقط؟

نعم. أدوات التحليلات تضع ملفات تعريف ارتباط وتجمع معرفات للزائر، لذلك تحتاج موافقته قبل تشغيلها.

هل يكفي نسخ سياسة خصوصية جاهزة؟

لا. يجب أن تصف السياسة ما يجمعه موقعك فعلًا ومن يشاركه، وإلا فهي لا تحقق الشفافية التي يطلبها القانون.

ماذا لو كانت استضافة موقعي خارج السعودية أو مصر؟

هذا لا يمنعك من العمل، لكنه يعني أنك تنقل بيانات خارج الدولة، فيجب أن تتأكد من الضوابط المطلوبة لذلك في القانون الذي ينطبق عليك وأن تذكره في سياسة الخصوصية.

تنبيه: هذا الدليل للتوعية التقنية ولا يغني عن الاستشارة القانونية المتخصصة لحالة شركتك.