إدارة الموافقة وفق نظام حماية البيانات — ما يجب على كل تاجر سعودي فعله قبل 2027

انتهت فترة السماح. بدأ التطبيق من قِبل الهيئة السعودية للبيانات والذكاء الاصطناعي. وفي 2025، صدرت 48 قراراً رسمياً ضد منظمات أخطأت في إدارة الموافقة.

إذا كان عملك يجمع اسم العميل أو رقم هاتفه أو تاريخ مشترياته — وهو ما يفعله معظم التجار — فأنت خاضع لاشتراطات الموافقة في نظام حماية البيانات الشخصية بموجب المواد 5 إلى 7. إليك ما تعنيه الموافقة الصحيحة فعلاً، وما تبدو عليه الثغرات في التطبيق.

ما تشترطه المواد 5–7

ثلاثة شروط. يجب استيفاؤها جميعاً.

**المادة 5 — الأساس القانوني.** معالجة البيانات الشخصية تستلزم إما موافقة صريحة أو أساساً قانونياً معترفاً به: تنفيذ عقد، أو الامتثال لالتزام قانوني، أو حماية المصالح الحيوية، أو المصلحة المشروعة (بتفسير ضيّق). معظم جمع بيانات التجار — قواعد بيانات الولاء وسجلات CRM وقوائم الاتصال بالعملاء — يعتمد على الموافقة أساساً رئيسياً.

**المادة 6 — شروط الموافقة.** الموافقة الصحيحة بموجب النظام يجب أن تكون:

• **محددة** — مجمَّعة لغرض معرَّف ومُعلَن
• **مستنيرة** — صاحب البيانات يفهم بدقة ما يوافق عليه
• **لا لبس فيها** — إجراء إيجابي واضح، لا يُستنتَج من الصمت أو مربع محدد مسبقاً
• **مُعطاة بحرية** — غير مشروطة بالحصول على خدمة

استمارة تسجيل ولاء تقول "بالتسجيل توافق على استلام العروض" لا تستوفي هذا المعيار. والموافقة الشفهية عند الكاشير دون سجل محفوظ كذلك.

**المادة 7 — سحب الموافقة.** يجب أن يتمكن العملاء من سحب موافقتهم في أي وقت. ويجب أن يكون السحب بنفس سهولة الإعطاء. وبمجرد السحب يجب أن تتوقف المعالجة — لا استثناء لـ"إدارة العلاقة القائمة".

واقع التطبيق

أصبح النظام قابلاً للتطبيق في سبتمبر 2024. إطار العقوبات نشط:

• **غرامات تصل إلى 5 ملايين ريال** للمخالفة الأولى
• **10 ملايين ريال** للمخالفين المتكررين
• **إخطار الاختراق خلال 72 ساعة** — إذا تعرضت البيانات الشخصية للكشف، يجب إخطار الهيئة خلال 3 أيام عمل
• **48 قراراً تنفيذياً رسمياً في 2025** — ليست تحذيرات، بل قرارات بعواقب حقيقية

الهيئة الآن ترخّص مدققين معتمدين لنظام حماية البيانات. التجار على وشك مواجهة تدقيقات منظّمة، لا مراجعات ورقية عشوائية.

الأخطاء الشائعة لدى التجار

**لا سجلات للموافقة.** الموافقات الشفهية عند الكاشير، واستمارات الولاء غير الموقّعة، وخيارات الانضمام عبر واتساب دون تأكيد محفوظ — لا شيء من هذا يُنشئ سجلاً قابلاً للتدقيق.

**صياغة موافقة شاملة.** "قد نستخدم بياناتك لأغراض تسويقية" ليست محددة الغرض. النظام يشترط الإفصاح لكل غرض على حدة، لا بنداً جامعاً.

**لا آلية لسحب الموافقة.** إذا لم يتمكن العميل من الانسحاب بسهولة من معالجة بياناته، الموافقة لم تكن صحيحة أصلاً بموجب المادة 7.

**الاحتفاظ بعد انتهاء الغرض.** الاحتفاظ ببيانات العميل بعد انتهاء الغرض المُعلَن — أو بعد سحب الموافقة — مخالفة.

كيف تتعامل واتير مع الموافقة تلقائياً

**لا بيانات شخصية على ورق.** الفواتير الحرارية تطبع البيانات الشخصية على وثيقة مادية يمكن أن تنتهي في أي مكان. واتير تُسلِّم الفواتير رقمياً، إلى جهاز العميل مباشرة، عبر واتساب أو الرسائل القصيرة.

**الموافقة في طبقة التسليم.** عند استلام العميل فاتورة واتير للمرة الأولى، يكون مسار الموافقة مدمجاً في القناة ذاتها. السجل مختوم بالوقت ومحفوظ.

**جاهز للتدقيق.** إذا طلبت الهيئة وثائق عملية جمع الموافقة، لدى تجار واتير سجل رقمي مختوم بالوقت — لا درج مليء باستمارات موقّعة.

التاجر الذي انتقل إلى الفواتير الرقمية أغلق ثغرة في نظام حماية البيانات لم ينتبه إليها معظم منافسيه بعد.