نقل البيانات خارج المملكة ونظام حماية البيانات الشخصية: حين يُرسل نظام نقطة البيع بياناتك إلى الخارج
معظم أنظمة نقاط البيع تُوجِّه بيانات المعاملات السعودية إلى خوادم خارج المملكة. وفق المادة 29 من نظام حماية البيانات، هذا نقل عابر للحدود يستلزم تقييم كفاءة أو موافقة صريحة — وإلا فهو مخالفة. إليك ما يعنيه ذلك لمنشأتك.
معظم أنظمة نقاط البيع العاملة في المملكة العربية السعودية تقوم على بنية سحابية دولية. البرمجيات تعمل على خوادم في أيرلندا أو الولايات المتحدة أو سنغافورة أو اختصاصات قضائية أخرى بعيدة تمامًا. وحين يدفع العميل عند الكاونتر ويعطي رقم هاتفه ليكسب نقطة ولاء، تكون بياناته قد غادرت المملكة قبل أن يُطبع الإيصال في كثير من الأحيان.
في نظام حماية البيانات الشخصية، هذه ليست تفصيلة معمارية. إنها حدث امتثال.
ما تتطلبه المادة 29 فعلًا
تحكم المادة 29 نقل البيانات الشخصية خارج المملكة العربية السعودية. القاعدة ليست حظر النقل العابر للحدود، بل أنه يستلزم مسوّغًا قانونيًا، وسقف هذا المسوّغ مرتفع.
ثلاثة أسس يمكن أن تُشرّع النقل خارج المملكة:
كفاية حماية الوجهة. يجب أن توفّر الدولة أو الجهة المستقبِلة مستوى من حماية البيانات تراه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) كافيًا ومماثلًا للمعايير السعودية. ولم تصدر سدايا تقييمات كفاية رسمية لمعظم اختصاصات الاستضافة السحابية الدولية. فإذا كان مركز بيانات مورّد نقطة البيع في دولة لا يوجد لها تحديد كفاية، فهذا الأساس غير متاح لك.
الموافقة الصريحة. يجب إبلاغ صاحب البيانات بأن بياناته ستُنقل خارج المملكة، وإلى أي دولة، ولأي غرض، ثم الحصول على موافقته على ذلك النقل تحديدًا. نموذج التسجيل العام في برنامج الولاء لا يستوفي هذا الشرط؛ الموافقة يجب أن تكون محددة ومستنيرة وموثّقة.
الضرورة التعاقدية أو المصلحة العامة. أن يكون النقل ضروريًا بمعنى صارم لتنفيذ عقد مع صاحب البيانات، أو مطلوبًا لغرض مصلحة عامة معترف به في النظام السعودي. وبيانات عملاء التجزئة التي تُوجَّه إلى مركز بيانات دولي للمعالجة لا تستوفي هذا المعيار في الغالب.
إذا لم ينطبق أي من هذه الأسس، فالنقل مخالفة.
كيف يبدو الأمر في قطاع التجزئة السعودي
كثير من التجار لا يدركون أن بيانات نقاط البيع تغادر المملكة أصلًا. البرمجية مستضافة في الخارج، والمعاملة تُعالج في الخارج، وبيانات الإيصال — اسم العميل ورقم هاتفه وسجل مشترياته — مخزّنة في الخارج.
أنماط شائعة تُنشئ تعرضًا لنقل البيانات عبر الحدود:
تسجيل العملاء في برامج الولاء وتخزين ملفاتهم على منصة سحابية دولية.
النسخ الاحتياطي التلقائي لقواعد بيانات المبيعات إلى مراكز بيانات خارج المملكة.
لوحات التحليلات والتقارير التي تُعالج بيانات المعاملات لدى مزوّد خارجي.
خدمات إرسال الإيصالات بالبريد الإلكتروني أو الرسائل النصية عبر وسيط دولي.
كل عملية من هذه العمليات تستلزم أساسًا قانونيًا كافيًا. وفي غياب ذلك الأساس — لا تحديد كفاية، ولا موافقة صريحة موثّقة، ولا ضرورة تعاقدية مؤهَّلة — يكون النقل غير ممتثل.
إطار العقوبات
تطبيق النظام قائم وفعّال. أصدرت سدايا 48 قرارًا تنفيذيًا رسميًا منذ انتهاء فترة السماح في سبتمبر 2024. ويتضمن النظام عقوبات إدارية وغرامات مالية على مخالفات نقل البيانات خارج المملكة، وتتدرج بحسب جسامة المخالفة وتكرارها ومدى تأثيرها على أصحاب البيانات.
كما بدأت سدايا ترخيص مدققين معتمدين لنظام حماية البيانات الشخصية. الموجة التالية من التطبيق ستكون عمليات تدقيق منظّمة، لا معالجة تفاعلية للشكاوى فقط.
كيف تُلغي وتير مساحة التعرّض
بُنيت البنية التحتية لـ وتير على إبقاء بيانات العملاء السعوديين داخل المملكة.
كل إيصال يُصدر عبر وتير مخزَّن ومُعالَج على بنية تحتية داخل المملكة. لا تُوجَّه أي بيانات معاملات إلى خوادم خارج المملكة العربية السعودية. والتاجر الذي يُصدر إيصالاته عبر وتير يرث وضعًا لا وجود فيه لنقل عابر للحدود من الأصل؛ فالقرار المعماري الذي كان سيستلزم تقييم كفاية أو إطار موافقة موثّقًا أو إعادة تفاوض مع المورّد يصبح غير ضروري ببساطة.
أما التاجر الذي يشغّل اليوم نظام نقاط بيع سحابيًا دوليًا، فأمام الامتثال ثلاثة مسارات: إعادة التفاوض على شروط إقامة البيانات مع المورّد، وهو خيار غير متاح غالبًا في العقود القياسية؛ أو بناء آلية موافقة صريحة تستوفي شرط التحديد في النظام، وهي معقدة ومتطلباتها مستمرة؛ أو الانتقال إلى بنية تحتية تُبقي البيانات داخل المملكة افتراضيًا.
طبقة الإيصال هي أسهل نقطة للبدء في الغالب. من هنا تبدأ وتير.
المصادر والمراجع
قراءات ذات صلة
هل تريد رؤية وتير على نظامك؟
تحدث مع المبيعات