أسئلة قوانين الخصوصية في السعودية والإمارات، وأجوبتها
كل جواب قصير، يأتي أولًا، ويستند إلى نص القانون. والتفاصيل الكاملة في أدلّة القوانين.
السعودية (نظام حماية البيانات الشخصية)
الدليل الكاملهل تكفي الموافقة الضمنيّة على الكوكيز في السعوديّة؟لا تكفي لعلامات التحليلات والإعلانات. فالأساس النظاميّ لهذه العلامات في نظام حماية البيانات الشخصيّة هو عادةً موافقة الزائر الصريحة والمستنيرة، مستقلّةً لكلّ غرض، وموثّقةً بطريقة تتيح التحقّق منها لاحقًا. أمّا الإشعار الذي يعدّ استمرار التصفّح قبولًا فلا يسجّل اختيارًا لأيّ غرض، ولا يترك للموقع ما يُثبته.هل تُعدّ ملفات تعريف الارتباط بياناتٍ شخصيّة في نظام حماية البيانات الشخصيّة؟نعم، إذا كانت تحدّد هويّة الزائر. فلا يوجد في المملكة نظام خاصّ بالكوكيز، ويحكمها نظام حماية البيانات الشخصيّة: كلّ ملف تعريف ارتباط أو أداة تتبّع تحدّد هويّة الزائر، مباشرةً أو بشكل غير مباشر، تجمع بيانات شخصيّة. وعندها يحتاج الموقع إلى أساس نظاميّ قبل تشغيلها، وهو في علامات التحليلات والإعلانات عادةً الموافقة الصريحة والمستنيرة.ما الموافقة الصحيحة في نظام حماية البيانات الشخصيّة؟هي موافقة مستقلّة لكلّ غرض، تُطلب بعد شرح الغرض، وتُوثَّق بطريقة تتيح التحقّق منها لاحقًا مع وقتها ووسيلتها (اللائحة التنفيذيّة، المادة 11). ويحقّ لصاحبها سحبها في أيّ وقت، ولا يجوز أن تُجعل شرطًا لتقديم خدمة إلّا إذا كانت الخدمة نفسها تتوقّف على تلك المعالجة.هل يمكنني الاستناد إلى المصلحة المشروعة في نظام حماية البيانات الشخصيّة؟في حالات محدودة. فالنصّ المعدَّل يجيز المعالجة لتحقيق مصلحة مشروعة لجهة التحكّم، على ألّا تشمل البيانات الحسّاسة. لكنّ الموافقة تبقى الأساس الافتراضيّ، وأساس علامات التحليلات والإعلانات في الموقع هو عادةً موافقة الزائر الصريحة والمستنيرة، لا المصلحة المشروعة.هل يسري نظام حماية البيانات الشخصيّة على المنشآت الصغيرة؟نعم. فالنظام يسري على كلّ جهة، عامّة أو خاصّة، محلّيّة أو أجنبيّة، تعالج بيانات شخصيّة لأفراد في السعوديّة، أمّا معالجة الفرد للبيانات لأغراض شخصيّة أو عائليّة بحتة فخارجه. وأغلب المنشآت الصغيرة والمتوسّطة لا تحتاج إلى مسؤول لحماية البيانات، لكنّها تحتاج مع ذلك إلى شخص يتولّى هذه المسؤوليّة.من الجهة التي تنفّذ نظام حماية البيانات الشخصيّة؟تشرف عليه الهيئة السعوديّة للبيانات والذكاء الاصطناعي (سدايا)، وتملك اللجان التي تشكّلها أن توجّه إنذارًا أو تفرض غرامة تصل إلى 5 ملايين ريال، يتضاعف سقفها عند تكرار المخالفة. أمّا العقوبة الجنائيّة على الإفصاح عن البيانات الحسّاسة فطريقها النيابة العامّة والمحاكم. وقد أكّدت سدايا صدور 48 قرار إنفاذ في إعلانها في يناير 2026.هل أحتاج إلى موافقة مستقلّة لـ Google Analytics و Meta Pixel؟في الغالب نعم، لأنّ غرضيهما مختلفان. فاللائحة التنفيذيّة لنظام حماية البيانات الشخصيّة (المادة 11) تشترط موافقة مستقلّة لكلّ غرض، والتحليلات غرضٌ والإعلانات غرضٌ آخر. لذلك ينبغي أن يتيح الشريط للزائر قبول التحليلات ورفض الإعلانات أو العكس، وأن يسجّل جوابه عن كلّ فئة على حدة، لا «نعم» أو «لا» واحدة.هل يكفي شريط الكوكيز للامتثال لنظام حماية البيانات الشخصيّة؟لا يكفي وحده. فالشريط هو ما يراه الزائر من النظام: يستأذنه قبل تشغيل علامات التحليلات والإعلانات ويسجّل جوابه. ووراءه يطلب النظام الردّ على طلبات أصحاب البيانات خلال 30 يومًا، وإخطار سدايا خلال 72 ساعة من أيّ حادثة قد تُلحق ضررًا، وسجلًّا لأنشطة المعالجة، ومراجعةَ كلّ نقل للبيانات إلى خارج المملكة.هل يوجد شريط مجّانيّ لموافقة الكوكيز للمواقع السعوديّة؟نعم، والنظام لا يشترط أن تدفع ثمن الأداة، بل يشترط النتيجة: موافقة قبل تشغيل علامات التحليلات والإعلانات، وخيارًا مستقلًّا لكلّ غرض، وسجلًّا لكلّ جواب، وإعدادات تتيح للزائر سحب موافقته. فإن أدّى الشريط المجّانيّ ذلك كفى، أمّا الشريط الذي يعرض رسالة ولا يحفظ شيئًا فلا يكفي.كم تكلّف أداة موافقة الكوكيز في السعوديّة؟لا يحدّد النظام سعرًا ولا يشترط أداة مدفوعة، والأدوات تتدرّج من باقات مجّانيّة إلى خدمات مُدارة. أمّا ما يحدّده فهو العمل نفسه: موافقة قبل تشغيل علامات التحليلات والإعلانات، وخيار مستقلّ لكلّ غرض، وسجلّ لكلّ جواب، ووسيلة لسحب الموافقة. فقارن الأدوات على هذا أوّلًا، ثمّ على السعر.هل يكفي شريط الكوكيز المدمج في Shopify لنظام حماية البيانات الشخصيّة؟يتوقّف ذلك على ما يشغّله متجرك. فالنظام يطلب موافقة قبل تشغيل علامات التحليلات والإعلانات، وخيارًا لكلّ غرض، وسجلًّا لكلّ جواب. وشريط Shopify يتحكّم في أدوات Shopify نفسها، ومنها ملفات تعريف الارتباط الخاصّة بها و Shopify Pixels، أمّا وسوم التتبّع التي تُضاف يدويًّا أو عبر التطبيقات فتقول Shopify إنّها قد تحتاج إلى شريط من طرف ثالث أو منطق مخصّص.هل تحتاج متاجر سلة وزد إلى شريط موافقة على الكوكيز؟نعم، إن كان المتجر يشغّل علامات تحليلات أو إعلانات مثل Google Analytics أو Google Ads أو Meta Pixel. فالمنصّة لا تغيّر النظام: هذه العلامات تحتاج عادةً إلى موافقة الزائر الصريحة والمستنيرة قبل تشغيلها، لكلّ غرض على حدة، مسجّلةً، وقابلةً للسحب في أيّ وقت.هل يحتاج Meta Pixel إلى موافقة الزائر في السعوديّة؟في الغالب نعم. فـ Meta Pixel علامة إعلانيّة، وما تجمعه العلامة التي تحدّد هويّة الزائر بيانات شخصيّة بحسب النظام، وعلامات الإعلانات تحتاج عادةً إلى موافقة الزائر الصريحة والمستنيرة قبل تشغيلها. ولأنّ Meta Pixel لا يقرأ وضع موافقة Google، فلا بدّ من منع تحميله حتّى يوافق الزائر على الإعلانات.هل يجب أن يكون شريط الكوكيز بالعربيّة؟لا يوجد نصّ سعوديّ يقول صراحةً إنّ شريط الكوكيز يجب أن يكون بالعربيّة. لكنّ اللائحة التنفيذيّة للنظام تشترط موافقة مستنيرة، يُشرح فيها كلّ غرض قبل طلبها أو عنده (المادة 11). والشريط الذي لا يقرؤه الزائر لا يشرح له شيئًا، ولذلك فالشريط العربيّ هو ما يجعل الموافقة مستنيرة فعلًا لجمهور يقرأ العربيّة.لماذا انخفضت بيانات GA4 بعد إضافة شريط الكوكيز؟لأنّ GA4 صار ينتظر الموافقة. فالتحليلات تحتاج عادةً في نظام حماية البيانات الشخصيّة إلى موافقة الزائر الصريحة والمستنيرة قبل تشغيلها، وعبر وضع موافقة Google v2 تبقى إشارة analytics_storage على الرفض حتّى يقبل الزائر التحليلات. فمن يرفض، أو لا يجيب أصلًا، لم يعد يُقاس كما كان قبل الشريط.هل يمكنني بناء شريط الكوكيز بنفسي؟نعم، فالنظام يطلب نتيجة لا أداة بعينها: موافقة قبل تشغيل علامات التحليلات والإعلانات، وخيارًا مستقلًّا لكلّ غرض يُشرح قبل طلبه، وسجلًّا لكلّ جواب، وإعدادات تتيح للزائر سحب موافقته. وعلى الشريط الذي تبنيه أن يفي بذلك كلّه، فالشريط الذي يعرض رسالة ولا يحفظ شيئًا لا يترك للموقع ما يُثبته.
الإمارات (القانون الاتحادي)
الدليل الكاملما غرامات قانون حماية البيانات الشخصيّة الإماراتي؟لا يحدّد القانون أيّ مبلغ. فالمرسوم بقانون اتحادي رقم 45 لسنة 2021 يترك في مادّته 26 تحديد المخالفات والجزاءات الإداريّة لقرار من مجلس الوزراء، ولم يُنشر هذا القرار في بوّابة التشريعات الرسميّة للدولة حتى سبتمبر 2026. وأيّ رقم يُتداول للقانون الاتحادي، كعشرة ملايين درهم، لا أساس له في نصّه.متى لا تلزم الموافقة في قانون حماية البيانات الشخصيّة الإماراتي؟حين تنطبق إحدى الحالات التي يستثنيها القانون، كتنفيذ عقد مع صاحب البيانات أو الوفاء بالتزام قانوني. فالموافقة هي الأصل في المرسوم بقانون اتحادي رقم 45 لسنة 2021، والاستثناءات قائمة محدّدة. وإن اعتمدت على الموافقة فيجب أن تكون محدّدة وواضحة وصريحة، ويجوز سحبها في أيّ وقت.أيّ قانون لحماية البيانات يسري في المناطق الحرّة الإماراتيّة؟يتوقّف ذلك على المنطقة. فالجهات المنشأة في مركز دبي المالي العالمي (DIFC) تخضع لقانون حماية البيانات فيه رقم 5 لسنة 2020، والمنشأة في سوق أبوظبي العالمي (ADGM) تخضع للوائح حماية البيانات فيه لعام 2021، ولكلٍّ منهما جهته الرقابيّة. أمّا المناطق الحرّة التي ليس لها قانون خاصّ فيسري عليها القانون الاتحادي، المرسوم بقانون رقم 45 لسنة 2021.من الجهة التي تنفّذ قانون حماية البيانات الشخصيّة الإماراتي؟مكتب الإمارات للبيانات هو الجهة الرقابيّة على المرسوم بقانون اتحادي رقم 45 لسنة 2021: إليه تُبلَّغ الاختراقات، وإليه يشكو أصحاب البيانات. أمّا مبالغ الجزاءات فلم تُحدَّد بعد، إذ تتركها المادّة 26 لقرار من مجلس الوزراء لم يُنشر حتى سبتمبر 2026. ولمركز دبي المالي العالمي وسوق أبوظبي العالمي جهاتهما الرقابيّة الخاصّة.