هل يشترط نظام حماية البيانات الشخصيّة السعوديّ الموافقة على ملفات تعريف الارتباط؟

لا ينصّ على الكوكيز بالاسم، فليس في المملكة نظام خاصّ بها. لكنّ ملفّ تعريف الارتباط أو أداة التتبّع التي يمكن أن تُعرّف بالزائر تجمع بيانات شخصيّة بموجب النظام، وعلامات التحليلات والإعلانات تحتاج عادةً إلى موافقة الزائر الصريحة والمستنيرة قبل أن تعمل. أمّا الكوكيز التي لا يعمل الموقع بدونها فحالة مختلفة.

فالموقع الذي يشغّل Google Analytics أو Google Ads أو علامات Meta يحتاج إلى شريط يسأل الزائر قبل أن تعمل هذه العلامات، وإلى سجلّ لكلّ إجابة. وتطلب اللائحة التنفيذيّة (المادة 11) موافقة لكلّ غرض، يُشرح قبل طلبها أو عنده، وتُحفظ في سجلّ يبيّن متى أُعطيت وكيف. ويحقّ للزائر سحب موافقته متى شاء.

والنظام مطبَّق فعلًا: أكّدت سدايا 48 قرارًا في إعلانها في يناير 2026، ومن فئات المخالفات التي سمّتها معالجة البيانات دون أساس نظاميّ صحيح، والتسويق دون موافقة.