هل يسري نظام حماية البيانات الشخصية على شركة خارج السعودية؟

لا يشترط أن تكون الشركة مؤسسة في السعودية حتى يعنيها نظام حماية البيانات الشخصية.

فالمادة الثانية من النظام تشمل معالجة جهة خارج المملكة لبيانات شخصية تتعلق بأفراد مقيمين فيها. ويقرر المركز المعرفي لسدايا صراحة سريان النظام على هذا النوع من المعالجة الخارجية.

ولا يعني ذلك دخول كل موقع أجنبي أو كل سجل عن مواطن سعودي في العالم في النطاق تلقائياً. فالنص يستلزم فحص الفرد والبيانات وعملية المعالجة.

يعتمد هذا التنبيه على المصادر السعودية الرسمية التي أعيد فحصها في 23 أغسطس 2026م. وحُدّث قسم التسجيل في 12 سبتمبر 2026م استناداً إلى خدمة سدايا الرسمية للجهات خارج المملكة؛ ولا يمثل ذلك إعادة مراجعة قانونية شاملة لبقية الموضوعات.

الجواب المختصر

تتعامل الشركة الخارجية مع نظام حماية البيانات الشخصية بوصفه منطبقاً من حيث الأصل إذا اجتمعت الأمور الآتية:

1. أن تجري عملية تدخل في مفهوم المعالجة؛
2. أن تكون المعلومات بيانات شخصية وفق النظام؛
3. أن تتعلق البيانات بفرد مقيم في المملكة؛ و
4. ألا يخرج النشاط من النطاق بموجب استثناء نظامي ذي صلة.

وقد تكون الشركة جهة تحكم في نشاط، وجهة معالجة في نشاط آخر. ولا يحسم وصف مثل «الشركة الأم الأجنبية» أو «المنصة الإقليمية» أو «فريق الدعم العالمي» الصفة النظامية.

1. ابدأ من المادة الثانية، لا من موقع الخادم

يسري نظام حماية البيانات الشخصية على معالجة البيانات الشخصية في المملكة. ويدخل في نطاقه أيضاً ما تجريه جهة خارج المملكة من معالجة لبيانات شخصية تتعلق بأفراد مقيمين فيها.

ولهذا لا يكون مقر الشركة أو مكان العاملين أو منطقة الخدمة السحابية أو موقع قاعدة البيانات هو المعيار الوحيد.

وتطرح الأسئلة الآتية:

• بيانات من التي تعالج؟
• هل الفرد مقيم في المملكة؟
• أي جهة أجنبية تحدد الغرض والكيفية الجوهرية؟
• من يعالج لمصلحة جهة التحكم ونيابة عنها وفق تعليماتها؟
• أين يقع الجمع والوصول والتحليل والإفصاح والحفظ والإتلاف؟

ويثبت الجواب لكل نشاط، لا مرة واحدة لمجموعة الشركات كلها.

2. الإقامة غير الجنسية

تعتمد المادة الثانية على الإقامة عند معالجة الجهة الموجودة خارج المملكة. ويبين دليل سدايا لجهات التحكم والمعالجة أن الإقامة لا يحدها كون الفرد مواطناً، وتشمل العاملين المؤقتين والدائمين.

ويترتب على ذلك احتياطان:

• لا يستبعد العامل أو العميل أو المستخدم غير السعودي المقيم في المملكة لمجرد جنسيته.
• لا يفترض أن كل مواطن سعودي يعيش خارج المملكة يحقق شرط الإقامة دون فحص الوقائع وأي أساس آخر لانطباق النظام.

ولهذا يتضمن سجل النطاق خانة للإقامة تستند إلى سياق الخدمة أو العمل، ولا يكتفى ببيان الجنسية.

3. حدد المعالجة الفعلية، لا السوق بصورة عامة

يعرف النظام المعالجة تعريفاً واسعاً يشمل الجمع والتسجيل والحفظ والفهرسة والترتيب والتنسيق والتخزين والتعديل والتحديث والدمج والاسترجاع والاستعمال والإفصاح والنقل والنشر والمشاركة والربط والحجب والمحو والإتلاف.

ومن الأنشطة التي تفحصها الشركة الأجنبية:

• فتح حسابات لمستخدمين مقيمين في السعودية؛
• تشغيل تطبيق يستخدمه المقيمون؛
• تقديم دعم عن بعد للعملاء؛
• فرز المتقدمين للعمل أو تحليلهم؛
• تلقي بيانات العاملين من شركة سعودية تابعة؛
• مراقبة أجهزة أو مستخدمين داخل المملكة؛
• استضافة بيئة عميل سعودي أو إدارتها؛
• استعمال بيانات المقيمين لتدريب نظام ذكاء اصطناعي أو تقييمه؛ و
• تنفيذ وظائف أمن أو احتيال أو مالية أو موارد بشرية للمجموعة.

ولا يصف مجرد ظهور صفحة عامة في المملكة هذه الوقائع. فالسؤال هو ما إذا كانت الشركة الأجنبية تعالج البيانات الشخصية المعنية فعلاً.

4. صنف دور الشركة الأجنبية في كل نشاط

جهة التحكم، وفق النظام، هي من تحدد الغرض من المعالجة وكيفيتها. أما جهة المعالجة فتعالج البيانات لمصلحة جهة التحكم ونيابة عنها.

ولتوضيح ذلك في خدمة تقنية تقدم لشركة سعودية:

• إذا اقتصر مقدم الخدمة على الاستضافة وفق تعليمات مكتوبة، فقد يكون جهة معالجة في هذا النشاط.
• إذا استعمل البيانات لتحليلات منتجاته أو إعلاناته أو نموذج احتياله أو تطوير خدمته، وجب تصنيف هذا الاستعمال المستقل.
• إذا اشتركت الجهتان في تحديد العناصر الجوهرية للمعالجة، فقد لا يعكس بند عام يصف المورد بأنه جهة معالجة حقيقة النشاط.

وكذلك لا تصبح الشركة الأم الأجنبية جهة معالجة تلقائياً لمجرد أن الشركة السعودية التابعة جمعت البيانات. فقد تستعمل وظائف الموارد البشرية أو الأمن أو المالية المركزية البيانات لأغراض تحددها الشركة الأم.

فالعقد يتبع التصنيف، ولا ينشئه.

5. حول نتيجة النطاق إلى ضوابط تشغيلية

إذا دخل النشاط الخارجي في النطاق، فلا يقف العمل عند مذكرة عن السريان المكاني. بل تحدد الالتزامات المنطبقة، ومنها:

• الغرض والمسوغ النظامي؛
• الحد الأدنى من البيانات ودقتها؛
• إشعار الخصوصية وأحكام الجمع؛
• حقوق صاحب البيانات والتحقق من هويته؛
• الحفظ والإتلاف ووقف الإتلاف لسبب نظامي؛
• اختيار جهة المعالجة والتعليمات المكتوبة؛
• الأمن وتقويم حادثة التسرب؛
• سجل أنشطة المعالجة؛
• تقويم الأثر عند وجوبه؛
• فحص الحاجة إلى مسؤول حماية البيانات الشخصية؛ و
• النقل والإفصاح خارج المملكة.

وتضع اللائحة التنفيذية التفصيل التشغيلي، ومنه متطلبات عقد جهة المعالجة وأحوال مسؤول حماية البيانات ومحتوى سجل أنشطة المعالجة.

ويحدد لكل ضابط المسؤول عن تنفيذه والدليل على ذلك. فلا تنشأ منظومة امتثال من سياسة عالمية تضيف اسم السعودية دون تغيير النظام أو العقد أو إجراء الاستجابة.

6. افصل نطاق التطبيق الخارجي عن نقل البيانات خارج المملكة

يجتمع الموضوعان كثيراً، لكنهما ليسا شيئاً واحداً.

المثال الأول — جهة تحكم سعودية ترسل البيانات إلى مورد أجنبي. تحلل الجهة السعودية النقل أو الإفصاح وفق المادة التاسعة والعشرين ولائحة النقل. وقد تدخل معالجة المورد نفسه في نطاق المادة الثانية أيضاً.

المثال الثاني — شركة أجنبية تجمع البيانات مباشرة من عميل مقيم في السعودية. قد تسري المادة الثانية على معالجة الشركة الأجنبية. أما تحقق نقل مستقل، والجهة التي تتحمل التزامه، فيتوقفان على مسار البيانات والأدوار الفعلية، ولا يستنتجان من موقع الشركة وحده.

المثال الثالث — شركة أم أجنبية تصل عن بعد إلى نظام موارد بشرية لشركتها السعودية التابعة. تحلل الشركة السعودية النقل أو الإفصاح، ويحتاج استعمال الشركة الأم إلى غرض ودور ونطاق مستقل.

ويثبت لكل مسار مصدر البيانات ومتلقيها وجهة التحكم وجهة المعالجة والدولة والغرض والمسوغ والضمان وتقويم المخاطر وضوابط الوصول التقنية.

7. لا تستورد شرط الممثل من نظام آخر

توجّه القواعد المنظمة للسجل الوطني لجهات التحكم داخل المملكة صراحة إلى الجهات الموجودة داخل السعودية، وقد نصت مقدمتها على إصدار قواعد مستقلة لتسجيل جهات التحكم خارج المملكة. ولا يصف ذلك وحده المسار الإداري المتاح اليوم.

وتعرف القواعد الداخلية «الممثل» بأنه الشخص الطبيعي الذي تعينه جهة التحكم لاستكمال التسجيل في المنصة. ولا يصح تحويل هذا التعريف بالقياس إلى نتيجة مؤداها أن كل جهة تحكم خارجية ملزمة بتعيين ممثل محلي بالشروط ذاتها.

تتيح سدايا حالياً خدمة تسجيل الجهات خارج المملكة. وتشترط الخدمة سجلاً تجارياً سارياً وتفويض الممثل من خلال خدمة وزارة الخارجية للتحقق من الشركات غير السعودية وإصدار هوية رقمية لممثلها.

وتشمل الخطوات المنشورة:

1. استكمال التحقق والمستندات لدى وزارة الخارجية والحصول على الموافقة؛
2. اختيار خدمة الجهات خارج المملكة في منصة حوكمة البيانات الوطنية؛
3. إنشاء حساب الممثل واستكمال بيانات الجهة والممثل باستخدام بيانات طلب وزارة الخارجية؛
4. تقييم وجوب تعيين مسؤول حماية البيانات الشخصية وفق الشروط المنطبقة؛ و
5. استكمال الطلب ومراجعته واعتماده قبل إصدار شهادة السجل الوطني لحماية البيانات الشخصية.

ويُفحص انطباق التسجيل ومتطلبات الخدمة الحالية على الجهة المعنية وقت التنفيذ. فلا تعني إتاحة الخدمة وجوب التسجيل على كل جهة خارجية، ولا يستنتج منها شرط ممثل محلي مماثل لما يقرره نظام أجنبي. وتُحفظ المتطلبات وتاريخ التحقق منها، مع تحديد المسؤول عن المتابعة وإعادة الفحص عند تغير المعالجة أو القواعد الرسمية.

8. أنشئ سجل نطاق يستجيب لتغير المنتج

يثبت لكل نشاط معالجة خارجي ما يأتي:

الحقل	القرار
المنتج أو العملية	ما تفعله الشركة الأجنبية فعلاً
الأفراد	الإقامة في المملكة والفئات المعنية
البيانات	فئات البيانات الشخصية والحساسة
الجهة الأجنبية	الاسم النظامي والدولة والدور في المجموعة
الصفة	جهة تحكم أو معالجة أو تصنيف يختلف بحسب النشاط
الغرض والمسوغ	التحليل السعودي ودليله
الجمع والوصول	الأنظمة والفرق والمواقع
مسار النقل	المصدر والمتلقي والضمان عند الانطباق
الضوابط السعودية	الإشعار والحقوق والحفظ والأمن والسجلات والحوادث
التسجيل والاتصال	قاعدة سدايا الحالية والمسار والمسؤول
ما يعيد الفحص	غرض أو دولة أو جهة أو مورد أو بيانات أو استعمال ذكاء اصطناعي جديد

ويعاد فتح السجل عند إطلاق خدمة في المملكة، أو التعاقد مع عميل سعودي، أو توظيف مقيم، أو تمكين الدعم الخارجي، أو تغيير السحابة، أو بدء تحليل أو استعمال جديد للذكاء الاصطناعي.

قرار الإدارة

لا يقتصر السؤال على وجود شركة تابعة في السعودية. بل يكون:

هل تعالج هذه الجهة الأجنبية بيانات شخصية تتعلق بأفراد مقيمين في المملكة، ولأي غرض وبأي صفة ومن خلال أي أنظمة ومواقع، وما الضوابط التي يرتبها النظام السعودي؟

إذا تعذر إنتاج الجواب لكل نشاط، فلم يكتمل فحص نطاق النظام السعودي.

تساعد تميرك الشركات الدولية في نطاق حماية البيانات والامتثال وحوكمة الذكاء الاصطناعي وترتيبات الحوسبة السحابية والأمن السيبراني والدخول إلى السوق. وهذا التنبيه معلومات عامة، ولا يعد مشورة قانونية.