نظام حماية البيانات الشخصية والتسويق المباشر: ما الذي يجب أن تغيّره حملاتك

تعرف معظم فرق التسويق في السعودية بوجود نظام حماية البيانات الشخصية (PDPL). لكن قلة منها تحققت مما إذا كانت نماذج العملاء المحتملين، وبث واتساب، وقوائم البريد، وسجلات CRM لديها تطابق ما تطلبه لائحته التنفيذية عند استخدام البيانات الشخصية في التسويق. والفجوة عادةً صغيرة وعملية: مربع محدَّد مسبقًا ، أو رابط إلغاء اشتراك يتطلب تسجيل الدخول، أو مندوب مبيعات يواصل المراسلة بعد عبارة “أرجو التوقف”، أو نظام CRM لا يستطيع أن يُظهر متى وكيف وافقت جهة الاتصال.

يقرأ هذا الدليل النص الرسمي المنشور على بوابة الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، ويوضح ما ستغيّره مسودة التعديلات المطروحة للاستطلاع العام في أكتوبر 2026، ويحوّل الاثنين إلى تغييرات يمكنك تسليمها لفرق الموقع والمبيعات وCRM. وهو ملخص عملي مبني على المصادر المرتبطة، وليس استشارة قانونية. ولأي حملة بعينها، تحقق من النص الحالي واستشر محاميًا سعوديًا مؤهلًا.

اعتمدنا على النص العربي المنشور على بوابة سدايا؛ والملخصات أدناه صياغتنا الخاصة. وإن كنت تعتمد على ترجمة إنجليزية، فقارنها بالنص العربي، وهو النص الذي ننقل عنه.

ما الذي يقوله النظام واللائحة فعلًا

أربعة أحكام تهم التسويق. اثنان منها في نظام حماية البيانات الشخصية نفسه، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ والمعدَّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ (كما ورد في اللائحة التنفيذية على بوابة سدايا). واثنان في اللائحة التنفيذية.

تعرّف المادة 1 من اللائحة التسويق المباشر بأنه التواصل مع صاحب البيانات مباشرة، بأي وسيلة مادية أو إلكترونية، لإرسال مواد تسويقية، بما فيها الإعلانات والعروض الترويجية (سدايا، اللائحة التنفيذية). وبناءً على هذه الصياغة، يبدو أن واتساب والرسائل النصية والبريد الإلكتروني والمكالمات والرسائل البريدية تندرج جميعها ضمنه.

تضع المادة 11 معيار الموافقة: أن تكون حرة، دون أساليب مضللة، لغرض واضح ومحدد، من شخص كامل الأهلية، موثقة بحيث يمكن التحقق منها لاحقًا، ومستقلة لكل غرض. وتُشترط الموافقة الصريحة للبيانات الحساسة، والبيانات الائتمانية، والقرارات المتخذة بالكامل بالمعالجة الآلية.

ثمة نقطة غير واضحة فعلًا. فالمادة 28 تطلب الموافقة فقط “إن لم يكن هناك تعامل سابق”، بينما تطلب المادة 29 الموافقة قبل أي معالجة للتسويق المباشر. ولا يوضح النص كيف يتسق الحكمان بالنسبة للعملاء الحاليين، وتتناول مسودتا 2025 و2026 هذه الصياغة (انظر أدناه). وإلى أن تحسم سدايا الأمر، فالخطة الأكثر أمانًا أن تحتفظ بموافقة مسجلة لكل جهة اتصال تسوّق لها، بما في ذلك العملاء السابقون.

ما الذي ستغيّره مسودة أكتوبر 2026

أطلقت سدايا استطلاعًا عامًا على تعديلات اللائحة التنفيذية في 6 أكتوبر 2026، ويُغلق في 5 نوفمبر 2026 عبر منصة استطلاع (Clyde & Co، 8 أكتوبر 2026). ويأتي بعد جولة سابقة امتدت من 27 أبريل إلى 27 مايو 2025 (Bird & Bird). ولم تُعتمد أي من الجولتين حتى وقت كتابة هذا المقال؛ فهذه مقترحات وليست قواعد.

إن ملخصات مكاتب المحاماة لمسودة 2026 تذكر هذه التغييرات التسويقية:

• نطاق أوسع للمادة 29. ستشمل كل معالجة للبيانات الشخصية لأغراض التسويق، لا إرسال رسائل التسويق المباشر فقط (Clyde & Co).
• سحب الموافقة يعني الحذف، لا التوقف عن الإرسال فقط. عند سحب الموافقة، سيتعين على جهة التحكم إيقاف المعالجة الأساسية وإتلاف البيانات الشخصية الناتجة عنها دون تأخير غير مبرر (Clyde & Co).
• العلاقات السابقة تحتاج إلى إثبات. إذا استندت منشأة إلى علاقة سابقة بموجب المادة 28، فسيتعين عليها التحقق من وجود موافقة صحيحة، والاحتفاظ بما يثبتها، وتوفير طرق واضحة وميسّرة لسحبها (Clyde & Co).
• تعزيز متطلبات سحب الموافقة و إلغاء الاشتراك (opt-out)، وحذف تعريف “التسويق المباشر” المستقل من مادة التعريفات، مع تحديث الإحالات إليه في مواضع أخرى (Al Tamimi، 9 أكتوبر 2026).

يصف المكتبان المسودة بطريقتين مختلفتين. فـ Clyde & Co تذكر توسيع نطاق المادة 29، وواجب الحذف، وإثبات العلاقة السابقة ؛ أما مذكرة Al Tamimi فلا تذكر المادتين 28 أو 29 برقميهما، وتتحدث بصورة أعم عن إطار موافقة معدّل للتسويق الترويجي والمباشر مع تعزيز متطلبات سحب الموافقة و إلغاء الاشتراك (opt-out). كما لا تذكر Al Tamimi مدة لدخول التعديلات حيز التنفيذ ؛ فمدة الستين يومًا مصدرها Clyde & Co. ولا ينشر أي منهما الصياغة المقترحة كاملة، فاقرأهما كملخصات وراجع المسودة على منصة استطلاع أو بوابة سدايا. أما مسودة 2025، كما لخصتها Bird & Bird، فذهبت في الاتجاه المعاكس بشأن التعامل السابق: إذ كانت ستحذف عبارة “عدم وجود تعامل سابق” من المادة 28 كليًا. والرسالة العملية واحدة: يجب أن تكون الموافقة قابلة للإثبات، ويجب أن يكون سحبها سهلًا، وبعد السحب قد يتعين التخلص من البيانات المبنية على تلك الموافقة.

نماذج العملاء المحتملين وصفحات الهبوط

نماذجك هي المكان الذي تُجمع فيه الموافقة بشكل صحيح أو تضيع. إليك ما نقترح التحقق منه في كل نموذج على الموقع وعلى صفحات هبوط الحملات:

1. افصل الاستفسار عن موافقة التسويق. الرد على طلب عرض سعر غرض، وإرسال العروض غرض آخر. والمادة 11 تطلب موافقة مستقلة لكل غرض، لذا نقترح مربع اختيار منفصلًا وغير محدد مسبقًا للتسويق.
2. سمِّ القنوات والمُرسِل. عبارة “أوافق على تلقي العروض من [اسم الشركة] عبر واتساب والبريد الإلكتروني” أوضح من “أوافق على تلقي التحديثات”. وإن كنت تنوي استخدام الرسائل النصية أو المكالمات، فاذكر ذلك.
3. لا تدمج الموافقة في سياسة الخصوصية. رابط السياسة مفيد، لكن الموافقة على السياسة لا تُعدّ موافقة مسبقةعلى التسويق. وتقول قواعد مكافحة الرسائل الاقتحامية لدى هيئة الاتصالات الشيء نفسه للرسائل النصية والمكالمات (انظر أدناه).
4. التقط الإثبات تلقائيًا. احفظ اسم النموذج، ورابط الصفحة، والطابع الزمني، والصياغة الحرفية لمربع الاختيار، ولغة العرض (العربية أو الإنجليزية). ودون ذلك لا يمكنك التحقق من الموافقة لاحقًا كما تشترط المادة 11.
5. تحقق من نماذج إعلانات العملاء المحتملين أيضًا. نماذج العملاء المحتملين على المنصات تحتاج إلى سؤال الموافقة المخصص نفسه؛ ولا تفترض أن شروط المنصة نفسها تغطي تسويقك.

لافتات ملفات تعريف الارتباط وموافقة التحليلات موضوع مستقل؛ نتناوله في دليلنا عن موافقة ملفات تعريف الارتباط ووضع الموافقة لمواقع الخليج. وإن كانت نماذجك مبنية على موقع تديره بنفسك، فهذه عادةً مهمة تطوير قصيرة؛ وتغطي خدمة تصميم المواقع لدى RX بنية النماذج وربطها بنظام CRM.

قوالب واتساب وقوائم البث

لواتساب قواعده الخاصة فوق نظام حماية البيانات الشخصية. إذ تنص سياسة مراسلة الأعمال لديه (آخر تحديث 23 سبتمبر 2026) على أنه لا يجوز لك التواصل مع الأشخاص إلا بعد حصولك منهم على موافقة مسبقة ، وأنك “وحدك المسؤول عن تحديد طريقة الحصول على موافقة مسبقة” وعن مشروعيتها، وأن عليك احترام جميع طلبات الحظر أو الإيقاف أو إلغاء الاشتراك، سواء داخل واتساب أو خارجه (سياسة WhatsApp لمراسلة الأعمال). وتضيف إرشادات Meta للمطورين أن نص طلب موافقة مسبقة يجب أن يوضح بجلاء أن الشخص يوافق على تلقي رسائل عبر واتساب، وأن يذكر اسم النشاط التجاري (Meta for Developers: الحصول على موافقة مسبقة).

التغييرات المطلوبة:

• راجع مصدر كل قائمة بث. الأرقام المنسوخة من بطاقات العمل، أو المسح في المعارض، أو المجموعات، نادرًا ما تأتي معها موافقة تسويقية مسجلة. كما تفترض المادة 26 من النظام أن تُجمع بيانات التسويق من الشخص مباشرة، ما يجعل تبرير القوائم المشتراة أو المجمّعة آليًا أمرًا صعبًا.
• ضع اسم النشاط التجاري وطريقة إلغاء الاشتراك في كل قالب تسويقي. زر “إيقاف العروض” للرد السريع أو سطر مثل “أرسل STOP لإيقاف العروض” أقرب بكثير إلى اختبار “بسهولة إعطاء الموافقة أو أسهل” من عبارة “تواصل مع مكتبنا”.
• اجعل الإيقاف مسؤولية شخص محدد. When a contact replies “stop”, “لا أرغب” or similar, we suggest someone updates the CRM the same day, and the number must be suppressed from every future broadcast, not just the current one.
• افصل رسائل الخدمة عن التسويق. العميل الذي وافق على تحديثات التوصيل لم يوافق على العروض الترويجية. وتوصي إرشادات Meta بالحصول على موافقات مسبقة منفصلة لكل فئة من فئات الرسائل.

إن كنت تسوّق في مصر أيضًا، فالقواعد مختلفة، ومنها اشتراط ترخيص للتسويق الإلكتروني المباشر؛ راجع دليلنا عن قانون حماية البيانات في مصر والتسويق المباشر.

البريد الإلكتروني والرسائل النصية والمكالمات: طبقة الاتصالات

تسري المادة 29 “دون الإخلال” بنظام الاتصالات، لذا يجب أن تلتزم حملات الرسائل النصية والمكالمات بقواعد الهيئة أيضًا. وتتضمن تنظيمات الحد من الرسائل والمكالمات الاقتحامية (Regulations for Curbing SPAM Messages & Calls) (الإصدار الثالث، أكتوبر 2022)، الصادرة عن الهيئة التي كانت تُعرف آنذاك بهيئة الاتصالات وتقنية المعلومات (CITC) ثم أعيدت تسميتها هيئة الاتصالات والفضاء والتقنية (CST) في نوفمبر 2022 (CST، من نحن)، الالتزامات التالية (بوابة أنظمة CITC):

• يجب أن يوافق المستلمون صراحةً على الرسائل والمكالمات الترويجية، ولا يُعتد بالموافقة الواردة ضمن سياسات الخصوصية وعقود الخدمة. ويجب أن يكون المُرسِل قادرًا على إثبات الموافقة.
• طلبات إلغاء الاشتراك يجب تنفيذها خلال 24 ساعة، مع إرسال تأكيد إلى المستلم.
• يُحظر إرسال الرسائل والمكالمات الترويجية والتوعوية بين الساعة 10:00 مساءً و9:00 صباحًا، وبين 1:00 صباحًا و12:00 ظهرًا خلال رمضان (بتوقيت المملكة).
• تُسجَّل أسماء المرسلين عبر النظام الإلكتروني للرسائل الجماعية (Bulk SMS) وتُستخدم فقط عبر مزوّدين مرخّصين؛ وتحمل أسماء المرسلين الإعلانية اللاحقة “-AD”؛ ولا يجوز إرسال رسائل نصية ترويجية من رقم جوال.
• يجب على المتصل أن يذكر في البداية الجهة التي يمثلها وسبب الاتصال، وأن يسأل الشخص إن كان يرغب في المتابعة.

إن قاعدة الـ 24 ساعة لإيقاف الرسائل النصية أشد من عبارة “دون تأخير غير مبرر” في النظام، لذا إن كنت تدير عملية حظر واحدة لكل القنوات، فاضبطها على قاعدة الـ 24 ساعة . وتحقق مع مزوّد الرسائل النصية وعلى موقع CST من أنك تعمل وفق الإصدار الحالي من هذه القواعد.

في البريد الإلكتروني، تذكر المادة 25 من النظام عناوين البريد الإلكتروني صراحة: الموافقة أولًا، ووسيلة واضحة للإيقاف. ولا تحدد المادة شكلًا معينًا؛ واقتراحنا رابط إلغاء اشتراك يعمل بنقرة واحدة في كل رسالة تسويقية، مع اسم الشركة كمُرسِل.

حقول CRM التي تجعل الموافقة قابلة للإثبات

تتعثر معظم الالتزامات أعلاه في نظام CRM، لا في النموذج (وتتناول قائمة متطلبات CRM لدينا اختيار النظام بشكل أشمل). ويجب أن يجيب سجل جهة الاتصال عن سؤال: “هل وافق هذا الشخص، وعلى ماذا، ومتى، وهل سحب موافقته؟” وهذه الحقول تغطي ذلك:

اعتمد مصدرًا واحدًا للحقيقة. فإن احتفظت منصة واتساب وأداة البريد وجدول فريق المبيعات كلٌّ بقائمته، فإن طلب إلغاء الاشتراك في إحداها سيضيع في الأخرى. والاتفاق على من يملك هذه الحقول، وكتابة نصوص الردود ومعالجة طلبات إلغاء الاشتراك لفريق المبيعات، هو نوع العمل الذي تقدّمه RX ضمن خدمة حلول الأعمال وتمكين المبيعات.

العقوبات، ومن أين تبدأ

يحدد النظام العقوبات الإدارية في المادة 36: الإنذار أو غرامة تصل إلى 5 ملايين ريال على الأشخاص ذوي الصفة الطبيعية والاعتبارية الخاصة المخالفين للنظام أو لوائحه، وتقررها لجنة لا يقل عدد أعضائها عن ثلاثة، منهم مختص فني ومستشار قانوني. وعند تكرار المخالفة يجوز مضاعفة الغرامة بما لا يتجاوز ضعف حدها الأعلى، ويجوز التظلم من قرارات اللجنة أمام المحكمة المختصة. وتحدد المادة 35 عقوبات جزائية تصل إلى السجن سنتين وغرامة تصل إلى 3 ملايين ريال لمن يفصح عن بيانات حساسة أو ينشرها بالمخالفة للنظام بقصد الإضرار بصاحبها أو لتحقيق منفعة شخصية؛ ويجوز للمحكمة أيضًا مضاعفة الغرامة عند التكرار. وتتيح المادة 40 لكل متضرر المطالبة بالتعويض عن الضرر المادي أو المعنوي (سدايا، نص النظام). وهذه حدود قصوى؛ ولا يحدد النظام مبلغًا ثابتًا لكل رسالة.

الترتيب الذي نقترحه للعمل:

1. أوقف الإرسال الأكثر خطورة. أوقف البث إلى القوائم التي لا تحمل موافقة مسجلة حتى يُعاد تأكيد موافقة كل جهة اتصال أو تُحذف.
2. أصلح النماذج. موافقة غير محددة مسبقًا، ومنفصلة، ومخصّصة لكل قناة ، مع إثبات تلقائي، بالعربية والإنجليزية.
3. أتِح بسهولة إلغاء الاشتراك في كل قالب وكل رسالة بريد، واعتمد إجراءً لحظر جهات الاتصال في اليوم نفسه يشمل كل الأدوات.
4. أضف حقول CRM المذكورة أعلاه و املأ بأثر رجعي ما تستطيع إثباته.
5. تابع نتيجة الاستطلاع. إن اعتُمدت مسودة 2026، فخطط لكيفية حذف البيانات المبنية على موافقات مسحوبة خلال الستين يومًا بين النشر والنفاذ التي تصفها Clyde & Co.

يمكن أن تبدأ الخطوة 1 هذا الأسبوع: صدّر كل قائمة تبث إليها حاليًا وأضف عمودًا واحدًا: موافقة مسجلة، أو غير واضحة، أو لا توجد. هذا العمود يخبرك بحجم ما يمكن إرساله من الحملة التالية كما هو مخطط، وكم جهة اتصال تحتاج إلى إعادة تأكيد موافقتها أولًا. أما الاعتماد القانوني النهائي، فاستعن بمحاميك.