أدلة AutoSmartما الذي يغطيه هذا الدليل
كل عميل تخدمه الوكالة يترك بيانات شخصية: الهويات، وبيانات الاتصال، وأوراق التمويل، وسجل الخدمة. وقد انتهت المهلة التصحيحية لنظام PDPL في 14 سبتمبر 2024، وفي 16 يناير 2026 أعلنت سدايا (SDAIA) 48 قرارًا تثبت مخالفات، محددة أربعة إخفاقات متكررة: غياب الأساس النظامي، والإفصاح غير المبرر، وضعف الأمن، والتسويق دون موافقة.
يغطي هذا الدليل 12 معيارًا لنظام PDPL مع 29 نقطة تحقق، من إشعارات الخصوصية وسجلات الموافقة إلى سجلات المعالجة، وإخطار الانتهاكات، وطلبات أصحاب البيانات، وعقود جهات المعالجة، والنقل خارج الحدود، والأمن المادي لملفات العملاء.
معايير PDPL الـ 12
افتح أي معيار لترى القانون الذي يستند إليه، وما الذي يُفحص، وما قد يكلّفه، والأدلة المطلوبة. وتُحتسب مدد المعالجة المثالية من تاريخ إرسال التدقيق.
DAT-001عرض مواد التوعية بنظام PDPL7 أيام
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · لا توجد مادة تشترط ملصقًا: إنه سياسة شركة والعلامة الظاهرة لبرنامج توعية · أحكام العقوبات: المادتان 35 و36 من PDPL
- ما الذي نفحصه
- تُعرض مواد التوعية بنظام PDPL، بالصيغة المعتمدة لدى الشركة، حيث يراها كل موظف وزائر.
- ما قد يكلّفه
- لا يكلف الملصق شيئًا. أما أخطاء الفريق غير المدرب (قائمة عملاء مُعاد توجيهها، أو عرض يُرسل دون موافقة) فتكلف حتى 5 ملايين ريال سعودي لكل منها.
- الأدلة
- صورة المواد المعروضة + ملاحظات إجابات الموظفين
DAT-002إشعار الخصوصية في نقاط الجمع72 ساعة
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 12 (سياسة الخصوصية) والمادة 13 (المعلومات عند الجمع) · اللائحة التنفيذية المادتان 4 و18 · العقوبة: المادة 36 من PDPL
- ما الذي نفحصه
- يُبلَّغ العملاء بسبب جمع بياناتهم، وأساسه النظامي، ومن يتلقاها، وما حقوقهم: في كل نموذج، وعلى الموقع الإلكتروني، وحيثما تسجلهم الكاميرات.
- ما قد يكلّفه
- كانت لوحة كاميرا مفقودة من الملاحظات وراء غرامة 1.1 مليون على Volkswagen. وبموجب PDPL قد يكلف الخلل نفسه حتى 5 ملايين ريال سعودي.
- الأدلة
- صور النماذج + لقطة شاشة للموقع الإلكتروني + صورة كل لوحة كاميرا
DAT-003الأساس النظامي وسجلات الموافقة7 أيام
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادتان 5 و6 (الموافقة واستثناءاتها) · اللائحة التنفيذية (أحكام الموافقة) · العقوبات: المادة 36، والجريمة الجنائية المادة 35
- ما الذي نفحصه
- لكل استخدام لبيانات العملاء سبب نظامي موثق. وحيث يكون السبب الموافقة، تستطيع الوكالة إبرازها عند الطلب. وتحتاج البيانات الحساسة والائتمانية إلى موافقة صريحة أولًا.
- ما قد يكلّفه
- دفعت شركة سيارات 47.8 مليون ريال سعودي لاستخدام بيانات دون موافقة صحيحة. وبموجب PDPL، إذا شاركت بيانات حساسة بصورة غير نظامية فلن تكون مجرد غرامة: السجن حتى 2 سنة.
- الأدلة
- لقطات شاشة لحقول الموافقة في نظام CRM + نماذج موافقة التمويل والتأمين (F&I) الموقعة
DAT-004موافقة الرسائل التسويقية والبريد الإلكتروني24 ساعة
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 25 (التسويق والتوعية) · اللائحة التنفيذية المادتان 28-29 (الإعلان والتسويق المباشر) · العقوبة: المادة 36 من PDPL
- ما الذي نفحصه
- لا تذهب أي رسالة ترويجية نصية أو عبر WhatsApp أو البريد الإلكتروني إلا إلى عميل أعطى موافقة مسبقة مسجلة، وتتيح له كل رسالة إيقافها.
- ما قد يكلّفه
- قد يجلب عرض واحد يُرسل إلى قائمة دون موافقة قرارًا من سدايا (SDAIA) يصل إلى 5 ملايين ريال سعودي، يُنشر باسمك. وإذا كررته بعد إنذار: 10 ملايين ريال سعودي.
- الأدلة
- تصدير الموافقات من CRM + لقطة شاشة لرسالة بخيار الإلغاء + قيد في قائمة الاستبعاد
DAT-005سجلات أنشطة المعالجة30 يومًا
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 31 · اللائحة التنفيذية المادة 33 · العقوبة: المادة 36 من PDPL
- ما الذي نفحصه
- يسرد سجل أنشطة المعالجة (ROPA) كل طريقة تستخدم بها الوكالة البيانات الشخصية: لماذا، وأي بيانات، ومن يتلقاها، وكم تُحفظ، وكيف تُحمى.
- ما قد يكلّفه
- إنه أول مستند ستطلبه سدايا (SDAIA). وإذا كان مفقودًا أو قديمًا، فقد أخفقت قبل بدء التفتيش، بحد أقصى 5 ملايين ريال سعودي.
- الأدلة
- نسخة من سجل ROPA بتاريخ المراجعة + 3 عينات عمليات متتبعة
DAT-006تعيين مسؤول حماية البيانات والتسجيل لدى سدايا (SDAIA)30 يومًا
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 30(2) · اللائحة التنفيذية المادة 32 (مسؤول حماية البيانات) والمادة 34 (التسجيل) · قواعد سدايا (SDAIA) لتعيين مسؤول حماية البيانات · قواعد التسجيل لدى سدايا (SDAIA)
- ما الذي نفحصه
- حيث تشترط القواعد ذلك، يُعيَّن رسميًا مسؤول لحماية البيانات، ويُسجَّل الكيان في المنصة الوطنية لحوكمة البيانات لدى سدايا (SDAIA) بشهادة سارية.
- ما قد يكلّفه
- من دون مسؤول لحماية البيانات، لا أحد يبلغ عن انتهاك خلال 72 ساعة أو يرد على عميل خلال 30 يومًا. وكل مهلة فائتة مخالفة أخرى تصل إلى 5 ملايين ريال سعودي.
- الأدلة
- خطاب التعيين + شهادة التسجيل + مذكرة التقييم
DAT-007الاحتفاظ بالبيانات وإتلافها30 يومًا
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 18 (الإتلاف عند انتفاء الحاجة) · العقوبة: المادة 36 من PDPL
- ما الذي نفحصه
- لا تُحفظ البيانات الشخصية إلا ما دامت الحاجة إليها قائمة. ويحدد جدول معتمد المدة، وتُتلف البيانات بعد ذلك التاريخ بأمان ويُسجل الإتلاف.
- ما قد يكلّفه
- قد يكون تسرب بيانات كان ينبغي حذفها قبل سنوات مخالفتين لا واحدة: الاحتفاظ بها، وعدم حمايتها. وتصل كل منهما إلى 5 ملايين ريال سعودي.
- الأدلة
- جدول الاحتفاظ + صور الأرشيف + مقتطف سجل الإتلاف
DAT-008الإخطار بانتهاك البيانات الشخصية7 أيام
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 20 · اللائحة التنفيذية المادة 24 (الإخطار خلال 72 ساعة عبر منصة سدايا SDAIA) · العقوبة: المادة 36 من PDPL
- ما الذي نفحصه
- عند تسرب بيانات شخصية، تُخطر سدايا (SDAIA) خلال 72 ساعة ويُبلَّغ العملاء المتأثرون عند الحاجة. ويتيح ذلك إجراء مكتوب وسجل للحوادث.
- ما قد يكلّفه
- الانتهاك مشكلة، وإخفاؤه مشكلة أخرى: تفويت مهلة 72 ساعة مخالفة منفصلة تصل إلى 5 ملايين ريال سعودي، و10 ملايين ريال سعودي عند التكرار.
- الأدلة
- الإجراء + مقتطف السجل + أي إيصالات إخطار لسدايا (SDAIA)
DAT-009التعامل مع طلبات أصحاب البيانات7 أيام
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 4 (حقوق صاحب البيانات) · اللائحة التنفيذية (الرد خلال 30 يومًا، يمكن تمديده مرة واحدة) · العقوبة: المادة 36 من PDPL
- ما الذي نفحصه
- لدى العملاء طريقة سهلة ومعلنة لطلب الوصول إلى بياناتهم أو تصحيحها أو حذفها، ويُجاب عن كل طلب خلال 30 يومًا.
- ما قد يكلّفه
- دفعت شركتا سيارات (2) معًا 3.8 مليون ريال سعودي لتصعيبهما طلبات الخصوصية. أما تجاهلها تمامًا بموجب PDPL: فحتى 5 ملايين ريال سعودي.
- الأدلة
- لقطة شاشة للقناة + مقتطف سجل الطلبات + نتيجة طلب تجريبي
DAT-010عقود جهات معالجة البيانات30 يومًا
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 8 (اختيار جهات المعالجة) · اللائحة التنفيذية (اتفاقيات جهات المعالجة) · العقوبة: المادة 36 من PDPL
- ما الذي نفحصه
- يعمل كل مورد يتعامل مع بيانات العملاء أو الموظفين (مركز الاتصال، وCRM، ونظام إدارة الوكالة DMS، والرواتب، ووكالة التسويق) بموجب اتفاقية مكتوبة تغطي الغرض والأمن ونظام PDPL.
- ما قد يكلّفه
- تسرب بيانات لدى المورد مخالفة عليك. ومن دون عقد لا يمكنك إثبات أنك فعلت شيئًا لمنعه، والحد الأقصى 5 ملايين ريال سعودي.
- الأدلة
- قائمة الموردين + نسخ من 3 اتفاقيات مع تحديد البنود
DAT-011نقل البيانات خارج الحدود30 يومًا
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 29 · لائحة نقل البيانات الشخصية خارج المملكة (سدايا SDAIA) · العقوبة: المادة 36 من PDPL
- ما الذي نفحصه
- كل تدفق للبيانات الشخصية خارج السعودية معروف، ولكل منه ضمانة معتمدة، ويوجد تقييم مخاطر حيث تشترطه القواعد.
- ما قد يكلّفه
- كل ملف عميل يُرسل إلى الخارج دون ضمانة معالجة غير نظامية: حد أقصى 5 ملايين ريال سعودي، يتضاعف إلى 10 ملايين ريال سعودي عند التكرار.
- الأدلة
- خريطة النقل + وثائق الضمانات + تقييم المخاطر
DAT-012الأمن المادي لملفات العملاءفوري
- القانون
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 لعام 1443هـ، المعدل بـ م/148 لعام 1444هـ) ولائحته التنفيذية · المادة 19 (التدابير الأمنية) والمادة 28 (نسخ وثائق الهوية الرسمية) · العقوبات: المادة 36، والجريمة الجنائية المادة 35
- ما الذي نفحصه
- تُحفظ الملفات الورقية مقفلة، والمكاتب والطابعات خالية، ولا تُؤخذ نسخ الهوية أو الإقامة أو جواز السفر إلا حيث يشترطها نظام أو جهة مختصة.
- ما قد يكلّفه
- تبدو نسخة هوية على منضدة غير مؤذية حتى يُساء استخدامها. والحد الأقصى للغرامة 5 ملايين ريال سعودي، وقد يعني الإفصاح المتعمد عن بيانات حساسة السجن 2 سنة.
- الأدلة
- صور المكاتب والخزائن وأدراج الطابعات + فحص عينة ملفات
كيفية تنفيذ تدقيق الامتثال لنظام PDPL، خطوة بخطوة
- تأكد مما ينطبق عليك. حدد أين يجمع المنفذ البيانات الشخصية (صالة العرض، واستقبال الخدمة، ومكتب التمويل، والموقع الإلكتروني، وCRM) والموردين الذين يتلقونها.
- تجوّل في المنفذ، معيارًا بعد معيار. قيّم كل نقطة من نقاط التحقق الـ 29 بأنها مطابق أو غير مطابق أو لا ينطبق (N/A). ولا تُستخدم N/A إلا حيث يستبعدها المعيار، مع تسجيل السبب. خذ عينات من ملفات الصفقات وقوائم التسويق، وتحقق من أن لكل منها أساسًا نظاميًا أو سجل موافقة.
- التقط الأدلة. لا تُحتسب المطابقة إلا بدليل مُلتقط وقت التدقيق: إشعار الخصوصية في كل نقطة جمع، وسجلات الموافقة، وسجل المعالجة، وعقود جهات المعالجة، وصور أماكن حفظ الملفات.
- حدّد مسؤولًا ومهلة معالجة لكل إخفاق. سجّل ما رأيته ومن المسؤول عن المعالجة. لكل معيار مهلة معالجة مثالية، من المعالجة الفورية إلى 30 يومًا، تُحتسب من تاريخ إرسال التدقيق (انظر الجدول أعلاه).
- عالج ثم أثبت. يعالج المنفذ السبب ويرفع دليل الإغلاق، ويتحقق المدقق من الدليل قبل إغلاق الملاحظة.
- أعد التحقق في التدقيق التالي. تأكد من بقاء الملاحظات المغلقة مغلقة، وابحث عن الإخفاق نفسه في منافذك الأخرى حتى لا يتكرر الخلل في الشبكة كلها.
لمن هذا الدليل
- مديرو الوكالات
- مسؤولو حماية البيانات
- مسؤولو الامتثال
- المدققون
وثيقة مرجعية وليست استشارة قانونية. فالغرامات والقواعد تتغيّر: راجع النص الحالي مع الجهة الرقابية أو مستشارك القانوني قبل اتخاذ أي إجراء.
