آخر تحديث: 5 نوفمبر 2026 · إعداد: فريق مظبوت (MazBot) · المصدر الأساسي: نص نظام حماية البيانات الشخصية المنشور على موقع وزارة الاستثمار، وجريدة أم القرى
الإجابة المختصرة: نعم، يسري النظام على رسائل واتساب التسويقية التي ترسلها لعملاء في المملكة، حتى لو كانت شركتك خارجها. القاعدة: موافقة مسبقة وآلية واضحة للإيقاف (المادة 25)، ولا تسويق قائم على البيانات الحساسة مثل الصحية (المادة 26). والغرامة حتى 5 ملايين ريال وتتضاعف عند التكرار (المادة 36)، وفي يونيو 2026 صدرت قرارات من سدايا بغرامات وإنذارات، من أبرز مخالفاتها التسويق المباشر بلا موافقة صريحة.
ليست استشارة قانونية: هذا ملخص عملي لنص النظام كما اطّلعنا عليه في 5 نوفمبر 2026، واللائحة التنفيذية معروضة للتعديل. راجع مستشاراً قانونياً أو مسؤول حماية البيانات في شركتك قبل أي حملة.
محتوى المقال:
- هل ينطبق النظام على رسائل واتساب لنشاطك؟
- ما شروط الموافقة على الرسائل التسويقية؟
- لماذا البيانات الصحية أخطر؟
- ما السجلات التي تحتفظ بها؟
- هل استخدام واتساب نقل للبيانات خارج المملكة؟
- ما العقوبات؟ وهل تطبقها سدايا فعلاً؟
- ما الجديد في نوفمبر 2026؟
- قائمة تحقق قبل أي حملة
- كيف يساعدك مظبوت؟
- أسئلة شائعة
هل ينطبق نظام حماية البيانات الشخصية على رسائل واتساب لنشاطك؟
غالباً نعم. صدر النظام بالمرسوم الملكي م/19 بتاريخ 9/2/1443هـ، ونفاذه بعد 720 يوماً من نشره (أي في سبتمبر 2023)، مع مهلة سنة لتوفيق أوضاع جهات التحكم. وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وما يهمك منه:
- النطاق: المادة 2 تطبقه على أي معالجة لبيانات شخصية داخل المملكة، وعلى معالجة بيانات المقيمين فيها من أي جهة خارجها. فمتجر في القاهرة يراسل عملاء في جدة معنيّ به.
- رقم العميل بيانات شخصية: المادة 1 تذكر الاسم وأرقام الاتصال ضمن أمثلة البيانات الشخصية، والجمع والحفظ والإرسال كلها «معالجة».
- أنت «جهة التحكم»: لأنك تحدد غرض المعالجة وطريقتها. والمنصة التي ترسل عبرها تكون عادةً «جهة معالجة» نيابةً عنك، والمادة 8 تلزمك باختيار معالج يقدّم الضمانات اللازمة ومراقبة التزامه.
ما شروط الموافقة على رسائل واتساب التسويقية في السعودية؟
أربع مواد تحكم الرسالة التسويقية مباشرة:
| المادة | ماذا تقول؟ | التطبيق على واتساب |
|---|---|---|
| 25 | لا تُستخدم وسائل الاتصال الشخصية للعميل، ومنها البريد والبريد الإلكتروني، لإرسال مواد دعائية إلا بموافقته المسبقة، مع آلية واضحة لإيقافها | خانة موافقة قبل أول عرض، وزر أو كلمة «إيقاف» في كل رسالة تسويقية |
| 26 | المعالجة للتسويق جائزة إذا جُمعت البيانات من صاحبها مباشرة وبموافقته، باستثناء البيانات الحساسة | لا قوائم مشتراة أو منقولة، ولا استهداف بحالة صحية |
| 5 | لا معالجة ولا تغيير لغرضها بلا موافقة إلا فيما استثناه النظام، ولصاحب البيانات سحب موافقته في أي وقت | رقم أعطاك إياه للتوصيل ليس موافقة على العروض |
| 7 | لا تكون الموافقة شرطاً لتقديم خدمة إلا إذا ارتبطت بها مباشرة | لا تجعل خانة العروض إلزامية لإتمام الطلب |
من نص النظام المنشور على موقع وزارة الاستثمار (اطّلعنا عليه في 5 نوفمبر 2026). النص يذكر البريد والبريد الإلكتروني أمثلةً لوسائل الاتصال الشخصية، والأسلم أن تعامل رقم واتساب العميل بالقاعدة نفسها.
ويضيف النظام واجبين قبل الجمع: سياسة خصوصية متاحة مسبقاً (المادة 12)، وإشعار بالغرض والأساس النظامي ومن ستُفصح لهم البيانات وهل ستُنقل خارج المملكة (المادة 13). وسياسة واتساب لرسائل الأعمال (آخر تحديث 23 سبتمبر 2026) تطلب بدورها سياسة خصوصية منشورة واحترام طلب الإيقاف على واتساب أو خارجه، وتشترط Meta أن يذكر نص الموافقة اسم نشاطك صراحة.
مثال من جدة: متجر عطور يضع في صفحة الدفع خانتين غير محددتين مسبقاً: «أرسلوا لي تحديثات طلبي على واتساب»، و«أبغى توصلني عروض متجر الريم على الواتساب، مرتين بالشهر بالكثير، وأقدر أوقفها متى ما بغيت». الأولى لتحديثات الطلب، والثانية وحدها تُدخل صاحبها قائمة العروض.
صيغ جاهزة في قواعد موافقة العميل (Opt-in) على واتساب، وتنفيذ الإيقاف خطوة بخطوة في التعامل مع طلبات إلغاء الاشتراك.
لماذا البيانات الصحية أخطر؟ وماذا يعني ذلك للعيادات؟
تعد المادة 1 من البيانات الحساسة: الأصل العرقي أو الإثني، والمعتقد الديني أو الفكري أو السياسي، والسوابق الأمنية والجنائية، والبيانات الحيوية والوراثية لتحديد الهوية، والبيانات الصحية التي تشمل الحالة الجسدية أو العقلية أو النفسية والخدمات الصحية التي تلقاها الشخص.
- لا تسويق بها: المادة 26 تستثني البيانات الحساسة من المعالجة لأغراض تسويقية. فرسالة «مرت 6 شهور على تنظيف أسنانك» مبنية على خدمة صحية تلقاها المريض.
- لا «مصلحة مشروعة» معها: المادتان 6 و10 لا تجيزان الاستناد إلى المصلحة المشروعة لجهة التحكم إذا عولجت بيانات حساسة.
- قلّل من يطّلع عليها: المادة 23 تطلب قصر الوصول إلى البيانات الصحية على أقل عدد ممكن من الموظفين.
- واتساب نفسها: سياستها تمنع استخدام واتساب للطب عن بعد أو لإرسال معلومات صحية أو طلبها حيث تمنع الأنظمة المطبقة تداولها عبر أنظمة بلا ضمانات أعلى.
الحل العملي: استهدف بالموافقة والتفاعل والمنطقة لا بالتشخيص، واجعل تذكير الموعد المحجوز رسالة Utility. أمثلة في قوالب واتساب تسويقية للعيادات.
ما السجلات التي يجب أن تحتفظ بها؟
المادة 31 تلزم جهة التحكم بسجل لأنشطة المعالجة، متاح للجهة المختصة عند الطلب، فيه على الأقل: بيانات التواصل معك، والغرض، وفئات أصحاب البيانات، ومن أُفصح لهم، وهل نُقلت البيانات خارج المملكة، ومدة الاحتفاظ المتوقعة. ولحملات واتساب أضف سجلاً لكل رقم:
| الحقل | مثال |
|---|---|
| الرقم بالصيغة الدولية | +9665XXXXXXXX |
| تاريخ الموافقة ومصدرها | 5 نوفمبر 2026، صفحة الدفع |
| النص الذي وافق عليه | نسخة الخانة أو رقم إصدارها |
| الأنواع | تحديثات: نعم · عروض: نعم |
| الإيقاف | تاريخه وقناته: واتساب أو اتصال أو الفرع |
والمادة 18 تطلب إتلاف البيانات دون تأخير حين لا تعود لازمة لغرضها، إلا إن وُجد سند نظامي لحفظها. فراجع قوائم العروض دورياً، واحتفظ بسجل الإيقاف نفسه لأن غرضه ألا تراسل صاحبه مجدداً.
هل يعد استخدام واتساب نقلاً للبيانات خارج المملكة؟
المادة 29 تجيز نقل البيانات خارج المملكة لأغراض محددة، منها تنفيذ التزام يكون صاحب البيانات طرفاً فيه وأغراض أخرى تحددها اللائحة، بشروط: ألا يضر بالأمن الوطني أو المصالح الحيوية للمملكة، وأن يتوفر مستوى حماية لا يقل عما يكفله النظام، وأن يقتصر على الحد الأدنى من البيانات. وما يخص واتساب:
- أين تُخزن رسائل Cloud API؟ خيار «التخزين المحلي» من Meta متاح اليوم لدول منها البحرين والإمارات، والسعودية ليست في قائمته. وحتى معه تقول Meta إن المحتوى قد يُعالج في مراكزها حول العالم حتى 60 دقيقة.
- أخبر عملاءك: المادة 13 تطلب إعلامهم عند الجمع إن كانت بياناتهم ستُنقل خارج المملكة، فاذكر ذلك في سياسة خصوصيتك.
- اسأل مستشارك عن الأساس المناسب لنشاطك، فاللائحة تفصّل أحكام النقل واستثناءاته.
ما العقوبات؟ وهل تطبقها سدايا فعلاً؟
| المادة | المخالفة | العقوبة |
|---|---|---|
| 35 | إفشاء أو نشر بيانات حساسة بالمخالفة للنظام بقصد الإضرار أو تحقيق منفعة شخصية | سجن حتى سنتين أو غرامة حتى 3 ملايين ريال أو بهما، ويجوز مضاعفة الغرامة عند العود |
| 36 | أي مخالفة أخرى للنظام أو لوائحه، ومنها شروط التسويق | إنذار أو غرامة حتى 5 ملايين ريال، تُضاعف عند التكرار |
| 38 و40 | العقوبات التبعية والتعويض | مصادرة الأموال المتحصلة، ونشر ملخص القرار على نفقة المخالف، وتعويض المتضرر عن الضرر المادي أو المعنوي |
حسب نص النظام كما اطّلعنا عليه في 5 نوفمبر 2026.
والتطبيق بدأ فعلاً: في 30 يونيو 2026 نشرت عكاظ أن لجان سدايا للنظر في المخالفات أصدرت قرارات بغرامات وإنذارات استناداً إلى المادة 36، من أبرز مخالفاتها: التسويق المباشر دون موافقة صريحة، وعدم إبلاغ الهيئة بتسرب البيانات خلال المدة النظامية البالغة 72 ساعة من العلم بالحادثة، وبطء الاستجابة لطلبات أصحاب البيانات، وعدم تعيين مسؤول حماية البيانات حين يلزم. ولم يذكر التقرير قيم الغرامات.
ما الجديد في نوفمبر 2026؟ تعديلات مقترحة على اللائحة
طرحت سدايا مشروع تعديلات على اللائحة التنفيذية للنظام عبر منصة «استطلاع»، وينتهي استطلاع المرئيات في 5 نوفمبر 2026 حسب جريدة أم القرى. وحسب ملخص مكتب Clyde & Co (8 أكتوبر 2026)، من المقترحات:
- التحقق من الموافقة عند الاعتماد على علاقة سابقة مع العميل والاحتفاظ بدليلها، وآليات واضحة لسحبها.
- عند سحب الموافقة: وقف المعالجة التسويقية وإتلاف البيانات الناتجة عنها دون تأخير.
- إبلاغ سدايا عن أي تسرب خلال 72 ساعة حتى لو لم يُتوقع منه ضرر.
- حفظ البيانات داخل المملكة مع بقاء النقل جائزاً وفق النظام، والتسجيل الإلزامي لجهات التحكم في حالات منها النقل خارجها.
انتبه: هذه مقترحات غير نافذة، وإن اعتُمدت فتنفذ بعد 60 يوماً من نشرها في الجريدة الرسمية حسب الملخص نفسه. سنحدّث هذا المقال عند صدورها.
قائمة تحقق عملية قبل أي حملة واتساب في السعودية
| الخطوة | السند |
|---|---|
| خانة موافقة مستقلة غير محددة مسبقاً تذكر اسم نشاطك، وبجوارها رابط سياسة الخصوصية | المواد 7 و12 و25، وشروط Meta |
| زر «إيقاف العروض» وكلمة «إيقاف» في كل رسالة تسويقية، وتنفيذ فوري | المادة 25، وسياسة واتساب |
| قوائم من موافقات جمعتها بنفسك، بلا استهداف بالحالة الصحية | المادتان 1 و26 |
| سجل موافقة وإيقاف لكل رقم، وسجل لأنشطة المعالجة | المادة 31 |
| صلاحيات فريق تقصر الاطلاع على من يحتاج | المادتان 19 و23 |
| خطة للإبلاغ عن التسرب خلال 72 ساعة، ومراجعة اتفاقية المعالجة مع مزود المنصة | المادتان 20 و8، وقرارات سدايا |
كيف يساعدك مظبوت؟
- الموافقة داخل المحادثة: فلو بأزرار يسأل العميل عن العروض، وفلو جمع البيانات يحفظ إجاباته في لوحة للعرض والتصدير (فلو جمع بيانات العميل).
- قوائم وشرائح وسمات وقائمة حظر: احفظ تاريخ الموافقة ومصدرها في سمات جهة الاتصال، وأرسل العروض لشريحة الموافقين فقط، واستبعد من طلب الإيقاف.
- اطلاع بقدر الحاجة: الموظف الذي لا يملك صلاحية صندوق الوارد العام يرى المحادثات المسندة إليه فقط.
- الإيقاف يصل لموظف: التحويل لموظف متوقف افتراضياً؛ فعّله من الإعدادات وأضف «إيقاف» وSTOP لكلماته ليتوقف البوت ويتنبّه فريقك (التحويل لموظف).
- Webhooks وAPI لمزامنة الموافقة مع نظامك، واجعل نظامك يفحص سجل الإيقاف قبل أي إرسال عبر API.
- بدون أي عمولة على رسائل Meta: جرّب أول شهر مجاناً.. وبعده الباقات بخصم 50%.
أسئلة شائعة
العميل راسلني أولاً على واتساب، هل أرسل له عروضاً لاحقاً؟
ردّك على استفساره شيء، والعروض اللاحقة شيء آخر تحتاج موافقته المسبقة (المادة 25). اسأله داخل المحادثة نفسها وسجّل رده.
هل ينطبق النظام على شركة مصرية تراسل عملاء في السعودية؟
نعم، المادة 2 تشمل معالجة بيانات المقيمين في المملكة من أي جهة خارجها. وتنطبق على عملائك في مصر قواعد قانون حماية البيانات المصري.
هل أحتاج موافقة لرسائل تحديث الطلب؟
المادة 6 تعفي من الموافقة المعالجة التي تنفذ اتفاقاً سابقاً يكون العميل طرفاً فيه، مثل طلب اشتراه. لكن Meta تطلب موافقة على نوع الرسائل، فاجمعها عند الطلب.
هل أرسل عروضاً لمرضى العيادة حسب العلاج الذي تلقوه؟
لا ننصح بذلك؛ الخدمات الصحية التي تلقاها المريض بيانات حساسة، والمادة 26 تستثنيها من التسويق.
اقرأ أيضاً:
المصادر
- نظام حماية البيانات الشخصية (النص المنشور على موقع وزارة الاستثمار)، المواد المذكورة في المقال (اطّلعنا عليه في 5 نوفمبر 2026)
- جريدة أم القرى: المرسوم الملكي م/19 بالموافقة على النظام وطرح مشروع تعديلات اللائحة التنفيذية على منصة استطلاع (اطّلعنا عليهما في 5 نوفمبر 2026)
- عكاظ: قرارات لجان سدايا بحق جهات مخالفة (30 يونيو 2026) (اطّلعنا عليها في 5 نوفمبر 2026)
- Clyde & Co: SDAIA publishes draft amendments to the PDPL Implementing Regulations (اطّلعنا عليها في 5 نوفمبر 2026)
- WhatsApp Business Messaging Policy، آخر تحديث 23 سبتمبر 2026، وMeta: Get opt-in for WhatsApp (اطّلعنا عليهما في 5 نوفمبر 2026)
- Meta: Local storage وRegister a phone number (data_localization_region) (اطّلعنا عليهما في 5 نوفمبر 2026)
اجمع موافقة عملائك وأرسل لمن وافق فقط
مع مظبوت: فلو بأزرار لطلب الموافقة، وشرائح تفصل التحديثات عن العروض، وقائمة حظر لمن طلب الإيقاف، وصلاحيات تقصر اطلاع موظفيك على محادثاتهم، بدون أي عمولة على أسعار Meta. جرّب أول شهر مجاناً.. وبعده الباقات بخصم 50%، مع 250,000 توكن ذكاء اصطناعي مجاناً للحسابات الجديدة.
