إذا كان موقع شركتك يجمع أسماء أو أرقام هواتف أو عناوين بريد إلكتروني أو طلبات شراء من أشخاص في الأردن أو السعودية، فإن قانون حماية البيانات الشخصية الأردن ونظيره السعودي ينطبقان عليه اليوم. فقانون حماية البيانات الشخصية الأردني رقم 24 لسنة 2023 نافذ منذ 17 مارس 2024، مع اكتمال مهلة الامتثال في 17 مارس 2025، ونظام حماية البيانات الشخصية السعودي ملزم منذ 14 سبتمبر 2024. وعملياً، يتطلب الاثنان موافقة واضحة، وسياسة خصوصية سليمة، وحذراً مع الأدوات التي تنقل البيانات إلى الخارج، وإبلاغاً سريعاً عن الاختراقات.
هذا المقال معلومات عامة لأصحاب المواقع وليس استشارة قانونية. القوانين والأنظمة تتغير، لذا تحقق من التزاماتك مع محامٍ مختص في كل دولة.
قانون حماية البيانات الشخصية الأردن: نظرة سريعة#
قانون حماية البيانات الشخصية في الأردن هو القانون رقم 24 لسنة 2023، نُشر في الجريدة الرسمية في 17 سبتمبر 2023 ودخل حيز النفاذ بعد ستة أشهر، بحسب مكتب Clyde & Co. ويحدد عرض تقديمي لوزارة الاقتصاد الرقمي والريادة تاريخ 17 مارس 2025 بداية للامتثال الكامل للجهات القائمة.
- الجهة الرقابية: وحدة حماية البيانات الشخصية داخل وزارة الاقتصاد الرقمي والريادة تراقب الامتثال، ومجلس حماية البيانات الشخصية برئاسة الوزير يقرّ السياسات وينظر في الشكاوى.
- الموافقة: بحسب إرشادات الوزارة، يجب أن تكون الموافقة صريحة وموثقة خطياً أو إلكترونياً، ومحددة الغرض والمدة، وأن تُطلب بلغة واضحة وبسيطة. ويشير Clyde & Co إلى أن القانون لا يتضمن “المصلحة المشروعة” أساساً للمعالجة.
- أنظمة 2025: في أغسطس 2025 أقرّ مجلس الوزراء نظاماً لتنظيم حقوق صاحب البيانات يشترط، بحسب Jordan News، موافقة صريحة لكل غرض من أغراض المعالجة. كما تذكر الوزارة أدلة إرشادية لسياسة الخصوصية وتقييم الأثر والإبلاغ عن الاختراقات.
- ملفات تعريف الارتباط والتسويق: يذكر ملخص DLA Piper لعام 2026 أنه لا توجد قواعد خاصة بملفات تعريف الارتباط ولا أحكام خاصة بالتسويق الإلكتروني، وتنطبق القواعد العامة على المعالجة عبر الإنترنت.
نظام حماية البيانات الشخصية السعودي: نظرة سريعة#
صدر النظام السعودي بالمرسوم الملكي م/19 في سبتمبر 2021 وعُدّل بالمرسوم الملكي م/148 في مارس 2023، بحسب DLA Piper. ودخل حيز النفاذ في 14 سبتمبر 2023، وبعد مهلة سنة أصبح ملزماً في 14 سبتمبر 2024، وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).
- النطاق: يوضح Clyde & Co أن النظام يشمل معالجة بيانات المقيمين في السعودية من جهات خارج المملكة، لذا على أي متجر أردني أو إماراتي يبيع لعملاء سعوديين أن يأخذه بجدية.
- أسس المعالجة: الموافقة هي الأساس الرئيسي، ويمكن الاعتماد على المصلحة المشروعة بشرط إجراء تقييم موثق وفق اللائحة التنفيذية.
- التسويق المباشر: يتطلب موافقة، مع وسيلة سهلة لإيقاف الرسائل في أي وقت.
- الطلبات: يجب الرد على طلبات أصحاب البيانات خلال 30 يوماً، قابلة للتمديد 30 يوماً أخرى في حالات محددة.
- النقل خارج المملكة: بحسب Mayer Brown، تعترف لائحة النقل المعدّلة الصادرة عن سدايا في 1 سبتمبر 2024 بالبنود التعاقدية القياسية والقواعد المؤسسية الملزمة وشهادات الاعتماد ضمانات مناسبة.
الأردن والسعودية: ما الذي يهم المواقع الإلكترونية؟#
| الموضوع | الأردن (القانون رقم 24 لسنة 2023) | السعودية (نظام حماية البيانات الشخصية) |
|---|---|---|
| النفاذ والإلزام | 17 مارس 2024، والامتثال الكامل من 17 مارس 2025 | 14 سبتمبر 2023، وملزم منذ 14 سبتمبر 2024 |
| الجهة الرقابية | وحدة حماية البيانات في وزارة الاقتصاد الرقمي والريادة، والمجلس | سدايا |
| الأساس الرئيسي للمعالجة | موافقة مسبقة وصريحة مع استثناءات محددة | الموافقة إضافة إلى أسس أخرى منها المصلحة المشروعة |
| الإبلاغ عن الاختراق | أصحاب البيانات خلال 24 ساعة والوحدة خلال 72 ساعة (عند الضرر الجسيم) | سدايا خلال 72 ساعة عبر البوابة الوطنية لحوكمة البيانات |
| النقل خارج الحدود | مقيّد إذا كانت حماية الجهة المستقبِلة أقل | مسموح وفق الملاءمة أو ضمانات مثل البنود التعاقدية القياسية |
| قانون خاص بملفات تعريف الارتباط | لا يوجد | لا يوجد |
| الحد الأقصى للغرامات | من 1,000 إلى 10,000 دينار وتتضاعف عند التكرار، وغرامة يومية حتى 3% من الإيرادات | حتى 5 ملايين ريال وتتضاعف عند التكرار |
ماذا تعني القوانين لكل جزء من موقعك؟#
نماذج التواصل وطلب الأسعار والتوظيف#
نموذج الموقع نقطة لجمع البيانات، لذا يجب أن يطلب ما تحتاجه فقط وأن يوضح السبب. أضف مربع موافقة غير محدد مسبقاً مع سطر يشرح الغرض (“للرد على استفسارك”)، ورابطاً لسياسة الخصوصية بجانب زر الإرسال، وحدد مدة احتفاظ للمدخلات المخزنة في ووردبريس أو نظام إدارة العملاء. وتحتاج ملفات السيرة الذاتية إلى عناية أكبر لأنها تتضمن غالباً تفاصيل حساسة.
ملفات تعريف الارتباط وأدوات التحليل وبكسلات الإعلانات#
لا يوجد قانون للكوكيز في البلدين، لكن أدوات التحليل والإعلانات تعالج بيانات شخصية مثل عناوين IP ومعرّفات الأجهزة. ولأن القانونين يعتمدان على الموافقة، فالإعداد الأكثر أماناً في 2026 هو نافذة موافقة ثنائية اللغة بالعربية والإنجليزية تمنع الأدوات غير الضرورية حتى يوافق الزائر. كما تتوقع إرشادات سدايا لسياسة الخصوصية أن تذكر بيانات ملفات تعريف الارتباط ضمن فئات البيانات التي تجمعها، بحسب CMS.
المتاجر الإلكترونية#
تجمع المتاجر الحسابات والعناوين وسجل الطلبات. افصل بين الموافقة اللازمة لتنفيذ الطلب وبين موافقة التسويق التي تشترطها القواعد السعودية صراحة، مع رابط إلغاء اشتراك بسيط في كل بريد ورسالة نصية. واترك بيانات البطاقات لدى بوابة الدفع بدلاً من تخزينها على خادمك.
أدوات الطرف الثالث وواتساب#
أدوات الدردشة وربط واتساب للأعمال ومنصات البريد وأنظمة إدارة العملاء والاستضافة السحابية قد تخزّن البيانات خارج الأردن أو السعودية، وهذا نقل للبيانات خارج الحدود. أعدّ قائمة بكل أداة ومكان تخزين بياناتها والعقد أو الضمان الذي يغطيها. وفي الأردن تذكر الوزارة أن تعيين مسؤول حماية بيانات مطلوب قبل نقل قواعد البيانات خارج المملكة.
سياسة الخصوصية#
سياسة الخصوصية هي الإشعار العلني الذي يشرح ما تجمعه ولماذا ومن يستلمه وكيف يمارس الناس حقوقهم. وبحسب ملخص CMS لإرشادات سدايا، يجب أن تتضمن بيانات الجهة وعنوان الموقع الإلكتروني والعنوان البريدي، وفئات البيانات بما فيها بيانات ملفات تعريف الارتباط، والأغراض، والمشاركة، ومكان التخزين، ومدد الاحتفاظ، وحقوق أصحاب البيانات، وآلية تقديم الشكاوى. انشرها بالعربية والإنجليزية وأرّخ كل تحديث.
الطلبات والاختراقات#
وفّر للزوار طريقة واضحة لطلب الاطلاع على بياناتهم أو تصحيحها أو حذفها، وتابع المهلة: 30 يوماً بموجب اللائحة التنفيذية السعودية. وجهّز خطة للتعامل مع الاختراق قبل أن تحتاجها، لأن مهلتي 24 و72 ساعة في الأردن ومهلة 72 ساعة في السعودية لا تتركان وقتاً للارتجال. كما يجب على المسؤولين في السعودية الاحتفاظ بسجل لأنشطة المعالجة طوال مدتها ولخمس سنوات بعد انتهائها، بحسب Clyde & Co.
قائمة تحقق عملية لامتثال الموقع في 2026#
- حدّد كل نقطة يجمع فيها الموقع بيانات شخصية: النماذج والحسابات والدفع والدردشة والنشرة البريدية والتحليلات.
- احذف الحقول التي لا تحتاجها.
- أضف مربعات موافقة غير محددة مسبقاً ومرتبطة بغرض واضح بالعربية والإنجليزية.
- ثبّت نافذة موافقة تمنع أدوات التحليل والإعلانات حتى القبول، وسجّل الموافقات.
- أعد كتابة سياسة الخصوصية لتشمل الفئات والأغراض والمستلمين والنقل والاحتفاظ والحقوق.
- أعدّ قائمة بأدوات الطرف الثالث وأماكن تخزين بياناتها والضمانات في عقودها.
- حدّد قواعد الاحتفاظ واحذف تلقائياً مدخلات النماذج القديمة والسلال المتروكة.
- أمّن الموقع: HTTPS والتحديثات وصلاحيات إدارة قوية مع التحقق بخطوتين والنسخ الاحتياطي.
- اكتب خطة استجابة للاختراقات بأسماء المسؤولين ومهل 24 و72 ساعة.
- تحقق إن كنت تحتاج مسؤول حماية بيانات أو تسجيلاً في السجل الوطني للمتحكمين لدى سدايا.
- راجع الإعدادات سنوياً وكلما أضفت أداة جديدة.
كيف تساعدك كونسلت ون؟#
كونسلت ون وكالة لتطوير الويب والتسويق الرقمي مقرها عمّان، تبني المواقع ثنائية اللغة وتديرها لعملاء في الأردن والخليج والولايات المتحدة. نحن لسنا مكتب محاماة، بل نعمل مع مستشارك القانوني لتطبيق قراراته داخل الموقع نفسه. تبدأ خدمة تدقيق أداء الموقع الإلكتروني بحصر كل نموذج وملف تعريف ارتباط وأداة خارجية، ويبني فريق تصميم الويب نماذج تحترم الخصوصية ونوافذ موافقة وصفحات سياسات ثنائية اللغة، بينما تغطي خدمة أمن البنية التحتية لتكنولوجيا المعلومات تحصين الاستضافة والنسخ الاحتياطي والجاهزية للحوادث.
هل تريد معرفة وضع موقعك الحالي؟ سنراجع نماذجك وملفات تعريف الارتباط وأدوات التتبع ونرسل لك قائمة إصلاحات مرتبة حسب الأولوية. احصل على عرض سعر مجاني.
الأسئلة الشائعة#
هل ينطبق قانون حماية البيانات الشخصية الأردني على موقع شركتي؟
نعم، إذا كان موقعك يجمع بيانات شخصية مثل الأسماء وأرقام الهواتف والبريد الإلكتروني أو تفاصيل الطلبات. فقانون حماية البيانات الشخصية رقم 24 لسنة 2023 ينظّم معالجة البيانات الشخصية، ونماذج التواصل وطلبات الأسعار والاشتراك في النشرات والمتاجر الإلكترونية كلها معالجة. وبحسب وزارة الاقتصاد الرقمي والريادة، كانت مهلة توفيق الأوضاع للجهات القائمة حتى 17 مارس 2025.
هل أحتاج إلى نافذة موافقة على ملفات تعريف الارتباط في الأردن أو السعودية؟
لا يوجد في البلدين قانون خاص بملفات تعريف الارتباط بحسب ملخصات DLA Piper لعام 2026. لكن القانونين يجعلان الموافقة الأساس الرئيسي للمعالجة، ونظام حقوق صاحب البيانات الأردني لعام 2025 يشترط موافقة صريحة لكل غرض. لذلك فإن نافذة موافقة تمنع أدوات التحليل والإعلانات حتى يوافق الزائر هي الخيار العملي الأكثر أماناً لمعظم المواقع.
متى أصبح نظام حماية البيانات الشخصية السعودي ملزماً؟
دخل نظام حماية البيانات الشخصية السعودي حيز النفاذ في 14 سبتمبر 2023، ومُنحت الجهات مهلة سنة لتوفيق أوضاعها، فأصبح ملزماً في 14 سبتمبر 2024. والجهة المختصة هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). ويشمل النظام أيضاً الجهات خارج المملكة التي تعالج بيانات المقيمين فيها، ومنها كثير من المتاجر الإلكترونية الأجنبية.
ما المهلة المحددة للإبلاغ عن اختراق بيانات الموقع؟
في الأردن، إذا كان الاختراق قد يسبب ضرراً جسيماً، يجب على المسؤول إبلاغ أصحاب البيانات المتأثرين خلال 24 ساعة من اكتشافه، وإبلاغ وحدة حماية البيانات الشخصية خلال 72 ساعة. وفي السعودية تُبلَّغ سدايا بالحوادث الواجب الإبلاغ عنها عبر البوابة الوطنية لحوكمة البيانات خلال 72 ساعة من العلم بها، ويُبلَّغ الأفراد المتأثرون دون تأخير غير مبرر.
هل يمكنني استخدام Google Analytics أو نظام CRM أو أدوات واتساب في موقعي؟
غالباً نعم، لكن هذه الأدوات كثيراً ما تخزّن البيانات على خوادم خارج الأردن أو السعودية، وهذا يُعدّ نقلاً للبيانات خارج الحدود. فالأردن يقيّد النقل إلى جهات حمايتها أقل من مستوى قانونه، والسعودية تسمح به بشروط منها البنود التعاقدية القياسية الصادرة عن سدايا. اجمع قائمة بكل أداة ومكان تخزينها، واحصل على الموافقة، واذكر ذلك في سياسة الخصوصية.
ما العقوبات عند مخالفة هذه القوانين؟
بحسب DLA Piper، تتراوح الغرامات في القانون الأردني بين 1,000 و10,000 دينار وتتضاعف عند التكرار، ويمكن للمجلس فرض غرامة يومية لا تتجاوز 3% من الإيرادات السنوية. وفي السعودية تصل غرامة معظم المخالفات إلى 5 ملايين ريال وتتضاعف عند التكرار، بينما قد يؤدي الإفصاح غير المشروع عن البيانات الحساسة إلى السجن حتى سنتين وغرامة تصل إلى 3 ملايين ريال.
