حماية البيانات الشخصية والسرية المالية وفق نظام حماية البيانات الشخصية
بقلم المحامي محمود عادل الثمالي — شركة محمود عادل الثمالي للمحاماة | آخر مراجعة: 13 أكتوبر 2026
الجواب المختصر: نظام حماية البيانات الشخصية (PDPL) يحمي البيانات المالية والائتمانية للأفراد بوصفها بيانات تستوجب عناية خاصة. فيلزم الشركات بأساس نظامي للمعالجة، وحد أدنى من الجمع، وتدابير أمنية، وإشعار عند التسرب. ولا يمنع الإفصاح الواجب للجهات المختصة أو المحاكم.
لمن هذا المقال: الشركات والمكاتب العائلية وشركات الاستثمار التي تجمع بيانات مالية عن عملاء أو مستثمرين أو موظفين أو أفراد عائلة.
ما البيانات المالية التي يحميها النظام؟
يحمي نظام حماية البيانات الشخصية كل بيان يتعلق بفرد محدد أو يمكن تحديده. وفي السياق المالي يشمل ذلك عادة:
أرقام الحسابات والبطاقات وتفاصيل التحويلات.
الرواتب والدخل والأصول المملوكة.
البيانات الائتمانية، أي ما يتعلق بطلب التمويل أو الحصول عليه والسجل الائتماني.
بيانات المستثمرين في الصناديق والشركات الخاصة.
ويضع النظام للبيانات الائتمانية والحساسة ضوابط إضافية، منها التحقق من موافقة صاحبها وإبلاغه عند الإفصاح عنها في الحالات التي يحددها النظام.
التزامات الشركة عند معالجة البيانات المالية
أساس نظامي للمعالجة: موافقة صاحب البيانات، أو تنفيذ عقد معه، أو التزام نظامي، أو مصلحة مشروعة وفق الضوابط.
الحد الأدنى من البيانات: لا تُجمع إلا البيانات اللازمة للغرض المحدد.
إشعار الخصوصية: إبلاغ صاحب البيانات بالغرض والجهات التي قد تُفصح لها والمدة.
التدابير الأمنية: صلاحيات دخول محدودة، وتشفير، وسجلات اطلاع.
الإشعار بالتسرب: إبلاغ الجهة المختصة، وهي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وصاحب البيانات عند الاقتضاء، في المدة التي تحددها اللائحة.
النقل خارج المملكة: يخضع لضوابط خاصة، وهو مهم للمكاتب العائلية التي تتعامل مع بنوك أو مديري ثروات في الخارج.
الإتلاف: حذف البيانات أو إخفاء هويتها بعد انتهاء الغرض، مع مراعاة مدد الحفظ النظامية.
خارطة امتثال عملية للشركات والمكاتب العائلية
حصر البيانات: أين تُحفظ البيانات المالية، ومن يطلع عليها، ولماذا جُمعت.
سجل أنشطة المعالجة: وثيقة تصف كل نشاط معالجة وغرضه وأساسه ومدة حفظه.
عقود المعالجة: مع المحاسب الخارجي ومزود الأنظمة السحابية ومدير الثروات، تحدد التزاماتهم في الحماية والسرية.
الصلاحيات: مبدأ «الحاجة إلى المعرفة»، بحيث لا يطلع الموظف إلا على ما يحتاجه لعمله.
التدريب: تعريف الموظفين بكيفية التعامل مع البيانات المالية وكيفية الإبلاغ عن أي حادثة.
المراجعة الدورية: تحديث السياسات عند تغير الأنظمة أو إضافة خدمة أو مزود جديد.
وتساعد هذه الوثائق أيضًا في إثبات حسن الامتثال إذا طُلبت من الجهة المختصة أو أثيرت مطالبة.
حقوق صاحب البيانات
يمنح النظام صاحب البيانات حقوقًا، أبرزها: العلم بكيفية معالجة بياناته، والوصول إليها والحصول على نسخة منها، وطلب تصحيحها، وطلب إتلافها عند انتهاء الغرض. وعلى الشركة أن تضع إجراءً للاستجابة لهذه الطلبات.
حدود السرية المالية
السرية المالية ليست مطلقة. فالنظام يجيز الإفصاح عن البيانات في حالات منها تنفيذ طلب جهة قضائية أو التزام نظامي. كما تخضع المؤسسات المالية لأنظمة خاصة مثل متطلبات البنك المركزي السعودي وأنظمة مكافحة غسل الأموال.
والقاعدة العملية: احمِ البيانات من أي إفشاء غير مشروع، وتعاون مع الطلبات النظامية من الجهات المختصة والمحاكم.
الإطار | ما يحميه | الجهة الرقابية | ملاحظة |
نظام حماية البيانات الشخصية | البيانات الشخصية للأفراد ومنها المالية | سدايا | يسري على الجهات الخاصة والعامة |
السرية المصرفية | بيانات عملاء البنوك | البنك المركزي السعودي | التزامات خاصة على المؤسسات المالية |
اتفاقية السرية التعاقدية | المعلومات المتفق عليها بين الأطراف | جهة الفصل في العقد | لا تتجاوز الالتزامات النظامية |
سياسة الخصوصية الداخلية | إجراءات التعامل اليومي | إدارة الشركة | أداة لإثبات الالتزام |
ما الذي قد يحدث إذا أُهمل الامتثال؟
قد تتعرض الشركة لإنذارات أو غرامات من الجهة المختصة، وقد أعلنت سدايا اتخاذ قرارات بحق جهات مخالفة.
قد يطالب صاحب البيانات بالتعويض عن الضرر الناتج عن الإفشاء.
قد تتأثر ثقة المستثمرين والعملاء إذا تسربت بياناتهم المالية.
قد تتعطل صفقات أو شراكات خارجية تشترط إثبات الامتثال لحماية البيانات.
شخّص وضعك في 4 أسئلة
هل حددت شركتك الأساس النظامي لكل نوع من البيانات المالية التي تجمعها؟
هل لديكم إشعار خصوصية واضح للعملاء والمستثمرين والموظفين؟
هل يوجد إجراء مكتوب للإشعار عند تسرب البيانات؟
هل تنقلون بيانات مالية إلى خارج المملكة، وهل راجعتم ضوابط ذلك؟
كلما زادت الإجابات بـ«لا»، زادت الحاجة إلى مراجعة امتثال شركتك لنظام حماية البيانات الشخصية.
أسئلة شائعة
هل ينطبق النظام على المكتب العائلي الذي لا يتعامل مع الجمهور؟
ينطبق عادة على أي جهة تعالج بيانات شخصية لأفراد، ومنهم أفراد العائلة والموظفون. ويُستثنى الاستخدام الشخصي أو العائلي البحت في حدود ما يقرره النظام.
هل يجوز رفض طلب جهة رسمية للبيانات بحجة الخصوصية؟
لا. الطلبات النظامية من الجهات المختصة أو المحاكم يُتعامل معها وفق النظام. والمهم التحقق من صفة الجهة ونطاق الطلب.
هل نحتاج إلى موافقة الموظف لمعالجة راتبه؟
قد تكفي أسس أخرى كتنفيذ عقد العمل والالتزامات النظامية. لكن الإفصاح عن الراتب لجهات أخرى يحتاج إلى أساس واضح.
هل الامتثال مكلف للشركات المتوسطة؟
يبدأ عادة بحصر البيانات وتحديث الإشعارات والصلاحيات، وهي خطوات يمكن تنفيذها تدريجيًا بحسب حجم المعالجة.
هل التسرب العرضي يعرض الشركة للمساءلة؟
قد يحدث ذلك إذا ثبت ضعف التدابير الأمنية أو التأخر في الإشعار. ووجود سياسة مطبقة وإجراء إشعار سريع يخفف الأثر.
هل يمكن الاعتماد على مزود خدمة سحابية لإدارة البيانات؟
يمكن ذلك بعقد معالجة يحدد التزامات المزود، مع مراعاة ضوابط النقل خارج المملكة إذا كانت الخوادم في الخارج.
راجع امتثالك في حماية البيانات المالية
تراجع شركة محمود عادل الثمالي للمحاماة معالجة البيانات المالية في شركتك أو مكتبك العائلي، وتعد إشعارات الخصوصية وعقود المعالجة وإجراءات الإشعار بالتسرب وفق نظام حماية البيانات الشخصية. تخضع كل المعلومات والمستندات لواجب السرية المهنية، ويتواصل معك مختص خلال يوم عمل.
هذا المقال للتوعية العامة ولا يُعد رأيًا قانونيًا في حالة بعينها. يستند إلى نظام حماية البيانات الشخصية ولوائحه التنفيذية.
تعليقات