الموافقة على ملفات تعريف الارتباط في السعودية: دليل PDPL
كيف ينطبق نظام PDPL ولوائح سدايا على ملفات تعريف الارتباط وبانرات الموافقة في السعودية، مع GDPR لزوار أوروبا وقائمة تحقق ثنائية اللغة.
ماذا يتطلب نظام حماية البيانات الشخصية السعودي (PDPL) بشأن ملفات تعريف الارتباط؟
يتعامل نظام حماية البيانات الشخصية السعودي ولوائحه التنفيذية، الذي تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، مع المعرّفات الدائمة مثل ملفات تعريف الارتباط ومعرّفات الإعلانات وبكسلات التتبع باعتبارها بيانات شخصية متى أمكن ربطها بشخص يمكن التعرّف عليه. أي موقع يضع ملفات تعريف ارتباط غير ضرورية لجمهور سعودي يحتاج إلى أساس نظامي موثّق، وإشعار واضح، وفي أغلب الحالات موافقة مسبقة قبل تشغيل تلك الملفات.
الأساس النظامي والموافقة بموجب PDPL
لا تحتاج ملفات تعريف الارتباط الضرورية (الجلسة، الأمان، توزيع الحمل) عادةً إلى موافقة لأنها لازمة لتقديم الخدمة التي طلبها الزائر. أما ملفات التحليلات والإعلانات ووسائل التواصل الاجتماعي فتتطلب في الغالب موافقة حرة ومحددة ومستنيرة من الزائر، تُجمع قبل تشغيل الملف، مع إمكانية سحبها بالسهولة نفسها.
- يجب أن تكون الموافقة إجراءً إيجابيًا لا لبس فيه — المربعات المعلَّمة مسبقًا أو مجرد متابعة التصفح لا تُعد موافقة صحيحة
- يجب أن يتمكن الزائر من رفض الفئات غير الضرورية بنفس سهولة قبولها
- يجب تسجيل خيارات الموافقة بختم زمني بحيث يمكن استرجاعها عند الطلب
- يجب أن يكون سحب الموافقة سهلًا بقدر منحها، عبر رابط دائم لإعدادات الخصوصية مثلًا
التزامات الإشعار والشفافية
يشترط PDPL إشعار خصوصية واضح ومتاح يوضّح البيانات المجمّعة والغرض منها ومدة الاحتفاظ بها والأطراف الثالثة المعنية، بلغة يفهمها صاحب البيانات. بالنسبة لجمهور سعودي، يعني هذا أن البانر والإشعار يجب أن يتوفرا باللغة العربية وليس بالإنجليزية فقط.
اعتبارات نقل البيانات عبر الحدود
يقيّد PDPL نقل البيانات الشخصية — بما فيها سجلات الموافقة وبيانات التحليلات المرتبطة بالزوار السعوديين — خارج المملكة ما لم يُثبت وجود مستوى كافٍ من الحماية أو تطبيق آلية نظامية أخرى للنقل. ينبغي للشركات التي تستخدم مزوّدي تحليلات أو إعلانات أو منصات إدارة موافقة خارج المملكة مراجعة هذا الأمر مع مستشار قانوني محلي قبل الاعتماد عليه، لأن توجيهات سدايا في هذا الشأن ما زالت تتطور.
متطلبات البانر ثنائي اللغة (العربية والإنجليزية)
بما أن اللغة العربية الفصحى هي اللغة الأساسية للمستهلكين في المملكة، فإن بانر موافقة يظهر بالإنجليزية فقط لا يلبي توقعات الشفافية بموجب PDPL لجمهور سعودي. الإعداد الفعّال يعرض الإشعار والخيارات بالعربية افتراضيًا للزوار السعوديين، مع توفر الإنجليزية كخيار ثانٍ، ويعرض تخطيط الصفحة بشكل صحيح من اليمين إلى اليسار (RTL).
كيف يعمل الفحص الآلي لملفات تعريف الارتباط وتصنيفها؟
يبدأ الإعداد المتوافق بفحص آلي للموقع يكتشف كل ملف تعريف ارتباط ووسم وبكسل تتبع يعمل فعليًا، ثم يصنّفها إلى فئات (ضرورية، وظيفية، تحليلات، إعلانات) بحيث يقدّم البانر خيارات حقيقية لكل فئة بدلًا من زر قبول/رفض واحد. تشغّل CookieTrace هذا الفحص بشكل دوري متكرر، لأن إضافة بكسل جديد من فريق التسويق قد تكسر الامتثال بصمت بين المراجعات اليدوية.
الحجب المسبق: إيقاف أدوات التتبع قبل الموافقة
عند تفعيل إعداد الحجب المسبق في CookieTrace، فإن ملفات تعريف الارتباط وأدوات التتبع غير الضرورية التي يكتشفها الفحص — سواء تم تحميلها عبر GTM أو كانت مضمّنة مباشرة في الصفحة — لا يتم تشغيلها حتى يتخذ الزائر قراره؛ فإذا رفض فلن تعمل إطلاقًا، وإذا وافق تُحمَّل الفئات المقبولة فقط.
قائمة تحقق للتنفيذ في المواقع الموجهة للسوق السعودي
استخدم هذه القائمة كنقطة انطلاق؛ فهي لا تغني عن مراجعة قانونية لتدفقات بياناتك الخاصة.
- إجراء فحص آلي وتصنيف كل ملف تعريف ارتباط وأداة تتبع
- نشر إشعار خصوصية بالعربية أولًا ومتوافق مع اتجاه RTL، إلى جانب النسخة الإنجليزية
- تفعيل بانر موافقة ثنائي اللغة مع خيارات قبول/رفض دقيقة لكل فئة
- تفعيل الحجب المسبق حتى تنتظر السكربتات غير الضرورية قرار الزائر
- الاحتفاظ بسجلات موافقة موثّقة بالوقت وقابلة للتصدير لمدة 3 سنوات على الأقل
- مراجعة ترتيبات نقل البيانات عبر الحدود مع مستشار قانوني إذا كانت البيانات تغادر المملكة
- في حال خدمة زوار من الاتحاد الأوروبي أيضًا، أضِف منطق موافقة GDPR/ePrivacy فوق ذلك