الموافقة على ملفات تعريف الارتباط في السعودية: دليل PDPL
كيف ينطبق نظام PDPL ولوائح سدايا على ملفات تعريف الارتباط وبانرات الموافقة في السعودية، مع GDPR لزوار أوروبا وقائمة تحقق ثنائية اللغة.
باختصار
بموجب نظام حماية البيانات الشخصية السعودي (PDPL) الذي تشرف عليه سدايا، تحتاج ملفات تعريف الارتباط وأدوات التتبع غير الضرورية عادةً إلى إشعار واضح وموافقة حرة ومستنيرة من الزائر قبل تشغيلها؛ أما الملفات الضرورية فلا تحتاج لذلك. بالنسبة لجمهور سعودي، ينبغي أن يتوفر الإشعار والبانر بالعربية (باتجاه RTL) إلى جانب الإنجليزية، كما يستلزم نقل البيانات ذات الصلة عبر الحدود أساسًا نظاميًا موثّقًا. تدعم Cookietrace تدفقات موافقة بنمط PDPL إلى جانب GDPR/ePrivacy وCCPA وLGPD وKVKK، مع بانرات ثنائية اللغة عربي/إنجليزي، وفحص آلي، ودعم IAB TCF v2.2، وGoogle Consent Mode v2، وسجلات موافقة موثّقة بالوقت وقابلة لإثبات سلامتها تُحفظ 3 سنوات فأكثر. هذا محتوى معلوماتي عام وليس استشارة قانونية.
- فريق هندسة الخصوصية في Cookietrace — نُشر 2026-09-15 · 8 دقيقة قراءة
ماذا يتطلب نظام حماية البيانات الشخصية السعودي (PDPL) بشأن ملفات تعريف الارتباط؟
يتعامل نظام حماية البيانات الشخصية السعودي ولوائحه التنفيذية، الذي تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، مع المعرّفات الدائمة مثل ملفات تعريف الارتباط ومعرّفات الإعلانات وبكسلات التتبع باعتبارها بيانات شخصية متى أمكن ربطها بشخص يمكن التعرّف عليه. أي موقع يضع ملفات تعريف ارتباط غير ضرورية لجمهور سعودي يحتاج إلى أساس نظامي موثّق، وإشعار واضح، وفي أغلب الحالات موافقة مسبقة قبل تشغيل تلك الملفات.
الأساس النظامي والموافقة بموجب PDPL
لا تحتاج ملفات تعريف الارتباط الضرورية (الجلسة، الأمان، توزيع الحمل) عادةً إلى موافقة لأنها لازمة لتقديم الخدمة التي طلبها الزائر. أما ملفات التحليلات والإعلانات ووسائل التواصل الاجتماعي فتتطلب في الغالب موافقة حرة ومحددة ومستنيرة من الزائر، تُجمع قبل تشغيل الملف، مع إمكانية سحبها بالسهولة نفسها.
- يجب أن تكون الموافقة إجراءً إيجابيًا لا لبس فيه — المربعات المعلَّمة مسبقًا أو مجرد متابعة التصفح لا تُعد موافقة صحيحة
- يجب أن يتمكن الزائر من رفض الفئات غير الضرورية بنفس سهولة قبولها
- يجب تسجيل خيارات الموافقة بختم زمني بحيث يمكن استرجاعها عند الطلب
- يجب أن يكون سحب الموافقة سهلًا بقدر منحها، عبر رابط دائم لإعدادات الخصوصية مثلًا
التزامات الإشعار والشفافية
يشترط PDPL إشعار خصوصية واضح ومتاح يوضّح البيانات المجمّعة والغرض منها ومدة الاحتفاظ بها والأطراف الثالثة المعنية، بلغة يفهمها صاحب البيانات. بالنسبة لجمهور سعودي، يعني هذا أن البانر والإشعار يجب أن يتوفرا باللغة العربية وليس بالإنجليزية فقط.
اعتبارات نقل البيانات عبر الحدود
يقيّد PDPL نقل البيانات الشخصية — بما فيها سجلات الموافقة وبيانات التحليلات المرتبطة بالزوار السعوديين — خارج المملكة ما لم يُثبت وجود مستوى كافٍ من الحماية أو تطبيق آلية نظامية أخرى للنقل. ينبغي للشركات التي تستخدم مزوّدي تحليلات أو إعلانات أو منصات إدارة موافقة خارج المملكة مراجعة هذا الأمر مع مستشار قانوني محلي قبل الاعتماد عليه، لأن توجيهات سدايا في هذا الشأن ما زالت تتطور.
متطلبات البانر ثنائي اللغة (العربية والإنجليزية)
بما أن اللغة العربية الفصحى هي اللغة الأساسية للمستهلكين في المملكة، فإن بانر موافقة يظهر بالإنجليزية فقط لا يلبي توقعات الشفافية بموجب PDPL لجمهور سعودي. الإعداد الفعّال يعرض الإشعار والخيارات بالعربية افتراضيًا للزوار السعوديين، مع توفر الإنجليزية كخيار ثانٍ، ويعرض تخطيط الصفحة بشكل صحيح من اليمين إلى اليسار (RTL).
كيف يعمل الفحص الآلي لملفات تعريف الارتباط وتصنيفها؟
يبدأ الإعداد المتوافق بفحص آلي للموقع يكتشف كل ملف تعريف ارتباط ووسم وبكسل تتبع يعمل فعليًا، ثم يصنّفها إلى فئات (ضرورية، وظيفية، تحليلات، إعلانات) بحيث يقدّم البانر خيارات حقيقية لكل فئة بدلًا من زر قبول/رفض واحد. تشغّل Cookietrace هذا الفحص بشكل دوري متكرر، لأن إضافة بكسل جديد من فريق التسويق قد تكسر الامتثال بصمت بين المراجعات اليدوية.
الحجب المسبق: إيقاف أدوات التتبع قبل الموافقة
عند تفعيل إعداد الحجب المسبق في Cookietrace، فإن ملفات تعريف الارتباط وأدوات التتبع غير الضرورية التي يكتشفها الفحص — سواء تم تحميلها عبر GTM أو كانت مضمّنة مباشرة في الصفحة — لا يتم تشغيلها حتى يتخذ الزائر قراره؛ فإذا رفض فلن تعمل إطلاقًا، وإذا وافق تُحمَّل الفئات المقبولة فقط.
قائمة تحقق للتنفيذ في المواقع الموجهة للسوق السعودي
استخدم هذه القائمة كنقطة انطلاق؛ فهي لا تغني عن مراجعة قانونية لتدفقات بياناتك الخاصة.
- إجراء فحص آلي وتصنيف كل ملف تعريف ارتباط وأداة تتبع
- نشر إشعار خصوصية بالعربية أولًا ومتوافق مع اتجاه RTL، إلى جانب النسخة الإنجليزية
- تفعيل بانر موافقة ثنائي اللغة مع خيارات قبول/رفض دقيقة لكل فئة
- تفعيل الحجب المسبق حتى تنتظر السكربتات غير الضرورية قرار الزائر
- الاحتفاظ بسجلات موافقة موثّقة بالوقت وقابلة للتصدير لمدة 3 سنوات على الأقل
- مراجعة ترتيبات نقل البيانات عبر الحدود مع مستشار قانوني إذا كانت البيانات تغادر المملكة
- في حال خدمة زوار من الاتحاد الأوروبي أيضًا، أضِف منطق موافقة GDPR/ePrivacy فوق ذلك
الأسئلة الشائعة
بموجب نظام حماية البيانات الشخصية السعودي (PDPL) الذي تشرف عليه سدايا، تحتاج ملفات تعريف الارتباط وأدوات التتبع غير الضرورية عادةً إلى إشعار واضح وموافقة حرة ومستنيرة من الزائر قبل تشغيلها؛ أما الملفات الضرورية فلا تحتاج لذلك. بالنسبة لجمهور سعودي، ينبغي أن يتوفر الإشعار والبانر بالعربية (باتجاه RTL) إلى جانب الإنجليزية، كما يستلزم نقل البيانات ذات الصلة عبر الحدود أساسًا نظاميًا موثّقًا. تدعم Cookietrace تدفقات موافقة بنمط PDPL إلى جانب GDPR/ePrivacy وCCPA وLGPD وKVKK، مع بانرات ثنائية اللغة عربي/إنجليزي، وفحص آلي، ودعم IAB TCF v2.2، وGoogle Consent Mode v2، وسجلات موافقة موثّقة بالوقت وقابلة لإثبات سلامتها تُحفظ 3 سنوات فأكثر. هذا محتوى معلوماتي عام وليس استشارة قانونية.
هل ينطبق نظام PDPL السعودي على ملفات تعريف الارتباط؟
نعم. يتعامل PDPL ولوائحه التنفيذية، تحت إشراف سدايا، مع ملفات تعريف الارتباط والمعرّفات المشابهة كبيانات شخصية متى أمكن ربطها بشخص يمكن التعرّف عليه، لذا تنطبق قواعد الإشعار والموافقة المعتادة على الملفات غير الضرورية.
هل أحتاج إلى موافقة لملفات تعريف الارتباط الخاصة بالتحليلات في السعودية؟
في معظم الحالات نعم — ملفات التحليلات والإعلانات ووسائل التواصل الاجتماعي ليست ضرورية بشكل صارم لتقديم الخدمة، لذا تتطلب عادة موافقة مسبقة ومستنيرة من الزائر.
هل يجب أن يكون بانر الموافقة بالعربية؟
نعم. بالنسبة لجمهور سعودي، فإن عرض الإشعار وخيارات الموافقة بالعربية (مع اتجاه RTL) يلبي توقعات الشفافية بموجب PDPL بشكل أفضل من بانر بالإنجليزية فقط؛ ويُستحسن توفير اللغتين معًا.
هل يمكنني إرسال بيانات زوار سعوديين إلى أداة تحليلات مستضافة خارج المملكة؟
يقيّد PDPL النقل عبر الحدود ما لم يُثبت مستوى كافٍ من الحماية أو تطبيق آلية نظامية أخرى للنقل؛ راجع مزوّدك وتدفق بياناتك تحديدًا مع مستشار قانوني محلي.
هل تخزّن Cookietrace البيانات داخل المملكة العربية السعودية؟
لا. تستضيف Cookietrace البيانات في الاتحاد الأوروبي افتراضيًا، مع خيار استضافة في تركيا؛ ولا تقدّم إقامة بيانات في السعودية أو الخليج، لذا ينبغي تقييم متطلبات النقل عبر الحدود بشكل منفصل.
كيف تساعد ميزة الحجب المسبق في الامتثال لـ PDPL؟
عند تفعيل الحجب المسبق، لا تعمل ملفات تعريف الارتباط وأدوات التتبع غير الضرورية التي يكتشفها الفحص حتى يختار الزائر؛ فإذا رفض، لا تعمل السكربتات إطلاقًا، وهو ما يدعم نهج 'الموافقة قبل التتبع'.
المصادر
المصادر الرسمية المذكورة في هذا الدليل.
لمن هذا الدليل
أصحاب المواقع وفرق التسويق والمطورون المسؤولون عن الموافقة على ملفات تعريف الارتباط ووسوم التحليلات ووثائق الخصوصية.
Cookietrace
كُتب وروجع من فريق هندسة الخصوصية في Cookietrace. (8 min — regulations)