دليل · حماية البيانات في الخليج

حماية البيانات الشخصية وتوطين البيانات في دول الخليج: دليل لمكاتب المحاماة والإدارات القانونية

أعددنا هذا الدليل لمكاتب المحاماة وللإدارات القانونية التي تضع بيانات موكليها أو بيانات شركاتها في أدوات السحابة والذكاء الاصطناعي. هذه الصفحة دليل الالتزام: الواجبات، والإشعار عن الاختراق، وما يُسأل عنه المزوّد. وهي تغطي قواعد حماية البيانات الشخصية في الإمارات (الاتحادية ومركز دبي المالي العالمي وسوق أبوظبي العالمي) والسعودية وقطر والبحرين والكويت وعُمان. والمقارنة مادة بمادة في مقارنة قوانين حماية البيانات في الخليج. توطين البيانات يعني مكان تخزينها، أما نقل البيانات عبر الحدود فيعني إرسالها، أو إتاحة الوصول إليها، خارج الدولة. كل معلومة مرتبطة بمصدرها الرسمي، وما لم نتمكن من التحقق منه موسوم بعبارة «بحاجة إلى تأكيد».

معلومات عامة وليست استشارة قانونية. تتغير القوانين وإرشادات الجهات التنظيمية؛ يُرجى الرجوع إلى المصادر الرسمية المرفقة واستشارة محامٍ مختص في الدولة المعنية. آخر مراجعة: 22 أكتوبر 2026.

أهم النقاط

  • لا يوجد قانون خليجي موحّد لحماية البيانات. لكل دولة تشريعها الخاص، ولمركز دبي المالي العالمي وسوق أبوظبي العالمي نظامان مستقلان.[4][5][6]
  • يستثني القانون الاتحادي الإماراتي الجهات العاملة في المناطق الحرة التي لديها تشريعات خاصة بحماية البيانات، لذا تخضع جهات مركز دبي المالي العالمي لقانون المركز رقم 5 لسنة 2020، وجهات سوق أبوظبي العالمي لأنظمة حماية البيانات لعام 2021.[4][5][6]
  • حذفت ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني في إصدارها لعام 2024 (CCC-2:2024) الضوابط الفرعية التي تشترط تقديم الخدمات السحابية من داخل المملكة، ونصّت على انتقال توطين البيانات إلى مكتب إدارة البيانات الوطنية في سدايا. لذلك قد تكون التحليلات المبنية على الإصدار السابق قديمة.[14]
  • تختلف القاعدة الأصلية من دولة لأخرى: يمنع القانون القطري المتحكم من تقييد تدفق البيانات عبر الحدود إلا إذا كانت المعالجة مخالفة للقانون أو قد تُلحق ضرراً جسيماً، بينما تحظر البحرين النقل إلا إلى الدول المدرجة في قائمة الهيئة للدول ذات الحماية الكافية، أو بتصريح لكل حالة، أو في حالات الاستثناء المنصوص عليها.[16][20]
  • قد يحدث النقل دون نقل الملفات فعلياً: تعدّ إرشادات سوق أبوظبي العالمي منح صلاحية الوصول من دولة أخرى، كالوصول إلى منصة سحابية من الخارج، نقلاً للبيانات.[6]

توطين البيانات ونقلها عبر الحدود: المصطلحات

يستخدم المزوّدون هذه المصطلحات بمعانٍ متقاربة، ونستخدمها في هذا الدليل على النحو الآتي. وللاطلاع على المفهوم الأساسي، راجع مصطلح حماية البيانات الشخصية في المسرد القانوني. وفي المسرد مدخلات مستقلة لـجهة التحكم (وفي الإمارات: المتحكم)، وجهة المعالجة، والبيانات الحساسة، ومسؤول حماية البيانات.

  • توطين البيانات (مكان الاستضافة): الدولة أو المنطقة التي تُخزَّن فيها البيانات ونسخها الاحتياطية وسجلاتها فعلياً.
  • نقل البيانات عبر الحدود: إرسال البيانات الشخصية خارج الدولة أو إتاحة الوصول إليها من خارجها. وبعض الأنظمة، كأنظمة سوق أبوظبي العالمي، تعدّ منح صلاحية الوصول نقلاً صراحةً.[6]
  • اشتراط التوطين: التزام قانوني أو تعاقدي بإبقاء بيانات معيّنة داخل الدولة. ويتوقف انطباقه على الدولة والقطاع ونوع البيانات والموكل.

ملخص الالتزام: التشريع والجهة المختصة والنقل

ملخص قصير للالتزام، معدّ للفرق القانونية. كل خانة مرتبطة بمصدرها الرسمي. وعبارة «بحاجة إلى تأكيد» تعني أننا لم نتمكن من التحقق من المعلومة من مصدر رسمي في هذا الإصدار. والمقارنة مادة بمادة في <compare>مقارنة قوانين حماية البيانات في الخليج</compare>.

مرّر أفقياً لعرض جميع الأعمدة.

تشريعات حماية البيانات الشخصية في دول الخليج والجهات المختصة وقواعد النقل عبر الحدود، وفق مراجعة 22 أكتوبر 2026.
الدولةالتشريع (الاسم بالإنجليزية)الاسم الرسمي بالعربيةالجهة المختصةالنقل عبر الحدود (ملخص)النفاذ
الإمارات (البر الرئيسي)Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data[4]مرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية[1]مكتب الإمارات للبيانات، المنشأ بموجب المرسوم بقانون اتحادي رقم 44 لسنة 2021[3][2]يجوز النقل إلى الدول التي لديها تشريعات كافية لحماية البيانات، أو بموجب اتفاقية ثنائية أو متعددة الأطراف، في الحالات التي يعتمدها المكتب. وعند غياب مستوى حماية كافٍ تنطبق استثناءات محددة (العقد، الموافقة الصريحة، المطالبات القانونية، تنفيذ العقد، التعاون القضائي الدولي، المصلحة العامة)، وتُحدَّد الضوابط في اللائحة التنفيذية.[4]بحاجة إلى تأكيدلم نتحقق من وضع اللائحة التنفيذية
الإمارات – مركز دبي المالي العالميDIFC Data Protection Law No. 5 of 2020[5]بحاجة إلى تأكيدلم نتحقق من الاسم الرسمي بالعربيةمفوض حماية البيانات[5]لا يجوز النقل خارج المركز إلا إلى دول ذات حماية كافية، وإلا فعبر استثناءات مثل البنود التعاقدية الإضافية (البنود التعاقدية النموذجية الصادرة عن المركز) أو السياسات الداخلية أو استثناءات محدودة.[5]بحاجة إلى تأكيدلم نتحقق منه في هذا الإصدار
الإمارات – سوق أبوظبي العالميData Protection Regulations 2021[6]أنظمة حماية البيانات لعام 2021[8]مكتب حماية البيانات، ويرأسه مفوض حماية البيانات[8]مقيّد. يجوز بناءً على كفاية الحماية، أو الضمانات المناسبة (البنود التعاقدية النموذجية للسوق، القواعد المؤسسية الملزمة)، أو مدونات السلوك والشهادات المعتمدة، أو الاستثناءات. ويشمل «النقل» منح صلاحية الوصول عن بُعد.[6][7]بحاجة إلى تأكيدلم نتحقق منه في هذا الإصدار
السعوديةPersonal Data Protection Law (Royal Decree M/19, amended by Royal Decree M/148) and the Regulation on Personal Data Transfer outside the Kingdom[10][12]نظام حماية البيانات الشخصية[9]تنشر سدايا النظام ولوائحه وتدير منصة حوكمة البيانات الوطنية[9]تنشر الجهة المختصة قائمة بالدول ذات الحماية الكافية. وتتطلب حالات الاستثناء ضمانات مناسبة (بنود تعاقدية نموذجية، قواعد مشتركة ملزمة، شهادة اعتماد). ويلزم إجراء تقييم للمخاطر في حالات محددة.[12]14 سبتمبر 2023، مع مهلة تصحيحية مدتها سنة[11]
السعودية – الحوسبة السحابيةNCA Cloud Cybersecurity Controls (CCC-2:2024)[14]بحاجة إلى تأكيدضوابط الأمن السيبراني للحوسبة السحابية (لم نطابق الاسم مع النسخة العربية الصادرة عن الهيئة)الهيئة الوطنية للأمن السيبراني[14]تنطبق على الجهات الحكومية، والجهات الخاصة المالكة للبنى التحتية الوطنية الحساسة أو المشغّلة لها، ومزوّدي الخدمات السحابية لهذه الجهات. وقد حذف إصدار 2024 الضوابط الفرعية الخاصة بالاستضافة داخل المملكة، ونقل توطين البيانات إلى مكتب إدارة البيانات الوطنية في سدايا.[14]بحاجة إلى تأكيدلم نتحقق منه في هذا الإصدار
قطرLaw No. (13) of 2016 on Protecting Personal Data Privacy[15][16]قانون رقم (13) لسنة 2016 بشأن حماية خصوصية البيانات الشخصية[15]المكتب الوطني لخصوصية البيانات (NDPO)، التابع للوكالة الوطنية للأمن السيبراني[17]لا يجوز للمتحكم تقييد تدفق البيانات عبر الحدود إلا إذا كانت المعالجة مخالفة للقانون أو قد تُلحق ضرراً جسيماً. وتتطلب معالجة البيانات ذات الطبيعة الخاصة إذناً من الإدارة المختصة.[16]بحاجة إلى تأكيدلم نتحقق منه في هذا الإصدار
البحرينLaw No. (30) of 2018 on Personal Data Protection[18]قانون رقم (30) لسنة 2018 بإصدار قانون حماية البيانات الشخصية[18]هيئة حماية البيانات الشخصية (أُسندت مهامها إلى وزارة العدل والشؤون الإسلامية والأوقاف بموجب المرسوم الملكي رقم 78 لسنة 2019)[19]محظور إلا إلى الدول المدرجة في قائمة الهيئة للدول ذات الحماية الكافية، أو بتصريح من الهيئة لكل حالة، أو في الاستثناءات المنصوص عليها (كالموافقة والعقد والمطالبات القانونية والأوامر القضائية).[20]1 أغسطس 2019[19]
الكويتCITRA Data Privacy Protection Regulation (Decision No. 26/2024, repealing Decision No. 42/2021)[21]لائحة حماية خصوصية البيانات[21]هيئة الاتصالات وتقنية المعلومات (CITRA)[21]تنظيم قطاعي (المرخّص لهم من الهيئة). يجب إخطار المستخدم قبل نقل البيانات الشخصية إلى خارج الكويت (القرار 26/2024، المادة 4 من اللائحة).[27]قرار مؤرخ في 7 فبراير 2024[21]
عُمانPersonal Data Protection Law (Royal Decree 6/2022) and Executive Regulation (Ministerial Decision 34/2024)[24][26]مرسوم سلطاني رقم ٦ / ٢٠٢٢ بإصدار قانون حماية البيانات الشخصية[24]وزارة النقل والاتصالات وتقنية المعلومات[24]يجوز للمتحكم نقل البيانات خارج عُمان وفق الضوابط التي تحددها اللائحة. ويُحظر النقل إذا عولجت البيانات بصورة مخالفة للقانون أو كان النقل قد يُلحق ضرراً بصاحب البيانات. وتتضمن اللائحة فصلاً خاصاً بالنقل عبر الحدود.[25][26]بعد سنة من تاريخ نشر المرسوم[24]

قانون حماية البيانات الشخصية الإماراتي

المرسوم بقانون اتحادي رقم 45 لسنة 2021

التشريع الاتحادي هو المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية.[1][4]

ينطبق على المتحكمين والمعالجين داخل الدولة، وعلى المتحكمين والمعالجين خارجها ممن يعالجون البيانات الشخصية لأصحاب بيانات داخل الدولة.[4]

ويستثني البيانات الحكومية والجهات الحكومية، والبيانات لدى الجهات الأمنية والقضائية، والبيانات الصحية والمصرفية التي تنظمها تشريعات خاصة، والجهات العاملة في المناطق الحرة التي لديها تشريعات خاصة بحماية البيانات.[4]

الجهة المختصة هي مكتب الإمارات للبيانات، المنشأ بموجب المرسوم بقانون اتحادي رقم 44 لسنة 2021. ويصفه موقع البوابة الرسمية لحكومة الإمارات بأنه الجهة الاتحادية المنظِّمة للبيانات، ويتبع مجلس الوزراء.[3][2]

يجوز نقل البيانات الشخصية إلى الدول التي لديها تشريعات كافية لحماية البيانات، أو بموجب اتفاقية ثنائية أو متعددة الأطراف، في الحالات التي يعتمدها المكتب. وعند غياب مستوى حماية كافٍ يحدد القانون استثناءات، منها العقد والموافقة الصريحة والمطالبات القانونية وتنفيذ العقد والتعاون القضائي الدولي والمصلحة العامة، على أن تحدد اللائحة التنفيذية الضوابط.[4]

بحاجة إلى تأكيدلم نتمكن من التأكد من مصادر رسمية مما إذا كانت اللائحة التنفيذية قد صدرت، ولا من تاريخ بدء التطبيق. يُرجى التحقق من الوضع الحالي لدى مكتب الإمارات للبيانات قبل الاعتماد على أي تاريخ.

قانون حماية البيانات رقم 5 لسنة 2020 في مركز دبي المالي العالمي

لمركز دبي المالي العالمي نظامه الخاص، وهو قانون حماية البيانات رقم 5 لسنة 2020 (DIFC Data Protection Law No. 5 of 2020)، ويشرف عليه مفوض حماية البيانات.[5]

لا يجوز نقل البيانات الشخصية خارج المركز إلا إلى دول ذات حماية كافية، وإلا فيعتمد المصدِّر على استثناءات مثل البنود التعاقدية الإضافية (ينشر المركز بنوداً تعاقدية نموذجية) أو السياسات الداخلية أو استثناءات محدودة.[5]

ويحدد القانون كذلك التزامات خاصة عند مشاركة البيانات الشخصية مع السلطات العامة وجهات إنفاذ القانون.[5]

بحاجة إلى تأكيدلم نتحقق في هذا الإصدار من الاسم الرسمي لقانون المركز باللغة العربية، والاسم المستخدم هنا ترجمة وصفية.

أنظمة حماية البيانات لعام 2021 في سوق أبوظبي العالمي

يطبّق سوق أبوظبي العالمي أنظمة حماية البيانات لعام 2021، ويشرف عليها مكتب مستقل لحماية البيانات يرأسه مفوض.[8]

النقل خارج السوق مقيّد. والطرق المسموح بها هي كفاية الحماية، والضمانات المناسبة كالبنود التعاقدية النموذجية أو القواعد المؤسسية الملزمة، والاستثناءات. ويمكن أيضاً الاعتماد على مدونات السلوك والشهادات المعتمدة، وقد ذكر كتيّب السوق الصادر في مايو 2025 أنه لم تُعتمد أي منها بعد.[6]

تعدّ إرشادات سوق أبوظبي العالمي منح صلاحية الوصول من دولة أخرى، كالوصول إلى منصة سحابية من الخارج، نقلاً للبيانات.[6]

وينشر مكتب حماية البيانات قائمة الدول التي يعدّها ذات حماية كافية.[7]

نظام حماية البيانات الشخصية السعودي

النظام ولائحة نقل البيانات (سدايا)

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وعُدِّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ.[10]

يسري النظام على أي معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة كانت، بما في ذلك معالجة البيانات الشخصية المتعلقة بالأفراد في المملكة من أي جهة خارج المملكة.[9]

دخل النظام حيز النفاذ في 14 سبتمبر 2023 مع مهلة مدتها سنة، وقد انقضت هذه المهلة.[11]

تنشر الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) النظام ولوائحه، ويُقيَّم الامتثال عبر منصة حوكمة البيانات الوطنية.[9]

بموجب لائحة نقل البيانات الشخصية إلى خارج المملكة، تنشر الجهة المختصة قائمة بالدول ذات مستوى الحماية الكافي، وتراجعها كل أربع سنوات أو عند الحاجة.[12]

ويتطلب النقل في حالات الاستثناء ضمانات مناسبة: بنوداً تعاقدية نموذجية، أو قواعد مشتركة ملزمة، أو شهادة اعتماد.[12]

ويلزم إجراء تقييم للمخاطر قبل النقل في حالات الاستثناء، وعند النقل المستمر أو الواسع للبيانات الحساسة.[12]

ضوابط الأمن السيبراني للحوسبة السحابية

تنطبق ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني (CCC-2:2024) على الجهات الحكومية داخل المملكة وخارجها، والجهات الخاصة المالكة للبنى التحتية الوطنية الحساسة أو المشغّلة لها أو المستضيفة لها، ومزوّدي الخدمات السحابية لهذه الجهات.[14]

حذف إصدار 2024 الضوابط الفرعية التي كانت تشترط تقديم الخدمات السحابية من داخل المملكة، ونصّ على نقل توطين البيانات إلى مكتب إدارة البيانات الوطنية في سدايا.[14]

وتعتمد الضوابط أربعة مستويات لتصنيف البيانات، وهي بحسب النص الإنجليزي: Top Secret وSecret وConfidential وPublic.[14]

بحاجة إلى تأكيدلم نتحقق في هذا الإصدار من القواعد الحالية لمكتب إدارة البيانات الوطنية بشأن توطين البيانات الشخصية في القطاع الخاص. يُرجى التحقق منها لدى سدايا قبل الاعتماد على أي ملخص.

قانون حماية خصوصية البيانات الشخصية القطري

التشريع الرئيسي في قطر هو القانون رقم (13) لسنة 2016 بشأن حماية خصوصية البيانات الشخصية.[15]

الجهة المختصة هي المكتب الوطني لخصوصية البيانات (NDPO)، التابع للوكالة الوطنية للأمن السيبراني، ويُصدر قرارات ملزمة قانوناً.[17]

القاعدة الأصلية تميل إلى حرية تدفق البيانات: لا يجوز للمتحكم اتخاذ إجراءات تقيّد تدفق البيانات عبر الحدود إلا إذا كانت المعالجة مخالفة للقانون أو قد تُلحق ضرراً جسيماً. والترجمة الإنجليزية المنشورة لدى الوكالة موسومة بأنها غير رسمية.[16]

وتتطلب معالجة البيانات الشخصية ذات الطبيعة الخاصة، ومنها البيانات المتعلقة بالأصل العرقي والأطفال والصحة والدين والزواج والسوابق الجنائية، إذناً من الإدارة المختصة.[16]

بحاجة إلى تأكيدلا يغطي هذا الإصدار النظام المستقل لحماية البيانات في مركز قطر للمال.

قانون حماية البيانات الشخصية البحريني

التشريع في البحرين هو القانون رقم (30) لسنة 2018 بإصدار قانون حماية البيانات الشخصية.[18]

دخل القانون حيز النفاذ في 1 أغسطس 2019، وأُسندت مهام هيئة حماية البيانات الشخصية إلى وزارة العدل والشؤون الإسلامية والأوقاف بموجب المرسوم الملكي رقم 78 لسنة 2019.[19]

يُحظر نقل البيانات خارج البحرين ما لم تكن الدولة المستقبِلة مدرجة في قائمة الهيئة للدول ذات الحماية الكافية، أو تصرّح الهيئة بالنقل في كل حالة على حدة.[20]

ومن الاستثناءات موافقة صاحب البيانات، وتنفيذ عقد، والمصالح الحيوية، والالتزام القانوني أو الأمر القضائي، والمطالبات القانونية.[20]

وتحتاج بعض أنواع المعالجة إلى تصريح كتابي مسبق من الهيئة، ومنها المعالجة الآلية للبيانات الحساسة، ومعالجة البيانات الحيوية (البيومترية)، والربط بين السجلات.[19]

يُلزم القرار رقم 43 لسنة 2022، في المادة 4، بأن تكون لدى المتحكم إجراءات لإبلاغ الهيئة بأي اختراق خلال 72 ساعة من اكتشافه، ما لم يكن الاختراق لا يؤثر في حقوق أصحاب البيانات.[28]

لائحة حماية خصوصية البيانات – الكويت

أصدرت هيئة الاتصالات وتقنية المعلومات القرار رقم 26/2024 المؤرخ في 7 فبراير 2024 بإصدار لائحة حماية خصوصية البيانات، وألغت به القرار رقم 42/2021.[21][22]

بموجب القرار 26/2024، تسري اللائحة على مزوّدي الخدمات المرخّص لهم من الهيئة الذين يعالجون بيانات شخصية داخل الكويت أو خارجها. ويجب إخطار المستخدم قبل نقل البيانات الشخصية إلى خارج الكويت (المادة 4 من اللائحة).[27]

ملف PDF الإنجليزي الموسوم بالإصدار 1.8 هو نص 2021. وقد حلّ القرار 26/2024 محلّه. يُستشهد بالقرار وبنص اللائحة العربية لعام 2024، لا بملف 1.8.[22]

على المزوّد المرخّص إخطار الهيئة خلال 24 ساعة من العلم بالاختراق (المادة 6(1) من اللائحة). وتشير المادة 4 أيضاً إلى إخطار المستخدم وجهات إنفاذ القانون خلال 72 ساعة، والنص العربي المنشور غير واضح في هذه الجملة.[27]

وبصورة منفصلة، تشترط قواعد الهيئة للحوسبة السحابية حصول مزوّدي الخدمات السحابية الذين يستضيفون بيانات من المستوى الثالث أو الرابع داخل الكويت على ترخيص، بينما يكتفي مستضيفو بيانات المستويين الأول والثاني بالتسجيل.[23]

بحاجة إلى تأكيدلم نتحقق في هذا الإصدار مما إذا كان لدى الكويت قانون عام (غير قطاعي) لحماية البيانات الشخصية.

قانون حماية البيانات الشخصية العُماني

صدر قانون حماية البيانات الشخصية بالمرسوم السلطاني رقم ٦ / ٢٠٢٢، ويُعمل به بعد سنة من تاريخ نشره. والمقصود بـ«الوزارة» في القانون وزارة النقل والاتصالات وتقنية المعلومات.[24]

يجوز للمتحكم نقل البيانات الشخصية خارج عُمان وفق الضوابط التي تحددها اللائحة التنفيذية، ولا يجوز ذلك إذا عولجت البيانات بصورة مخالفة للقانون أو كان النقل قد يُلحق ضرراً بصاحب البيانات.[25]

وتنظّم اللائحة التنفيذية، الصادرة بالقرار الوزاري رقم 34/2024، نظاماً للتصاريح، وتُلزم بإخطار الوزارة بالاختراق خلال 72 ساعة، وتتضمن فصلين عن مسؤول حماية البيانات والنقل عبر الحدود. الحد الإداري للغرامة 2,000 ريال عُماني (المادة 32). وتصل الغرامة الجنائية على النقل غير المشروع عبر الحدود إلى 500,000 ريال عُماني (المادة 29).[26][25]

ماذا يعني ذلك عند استخدام أدوات الذكاء الاصطناعي والسحابة

  • السرية واجب مستقل. يسري واجب الحفاظ على أسرار الموكلين والسر المهني إلى جانب قانون حماية البيانات، ويشمل حتى المستندات التي لا تتضمن بيانات شخصية.
  • الأوامر والملفات المرفوعة معالجة للبيانات. النص الذي تكتبه في أداة الذكاء الاصطناعي، والمستندات التي ترفعها، والمخرجات التي تولّدها، كلها يعالجها المزوّد مع ما تتضمنه من بيانات شخصية.
  • راجع عقد المعالجة. المزوّد الذي يعالج بيانات شخصية نيابةً عنك يُعدّ معالجاً لحسابك. راجع عقده في ضوء القانون المنطبق عليك وعلى موكلك.
  • تتبّع المعالجين من الباطن. قد يكون مزوّدو النماذج ومزوّدو الاستضافة وفرق الدعم معالجين من الباطن، وقد يمثّل كل منهم عملية نقل مستقلة.
  • الوصول قد يكون نقلاً. تعدّ إرشادات سوق أبوظبي العالمي منح صلاحية الوصول من دولة أخرى نقلاً للبيانات، وهذا مهم عند وجود فرق دعم في الخارج أو منصات ذكاء اصطناعي عالمية.[6]

لمعرفة كيف تعمل الإجابات الموثّقة بالمصادر عملياً، راجع البحث القانوني بالذكاء الاصطناعي. وللاعتبارات الخاصة بكل فريق، راجع قانو للإدارات القانونية ولمكاتب المحاماة. ونقطة البداية للضوابط الداخلية هي نموذج سياسة استخدام الذكاء الاصطناعي لمكاتب المحاماة. وللاستضافة، راجع كيف تستضيف قانو البيانات. وللمنتج، راجع الذكاء الاصطناعي القانوني وإدارة المستندات.

قائمة أسئلة لمزوّدي الخدمة

أرسل هذه الأسئلة إلى أي مزوّد خدمات سحابية أو ذكاء اصطناعي قبل رفع بيانات موكليك أو بيانات شركتك.

  1. أين تُخزَّن البيانات والنسخ الاحتياطية والسجلات ونسخ التعافي من الكوارث؟ وهل يمكننا تثبيت منطقة الاستضافة؟
  2. من أي دول يمكن لموظفيكم أو للمعالجين من الباطن الوصول إلى بياناتنا، لأغراض الدعم أو المراقبة مثلاً؟ يعدّ سوق أبوظبي العالمي الوصول نقلاً.[6]
  3. هل تُستخدم الأوامر والمستندات المرفوعة والمخرجات لتدريب النماذج أو تحسينها؟ وهل هذا الخيار معطّل افتراضياً ومنصوص عليه في العقد؟
  4. ما مزوّدو نماذج الذكاء الاصطناعي الذين يعالجون بياناتنا، وأين، ولأي مدة يحتفظون بها؟
  5. هل يمكننا الاطلاع على القائمة الكاملة للمعالجين من الباطن، وكيف نُخطَر بأي تغيير؟
  6. ما آلية النقل التي تعتمدون عليها في كل دولة (كفاية الحماية، البنود التعاقدية النموذجية كبنود مركز دبي المالي العالمي أو سوق أبوظبي العالمي أو البنود السعودية، القواعد المؤسسية الملزمة، الموافقة)؟ وهل ستوقّعونها؟[5][6][12]
  7. هل ستوقّعون اتفاقية معالجة بيانات تستوفي القانون المنطبق؟ راجع مراجعة العقود واتفاقيات معالجة البيانات.
  8. ما سرعة إخطارنا عند وقوع اختراق؟ تُلزم اللائحة التنفيذية العُمانية مثلاً بإخطار الوزارة خلال 72 ساعة، لذا يحتاج المزوّد إلى إخطارك قبل ذلك.[26]
  9. كم مدة الاحتفاظ ببياناتنا؟ وهل يمكن حذفها عند إغلاق الملف، وهل يُوثَّق الحذف بشهادة؟
  10. هل البيانات مشفّرة أثناء التخزين وأثناء النقل، ومن يحتفظ بمفاتيح التشفير؟
  11. هل تدعمون الدخول الموحّد، والصلاحيات حسب الدور، وصلاحيات على مستوى الملف، وسجلات تدقيق يمكن تصديرها لسجلاتنا؟
  12. ما سياستكم تجاه طلبات الجهات الحكومية وجهات إنفاذ القانون، وهل ستخطروننا، وما الضمانات المطبّقة؟ يحدد قانون مركز دبي المالي العالمي التزامات خاصة عند المشاركة مع السلطات العامة.[5]
  13. ما شهادات التدقيق الأمني المستقلة لديكم؟ اطلب التقارير نفسها ولا تكتفِ بالشعارات.
  14. لعملاء الجهات الحكومية أو البنى التحتية الوطنية الحساسة في السعودية: هل تقع الخدمة ضمن نطاق ضوابط الأمن السيبراني للحوسبة السحابية، وكيف تستوفونها؟[14]
  15. كيف تدعمون طلبات أصحاب البيانات (الوصول، التصحيح، الحذف) ضمن المدد النظامية؟
  16. عند إنهاء الخدمة: بأي صيغة وخلال أي مدة يمكننا تصدير بياناتنا، وهل ستحذفونها بعد الإنهاء؟
  17. هل تعالج الخدمة المستندات العربية مباشرةً، دون إرسالها إلى خدمة ترجمة في دولة ثالثة؟ اسأل ولا تفترض.

حماية البيانات في الخليج

أسئلة الفرق القانونية

أي دول مجلس التعاون لديها نظام لحماية البيانات الشخصية؟

لدى الإمارات والسعودية وقطر والبحرين وعُمان تشريع لحماية البيانات الشخصية، ولمركز دبي المالي العالمي وسوق أبوظبي العالمي نظامان مستقلان. التشريع الاتحادي في الإمارات هو المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية. وفي مركز دبي المالي العالمي قانون حماية البيانات رقم 5 لسنة 2020، وفي سوق أبوظبي العالمي أنظمة حماية البيانات لعام 2021.

وفي السعودية نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم (م/19) والمعدّل بالمرسوم الملكي رقم (م/148). وفي قطر القانون رقم (13) لسنة 2016 بشأن حماية خصوصية البيانات الشخصية. وفي البحرين القانون رقم (30) لسنة 2018 بإصدار قانون حماية البيانات الشخصية.

وفي عُمان قانون حماية البيانات الشخصية الصادر بالمرسوم السلطاني رقم ٦ / ٢٠٢٢. أما في الكويت فالنص المنشور هو لائحة حماية خصوصية البيانات الصادرة عن هيئة الاتصالات وتقنية المعلومات بالقرار رقم 26/2024، وهي تنطبق على مزوّدي خدمات الاتصالات وتقنية المعلومات. ولم نتحقق في هذا الدليل من وجود قانون عام، غير قطاعي، لحماية البيانات الشخصية في الكويت.[4][5][6][9][15][18][24][21]

هل يسري نظام حماية البيانات الشخصية على الجهات خارج المملكة؟

نعم، بالنسبة إلى البيانات الشخصية للأفراد في المملكة. تبيّن سدايا أن النظام يسري على أي معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة كانت، بما في ذلك معالجة البيانات الشخصية المتعلقة بالأفراد في المملكة من أي جهة خارج المملكة.[9]

ما ضوابط نقل البيانات الشخصية إلى خارج دول الخليج؟

يختلف الحكم بحسب الدولة. في الإمارات، على البر الرئيسي، يجوز نقل البيانات الشخصية إلى الدول التي لديها تشريعات كافية لحماية البيانات، أو بموجب اتفاقية ثنائية أو متعددة الأطراف، في الحالات التي يعتمدها مكتب الإمارات للبيانات. وعند غياب مستوى حماية كافٍ يورد القانون استثناءات، منها العقد والموافقة الصريحة والمطالبات القانونية وتنفيذ العقد والتعاون القضائي الدولي والمصلحة العامة، وتُترك ضوابطها للائحة التنفيذية.

وفي مركز دبي المالي العالمي لا يجوز نقل البيانات الشخصية خارج المركز إلا إلى دولة ذات حماية كافية، وإلا فيُعتمد على استثناءات مثل البنود التعاقدية النموذجية للمركز أو السياسات الداخلية أو استثناءات محدودة. وفي سوق أبوظبي العالمي النقل مقيّد: كفاية الحماية، أو ضمانات مناسبة كالبنود التعاقدية النموذجية أو القواعد المؤسسية الملزمة، أو مدونات سلوك وشهادات معتمدة، أو استثناءات، ويُعد منح صلاحية الوصول عن بُعد نقلاً.

وفي السعودية تنشر الجهة المختصة قائمة بالدول ذات مستوى الحماية الكافي وتراجعها كل أربع سنوات أو عند الحاجة. ويشترط للنقل في حالات الاستثناء ضمانات مناسبة، وهي البنود التعاقدية النموذجية أو القواعد المشتركة الملزمة أو شهادة الاعتماد، مع تقييم للمخاطر قبل النقل في حالات الاستثناء وعند النقل المستمر أو الواسع للبيانات الحساسة.

وفي قطر لا يجوز للمتحكم تقييد تدفق البيانات عبر الحدود إلا إذا كانت المعالجة مخالفة للقانون أو قد تُلحق ضرراً جسيماً، وتحتاج البيانات ذات الطبيعة الخاصة إلى إذن من الإدارة المختصة. والترجمة الإنجليزية التي تنشرها الوكالة الوطنية للأمن السيبراني موسومة بأنها غير رسمية.

وفي البحرين يُحظر النقل ما لم تكن الدولة المستقبِلة مدرجة في قائمة الهيئة للدول ذات الحماية الكافية، أو تصرّح الهيئة بالنقل في كل حالة، أو ينطبق استثناء منصوص عليه، ومنها الموافقة والعقد والمطالبات القانونية والأمر القضائي. وفي الكويت، بموجب القرار 26/2024، يجب إخطار المستخدم قبل نقل البيانات الشخصية إلى خارج الكويت (المادة 4 من اللائحة). وملف PDF الإنجليزي لعام 2021 (الإصدار 1.8) ليس النص الحالي.

وفي عُمان يجوز للمتحكم نقل البيانات الشخصية خارج السلطنة وفق ضوابط اللائحة التنفيذية، ولا يجوز ذلك إذا عولجت البيانات بصورة مخالفة للقانون أو كان النقل قد يُلحق ضرراً بصاحب البيانات.

وبصورة مستقلة، تنطبق ضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني (CCC-2:2024) على الجهات الحكومية ومشغّلي البنى التحتية الوطنية الحساسة ومزوّدي الخدمات السحابية لهم. وقد حذف إصدار 2024 الضوابط الفرعية التي كانت تشترط تقديم الخدمة من داخل المملكة، ونصّ على انتقال توطين البيانات إلى مكتب إدارة البيانات الوطنية في سدايا.[4][5][6][12][16][20][22][27][25][26][14]

ما مهلة الإشعار عن حادثة تسرب البيانات الشخصية في السعودية وعُمان؟

في السعودية، تُلزم المادة الرابعة والعشرون من اللائحة التنفيذية لنظام حماية البيانات الشخصية جهة التحكم بإشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من وقت علمها بحادثة تسرب البيانات الشخصية، إذا كان من شأن الحادثة الإضرار بالبيانات الشخصية أو بصاحبها أو كانت تتعارض مع حقوقه أو مصالحه.

وإذا تعذّر تقديم كل البيانات المطلوبة خلال هذه المدة، تقدّمها جهة التحكم في أقرب وقت مع مبررات التأخير. وعلى جهة التحكم كذلك، دون تأخير غير مبرر، إشعار صاحب البيانات إذا كان من شأن الحادثة الإضرار به أو التعارض مع حقوقه أو مصالحه. ويبيّن الدليل الإجرائي الصادر عن سدايا أن الإشعار يوجَّه إلى سدايا.

وفي عُمان تُلزم اللائحة التنفيذية الصادرة بالقرار الوزاري رقم 34/2024 بإخطار وزارة النقل والاتصالات وتقنية المعلومات بالاختراق خلال 72 ساعة. وفي البحرين يُلزم القرار رقم 43 لسنة 2022، في المادة 4، بوجود إجراءات لإبلاغ الهيئة خلال 72 ساعة من اكتشاف الاختراق، ما لم يكن الاختراق لا يؤثر في حقوق أصحاب البيانات. وفي الكويت يُلزم القرار 26/2024 المزوّد المرخّص بإخطار الهيئة خلال 24 ساعة من العلم بالاختراق (المادة 6(1) من اللائحة). ولا يورد هذا الدليل مهلة إشعار للإمارات أو قطر.[13][10][26][28][27]

من الجهة المختصة بحماية البيانات الشخصية في كل دولة خليجية؟

في الإمارات، على البر الرئيسي: مكتب الإمارات للبيانات، المنشأ بموجب المرسوم بقانون اتحادي رقم 44 لسنة 2021، وتصفه البوابة الرسمية لحكومة الإمارات بأنه الجهة الاتحادية المنظِّمة للبيانات ويتبع مجلس الوزراء. وفي مركز دبي المالي العالمي: مفوض حماية البيانات. وفي سوق أبوظبي العالمي: مكتب حماية البيانات، ويرأسه مفوض حماية البيانات.

وفي السعودية: تنشر الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) نظام حماية البيانات الشخصية ولوائحه، وتدير منصة حوكمة البيانات الوطنية التي يُقيَّم الامتثال من خلالها. وفي قطر: المكتب الوطني لخصوصية البيانات التابع للوكالة الوطنية للأمن السيبراني، ويُصدر قرارات ملزمة قانوناً.

وفي البحرين: هيئة حماية البيانات الشخصية، وقد أُسندت مهامها إلى وزارة العدل والشؤون الإسلامية والأوقاف بموجب المرسوم الملكي رقم 78 لسنة 2019. وفي عُمان: وزارة النقل والاتصالات وتقنية المعلومات. وفي الكويت: هيئة الاتصالات وتقنية المعلومات، بالنسبة إلى لائحة حماية خصوصية البيانات المنطبقة على مزوّدي خدمات الاتصالات وتقنية المعلومات.[3][2][5][8][9][17][19][24][21]

هل يُعد منح مزوّد سحابة أو ذكاء اصطناعي صلاحية الوصول إلى الملفات نقلاً للبيانات خارج الدولة؟

قد يُعد كذلك في سوق أبوظبي العالمي وإن بقيت الملفات في مكانها. فإرشادات السوق تعدّ منح صلاحية الوصول من دولة أخرى، كالوصول إلى منصة سحابية من الخارج، نقلاً للبيانات. ولا يورد هذا الدليل أن سائر أنظمة دول الخليج تعرّف الوصول على النحو نفسه.[6]

المصادر

مصادر رسمية رُوجعت في 22 أكتوبر 2026. وللتعريفات، راجع المسرد القانوني.

  1. البوابة الرسمية لحكومة الإمارات (u.ae): قوانين حماية البيانات (بالعربية)https://u.ae/ar/about-the-uae/digital-uae/data/data-protection-laws
  2. البوابة الرسمية لحكومة الإمارات (u.ae): قوانين حماية البيانات (بالإنجليزية)https://u.ae/en/about-the-uae/digital-uae/data/data-protection-laws
  3. منصة التشريعات الإماراتية: المرسوم بقانون اتحادي رقم 45 لسنة 2021 (بالعربية)https://uaelegislation.gov.ae/ar/legislations/1972
  4. منصة التشريعات الإماراتية: المرسوم بقانون اتحادي رقم 45 لسنة 2021 (النص الإنجليزي، تنزيل)https://uaelegislation.gov.ae/en/legislations/1972/download
  5. مفوض حماية البيانات في مركز دبي المالي العالمي: تصدير البيانات ومشاركتها (بالإنجليزية)https://www.difc.com/business/registrars-and-commissioners/commissioner-of-data-protection/data-export-and-sharing
  6. مكتب حماية البيانات في سوق أبوظبي العالمي: كتيّب نقل البيانات (بالإنجليزية، PDF)https://www.adgm.com/documents/office-of-data-protection/resources/brochures-flyers/adgm-data-transfers-brochure.pdf
  7. مكتب حماية البيانات في سوق أبوظبي العالمي: الدول ذات الحماية الكافية (بالإنجليزية)https://www.adgm.com/operating-in-adgm/office-of-data-protection/jurisdictions
  8. سوق أبوظبي العالمي: بيان صحفي عن أنظمة حماية البيانات لعام 2021 (بالعربية، PDF)https://assets.adgm.com/download/assets/20210214+Media+Release+New+Data+Protection+Regulations+AR.pdf/14a8930279a211efaa32e2ebe1d65810
  9. سدايا: نظام حماية البيانات الشخصية (بالعربية)https://sdaia.gov.sa/ar/Research/Pages/DataProtection.aspx
  10. سدايا: وثيقة حوادث تسرب البيانات الشخصية (بالإنجليزية، PDF)https://sdaia.gov.sa/en/SDAIA/about/Documents/PersonalDataBreachIncidents.pdf
  11. منصة حوكمة البيانات الوطنية (سدايا): دليل النظام للمتحكمين والمعالجين (بالإنجليزية، PDF)https://dgp.sdaia.gov.sa/wps/wcm/connect/f579bc32-fda8-47bd-bc6f-66b8cb77985c/ENG-Guide+to+the+saudi+PDP+law+for+controllersprocessors.pdf?MOD=AJPERES
  12. سدايا: لائحة نقل البيانات الشخصية إلى خارج المملكة (بالإنجليزية، PDF)https://sdaia.gov.sa/Documents/RegulationonPersonalDataEN.pdf
  13. سدايا: اللائحة التنفيذية لنظام حماية البيانات الشخصية، المادة الرابعة والعشرون (PDF)https://sdaia.gov.sa/ar/SDAIA/about/Documents/ImplementingRegulationPersonalDataProtectionLawAr.pdf
  14. الهيئة الوطنية للأمن السيبراني: ضوابط الأمن السيبراني للحوسبة السحابية CCC-2:2024 (بالإنجليزية، PDF)https://cdn.nca.gov.sa/api/files/public/upload/6d5408a3-d8e6-4e96-963b-2c7198e5b7c2_CCC-2-2024-EN-.pdf
  15. الميزان (almeezan.qa): القانون رقم (13) لسنة 2016 (بالعربية)https://www.almeezan.qa/LawPage.aspx?id=7121
  16. الوكالة الوطنية للأمن السيبراني، قطر: ترجمة إنجليزية غير رسمية للقانون رقم (13) لسنة 2016 (PDF)https://ncsa.gov.qa/shared/document_library/94787172324409/33000/8821/1.0~735ebb9c-e29e-4acb-a7ed-96449884a20b?filename=Law%20No.%20(13)%20of%202016%20on%20Protecting%20Personal%20Data%20Privacy.pdf&mimetype=application%2Fpdf
  17. الوكالة الوطنية للأمن السيبراني، قطر: قرار ملزم من المكتب الوطني لخصوصية البيانات (خبر، بالإنجليزية)https://ncsa.gov.qa/en/media/news/NDPO%20Issues%20%E2%80%9CLegally%20Binding%20Decision%E2%80%9D%20involving%20a%20company%20in%20the%20ICT%20sector-298896
  18. بوابة الشؤون القانونية في البحرين (legalaffairs.gov.bh): القانون رقم (30) لسنة 2018 (بالعربية)https://legalaffairs.gov.bh/Legislation/HTM/K3018
  19. هيئة حماية البيانات الشخصية، البحرين: عن الهيئة (بالإنجليزية)https://www.pdp.gov.bh/en/about-PDPA.html
  20. هيئة حماية البيانات الشخصية، البحرين: القانون واللوائح (بالإنجليزية، PDF)https://www.pdp.gov.bh/en/assets/pdf/regulations.pdf
  21. هيئة الاتصالات وتقنية المعلومات: القرار رقم 26/2024 (بالعربية)https://www.citra.gov.kw/sites/ar/Pages/DecisionsDetails.aspx?id=6
  22. هيئة الاتصالات وتقنية المعلومات: القرار رقم 26/2024 (PDF)https://www.citra.gov.kw/sites/ar/Lists/CITRADecisions/Attachments/6/R%2026-2024.pdf
  23. هيئة الاتصالات وتقنية المعلومات: لوائح والتزامات مزوّدي الخدمات السحابية (بالإنجليزية، PDF)https://citra.gov.kw/sites/en/LegalReferences/Cloud_service_providers_regulations_and_commitments.pdf
  24. قانون (qanoon.om): المرسوم السلطاني رقم ٦ / ٢٠٢٢ (بالعربية)https://qanoon.om/p/2022/rd2022006
  25. وزارة النقل والاتصالات وتقنية المعلومات: المرسوم السلطاني بإصدار قانون حماية البيانات الشخصية (بالإنجليزية، PDF)https://prod.mtcit.gov.om/ITAPortal//Data/English/DocLibrary/2024115132533256/PROMULGATING%20THE%20PERSONAL%20DATA%20PROTECTION%20LAW.pdf
  26. وزارة النقل والاتصالات وتقنية المعلومات: اللائحة التنفيذية لقانون حماية البيانات الشخصية (خبر)https://prod.mtcit.gov.om/ITAPortal/MediaCenter/NewsDetail.aspx?NID=91274
  27. هيئة الاتصالات وتقنية المعلومات: لائحة حماية خصوصية البيانات الصادرة بالقرار 26/2024 (عربي، PDF)https://www.citra.gov.kw/sites/ar/LegalReferences/%D9%84%D8%A7%D8%A6%D8%AD%D8%A9%20%D8%AD%D9%85%D8%A7%D9%8A%D8%A9%20%D8%AE%D8%B5%D9%88%D8%B5%D9%8A%D8%A9%20%D8%A7%D9%84%D8%A8%D9%8A%D8%A7%D9%86%D8%A7%D8%AA.pdf
  28. هيئة حماية البيانات الشخصية في البحرين: القرار رقم 43 لسنة 2022 بشأن الإخطار عن الاختراق (PDF)https://www.pdp.gov.bh/assets/pdf/executive-decisions/eng/the_be_met_in_the_technical.pdf

معلومات عامة وليست استشارة قانونية. تتغير القوانين وإرشادات الجهات التنظيمية؛ يُرجى الرجوع إلى المصادر الرسمية المرفقة واستشارة محامٍ مختص في الدولة المعنية. آخر مراجعة: 22 أكتوبر 2026.