مقارنة · تسعة أنظمة
مقارنة قوانين حماية البيانات في الخليج: تسعة أنظمة وخمسة عشر بنداً
مقارنة بنداً ببند لقواعد البيانات الشخصية في السعودية، والإمارات (الاتحادية ومركز دبي المالي العالمي وسوق أبوظبي العالمي)، والبحرين، وقطر (على البر وفي مركز قطر للمال)، وعُمان، والكويت. كل خلية مؤكدة مرتبطة بنصها الرسمي ورقم المادة. ولتطبيق ذلك على أدوات السحابة والذكاء الاصطناعي، راجع دليل حماية البيانات للفرق القانونية.
هذه ليست استشارة قانونية. النص الرسمي هو المعتمد. آخر مراجعة: 22 أكتوبر 2026.
نظرة عامة: 9 أنظمة و15 بنداً
اقرأ الصف أفقياً لمقارنة سؤال واحد. العمود الأول يبقى ثابتاً وبقية الجدول تتحرّك. والخلية غير المؤكدة تعرض «لم يتم التحقق من النص الرسمي» دون نصها المخزّن.
- النص المرتبط خلية تم التحقق منها.
- عبارة «لم يتم التحقق من النص الرسمي» تعني أن الحقل ليس verified. والنص المخزّن غير معروض.
- عبارة «مصدر ثانوي» تعني أن نقطة في الخلية ليست من النص الرسمي. وعبارة «تفصيل في هذه الخلية لم يُؤكد» تعني أن أصل الخلية مؤكد وتفصيلاً فيها ليس كذلك.
تنزيل مجموعة البيانات
الرخصة CC BY 4.0. المصدر: قانو.
تضمين الجدول أو الاستشهاد به
<p><a href="https://www.qanu.ai/ar/%D8%A3%D8%AF%D9%84%D8%A9/%D9%85%D9%82%D8%A7%D8%B1%D9%86%D8%A9-%D9%82%D9%88%D8%A7%D9%86%D9%8A%D9%86-%D8%AD%D9%85%D8%A7%D9%8A%D8%A9-%D8%A7%D9%84%D8%A8%D9%8A%D8%A7%D9%86%D8%A7%D8%AA-%D8%A7%D9%84%D8%AE%D9%84%D9%8A%D8%AC">مقارنة قوانين حماية البيانات في الخليج (2026)</a> · <a href="https://www.qanu.ai/en/guides/gcc-data-protection-laws">GCC Data Protection Laws Compared (2026)</a> — <a href="https://www.qanu.ai">Qanu</a>, <a href="https://creativecommons.org/licenses/by/4.0/" rel="license">CC BY 4.0</a>. <a href="https://www.qanu.ai/data/gcc-dp-compare-2026-10-22.json">JSON</a> · <a href="https://www.qanu.ai/data/gcc-dp-compare-2026-10-22.csv">CSV</a>.</p>
مرّر أفقياً لمقارنة الأنظمة التسعة.
| البند | السعودية | الإمارات (اتحادي) | مركز دبي المالي العالمي | سوق أبوظبي العالمي | البحرين | قطر | مركز قطر للمال | عُمان | الكويت |
|---|---|---|---|---|---|---|---|---|---|
| التشريع وتواريخه | نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وقرار مجلس الوزراء رقم (98) وتاريخ 7/2/1443هـ؛ نُشر في 17/2/1443هـ. عُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ. نافذ منذ 14 سبتمبر 2023 (بعد 720 يوماً من النشر). الحالة في هيئة الخبراء: ساري. Royal Decree M/19; Art 43 (original); RD M/148 | مرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية؛ صدر في 20 سبتمبر 2021؛ الجريدة الرسمية العدد 712 (ملحق) في 26 سبتمبر 2021؛ يعمل به من 2 يناير 2022. Art 31 | قانون حماية البيانات، قانون مركز دبي المالي العالمي رقم (5) لسنة 2020؛ سُنّ في 21 مايو 2020؛ نافذ من 1 يوليو 2020؛ معدل بالقانون رقم (2) لسنة 2022 والقانون رقم (1) لسنة 2025. Arts 3-4 | أنظمة حماية البيانات لعام 2021؛ سُنت في 11 فبراير 2021؛ نافذة بإلغاء أنظمة 2015 (بعد 6 أشهر للمنشآت الجديدة و12 شهراً للقائمة). ss 63-64 | قانون رقم (30) لسنة 2018 بإصدار قانون حماية البيانات الشخصية؛ صدر في 28 شوال 1439هـ الموافق 12 يوليو 2018؛ يعمل به من 1 أغسطس 2019. Promulgation law, Art 4 (effectiveness) | قانون رقم (13) لسنة 2016 بشأن حماية خصوصية البيانات الشخصية؛ صدر في 3/2/1438هـ الموافق 3/11/2016؛ الجريدة الرسمية العدد 15 لسنة 2016. Art 32تفصيل في هذه الخلية لم يُؤكد | مرسوم سلطاني رقم 6/2022 بإصدار قانون حماية البيانات الشخصية؛ الجريدة الرسمية العدد 1429؛ يعمل به بعد سنة من نشره (13 فبراير 2023). اللائحة التنفيذية: القرار الوزاري رقم 34/2024 (الجريدة الرسمية العدد 1531). RD Arts (promulgation); ER Article (decision) | لا يوجد قانون شامل؛ لائحة حماية خصوصية البيانات (الإصدار 2.5) الصادرة بقرار الهيئة العامة للاتصالات وتقنية المعلومات رقم (26) لسنة 2024 بتاريخ 7 فبراير 2024، تلغي القرار 42/2021 وتعديلاته. Decision 26/2024, Arts 1-3مصدر ثانوي | |
| الجهة المختصة | الجهة المختصة (م30): الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)؛ حدد قرار مجلس الوزراء (98) اختصاصها لمدة سنتين ينظر خلالها في نقله إلى مكتب إدارة البيانات الوطنية، مع مذكرتي تفاهم مع البنك المركزي السعودي وهيئة الاتصالات والفضاء والتقنية. Art 30; CoM Resolution 98 (first, fourth/fifth items) | مكتب الإمارات للبيانات، المنشأ بالمرسوم بقانون اتحادي رقم (44) لسنة 2021. Art 1 (definition of 'Office') | مفوض حماية البيانات في مركز دبي المالي العالمي. Arts 8, 43-46 | مكتب حماية البيانات برئاسة مفوض حماية البيانات في سوق أبوظبي العالمي. ss 47-49 | هيئة حماية البيانات الشخصية؛ أُسندت اختصاصاتها إلى وزارة العدل والشؤون الإسلامية والأوقاف بالمرسوم رقم (78) لسنة 2019. Law Arts 26-30; Decree 78/2019 | لم يتم التحقق من النص الرسمي Art 1 (definitions) | مكتب حماية البيانات في مركز قطر للمال. Fact sheet | وزارة النقل والاتصالات وتقنية المعلومات. Law Arts 1, 7 | الهيئة العامة للاتصالات وتقنية المعلومات. Decision 26/2024 |
| النطاق والامتداد | يسري على كل معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة، بما فيها معالجة بيانات الأفراد المقيمين في المملكة من أي جهة خارجها؛ ويشمل بيانات المتوفى. ويُستثنى الاستخدام الشخصي أو العائلي. Art 2(1)-(2) | يسري على أصحاب البيانات المقيمين أو ذوي مقر عمل في الدولة، وعلى المتحكم والمعالج داخل الدولة سواء جرت المعالجة داخلها أو خارجها، وعلى المتحكم والمعالج خارج الدولة عند معالجة بيانات أصحاب بيانات داخلها؛ ويُستثنى البيانات الحكومية والجهات الأمنية والقضائية والبيانات الصحية والمصرفية ذات التشريعات الخاصة والمناطق الحرة ذات القوانين الخاصة. Art 2 | يسري على المعالجة من متحكم أو معالج مؤسس في المركز أينما جرت، وعلى المعالجة داخل المركز ضمن ترتيبات مستقرة بغض النظر عن مكان التأسيس. Art 6(3) | يسري على المعالجة في سياق أنشطة منشأة لمتحكم أو معالج في السوق، بغض النظر عن مكان المعالجة. s 3 | يسري على المقيمين أو ذوي مقر عمل في المملكة، والأشخاص الاعتبارية ذات مقر عمل فيها، وغير المقيمين الذين يعالجون بوسائل موجودة في المملكة (مع تعيين ممثل معتمد). Art 2 | يسري على البيانات الشخصية المعالجة إلكترونياً أو المجمعة تمهيداً لذلك؛ لا نص صريح على السريان خارج الحدود. Arts 2-3 | لم يتم التحقق من النص الرسمي Fact sheet | تسري على معالجة البيانات الشخصية دون نص إقليمي صريح؛ مع استثناءات واسعة في م3. Arts 2-3 | تسري على جميع مقدمي الخدمات المرخصين من الهيئة الذين يعالجون بيانات شخصية داخل الكويت أو خارجها؛ وتعريف البيانات يشمل الشخص الاعتباري. Reg. Art 1 (and definitions) |
| أسس المعالجة | الموافقة (م5)، مع استثناءات م6: مصلحة متحققة لصاحب البيانات يتعذر الاتصال به؛ نص نظامي أو اتفاق سابق؛ جهة عامة لأغراض أمنية أو قضائية؛ المصلحة المشروعة لجهة التحكم (دون البيانات الحساسة). Arts 5-6; IR Art 16 (legitimate interest) | يُحظر المعالجة دون موافقة صاحب البيانات إلا في 11 حالة (المصلحة العامة، البيانات المعلنة، الدعاوى، الطب الوقائي، الصحة العامة، الأرشفة والبحث، حماية مصلحة صاحب البيانات، التزامات العمل، تنفيذ العقد، الالتزام القانوني، حالات تحددها اللائحة). لا يوجد أساس عام للمصلحة المشروعة. Arts 4, 6 | على غرار اللائحة الأوروبية: الموافقة، العقد، الالتزام القانوني، المصالح الحيوية، مهام هيئات المركز، المصالح المشروعة. Arts 10, 12, 13 | ستة أسس على غرار اللائحة الأوروبية. s 5 | الموافقة، أو الضرورة لتنفيذ عقد، أو التزام قانوني أو حكم قضائي، أو حماية المصالح الحيوية، أو المصالح المشروعة لمدير البيانات. Art 4 | الموافقة، ما لم تكن المعالجة ضرورية لتحقيق غرض مشروع لمراقب البيانات أو الغير. Arts 4, 18 | الموافقة، العقد، الالتزام القانوني، المصالح الحيوية، المصلحة العامة، المصلحة المشروعة. Arts 10-11 | موافقة صريحة مكتوبة من صاحب البيانات ما لم تندرج المعالجة ضمن استثناءات م3. Arts 3, 10 | موافقة المستخدم، الالتزام القانوني، حماية بيانات المستخدم، متطلبات التحقق من الهوية؛ موافقة كتابية من ولي الأمر لمن دون 18. Reg. Art 3 |
| هل الموافقة هي الأصل؟ | نعم، الموافقة هي الأصل؛ وتلزم الموافقة الصريحة للبيانات الحساسة والائتمانية والقرارات المؤتمتة بالكامل. Law Art 5; IR Art 11(2) | نعم، الموافقة هي الأصل (م4)، وشروطها في م6. Arts 4, 6 | لا؛ الموافقة أحد ستة أسس متساوية. Art 10 | لا. ss 5-6 | الموافقة أولى الحالات لكن ليست شرطاً حصرياً؛ تتوفر المصلحة المشروعة وغيرها. Arts 4-5 | نعم، مع بديل 'الغرض المشروع'. Art 4 | لا. Art 10 | نعم؛ الموافقة الصريحة المكتوبة هي الأصل. Art 10 | نعم لمقدمي الخدمات المرخصين. Reg. Art 3 |
| البيانات الحساسة | البيانات الحساسة: الأصل العرقي أو القبلي، المعتقد الديني أو الفكري أو السياسي، البيانات الأمنية والجنائية، السمات الحيوية أو الوراثية للتعريف، البيانات الصحية، وما يدل على مجهولية الأبوين أو أحدهما. Art 1(11) (as amended by M/148); IR Art 11 | البيانات الحساسة: ما يكشف العائلة أو الأصل العرقي أو الآراء السياسية أو الفلسفية أو المعتقدات الدينية أو السجل الجنائي أو البيانات الحيوية أو الصحية أو الجينية أو الجنسية. Art 1 (definitions); Arts 10, 21 | لا تُعالج الفئات الخاصة إلا بتوفر أحد شروط م11 (موافقة صريحة، التوظيف، ...). Art 11 | معالجة الفئات الخاصة محظورة ما لم ينطبق استثناء في القسم 7(2)؛ وأضاف تعديل 2025 شروطاً بقواعد. s 7 | البيانات الحساسة: العرق، الأصل الإثني، الآراء السياسية أو الفلسفية، المعتقدات الدينية، الانتماء النقابي، السجل الجنائي، الصحة أو الحياة الجنسية؛ وتحتاج المعالجة الآلية لها وللبيانات الحيوية والجينية والتسجيل المرئي إذناً مسبقاً. Arts 1, 5, 15 | بيانات ذات طبيعة خاصة: الأصل العرقي، الأطفال، الصحة، المعتقدات الدينية، العلاقة الزوجية، الجرائم؛ تحتاج تصريحاً من الإدارة المختصة. Arts 16-17 | لم يتم التحقق من النص الرسمي النص الرسمي | البيانات الجينية والحيوية والصحية والأصل العرقي والحياة الجنسية والآراء السياسية أو الدينية والأحكام الجنائية: لا تعالج إلا بتصريح من الوزارة. Arts 5-6; ER Arts 5-8 | لم يتم التحقق من النص الرسمي النص الرسمي |
| حقوق صاحب البيانات | الحق في العلم، والوصول، والحصول على نسخة بصيغة واضحة، والتصحيح، والإتلاف؛ الرد خلال 30 يوماً قابلة للتمديد 30 يوماً؛ الشكوى للجهة المختصة؛ التعويض أمام المحكمة. Law Art 4; IR Arts 3-9; Law Arts 34, 40 | الحق في الحصول على المعلومات، ونقل البيانات، والتصحيح والمسح، وتقييد المعالجة، والاعتراض، والاعتراض على القرارات المؤتمتة؛ والشكوى للمكتب. Arts 13-18, 24 | سحب الموافقة، الوصول والتصحيح والمسح، الاعتراض، التقييد، النقل، القرارات المؤتمتة، عدم التمييز؛ وحق دعوى خاصة للتعويض (م64أ، 2025). Arts 32-40, 64A | المعلومات، الوصول، التصحيح، المسح، التقييد، النقل، الاعتراض، القرارات المؤتمتة؛ الشكوى؛ الدعوى. ss 10-20, 57-59 | الحق في الإعلام، والوصول (15 يوم عمل)، والاعتراض، ورفض التسويق المباشر، والقرارات المؤتمتة، والتصحيح والحجب والمسح (10 أيام عمل)؛ والشكوى والتعويض. Arts 17-24, 57 | سحب الموافقة، الاعتراض، المحو أو التصحيح، الإخطار بالمعالجة، الوصول. Arts 5-6 | الوصول، التصحيح، المحو، التقييد، النقل، الاعتراض، القرارات المؤتمتة. Arts 16-22 | العدول عن الموافقة، التصحيح، التحديث، المحو، الإبلاغ بالمعالجة وبالاختراق، الحصول على نسخة؛ الرد خلال 45 يوماً. Law Art 11; ER Art 16 | الإعلام بمكان تخزين البيانات، الإخطار قبل النقل للخارج، المحو عند سحب الموافقة أو انتهاء الاشتراك، الموافقة على الإفصاح التسويقي. Reg. Art 4 |
| مسؤول حماية البيانات | إلزامي إذا كانت جهة عامة تقدم خدمات تتضمن معالجة على نطاق واسع، أو كانت الأنشطة الأساسية تتطلب مراقبة منتظمة ومنهجية، أو تقوم على معالجة بيانات حساسة؛ ويجوز أن يكون موظفاً أو متعاقداً خارجياً. IR Art 32; DPO Rules Art 5 | إلزامي عند المعالجة عالية المخاطر بسبب التقنيات الحديثة أو حجم البيانات، أو التقييم المنهجي للبيانات الحساسة بما فيه التنميط، أو معالجة كميات كبيرة من البيانات الحساسة؛ ويجوز أن يكون داخل الدولة أو خارجها. Arts 10-12 | إلزامي لهيئات المركز وللمعالجة عالية المخاطر بصورة منتظمة؛ ويجب أن يقيم مسؤول الحماية في الإمارات ما لم يكن موظفاً في المجموعة يؤدي مهمة دولية. Art 16 (incl. 16(7)) | إلزامي للسلطات العامة والمراقبة المنهجية واسعة النطاق ومعالجة الفئات الخاصة على نطاق واسع. s 35 | تعيين مراقب حماية البيانات اختياري ما لم يُلزم المجلس فئات معينة؛ ويُخطر به الهيئة خلال 3 أيام عمل. Arts 10-11, 14; Order 46/2022تفصيل في هذه الخلية لم يُؤكد | لا يشترط القانون تعيين مسؤول حماية بيانات. النص الرسمي | لم يتم التحقق من النص الرسمي النص الرسمي | إلزامي لكل متحكم. Law Art 20; ER Arts 34-36 | لم يتم التحقق من النص الرسمي Reg. Art 5 |
| التسجيل والإخطار | التسجيل في المنصة الوطنية لحوكمة البيانات إلزامي إذا كانت جهة التحكم جهة عامة، أو كان نشاطها الرئيس قائماً على معالجة البيانات الشخصية، أو تعالج بيانات حساسة، أو فرداً يعالج لأغراض تتجاوز الاستخدام الشخصي أو العائلي. Law Art 30(4)(c); IR Art 34; National Register Rules Art 2مصدر ثانوي | لا يوجد نظام تسجيل عام للمتحكمين في المرسوم بقانون؛ وقد تضيفه اللائحة التنفيذية (غير صادرة وفق البوابة الرسمية). النص الرسمي | يجب التسجيل لدى المفوض بإيداع إخطار بعمليات المعالجة وتحديثه ودفع الرسم؛ ويُقيد في سجل علني. Art 14(7)-(8) | دفع رسم حماية البيانات وإخطار المفوض بالاسم والعنوان قبل بدء المعالجة أو فور الإمكان، وتجديده سنوياً. ss 24, 56 | إخطار مسبق للهيئة قبل أي معالجة آلية (ما لم يُعفَ، كتعيين مراقب)، وإخطار التغييرات خلال 30 يوماً؛ وإذن مسبق للمعالجات في م15. Arts 14-15; Order 44/2022 | لا تسجيل عام؛ تصريح لمعالجة البيانات ذات الطبيعة الخاصة. Art 16 | لم يتم التحقق من النص الرسمي النص الرسمي | سجل للمتحكمين والمعالجين لدى الوزارة؛ تصريح مسبق من الوزارة (تطبيقاً للمادة 5) صالح حتى 5 سنوات؛ مدقق خارجي. Law Arts 7(h), 16; ER Arts 5, 8, 23-24 | إخطار الهيئة عند الإفصاح لجهات تابعة أو أطراف ثالثة. Reg. Art 4 |
| الإبلاغ عن الاختراق | إشعار الجهة المختصة خلال 72 ساعة من العلم بالحادثة إذا كان من شأنها إلحاق ضرر بالبيانات أو بصاحبها أو تتعارض مع حقوقه؛ وإبلاغ صاحب البيانات دون تأخير غير مسوغ. Law Art 20; IR Art 24مصدر ثانوي | على المتحكم إبلاغ المكتب بالاختراق خلال المدة وبالكيفية التي تحددها اللائحة التنفيذية، وإبلاغ صاحب البيانات. Art 9مصدر ثانوي | إخطار المفوض في أقرب وقت ممكن عملياً؛ وإخطار صاحب البيانات عند المخاطر العالية. Arts 41-42 | إخطار المفوض دون تأخير غير مسوغ وخلال 72 ساعة حيثما أمكن، وإبلاغ صاحب البيانات عند المخاطر العالية. ss 32-33 | إبلاغ الهيئة بأي اختراق خلال 72 ساعة من اكتشافه ما لم يكن لا يؤثر على حقوق أصحاب البيانات. Order No. 43 of 2022, Art 4(2) | يخطر المعالج المراقب فوراً؛ ويخطر المراقب الفرد والإدارة المختصة إذا كان الاختراق قد يسبب ضرراً جسيماً؛ لا مهلة محددة. Arts 13-14تفصيل في هذه الخلية لم يُؤكد | إخطار المكتب دون تأخير وخلال 72 ساعة ما لم يكن غير مرجح الضرر. Art 31 | إخطار الوزارة خلال 72 ساعة إذا كان الاختراق مرجح المخاطر؛ وصاحب البيانات خلال 72 ساعة عند الضرر الجسيم. Law Art 19; ER Arts 30, 32 | إخطار الهيئة خلال 24 ساعة من العلم بالاختراق؛ وإخطار المستخدمين ما لم تطبق تدابير حماية. Reg. Art 6(1) |
| النقل عبر الحدود | يجوز النقل خارج المملكة للأغراض الواردة في م29 بشرط عدم المساس بالأمن الوطني، وتوفر مستوى حماية مناسب (قائمة كفاية تراجع كل 4 سنوات)، والاقتصار على الحد الأدنى؛ وعند عدم الكفاية: البنود التعاقدية المعيارية، أو القواعد المشتركة الملزمة، أو شهادة الاعتماد، مع تقييم المخاطر. Law Art 29; Transfer Regulation (v2.0, Aug 2024) Arts 2-7 | النقل إلى دول ذات تشريعات حماية مناسبة أو بموجب اتفاقيات ثنائية أو متعددة (م22)؛ وفي غيرها: عقد ملزم، أو موافقة صريحة، أو الدعاوى، أو تنفيذ العقد، أو التعاون القضائي الدولي، أو المصلحة العامة (م23). Arts 22-23 | النقل إلى دول قرر المفوض كفايتها (م26)، وإلا فبضمانات مناسبة أو استثناءات محددة (م27)؛ ومشاركة البيانات مع السلطات العامة (م28). Arts 26-28 | النقل بقرار كفاية، أو ضمانات مناسبة، أو قواعد مؤسسية ملزمة، أو استثناءات. ss 40-45 | يحظر النقل إلا إلى دول على قائمة الكفاية أو بتصريح من الهيئة، مع استثناءات (م13). تضم قائمة القرار 42/2022 83 دولة وإقليماً منها الولايات المتحدة والصين والهند وروسيا والسعودية والإمارات والكويت وعُمان — وليس قطر. Arts 12-13; Order No. 42 of 2022 (list) | لا يجوز للمراقب اتخاذ إجراءات تحد من تدفق البيانات عبر الحدود إلا إذا كانت المعالجة مخالفة للقانون أو قد تلحق ضرراً جسيماً. Art 15 | النقل وفق قائمة الكفاية، البنود المعيارية، القواعد الملزمة، الاستثناءات، أو تصريح. Arts 23-24 | يلزم موافقة صريحة من صاحب البيانات قبل النقل خارج السلطنة (م37 من اللائحة) وتقييم الكفاية؛ والنقل المخالف أشد المخالفات غرامة. Law Art 23; ER Arts 37-39 | مسموح مع إخطار المستخدم قبل النقل خارج الكويت. Reg. Art 4 |
| توطين البيانات | لا يوجد اشتراط عام لتوطين البيانات في النظام ولائحته ولائحة النقل الساريين؛ قد تفرض أنظمة قطاعية متطلبات إقامة؛ ومسودة 2026 تقترح مادة 23(2) لحفظ البيانات داخل المملكة (قيد الاستطلاع). Law Art 29; draft IR Art 23(2) (pending)مصدر ثانوي | لا يوجد اشتراط توطين في المرسوم بقانون؛ قد تفرضه قوانين قطاعية (مثل القانون الاتحادي 2/2019 للصحة). Arts 22-23 | لا يوجد اشتراط توطين. Arts 26-27 | لا يوجد اشتراط توطين. ss 40-45 | لا يوجد اشتراط توطين. Arts 12-13 | لا يوجد اشتراط توطين في القانون. Art 15 | لم يتم التحقق من النص الرسمي Arts 23-24 | لا يوجد اشتراط توطين. Art 23 | لم يتم التحقق من النص الرسمي النص الرسمي |
| الحد الأقصى للعقوبة | جنائي: الإفصاح عن البيانات الحساسة أو نشرها بقصد الإضرار أو تحقيق منفعة: سجن حتى سنتين و/أو غرامة حتى 3 ملايين ريال. إداري: إنذار أو غرامة حتى 5 ملايين ريال. تضاعف عند التكرار. Arts 35, 36, 38, 40 | لا توجد مبالغ جزاءات بعد: تحدد الجزاءات الإدارية بقرار من مجلس الوزراء (م26) ولم يُدرج قرار كهذا في البوابة الرسمية حتى 22 أكتوبر 2026. لا عقوبات جنائية في المرسوم بقانون. Art 26مصدر ثانوي | غرامات إدارية حتى مبالغ الجدول 2 (25,000–100,000 دولار لكل مخالفة)، وغرامة عامة غير مقيدة بمبالغ الجدول (م62(3))؛ تعويض قضائي؛ لا عقوبات جنائية. Art 62(2)-(3); Schedule 2; Art 64A | غرامات إدارية حتى 28 مليون دولار؛ لا عقوبات جنائية. s 55 (amended 28 Feb 2024); s 56 | إداري: غرامة حتى 20,000 دينار وغرامة يومية حتى 1,000 (2,000 عند التكرار). جنائي: حبس حتى سنة و/أو غرامة 1,000–20,000 دينار؛ تضاعف للشخص الاعتباري. Arts 55, 58, 59 | غرامات حتى مليون ريال، وحتى 5 ملايين ريال لمخالفة المواد 13 و16(3) و17؛ الشخص المعنوي حتى مليون ريال؛ لا حبس. Arts 23-25 | لم يتم التحقق من النص الرسمي النص الرسمي | غرامات جزائية دون حبس: من 500 حتى 500,000 ريال عماني (أعلاها للنقل المخالف خارج السلطنة)؛ غرامة إدارية حتى 2,000 ريال. Arts 25-30, 32; ER Art 44 | لم يتم التحقق من النص الرسمي Reg. Art 7(3) |
| فترة السماح | مهلة سنة من النفاذ (حتى 14 سبتمبر 2024) لتعديل الأوضاع مع جواز منح مدد إضافية. CoM Resolution 98; RD M/19 item (second) repealed by M/148 | تصدر اللائحة التنفيذية خلال 6 أشهر (م28)؛ ويلتزم المخاطبون بتوفيق أوضاعهم خلال 6 أشهر من صدور اللائحة قابلة للتمديد (م29). Arts 28-29 | لم يتم التحقق من النص الرسمي Art 4 | مهلة 6 أشهر للمنشآت الجديدة و12 شهراً للقائمة. s 63(1) | مهلة سنة قبل النفاذ (حتى 1 أغسطس 2019). Promulgation law Art 4 | لم يتم التحقق من النص الرسمي النص الرسمي | سنة قبل نفاذ القانون؛ وسنة من نفاذ اللائحة لتوفيق الأوضاع (حتى نحو 5 فبراير 2025). RD Art 4; ER Article II | مهلة سنة من النشر لتوفيق الأوضاع. Reg. Art 7(1) | |
| ما تغيّر بين 2023 و2026 | 2023: المرسوم م/148؛ اللائحة التنفيذية ولائحة النقل. 2024: لائحة النقل الإصدار 2.0. 2025: مسودة تعديلات أولى. 6 أكتوبر – 5 نوفمبر 2026: مسودة تعديلات ثانية على منصة استطلاع. RD M/148; Istitlaa consultationsمصدر ثانوي | لا تعديلات ولا لائحة تنفيذية مدرجة في البوابة الرسمية حتى 22 أكتوبر 2026. النص الرسمي | لائحة حماية البيانات المعدلة نافذة 1 سبتمبر 2023؛ قانون التعديل رقم (1) لسنة 2025: حق الدعوى الخاصة (م64أ) وتعديل م28. Consolidated text cover; Arts 28, 64A | تعديلات نوفمبر 2023، فبراير 2024، التعديل رقم 1 لسنة 2025، وقواعد المصلحة العامة الجوهرية 2025. Consolidated version history | لم يتم التحقق من النص الرسمي النص الرسمي | لم يتم التحقق من النص الرسمي النص الرسمي | لم يتم التحقق من النص الرسمي النص الرسمي | القرار 244/2023 عدل لائحة 2021؛ القرار 26/2024 استبدلها؛ القرار 34/2024 ألغى سياسة تصنيف البيانات. Decisions 244/2023, 26/2024, 34/2024 |
أبرز الاختلافات
خمس نقاط مأخوذة من النصوص الرسمية المذكورة في الجدول. وإذا استندت جملة إلى مصدر ثانوي نُص على ذلك.
- قائمة كفاية البحرين (القرار 42/2022) تدرج 83 دولة وإقليماً، منها الولايات المتحدة والصين وروسيا والهند وإسرائيل، ولا تدرج قطر وهي دولة خليجية.
- تشترط عُمان موافقة صاحب البيانات الصريحة على أي نقل إلى الخارج (المادة 37 من اللائحة)، إضافة إلى تقييم كفاية الحماية. والنقل غير المشروع غرامته الجنائية من 100,000 إلى 500,000 ريال عُماني (المادة 29)، أي نحو 70 ضعف الحد الأعلى للغرامة الإدارية. أما قانون قطر فيمنع المتحكم من تقييد تدفق البيانات عبر الحدود (المادة 15).
- بعد نحو خمس سنوات من صدوره، ما زال قانون حماية البيانات الاتحادي في الإمارات بلا لائحة تنفيذية منشورة ولا قرار بالعقوبات. فتبقى مهلة الإبلاغ عن الاختراق، والغرامات، وبدء مهلة الامتثال البالغة 6 أشهر (المادة 29) غير محددة. وفي المقابل يمكن لسوق أبوظبي العالمي فرض غرامة تصل إلى 28 مليون دولار.
- الكويت هي الأقصر مهلة للإبلاغ عن الاختراق في الخليج (24 ساعة إلى هيئة الاتصالات وتقنية المعلومات) رغم عدم وجود قانون لحماية البيانات. واللائحة تلزم المرخّص لهم من الهيئة فقط، وتعريفها للبيانات الشخصية يشمل الأشخاص الاعتباريين (الشركات).مصدر ثانوي: القول بعدم وجود قانون شامل لحماية البيانات في الكويت لم يُؤخذ من نص رسمي.
- السجن في جرائم حماية البيانات منصوص عليه في السعودية والبحرين فقط (في السعودية حتى سنتين لإفشاء بيانات حساسة بقصد الإضرار، وفي البحرين حتى سنة). وعُمان، وهي الأعلى غرامات، لا تنص على السجن. ومسودة تعديلات اللائحة التنفيذية السعودية لعام 2026 (استطلاع من 6 أكتوبر إلى 5 نوفمبر 2026) تقترح أول قاعدة عامة لحفظ البيانات داخل المملكة.مصدر ثانوي: مضمون مسودة 2026 ليس نصاً رسمياً.
حسب كل نظام
البنود الخمسة عشر نفسها، نظاماً نظاماً. أسماء الدول أدناه هي أسماء مجموعة البيانات.
المملكة العربية السعودية
- التشريع وتواريخه
نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وقرار مجلس الوزراء رقم (98) وتاريخ 7/2/1443هـ؛ نُشر في 17/2/1443هـ. عُدّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ. نافذ منذ 14 سبتمبر 2023 (بعد 720 يوماً من النشر). الحالة في هيئة الخبراء: ساري.
Royal Decree M/19; Art 43 (original); RD M/148- الجهة المختصة
الجهة المختصة (م30): الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)؛ حدد قرار مجلس الوزراء (98) اختصاصها لمدة سنتين ينظر خلالها في نقله إلى مكتب إدارة البيانات الوطنية، مع مذكرتي تفاهم مع البنك المركزي السعودي وهيئة الاتصالات والفضاء والتقنية.
Art 30; CoM Resolution 98 (first, fourth/fifth items)- النطاق والامتداد
يسري على كل معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة، بما فيها معالجة بيانات الأفراد المقيمين في المملكة من أي جهة خارجها؛ ويشمل بيانات المتوفى. ويُستثنى الاستخدام الشخصي أو العائلي.
Art 2(1)-(2)- أسس المعالجة
الموافقة (م5)، مع استثناءات م6: مصلحة متحققة لصاحب البيانات يتعذر الاتصال به؛ نص نظامي أو اتفاق سابق؛ جهة عامة لأغراض أمنية أو قضائية؛ المصلحة المشروعة لجهة التحكم (دون البيانات الحساسة).
Arts 5-6; IR Art 16 (legitimate interest)- هل الموافقة هي الأصل؟
نعم، الموافقة هي الأصل؛ وتلزم الموافقة الصريحة للبيانات الحساسة والائتمانية والقرارات المؤتمتة بالكامل.
Law Art 5; IR Art 11(2)- البيانات الحساسة
البيانات الحساسة: الأصل العرقي أو القبلي، المعتقد الديني أو الفكري أو السياسي، البيانات الأمنية والجنائية، السمات الحيوية أو الوراثية للتعريف، البيانات الصحية، وما يدل على مجهولية الأبوين أو أحدهما.
Art 1(11) (as amended by M/148); IR Art 11- حقوق صاحب البيانات
الحق في العلم، والوصول، والحصول على نسخة بصيغة واضحة، والتصحيح، والإتلاف؛ الرد خلال 30 يوماً قابلة للتمديد 30 يوماً؛ الشكوى للجهة المختصة؛ التعويض أمام المحكمة.
Law Art 4; IR Arts 3-9; Law Arts 34, 40- مسؤول حماية البيانات
إلزامي إذا كانت جهة عامة تقدم خدمات تتضمن معالجة على نطاق واسع، أو كانت الأنشطة الأساسية تتطلب مراقبة منتظمة ومنهجية، أو تقوم على معالجة بيانات حساسة؛ ويجوز أن يكون موظفاً أو متعاقداً خارجياً.
IR Art 32; DPO Rules Art 5- التسجيل والإخطار
التسجيل في المنصة الوطنية لحوكمة البيانات إلزامي إذا كانت جهة التحكم جهة عامة، أو كان نشاطها الرئيس قائماً على معالجة البيانات الشخصية، أو تعالج بيانات حساسة، أو فرداً يعالج لأغراض تتجاوز الاستخدام الشخصي أو العائلي.
Law Art 30(4)(c); IR Art 34; National Register Rules Art 2مصدر ثانوي
- الإبلاغ عن الاختراق
إشعار الجهة المختصة خلال 72 ساعة من العلم بالحادثة إذا كان من شأنها إلحاق ضرر بالبيانات أو بصاحبها أو تتعارض مع حقوقه؛ وإبلاغ صاحب البيانات دون تأخير غير مسوغ.
Law Art 20; IR Art 24مصدر ثانوي
- النقل عبر الحدود
يجوز النقل خارج المملكة للأغراض الواردة في م29 بشرط عدم المساس بالأمن الوطني، وتوفر مستوى حماية مناسب (قائمة كفاية تراجع كل 4 سنوات)، والاقتصار على الحد الأدنى؛ وعند عدم الكفاية: البنود التعاقدية المعيارية، أو القواعد المشتركة الملزمة، أو شهادة الاعتماد، مع تقييم المخاطر.
Law Art 29; Transfer Regulation (v2.0, Aug 2024) Arts 2-7- توطين البيانات
لا يوجد اشتراط عام لتوطين البيانات في النظام ولائحته ولائحة النقل الساريين؛ قد تفرض أنظمة قطاعية متطلبات إقامة؛ ومسودة 2026 تقترح مادة 23(2) لحفظ البيانات داخل المملكة (قيد الاستطلاع).
Law Art 29; draft IR Art 23(2) (pending)مصدر ثانوي
- الحد الأقصى للعقوبة
جنائي: الإفصاح عن البيانات الحساسة أو نشرها بقصد الإضرار أو تحقيق منفعة: سجن حتى سنتين و/أو غرامة حتى 3 ملايين ريال. إداري: إنذار أو غرامة حتى 5 ملايين ريال. تضاعف عند التكرار.
Arts 35, 36, 38, 40- فترة السماح
مهلة سنة من النفاذ (حتى 14 سبتمبر 2024) لتعديل الأوضاع مع جواز منح مدد إضافية.
CoM Resolution 98; RD M/19 item (second) repealed by M/148- ما تغيّر بين 2023 و2026
2023: المرسوم م/148؛ اللائحة التنفيذية ولائحة النقل. 2024: لائحة النقل الإصدار 2.0. 2025: مسودة تعديلات أولى. 6 أكتوبر – 5 نوفمبر 2026: مسودة تعديلات ثانية على منصة استطلاع.
RD M/148; Istitlaa consultationsمصدر ثانوي
الإمارات العربية المتحدة (اتحادي)
- التشريع وتواريخه
مرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية؛ صدر في 20 سبتمبر 2021؛ الجريدة الرسمية العدد 712 (ملحق) في 26 سبتمبر 2021؛ يعمل به من 2 يناير 2022.
Art 31- الجهة المختصة
مكتب الإمارات للبيانات، المنشأ بالمرسوم بقانون اتحادي رقم (44) لسنة 2021.
Art 1 (definition of 'Office')- النطاق والامتداد
يسري على أصحاب البيانات المقيمين أو ذوي مقر عمل في الدولة، وعلى المتحكم والمعالج داخل الدولة سواء جرت المعالجة داخلها أو خارجها، وعلى المتحكم والمعالج خارج الدولة عند معالجة بيانات أصحاب بيانات داخلها؛ ويُستثنى البيانات الحكومية والجهات الأمنية والقضائية والبيانات الصحية والمصرفية ذات التشريعات الخاصة والمناطق الحرة ذات القوانين الخاصة.
Art 2- أسس المعالجة
يُحظر المعالجة دون موافقة صاحب البيانات إلا في 11 حالة (المصلحة العامة، البيانات المعلنة، الدعاوى، الطب الوقائي، الصحة العامة، الأرشفة والبحث، حماية مصلحة صاحب البيانات، التزامات العمل، تنفيذ العقد، الالتزام القانوني، حالات تحددها اللائحة). لا يوجد أساس عام للمصلحة المشروعة.
Arts 4, 6- هل الموافقة هي الأصل؟
نعم، الموافقة هي الأصل (م4)، وشروطها في م6.
Arts 4, 6- البيانات الحساسة
البيانات الحساسة: ما يكشف العائلة أو الأصل العرقي أو الآراء السياسية أو الفلسفية أو المعتقدات الدينية أو السجل الجنائي أو البيانات الحيوية أو الصحية أو الجينية أو الجنسية.
Art 1 (definitions); Arts 10, 21- حقوق صاحب البيانات
الحق في الحصول على المعلومات، ونقل البيانات، والتصحيح والمسح، وتقييد المعالجة، والاعتراض، والاعتراض على القرارات المؤتمتة؛ والشكوى للمكتب.
Arts 13-18, 24- مسؤول حماية البيانات
إلزامي عند المعالجة عالية المخاطر بسبب التقنيات الحديثة أو حجم البيانات، أو التقييم المنهجي للبيانات الحساسة بما فيه التنميط، أو معالجة كميات كبيرة من البيانات الحساسة؛ ويجوز أن يكون داخل الدولة أو خارجها.
Arts 10-12- التسجيل والإخطار
لا يوجد نظام تسجيل عام للمتحكمين في المرسوم بقانون؛ وقد تضيفه اللائحة التنفيذية (غير صادرة وفق البوابة الرسمية).
النص الرسمي- الإبلاغ عن الاختراق
على المتحكم إبلاغ المكتب بالاختراق خلال المدة وبالكيفية التي تحددها اللائحة التنفيذية، وإبلاغ صاحب البيانات.
Art 9مصدر ثانوي
- النقل عبر الحدود
النقل إلى دول ذات تشريعات حماية مناسبة أو بموجب اتفاقيات ثنائية أو متعددة (م22)؛ وفي غيرها: عقد ملزم، أو موافقة صريحة، أو الدعاوى، أو تنفيذ العقد، أو التعاون القضائي الدولي، أو المصلحة العامة (م23).
Arts 22-23- توطين البيانات
لا يوجد اشتراط توطين في المرسوم بقانون؛ قد تفرضه قوانين قطاعية (مثل القانون الاتحادي 2/2019 للصحة).
Arts 22-23- الحد الأقصى للعقوبة
لا توجد مبالغ جزاءات بعد: تحدد الجزاءات الإدارية بقرار من مجلس الوزراء (م26) ولم يُدرج قرار كهذا في البوابة الرسمية حتى 22 أكتوبر 2026. لا عقوبات جنائية في المرسوم بقانون.
Art 26مصدر ثانوي
- فترة السماح
تصدر اللائحة التنفيذية خلال 6 أشهر (م28)؛ ويلتزم المخاطبون بتوفيق أوضاعهم خلال 6 أشهر من صدور اللائحة قابلة للتمديد (م29).
Arts 28-29- ما تغيّر بين 2023 و2026
لا تعديلات ولا لائحة تنفيذية مدرجة في البوابة الرسمية حتى 22 أكتوبر 2026.
النص الرسمي
مركز دبي المالي العالمي
- التشريع وتواريخه
قانون حماية البيانات، قانون مركز دبي المالي العالمي رقم (5) لسنة 2020؛ سُنّ في 21 مايو 2020؛ نافذ من 1 يوليو 2020؛ معدل بالقانون رقم (2) لسنة 2022 والقانون رقم (1) لسنة 2025.
Arts 3-4- الجهة المختصة
مفوض حماية البيانات في مركز دبي المالي العالمي.
Arts 8, 43-46- النطاق والامتداد
يسري على المعالجة من متحكم أو معالج مؤسس في المركز أينما جرت، وعلى المعالجة داخل المركز ضمن ترتيبات مستقرة بغض النظر عن مكان التأسيس.
Art 6(3)- أسس المعالجة
على غرار اللائحة الأوروبية: الموافقة، العقد، الالتزام القانوني، المصالح الحيوية، مهام هيئات المركز، المصالح المشروعة.
Arts 10, 12, 13- هل الموافقة هي الأصل؟
لا؛ الموافقة أحد ستة أسس متساوية.
Art 10- البيانات الحساسة
لا تُعالج الفئات الخاصة إلا بتوفر أحد شروط م11 (موافقة صريحة، التوظيف، ...).
Art 11- حقوق صاحب البيانات
سحب الموافقة، الوصول والتصحيح والمسح، الاعتراض، التقييد، النقل، القرارات المؤتمتة، عدم التمييز؛ وحق دعوى خاصة للتعويض (م64أ، 2025).
Arts 32-40, 64A- مسؤول حماية البيانات
إلزامي لهيئات المركز وللمعالجة عالية المخاطر بصورة منتظمة؛ ويجب أن يقيم مسؤول الحماية في الإمارات ما لم يكن موظفاً في المجموعة يؤدي مهمة دولية.
Art 16 (incl. 16(7))- التسجيل والإخطار
يجب التسجيل لدى المفوض بإيداع إخطار بعمليات المعالجة وتحديثه ودفع الرسم؛ ويُقيد في سجل علني.
Art 14(7)-(8)- الإبلاغ عن الاختراق
إخطار المفوض في أقرب وقت ممكن عملياً؛ وإخطار صاحب البيانات عند المخاطر العالية.
Arts 41-42- النقل عبر الحدود
النقل إلى دول قرر المفوض كفايتها (م26)، وإلا فبضمانات مناسبة أو استثناءات محددة (م27)؛ ومشاركة البيانات مع السلطات العامة (م28).
Arts 26-28- توطين البيانات
لا يوجد اشتراط توطين.
Arts 26-27- الحد الأقصى للعقوبة
غرامات إدارية حتى مبالغ الجدول 2 (25,000–100,000 دولار لكل مخالفة)، وغرامة عامة غير مقيدة بمبالغ الجدول (م62(3))؛ تعويض قضائي؛ لا عقوبات جنائية.
Art 62(2)-(3); Schedule 2; Art 64A- فترة السماح
لم يتم التحقق من النص الرسمي
Art 4- ما تغيّر بين 2023 و2026
لائحة حماية البيانات المعدلة نافذة 1 سبتمبر 2023؛ قانون التعديل رقم (1) لسنة 2025: حق الدعوى الخاصة (م64أ) وتعديل م28.
Consolidated text cover; Arts 28, 64A
سوق أبوظبي العالمي
- التشريع وتواريخه
أنظمة حماية البيانات لعام 2021؛ سُنت في 11 فبراير 2021؛ نافذة بإلغاء أنظمة 2015 (بعد 6 أشهر للمنشآت الجديدة و12 شهراً للقائمة).
ss 63-64- الجهة المختصة
مكتب حماية البيانات برئاسة مفوض حماية البيانات في سوق أبوظبي العالمي.
ss 47-49- النطاق والامتداد
يسري على المعالجة في سياق أنشطة منشأة لمتحكم أو معالج في السوق، بغض النظر عن مكان المعالجة.
s 3- أسس المعالجة
ستة أسس على غرار اللائحة الأوروبية.
s 5- هل الموافقة هي الأصل؟
لا.
ss 5-6- البيانات الحساسة
معالجة الفئات الخاصة محظورة ما لم ينطبق استثناء في القسم 7(2)؛ وأضاف تعديل 2025 شروطاً بقواعد.
s 7- حقوق صاحب البيانات
المعلومات، الوصول، التصحيح، المسح، التقييد، النقل، الاعتراض، القرارات المؤتمتة؛ الشكوى؛ الدعوى.
ss 10-20, 57-59- مسؤول حماية البيانات
إلزامي للسلطات العامة والمراقبة المنهجية واسعة النطاق ومعالجة الفئات الخاصة على نطاق واسع.
s 35- التسجيل والإخطار
دفع رسم حماية البيانات وإخطار المفوض بالاسم والعنوان قبل بدء المعالجة أو فور الإمكان، وتجديده سنوياً.
ss 24, 56- الإبلاغ عن الاختراق
إخطار المفوض دون تأخير غير مسوغ وخلال 72 ساعة حيثما أمكن، وإبلاغ صاحب البيانات عند المخاطر العالية.
ss 32-33- النقل عبر الحدود
النقل بقرار كفاية، أو ضمانات مناسبة، أو قواعد مؤسسية ملزمة، أو استثناءات.
ss 40-45- توطين البيانات
لا يوجد اشتراط توطين.
ss 40-45- الحد الأقصى للعقوبة
غرامات إدارية حتى 28 مليون دولار؛ لا عقوبات جنائية.
s 55 (amended 28 Feb 2024); s 56- فترة السماح
مهلة 6 أشهر للمنشآت الجديدة و12 شهراً للقائمة.
s 63(1)- ما تغيّر بين 2023 و2026
تعديلات نوفمبر 2023، فبراير 2024، التعديل رقم 1 لسنة 2025، وقواعد المصلحة العامة الجوهرية 2025.
Consolidated version history
مملكة البحرين
- التشريع وتواريخه
قانون رقم (30) لسنة 2018 بإصدار قانون حماية البيانات الشخصية؛ صدر في 28 شوال 1439هـ الموافق 12 يوليو 2018؛ يعمل به من 1 أغسطس 2019.
Promulgation law, Art 4 (effectiveness)- الجهة المختصة
هيئة حماية البيانات الشخصية؛ أُسندت اختصاصاتها إلى وزارة العدل والشؤون الإسلامية والأوقاف بالمرسوم رقم (78) لسنة 2019.
Law Arts 26-30; Decree 78/2019- النطاق والامتداد
يسري على المقيمين أو ذوي مقر عمل في المملكة، والأشخاص الاعتبارية ذات مقر عمل فيها، وغير المقيمين الذين يعالجون بوسائل موجودة في المملكة (مع تعيين ممثل معتمد).
Art 2- أسس المعالجة
الموافقة، أو الضرورة لتنفيذ عقد، أو التزام قانوني أو حكم قضائي، أو حماية المصالح الحيوية، أو المصالح المشروعة لمدير البيانات.
Art 4- هل الموافقة هي الأصل؟
الموافقة أولى الحالات لكن ليست شرطاً حصرياً؛ تتوفر المصلحة المشروعة وغيرها.
Arts 4-5- البيانات الحساسة
البيانات الحساسة: العرق، الأصل الإثني، الآراء السياسية أو الفلسفية، المعتقدات الدينية، الانتماء النقابي، السجل الجنائي، الصحة أو الحياة الجنسية؛ وتحتاج المعالجة الآلية لها وللبيانات الحيوية والجينية والتسجيل المرئي إذناً مسبقاً.
Arts 1, 5, 15- حقوق صاحب البيانات
الحق في الإعلام، والوصول (15 يوم عمل)، والاعتراض، ورفض التسويق المباشر، والقرارات المؤتمتة، والتصحيح والحجب والمسح (10 أيام عمل)؛ والشكوى والتعويض.
Arts 17-24, 57- مسؤول حماية البيانات
تعيين مراقب حماية البيانات اختياري ما لم يُلزم المجلس فئات معينة؛ ويُخطر به الهيئة خلال 3 أيام عمل.
Arts 10-11, 14; Order 46/2022تفصيل في هذه الخلية لم يُؤكد
- التسجيل والإخطار
إخطار مسبق للهيئة قبل أي معالجة آلية (ما لم يُعفَ، كتعيين مراقب)، وإخطار التغييرات خلال 30 يوماً؛ وإذن مسبق للمعالجات في م15.
Arts 14-15; Order 44/2022- الإبلاغ عن الاختراق
إبلاغ الهيئة بأي اختراق خلال 72 ساعة من اكتشافه ما لم يكن لا يؤثر على حقوق أصحاب البيانات.
Order No. 43 of 2022, Art 4(2)- النقل عبر الحدود
يحظر النقل إلا إلى دول على قائمة الكفاية أو بتصريح من الهيئة، مع استثناءات (م13). تضم قائمة القرار 42/2022 83 دولة وإقليماً منها الولايات المتحدة والصين والهند وروسيا والسعودية والإمارات والكويت وعُمان — وليس قطر.
Arts 12-13; Order No. 42 of 2022 (list)- توطين البيانات
لا يوجد اشتراط توطين.
Arts 12-13- الحد الأقصى للعقوبة
إداري: غرامة حتى 20,000 دينار وغرامة يومية حتى 1,000 (2,000 عند التكرار). جنائي: حبس حتى سنة و/أو غرامة 1,000–20,000 دينار؛ تضاعف للشخص الاعتباري.
Arts 55, 58, 59- فترة السماح
مهلة سنة قبل النفاذ (حتى 1 أغسطس 2019).
Promulgation law Art 4- ما تغيّر بين 2023 و2026
لم يتم التحقق من النص الرسمي
النص الرسمي
دولة قطر
- التشريع وتواريخه
قانون رقم (13) لسنة 2016 بشأن حماية خصوصية البيانات الشخصية؛ صدر في 3/2/1438هـ الموافق 3/11/2016؛ الجريدة الرسمية العدد 15 لسنة 2016.
Art 32تفصيل في هذه الخلية لم يُؤكد
- الجهة المختصة
لم يتم التحقق من النص الرسمي
Art 1 (definitions)- النطاق والامتداد
يسري على البيانات الشخصية المعالجة إلكترونياً أو المجمعة تمهيداً لذلك؛ لا نص صريح على السريان خارج الحدود.
Arts 2-3- أسس المعالجة
الموافقة، ما لم تكن المعالجة ضرورية لتحقيق غرض مشروع لمراقب البيانات أو الغير.
Arts 4, 18- هل الموافقة هي الأصل؟
نعم، مع بديل 'الغرض المشروع'.
Art 4- البيانات الحساسة
بيانات ذات طبيعة خاصة: الأصل العرقي، الأطفال، الصحة، المعتقدات الدينية، العلاقة الزوجية، الجرائم؛ تحتاج تصريحاً من الإدارة المختصة.
Arts 16-17- حقوق صاحب البيانات
سحب الموافقة، الاعتراض، المحو أو التصحيح، الإخطار بالمعالجة، الوصول.
Arts 5-6- مسؤول حماية البيانات
لا يشترط القانون تعيين مسؤول حماية بيانات.
النص الرسمي- التسجيل والإخطار
لا تسجيل عام؛ تصريح لمعالجة البيانات ذات الطبيعة الخاصة.
Art 16- الإبلاغ عن الاختراق
يخطر المعالج المراقب فوراً؛ ويخطر المراقب الفرد والإدارة المختصة إذا كان الاختراق قد يسبب ضرراً جسيماً؛ لا مهلة محددة.
Arts 13-14تفصيل في هذه الخلية لم يُؤكد
- النقل عبر الحدود
لا يجوز للمراقب اتخاذ إجراءات تحد من تدفق البيانات عبر الحدود إلا إذا كانت المعالجة مخالفة للقانون أو قد تلحق ضرراً جسيماً.
Art 15- توطين البيانات
لا يوجد اشتراط توطين في القانون.
Art 15- الحد الأقصى للعقوبة
غرامات حتى مليون ريال، وحتى 5 ملايين ريال لمخالفة المواد 13 و16(3) و17؛ الشخص المعنوي حتى مليون ريال؛ لا حبس.
Arts 23-25- فترة السماح
- ما تغيّر بين 2023 و2026
لم يتم التحقق من النص الرسمي
النص الرسمي
مركز قطر للمال
- التشريع وتواريخه
- الجهة المختصة
مكتب حماية البيانات في مركز قطر للمال.
Fact sheet- النطاق والامتداد
لم يتم التحقق من النص الرسمي
Fact sheet- أسس المعالجة
الموافقة، العقد، الالتزام القانوني، المصالح الحيوية، المصلحة العامة، المصلحة المشروعة.
Arts 10-11- هل الموافقة هي الأصل؟
لا.
Art 10- البيانات الحساسة
لم يتم التحقق من النص الرسمي
النص الرسمي- حقوق صاحب البيانات
الوصول، التصحيح، المحو، التقييد، النقل، الاعتراض، القرارات المؤتمتة.
Arts 16-22- مسؤول حماية البيانات
لم يتم التحقق من النص الرسمي
النص الرسمي- التسجيل والإخطار
لم يتم التحقق من النص الرسمي
النص الرسمي- الإبلاغ عن الاختراق
إخطار المكتب دون تأخير وخلال 72 ساعة ما لم يكن غير مرجح الضرر.
Art 31- النقل عبر الحدود
النقل وفق قائمة الكفاية، البنود المعيارية، القواعد الملزمة، الاستثناءات، أو تصريح.
Arts 23-24- توطين البيانات
لم يتم التحقق من النص الرسمي
Arts 23-24- الحد الأقصى للعقوبة
لم يتم التحقق من النص الرسمي
النص الرسمي- فترة السماح
لم يتم التحقق من النص الرسمي
النص الرسمي- ما تغيّر بين 2023 و2026
لم يتم التحقق من النص الرسمي
النص الرسمي
سلطنة عُمان
- التشريع وتواريخه
مرسوم سلطاني رقم 6/2022 بإصدار قانون حماية البيانات الشخصية؛ الجريدة الرسمية العدد 1429؛ يعمل به بعد سنة من نشره (13 فبراير 2023). اللائحة التنفيذية: القرار الوزاري رقم 34/2024 (الجريدة الرسمية العدد 1531).
RD Arts (promulgation); ER Article (decision)- الجهة المختصة
وزارة النقل والاتصالات وتقنية المعلومات.
Law Arts 1, 7- النطاق والامتداد
تسري على معالجة البيانات الشخصية دون نص إقليمي صريح؛ مع استثناءات واسعة في م3.
Arts 2-3- أسس المعالجة
موافقة صريحة مكتوبة من صاحب البيانات ما لم تندرج المعالجة ضمن استثناءات م3.
Arts 3, 10- هل الموافقة هي الأصل؟
نعم؛ الموافقة الصريحة المكتوبة هي الأصل.
Art 10- البيانات الحساسة
البيانات الجينية والحيوية والصحية والأصل العرقي والحياة الجنسية والآراء السياسية أو الدينية والأحكام الجنائية: لا تعالج إلا بتصريح من الوزارة.
Arts 5-6; ER Arts 5-8- حقوق صاحب البيانات
العدول عن الموافقة، التصحيح، التحديث، المحو، الإبلاغ بالمعالجة وبالاختراق، الحصول على نسخة؛ الرد خلال 45 يوماً.
Law Art 11; ER Art 16- مسؤول حماية البيانات
إلزامي لكل متحكم.
Law Art 20; ER Arts 34-36- التسجيل والإخطار
سجل للمتحكمين والمعالجين لدى الوزارة؛ تصريح مسبق من الوزارة (تطبيقاً للمادة 5) صالح حتى 5 سنوات؛ مدقق خارجي.
Law Arts 7(h), 16; ER Arts 5, 8, 23-24- الإبلاغ عن الاختراق
إخطار الوزارة خلال 72 ساعة إذا كان الاختراق مرجح المخاطر؛ وصاحب البيانات خلال 72 ساعة عند الضرر الجسيم.
Law Art 19; ER Arts 30, 32- النقل عبر الحدود
يلزم موافقة صريحة من صاحب البيانات قبل النقل خارج السلطنة (م37 من اللائحة) وتقييم الكفاية؛ والنقل المخالف أشد المخالفات غرامة.
Law Art 23; ER Arts 37-39- توطين البيانات
لا يوجد اشتراط توطين.
Art 23- الحد الأقصى للعقوبة
غرامات جزائية دون حبس: من 500 حتى 500,000 ريال عماني (أعلاها للنقل المخالف خارج السلطنة)؛ غرامة إدارية حتى 2,000 ريال.
Arts 25-30, 32; ER Art 44- فترة السماح
سنة قبل نفاذ القانون؛ وسنة من نفاذ اللائحة لتوفيق الأوضاع (حتى نحو 5 فبراير 2025).
RD Art 4; ER Article II- ما تغيّر بين 2023 و2026
دولة الكويت
- التشريع وتواريخه
لا يوجد قانون شامل؛ لائحة حماية خصوصية البيانات (الإصدار 2.5) الصادرة بقرار الهيئة العامة للاتصالات وتقنية المعلومات رقم (26) لسنة 2024 بتاريخ 7 فبراير 2024، تلغي القرار 42/2021 وتعديلاته.
Decision 26/2024, Arts 1-3مصدر ثانوي
- الجهة المختصة
الهيئة العامة للاتصالات وتقنية المعلومات.
Decision 26/2024- النطاق والامتداد
تسري على جميع مقدمي الخدمات المرخصين من الهيئة الذين يعالجون بيانات شخصية داخل الكويت أو خارجها؛ وتعريف البيانات يشمل الشخص الاعتباري.
Reg. Art 1 (and definitions)- أسس المعالجة
موافقة المستخدم، الالتزام القانوني، حماية بيانات المستخدم، متطلبات التحقق من الهوية؛ موافقة كتابية من ولي الأمر لمن دون 18.
Reg. Art 3- هل الموافقة هي الأصل؟
نعم لمقدمي الخدمات المرخصين.
Reg. Art 3- البيانات الحساسة
لم يتم التحقق من النص الرسمي
النص الرسمي- حقوق صاحب البيانات
الإعلام بمكان تخزين البيانات، الإخطار قبل النقل للخارج، المحو عند سحب الموافقة أو انتهاء الاشتراك، الموافقة على الإفصاح التسويقي.
Reg. Art 4- مسؤول حماية البيانات
لم يتم التحقق من النص الرسمي
Reg. Art 5- التسجيل والإخطار
إخطار الهيئة عند الإفصاح لجهات تابعة أو أطراف ثالثة.
Reg. Art 4- الإبلاغ عن الاختراق
إخطار الهيئة خلال 24 ساعة من العلم بالاختراق؛ وإخطار المستخدمين ما لم تطبق تدابير حماية.
Reg. Art 6(1)- النقل عبر الحدود
مسموح مع إخطار المستخدم قبل النقل خارج الكويت.
Reg. Art 4- توطين البيانات
لم يتم التحقق من النص الرسمي
النص الرسمي- الحد الأقصى للعقوبة
لم يتم التحقق من النص الرسمي
Reg. Art 7(3)- فترة السماح
مهلة سنة من النشر لتوفيق الأوضاع.
Reg. Art 7(1)- ما تغيّر بين 2023 و2026
القرار 244/2023 عدل لائحة 2021؛ القرار 26/2024 استبدلها؛ القرار 34/2024 ألغى سياسة تصنيف البيانات.
Decisions 244/2023, 26/2024, 34/2024
نقاط لم تُحسم
نقاط تركها النص الرسمي مفتوحة، أو تستند إلى مصدر ثانوي. والبنود غير المؤكدة مذكورة دون نصها. وملف البيانات يحتفظ بملاحظة البحث لكل خلية.
- مهلة الإبلاغ في الإمارات: ينص القانون على «خلال المدة التي تحددها اللائحة التنفيذية» (المادة 9)، ولا توجد لائحة تنفيذية على البوابة الرسمية حتى 22 أكتوبر 2026. ومن ينقل مهلة 72 ساعة للقانون الاتحادي لا يستند إلى النص.
- غرامات الإمارات مرهونة بقرار من مجلس الوزراء (المادة 26). ولا يوجد قرار بالعقوبات على البوابة الرسمية حتى 22 أكتوبر 2026. وأرقام مثل 20 مليون درهم لا تستند إلى مصدر رسمي وُجد.
- مركز دبي المالي العالمي يكتفي بـ«في أقرب وقت ممكن عملياً» (المادة 41) بلا حد بالساعات. وسوق أبوظبي العالمي: 72 ساعة «حيثما أمكن». والسعودية وعُمان: 72 ساعة فقط عند وجود ضرر أو خطر.
- الكويت: 24 ساعة إلى هيئة الاتصالات وتقنية المعلومات (المادة 6(1)). وتذكر المادة 4 مهلة 72 ساعة تجاه المستخدم وجهات إنفاذ القانون، وجملة النص في هذا الموضع غير واضحة جزئياً.
- المادة 5 من اللائحة العُمانية: تصريح الوزارة «تطبيقاً للمادة 5» قد يعني كل معالجة أو البيانات الحساسة فقط.
- بدء نفاذ قانون مركز دبي المالي العالمي: صفحة قاعدة التشريعات تقول 1 يونيو 2020، والمادة 4 من النص الموحّد تقول 1 يوليو 2020.
- غرامات مركز دبي المالي العالمي: أسقف الجدول 2 تصل إلى 100,000 دولار، والغرامة العامة في المادة 62(3) بلا حد أقصى منصوص.
- عُمان: 500,000 ريال عُماني غرامة جنائية للنقل غير المشروع (المادة 29). و2,000 ريال هو سقف الغرامة الإدارية (المادة 32)، لا الحد الأقصى للعقوبة.
- قانون قطر لا يحدد مهلة للإبلاغ عن الاختراق. ويُنقل عن إرشاد الوكالة الوطنية للأمن السيبراني مهلة 72 ساعة. وهذا الإرشاد لم يُتحصل عليه، فالرقم غير مؤكد من نص رسمي. وتاريخ الجريدة الرسمية غير مؤكد أيضاً.
- نطاق مركز دبي المالي العالمي: أضافت مسودة استطلاع فبراير 2025 امتداداً خارج الإقليم عند تقديم خدمات أو مراقبة. وهذا الامتداد غير موجود في النص الموحّد النافذ لشهر يوليو 2025.
لم يتم التحقق
- مركز دبي المالي العالمي — فترة السماح: لم يتم التحقق من النص الرسمي
- البحرين — ما تغيّر بين 2023 و2026: لم يتم التحقق من النص الرسمي
- قطر — الجهة المختصة: لم يتم التحقق من النص الرسمي
- قطر — ما تغيّر بين 2023 و2026: لم يتم التحقق من النص الرسمي
- مركز قطر للمال — النطاق والامتداد: لم يتم التحقق من النص الرسمي
- مركز قطر للمال — البيانات الحساسة: لم يتم التحقق من النص الرسمي
- مركز قطر للمال — مسؤول حماية البيانات: لم يتم التحقق من النص الرسمي
- مركز قطر للمال — التسجيل والإخطار: لم يتم التحقق من النص الرسمي
- مركز قطر للمال — توطين البيانات: لم يتم التحقق من النص الرسمي
- مركز قطر للمال — الحد الأقصى للعقوبة: لم يتم التحقق من النص الرسمي
- مركز قطر للمال — فترة السماح: لم يتم التحقق من النص الرسمي
- مركز قطر للمال — ما تغيّر بين 2023 و2026: لم يتم التحقق من النص الرسمي
- الكويت — البيانات الحساسة: لم يتم التحقق من النص الرسمي
- الكويت — مسؤول حماية البيانات: لم يتم التحقق من النص الرسمي
- الكويت — توطين البيانات: لم يتم التحقق من النص الرسمي
- الكويت — الحد الأقصى للعقوبة: لم يتم التحقق من النص الرسمي
المنهج والمصادر
الصفحة تُبنى من مجموعة البيانات، لا من نص منفصل. لا تُعرض الخلية إلا إذا كانت verified تساوي true، مع رابط المصدر ورقم المادة. ولا يُعرض نص الحقول ذات الحالة UNVERIFIED. والملاحظات التي تذكر مصدراً ثانوياً موسومة بذلك، ومنها تعديلات مسودة 2026 السعودية، والقول بأن الكويت بلا قانون شامل، وإرشاد الـ72 ساعة في قطر. وخلايا الإمارات الاتحادية تقول ما أظهرته البوابة الرسمية للتشريعات في 22 أكتوبر 2026: لا لائحة تنفيذية ولا قرار بالعقوبات.
الخلايا المؤكدة مرتبطة بـ 24 روابط رسمية.
الالتزامات وأسئلة المزوّدين وأدوات السحابة تبقى في دليل الالتزام، وهذه الصفحة للمقارنة. دليل حماية البيانات للفرق القانونية. البيانات الشخصية.