لم تعد قواعد حماية البيانات في الشرق الأوسط وشمال أفريقيا مجرد مشاريع متفرقة. فمصر والمملكة العربية السعودية والإمارات العربية المتحدة وقطر والبحرين لكل منها قانون خاص بحماية البيانات الشخصية، أما الكويت فتعتمد على قرار هيئة الاتصالات وتقنية المعلومات (CITRA) وقانون المعاملات الإلكترونية وقانون جرائم تقنية المعلومات. وتختلف هذه القواعد في نطاق التطبيق والموافقة ومهل الإبلاغ عن الاختراقات ونقل البيانات والعقوبات، ولذلك لا تستطيع الشركة العاملة في المنطقة أن تنقل سياسة دولة واحدة إلى غيرها. ومن مكتبينا في الكويت والقاهرة، يقارن مكتب هند بن الشيخ وشركاؤه الأنظمة الستة بحسب القانون ورقم المادة، ليعرف مسؤولو الامتثال ما يمكن توحيده وما يحتاج إلى عمل محلي.
ست دول وستة نماذج
لكل من السعودية والإمارات وقطر والبحرين ومصر قانون مستقل: نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم م/19 والمعدل بالمرسوم الملكي رقم م/148 في السعودية، والمرسوم بقانون اتحادي رقم 45 لسنة 2021 في الإمارات، والقانون رقم 13 لسنة 2016 في قطر، والقانون رقم 30 لسنة 2018 في البحرين، والقانون رقم 151 لسنة 2020 في مصر. ولكل قانون جهة رقابية، وتفاصيل التطبيق ترد في اللوائح التنفيذية أو القرارات.
وتشذ الكويت عن ذلك، فلا يوجد فيها قانون عام لحماية البيانات. يسري قرار هيئة الاتصالات وتقنية المعلومات رقم 26 لسنة 2024 على مشغلي الاتصالات والإنترنت المرخص لهم، ويغطي القانون رقم 20 لسنة 2014 في شأن المعاملات الإلكترونية البيانات الشخصية في السجلات الإلكترونية، ويضيف القانون رقم 63 لسنة 2015 في شأن مكافحة جرائم تقنية المعلومات المسؤولية الجزائية. لذلك يبدأ العميل بسؤال: أي نظام يسري على أي جهة وأي نشاط.
نطاق التطبيق: من يشمله القانون في كل دولة
تطبق المادة 2 من النظام السعودي أحكامه على معالجة البيانات الشخصية للأفراد داخل المملكة بأي وسيلة، بما في ذلك المعالجة من خارجها، وتستثني الاستخدام الشخصي والعائلي ما لم تُنشر البيانات أو تُفصح. وتسري المادة 2 من القانون الإماراتي على المتحكمين والمعالجين في الدولة وعلى من هم خارجها إذا عالجوا بيانات أشخاص داخلها، وتستثني البيانات الحكومية والجهات الأمنية والقضائية والبيانات الصحية والمصرفية الخاضعة لتشريع خاص والشركات في المناطق الحرة التي لها تشريع للبيانات مثل مركز دبي المالي العالمي وسوق أبوظبي العالمي. وتشمل المادة 2 من القانون القطري البيانات الشخصية المعالجة إلكترونيا.
ويحمي القانون المصري الأشخاص الطبيعيين فقط، وتمتد بعض أحكامه الجزائية إلى أفعال خارج مصر، ويستثني الاستخدام الشخصي والإحصاءات الرسمية والصحافة والمواد القضائية وجهات الأمن القومي والجهات الخاضعة لرقابة البنك المركزي عدا شركات تحويل الأموال والصرافة. وتسري المادة 1 من لائحة CITRA على مقدمي الخدمة الحاصلين على ترخيص من الهيئة، داخل الكويت أو خارجها، أما غيرهم فيعتمدون على القانون رقم 20 لسنة 2014. وتسري المادة 2 من القانون البحريني على المعالجة الآلية والملفات اليدوية المنظمة.
وضع كل نظام في عام 2026
صدرت اللائحة التنفيذية المصرية بقرار وزارة الاتصالات وتكنولوجيا المعلومات رقم 816 لسنة 2025 (وتؤرخها مصادر ثانوية بـ1 نوفمبر 2025)، وتنتهي مهلة السنة للتوفيق بين الأوضاع في حدود 31 أكتوبر أو 1 نوفمبر 2026 بحسب طريقة الحساب، فمصر صاحبة أقرب موعد. وبدأ نفاذ النظام السعودي في 14 سبتمبر 2023 مع مهلة تصحيح لمدة سنة انتهت. وقطر والبحرين يعملان منذ سنوات، والبحرين منذ 1 أغسطس 2019.
أما الإمارات فالوضع مختلف. فالمادة 28 من المرسوم بقانون رقم 45 لسنة 2021 كلفت مجلس الوزراء بإصدار اللائحة التنفيذية خلال ستة أشهر، والمادة 29 تمنح المتحكمين ستة أشهر من صدورها للتوفيق، لكن مصادر ثانوية تفيد بأن اللائحة لم تُنشر بعد وأن قائمة الجزاءات الإدارية في المادة 26 لم تصدر. ونعد القانون نافذا مع التنبيه إلى أن تفاصيله العملية ما زالت مفتوحة. أما مهلة السنة في المادة 7 من قرار CITRA المحسوبة من نشره في فبراير 2024 فقد انتهت.
الموافقة والأسس المشروعة
الموافقة هي القاعدة الأساسية في معظم الدول. تشترط المادة 5 من النظام السعودي بعد تعديلها موافقة صريحة ما لم تنطبق حالة المادة 6، وتضيف المادة 6 المعدلة المصلحة المشروعة. وتحظر المادة 4 من القانون الإماراتي المعالجة دون موافقة مع استثناءات محددة، وتوجب المادة 6 أن يستطيع المتحكم إثبات الموافقة وأن يكون سحبها سهلا. وتجيز المادة 4 من القانون القطري المعالجة بموافقة فقط ما لم تكن لازمة لغرض مشروع، وتمنح المادة 5 حق السحب. وتحظر المادة 4 من القانون البحريني المعالجة دون موافقة إلا في العقد أو الالتزام القانوني أو المصلحة الحيوية أو المصلحة المشروعة.
وتشترط المادة 2 من القانون المصري رقم 151 موافقة صريحة، وتحدد المادة 6 الأسس المشروعة الأخرى. وتشترط المادتان 2 و3 من لائحة CITRA أن يحصل المرخص له على الموافقة ويثبتها، وتشترط المادتان 32 و35 من القانون رقم 20 لسنة 2014 الموافقة وبيان الغرض للبيانات الشخصية في السجلات الإلكترونية. وعملياً فإن مسار موافقة واحداً يكون صريحاً ومحدد الغرض وقابلاً للإثبات وسهل السحب يستوفي معظم هذه الاختبارات.
حقوق الأفراد
أوسع الحقوق في الإمارات والسعودية ومصر. فالمواد من 13 إلى 18 من القانون الإماراتي تمنح الحق في المعلومات والنقل والتصحيح والمحو والتقييد والاعتراض على التسويق المباشر والاعتراض على القرارات الآلية. وتمنح المادة 4 من النظام السعودي حقوق العلم والوصول والحصول على نسخة والتصحيح والإتلاف. وتمنح المادة 2 من القانون المصري حقوق العلم والاطلاع والعدول والتصحيح والمحو والتقييد والاعتراض، وتحدد المادتان 10 و32 مهلة الرد بستة أيام عمل.
وتمنح المادتان 5 و6 من القانون القطري حقوق السحب والاعتراض والمحو والتصحيح والاطلاع ونسخة بمقابل لا يتجاوز كلفة الخدمة. وتغطي المواد من 17 إلى 23 من القانون البحريني الإخطار والاطلاع والاعتراض على التسويق المباشر وعلى المعالجة الضارة وعلى القرارات الآلية والتصحيح والحجب والمحو. وتضيف المادة 4 من لائحة CITRA حقوق الاطلاع والتصحيح والإزالة والتقييد والاعتراض ونقل البيانات لدى المرخص لهم.
التزامات المتحكمين والسجلات والمسؤولون
تتباين الأنظمة أكثر ما تتباين في السجلات والمسؤولين. فالمادة 8 من القانون المصري توجب على الشخص الاعتباري تعيين مسؤول حماية بيانات مسجل، والمادة 10 من القانون الإماراتي توجب مسؤولا عند المعالجة عالية الخطورة أو المنهجية أو واسعة النطاق للبيانات الحساسة، والمادة 10 من القانون البحريني تنشئ حارس حماية البيانات المعتمد من الهيئة، والمادة 31 من النظام السعودي توجب الاحتفاظ بسجلات أنشطة المعالجة التي يجوز للجهة المختصة طلبها، والمادة 5 من لائحة CITRA توجب سجلات المعالجة.
وتلزم المادتان 8 و11 من القانون القطري المتحكم بحماية البيانات ومراجعة تدابير الخصوصية قبل المعالجة الجديدة وتحديد المعالجين وتدريبهم والاحتفاظ بنظام داخلي لإدارة البيانات. والتزامات الأمن موجودة في كل مكان: المادة 13 في قطر، والمادة 20 في الإمارات، والمادة 19 في السعودية، والمادة 8 في البحرين، والمادة 4 في مصر، والمادة 5 من لائحة CITRA في الكويت. وخط أساس أمني واحد مرتبط بهذه المواد يتجنب تكرار العمل.
التراخيص والتسجيل والإخطار
مصر هي النظام الأكثر اعتمادا على التراخيص. فالمادة 26 من القانون رقم 151 تجيز لمركز حماية البيانات الشخصية منح التراخيص والتصاريح للمتحكمين والمعالجين، والمادة 4 توجب أن يحمل المتحكم أحدها، ولذلك تزداد أهمية بوابة التقديم مع اقتراب موعد نوفمبر 2026. وتشترط البحرين إخطار الهيئة مسبقا بالمعالجة الآلية بموجب المادة 14 والحصول على إذن مسبق لبعض العمليات بموجب المادة 15.
وتشترط قطر إذن الإدارة المختصة لمعالجة البيانات ذات الطبيعة الخاصة بموجب المادة 16. وتمنح المادة 33 من النظام السعودي الجهة المختصة سلطة الاعتماد ومتطلبات الممارسة، وقد ألغى التعديل التزام التسجيل السابق في المادة 32. ولا يتضمن القانون الإماراتي ترخيصا عاما. وتربط الكويت الالتزامات بحيازة ترخيص CITRA، فأول سؤال لعميل كويتي هو: هل هو مرخص له.
مهل الإبلاغ عن الاختراقات
تختلف المهل وكثيرا ما تكون مصدر الخطأ. فالمادة 6 من لائحة CITRA في الكويت توجب على المرخص له إبلاغ الهيئة خلال 24 ساعة من علمه بالاختراق، وتنص المادة 4 بصورة منفصلة على 72 ساعة للإفصاح الضار واسع النطاق. وتوجب المادة 7 في مصر إبلاغ المركز خلال 72 ساعة وصاحب البيانات خلال ثلاثة أيام عمل. وتوجب المادة 20 من النظام السعودي المعدلة إبلاغ الجهة المختصة، وتحدد المادة 24 من اللائحة التنفيذية 72 ساعة عند توافر الشروط.
وتوجب المادة 9 من القانون الإماراتي إبلاغ مكتب البيانات مع وصف الاختراق وبيانات المسؤول والآثار المحتملة وإجراءات المعالجة خلال المدة التي تحددها اللائحة التنفيذية التي لم تصدر بعد. وتوجب المادة 14 في قطر إبلاغ الفرد والإدارة المختصة إذا كان الاختراق قد يسبب ضررا جسيما دون تحديد ساعات. وتفيد مصادر ثانوية بمهلة 72 ساعة في البحرين، ونذكر أنها غير مرتبطة بمادة قرأناها. والقاعدة المعقولة على مستوى المجموعة هي مسار تصعيد داخلي خلال 24 ساعة يستطيع الوفاء بأشد المهل.
نقل البيانات عبر الحدود
النقل هو الباب الذي يحتاج إلى أكبر قدر من التحليل المحلي. تجيز المادة 29 من النظام السعودي المعدلة النقل لأغراض محددة وبشروط تحمي الأمن الوطني والمصالح الحيوية وفق لائحة نقل البيانات الشخصية خارج المملكة. وتجيز المادة 22 من القانون الإماراتي النقل إلى دول ذات حماية كافية يقرها مكتب البيانات، وتجيز المادة 23 النقل بموجب عقود وضمانات أخرى عند عدم كفاية الحماية. وتحظر المادة 12 من القانون البحريني النقل إلا إلى دول مدرجة لدى الهيئة أو بإذن منها في كل حالة، وتورد المادة 13 الاستثناءات.
وتشترط المادة 14 من القانون المصري مستوى حماية كافيا وترخيصا من المركز، وتضيف اللائحة التنفيذية الموافقة والدول المحددة. أما المادة 15 من القانون القطري فتسير في الاتجاه المعاكس: لا يجوز للمتحكم تقييد تدفق البيانات عبر الحدود ما لم تكن المعالجة مخالفة للقانون أو مما قد يسبب ضررًا جسيمًا. ولا توجد في الكويت قاعدة عامة للتوطين، ولا تحتاج الجهات الخاصة عادة إلى إذن للنقل إلى الخارج بموجب القانون رقم 20 لسنة 2014 ما لم تتعلق المعلومات بالدولة. وخريطة النقل بحسب الدولة هي أول مخرج نعده.
البيانات الحساسة والأطفال والتسويق المباشر
ترتبط البيانات الحساسة بشروط إضافية. تشترط المادة 12 في مصر ترخيص المركز وموافقة كتابية. وتعرف المادة 16 في قطر البيانات ذات الطبيعة الخاصة ومنها بيانات الأطفال والصحة وتشترط إذن الإدارة المختصة، وتشترط المادة 17 موافقة الوالدين لمواقع الأطفال. وتضع المادة 5 في البحرين شروطا خاصة للبيانات الحساسة. وتعالج المادة 4 في الإمارات البيانات الحساسة ضمن استثناءاتها الخاصة. وتقرر المادة 35 من النظام السعودي مسؤولية جزائية عن الإفصاح عن البيانات الحساسة بقصد الإضرار أو لتحقيق منفعة شخصية.
وتختلف قواعد التسويق كذلك. فالمادة 22 في قطر تشترط موافقة مسبقة وتحديد المرسل ووسم الرسالة بأنها تسويقية ووسيلة بسيطة لرفض الاستلام. وتقيد المادة 25 من النظام السعودي استخدام وسائل الاتصال الشخصية للدعاية، وتجيز المادة 26 التسويق فقط بالبيانات المجمعة مباشرة بموافقة. وتمنح المادة 17 من القانون الإماراتي حق الاعتراض على التسويق المباشر، وتتناول المادتان 19 و20 في البحرين الاعتراض عليه، وتشترط المادة 17 في مصر موافقة مسبقة، وتشترط المادة 4 من لائحة CITRA موافقة مسبقة على تسويق الغير.
العقوبات والإنفاذ
تعاقب المادة 35 من النظام السعودي المعدلة على الإفصاح عن البيانات الحساسة بقصد الإضرار أو لمنفعة شخصية بالسجن مدة تصل إلى سنتين وغرامة تصل إلى 3,000,000 ريال أو بإحدى هاتين العقوبتين، وتجيز المادة 36 الإنذار أو غرامة تصل إلى 5,000,000 ريال عن سائر المخالفات، ويجوز مضاعفتها عند تكرار المخالفة. وتقرر المادة 23 في قطر عقوبة تصل إلى 1,000,000 ريال قطري لمخالفة المواد المذكورة، والمادة 24 حتى 5,000,000 ريال قطري لمخالفة المواد 13 و16(3) و17، وتشمل المادة 25 الأشخاص الاعتبارية. وتتراوح الغرامات في مصر بين 100,000 و5,000,000 جنيه مصري، مع الحبس في جرائم البيانات الحساسة والنقل بموجب المادتين 41 و42.
وفي الكويت تنص المادة 37 من القانون رقم 20 لسنة 2014 على الحبس حتى ثلاث سنوات وغرامة بين 5,000 و20,000 دينار أو بإحدى هاتين العقوبتين، وتُفهم المادة 64 من القانون رقم 37 لسنة 2014 على أنها تجيز غرامات تصل إلى 1,000,000 دينار عن كل مخالفة على المرخص لهم. ولم تُنشر قائمة الجزاءات في المادة 26 في الإمارات، وتشمل الجرائم في البحرين البيانات الحساسة والنقل غير المشروع وعدم الإخطار، وتفيد مصادر ثانوية بغرامة تصل إلى 20,000 دينار بحريني أو الحبس حتى سنة.
ما نراجعه في قضايا حماية البيانات في المنطقة
عند مراجعة قضية متعددة الدول، نصنف أولا كل جهة ونشاط بحسب النظام المنطبق، وفي الكويت نتأكد من حيازة العميل ترخيص CITRA. ثم نوحد صيغ الموافقة وإجراءات الحقوق والسجلات على أشد مادة منطبقة، ونبني مسار تصعيد موحدا للاختراقات يفي بمهلتي 24 و72 ساعة، ونرسم خريطة النقل دولة بدولة، ونعد ملف الترخيص المصري قبل موعد نوفمبر 2026.
اقرأ أيضا: دليلنا لحماية البيانات في الكويت ودليلنا لحماية البيانات في مصر، إضافة إلى ممارستنا في قانون الشركات والأعمال التجارية.
الأسئلة الشائعة
هل يوجد قانون واحد لحماية البيانات في المنطقة؟
لا. لكل دولة نظامها: القانون المصري رقم 151 لسنة 2020 ونظام حماية البيانات الشخصية السعودي والمرسوم بقانون اتحادي إماراتي رقم 45 لسنة 2021 والقانون القطري رقم 13 لسنة 2016 والقانون البحريني رقم 30 لسنة 2018، وتعتمد الكويت على قرار CITRA رقم 26 لسنة 2024 بالنسبة للمرخص لهم من CITRA والقانونين رقم 20 لسنة 2014 ورقم 63 لسنة 2015.
هل في الكويت قانون لحماية البيانات؟
لا يوجد قانون عام. يسري قرار CITRA رقم 26 لسنة 2024 بموجب المادة 1 على المرخص لهم، وتخضع الجهات الأخرى للقانون رقم 20 لسنة 2014 في شأن المعاملات الإلكترونية وقانون جرائم تقنية المعلومات.
أي دولة لديها أقرب موعد للامتثال؟
مصر. فسنة ما بعد قرار اللائحة التنفيذية رقم 816 لسنة 2025 تنتهي في حدود 31 أكتوبر أو 1 نوفمبر 2026.
هل صدرت اللائحة التنفيذية الإماراتية؟
تفيد مصادر ثانوية بأنها لم تصدر، مع أن المادة 28 من المرسوم بقانون رقم 45 لسنة 2021 نصت على ستة أشهر. ونعد القانون نافذا ونتابع اللائحة.
ما المهلة المطلوبة للإبلاغ عن اختراق؟
تختلف بحسب الدولة. المادة 6 في الكويت 24 ساعة للمرخص لهم، والمادة 7 في مصر 72 ساعة، والمادة 24 من اللائحة السعودية 72 ساعة حيث تنطبق، والمادة 14 في قطر لا تحدد ساعات. ويوافق مسار داخلي خلال 24 ساعة أشد القواعد.
هل يجوز نقل البيانات الشخصية إلى الخارج؟
غالبا نعم بشروط. تضع المادة 29 في السعودية والمادتان 22 و23 في الإمارات والمادتان 12 و13 في البحرين والمادة 14 في مصر شروط النقل، وتقيد المادة 15 في قطر منع التدفق، ولا توجد قاعدة عامة للتوطين في الكويت.
ما أقصى العقوبات؟
تجيز المادة 36 في السعودية غرامة تصل إلى 5,000,000 ريال يجوز مضاعفتها عند تكرار المخالفة، والمادة 24 في قطر حتى 5,000,000 ريال قطري، وتصل الغرامات في مصر إلى 5,000,000 جنيه، ويمكن في كل دولة الحبس عن بعض الجرائم.
هل تقدمون استشارات في الامتثال العابر للحدود لحماية البيانات؟
نعم. نصنف كل جهة ونحدد النظام المنطبق ونعد وثائق الموافقة والخصوصية وملفات الترخيص في مصر ونتولى التواصل مع الجهات الرقابية. تواصلوا معنا عبر صفحة الاتصال لمناقشة حالتكم.