الشات بوت وحماية البيانات الشخصية في السعودية والإمارات: ما تقوله النصوص

الشات بوت على موقعك يجمع بيانات شخصية: اسم الزائر ورقم جواله وبريده، ونص المحادثة نفسه. في السعودية ينظم ذلك نظام حماية البيانات الشخصية ولائحته التنفيذية، وفي الإمارات المرسوم بقانون اتحادي رقم 45 لسنة 2021. هذا ما تقوله النصوص الرسمية، وما يعنيه عمليًا لصاحب موقع يضع شات بوت.

قرأنا النصوص في 21 أكتوبر 2026 من مواقع الجهات الرسمية، وكل نقطة هنا مربوطة بمصدرها. هذا المقال ليس استشارة قانونية. وإن كان نشاطك في قطاع منظم كالصحة أو المال، فارجع إلى مستشار قانوني وإلى الجهة التي تشرف على قطاعك.

هل ما يكتبه الزائر في الشات بوت بيانات شخصية؟

في أغلب الأحوال نعم. يعرّف نظام حماية البيانات الشخصية السعودي في مادته الأولى البيانات الشخصية بأنها كل بيان، مهما كان مصدره أو شكله، من شأنه أن يؤدي إلى معرفة الفرد على وجه التحديد أو يجعل التعرف عليه ممكنًا، ويذكر من أمثلتها الاسم والعناوين وأرقام التواصل. وهذا ما يطلبه الشات بوت عادة حين يسجل طلبًا أو يحجز موعدًا.

ويعرّف النظام كذلك البيانات الحساسة، ومنها ما يتعلق بالأصل العرقي أو القبلي، والمعتقد الديني أو الفكري أو السياسي، والبيانات الصحية والوراثية. والمحادثة المفتوحة قد تحمل بيانات حساسة لم تطلبها، كمريض يكتب أعراضه وهو يحجز موعدًا.

وبلغة النظام، صاحب الموقع «جهة التحكم» لأنه يحدد الغرض من المعالجة وكيفيتها، ومزود الشات بوت «جهة معالجة» تعالج البيانات لمصلحته ونيابة عنه.

ما يطلبه نظام حماية البيانات الشخصية السعودي من صاحب الشات بوت

على من يطبق النظام؟

تنص المادة الثانية على أن النظام يطبق على أي عملية معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة، بما في ذلك معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة من أي جهة خارجها.

سياسة الخصوصية والإعلام عند الجمع

تلزم المادة الثانية عشرة جهة التحكم بسياسة خصوصية متاحة لأصحاب البيانات عند جمع بياناتهم، تحدد الغرض من الجمع، والبيانات المطلوبة، وطريقة جمعها ووسيلة حفظها، وكيفية معالجتها وإتلافها، وحقوق صاحبها وطريقة ممارستها. وتضيف المادة الثالثة عشرة أن تُعلم صاحب البيانات، عند جمعها منه مباشرة، بأمور منها المسوغ النظامي للجمع، والغرض منه، والجهات التي ستُفصح لها البيانات، وما إذا كانت ستُنقل أو تُعالج خارج المملكة. وتذكر المادة الرابعة من اللائحة التنفيذية ضمن ما يُبلغ به صاحب البيانات مدة الاحتفاظ ببياناته.

اجمع الحد الأدنى

تشترط المادة الحادية عشرة أن يكون محتوى البيانات المجموعة ملائمًا ومقصورًا على الحد الأدنى اللازم لتحقيق الغرض، وإذا اتضح أن بيانات لم تعد ضرورية فعلى جهة التحكم أن تتوقف عن جمعها وأن تتلف ما جمعته دون تأخير. فلا تجعل الشات بوت يطلب رقم الهوية أو تاريخ الميلاد لمجرد أنه يستطيع.

الرسائل التسويقية

تمنع المادة الخامسة والعشرون استخدام وسائل الاتصال الشخصية، ومنها العناوين البريدية والإلكترونية، لإرسال مواد دعائية أو توعوية إلا بموافقة المتلقي، مع آلية واضحة تمكنه من طلب إيقافها. فالبريد الذي يجمعه الشات بوت لمتابعة طلب لا يتحول تلقائيًا إلى قائمة حملات.

اختيار مزود الشات بوت

توجب المادة الثامنة على جهة التحكم، عند اختيار جهة المعالجة، أن تختار جهة توفر الضمانات اللازمة لتنفيذ أحكام النظام، وأن تتحقق من التزامها، ولا يُخل ذلك بمسؤولية جهة التحكم تجاه صاحب البيانات.

حقوق الزائر ومهلة الرد

تعطي المادة الرابعة صاحب البيانات حقوقًا منها: العلم بالمسوغ النظامي لجمع بياناته والغرض منه، والوصول إليها، وطلب الحصول عليها بصيغة مقروءة وواضحة، وطلب تصحيحها، وطلب إتلافها مما انتهت الحاجة إليه. وتحدد المادة الثالثة من اللائحة التنفيذية مهلة لا تتجاوز ثلاثين يومًا لتنفيذ الطلب، يجوز تمديدها مدة لا تزيد على ثلاثين يومًا أخرى في حالات محددة، بشرط إشعار صاحب البيانات مسبقًا بالتمديد ومبرراته.

الاحتفاظ والإتلاف

تلزم المادة الثامنة عشرة جهة التحكم بإتلاف البيانات الشخصية بعد انتهاء الغرض من جمعها دون تأخير، مع حالات يجب فيها الاحتفاظ بها، منها وجود مسوغ نظامي يوجب الاحتفاظ بها مدة محددة. فقرر كم تحتفظ بالمحادثات، واكتب ذلك في سياستك.

تسرب البيانات خلال 72 ساعة

توجب المادة الرابعة والعشرون من اللائحة التنفيذية إشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من العلم بحادثة التسرب، إذا كان من شأنها الإضرار بالبيانات الشخصية أو بصاحبها أو كانت تتعارض مع حقوقه أو مصالحه، وإشعار صاحب البيانات دون تأخير غير مبرر إذا كان من شأن التسرب أن يضر به. وقد جعل قرار مجلس الوزراء رقم 98 الذي وافق على النظام الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) الجهة المختصة، وتتيح سدايا على منصة حوكمة البيانات الوطنية خدمة إشعار تسرب البيانات الشخصية وخدمة تقديم الشكاوى.

نقل البيانات خارج المملكة

قد تُحفظ محادثات الشات بوت على خوادم خارج المملكة، وقد يُرسل نص الرسالة إلى مزود نموذج ذكاء اصطناعي في بلد آخر. ينظم ذلك النظام في مادته التاسعة والعشرين ولائحة نقل البيانات الشخصية إلى خارج المملكة (الإصدار 2.0، أغسطس 2024). ومن شروط النظام أن يتوفر خارج المملكة مستوى مناسب لحماية البيانات لا يقل عن المستوى المقرر فيه، وأن يقتصر النقل على الحد الأدنى من البيانات الذي تدعو الحاجة إليه. ومن الأغراض التي تذكرها اللائحة تقديم خدمة أو منفعة لصاحب البيانات، وتجيز في حالات محددة إعفاء جهة التحكم من بعض الشروط إذا التزمت بضمانات مناسبة، كالبنود التعاقدية القياسية أو شهادة اعتماد للجهة المستقبلة.

العقوبات

تنص المادة السادسة والثلاثون على عقوبة الإنذار أو غرامة لا تزيد على خمسة ملايين ريال لكل من خالف أحكام النظام أو اللوائح من الأشخاص ذوي الصفة الطبيعية أو الاعتبارية الخاصة، فيما لم يرد فيه نص خاص، ويجوز مضاعفتها عند التكرار. وتنص المادة الخامسة والثلاثون على السجن مدة لا تزيد على سنتين وغرامة لا تزيد على ثلاثة ملايين ريال، أو إحداهما، لمن أفصح عن بيانات حساسة أو نشرها مخالفًا للنظام بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية.

قانون حماية البيانات الشخصية في الإمارات

نعتمد في هذا القسم على ما تذكره البوابة الرسمية لحكومة الإمارات عن المرسوم بقانون اتحادي رقم 45 لسنة 2021 (آخر تحديث للصفحة 8 أكتوبر 2026)، والنص الكامل منشور على بوابة التشريعات الإماراتية. تقول البوابة إن القانون:

• يسري على معالجة البيانات الشخصية، كلها أو جزء منها، عن طريق الأنظمة الإلكترونية، داخل الدولة أو خارجها.
• يحظر معالجة البيانات الشخصية دون موافقة صاحبها، إلا في حالات منها أن تكون المعالجة ضرورية لحماية المصلحة العامة، أو لإقامة إجراءات المطالبة بالحقوق والدعاوى القانونية.
• يضع ضوابط لمعالجة البيانات، والتزامات على الشركات في تأمينها والحفاظ على سريتها، وضوابط لنقلها ومشاركتها عبر الحدود، وإجراءات للإبلاغ عن انتهاكها.
• يعطي صاحب البيانات حقوقًا منها: الحصول دون مقابل على المعلومات والقرارات المتخذة بناء على معالجة بياناته، وطلب تصحيح بياناته الخاطئة أو القديمة، وطلب حذفها كليًا فيما تسميه البوابة «حق النسيان»، وأن يُعلم إذا اختُرق نظام شركة يطبق عليها القانون وانتُهكت بياناته.

وتذكر البوابة أن المرسوم بقانون اتحادي رقم 44 لسنة 2021 أنشأ مكتب الإمارات للبيانات، ومن مهامه الرقابة على تطبيق التشريعات الاتحادية لحماية البيانات وإعداد أنظمة الشكاوى والتظلمات. وتدرج البوابة قوانين أخرى إلى جانبه، منها قانون حماية البيانات الخاص بمركز دبي المالي العالمي، والقانون الاتحادي رقم 2 لسنة 2019 بشأن استخدام تقنية المعلومات والاتصالات في المجالات الصحية، فتحقق أي هذه القوانين يسري على نشاطك.

قائمة عملية لصاحب موقع يضع شات بوت

1. أضف فقرة عن الدردشة في سياسة الخصوصية: ما الذي يُجمع ولماذا، وأين يُحفظ، ومن يعالجه من مزودين، ومنهم مزود الشات بوت ومزود نموذج الذكاء الاصطناعي، وكم تحتفظ به، وكيف يطلب الزائر حذفه.
2. أعلم الزائر في بداية المحادثة بأنه يحادث مساعدًا آليًا، وضع رابط سياسة الخصوصية حيث يراه قبل أن يكتب بياناته.
3. اضبط ما يطلبه الشات بوت: لا أرقام هوية ولا تفاصيل صحية، وحوّل الأسئلة الطبية إلى موظف بدل أن يجمعها البوت.
4. افصل المتابعة عن التسويق: البريد الذي أعطاك إياه العميل لمتابعة طلبه لا يدخل قائمة الحملات دون موافقته.
5. جهّز الرد على الطلبات: من يستلم طلب الوصول أو الحذف، وكيف تصدّر بيانات زائر واحد أو تحذفها خلال المهلة.
6. اكتب خطة للتسرب: من يقرر، ومن يُشعر سدايا خلال 72 ساعة، وكيف يُبلَّغ العملاء.
7. اسأل مزودك كتابيًا: أين الخوادم؟ من مزودو الذكاء الاصطناعي الذين تصلهم الرسائل؟ هل تُستخدم المحادثات في تدريب نماذج؟ وما ضمانات النقل خارج المملكة؟
8. احتفظ بسجل لأنشطة المعالجة كما تطلب المادة الحادية والثلاثون، ويشمل حدًا أدنى منه: الغرض، وفئات أصحاب البيانات، والجهات التي تُفصح لها، والنقل خارج المملكة، ومدة الاحتفاظ المتوقعة.

ومتى يجب أن يسلّم البوت المحادثة لموظف، خاصة في المواضيع الحساسة، تجده في مقالنا عن بوت الذكاء الاصطناعي لخدمة العملاء. وإن كنت تختار شات بوت لأول مرة، فابدأ بمقال ما هو الشات بوت.

أين يقف MagizAI من هذه الأسئلة

الأسئلة السابقة تنطبق علينا أيضًا، فهذه أجوبتنا. خوادم MagizAI في سنغافورة لدى OVHcloud، ونص الرسائل يُرسل إلى مزود نموذج الذكاء الاصطناعي الذي يعمل به الشات بوت. وفي الإعدادات صفحة طلبات الخصوصية لتصدير كل ما يُحفظ عن زائر واحد في ملف، أو مسحه نهائيًا مع تسجيل العملية في سجل التدقيق. وأرقام البطاقات التي يكتبها الزوار في الدردشة تُستبدل بآخر أربعة أرقام منها قبل حفظ الرسالة. وتفاصيل أخرى في صفحة الأمان.