إقامة البيانات هي الموقع المادي الذي تُخزَّن فيه بيانات المنشأة وتُعالج. وعملياً تأتي قواعد إقامة البيانات في السعودية من عدة أدوات تنظيمية، ولا توجد قاعدة واحدة تحسم هذا الموقع لكل البيانات. فنظام حماية البيانات الشخصية يضع شروطاً لنقل البيانات الشخصية خارج المملكة، بينما يعتمد اشتراط إبقاء البيانات داخلها على تصنيفها وقطاعك والجهة التنظيمية لديك.
هذا الدليل معلومات عامة لا استشارة نظامية. تحقق من وضعك مع مستشار مؤهل والجهة المختصة (سدايا، أو الهيئة الوطنية للأمن السيبراني، أو هيئة الاتصالات والفضاء والتقنية، أو الجهة التنظيمية لقطاعك) قبل تحديد مكان استضافة البيانات.
ثلاثة مصطلحات تُعامل غالباً كمصطلح واحد
تستخدم المناقصات والعروض التسويقية إقامة البيانات وتوطين البيانات وسيادة البيانات بالتبادل، لكنها تصف أشياء مختلفة، والخلط بينها يقود إلى أسئلة خاطئة للمزودين. وضبط المصطلحات هو الخطوة الأولى في أي تقييم لإقامة البيانات.
| المصطلح | معناه | مثال سعودي |
|---|---|---|
| إقامة البيانات | البلد أو المنطقة التي تُخزَّن فيها البيانات وتُعالج، وهي عادةً اختيار المنشأة أو عقدها، وأحياناً تتشكل بقاعدة. | اختيار مركز بيانات داخل المملكة لتطبيق أعمال. |
| توطين البيانات | اشتراط نظامي بتخزين البيانات أو معالجتها داخل إقليم ما، ولا تحتسب منظمة التعاون الاقتصادي والتنمية إلا الاشتراطات الصريحة. | قاعدة تُلزم ببقاء فئة محددة من البيانات داخل المملكة. |
| سيادة البيانات | مبدأ خضوع البيانات لأنظمة البلد الذي تُحفظ فيه، كجزء من حق الحكومة في تنظيم البيانات داخل حدودها. | انطباق النظام السعودي على البيانات المحفوظة في المملكة. |
الإقامة تحدد مكان البيانات، والتوطين قاعدة تحدد أين يجب أن تكون، والسيادة تتعلق بالنظام الذي يحكمها. وقد يوجد وضع لإقامة البيانات في السعودية دون أي قاعدة توطين، لمجرد أن المنشأة اختارت مزوداً داخل المملكة. أما اشتراطات توطين البيانات فلا توجد إلا حيث تنص قاعدة على ذلك. وعبارة “السحابة السيادية” التي يستخدمها المزودون في موادهم التسويقية تسمية تجارية، ولم نجد لها تعريفاً في وثائق الهيئة الوطنية للأمن السيبراني أو هيئة الاتصالات أو سدايا التي راجعناها. فاسأل أي مزود يستخدمها عما يعد به بشأن الموقع، ومن يشغّل الخدمة، وأي نظام ينطبق.
إقامة البيانات في السعودية: ماذا يقول نظام حماية البيانات الشخصية عن خروج البيانات من المملكة؟
لا يشترط النظام بقاء كل البيانات الشخصية في المملكة، فالمادة 29 تجيز نقلها خارج المملكة أو الإفصاح عنها لجهة خارجها لأغراض محددة وبشروط.
- النظام. المرسوم الملكي رقم م/19 وتاريخ 9/2/1443هـ (16 سبتمبر 2021)، المعدّل بالمرسوم الملكي رقم م/148 وتاريخ 5/9/1444هـ (27 مارس 2023).
- النفاذ. في 29/2/1445هـ (14 سبتمبر 2023)، مع مهلة تصل إلى عام للتوافق، وفق وكالة الأنباء السعودية.
- اللوائح. نُشرت اللائحة التنفيذية ولائحة النقل الأولى في 7 سبتمبر 2023، وأعلنت سدايا لائحة نقل محدّثة (الإصدار 2.0، أغسطس 2024) في 1 سبتمبر 2024.
- النطاق. تشمل المادة 2 المعالجة في المملكة بأي وسيلة، بما في ذلك معالجة جهات خارجها لبيانات شخصية تخص المقيمين فيها.
والمادة 29 هي النص الذي يجب قراءته بعناية في هذه المشاريع، إذ تجيز النقل أو الإفصاح لأربعة أنواع من الأغراض: تنفيذ التزام بموجب اتفاقية تكون المملكة طرفاً فيها، وخدمة مصالح المملكة، وتنفيذ التزام يكون صاحب البيانات طرفاً فيه، وأغراض أخرى تحددها اللوائح. وتنطبق ثلاثة شروط: ألا يضر النقل بالأمن الوطني أو المصالح الحيوية، وأن تحظى البيانات بحماية لا تقل عن حماية النظام، وألا يُنقل إلا الحد الأدنى من البيانات. وللمادة أيضاً مسار طارئ لحماية الحياة أو المصالح الحيوية، وتتيح للوائح تحديد حالات يُعفى فيها المتحكم من الشرطين الثاني والثالث.
وتفصّل لائحة النقل ما تحتاجه هذه المشاريع حول النقل عبر الحدود. فالمادة 2 تضيف عمليات المعالجة المركزية، والخدمات أو المنافع لصاحب البيانات، والبحث العلمي كأغراض. والمادة 3 تنص على نشر سدايا قائمة بالدول والمنظمات ذات الحماية الكافية. والمادة 4 تحدد حالات يمكن فيها للمتحكم الاعتماد على “ضمانات مناسبة” بدلاً من ذلك، وهي البنود التعاقدية القياسية الصادرة عن سدايا، أو القواعد المشتركة الملزمة للمجموعات متعددة الجنسيات، أو شهادات الاعتماد. والمادة 7 تشترط تقييماً للمخاطر قبل الاعتماد على هذه الضمانات وللنقل المستمر أو واسع النطاق للبيانات الحساسة. وأفادت مصادر من مطلع 2026 بأن سدايا لم تنشر بعد قائمة الكفاية، فتحقق من ذلك قبل الاعتماد عليها.
ويعني ذلك لخيارات الاستضافة أن البيانات الشخصية المحفوظة على بنية تحتية داخل المملكة لا تُنقل إلى الخارج. لكن ذلك لا يحسم كل الأسئلة، لأن المادة 29 تشمل أيضاً الإفصاح لجهة خارج المملكة. فموظفو دعم في الخارج يستطيعون قراءة البيانات، أو نسخة احتياطية محفوظة في الخارج، أو خدمة مراقبة تصدّر سجلات، قد يثير كل منها سؤالاً عن النقل. وهذه قراءتنا للنص، فاعرضها على مستشارك القانوني قبل أن يعتمد تصميم على أي منها.
هل تشترط ضوابط الهيئة الوطنية للأمن السيبراني الاستضافة في السعودية؟
ليس في إصداراتها الحالية، وإن كانت الإصدارات السابقة تشترط ذلك. فالضابط الفرعي 4-2-3-3 في ECC-1:2018 اشترط استضافة معلومات الجهة وتخزينها داخل المملكة، والضابطان 2-3-P-1-10 و2-3-P-1-11 في CCC-1:2020 اشترطا تقديم مزودي السحابة خدماتهم من داخل المملكة، بما في ذلك التخزين والمعالجة ومراكز التعافي من الكوارث والمراقبة والدعم. ولهذا قد تبدو النصائح المكتوبة وفق الإصدارات السابقة قديمة.
حذفت الهيئة الوطنية للأمن السيبراني هذه الضوابط في ECC-2:2024 وCCC-2:2024، ويذكر جدولا التغييرات السبب نفسه: نقل ضوابط توطين البيانات إلى مكتب إدارة البيانات الوطنية في سدايا. ويضيف CCC-2:2024 أن على الجهات الرجوع إلى المكتب بشأن التوطين قبل التصرف. ويدرج موقع الهيئة CCC-2:2024 بتاريخ نشر 31 يوليو 2025.
والنطاق مهم أيضاً: فالضوابط الأساسية تنطبق على الجهات الحكومية والشركات والجهات التابعة لها، وعلى جهات القطاع الخاص المالكة للبنى التحتية الوطنية الحساسة أو المشغّلة أو المستضيفة لها، وتشجع الهيئة الجميع على تطبيقها. وتمد ضوابط الأمن السيبراني للحوسبة السحابية الضوابط الأساسية إلى الحوسبة السحابية، للمزودين الذين يخدمون هؤلاء العملاء المشمولين وللعملاء أنفسهم.
وما تبقى من ضوابط السحابة ما زال مهماً. فالضابط 4-2-3 في ECC-2:2024 يشترط كحد أدنى حماية البيانات وفق تصنيفها وإعادتها بصيغة قابلة للاستخدام عند انتهاء الخدمة (4-2-3-1)، وفصل البيئات الافتراضية للجهة عن بيئات المستأجرين الآخرين (4-2-3-2). والمزود الذي يقدم دليلاً على الامتثال لضوابط الهيئة أجاب عن سؤال أمني لا عن سؤال إقامة البيانات.
ماذا تضيف هيئة الاتصالات ومكتب إدارة البيانات الوطنية؟
تسجّل هيئة الاتصالات والفضاء والتقنية مقدمي خدمات الحوسبة السحابية وفق تنظيمات تقديم خدمات الحوسبة السحابية، واعتمد قرار الهيئة 506/1445 الإصدار 4 في 8 أكتوبر 2023 ونفذ في 10 أكتوبر 2023. ويُسجَّل المزودون في فئة التأهيل أو في الفئة A أو B أو C، بما يطابق تصنيف بيانات المشتركين التي يتأهلون للتعامل معها. فعبارة “مسجل لدى الهيئة” ليست حقيقة واحدة، لأن الفئة توضح ما يجوز للمزود استضافته لك، وفئة المزود فحص مبكر مفيد في أي مناقصة استضافة.
يقع مكتب إدارة البيانات الوطنية ضمن سدايا ويضع سياسة التصنيف الوطني للبيانات، التي تصنفها في أربعة مستويات حسب أثر الإفصاح غير المصرح به. والتصنيف عادةً أول مدخل في قرار الاستضافة، لأن فئات المزودين لدى هيئة الاتصالات وضوابط السحابة لدى الهيئة الوطنية للأمن السيبراني مرتبطة به.
ما الذي يحدد متطلبات إقامة بياناتك؟
تعتمد الأداة الحاسمة على طبيعة البيانات ومن يحفظها، ويربط هذا الجدول كل نوع بيانات بالأداة التي تحسم السؤال أساساً.
| بياناتك أو منشأتك | ما الذي يحدد أساساً مكانها | ما يجب التحقق منه |
|---|---|---|
| بيانات شخصية، أي منشأة | المادة 29 من نظام حماية البيانات الشخصية ولائحة النقل، وتضعان شروطاً للنقل إلى الخارج لا اشتراطاً عاماً للتخزين. | كل مكان توجد فيه نسخة أو وصول، بما في ذلك النسخ الاحتياطية ووصول الدعم والمعالجون الفرعيون، وأساس النقل لأي منها في الخارج. |
| الجهات الحكومية، وملاك البنى التحتية الوطنية الحساسة ومشغلوها ومستضيفوها | تصنيف البيانات، ومتطلبات التوطين لدى مكتب إدارة البيانات الوطنية، وECC-2:2024 وCCC-2:2024 (حسب النطاق)، وفئة المزود لدى هيئة الاتصالات، وقواعد أي جهة تنظيمية قطاعية. | تصنيف كل مجموعة بيانات، وفئة المزود لدى هيئة الاتصالات، والمتطلبات الحالية لمكتب إدارة البيانات الوطنية. |
| البنوك وشركات التأمين والمؤسسات المالية الأخرى | دليل قواعد البنك المركزي السعودي، الذي يتضمن أقساماً عن الإسناد والحوسبة السحابية، ونظام حماية البيانات الشخصية للبيانات الشخصية. | قواعد البنك المركزي الحالية قبل أي قرار إسناد أو حوسبة سحابية. |
| القطاعات المنظمة الأخرى | قواعد الجهة التنظيمية للقطاع. | اسأل الجهة التنظيمية كتابياً واحتفظ بالرد. |
| كل ما عدا ذلك | نظام حماية البيانات الشخصية للبيانات الشخصية، وقد تضيف العقود وشروط المناقصات وأنظمة أخرى اشتراطات موقع لسجلات معينة. | بنود العقود وقواعد الاحتفاظ بالسجلات. |
أسئلة إقامة البيانات التي تطرحها على مزود الاستضافة
- أين تُحفظ بيانات الإنتاج والنسخ الاحتياطية ونسخ التعافي من الكوارث والسجلات وبيانات المراقبة؟ اطلب الإجابة لكل نسخة كتابياً.
- من يستطيع إدارة البيانات أو قراءتها، ومن أي بلدان، وعبر أي مقاولين من الباطن؟
- ما فئة المزود لدى هيئة الاتصالات، ولأي تصنيفات بيانات؟
- أي ضوابط للهيئة الوطنية للأمن السيبراني يستطيع المزود تقديم دليل عليها، ووفق أي إصدارات؟
- للبيانات الشخصية، ما أساس النقل لأي شيء خارج المملكة، ومن يجري تقييم المخاطر؟
- كيف تُعاد البيانات وتُحذف عند الخروج؟ فالضابط 2-6-T-1-1 في CCC-2:2024 يتوقع أن تكون لدى المستأجرين استراتيجية خروج للتخلص الآمن من البيانات عند انتهاء العقد.
ونسخ التعافي مكانها في هذه القائمة. فنسخة التعافي تبقى بياناتك، فافترض أن قواعد النسخة الأساسية تنطبق عليها أيضاً، ومدّ أي فحص لإقامة البيانات ليشملها (راجع شرح RPO وRTO لمعرفة كيف تشكّل أهداف التعافي ما تنسخه).
والتصاميم الهجينة إجابة شائعة حين يرتبط بعض أحمال العمل فقط بالمملكة: تبقى البيانات المنظمة في المقر أو في بيئة داخل المملكة بينما تستخدم أحمال أخرى السحابة العامة. وتصمم وسنا للحلول الرقمية بنى سحابية سيادية وهجينة ومتعددة حول هذه الأسئلة بدءاً من تصنيف البيانات، وتعامل متطلبات إقامة البيانات كمدخل في التصميم لا أمراً لاحقاً.
اربط أنظمتك بقرار الاستضافة قبل اختيار المزود
أحضر قائمة بأنظمتك الرئيسية والبيانات في كل منها، وسيعود إليك مستشار من وسنا للحلول الرقمية بأسئلة التصنيف والجهات التنظيمية التي تشكّل النطاق.
اطلب تقييماً لإقامة البيانات في السعوديةالمصادر
- نظام حماية البيانات الشخصية (المرسوم الملكي م/19 وتاريخ 9/2/1443هـ، المعدّل بالمرسوم م/148 وتاريخ 5/9/1444هـ) ولائحة نقل البيانات الشخصية خارج المملكة، الإصدار 2.0، أغسطس 2024. الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، المنصة الوطنية لحوكمة البيانات. dgp.sdaia.gov.sa. تاريخ الاطلاع: 2 أكتوبر 2026.
- سدايا تطلق لائحة محدّثة لنقل البيانات الشخصية خارج المملكة (1 سبتمبر 2024). وكالة الأنباء السعودية. spa.gov.sa. تاريخ الاطلاع: 2 أكتوبر 2026.
- سدايا تطلق حملات للتوعية بنظام حماية البيانات الشخصية، 6 سبتمبر 2024. وكالة الأنباء السعودية. spa.gov.sa. تاريخ الاطلاع: 2 أكتوبر 2026.
- Saudi Arabia issues Implementing Regulations to the Personal Data Protection Law (سبتمبر 2023). Clyde & Co. clydeco.com. تاريخ الاطلاع: 2 أكتوبر 2026.
- Data protection laws in Saudi Arabia (التاريخ التشريعي وأرقام المراسيم). DLA Piper، Data Protection Laws of the World. dlapiperdataprotection.com. تاريخ الاطلاع: 2 أكتوبر 2026.
- الضوابط الأساسية للأمن السيبراني (ECC-2:2024). الهيئة الوطنية للأمن السيبراني. cdn.nca.gov.sa. تاريخ الاطلاع: 2 أكتوبر 2026.
- ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024). الهيئة الوطنية للأمن السيبراني. cdn.nca.gov.sa؛ صفحة القائمة nca.gov.sa. تاريخ الاطلاع: 2 أكتوبر 2026.
- ضوابط الأمن السيبراني للحوسبة السحابية (CCC-1:2020). الهيئة الوطنية للأمن السيبراني. cdn.nca.gov.sa. تاريخ الاطلاع: 2 أكتوبر 2026.
- الموافقة على تحديث تنظيمات تقديم خدمات الحوسبة السحابية وأدلتها (القرار 506/1445، 8 أكتوبر 2023). هيئة الاتصالات والفضاء والتقنية. تاريخ الاطلاع: 2 أكتوبر 2026.
- تسجيل الحوسبة السحابية. البوابة الوطنية (my.gov.sa)، خدمة تقدمها هيئة الاتصالات والفضاء والتقنية. تاريخ الاطلاع: 2 أكتوبر 2026.
- The Nature, Evolution and Potential Implications of Data Localisation Measures (TAD/TC/WP(2023)7/FINAL، 10 نوفمبر 2023). منظمة التعاون الاقتصادي والتنمية. one.oecd.org. تاريخ الاطلاع: 2 أكتوبر 2026.
- Data sovereignty and data residency: which determines which? وثائق Oracle. oracle.com. تاريخ الاطلاع: 2 أكتوبر 2026.
- صفحة سياسة تصنيف البيانات، نقلاً عن مواصفة مكتب إدارة البيانات الوطنية DG.1.2 (الإصدار 1.5). مكتب إدارة البيانات، جامعة الطائف. tu.edu.sa. تاريخ الاطلاع: 2 أكتوبر 2026.
- قواعد الإسناد والقسم 3.4.3 الحوسبة السحابية. دليل قواعد البنك المركزي السعودي. rulebook.sama.gov.sa. تاريخ الاطلاع: 2 أكتوبر 2026 (تم التأكد من وجود الأقسام دون مراجعة محتواها).
