بيانات العملاء عند بيع متجر إلكتروني: ما يلزمك نظاماً
قائمة عملاء متجرك ليست أصلاً حرّاً تُسلّمه مع كلمة المرور. نظام حماية البيانات الشخصية يعتبر المتجر «جهة تحكم» في بيانات عملائه، وتسليم هذه البيانات لمشترٍ هو «إفصاح» يحتاج مسوّغاً نظامياً، لا مجرد اتفاق بين البائع والمشتري. والمسار العملي ثلاث خطوات: لا تشارك القائمة الخام في الفحص، وثبّت في العقد من يتحكم بالبيانات ومتى، وأتلف نسخك بعد التسليم.
وفيما يلي ما يترتب على البائع والمشتري، بإسناد كل نقطة إلى مادة مرقّمة من النظام أو لائحته التنفيذية. وهو معلومات عامة لا استشارة قانونية، والمصادر الرسمية مرفقة لتقرأها بنفسك.
ثلاث كلمات تحدّد موقعك
المادة الأولى من نظام حماية البيانات الشخصية تضع التعريفات التي تبنى عليها كل التزامات الصفقة:
- البيانات الشخصية: كل بيان يؤدي إلى معرفة الفرد تحديداً أو يجعل التعرّف عليه ممكناً مباشرةً أو غير مباشرة، ومنه الاسم ورقم الهوية والعناوين وأرقام التواصل وأرقام الحسابات والبطاقات. أي أن ملف طلبات متجرك بيانات شخصية بالكامل.
- جهة التحكم: من يحدّد الغرض من المعالجة وكيفيتها، وهو المتجر؛ وينطبق على الشخص الطبيعي كما ينطبق على الشركة.
- الإفصاح: تمكين أي شخص -عدا جهة التحكم أو جهة المعالجة- من الحصول على البيانات أو استعمالها أو الاطلاع عليها بأي وسيلة ولأي غرض. فإرسال ملف العملاء إلى مشترٍ محتمل إفصاح، ولو كان ملفاً واحداً على الواتساب.
والمادة الثانية من اللائحة التنفيذية تستثني الاستخدام الشخصي أو العائلي، لكنها تنصّ صريحاً على أن الاستخدام لأغراض ذات طابع مهني أو تجاري ليس من هذا الاستثناء. فكونك فرداً لا شركة لا يخرجك من النظام.
في مرحلة الفحص: لا ترسل القائمة الخام
أكثر خطأ نراه هو إرسال ملف فيه أسماء العملاء وأرقام جوالاتهم وعناوينهم لمشترٍ لم يوقّع شيئاً بعد. المادة الخامسة عشرة تحدّد أحوال الإفصاح وأولها موافقة صاحب البيانات، والمادة العشرون من اللائحة تضيف ثلاثة ضوابط: أن يرتبط الطلب ارتباطاً وثيقاً بغرض محدد وواضح، وبذل العناية اللازمة للخصوصية، وأن يقتصر الإفصاح على الحد الأدنى من البيانات اللازمة. وفحص جدوى شراء متجر لا يحتاج اسم عميل واحد.
ما يُغني عن القائمة الخام وأنت تجيب أسئلة المشتري بصدق:
- أعداد مجمّعة: عدد العملاء الفريدين، وعدد الطلبات، ومتوسط قيمة الطلب، ونسبة الشراء المتكرّر.
- توزيع العملاء على الأشهر أو على المدن، بلا معرّفات.
- عيّنة مموّهة: الطلبات الأخيرة مع إخفاء الاسم والجوال والعنوان وإبقاء التاريخ والمنتج والقيمة.
- عرض حيّ لتقارير المنصة على الشاشة أثناء مكالمة، بدل تسليم ملف يمكن نسخه.
وترتيب ما يُشارك ومتى شرحناه تجارياً في ملف بيع المتجر: ماذا تشارك مع المشتري ومتى، والقاعدة هنا تضيف طبقة واحدة: ما كان بيانات شخصية يُترك للتسليم النهائي داخل المنصة نفسها. وتنبيه عملي: المادة الثامنة والعشرون تمنع تصوير الوثائق الرسمية التي تحدّد هوية الفرد أو نسخها إلا تنفيذاً لأحكام نظام أو بطلب جهة عامة مختصة، فتبادل صور الهويات «للتأكد من الجدية» ليس إجراءً سليماً.
عند التسليم: من يتحكم بالبيانات، ومن يحتفظ بها
الفرق الجوهري: هل تنقل النشاط كله بما فيه حساب المنصة والسجل والسياسات، أم تبيع ملف عملاء منفصلاً عن نشاطه؟ الحالة الثانية أصعب نظاماً، لأن المادة العاشرة تمنع معالجة البيانات لغرض غير الذي جُمعت من أجله، والمادة الخامسة تمنع تغيير الغرض إلا بموافقة صاحبها. فعميل أعطى بياناته لتوصيل طلب لم يعطها لتُنقل إلى تجارة أخرى.
وفي نقل النشاط كله ينتقل العملاء مع متجر يواصل الغرض نفسه، وهذا أقرب إلى توقّع العميل المعقول. لكن النظام لا يحتوي مادة صريحة تعفي «نقل النشاط التجاري» من ضوابط الإفصاح، فالتعامل السليم يبنى على ما ورد فعلاً في النصوص:
- سياسة الخصوصية. المادة الثانية عشرة تُلزم جهة التحكم بتبني سياسة خصوصية وإتاحتها عند جمع البيانات، والمادة الثالثة عشرة (الفقرة 4) تُلزمها بإحاطة العميل بـ«الجهة أو الجهات التي سيُجرى إفصاح البيانات إليها وصفتها». فالسياسة التي ذكرت مسبقاً احتمال النقل ضمن نقل النشاط تضعك في موقع أفضل من سياسة صامتة.
- المصلحة المشروعة. المادة السادسة (الفقرة 4) تتيح المعالجة لمصلحة مشروعة، والمادة السادسة عشرة من اللائحة تضع شروطها: ألا يخالف الغرض الأنظمة، وأن تُوازن بين مصلحتك وحقوق العميل، وألا تتضمن بيانات حساسة، وأن تكون المعالجة ضمن التوقعات المعقولة لصاحب البيانات، مع تقويم موثّق قبلها. أي أنها ورقة تُكتب لا جملة تُقال.
- الإشعار والحد الأدنى. إشعار العملاء بتغيّر الجهة المسؤولة عن بياناتهم يخدم حق العلم في المادة الرابعة. ولا تنقل ما لا يحتاجه المشتري لمواصلة النشاط.
وحين تكون الحالة غير واضحة، تقدّم منصة حوكمة البيانات الوطنية خدمة «طلب بيان الرأي النظامي»، وهي الباب الرسمي للسؤال بدل التخمين.
بعد البيع: نسختك يجب أن تُتلف
الاحتفاظ بنسخة من قائمة العملاء «للمشروع القادم» من أوضح المخالفات. المادة الثامنة عشرة تُلزم جهة التحكم بإتلاف البيانات بعد انتهاء الغرض من جمعها دون تأخير، إلا إذا وُجد مسوّغ نظامي يوجب الاحتفاظ مدة محددة (كالمتطلبات الضريبية) أو كانت متصلة بقضية منظورة. والمادة الثامنة من اللائحة تفصّل الإتلاف: إشعار الجهات التي أفصحت لها عن البيانات وطلب إتلافها، وإتلاف كل النسخ في أنظمتك بما في ذلك الاحتياطية. أي: ملف التصدير على جهازك، والنسخة السحابية، والرسالة التي أرسلتها لنفسك، وجهات الاتصال في أدوات التسويق المرتبطة بالمتجر.
وتُكمل المادة الحادية والأربعون الصورة: يلتزم كل من باشر عملاً من أعمال معالجة البيانات بالمحافظة على الأسرار المتعلقة بها حتى بعد انتهاء علاقته الوظيفية أو التعاقدية. فالالتزام لا ينتهي بانتهاء الصفقة.
المشتري: لا تُطلق حملة على القائمة الموروثة
أول ما يفكر فيه مشترٍ جديد رسالة ترحيب أو كوبون لكل العملاء السابقين، وهنا يحتاج تمهّلاً. المادة الخامسة والعشرون تمنع استخدام وسائل الاتصال الشخصية لإرسال مواد دعائية إلا بموافقة المتلقي المستهدف ومع آلية واضحة لإيقافها، والمادة السادسة والعشرون تجيز المعالجة لأغراض تسويقية إذا جُمعت البيانات من صاحبها مباشرةً ووافق على ذلك. وتضيف اللائحة في مادتيها الثامنة والعشرين والتاسعة والعشرين: ذكر اسم الجهة المرسلة بوضوح، وأن يكون الإيقاف سهلاً ومماثلاً أو أسهل من الموافقة وبلا مقابل مالي، والتوقف فوراً عند الطلب، والاحتفاظ بما يثبت الموافقة. وتشترط مادتها الحادية عشرة أن تصدر الموافقة بإرادة حرة، وأن تكون الأغراض محددة، وأن تكون الموافقة مستقلة لكل غرض وموثَّقة بوسيلة تتيح التحقق منها لاحقاً.
فالسؤال الذي يستحق أن يُطرح في الفحص ليس «كم عميلاً في القائمة؟» بل «كم منهم وافق على التسويق، وأين سجلّ الموافقات؟». قائمة بعشرين ألف رقم بلا سجل موافقات أقل قيمة تشغيلية من قائمة بألفين موثّقة، ويمكن ضمّ السؤال إلى أسئلة تسألها لبائع المتجر.
ما يُكتب في العقد
بنود البيانات تُكتب صريحة لا تُترك للعُرف. وبقية بنود العقد في عقد بيع متجر إلكتروني: 12 بنداً، وهذه إضافاتها:
- ما يُسلَّم. وصف فئات البيانات المنقولة بدقة (طلبات، عناوين توصيل، مشتركو القائمة البريدية)، وما لا يُنقل.
- لحظة الانتقال. تاريخ محدد يصبح فيه المشتري جهة التحكم، لأن المسؤولية قبله وبعده مختلفة.
- إقرار بمشروعية الجمع. أن البيانات جُمعت وفق النظام وأن سياسة الخصوصية كانت متاحة، مع إفادة عن أي حادثة تسرّب سابقة.
- الإتلاف والسرية. تعهّد البائع بإتلاف نسخه كلها بما فيها الاحتياطية خلال مدة محددة وإشعار المشتري كتابةً، والتزام سرية يشمل موظفيه.
- سجلات الموافقات. ما يثبت موافقات التسويق، وسياسة الخصوصية المعلنة، وسجل أنشطة المعالجة إن وُجد.
وسجل أنشطة المعالجة ليس اختيارياً: المادة الحادية والثلاثون من النظام والمادة الثالثة والثلاثون من اللائحة تُلزمان جهة التحكم بسجل مكتوب يشمل الغرض وفئات البيانات ومدد الاحتفاظ والجهات التي يُفصح لها، ويُحفظ خمس سنوات بعد انتهاء النشاط.
التسرّب والعقوبات
المادة العشرون تُلزم جهة التحكم بإشعار الجهة المختصة عند علمها بتسرّب أو تلف أو وصول غير مشروع، وبإشعار صاحب البيانات إذا كان من شأن الحادثة أن ترتب ضرراً عليه. والمادة الرابعة والعشرون من اللائحة تحدّد المدة: ألا يتجاوز الإشعار 72 ساعة من وقت العلم بالحادثة. وهذا سبب عملي كافٍ لتقليل عدد النسخ من الأساس: ما لم يُصدَّر لا يتسرّب.
أما العقوبات فالمادة الخامسة والثلاثون تنصّ على السجن مدة لا تزيد على سنتين وغرامة لا تزيد على ثلاثة ملايين ريال، أو إحدى العقوبتين، لمن أفصح عن بيانات حساسة أو نشرها مخالفاً أحكام النظام بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية. والمادة السادسة والثلاثون، في غير ذلك، تنصّ على الإنذار أو غرامة لا تزيد على خمسة ملايين ريال. وهذه حدود قصوى تقدّرها الجهة المختصة بحسب نوع المخالفة وجسامتها، لا عقوبات تلقائية.
قائمة فحص سريعة
- سياسة الخصوصية منشورة ومحدَّثة، وتذكر الجهات التي قد يُفصح لها.
- لا بيانات شخصية في مرحلة الفحص، ولا تبادل لصور الهويات.
- تاريخ انتقال التحكم مكتوب في العقد.
- سجل موافقات التسويق مسلَّم أو مُعلَن غيابه.
- إتلاف نسخ البائع -بما فيها الاحتياطية- بمدة محددة وإشعار كتابي.
- مراجعة أي أداة تسويق أو شحن ما زالت تحمل بيانات العملاء.
ولمن يستلم متجراً، الخطوة الأولى بعد التسليم مراجعة الصلاحيات ومن يملك وصولاً إلى بيانات العملاء، وهي جزء من قائمة تسليم المتجر.
أسئلة شائعة
هل يحق لي أصلاً بيع قائمة عملاء متجري وحدها؟
بيع ملف عملاء منفصلاً عن نشاطه أصعب الحالات نظاماً، لأن المادة العاشرة تقصر المعالجة على الغرض الذي جُمعت البيانات من أجله، والمادة الخامسة تجعل تغيير الغرض مرهوناً بموافقة صاحبها. أما نقل النشاط كله مع مواصلة الغرض نفسه فحالة مختلفة تبقى خاضعة لضوابط الإفصاح والحد الأدنى. وتقدير حالتك يحتاج مستشاراً نظامياً أو رأياً من الجهة المختصة.
متجري على منصة مثل سلة أو زد، فهل المسؤولية عليّ أم على المنصة؟
المنصة التي تعالج البيانات لمصلحتك ونيابةً عنك تقع في وصف «جهة المعالجة» بحسب المادة الأولى، وأنت تبقى جهة التحكم لأنك من يحدّد الغرض. والمادة الثامنة تُلزمك باختيار جهة معالجة توفّر الضمانات اللازمة والتحقق من التزامها، وتنصّ على أن ذلك لا يخلّ بمسؤولياتك. فكون البيانات داخل منصة لا ينقل المسؤولية عنك.
هل أحتاج تعيين مسؤول لحماية البيانات الشخصية لمتجر صغير؟
المادة الثانية والثلاثون من اللائحة تحدّد ثلاث حالات يجب فيها التعيين: جهة عامة تقدّم خدمات تتضمن معالجة على نطاق واسع، أو نشاط أساسي يقوم على معالجة تتطلب بطبيعتها مراقبة منتظمة وممنهجة لأصحاب البيانات، أو نشاط يقوم على معالجة بيانات حساسة. ومتجر تجزئة إلكتروني عادي لا يقع فيها بالضرورة، ويجوز أن يكون المسؤول متعاقداً خارجياً لا موظفاً.
العميل طلب إتلاف بياناته بعد أن اشتريت المتجر، فماذا أفعل؟
المادة الثامنة من اللائحة تُلزم جهة التحكم بالإتلاف تنفيذاً لطلب صاحب البيانات، أو إذا لم تعد ضرورية للغرض، أو إذا عدل عن موافقته وكانت الموافقة هي المسوّغ الوحيد. والمادة الثالثة منها تعطي مدة تنفيذ لا تتجاوز ثلاثين يوماً، قابلة للتمديد ثلاثين يوماً بإشعار مسبق مبرَّر. ويبقى استثناء المادة الثامنة عشرة لما يوجب نظام آخر الاحتفاظ به مدة محددة، كالمستندات الضريبية.
الخلاصة
بيانات العملاء أثقل بند في صفقة متجر إلكتروني وأقلّها ذكراً في المحادثات. ثلاث قواعد تكفي: في الفحص لا تُشارك إلا أرقاماً مجمّعة وعيّنات مموّهة؛ وفي العقد اكتب فئات البيانات المنقولة وتاريخ انتقال التحكم وإقرار مشروعية الجمع والتزام الإتلاف وسجلات الموافقات؛ وبعد التسليم أتلف كل نسخة لديك وأشعر المشتري كتابةً. وللمشتري قاعدة رابعة: لا حملة تسويقية على قائمة موروثة قبل التحقق من الموافقات.
وفي متاجر هب، سوق بيع وشراء المتاجر الإلكترونية، تبدأ المحادثة بين المشتري والبائع داخل المنصة، ويُدفع المبلغ في ضمان مالي لا يُفرج عنه للبائع إلا بعد نقل الملكية وتأكيد المشتري للاستلام — وهي اللحظة التي يُفترض أن تنتقل فيها فئات البيانات المكتوبة في العقد، لا قبلها. تصفّح المتاجر المعروضة للبيع.
هذا المقال معلومات عامة لا استشارة قانونية، مبني على نصوص نظام حماية البيانات الشخصية ولائحته التنفيذية كما نُشرت في منصة حوكمة البيانات الوطنية وقُرئت في 19 أكتوبر 2026. الأنظمة تُعدَّل، فاقرأ النص الرسمي بتاريخ صفقتك واستعن بمستشار نظامي.