حاسبة تكلفة الامتثال لنظام حماية البيانات الشخصية PDPL في السعودية
قدّر التكلفة الكاملة لامتثال شركتك التقنية لنظام حماية البيانات الشخصية السعودي: السياسات، سجل أنشطة المعالجة، مسؤول حماية البيانات، التدريب، والتدابير التقنية، خلال دقيقة واحدة وبدون رسوم.
الملخص السريع
نظام حماية البيانات الشخصية السعودي (PDPL) إلزامي على شركات التقنية والمنصات الرقمية، وقد بدأ التنفيذ الكامل في 14 سبتمبر 2024 بعد انتهاء المهلة التصحيحية. التكلفة الكاملة للامتثال تجمع بين السياسات والوثائق، وسجل أنشطة المعالجة، ومسؤول حماية البيانات، والتدريب والتوعية، والتدابير التقنية وجاهزية الاستجابة لحوادث التسرب. هذه الحاسبة تبني ميزانية تقديرية من مدخلات تكلفة تتحكم بها بنفسك، وتعرض تفصيل البنود والسيناريوهات والجدول الزمني التقديري للجاهزية، مع الإشارة إلى أصل التزامك وفق القواعد الصادرة عن سدايا.
مقدمة: لماذا تكلفة الامتثال مفقودة من حسابات المنشآت؟
أصبح نظام حماية البيانات الشخصية جزءًا من البيئة النظامية للسوق السعودي، وتولت الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» الإشراف على تطبيقه ولوائحه التنفيذية. كثير من شركات التقنية وSaaS تجمع بيانات شخصية لعملائها وموظفيها دون أن توضع في ميزانيتها بند واضح لملف الامتثال الكامل.
السبب أن تكلفة الامتثال مشتتة: استشارات التقييم، صياغة السياسات، بناء سجل المعالجة، تعيين مسؤول حماية البيانات، التدريب، وأدوات تقنية. هذه الحاسبة تجمع كل تلك البنود في نموذج تقديري واحد يعتمد على مدخلات تحددها أنت، لأن أسعار هذه الخدمات متغيرة وتُحدد بعروض السوق وليست رسومًا حكومية ثابتة.
المقصود بهذه الحاسبة: مسؤولو حماية البيانات، مدراء الامتثال، مؤسسو الشركات الناشئة، ومسؤولو التقنية في المنشآت الصغيرة والمتوسطة التي تحتاج رقمًا مبدئيًا موثقًا بالمنهجية قبل التفاوض مع الموردين.
الأداة: قدّر التكلفة الكاملة للامتثال
أدخل بيانات منشأتك ثم اضغط «احسب التكلفة الآن» للحصول على تقدير التكلفة الكاملة وتفصيلها وسيناريوهاتها.
النتيجة
تفصيل البنود
خطوات الحساب (تعويض القيم في المعادلة)
توصيات عملية
كيف تستخدم الحاسبة؟
- أدخل عدد الموظفين وعدد الأنظمة التي تعالج بيانات شخصية، وحدد حجم قاعدة البيانات.
- أجب عن الأسئلة الثلاثة المتعلقة بالبيانات الحساسة والنقل خارج المملكة والرصد المنتظم، واختر طريقة اعتماد مسؤول حماية البيانات.
- افتح «خيارات متقدمة» لضبط تقديرات التكلفة لتناسب عروض الأسعار الفعلية لدى منشأتك، أو اترك الافتراضات كما هي.
- اضغط «احسب التكلفة الآن» وستنتقل تلقائيًا إلى النتيجة التي تتضمن البنود وسيناريوهات الحالات الثلاث ومراحل الحساب.
- انسخ النتيجة أو شارك رابطًا محفوظًا، أو اطبع الصفحة لضمها إلى ميزانية الامتثال.
منهجية الحساب
التقدير مبني على نموذج إحصائي مفتوح يقسم تكلفة الامتثال إلى بندين رئيسيين: التكلفة التأسيسية لمرة واحدة، والتكلفة المتكررة السنوية، على أفق زمني يبلغ 3 سنوات.
يعتمد النموذج على مبدأ أن التكلفة الحقيقية ترتبط بعدد الأنظمة وعدد الموظفين وطبيعة البيانات، ولأن أسعار الخدمات متغيرة فإن جميع بنود التكلفة قابلة للتعديل، وتظهر الافتراضات المستخدمة في النتيجة حتى يتسنى تتبع مصدر كل رقم.
- تكلفة التأسيس = تقييم الفجوة + السياسات والوثائق + سجل أنشطة المعالجة + تقييم أثر عند الحساسية + التدابير التقنية (لكل نظام × عددها) + جاهزية الاستجابة للحوادث.
- التكلفة المتكررة السنوية = مسؤول حماية البيانات + التدريب (لكل موظف × عددهم) + تراخيص ودعم الأدوات + المراجعة والتدقيق الدوري.
- التكلفة الإجمالية على 3 سنوات = تكلفة التأسيس + (التكلفة المتكررة السنوية × 3).
سيناريوهات الحالات الثلاث: الحالة المتوقعة هي القيمة المحسوبة مباشرة، والحالة المثالية أقل بنسبة 20%، والحالة الأسوأ أعلى بنسبة 50%، لتعكس تقلب عروض الموردين والظهور المحتمل لنفقات غير متوقعة.
المعادلة
التكلفة الإجمالية (3 سنوات) = تكلفة التأسيس + (التكلفة المتكررة السنوية × 3)
مثال على تعويض القيم في المعادلة
لنفترض منشأة حجمها 15 موظفًا و4 أنظمة وبدون بيانات حساسة أو نقل خارجي، مع تعاقد خارجي لمسؤول البيانات، والمسارات الافتراضية للبنود:
تكلفة التأسيس = 12,000 + 15,000 + 8,000 + 0 + (3,500 × 4 = 14,000) + 5,000 = 54,000 ريال.
التكلفة المتكررة السنوية = 36,000 + (400 × 15 = 6,000) + 3,000 + 5,000 = 50,000 ريال.
التكلفة الإجمالية على 3 سنوات = 54,000 + (50,000 × 3 = 150,000) = 204,000 ريال.
جرّب إدخال نفس المدخلات في الحاسبة أعلاه لتتأكد من تطابق النتيجة، ثم عدّل البنود لتتناسب مع عروضك الفعلية.
أمثلة عملية على تكلفة الامتثال
منصة SaaS ناشئة تبيع خدمة برمجية لعملاء أعمال
10 موظفين، 3 أنظمة، قاعدة أقل من 10 آلاف، بلا بيانات حساسة ولا نقل خارجي، رصد تسويقي إعلاني (النشاط الأساسي لا يقوم على رصد منتظم)، بتعاقد خارجي لمسؤول البيانات.
التأسيس = 12,000 + 15,000 + 8,000 + 0 + 10,500 + 5,000 = 50,500 ريال.
السنوية = 36,000 + 4,000 + 3,000 + 5,000 = 48,000 ريال.
الإجمالي على 3 سنوات = 50,500 + 144,000 = 194,500 ريال.
منصة توصيل وخدمات قائمة على الموقع
50 موظفًا، 8 أنظمة، قاعدة من 10 آلاف إلى 100 ألف، تتبع مواقع بشكل مستمر (رصد منتظم منهجي)، مما يُرجِّح لزوم تعيين مسؤول حماية البيانات وفق قواعد سدايا، بموظف داخلي جزئي.
التأسيس = 12,000 + 15,000 + 8,000 + 0 + 28,000 + 5,000 = 68,000 ريال.
السنوية = 60,000 + 20,000 + 3,000 + 5,000 = 88,000 ريال.
الإجمالي على 3 سنوات = 68,000 + 264,000 = 332,000 ريال.
مزود حلول SaaS للقطاع الصحي
120 موظفًا، 12 نظامًا، قاعدة تفوق 100 ألف، معالجة بيانات حساسة ونقل عبر الحدود، ومسؤول حماية بيانات داخلي جزئي.
التأسيس = 12,000 + 15,000 + 8,000 + 12,000 + 42,000 + 5,000 = 94,000 ريال.
السنوية = 60,000 + 48,000 + 3,000 + 5,000 = 116,000 ريال.
الإجمالي على 3 سنوات = 94,000 + 348,000 = 442,000 ريال.
شركة تطوير تطبيقات صغيرة
5 موظفين، نظامان، قاعدة أقل من 10 آلاف، بلا بيانات حساسة ولا نقل خارجي ولا رصد منتظم، بتكليف موظف حالي بمهام مسؤول البيانات.
التأسيس = 12,000 + 15,000 + 8,000 + 0 + 7,000 + 5,000 = 47,000 ريال.
السنوية = 18,000 + 2,000 + 3,000 + 5,000 = 28,000 ريال.
الإجمالي على 3 سنوات = 47,000 + 84,000 = 131,000 ريال.
مقارنة: مسؤول حماية البيانات داخلي جزئي أو خارجي متعاقد
| العنصر | موظف داخلي بوقت جزئي | التعاقد الخارجي |
|---|---|---|
| التكلفة السنوية التقديرية | أعلى عادة وتُقدَّر افتراضيًا بـ60,000 ريال | تُقدَّر افتراضيًا بـ36,000 ريال وقد تقل مع صغر المنشأة |
| الاستقلالية وتجنب تضارب المصالح | محدودة؛ المسؤول موظف ضمن المنشأة | أعلى استقلالية عند التعاقد مع جهة متخصصة |
| التوفر والاستمرارية | متوفر يوميًا لكنه قد ينشغل بمهام أخرى | متوفر عبر الاتفاقية والدعم، ويعتمد على جودة العقد |
| الخبرة المتخصصة | تُبنى داخل المنشأة مع الوقت والتعليم | خبرة جاهزة لدى جهة متخصصة |
| التواصل مع سدايا ومنصة الحوكمة الوطنية | موظف المنشأة يتابع التسجيل والطلبات | ممثل متخصص يدعم في التسجيل والتقييم الذاتي |
| الأنسب لـ | منشآت كبيرة أو معالجة حساسة واسعة النطاق | منشآت صغيرة ومتوسطة تريد خبرة فورية بتكلفة مرنة |
مقارنة: سيناريوهان مختلفان لمنشآت تقنية
| العنصر | منصة SaaS تعالج بيانات عادية | منصة رقمية تعالج بيانات حساسة على نطاق واسع |
|---|---|---|
| الأمثلة على النشاط | أداة إدارة مشاريع لعملاء أعمال | حلول سحابية صحية أو مالية تعتمد على بيانات العملاء |
| مسؤول حماية البيانات | احتمال أقل للزوم التعيين ما لم يوجد رصد منتظم منهجي | التعيين يُرجَّح لزومه لأن النشاط الأساسي يقوم على بيانات حساسة |
| تقييم أثر حماية البيانات | يتوقف على المعالجة عالية الخطورة وعلى أحكام اللائحة | مطلوب عادة قبل الشروع في المعالجات عالية الخطورة |
| سجل أنشطة المعالجة | أوسع عادة في مدى التوثيق المطلوب لاستمرارية الالتزام | أوسع من حيث التفصيل لتنوع فئات البيانات وأغراض المعالجة |
| التدابير التقنية والأمنية | الحد الأدنى من التشفير والصلاحيات والمراقبة | ضوابط أعمق وتشفير موسع ومراجعة دورية أوثق |
| التكلفة السنوية النموذجية (تقديرية) | فتنحصر غالبًا بين عشرات الآلاف من الريالات | أعلى وقد تتجاوز مئات الآلاف من الريالات سنويًا |
الإنفوجرافيك الأول: مراحل رحلة الامتثال
الإنفوجرافيك الثاني: متى يجب تعيين مسؤول حماية البيانات؟
أخطاء شائعة عند حساب تكلفة الامتثال
- الاعتقاد أن النظام يخص الجهات الكبيرة فقط: النظام يلزم جهات التحكم كافة داخل المملكة، مهما صغر حجم المنشأة.
- إهمال جاهزية الإخطار عن تسرب البيانات خلال 72 ساعة من العلم بالحادثة، وهي من أبرز ما رصدته لجان النظر في المخالفات.
- معاملة سياسة الخصوصية كوثيقة شكلية، بينما تُعد التزامًا نظاميًا يعكس ممارساتك الفعلية.
- جمع بيانات أكثر من الحد الأدنى اللازم للغرض، وتجاهل مبدأ الحد الأدنى من البيانات.
- إغفال التعاقدات مع جهات المعالجة وعدم تنظيم العلاقة التعاهدية المتعلقة بالبيانات.
- اعتبار أن ميزانية الامتثال بند واحد فقط، بينما التكلفة الحقيقية تتوزع بين بند تأسيسي وبند متكرر سنوي.
- الحساب اعتمادًا على سعر واحد مأخوذ من مورد واحد دون مقارنة عروض متعددة.
الأسئلة الشائعة
هل نظام حماية البيانات الشخصية إلزامي على شركة التقنية أو SaaS؟
نعم، النظام إلزامي على جميع جهات التحكم وجهات المعالجة للبيانات الشخصية داخل المملكة، بما يشمل شركات التقنية والمنصات الرقمية التابعة للقطاع التقني، وقد بدأ التنفيذ الكامل للنظام في 14 سبتمبر 2024 بعد انتهاء المهلة التصحيحية. لا تمنح الحاسبة أي إعفاء من الالتزام، بل تساعدك على تقدير تكلفة الامتثال ومستلزماته.
متى يجب تعيين مسؤول حماية البيانات الشخصية؟
وفق قواعد تعيين مسؤول حماية البيانات الصادرة عن سدايا، يجب على جهة التحكم تعيين مسؤول حماية البيانات في أي من الحالات الآتية: إذا كانت الجهة جهة عامة تقدم خدمات تتضمن معالجة للبيانات الشخصية على نطاق واسع، أو إذا كان النشاط الأساسي للجهة قائمًا على معالجة تتطلب رصدًا منتظمًا ومنهجيًا لأصحاب البيانات، أو إذا كان النشاط الأساسي قائمًا على معالجة بيانات حساسة.
ما العقوبات عند مخالفة أحكام نظام حماية البيانات الشخصية؟
يصل الحد الأقصى لغرامة غالب مخالفات النظام إلى 5 ملايين ريال وتُضاعف الغرامة عند تكرار المخالفة، وقد تصل عقوبة الإفصاح بقصد عن البيانات الحساسة بقصد الإضرار إلى السجن مدة لا تزيد على سنتين وغرامة لا تزيد على 3 ملايين ريال، مع بقاء حق أصحاب البيانات في التعويض المدني عن الضرر الذي لحق بهم.
كم تبلغ تكلفة الامتثال الكامل لنظام PDPL تقريبًا؟
لا توجد رسوم حكومية ثابتة تُدفع مقابل الامتثال؛ فالتكلفة تعتمد على تعقيد منظومة البيانات لديك وعلى عروض مقدمي الخدمات الاستشارية والتقنية. لهذا تعتمد الحاسبة على مدخلات تكلفة تتحكم بها بنفسك، مثل تكلفة التقييم والسياسات ومسؤول البيانات والتدريب والأدوات التقنية، لبناء تقدير يناسب حالة منشأتك بدلًا من اعتماد رقم ثابت غير دقيق.
هل تشمل الحاسبة رسومًا أو تكاليف حكومية رسمية؟
لا؛ لم تفرض الجهة المختصة رسومًا مالية على الامتثال لذاته، والمبالغ الظاهرة في الحاسبة تقديرات افتراضية استرشادية لمستوى عروض السوق في الخدمات الاستشارية والقانونية والتقنية والتدريبية، ويمكنك تعديلها من الحاسبة نفسها لتطابق العروض الفعلية التي تتلقاها من الموردين.
كم يستغرق بناء ملف الامتثال للنظام؟
يتراوح الجدول الزمني النموذجي للجاهزية بين 6 أسابيع و16 أسبوعًا حسب عدد الأنظمة وحجم البيانات ووجود بيانات حساسة أو نقل عابر للحدود، وتُظهر الحاسبة تقديرًا زمنيًا إرشاديًا بناءً على مدخلاتك، وهو تقدير إداري للمشروع وليس موعدًا نظاميًا ملزمًا.
هل تناسب الحاسبة الشركات الصغيرة والناشئة؟
نعم، صُممت الحاسبة لتناسب المنشآت الصغيرة والمتوسطة في القطاع التقني، ويمكنك ضبط مدخلات التكلفة لتعبّر عن تنفيذ جزئي للمهام داخل المنشأة أو عبر أطراف محدودة، مع بقاء الالتزام النظامي قائمًا كما هو على جهة التحكم.
ماذا أفعل بعد الحصول على التقدير؟
استخدم النتيجة كأساس للميزانية، ثم نفذ الخطوات العملية الآتية: سجّل جهة التحكم في السجل الوطني عبر بوابة حوكمة البيانات الوطنية، وأجرِ التقييم الذاتي للالتزام بأحكام النظام، واطلب عروض أسعار فعلية للبنود الأعلى تكلفة في التفصيل النهائي، واستشر مختصًا قانونيًا عند معالجة بيانات حساسة أو نقل بيانات خارج المملكة.
مصطلحات أساسية
- جهة التحكم
- الشخصية ذات الصفة الطبيعية أو الاعتبارية التي تحدد الغرض من معالجة البيانات الشخصية ووسائلها.
- جهة المعالجة
- الشخصية التي تعالج البيانات الشخصية باسم أو لحساب جهة التحكم.
- مسؤول حماية البيانات الشخصية
- شخص أو أكثر تُعيِّنه جهة التحكم لمتابعة تنفيذ أحكام النظام ولوائحه ومراقبة الإجراءات وتلقي الطلبات المتعلقة بالبيانات الشخصية.
- تقييم أثر حماية البيانات الشخصية
- تقييم الآثار السلبية المحتملة لعمليات المعالجة عالية الخطورة على أصحاب البيانات ووسائل تخفيفها.
- سجلات أنشطة المعالجة
- التوثيق التفصيلي لعمليات جمع ومعالجة البيانات الشخصية وأغراضها ومدد الاحتفاظ بها.
- البيانات الحساسة
- البيانات المرتبطة بأصل الشخص أو معتقده الديني أو صحته أو انتسابه الأمني، والبيانات الوراثية والبيومترية وغيرها مما يعد حساسًا.
- نقل البيانات الشخصية خارج المملكة
- إتاحة البيانات الشخصية أو الإفصاح عنها لجهة خارج المملكة وفق الضوابط النظامية ولائحة نقل البيانات.
- حادثة تسرب البيانات الشخصية
- خرق أمني يؤدي إلى إتلاف البيانات الشخصية أو فقدها أو تعديلها أو الكشف عنها أو الوصول إليها دون ترخيص.
- صاحب البيانات الشخصية
- الشخص الذي تُجمع بياناته الشخصية وتُعالج ويُنسَب إليه الحقوق المنصوص عليها في النظام.
- المعالجة
- أي عملية تُجرى على البيانات الشخصية كالجمع والتخزين والتعديل والاسترجاع والإفصاح والإتلاف.
المراجع الرسمية
- نظام حماية البيانات الشخصية، هيئة الخبراء بمجلس الوزراء (المرسوم الملكي رقم م/19 وتعديله بالمرسوم الملكي رقم م/148): تفاصيل الاعتماد عبر منصة هيئة الخبراء
- باقة أنظمة ولوائح حماية البيانات الشخصية، الهيئة السعودية للبيانات والذكاء الاصطناعي: صفحة الأنظمة واللوائح على موقع سدايا
- اللائحة التنفيذية لنظام حماية البيانات الشخصية، سدايا: ملف اللائحة التنفيذية
- قواعد تعيين مسؤول حماية البيانات الشخصية، سدايا: ملف قواعد تعيين مسؤول حماية البيانات
- دليل نظام حماية البيانات الشخصية لجهات التحكم والمعالجة، بوابة حوكمة البيانات الوطنية: دليل جهات التحكم والمعالجة
- خدمة التقييم الذاتي للالتزام بأحكام نظام حماية البيانات الشخصية، بوابة حوكمة البيانات الوطنية: الخدمة عبر البوابة
- نص نظام حماية البيانات الشخصية (نسخة سدايا): ملف النص الكامل
تم إعداد ومراجعة الحاسبة والمحتوى بواسطة فريق Varnda Smart Tools. لم تُقدَّم أي معلومة كنصيحة قانونية؛ يُرجى الرجوع إلى النصوص واللوائح الرسمية والمختصين قبل اتخاذ القرارات.
الخلاصة
الامتثال لنظام حماية البيانات الشخصية ليس وثيقة واحدة ولا إجراءً واحدًا، بل منظومة تتوزع تكلفتها بين التأسيس والاستمرار. ابدأ بقياس فجوتك وسجلاتك وسياساتك، وحدد وضع مسؤول حماية البيانات وفق قواعد سدايا، ثم أرصد تدريب الموظفين والأدوات التقنية.
استخدم التقدير الذي حصلت عليه كأساس مبدئي للميزانية، وعارض عروض الموردين على بنود التفصيل، وسجّل جهة التحكم في بوابة حوكمة البيانات الوطنية وطبّق التقييم الذاتي للالتزام.
ابدأ الآن بتقدير التكلفة
أدخل بيانات منشأتك واحصل على التقدير الكامل والتفصيلي خلال دقيقة واحدة.
العودة إلى الحاسبة تصفح أدوات أخرى
