حماية البيانات الشخصية في صفقات الاستحواذ (PDPL)
في صفقات الاستحواذ تنتقل بيانات شخصية لعملاء وموظفين، ومع نفاذ نظام حماية البيانات الشخصية صارت مصدر مخاطر نظامية. يشرح هذا الدليل إدارة حماية البيانات في الصفقة من الفحص النافي للجهالة حتى ما بعد الإتمام.
6 دقائق قراءة · أكتوبر 2026
في صفقات الاستحواذ والاندماج تنتقل بين الطرفين أصول ومعلومات، ومن بينها البيانات الشخصية لعملاء وموظفين وموردين. ومع نفاذ نظام حماية البيانات الشخصية ولائحته التنفيذية في السعودية، صارت هذه البيانات مصدر مخاطر نظامية يجب فحصها وإدارتها في كل مرحلة من مراحل الصفقة. يشرح هذا الدليل كيف تُدار حماية البيانات في صفقات الاستحواذ، من الفحص النافي للجهالة حتى ما بعد الإتمام، ويحيل إلى مقالاتنا المتخصصة.
لم تعد حماية البيانات بندًا هامشيًا يُترك لفريق تقني في آخر مراحل الصفقة. فهي اليوم جزء من تقدير قيمة الشركة المستهدفة ومن توزيع المخاطر بين الطرفين، وقد تؤثر في السعر وفي بنود العقد نفسها. ولأن المشتري يرث وضع المستهدفة كما هو، فإن إغفال هذا الجانب قد يحوّل صفقة ناجحة ظاهريًا إلى باب مفتوح على التزامات لم تُحسب. من هنا يبدأ هذا الدليل من مبدأ واحد: البيانات مسألة قانونية تُدار من أول يوم في الصفقة.
لماذا تهم حماية البيانات في الصفقة؟
الشركة المستهدفة قد تحتفظ بقواعد بيانات ضخمة لعملائها وموظفيها. وأي خلل في جمع هذه البيانات أو معالجتها أو نقلها خارج المملكة قد يتحول بعد الاستحواذ إلى التزام يتحمله المشتري. فالمشتري لا يشتري الأصول فحسب، بل يرث أيضًا المخالفات القائمة ومخاطرها. لذلك أصبح تقييم الامتثال لنظام حماية البيانات جزءًا أصيلًا من الفحص النافي للجهالة، لا ملحقًا شكليًا.
الجهة المشرفة على النظام هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وقد أوضحنا الإطار العام للنظام في مقال الدليل الشامل للامتثال لنظام حماية البيانات الشخصية، وهو مرجع مفيد قبل الدخول في تفاصيل الصفقة.
المبادئ التي تحكم التعامل مع البيانات
يقوم النظام على مبادئ عامة يجب أن يلتزم بها كل من يعالج بيانات شخصية. أهمها أن تكون للمعالجة أساس نظامي، وأن تقتصر البيانات على ما تقتضيه الحاجة للغرض المحدد، وأن يُفصح لصاحب البيانات عن الغرض، وأن تُحفظ البيانات وتُحمى من التسرب، وأن يُقيَّد نقلها خارج المملكة بضوابط. وفي سياق الصفقة، يعني ذلك أن مجرد «مشاركة» قواعد البيانات في غرفة البيانات قد يُعد معالجة تحتاج إلى أساس نظامي وضوابط حماية، لا تصرفًا تجاريًا حرًا.
حقائق أساسية
| البند | التفصيل |
|---|---|
| النظام الحاكم | نظام حماية البيانات الشخصية ولائحته التنفيذية |
| الجهة المشرفة | الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) |
| البيانات المعنية في الصفقة | بيانات العملاء والموظفين والموردين التي تحتفظ بها المستهدفة |
| موضع الفحص | ضمن الفحص النافي للجهالة قبل الإتمام |
| النقل خارج المملكة | مقيّد بضوابط نظامية يجب التحقق من استيفائها |
| المسؤولية | قد يرث المشتري مخالفات المستهدفة ومخاطرها بعد الإتمام |
مراحل إدارة البيانات في الصفقة
قبل الفحص: غرفة البيانات
عند فتح غرفة البيانات، يجب التمييز بين المعلومات التجارية والبيانات الشخصية. يُفضَّل في المراحل الأولى مشاركة بيانات مجمّعة أو مموّهة الهوية بدل الكشف عن بيانات أفراد بعينهم. فإذا لزم كشف بيانات شخصية، فيكون بأساس نظامي واتفاق سرية يحدد الغرض ويمنع إعادة الاستخدام.
أثناء الفحص النافي للجهالة
يفحص المشتري مدى امتثال المستهدفة: هل لديها سياسات خصوصية وسجل معالجة؟ هل تحصل على الأساس النظامي اللازم؟ هل نقلت بيانات خارج المملكة دون ضوابط؟ هل سبق أن وقع لديها تسرب للبيانات وكيف عولج؟ يُبنى على هذا الفحص تقدير للمخاطر يُترجم إلى تعديل في السعر أو ضمانات أو شروط.
في عقد الصفقة
تُدرَج في العقد إقرارات وضمانات بشأن امتثال المستهدفة لنظام حماية البيانات، وتعويضات عن أي مخالفة سابقة تظهر بعد الإتمام، وشروط معالجة لأي بيانات تُنقل بين الطرفين. وقد شرحنا بنية هذه العقود في مقال دليل عمليات الاندماج والاستحواذ في السوق السعودية.
خطوات عملية
- ضع البيانات ضمن نطاق الفحص. اعتبر الامتثال لحماية البيانات بندًا مستقلًا في قائمة الفحص لا تفصيلًا تقنيًا.
- صنّف البيانات. ميّز البيانات الشخصية عن غيرها، وحدّد البيانات الحساسة التي تستوجب حماية أعلى.
- افحص أسس المعالجة. تحقق من وجود أساس نظامي لكل معالجة قائمة لدى المستهدفة.
- راجع النقل خارج المملكة. تأكد من استيفاء ضوابط النقل لأي بيانات تُعالَج أو تُخزَّن خارج السعودية.
- قدّر المخاطر وترجمها. حوّل نتائج الفحص إلى تعديل سعر أو ضمانات أو شروط إتمام.
- خطّط لما بعد الإتمام. ضع خطة دمج تضمن استمرار الامتثال وتصحيح أي خلل موروث خلال مدة محددة.
أخطاء شائعة
- كشف بيانات أفراد بعينهم في غرفة البيانات دون أساس نظامي أو اتفاق سرية كافٍ.
- اعتبار حماية البيانات مسألة تقنية بحتة وإخراجها من نطاق الفحص القانوني.
- إغفال نقل البيانات خارج المملكة والتعامل معه كأمر تلقائي بلا ضوابط.
- الاكتفاء بوجود سياسة خصوصية شكلية دون التحقق من تطبيقها الفعلي.
- عدم إدراج تعويضات واضحة عن المخالفات السابقة التي قد تظهر بعد الإتمام.
- تجاهل خطة الدمج، فيبقى الخلل الموروث قائمًا ويتحول إلى مسؤولية على المشتري.
البيانات بوصفها أصلًا والتزامًا في آن
قواعد بيانات العملاء في كثير من الصفقات جزء من قيمة الشركة المستهدفة؛ فهي تعكس قاعدة سوقية وعلاقات قائمة. لكن القيمة والالتزام وجهان لعملة واحدة: البيانات التي تُجمع وتُدار بأساس نظامي سليم أصلٌ يُعتدّ به، والبيانات التي جُمعت أو عولجت بالمخالفة عبءٌ قد يفوق قيمتها. لذلك فإن تقييم «أصل البيانات» في الصفقة لا يكتمل دون تقييم مدى نظاميته؛ فرقم قاعدة العملاء وحده لا يعني شيئًا ما لم يُعرف كيف بُني.
ويظهر هذا التلازم بوضوح في مسألة الغرض. فالبيانات التي جُمعت لغرض محدد قد لا يجوز استخدامها بعد الاستحواذ لغرض مختلف دون أساس جديد. أي أن المشتري الذي يخطط لدمج قواعد العملاء أو إعادة توجيه التسويق إليهم يجب أن يتحقق من أن ذلك متسق مع الغرض الذي أُبلغ به أصحاب البيانات، وإلا احتاج إلى معالجة الوضع نظاميًا قبل التنفيذ. تجاهل هذا البعد يحوّل خطة الدمج التسويقية إلى مصدر مخالفة. ولذلك يُفضَّل أن يُفحَص الغرض الأصلي لجمع البيانات مبكرًا في الصفقة، لا أن يُكتشف تعارضه مع خطة المشتري بعد الإتمام حين يصعب التراجع.
البيانات الحساسة ودورها في تقدير المخاطر
ليست كل البيانات على درجة واحدة من الحساسية. فبعض البيانات — كالبيانات الصحية أو المالية أو ما يكشف الحالة الاجتماعية — يُعامل بحماية أعلى في النظام، وتزيد مخاطر الإخفاق في التعامل معه. ومن ثم فإن الشركة المستهدفة التي يرتكز نشاطها على بيانات حساسة (كمنشأة صحية أو جهة تمويل) تحمل مخاطر بيانات أعلى يجب أن تنعكس في تقدير الصفقة. ويُفترض أن يُفرد الفحص لهذه الفئة معاملة خاصة: من يصل إليها؟ وكيف تُخزَّن؟ وهل تُشارَك مع أطراف خارجية؟ وما أساس هذه المشاركة؟
كذلك تستحق البيانات المنقولة إلى معالِجين خارجيين عناية خاصة. فكثير من الشركات تعهد بمعالجة بياناتها إلى مزوّدي خدمات سحابية أو تشغيلية، وتبقى مسؤولة عن سلامة هذه المعالجة. لذلك يفحص المشتري عقود المعالجة القائمة: هل تتضمن التزامات حماية كافية؟ وهل تنظّم النقل خارج المملكة؟ أي خلل هنا ينتقل أثره إلى المشتري بعد الإتمام.
دور شرط حماية البيانات في اتفاق السرية
يبدأ ضبط البيانات من أول مستند في الصفقة: اتفاق السرية. فهذا الاتفاق يجب ألا يكتفي بحماية الأسرار التجارية، بل ينظّم أيضًا التعامل مع أي بيانات شخصية تُكشف أثناء المحادثات: الغرض من الكشف، ومنع إعادة الاستخدام، والتزام الإتلاف أو الإعادة عند توقف المفاوضات. إغفال هذا البعد في اتفاق السرية يترك ثغرة مبكرة قد تتحول إلى مخالفة قبل أن تبدأ الصفقة فعلًا، ويُضعف موقف الطرفين إن توقفت المفاوضات وبقيت بيانات مكشوفة بلا ضابط ينظّم مصيرها.
ما بعد الإتمام
لا تنتهي المسؤولية بإتمام الصفقة. فالكيان الدامج يصبح مسؤولًا عن البيانات التي انتقلت إليه، وعليه مواءمة سياسات الخصوصية وإجراءات الحماية وسجلات المعالجة، وإخطار أصحاب البيانات عند الاقتضاء بما يتسق مع النظام. وأي تسرب للبيانات بعد الإتمام يُعالَج وفق النظام ويُبلَّغ الجهة المختصة خلال المدة المحددة نظامًا ودون تأخير. ومن ثم فإن خطة الدمج الجيدة تحمي قيمة الصفقة نفسها.
ويُنصح بأن تتضمن خطة الدمج فترة محددة لتصحيح أي خلل موروث: مراجعة أسس المعالجة، وتحديث العقود مع المعالِجين، وإعادة فحص عمليات النقل خارج المملكة، وإغلاق الثغرات التي كشفها الفحص. فالمخاطر التي قُبلت وقت الصفقة مقابل ضمانات أو خفض سعر لا تُعالَج بالضمان وحده، بل تحتاج إلى تصحيح فعلي يمنع تكرارها تحت مظلة المشتري.
ومن حسن التدبير أن يُحدَّد مسؤول واضح عن حماية البيانات في الكيان بعد الدمج، تُسنَد إليه متابعة خطة التصحيح والإشراف على الامتثال المستمر. فتوزيع المسؤولية بوضوح يمنع ضياع الملفات بين الفريقين المندمجين، ويضمن أن ما كُشف في الفحص يُعالَج فعلًا لا أن يبقى حبرًا في تقرير. وبهذا تتكامل حماية البيانات مع بقية جوانب الدمج بدل أن تكون جزيرة منعزلة تُنسى بعد توقيع العقد.
متى تحتاج إلى محامٍ؟
تقاطع قانون الصفقات مع نظام حماية البيانات يتطلب فحصًا دقيقًا، وتمييزًا بين البيانات العادية والحساسة، وصياغة ضمانات وتعويضات محكمة، وخطة دمج واضحة تضمن استمرار الامتثال. تقدّم شركة محمود عادل الثمالي للمحاماة خدمات التقنية وحماية البيانات عبر صفحة التقنية وحماية البيانات، ويمكنك حجز موعد عبر صفحة الحجز لمراجعة جانب البيانات في صفقتك.
هذا المقال للتوعية العامة ولا يُعد استشارة قانونية لحالتك.
أسئلة شائعة
هل مشاركة قواعد البيانات في غرفة البيانات تُعد معالجة؟
نعم، قد تُعد مشاركة البيانات الشخصية معالجة تحتاج إلى أساس نظامي وضوابط حماية. يُفضَّل في المراحل الأولى مشاركة بيانات مجمّعة أو مموّهة الهوية بدل الكشف عن أفراد بعينهم.
هل يرث المشتري مخالفات حماية البيانات لدى المستهدفة؟
في الغالب نعم. المشتري لا يرث الأصول فقط بل المخالفات القائمة ومخاطرها، لذلك يُدرج الامتثال لحماية البيانات في الفحص النافي للجهالة ويُترجم إلى ضمانات وتعويضات.
ما حكم نقل البيانات خارج المملكة في الصفقة؟
نقل البيانات خارج المملكة مقيّد بضوابط نظامية يجب التحقق من استيفائها لأي بيانات تُعالَج أو تُخزَّن خارج السعودية، سواء قبل الصفقة أو بعد الدمج.
ما الجهة المشرفة على نظام حماية البيانات؟
الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) هي الجهة المشرفة على تطبيق النظام ولائحته التنفيذية.
ماذا يجب فعله عند تسرب بيانات بعد إتمام الصفقة؟
يُعالَج التسرب وفق النظام ويُبلَّغ الجهة المختصة خلال المدة المحددة نظامًا ودون تأخير، مع إخطار أصحاب البيانات عند الاقتضاء، ضمن خطة دمج تضمن استمرار الامتثال.