简短回答：2026 年 10 月 6 日，Absher 说明，更换手机号码可在其应用内通过 5 个步骤完成，最后一步是生物识别验证。相比之下，在许多企业，客户的号码凭一条 WhatsApp 消息或一通电话就被更改。然而在您的系统中，这个号码不只是联系方式；它是账户的钥匙，登录验证码、发票和对账单都发往这里。不经核实就更改，您可能把账户交给了别人。任其过时不更新，您客户的发票可能落到陌生人手中。《个人数据保护法》实施条例第 22 条要求每次更新都要进行验证、留存记录并发出通知。

Absher 如何更换手机号码？

Absher 在其官方 X 账号上发布了这些步骤。步骤从应用内开始，在登录之前：

  1. 在登录之前选择“数字身份管理”。
  2. 选择“更换手机号码”。
  3. 输入您的身份证号码和出生日期。
  4. 输入新的手机号码，然后选择“更换手机号码”。
  5. 完成生物识别验证以确认更改。

在 2025 年 1 月回复一位用户时，Absher 曾解释说，如果新号码登记在您名下，可以在应用内更换；否则需通过自助服务机，或前往护照部门或民事事务部门的注册与激活人员处办理。服务图片中显示的同一菜单还提供“临时暂停数字身份”选项。

以企业主的视角阅读这些步骤，您会发现 Absher 在接受新号码之前回答了三个问题：您是谁（身份证号码和出生日期），您是否真的是账户持有人（生物识别），以及新号码是否属于您（登记在您名下，否则须现场核实）。公布的步骤中没有提到向旧号码发送验证码，因此核查依据的是人本身，而不是其以前的手机。这是合理的，因为更换号码的人往往已经丢失了旧号码。

客户的手机号码是其账户的钥匙

在许多系统中，从收银系统到网店再到会员积分计划，手机号码所关联的远不止联系方式：

  • 访问：通过短信发送的验证码就是客户进入账户所需的全部。
  • 资金：钱包余额、会员积分，有时还有信用额度。
  • 文件：通过 WhatsApp 发送的发票、对账单和报价单。
  • 催收：付款提醒和应付金额。

因此，号码更改会以两种方式出问题。第一种是不经核实就更改：有人打来电话，自称是客户并说换了新手机，员工更新了记录，于是登录验证码连同余额和积分都流向了诈骗者。第二种是从不更改：客户在没有通知您的情况下弃用了旧号码，而其发票和对账单仍不断发往一个现在可能属于别人的号码。

旧号码现在可能属于别人

电话号码不会永远留在原主人手中。通信、航天与技术委员会发布、经第 1-195-2025 号决定修订的《固定与移动服务号码携带条例》在第 4-14 条中规定：携号转网号码的服务被取消后，运营商会将其保留 90 天，在此期间只能重新分配给同一用户，之后将其退还给最初分配该号码的运营商。第 4-13 条允许运营商接受用户将其携转号码转让给另一用户。

在实践中：您的客户几个月前弃用的号码，今天可能已不属于他，而不了解这一点的系统仍在向其发送信息。保存过时的联系数据不是小小的行政疏忽；它是一扇门，您客户的数据可能经由这扇门流向您不认识的人。

PDPL 实施条例有哪些要求？

《个人数据保护法》由 9/2/1443H 日期的第 M/19 号王室法令颁布，其实施条例刊登于 Umm Al-Qura，并在第 7 条中规定了数据主体请求更正的权利。第 22 条将更正分为三类：更正错误数据、补全不完整数据或更新过时数据。新的手机号码属于第三类。进行更正时，数据控制者，也就是您的企业，必须做四件事：

  • 必要时通过核查证明文件，确保数据准确可靠。
  • 立即通知数据已被披露给的各方，例如与您共享客户数据的配送公司。
  • 更正完成后通知数据主体。
  • 记录对数据所做的每一次更新。

同一条款还补充规定：如果企业发现数据有误且可能损害数据主体，必须暂停处理直至数据更新；一旦得知数据已过时，必须立即更正；并且必须定期核查数据的准确性和时效性。

条例第 1 条将个人数据泄露定义为导致个人数据被披露、损坏或被非法访问的任何事件，无论是否故意。第 24 条要求，如果泄露可能损害数据或数据主体，须在知悉泄露后 72 小时内通知主管机构。发往一个已转给他人的号码的对账单可能属于这一定义；它不只是一条丢失的消息。

如何在不交出账户的情况下更换客户号码？

  • 绝不只凭新号码就接受更改。一条来自陌生手机、自称是某某的消息证明不了任何事。要求对方提供能证明请求者就是客户本人的依据。
  • 根据账户内容匹配核查力度。对于没有余额也没有信用的客户，如果其仍持有旧号码，向旧号码发送验证码可能就足够了。对于有余额、信用条款或敏感数据的账户，如果您的系统已接入 Nafath，就通过 Nafath 验证，或在门店现场出示身份证件验证，正如 Absher 把新号码不在本人名下的人引导到其自助机和办事处一样。我们在 Nafath 国家单点登录集成 一文中介绍过这一集成。
  • 通知两个号码。向新号码发送确认，并向旧号码发送消息，说明联系方式已更改，如非本人申请应联系谁。这满足了第 22 条要求的数据主体通知，并在更改属于欺诈时提醒真正的客户。
  • 更改后暂缓敏感操作。在此类更改后的最初几个小时内，余额提取、新的收货地址或大额赊购订单，都应在执行前经过人工审核。
  • 记录每一次更改。谁提出请求、谁执行更改、旧号码和新号码、时间以及验证方式。这正是第 22 条所说的记录更新，也是客户投诉时您首先需要的东西。
  • 定期核查号码。对于投递失败的消息和长期不活跃的客户，请他们在下次互动时确认号码，而不是想当然。
  • 不要把手机号码作为客户在您系统中的身份标识。为每位客户分配一个固定的内部 ID，把手机号码设为可更改的字段。如果手机号码就是标识，更改它就意味着重建账户及其历史记录，出错的代价也更高。

Origami 的观点

我们把这项服务更多地看作一堂设计课，而不是一条新闻。Absher 并没有让更改变得更难；它把更改搬进了应用，但将其与对人的验证而不是对手机的验证绑定。在这里，便利与安全并不冲突：步骤很少，核查放在正确的位置。

当我们为企业构建系统时，我们把手机号码更改视为一项带有权限、日志和通知的操作，而不是在客户界面上编辑一个字段。我们为每位客户分配固定的内部 ID，根据账户内容分级验证，并自动通知两个号码。这是我们通过 我们的服务 所提供内容的一部分。

结论

  • Absher 在应用内通过 5 个步骤更换手机号码，最后一步是生物识别验证，并将名下没有该号码的人引导至自助服务机或办事处。
  • 在您的系统中，手机号码是账户的钥匙：登录验证码、余额和发票。
  • 根据通信、航天与技术委员会的条例，被取消的携转号码只为原主人保留 90 天，因此不要假定旧号码仍属于您的客户。
  • 实施条例第 22 条要求进行验证、留存记录，并同时通知客户以及您与之共享数据的各方；第 24 条规定须在 72 小时内向主管机构报告有害的泄露。
  • 根据账户内容匹配核查力度，通知两个号码，记录每一次更改，并为每位客户分配一个永不改变的内部 ID。

如需全面了解您的义务，请阅读 我们的《个人数据保护法》实用指南。

资料来源