bu · executive_regulation · processed · 77 chunks
[Non-Text] SDAIA الهييه السعوديه للبيانات والذكاء المصطاعي Saudi Data & AI Authority اللثحه التنفيذيه لنظام حمايه البيانات الشخصيه اللغه التنفيذيه لنظام حمايه البيانات الشخصيه الماده الاولي: التعريفات تكون للكلمات والعبارات الوارده في هذه الاليحه المعاني الموضحه امام كل منها في الماده (الاولي) من نظام حمايه البيانات الشخصيه، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 1443/2/9 والمعدل بموجب المرسوم الملكي رقم (م/148) و Tiafظ و بالالفاظ والعبارات الاتيه - اينما وردت في هذه اللايحه - المعاني الموضحه امام كل منها، ما لم يقتض السباق غير ذلك: - 1: اللايحه: اللايحه التنفيذيه للنظام. - 2: التسويق المباشر: التواصل مع صاحب البيانات الشخصيه باي وسيله ماديه او الكترونيه مباشره بهدف توجيه ماده تسويقيه، ويشمل ذلك علي سبيل المثال لا الحصر الاعلانات او العروض الترويجيه. - 3: تسرب البيانات الشخصيه: اي حادثه تؤدي الي الاقصاح عن البيانات الشخصيه او töلها او الوصول غير المشروع اليها، سواء كان ذلك بقصد او بغير قصد، وباي وسيله كانت سواء اليه او يدويه. - 4: المصلحه الحيويه: اي من المصالح الضروريه للحفاظ علي حياه صاحب البيانات الشخصيه. - 5: المصلحه المتحقه: اي مصلحه معنويه او ماديه لاصاحب البيانات الشخصيه ترتبط بشكل مباشر بالغرض من معالجه البيانات الشخصيه، وتكون المعالجه ضروريه لتحقيق تلك المصلحه. - 6: المصلحه المشروعه: اي حاجه ضروريه لدي جهه التحكم يتطلب تحقيقها معالجه بيانات شخصيه لغرض محمد، علي الا تؤثر علي حقوق ومصالح صاحب البيانات الشخصيه. - 7: الترميز: تحويل المعرفات الرييسيه التي تدل علي هويه صاحب البيانات الشخصيه الي رموز تجعل من المتعذر تحديد هويه صاحب البيانات الشخصيه بشكل مباشر دون استخدام بيانات او معلومات اضافيه، وان يتم الاحتفاظ بتلك البيانات او المعلومات الاضافيه بشكل منفصل ووضع خواب العينيه والاداريه اللازمه لضمان عدم ربطها بصاحب البيانات الشخصيه بشكل ممدد. - 8- اخفاء الهويه: ازاله المعرفات المباشره وغير المباشره التي تدل علي هويه صاحب البيانات الشخصيه بشكل نهايي يتعذر معه تحديد هويه صاحب البيانات الشخصيه. - 9- الموافقه الصريه: موافقه تمنح بشكل مباشر وصريح من صاحب البيانات الشخصيه باي شكل من الاشكال وتدل علي قبوله بمعالجه بياناته الشخصيه بحيث لا يمكن تفسيرها بخلاف ذلك، وتكون قابله للاثبات. الماده الثانيه: الاستخدم الشخصي او العايلي 1 - لا تسري احكام نظام ولوايحه علي قيام الفرد بمعالجه البيانات الشخصيه لاغراض لا تتجاز الاستخدم الشخصي او العايلي. 2 - يقصد بالاستخدم الشخصي او العايلي المنصوص عليه في الماده الثانيه من النظام قيام الفرد بمعالجه البيانات الشخصيه داخل نطاق اسرته او دايرته الاجتماعيه المحدوده ضمن اي نشاط اجتماعي او عايلي. 4 [Non-Text] SDAIA الهيه السعوديه للبيانات والتداء الوسطاني Saudi Data & AI Authority 3 - لا يعد من قبيل الاستخدم Spalشي او العايلي ما يلي: ا - قيام الفرد بنشر البيانات الشخصيه للجمهور او الاقصاد عنها لاي شخص خارج النطاق المحدد في الفقره (2) من هذه الماده. ب- استخدام البيانات الشخصيه لاغراض ذوات طابع مهني او تجاري وغير رحي. الماده الثالثه: الاحكام العامه لحقوق اصحاب البيانات الشخصيه 1 - علي جهه التحكم عند تلقها طلبا من صاحب البيانات الشخصيه يتعلق بحقوقه المنصوص عليها في النظام القيام بما يلي: ا - تنفيذ طلبات ممارسه الحقوق المنصوص عليها في النظام ذلك لمده لا تتجاوز (ثلاثين) يوما دون تاخير، ولها تمديد ذلك في حال تطلب التنفيذ جهدا اضافيا غير متوقع او غير معتاد او في حال تلقها طلبات متعدده من صاحب البيانات الشخصيه، وذلك بما لا يزيد علي (ثلاثين) يوما اضافيه، بشرط ان تشعر صاحب البيانات الشخصيه مسبقا بالتمديد ومبرراته. ب- تبني الوسايل التقنيه والاداريه والتنظيميه اللازمه لضمان سرعه الاستجابه لطلبات ممارسه الحقوق. ج- اتخاذ الاجراءات والتدابير المناسبه للتحقق من هويه مقدم الطلب قبل تنفيذه بما يتوافق مع الاحكام النظاميه ذوات العلاقه. د- اتخاذ الوسايل اللازمه لتوثيق وحفظ كافه الطلبات المقدمه لها، بما في ذلك الطلبات الشفويه. 2 - في حال كان الطلب متكرا بشكل غير مبرر او يتطلب تنفيذه جهدا غير عادي; يكون لجهه التحكم عدم معالجه الطلب، علي ان يكون ذلك مسبا ويشعر صاحب البيانات الشخصيه به. 3 - في الحالات التي يكون صاحب البيانات الشخصيه ناقصا او عديم الاهليه، يكون لوليه الشرعي ممارسه حقوقه نيابه عنه. الماده الرابعه: الحق في العلم 1 - في حال تم جمع البيانات الشخصيه من صاحبها مباشره، يجب علي جهه التحكم قبل او عند جمع البيانات اتخاذ التدابير اللازمه لابلغ صاحب البيانات الشخصيه بالاتي: ا - الاسم نظامي لجهه التحكم، وبيانات التواصل الخاصه بها، واي تفاصيل اخري تخص القنوات المشاه من قبل جهه التحكم لغرض التواصل المرتبط بجمايه البيانات الشخصيه. ب - بيانات الاتصال بمسؤل حمايه البيانات الشخصيه -ان-وجد- المعين من قبل جهه التحكم. ج - المسوع النظامي والغرض من جمع ومعالجه البيانات الشخصيه بصوره محدده وواضحه .وصريه. د - مده الاحتفاظ بالبيانات الشخصيه او معابير حساب المده في حال تعذر تحديدها مسبقا. SDAIA الهيه السعوديه للبيانات والتداء المضطاني Saudi Data & AI Authority 5 ه- توضیح حقوق صاحب البيانات الشخصيه، المنصوص عليها في الماده (الرابعه) من النظام واليه ممارسه اي من تلك الحقوق. و- توضیح کيفیغ العقول عن الموافقه الممنوحه لمعالجه اي من البيانات الشخصيه. - بيان ما اذا كان جمع اي من البيانات الشخصيه او معالجتها ازاميا او اختياريا. 2 - لا يطبق ما ورد في الفقره (1) من هذه الماده في حال كانت المعلومات الموضحه في الفقرات الفرعيه (ا) الي (ز) متوفره مسبق لاصاب البيانات الشخصيه، او اذا كان تقدم تلك المعلومات يتعارض مع اي من الانظمه الساريه في المملكه. 3 - في حال تم جمع البيانات الشخصيه من غير صاحبها مباشره، علي جهه التحكم عند تلقها للبيانات الخصيه القيام - دون تاخر غير مبرر - وخلل مده لا تتجاز (30) يوما اتخاذ الخطوات اللازمه ابلاغ صاحب البيانات الشخصيه بما نصت عليه الفقره (1) من هذه الماده اضافه الي ثقات البيانات الشخصيه التي تتم معالجتها، والمصدر الذي تم من خلاله حصول جهه التحكم علي البيانات الشخصيه. 4 - لا يطبق مع ما ورد في الفقره (3) من هذه الماده في اي من الاحوال الاتيه: - اذا كانت المعلومات متوفره مسبق لصاحب البيانات الشخصيه. ب- اذا كان تنفيذ ذلك غير ممكنا او يتطلب جهدا غير معقول. ج- اذا كان حصول جهه التحكم علي البيانات قد تم تنفيذ لنظام. - اذا كانت جهه التحكم جهه عامه وكان جمع البيانات الشخصيه للاغراض امنيه او لاستيغاء متطلبات قضاييه، او لتحقيق مصلحه عامه. ه- اذا كانت البيانات الشخصيه تضع لاحكام السريه المهنيه المقرره نظاما. - علي جهات التحكم التي تتضمن انشطتها - علي نطاق واسع او بصوره متكرره - معالجه بيانات شخصيه لناقصي او عديمي الاهليه، او عمليات المعالجه التي تتطلب بطبيعتها مراقبه مستمره لاصحاب البيانات الشخصيه، او معالجه بيانات شخصيه باستخدم تقنيات ناشيه، او اتحاذ قارات مبنيه علي المعالجه الاليه للبيانات الشخصيه: اتحاذ التدابير اللازمه ايلاع صاحب البيانات الشخصيه بما نحت عليه الفقره (1) من هذه الماده، اضافه الي ما يلي: ا - وسايل وطرق الجمع والمعالجه للبيانات الحساسه ان تضمت المعالجه ذلك. ب - الوسايل والاجراعات المتحده لحمايه البيانات الشخصيه. ج - توضیح ما اذا كان سيتم اتخاذ قرارات مبنيه بشكل کامل علي المعالجه التاليه للبيانات الشخصيه. 6 - عند قيام جهه التحكم بمعالجه اضافيه للبيانات الشخصيه لفرض اثر غير الذي جمعت من اجله، فيجب عليها قبل اجراء المعالجه الاضافيه ان تقدم لصاحب البيانات الشخصيه المعلومات اللازمه وفقا لاحكام هذه الماده. 6 [Non-Text] SDAIA الهيه السعوديه للبيانات والدكاء المطاعي Saudi Data & AI Authority 7 - يجب علي جهه التحكم ان توفر المعلومات المطلوبه وفقا لما ورد في هذه الماده بلغه مناسبه اذا علمت ان صاحب البيانات الشخصيه ناقص الاهليه. الماده الخاصه: الحق في الوصول الي البيانات الشخصيه 1 - دون الاخلل باحكام الماده (التاسعه) والمراده (السادسه عشره) من النظام، يكون لصاحب البيانات ال'spيه حق الوصول الي بياناته الشخصيه المتوافره لدي جهه التحكم مع مراعاه ما يلي: ا - ال تؤثر ممارسه الحق في الوصول الي البيانات الشخصيه سلبا علي حقوق الغير، مثل: حقوق الملكيه الفكريه او الاسرار التجاريه. ب - اتاحه الوصول الي البيانات الشخصيه بناء علي طلب يقدمه صاحب البيانات الشخصيه، او وسيله توفرها جهه التحكم لتمكين صاحب البيانات من الوصول الي بياناته الشخصيه بشكل تلقايي دون الحاجه الي تقدمي طلب. 2 - علي جهه التحكم عند تمكين صاحب البيانات من الوصول الي بياناته الشخصيه التاكد من ان ذلك لا يتضمن الافرض ان بيانات شخصيه تحدد هويه فرد اخري. الماده السادسه: الحق في طلب الحصول علي البيانات الشخصيه مع مراعاه احكام الماده (الرابع) من نظام يكون لصاحب البيانات الشخصيه الحق في طلب الحصول علي نسخه من بياناته الشخصيه بصفه مقروعه وواضحه، مع مراعاه ما يلي: -1 الا تؤثر ممارسه الحق في الحصول علي البيانات الشخصيه سلبا علي حقوق الغير، مثل: حقوق الملكيه الفكريه او الاسرار التجاريه. -2 تقدم البيانات الشخصيه الي صاحب البيانات الشخصيه بصفه الكترونيه شايعه الاستخدم، ولصاحب البيانات الشخصيه طلب نسخه مطبوعه منها متي ما كان تنفيذ ذلك مكتنا. -3 علي جهه التحكم عند تمكين صاحب البيانات من الحصول علي بيانات الشخصيه التاكد من ان ذلك لا يتضمن الافرصاح عن بيانات شخصيه تحدد هويه فرد اخري. الماده السابعه: الحق في طلب تصحيح البيانات الشخصيه -1 يجوز لصاحب البيانات الشخصيه في حال عدم صحه بيانات الشخصيه المتوافره لدي جهه التحكم ان يطلب تقييد معالجه بيانات لمده يمكن لجهه التحكم خلالها التحقق من صحه البيانات الشخصيه، مع مراعاه عدم سريان حق صاحب البيانات الشخصيه في الحصول علي التقييد المذكور اذا كان تقدم تلك البيانات يتعارض مع احكام النظام وهذه للاتحه. 2 - يكون لجهه التحكم طلب المستندات او الوثايق الداعمه لطلب تصحيح البيانات الشخصيه متي ما كان ذلك ضروريا لTCDCHت او تصحيح او اتمام البيانات الشخصيه، علي ان يتم اTLAف تلك المستندات او الوثايق بعد الانتهاء من عمليه التحقق. 7 SDAIA الهيه السعوديه للبيانات والتداء الوسطاني Saudi Data & AI Authority 3- علي جهه التحكم بعد تصحيح البيانات الشخصيه اشعار الجهات التي اقصح لها سابقا عن البيانات الشخصيه دون تاخير. الماده الثامنه: الحق في طلب اتلاف البيانات الشخصيه 1 - علي جهه التحكم اتلاف البيانات الشخصيه في اي من الاحوال الاتيه: - تنفيذ لطلب صاحب البيانات الشخصيه. ب- اذا لم تعد البيانات الشخصيه ضروريه لتحقيق الغرض الذي جمعت من اجله. ب- اذا عدل صاحب البيانات الشخصيه عن موافقه علي بجانته الشخصيه، وكانت الموافقه هي المسوغ النظامي الوحيد للمعالجه. - اذا علمت ان البيانات الشخصيه تجري معالجتها بطريقه مخالفه للنظام. 2 - علي جهه التحكم عند اتلافها البيانات الشخصيه القيام بالاتي: - اتخاذ الاجراءات الملاليمه لاشعار الجهات الاخري التي اقصحت لها جهه التحكم عن البيانات الشخصيه ذوات الصله، وطلب اتلافها. ب- اتخاذ الاجراءات الملاليمه لاشعار الاشخاص الذين تم الاقصاد لهم عن البيانات الشخصيه باي وسيله كانت، وطلب اتلافها. ج - اتلاف كافه النسخ المتعلقه بالبيانات الشخصيه المخزنه في انظمه جهه التحكم، بما في ذلك النسخ الاحتياطيه، علي ان تراعي المتطلبات النظاميه ذوات العلاقه بها الشان. 3 - لا يخل ما ورد في هذه الماده ما نعت عليه الماده (الثامنه عشره) من النظام والمتطلبات النظاميه التي تقرها الجهات المختصه ذوات العلاقه. الماده التاسعه: اخفاء الهويه 1 - علي جهه التحكم عند اخفايها لHOIE صاحب البيانات الشخصيه القيام بالاتي: ا - التاكد من عدم امكانيه اعاده التعرف علي هويه صاحب البيانات الشخصيه بعد اخفاء هويته. ب- تقويم الاثر بما في ذلك امكانيه اعاده تحديد هويه صاحب البيانات الشخصيه، وذلك في الاحوال المنصوص عليها في الفقره (1) من الماده (الخامسه والعشرين) من هذه اللايحه. ج - اتخاذ التدابير التنظيميه والاداريه والتقنيه اللازمه لتجنب المخاطر، مع مراعاه التطورات التقنيه واساليب اخفاء الهويه وتحديثها ومواعتها مع تلك التطورات. د - تقويم فاعليه تقنيات اخفاء هويه صاحب البيانات الشخصيه المطابقه، واجراء التعديلات اللازمه لضمان عدم امكانيه اعاده التعرف علي هويه صاحب البيانات الشخصيه. - 2 - لا تعدد البيانات التي جري اخفاء هويه اصحابها بيانات شخصيه. 8 SDAIA الهيه السعوديه للبيانات والتداء الالمحليه Saudi Data & AI Authority الماده العاشره: وسايل التواصل علي جهه التحكم توفير الوسايل الملاله للستجابه لطلبات صاحب البيانات الشخصيه المتعلقه بحقوقه المنصوص عليها في النظام، ويكون لصاحب البيانات الشخصيه استخدام واحده او اكثر من الوسايل التاتيه حسب اختياره وتوافرها لدي جهه التحكم: - 1- البريد الالكتروني. - 2- الرسايل النصيه. - 3- العنوان الوطني. - 4- التواصل عبر التطبيقات الالكترونيه. - 5- اي وسيله تواصل نظاميه اخري معده لهذا الغرض من قبل جهه التحكم. الماده الحاديه عشره: الموافقه 1 - لجهه التحكم الحصول علي موافقه صاحب البيانات الشخصيه علي معالجه بياناته باي شكل او وسيله ملايمه، بما في ذلك الموافقات الكتابه او الشفويه او باستخدم الطرق الالكترونيه، علي ان يشترط في الموافقه ما ياتي: ا - ان تصدر الموافقه ايراده حره، والا تستخدم اي طرق مخلله في سبيل الحصول عليها، وان يكون الحصول علي الموافقه بمراعاه احكام الماده (السابعه) من النظام. ب- ان تكون اغراض المعالجه واصحه ومحدده، وان توضح وتبين تلك الاغراض الي صاحب البيانات الشخصيه عند او قبل طلب الموافقه. ج- ان تصدر من کامل الاهليه. د- ان توثق الموافقه بوسايل تتيح التحقق منها مستقبل، ومن ذلك الاحتفاظ بسجلات تتضمن موافقه اصحاب البيانات الشخصيه علي عمليات المعالجه مع بيان وقت ووسيله الموافقه. ه- ان تكون هناك موافقه مستقله لكل غرض من اغراض المعالجه. 2 - يشترط ان تكون موافقه صاحب البيانات الشخصيه صريحه في الاحوال التاليه: - في حال تثمنت المعالجه بيانات حساسه. - في حال تثمنت المعالجه بيانات اثمانيه. ج- في حال كان سيتم اتخاذ قارات مبنيه بشكل كامل علي المعالجه التاليه للبيانات الشخصيه. 9 SDAIA الهايه السعوديه للبيانات والذكرات الالمطاني Saudi Data & Al Authority الماده الثانيه عشره:ardsول عن الموافقه 1 - لصاحب البيانات الشخصيه العدول عن موافقه علي معالجه بيانات الشخصيه في اي وقت، وله ابلاغ جهه التحكم بذلك باي من الوسايل المتاحه وفقا للماده (الرابعه) من هذه halاله. 2 - قبل طلب الموافقه من صاحب البيانات الشخصيه، علي جهه التحكم وضع اجراءات تبج العدول عن تلك الموافقه، واتخاذ التدابير اللازمه لضمان تنفيذها، علي ان تكون اجراءات العدول عن الموافقه مماليه او اكثر سهوله من اجراءات الحصول عليها. - في حال العدول عن الموافقه، فيجب علي جهه التحكم ايقاف المعالجه دون تاخير غير مبرر، ولا يؤثر الرجوع عن الموافقه علي مشروعيه اي عمليه معالجه تمت في ظل الموافقه وقبل الرجوع عنها. - علي جهه التحكم عند جدول صاحب البيانات الشخصيه عن موافقه علي معالجه بياناتها: اتخاذ الاجراءات الملاله لاشعار من تم الافرضح لمم عن البيانات الشخصيه - باي وسيله كانت - وطلب اتلا فها. - 5 - لا يؤثر الحدول عن الموافقه علي عمليات معالجه البيانات الشخصيه التي تتم بناء علي مسوغات نظاميه اخري. الماده الثالثه عشره: الولي الشعري - 1 - مع مراعاه المتطلبات النظاميه ذوات العلاقه، علي الولي الشعري لصاحب البيانات الشخصيه ناقص او عديم الاهليه ان يتصرف بما يحقق مصلحه صاحب البيانات الشخصيه، وله في سبيل ذلك ما يلي: ا - ممارسه الحقوق المقرره لصاحب البيانات الشخصيه موجب التظام وهذه اللاتحه. ب - الموافقه علي معالجه بيانات صاحب البيانات الشخصيه وفقا لاحكام النظام وهذه اللاتحه. 2 - اضافه الي ما نتت عليه الفقره (1) من الماده (الحاديه عشره) من هذه اللاتحه، في حال معالجه البيانات الشخصيه لناقص او عديم الاهليه يشترط في الحصول علي موافقه الولي الشعري اتخاذ الوسايل المناسبه للتحقق من صحه الالليه الشععيه لولي صاحب البيانات الشخصيه ناقص او عديم الاهليه. 3 - علي جهه التحكم عند الحصول علي موافقه الولي الشعري لناقص او عديم الاهليه مراعاه الاحكام الاتيه: ا - Alе ينتج عن موافقه الولي الشعري علي المعالجه اي ضرر علي مصالح صاحب البيانات الشخصيه. ب - تمكين صاحب البيانات الشخصيه ناقص الاهليه من ممارسه حقوقه المنصوص عليها في النظام وهده اللايحه عند اكتمال اهليه. 10 SDAIA الاهيه السعوديه للبيانات والذكرات المضاني Saudi Data & AI Authority الماده الرابعه عشره: معالجه البيانات الشخصيه لمصحه متحققه علي جهه التحكم عند معالجه البيانات لتحقيق مصلحه متحققه لصاحب البيانات الاحتفاظ بما يثبت توفر تلك المصلحه وتعذر الاتصال بصاحب البيانات الشخصيه او صعوبته. الماده الخامسه عشره: جمع البيانات من غير صاحبها مباشره -1 فيما عدا ما ورد في الفقره (3) من الماده (العاشره) من النظام، علي جهه التحكم عند معالجه البيانات الشخصيه من غير صاحبها مباشره، مراعاه ما ياتي: - ان تكون المعالجه ضوريه ومتناسبه مع الغرض المحدد. ب- ال تؤثر علي حقوق مصالح صاحب البيانات الشخصيه. 2 - علي جهه التحكم عند معالجتها للبيانات الشخصيه وفقا للفقره (2) من الماده (العاشره) من النظام، مراعاه ان يكون جمعها من مصر متاح للعموم قد تم بشكل نظامي. 3 - علي جهه التحكم عند معالجتها للبيانات الشخصيه وفقا للفقره (6) من الماده (العاشره) من النظام، مراعاه ما ورد في الماده (التاسعه) من هذه اللايحه في شان اخفاء الهويه. الماده السادسه عشره: المعالجه لاغراض المصلحه المشروعه 1 - فيما عدا الاحوال التي تكون فيها جهه التحكم جهه عامه، لجهه التحكم معالجه البيانات الشخصيه لتحقيق مصلحه مشروعه يتوفر فيها ما يلي: ا - ال يكون الغرض مخالفا لاي من الانظمه في المملكه. ب - الموازنه بين حقوق ومصالح صاحب البيانات الشخصيه وال مصلحه المشروعه لجهه التحكم، بحيث لا تؤثر مصالح جهه التحكم علي حقوق ومصالح صاحب البيانات الشخصيه. ج - ال تثمن المعالجه بيانات حساسه. - ان تكون المعالجه ضمن التوقعات المعقوله ل-اصب البيانات الشخصيه. 2 - يعد من المصالح المشروعه كشف عمليات الاحتيال وحمايه امن الشبكه والمعلمومات، وغير ذلك من المصالح المشروعه التي يتحقق فيها ما ورد في الفقره (1) من هذه الماده. 3 - وفقا لاحكام الفقره (4) من الماده (السادسه) من النظام، علي جهه التحكم قبل معالجه البيانات الشخصيه ل مصلحه مشروعه اجراء وتوثيق لمعالجه المقرحه واثرها علي حقوق ومصالح اصاحب البيانات الشخصيه، علي ان يتضمن التقويم علي وجه التحديد ما يلي: ا - تجديد المعالجه المQTره واغراضها، ونوع البيانات وفيات اصحاب البيانات الشخصيه. ب - تقويم الغرض من خلال التاكد من مشروعته وعدم مخالفته لاي من الانظمه في المملكه. ج - التحقق من ان معالجه البيانات الشخصيه ضروريه لتحقيق الغرض المشروع لدي جهه التحكم. د - تقويم ما اذا كانت المعالجه المقترحه سترتب اي ضر علي معالج اصحاب البيانات الشخصيه او قدترهم علي ممارسه حقوقهم المقرره نظاما. 11 [Non-Text] SDAIA الهيه السعوديه للبيانات والذكرات الالمحليه Saudi Data & AI Authority ه- تقويم ما اذا كانت هناك اي تدابير يتطلب اتخاذها لتجنب المخاطر او الاضرار المحتمله، وذلك وفقا لما نعت عليه الفقره (2) من الماده (الخامسه والعشرون) من هذه اللاتحه. 4- اذا اظهر التقويم المبين بالفقره (3) من هذه الماده ان المعالجه المقترحه ستؤدي باي شكل من الانشكال الي مخالفه اي من الانظمه او المساس بحقوق ومصالح اصحاب البيانات الشخصيه او ترتيب اي ضر عليهم او علي اي طرف اخري فيكون علي جهه التحكم تعديل المعالجه المقترحه واجراء تقويم جديد، او النظر في الاعتماد علي مسوع نظامي اخري. الماده السابعه عشره: اختيار جهه المعالجه 1 - علي جهه التحكم عند اختيار جهه المعالجه الالتزام باختيار جهه معالجه تقدم ضمانات كافيه لحمايه البيانات الشخصيه، وان ي neighمن الاتفاق مع جهه المعالجه ما يلي: ا - غرض المعالجه. ب- فيات البيانات الشخصيه المعالجه. ج- المده الزمنيه للمعالجه. د- التزام جهه المعالجه باشعار جهه التحكم في حال تسرب البيانات الشخصيه، وذلك وفقا لاحكام النظام وهدثه اللايحه ودون تاخر غير مبرر. ه- توضیح ما اذا كانت جهه المعالجه تضع لانظمه في دول اخري، واثر ذلك علي التزامها باحكام النظام ولوايحه. و- عدم اشتراط حصول جهه المعالجه علي موافقه مسبقه من جهه التحكم علي الاقصاح الوجوبي عن البيانات الشخصيه بموجب الانظمه المعمول بها في المملكه، علي ان تقوم جهه المعالجه باشعار جهه التحكم بذلك الاقصاح. ز- تحديد جهات المعالجه الفرعيه المتعاقده مع جهه المعالجه، او اي طرف اخري سيجري الاقصاح له عن البيانات الشخصيه. 2 - علي جهه التحكم اصدار التعليمات لجهه المعالجه بشكل واضح، وفي حال مخالفه تعليمات جهه التحكم لاي من الانظمه المعمول بها في المملكه، فيكون علي جهه المعالجه اشعار جهه التحكم بذلك كتابه ودون تاخير. 3 - تكون جهه التحكم مسوؤله عن التحقق من التزام جهه المعالجه - بشكل دوري- اجراء عمليات المعالجه وفقا لاحكام النظام ولوايحه، وضمان استيفايها لكافه المتطلبات النظاميه في هذا الشان، سواء تمت المعالجه من قبلها او من قبل جهه اخري نيابه عنها، يكون لجهه التحكم تعيين طرف اخري مستقل لمراجعه والتحقق من الالتزام نيابه عنها. 4 - عند مخالفه جهه المعالجه للتعليمات الصادره من جهه التحكم او التفاق المبرم معها بشان معالجه البيانات الشخصيه، فتعد جهه المعالجه في حكم جهه التحكم وتكون مسؤوله عن مخالفه احكام النظام. 12 SDAIA الهيه السعوديه للبيانات والخدمه الالمحليه Saudi Data & AI Authority - 5 يجب علي جهه معالجنه قبل قيامها باي تعاقدات لالحقه مع جهات معالجه فرعيه الالتزام بالاتي: - اتخاذ الضمانات الكافيه للتاكد من ان تلك التعاقدات لن تؤثر علي المستوي المكفول لحمايه البيانات الشخصيه محل معالجه. - اختيار الجهه التي توفر الضمانات اللازمه لتنفيذ احكام النظام ولوايحه. - الحصول علي الموافقه المسبقه من جهه التحكم، علي ان يتم اشعار جهه التحكم قبل القيام بذلك التعاقدات وتمكين جهه التحكم من الاعتراض عليها خلل مده يتفق عليها بين جهه التحكم وجهه معالجه. الماده الثامنه عشره: معالجه البيانات لفرض اخر غير الذي جمعت من اجله 1 - علي جهه التحكم عند معالجتها البيانات الشخصيه لفرض اخر غير الذي جمعت من اجله في الاحوال المنصوص عليها في الماده (العاشره) من النظام، القيام بما ياتي: - تحديد اغراض المعالجه بشكل محدود وواضح. ب- توثيق اجراءات تحديد Cohتوي البيانات وفقا للاغراض المحدده، ومنها علي سبيل المثال استخدم مخطات البيانات التي تبين الحاجه الي كل بيان وربطه بكل هدف من اهداف المعالجه. ج- اتخاذ التدابير اللازمه لضمان جمع البيانات الشخصيه وفق الحد الادني الضوري لتحقيق الغزاض المحدده في الفقره (ب) اعلاه. 2 - فيما عدا الاحوال المنصوص عليها في الفقره (3) من الماده (العاشره) من النظام، علي جهه التحكم عند معالجتها البيانات الشخصيه لفرض اخري غير الذي جمعت من اجلها في الاحوال المنصوص عليها في الفقرات (1) و (2) و (3) من الماده (العاشره) من النظام، التزام بما ياتي: - تحديد الغرض من المعالجه بوضوح ودقه، وënضميه في سجلعت انشطه معالجه البيانات الشخصيه. ب- ان يقتصر الجمع والمعالجه علي الحد الادني من البيانات الشخصيه المطلوبه لتحقيق الغرض. ج- ان يتم تحديد نوع البيانات الشخصيه المراد معالجتها، والتدابير اللازمه لضمان معالجه تلك البيانات بالشكل المطلوب. الماده التاسعه عشره: جمع الحد الادني من البيانات الشخصيه 1 - علي جهه التحكم جمع الحد الادني اللازم من البيانات الشخصيه لتحقيق الغرض من المعالجه، وضمان ما يلي: ا - جمع البيانات الشخصيه الضروريه والمرتبطه ارباطا وثيقه ومباشرا بالغرض من معالجه البيانات، ويتم تحديد ذلك من خلال استخدام الوسايل الملالمه، بما في ذلك مختطات البيانات التي تبين الحاجه الي كل بيان وربطه بكل هدف من اهداف المعالجه او غيرها من الوسايل. 13 SDAIA العلويه السعوديه للبيانات والذكرات الامضايي Saudi Data & AI Authority ب- بذل العنايه اللازمه بما يساهم في تحقيق الغرض من المعالجه دون جمع بيانات شخصيه غير ضروريه. 2 - علي جهه التحكم الاحتفاظ بالحد الادني من البيانات الشخصيه اللازمه لتحقيق الغرض من المعالجه. الماده العشرون: الافرضاح عن البيانات الشخصيه 1 - يشترط في الافراح عن البيانات التي تم جمعها من مصادر متاحه للعموم بناء علي الفقره (2) من الماده (الخامسه عشره) من النظام Alا تكون اتحاها للعموم قد تمت بشكل مخالف لاحكام النظام ولوايجه. 2 - فيما عدا الاحوال المنصوص عليها في الفقرتين (3) و (4) من الماده (الخامسه عشره) من النظام، علي جهه التحكم عند الافراح عن البيانات الشخصيه مراعاه ما يلي: ا - ان يتربط طلب الافراح ارتباطا وثيقا بغرض او موضوع محدود وواضح. ب- بذل العنايه اللازمه للمحافظه علي خصوصيه صاحب البيانات الشخصيه او اي فرد اخري. ج - ان يقتصر الافراص علي الحد الادني من البيانات الشخصيه اللازمه لتحقيق الغرض منه. 3 - علي جهه التحكم عند الافراص عن البيانات الشخصيه بناء علي طلب جهه عامه لاغراض امنيه او لتنفيذ نظام اخر او لاستيفاء متطلبات قضاييه، او اذا كان الافراص ضروريا لحمايه الصحه العامه او السلامه العامه او حمايه حياه فرد او افراد معينين او حمايه صحتهم، القيام بالاتي: - توثيق طلب الافراص. ب- تجديد نوع البيانات الشخصيه المطلوب الافراص عنها بشكل دقيق. 4 - ف本市 ادا ما نصت عليه الفقره (3) و (4) من الماده (الخامسه عشر) من النظام، علي جهه التحكم عند الافراص عن بيانات شخصيه مرتبطه بيانات شخص اخر غير صاحبها الالتزام ببذل العنايه اللازمه وتوفير الضمانات الكافيه للمحافظه علي خصوصيه الفرد الاخر وضمان عدم انتهاكها، ومن ذلك مراعاه الخطوات الاتيه: ا - الموازنه بين حقوق صاحب البيانات الشخصيه وحقوق الشخص الاخر في كل حاله علي حده. ب - ترمز البيانات الشخصيه التي تدل علي هويه الشخص الاخر ما امكن ذلك. - علي جهه التحكم عند اقصاهها عن البيانات الشخصيه لتحقيق مصلحه مشروعه لجهه التحكم الالتزام بما نصت عليه الماده (السادسه عشره) من هذه للاتكه. - علي جهه التحكم تضمين عمليات الاقصاح عن البيانات الشخصيه في سجلعت انشطه معالجه البيانات الشخصيه وتوثيق تواريها وطرقها والغرض منها. الماده الحاديه والعشرون: ضوابط معالجه البيانات الشخصيه لاغراض المصلحه العامه علي الجهه العامه عند جمعها للبيانات الشخصيه من غير صاحبها مباشره او معالجتها لغرض اخر غير الذي جمعت من اجله او طلب الاقصاح عنها لتحقيق مصلحه عامه الالتزام بما يلي: 1 - التاكد من ان ذلك يعد ضروريا لتحقيق مصلحه عامه محدده بشكل واضح. 2 - ان تتصل المصلحه العامه بال اختصاصات المقرره لها نظاما. [Non-Text] SDAIA الهيه السعوديه للبنايات والتداء الوسطاني Saudi Data & AI Authority 14 3- اتخاذ الوسايل المناسبه للحد من الاضرار التي قد تنتج عن ذلك، بما في ذلك وضع خواب الاداريه والتقنيه اللازمه لضمان التزام منسوبيها باحكام الماده (الحاديه والاربعون) من النظام. 4- تضمين تلك العمليات في سجلت انشطه معالجه البيانات الشخصيه. 5- جمع ومعالجه الحد الادني اللازم من البيانات الشخصيه لتحقيق الغرض. الماده الثانيه والعشرون: تصحيح البيانات الشخصيه 1 - يقصد بانواع تصحيح البيانات الشخصيه المشار اليها في الفقره (2) من الماده (السابعه عشره) من النظام: تصحيح بيانات خاطقه، او اكمال بيانات ناقصه، او تحديث بيانات سابقه. 2 - علي جهه التحكم عند تصحيح البيانات الشخصيه الالتزام بما يلي: ا - ضمان دقه وسلامه البيانات الشخصيه من خلال فحص ومراجعه الوثايق الداعمه ان اقتضت الضروره ذلك. ب- اشعار الجهات التي اقصح لها عن البيانات الشخصيه دون تاخير. ج- اشعار صاحب البيانات الشخصيه عند الانتهاء من التصحيح. - د- توثيق كافه التحديات التي اجريت علي البيانات الشخصيه. 3 - في حال تبين لجهه التحكم ان البيانات الشخصيه غير صحيحه او غير مكتله وكان من شان ذلك احداث - اضرار علي صاحب البيانات الشخصيه: القيام بايقاف المعالجه لحين تحديث او تصحيح البيانات. 4 - مع مراعاه الفقره (2) من هذه الماده، علي جهه التحكم عند علمها بعدم صحه او حداثه البيانات الشخصيه العمل علي ت حصيها او اتمامها او تحديثها وفق الوسايل المتاحه لها دون تاخر. 5 - علي جهه التحكم اتخاذ الاجراءات التخطييه والاداريه والتقنيه المناسبه لتفادي اثار معالجه البيانات الشخصيه غير الصحيحه او غير المكتمله او غير المحده، ومن ذلك ما ياتي: ا - وضع وتحديث السياسات والاجراءات الداخليه بما يتوافق مع احكام النظام وهذه اللاتحه، بما في ذلك اجراءات تمكن اصحاب البيانات الشخصيه من ممارسه حقهم في طلب التصحيح وفق ما نص عليه النظام وهديه اللاتحه. ب - المراجعه الворيه لدفه وحداثه البيانات الشخصيه. الماده الثالثه والعشرون: امن المعلومات علي جهه التحكم اتخاذ التدابير التنظيميه والاداريه والتقنيه اللازمه لضمان امن البيانات الشخصيه وخصوصيه اصاحبها، والالتزام بالاتي: 1. تطبيق التدابير الامنيه والتقنيه الضروريه للحد من المخاطر الامنيه لحمود تسرب البيانات الشخصيه. 2. الالتزام بالضوابط والمعابير والقواعد ذات الصله الصادره عن الهييه الوطنيه للامن السييراني، او افضل ممارسات ومعابير الامن السيراني المتعارف عليها في حال كانت جهه التحكم غير ملزمه ب太行ي الضوابط والمعابير والقواعد الصادره عن الهييه الوطنيه للامن السييراني. 15 [Non-Text] SDAIA الهيه السعوديه للبيانات والذكرات المصرياني Saudi Data & AI Authority الماده الرابعه والعشرون: الاشعار عن حوادث تسرب البيانات الشخصيه 1 - تشعر جهه التحكم الجوحه المختصه في حاله وقوع حادثه تسرب البيانات الشخصيه خلال مده لا تتجاز (72) ساعه من وقت علمها بالحاده، اذا كان من شان تلك الحاده الاضرار بالبيانات الشخصيه او صاحب البيانات الشخصيه او كانت تتعارض مع حقوقه او مصالحه، علي ان يتضمن الاشعار ما ياتي: ا - وصف لحادثه تسرب البيانات الشخصيه، علي ان يثممن وقتها وتاريخها وكيفيه وقوعها ووقت علم جهه التحكم بها. ب - الفيات والاعداد الفعليه او التقريبيه لاحصاب البيانات الشخصيه المعنيين، ونوع البيانات الشخصيه. وصف لمخاطر التي قد تنتج عن الحاده، بما في ذلك مستوي الاثر الفعلي او المحتمل الذي قد يلحق بالبيانات الشخصيه واحصاب البيانات الشخصيه، والاجراءات والتدابير التي تم اتخادها من قبل جهه التحكم للمنع او الحد من اثار تلك المخاطر وتخفيفها، والتدابير المستقبليه التي ستتخذها جهه التحكم لمنع تكرار الحاده. - بيان اذا تم او سيتم اشعار صاحب البيانات الشخصيه بتسرب بياناته الشخصيه، وفقا لما نصت عليه الفقره (5) من هذه الماده. ه- بيانات التواصل لجهه التحكم او مسؤول حمايه البيانات الشخصيه لديها - ان وجد - او اي مسؤول اثر تتوافر لدي معلومات فيما يخص الحاده محل الاشعار. 2 - اذا لم تمكن جهه التحكم من تقدم اي من البيانات المطلوبه خلال مده لا تتوافر (72) ساعه من وقت علمها بتسرب البيانات الشخصيه وفقا لاحكام الفقره (1) من هذه الماده، فعليها ان تقدمها في اقرب وقت ممكن مع ارفاق مبررات التاخير. 3 - علي جهه التحكم الاحتفاظ بنسخه من التقارير المقدمه الي الجهه المختصه وفقا لاحكام الفقره (1) من هذه الماده، وتوثيق التدابير التصحيحيه المتحذه فيما يتعلق بتسرب البيانات الشخصيه، واي مستندات او وثايق داعه ثوات علامه. 4 - لا تخل احكام هذه الماده بالتزامات جهه التحكم او المعالجه بتقدم اي بلغ او اشعار عن حوادث تسرب البيانات بموجب ما يصدر عن الهييه الوطنيه للامن السيراني او اي انظمه ولوايح معمول بها في المملكه. 5 - علي جهه التحكم دون تاخير غير مبرر اشعار صاحب البيانات الشخصيه بحاده تسرب بياناته الشخصيه. اذا كان من شانها ان تترب ضرا علي بياناته او تتعارض مع حقوقه او مصالحه، علي ان يكون الاشراع بلغه مبسطه وواضحه، وان يتضمن ما ياتي: - وصف لحادثه تسرب بياناته الشخصيه. ب- وصف المخاطر المحتمله الناشيه عن تسرب بياناته الشخصيه، والتدابير المتحده لمنع تلك المخاطر او الحد منها وتخفيف اثارها. 16 SDAIA الهيه السعوديه للبيانات والتداء الالمطاني Saudi Data & AI Authority ج- اسم وبيانات التواصل لجهه التحكم ومسؤول حمايه البيانات لديها -ان وجد - او اي وسايل تواصل اخري مناسبه مع جهه التحكم. - التوصيات او النصات التي قد تساعد صاحب البيانات الشخصيه علي اتحاذ الاجراءات الملاليمه لتجنب المخاطر المحدده او تخفيف اثارها. الماده الخامسه والعشرون: تقويم الاثر - يجب علي جهه التحكم ان تاعد تقويما مكتوبا وموظا للاثار والمخاطر التي قد تلقي بصاحب البيانات الشخصيه تتيجه معالجه البيانات الشخصيه، ويتم اجراء تقويم الاثر في الاحوال التاليه: - معالجه البيانات الشخصيه الحساسه. ب- جمع او مقارنه او ربط مجموعتين او اكثر من مجموعات البيانات الشخصيه التي تم الحصول عليها من مصادر مختلفه. ج- ان يثممن نشاط جهه التحكم - علي نطاق واسع او بصوره متكرره - معالجه بيانات شخصيه لناقصي او عديمي الاهليه، او عمليات المعالجه التي تتطلب بطبيعتها مراقبه مستمره لاحصاب البيانات الشخصيه، او معالجه بيانات شخصيه باستخدم تقنيات ناشيه. او اتخاذ قرارات مبنيه علي المعالجه الاليه للبيانات الشخصيه. - تقدمي منتج او خدمه تتضمن معالجه البيانات الشخصيه التي من المحتمل ان تشكل اضرارا جسيمه علي خصوصيه اصحاب البيانات الشخصيه. - يجب ان يحتوي تقويم الاثر علي الع杂ادر التيه كحد ادني: - الغرض من المعالجه والمسوغ النظامي لها. ب- وصف لطبيعه المعالجه التي سيتم تنفيذها، وانواع ومصادر البيانات الشخصيه محل المعالجه واي جهات سيتم الافرضات لها عن البيانات الشخصيه. ج- وصف لنطاق المعالجه الذي يحدد نوع البيانات الشخصيه والنطاق الجغرافي للمعالجه. د- وصف لسباق المعالجه الذي يحدد العلاقه بين اصاب البيانات الشخصيه وجهه التحكم وجبات المعالجه واي ظروف اخري ذات صله. ه- ضروره وتناسب التدابير المتبعه لتمكين جهه التحكم وجهات المعالجه من معالجه الحد الذي من البيانات الشخصيه المطلوبه لتحقيق اغراض المعالجه. و- التاثار المترتبه علي المعالجه بناء علي شده تاثيرها ماديا ومعنويا واحتمال حدوث اي اثار سلبيه علي اصحاب البيانات الشخصيه، ويتضمن ذلك اي اثار نفسيه او اجتماعيه او جسبه او ماليه واحتمال حدوث اي منها. - التدابير التي سعتخذ لمنع المخاطر والحد منها. - دي ملا معه التدابير المتبعه لتفادي المخاطر المحدده. SDAIA الهيه السعوديه للبيانات والذكريه الالمحليه Saudi Data & AI Authority 17 3- علي جهه التحكم تقديم نسخه من تقويم الاثر الي اي جهه معالجه تتصرف نيابه عنها يمتاع بالمعالجه ذات الصله. 4- علي جهه التحكم -في حال انتوت نتايج التقويم المشار اليه في هذه الماده الي ان عمليه المعالجه ستؤدي الي الاضرار بخصوصيه اصحاب البيانات الشخصيه- القيام بمعالجه الاسباب التي تحت الي ذلك واعاده اجراء التقويم. الماده السادسه والعشرون: معالجه البيانات الصحيه علي جهه التحكم اتخاذ الاجراءات والosايل التخطييه والفقنيه والفنيه والاداره الكفيله بالمحافظه علي البيانات الصحيه من اي استعمال غير مشروع، او من اساءه استخدامها، او استخدامها لغير الغرض الذي جمعت من اجله، او تسربها، واي اجراءات او وسايل تضمن المحافظه علي خصوصيه اصحابها، وعلها بصفه خاصه اتخاذ الضوابط والاجراءات التاليه: 1 - تبني وتطبيق الاشراطات والضوابط الصادره عن وزاره الصحه والمجلس الصحي السعودي والبنك المركزي السعودي ومجلس الضمان الصحي والجهات الاخري ذوات العالقه بتنظيم الخدمات الصحيه وخدمات التامين الصحي، والتي تبين مهام ومسؤолиات منسوبي مقدمي الرعايه الصحيه، وشركات التامين الصحي، وشركات اداره مطالبات التامين الصحي ومن تتعاقد معهم من يباشرون عمليات معالجه البيانات الصحيه. -2. تضمين الاحكام الوارده في النظام والواثمه في السياسات الداخليه لدي جهه التحكم. -3. توزيع المهام والمسوليات بين الموظفين او العاملين بطريه تحول دون تداخل الاختصاصات وتشتيت المسؤوليه ومراعاه تدرج امكانيه الوصول الي البيانات بين الموظفين او العاملين بما يكفل اعلي درجه من المحافظه علي خصوصيه اصحاب البيانات الشخصيه. - 4- توثيق كافه مراحل معالجه البيانات الصحيه وتوفر امكانيه تحديد الشخص المسؤول عن كل مرحله منها. - 5- ان يënضن اتفاق جهه التحكم مع جهات المعالجه - لتنفيذ اعمال او مهام تتعلق بمعالجه البيانات الصحيه - احكاما تلامها باتباع الاجراءات والوسايل المنصوص عليها في هذه الماده. - 6- قصر عمليات معالجه البيانات علي الحد الادني اللازم لتقدم خدمات او منتجات الرعايه الصحيه، او . برامج التامين الصحي. 18 SDAIA الهيه السعوديه للبيانات والذكرات المضماني Saudi Data & AI Authority الماده السابعه والعشرون: معالجه البيانات الاثيمنانيه مع عدم الاخلال باحكام نظام المعلومات الاثمنانيه، علي جهه التحكم اتخاذ الاجراءات والوسايل التظييميه والتقنيه والفنيه والاداريه التي تخصن المحافظه علي البيانات الاثمنانيه من اي استعمال غير مشروع، او اساعه استخدمها، او الالطلاع عليها من غير المصرح لهم، او استخدامها لغير الغرض الذي يجعت من اجله، او تسربها، وعلها اتخاذ الضواب والاجراعات الاتيه: 1 - تبني وتطبيق الاشتراطات والخوابط الصادره من البنك المركزي السعودي والجهات الاخري ذوات العلاقه، التي تبين مهام ومسؤليات منسوبي المنشات التي تقدم خدمات المعلومات الاثمنانيه ومن تتعاقد معهم من الذين يباشرون عمليات معالجه البيانات الاثمنانيه. 2 - تلتزم جهه التحكم بالحصول علي موافقه صاحب البيانات الشخصيه واشعاره عند وجود اي طلب لافرضاح عن بياناته الاثمنانيه، وذلك وفق ما ينص عليه نظام المعلومات الاثمنانيه، مع مراعاه ما نعت عليه الفقره الفرعيه (د) من الفقره (1) من الماده (الحاديه عشره) من اللايحه. الماده الثامنه والعشرون: معالجه البيانات لاغراض دعاييه او توعويه - علي جهه التحكم قبل ارسال مواد دعاييه او توعويه الحصول علي موافقه المتلقي المستهدف، وذلك في حال عدم وجود تعامل مسبق بين جهه التحكم والمتلقي المستهدف. - تكون شروط موافقه المتلقي المستهدف بالمواد الدعاييه او التوعويه وفقا لما يلي: - ان تصدر الموافقه ايراده حره، والا تستخدم اي طرق مخلله في سبيل الحصول عليها. ب- تمكين المتلقي من تخصيص الخيارات المتعلقه بالمواد الدعاييه او التوعويه محل الموافقه. ج- ان توثق موافقه المتلقي المستهدف بوسايل تبيح التحقق منها مستقبل. 3 - دون الاخلال بنظام الاتصالات وتقنيه المعلومات والانظمه الاخري ذات الصله، علي جهه التحكم قبل استخدم وسايل الاتصال الشخصيه - بما فيها العناوين البريه والالكترونيه - الخاصه بصاحب البيانات الشخصيه لغرض ارسال مواد دعاييه او توعويه، الالتزام بما ياتي: ا- ذكر اسم الجهه المرسله بوضوح دون اي اخفاء لهويتها. ب- توفير اليه تمكن صاحب البيانات الشخصيه من ايقاف تلقي تلك المواد الدعاييه او التوعويه متي ما رغب في ذلك، وان تكون اجراءات ايقاف تلقي المواد الدعاييه او التوعويه سهله ومبسطه ومماليه او اكثر سهوله من اجراءات الحصول علي الموافقه علي استقبالها. ج- التوقف عن ارسال الرسايل الدعاييه او التوعويه فور تلقها طلب المتلقي المستهدف بذلك. - ان يكون ايقاف تلقي المواد الدعاييه او التوعويه دون مقال مالي. ه- الاحتفاظ بما يثبت موافقه المتلقي المستهدف علي تلقي المواد الدعاييه او التوعويه. 19 SDAIA الهيه السعوديه للبيانات والاذاء الوسطاني Saudi Data & AI Authority الماده التاسعه والعشرون: التسويق المباشر 1 - دون الاخلل بنظام الاتصالات وتقنيه المعلومات والانظمه الاخري ذات الصله، علي جهه التحكم قبل القيام بمعالجه البيانات الشخصيه لاغراض التسويق المباشر الالتزام بالاتي: ا- الحصول علي موافقه صاحب البيانات الشخصيه وفقا لاحكام الماده (الحاديه عشره) من هذه اللاتحه. ب- توفير اليه تمكن صاحب البيانات الشخصيه من ايقاف تلقي المواد التسويقيه متي ما رغب في ذلك، وان تكون اجراءات ايقاف تلقي المواد التسويقيه سهوله وبمسطه ومماثله او اكثر سهوله من اجراءات الحصول علي الموافقه علي استقبالها. 2- عند ارسال مواد التسويق المباشر لصاحب البيانات الشخصيه، يجب ذكر اسم الجهه المرسله بوضوح دون اي اخفاء لهويتها. 3- في حال جدول صاحب البيانات الشخصيه عن موافقه علي التسويق المباشر فيكون علي جهه التحكم التوقف دون تاخير غير مبرر عن توجيه المواد التسويقيه اليه. الماده الثالثون: جمع ومعالجه البيانات لاغراض علميه او بحثيه او احصاييه علي جهه التحكم عند جمع او معالجه البيانات الشخصيه لاغراض علميه او بحثيه او احصاييه دون موافقه صاحبها الالتزام بالاتي: 1. تحديد الاغراض العلميه او البحثيه او الاحصاييه بشكل واضح ودقيق في سجلات انشطه معالجه البيانات الشخصيه. 2. اتخاذ التدابير اللازمه لضمان جمع البيانات الشخصيه وفق الحد الادني اللازم لتحقيق الاغراض المحدده. 3. ترمز البيانات الشخصيه التي تجري معالجتها، في الاحوال التي لا يؤثر ذلك علي تحقيق الغرض من معالجه. 4. اتخاذ التدابير اللازمه لضمان الا ترتب المعالجه اي اثار سلبيه علي حقوق ومصالح صاحب البيانات الشخصيه. الماده الحاديه والثلاثون: تصوير او نسخ الوثايق الرسميه التي تحدد هويه صاحبها دون الاخلل بالانظمه ذوات العلاقه، علي جهه التحكم الامتناع عن تصوير الوثايق الرسميه -الصادره من الجهات العامه- التي تحدد هويه صاحب البيانات الشخصيه او نسخها، الا بناء علي طلب من جهه عامه مختصه. او متي ما كان ذلك تنفيذا لاحكام نظام، وعلي جهه التحكم توفير الحمايه اللازمه لتلك الوثايق، واتلافها فور انتهاء الغرض منها، ما لم يكن هناك متطلب نظامي للاحتفاظ بها. 20 [Non-Text] SDAIA الهيه السعوديه للبيانات والتداعات الوسطاني Saudi Data & AI Authority الماده الثانيه والثلاثون: مسؤول حمايه البيانات الشخصيه - 1 تقوم جهه التحكم بتعيين او تحديد شخص او اكثر ليكون مسؤوله عن حمايه البيانات الشخصيه، وذلك في اي من الحالت الاتيه: ا - ان تكون جهه التحكم جهه عامه تقدم خدمات تخدمت معالجه بيانات شخصيه علي نطاق واسع. ب - ان تقوم الانشطه الاساسيه لجهه التحكم علي عمليات المعالجه التي تتطلب بطبيعتها مراقبه منتظمه ومنهجه لاحصاب البيانات الشخصيه. ج - ان تقوم الانشطه الاساسيه لجهه التحكم علي معالجه بيانات شخصيه حساسه. 2 - مع مراعاه متطلبات الفقره (1) من هذه الماده يجوز ان يكون مسؤول حمايه البيانات الشخصيه مسؤل او موظفا لدي جهه التحكم او متعاقدا خارجيا. 3 - يتولي مسؤول حمايه البيانات الشخصيه في جهه التحكم متابعه تنفيذ احكام النظام لواليجه، ومراقبه الاجراءات المعمول بها داخل جهه التحكم والاشراف عليها، وتلقي الطبات المتعلقه بالبيانات ال'sp'sh'ييه وفقا لاحكام النظام ولوايحه، ويتولي علي وجه الخصوص التي: ا - العمل كمسقول اتصال مباشر مع الجهه المختصه وتنفيذ قراراتها تعليماتها فيما يتصل بتطبيق احكام النظام ولوايحه. ب- الاشراف علي اجراءات تقويم الاثر وتقارير المراجعه والتدقيق المتعلقه بضوابط حمايه البيانات الشخصيه، وتوثيق نتايج التقويم واصدار التوصيات اللازمه لذلك. ج - تمكين صاحب البيانات الشخصيه من ممارسه جفوفه المنصوص عليها في النظام. - اشعار الجهه المختصه عن حوادث تسبب البيانات الشخصيه. ه - الرد علي الطبات المقدمه من صاحب البيانات الشخصيه، والرد علي الجهه المختصه في الشكاوي المقدمه وفقا لاحكام النظام واللايحه. و - متابعه قيد وتحديث سجلت انشطه معالجه البيانات الشخصيه لدي جهه التحكم. ز - معالجه المخالفات المتعلقه بالبيانات الشخصيه داخل جهه التحكم، واتخاذ الاجراءات التصحييه حيالها. 4 - تصدر الجهه المختصه قواعد تعيين مسؤول حمايه البيانات الشخصيه، علي ان تتضمن القواعد الاحوال التي يجب فيها تعيين مسؤول حمايه البيانات الشخصيه. الماده الثالثه والثلاثون: سجلعت انشطه معالجه البيانات الشخصيه 1 - علي جهه التحكم الاحتفاظ بسجل انشطه معالجه البيانات الشخصيه اثناء فتره استمرار عمليات معالجه البيانات الشخصيه، اضافه الي خمس سنوات تبعدا من تاريخ انتهاه نشاط معالجه البيانات الشخصيه. 2 - يجب ان تكون سجلعت انشطه معالجه البيانات الشخصيه مكتوبه. 3 - علي جهه التحكم ضمان دقه وحداثه سجلعت انشطه معالجه البيانات الشخصيه. 4 - علي جهه التحكم اتاحه سجلعت انشطه معالجه البيانات الشخصيه للجهه المختصه عند طليها. 21 [Non-Text] SDAIA الهيه السعوديه للبنايات والتداء الوسطاني Saudi Data & AI Authority 5- يتضمن سجل انشطه معالجه البيانات الشخصيه المحتويات الاتيه كحد ادني: - اسم جهه التحكم وتفاصيل الاتصال المتعلقه بها. ب- بيانات مسؤول حمايه البيانات الشخصيه في الاجوال التي تتطلب ذلك وفقا لما نحت عليه الفقره (1) من الماده (الثانيه والثلاثون) من هذه للاتجه. ج- اغراض معالجه البيانات الشخصيه. د- وصف لغات البيانات الشخصيه التي تتم معالجتها، وفقات اصاب البيانات الشخصيه. ه- مود الاحتفاظ الخاصه بكل من فيات البيانات الشخصيه، ما امكن ذلك. و- فيات الجهات التي يتم الافرضح لها عن البيانات الشخصيه. ز- وصف لعمليات نقل البيانات الشخصيه الي خارج المملكه، بما في ذلك المسوغات النظاميه لعمليات النقل والجهات التي يتم نقل البيانات الشخصيه اليها. ج- وصف الاجراءات والوسايل التنظيميه والاداريه والتقنيه التي تضمن المحافظه علي البيانات الشخصيه، ما امكن ذلك. - 6- تضع الجهه المختصه نماذج استرشاديه لسجلات انشطه معالجه البيانات الشخصيه. الماده الرابعه والثلاثون: السجل الوطني لجهات التحكم تصدر الجهه المختصه قواعد التسجيل في السجل الوطني لجهات التحكم، علي ان تتضمن القواعد تحديد جهات التحكم المxzمه بالتسجيل. الماده الخامسه والثلاثون: جهات من شهادات الاعتماد تصدر الجهه المختصه القواعد المنظمه للترخيص لجهات تتولي اصدار شهادات الاعتماد لجهات التحكم وجهات المعالجه وفق ما نصت عليه الفقره (2) من (الماده الثالثه والثلاثون) من النظام، وتسق الجهه المختصه مع هييه الحكومه الرقميه فيما يتعلق بالترخيص للجهات التي تقدم الخدمات نيابه عن الجهات الحكوميه. الماده السادسه والثلاثون: التدقيق والفحص 1 - تهدف عمليات التدقيق والفحص الي التاكد من ان الجهه تقوم بحمايه البيانات الشخصيه بشكل ملايم، وذلك من خلال تدقيق وفحص انشطه معالجه البيانات الشخصيه المتبعه لدي الجهه، والضوابط والاجراءات ذات الصله بها، ورصد اي فجوات لديها فيما يتعلق بتطبيق النظام ولوايحه. 2 - عند القيام بتدقيق وفحص انشطه معالجه البيانات الشخصيه، يتم الالتزام بما يلي: - تقدمي هذه الخدمات بشكل مستقل وفق المعايير المهنيه المتبعه. ب- وضع الاجراءات والخوابط الاداريه والتنظيميه اللازمه للتاكد من دقه وسلامه ما يصدر عنها. 3 - تصدر الجهه المختلفه القواعد المنظمه للترخيص لجوات تتولي التدقيق او الفحص للانشطه معالجه البيانات الشخصيه وفق ما نتعت عليه الفقره (3) من (الماده الثالثه والثلاثين) من النظام، وTNSق الجهه المختصه مع هييه الحكومه الرقميه فيما يتعلق بالترخيص للجهات التي تقدم الخدمات نيابه عن الجهات الحكوميه. 22 [Non-Text] SDAIA الهيه السعوديه للبيانات والذاء الوسطاني Saudi Data & AI Authority الماده السابعه والثلاثون: تقدم ومعالجه الشكاوي 1 - لصاحب البيانات الشخصيه تقدميشكوي الي الجهه المختصه خلال مده لا تتجاوز (90) يوما من تاريخ الحادثه محل الشكوي او علم صاحب البيانات الشخصيه بها، وللجهه المختصه تقدير قبول الشكوي من عدمه بعد تجاوز هذه المده في الحالات التي يتبين لها وجود اسباب واقعيه منعت صاحب البيانات الشخصيه من تقديم شكواه خلال هذه الفتره. 2 - تتلقي الجهه المختصه الشكاوي الوارده اليها من خلال الوسيله التي تبينها، وذلك وفق اجراءات تكفل السرعه والجوده في التعامل معها. 3 - تقيد الجهه المختصه الشكاوي المقدمه في سجل يعد لهذا الغرض. 4 - يجب ان تتضمن الشكوي البيانات التاليه: ا - مكان وزمان المخالفه. ب- اسم مقدمها، وهويته، وعنوانه، ورقم هاتفه. ج- بيانات الجهه المشتكي ضدها. د- وصف الفعل المخالف بشكل واضح ومحدد، والادله والمعلومات المقدمه مع الشكوي. ه - اي متطلبات اخري تحددها الجهه المختلفه. 5 - تتولي الجهه المختصه فحص ودراسه الشكاوي ومستنداتها، ولها التواصل مع مقدم الشكوي بحسب الحاجه الي طلب المستندات والوثايق والمعلومات ذات الصله. 6 - تتولي الجهه المختصه اتخاذ الاجراءات اللازمه حيال الشكاوي الوارده اليها وتشعر مقدم الشكوي بالنتيجه التي انتعت اليها. الماده الثامنه والثلاثون: النشر والنفاذ تشر هذه اللايحه في الجريده الرسميه والموقع الرسمي للجهه المختصه، ويعمل بها من تاريخ نفاذ النظام. 23 SDAIA الهيه السعوديه للبيانات والذكرات المضاني Saudi Data & Al Authority [Non-Text] SDAIA الهييه السعوديه للبيانات والذكاء المضطنايع Saudi Data & AI Authority