ncar · executive_regulation · processed · 86 chunks
SDAIA الهييه السعوديه للبيانات والذكاء الاصطناعي Saudi Data & AI Authority تقر ل اداري رقم (1017) وتاريخ ١٩ /٤٠٠٥ ان رييي الهييه السعوديه للبيانات والذكاء الاصطناعي بناء علي الصلاحيات الممنوحه له، وعلي ما تفتضيه مصلحه العمل. وبناء علي الماده (الثانيه والاربعين) من نظام حمايه البيانات الشخصيه الصادر بالمرسوم الملكي رقم (١٩) وتاريخ ٢/٩ (١٩) وال Expected بموجب المرسوم الملكي رقم (١٤٨) وتاريخ ٩/٥ وبناء علي ما عرضه علينا معالي رييس مكتب اداره البيانات الوطنيه بشان مشروع اللوايح التنفيذيه لنظام حمايه البيانات الشخصيه. يقرر ما يلي: اولا: لموافقه علي اللايحه التنفيذيه لنظام حمايه البيانات الشخصيه بالصيغه المرافقه لهذا القرل. ثانيا: يبلغ هذا القرار للجهات المعنيه لتنفيذه والعمل بموجه. والله الموفق،،،، رييس الهييه السعوديه للميوانات والذكاء الامتناعي د. عبدالله بن فرق الغامدي RD04 المدييه الرقميه، مبني رقم حي النخيل، الرياض، المملكه العربيه السعوديه Digital City, Building RD04 Al Nakheel, Riyadh, Kingdom of Saudi Arabia SDAIA.GOV.SA SDAIA الهييه السعوديه للبيانات والذكاء المصناعي Saudi Data & AI Authority اللذه التنفيذيه لنظام حمايه البيانات الشخصيه الماده الاولي: التعريفات تكون للكلمات والعبارات الوارده في هذه اللذه المعاني الموضحه امام كل منها في الماده (اللولي) من نظام حمايه البيانات الشخصيه، الصادر بالمرسوم الملكي رقم (١٩) وتاريخ ١٤٤٣/٢/٩ و المعدل بموجب المرسوم الملكي رقم (١٨٤٩) وتاريخ ١٤٤٣/٩ و المرسوم الملكي رقم (١٨٤٣) وتاريخ ١٤٤٣/٩ و المرسوم الملكي رقم (١٨٤٣) وتاريخ ١٤٤٣ اللغه- المعاني الموضحه امام كل منها، ما لم يقتضي السباق غير ذلك: - اللاتجه: اللاتجه التنفيذيه للنظام. ٢- التسويق المباشر: التواصل مع صاحب البيانات الشخصيه باي وسيله ماديه او الكترونيه مباشره بهدف توجيه ماده تسويقيه، ويشمل ذلك علي سبيل المثال لي الحصر الابعدنات او العروض الترويجيه. - تسرب البيانات الشخصيه: اي حادثه تؤدي الي الافساح عن البيانات الشخصيه او تلقها او الوصول غير المشروع ايها، سواء كان ذلك بقصد او بغير قصد، وباي وسيله كانت سواء اليه او يدويه. - المصلحه الحيويه: اي من المصالح الضروريه للحفاظ علي حياه صاحب البيانات الشخصيه. - المصلحه المتحققه: اي مصلحه معنويه او ماديه لصاحب البيانات الشخصيه ترتبط بشكل مباشر بالغرض من معالجه البيانات الشخصيه، وتكون معالجه ضروريه لتحقيق تلك المصلحه. - المصلحه المشروعه: اي جاحه ضروريه لدي جهه التحكم يتطلب تحقيقها معالجه بيانات شخصيه لغرض محمد، علي اوثر علي حقوق و مصالح صاحب البيانات الشخصيه. - الترميز: تحويل المعرفات الرييسيه التي تدل علي هويه صاحب البيانات الشخصيه الي رموز تجعل من المتعذر تحديد هويه صاحب البيانات الشخصيه بشكل مباشرد دون استخدام بيانات او معلومات SDAIA الهييه السعوديه للبيانات والذكاء الاصطناعي Saudi Data & AI Authority اضافه، وان يتم الاحتفاظ بتلك البيانات او المعلومات الاضافه بشكل منفصل ووضع الضوابط الغنيه والاداريه اللازمه لضمان عدم ربطها بصاحب البيانات الشخصيه بشكل محد. - ٨ اخفاء الهويه: ازاله المعرفات المباشره وغير المباشره التي تدل علي هويه صاحب البيانات الشخصيه بشكل نهايي يتعذر معه تحديد هويه صاحب البيانات الشخصيه. - ٩ الموافقه الصرحيه: موافقه تمنح بشكل مباشر وصريح من صاحب البيانات الشخصيه باي شكل من الاشكال وتدل علي قبوله بمعالجه بياناته الشخصيه بحيث لم يمكن تفسيرها بخلاف ذلك، وتكون قابله للاثبات. الماده الثانيه: الاستخدام Spasحي او العالي ١ - لي تسري احكام النظام ولوايحه علي قيام الفرد بمعالجه البيانات الشخصيه لاغراض لي تتجاوز الاستخدام Spasحي او العالي. ٢- يقدم بالاستخدم Spasحي او العالي المنصوص عليه في الماده الثانيه من النظام قيام الفرد بمعالجه البيانات الشخصيه داخل نطاق اسرته او دايرته الاجتماعيه المحدوده ضمن اي نشاط اجتماعي او عايلي. ٣- ل يعد من قبيل الاستخدام Spasحي او العايلي ما يلي: - قيام الفرد بنشر البيانات الشخصيه للجمهور او الافصاح عنها لي شخص خارج النطاق المحدد في الفقره (٢) من هذه الماده. ب- استخدام البيانات الشخصيه لاغراض ذوات طابع مهني او تجاري او غير رحي. الماده الثالثه: التحكام العامه لحقوق اصحاب البيانات الشخصيه SDAIA الهييه السعوديه للبيانات والذكاء المصطاني Saudi Data & Al Authority - علي جهه التحكم عند تلقها طلبا من صاحب البيانات الشخصيه يتعلق بحقوقه المنصوص عليها فيالنظام القيام بما يلي: - تنفيذ طلبات ممارسه الحقوق المنصوص عليها في النظام خلال مده ل تتجاز (لثلثين) يوما دون تاخير، ولها تمديد ذلك في حال تطلب التنفيذ جهدا اضافيا غير متوقع او غير معتاد او في حال تلقها طلبات متعدده من صاحب البيانات الشخصيه، وذلك بما لا يزيد علي (للدين) يوما اضافيه، بشرط ان تشعر صاحب البيانات الشخصيه مسبقا بالتمديد ومبرراته. ب- تبني الوسايل التقنيه والابداريه والتنظيميه اللازمه لضمان سرعه الاستجابه لطلبات .ممارسه الحقوق. ج- اتخاذ الاجراءات والتدابير المناسبه للتحقق من هويه فقدم الطلب تنفيذه بما يتوافق .مع التحكام النظاميه ذات العلاقه. - اتحاذ الوسايل اللازمه لتوثيق وحفظ كافه الطلبات المقدمه لها، بما في ذلك الطلبات الشفويه. ٢- في حال كان الطلب متكررا بشكل غير مبرر او يتطلب تنفيذه جهدا غير عادي; يكون لجه التحكم عدم معالجه الطلب، علي ان يكون ذلك مسببا ويشعر صاحب البيانات الشخصيه به. ٣- في الحالت التي يكون صاحب البيانات الشخصيه ناقصا او عديم الاهليه، يكون لوليه الشرعي ممارسه حقوقه نيابه عنه. SDATA الهييه السعوديه للبيانات والذكري المصطفي Saudi Data & Al Authority الماده الرابعه: الحق في العلم - في حال تم جمع البيانات الشخصيه من صاحبها مباشره، يجب علي جه التحكم قبل او عند جمع البيانات اتخاذ التدابير اللازمه لربلغ صاحب البيانات الشخصيه بالاتي: ا- السم النظامي لجه التحكم، وبيانات التواصل الخاصه بها، واي تفاصيل اخري تخص الMNTA TANUSHA من قبل جهه التحكم لفرض التواصل المرتبط بحمايه البيانات الشخصيه. ب- بيانات التصال بمسؤل حمايه البيانات الشخصيه - ان وجد- المعين من قبل جهه التحكم. ج- المسوع النظامي والغرض من جمع ومعالجه البيانات الشخصيه بصوره محدده وواضحه وصريه. د- مده الاحتفاظ بالبيانات الشخصيه او معاير حساب المده في حال تعذر تحديدها مسبقا. ه- توضیح حقوق صاحب البيانات الشخصيه، المنصوص عليها في الماده (الرابعه) من النظام واليه ممارسه اي من تلك الحقوق. و- توضیح کيفيه العدول عن الموافقه الممنوحه لمعالجه اي من البيانات الشخصيه. - بيان ما اذا كان جمع اي من البيانات الشخصيه او معالجتها الزاميا او اختياريا. SDAIA الهييه السعوديه للبيانات والذكراء المصناعي Saudi Data & Al Authority ٢- لي يطبق ما ورد في الفقره (1) من هذه الماده في حال كانت المعلومات الموضحه في الفقرات (الي (ز) متوفره مسبق لصاحب البيانات الشخصيه، او اذا كان تقديم تلك المعلومات يتعارض مع اي من التنظمه الساريه في المملكه. - في حال تم جمع البيانات الشخصيه من غير صاحبها مباشره، علي جهه التحكم عند تلقها للبيانات ال'sخصيه القيام - دون تاخر غير مبرر- وخلل مده ل تتجاوز (٢٠) يوما اتخاذ الخطوات اللازمه لاببلغ صاحب البيانات الشخصيه بما نصت عليه الفقره (1) من هذه الماده اضافه الي فيات البيانات ال'sخصيه التي تتم معالجتها، والEMSد الذي تم من خلله حصول جهه التحكم علي البيانات الشخصيه. ٤- ل يطبق مع ما ورد في الفقره (٣) من هذه الماده في اي من الاحوال التاليه: - اذا كانت المعلومات متوفره مسبقا لصاحب البيانات الشخصيه. ب- اذا كان تنفيذ ذلك غير ممكنا او يتطلب جهد غير معقول. ج- اذا كان حصول جهه التحكم علي البيانات قد تم تنفيذا لنظام. - اذا كانت جهه التحكم جهه عامه وكان جمع البيانات الشخصيه للغرض امنيه او لاستيغاء متطلبات قضاييه، او لتحقيق مصلحه عامه. ه- اذا كانت البيانات الشخصيه تخضع لاحكام السريه المهنيه المقرره نظاما. - علي جهات التحكم التي تتضمن انشطتها - علي نطاق واسع او بصوره متكره- معالجه بيانات شخصيه لن岱صي او عديمي الاهليه، او عمليات المعالجه التي تتطلب بطبيعتها مراقبه مستمره SDAIA الهينه السعوديه للبيانات والذكاء المضطاني Saudi Data & Al Authority لصاحب البيانات الشخصيه، او معالجه بيانات شخصيه باستخدام تقنيات ناشيه، او اتخاذ قوارات مبنيه علي المعالجه التاليه للبيانات الشخصيه: اتخاذ التدابير اللازمه لابلغ صاحب البيانات ال's الشخصيه بما نصت عليه الفقره (1) من هذه الماده، اضافه الي ما يلي: ا - وسايل وطرق الجمع والمعالجه للبيانات الحساسه ان تضمنت المعالجه ذلك. ب - الوسايل والاجراعات المتخده لحمايه البيانات الشخصيه. ج - توضيح ما اذا كان سيتم اتخاذ قرارات مبنيه بشكل كامل علي المعالجه التاليه للبيانات الشخصيه. - ١ - عند قيام جهه التحكم بمعالجه اضافيه للبيانات الشخصيه لفرض اخري غير الذي جمعت من اجله، فيجب عليها قبل اجراء المعالجه الاضافيه ان تقدم لصاحب البيانات الشخصيه المعلومات اللازمه وفقا لاحكام هذه الماده. - يجب علي جهه التحكم ان توفر المعلومات المطلوبه وفقا لما ورد في هذه الماده بلغه مناسبه اذا علمت ان صاحب البيانات الشخصيه ناقص الاهليه. الماده الخامسه: الحق في الوصول الي البيانات الشخصيه - دون الاخلال باحكام الماده (التاسعه) والمواد (السادسه عشره) من النظام، يكون لصاحب البيانات الشخصيه حق الوصول الي بياناته الشخصيه المتوافره لدي جهه التحكم مع مراعاه ما يلي: ا- اد تؤثر ممارسه الحق في الوصول الي البيانات الشخصيه سلبا علي حقوق الغير، مثل: حقوق الملكيه الفكريه او الاسرار التجاريه. SDAIA الهييه السعوديه للبيانات والذكاء المضطاعي Saudi Data & AI Authority ب - اتاحه الوصول الي البيانات الشخصيه بناء علي يقدمه صاحب البيانات الشخصيه، او وسيله توفرها جهه التحكم لمكين صاحب البيانات من الوصول الي بيانات الشخصيه بشكل تلقايي دون الحاجه الي تقدمي طلب. ٢- علي جهه التحكم عند تمكين صاحب البيانات من الوصول الي بياناته الشخصيه التاكد من ان ذلك لا يتضمن الافصاح عن بيانات شخصيه تحدد هويه فرد اخري. الماده السادسه: الحق في طلب الحصول علي البيانات الشخصيه مع مراعاه احكام الماده (السادسه عشر) من النظام يكون لصاحب البيانات الشخصيه الحق في طلب الحصول علي نسخه من بياناته الشخصيه بصيغه مقروعه وواضحه، مع مراعاه ما يلي: -1 الد تؤثر ممارسه الحق في الحصول علي البيانات الشخصيه سلبا علي حقوق الغير، مثل: حقوق الملكيه الفكريه او الاسرار التجاريه. -2 تقدم البيانات الشخصيه الي صاحب البيانات الشخصيه بصيغه الكترونيه شايعه الاستخدام، ولصاحب البيانات الشخصيه طلب نسخه مطبوعه منها متي ما كان تنفيذ ذلك مكنه. -3 علي جهه التحكم عند تمكين صاحب البيانات من الحصول علي بياناته الشخصيه التاكد من ان ذلك لا يتضمن الاфصاح عن بيانات شخصيه تجدد هوبه فرد اخري. الماده السابعه: الحق في طلب تصحيح البيانات الشخصيه - يجوز لصاحب البيانات الشخصيه في حال عدم صحه بياناته الشخصيه المتوافره لدي جهه التحكم ان يطلب تقييد معالجه بيانات لمده يمكن لجهه التحكم خلالها التحقق من صحه البيانات SDAIA الهييه السعوديه للبيانات والذكاء المضطاعي Saudi Data & Al Authority الشخصيه، مع مراعاه عدم سريان حق صاحب البيانات الشخصيه في الحصول علي التقييد المذكر اذا كان تقدميتم تلك البيانات يتعارض مع احكام النظام وهذه الليحه. - يكون لجهه التحكم طلب المستندات او الوثايق الداعمه لطلب تصحيح البيانات الشخصيه متي ما كان ذلك ضروريا لTCDCHت او تصحيح او اتمام البيانات الشخصيه، علي ان يتم اTCDCH تلك المستندات او الوثايق بعد الانتهاء من عمليه التحقق. - علي جهه التحكم بعد تصحيح البيانات الشخصيه اشعار الجهات التي اقصح لها سابقا عن البيانات الShu'صيه دون تاخير. الماده الثامنه: الحق في طلب اتلف البيانات الشخصيه - علي جهه التحكم اتلف البيانات الشخصيه في اي من النحوال التاليه: - تنفيذ لطلب صاحب البيانات الشخصيه. - اذا لم تعد البيانات الشخصيه ضروره لتحقيق الفرض الذي جمعت من اجلها. - اذا عدل صاحب البيانات الشخصيه عن موافقه علي جمع بياناته الشخصيه، وكانت الموافقه هي المسوغ النظامي الوحيد للمعالجه. - اذا علمت ان البيانات الشخصيه تجري معالجتها بطريقه مخافه للنظام. - علي جهه التحكم عند اتلفها للبيانات الشخصيه القيام بالاتتي: - اتخاذ الاجراءات المطلعه لاشعار الجهات الاخري التي اقصحت لها جهه التحكم عن البيانات الشخصيه ذات الصله، وطلب اتلفها. ب- اتخاذ الاجراءات المطلعه لاشعار الاشخاص الذين تم الاقصاح لهم عن البيانات الشخصيه باي وسيله كانت، وطلب اتلفها. SDAIA الجهه السعوديه للبيانات والذكرات المصطاني Saudi Data & AI Authority ج- اتلف كافه النسخ المتعلقه بالبيانات الشخصيه المخزنه في انظمه جهه التحكم، بما في ذلك النسخ الاحتياطيه، علي ان تراعي المتطلبات النظاميه ذات العلاقه بها الشان. ٣- لایل ما ورد في هذه الماده ما نست عليه الماده (الثماننه عشره) من نظام والمتطلبات النظاميه التي تقرها الجهات المختصه ذوات العلاقه. الماده التاسعه: اخفاء الهويه - علي جهه التحكم عند اخفايها لHOOUه صاحب البيانات الشخصيه القيام بالتي: ا - التاكد من عدم امكانيه اعاده التعرف علي هويه صاحب البيانات الشخصيه بعد اخفاء هويته. ب- تقويم الاثر بما في ذلك امكانيه اعاده تحديد هويه صاحب البيانات الشخصيه، وذلك في الحوال المنصوص عليها في الفقره (1) من الماده (الخامسه والعشرين) من هذه اللايحه. ج- اتخاذ التدابير التنظيميه والابداريه والتقنيه اللازمه لتجنب المخاطر، مع مراعاه التطورات التقنيه واساليب اخفاء الهويه وتحديثها ومواعمتها مع تلك التطورات. - تقويم فاعليه تقنيات اخفاء هويه صاحب البيانات الشخصيه المطبقه، واجراء التعديلات اللازمه لضمان عدم امكانيه اعاده التعرف علي هويه صاحب البيانات الشخصيه. - ٢- لاءت البيانات التي جري اخفاء هويه اصحابها بيانات شخصيه. الماده العاشره: وسايل التواصل علي جهه التحكم توفير الوسايل الملامه للستجابه لطلبات صاحب البيانات الشخصيه المتعلقه بحقوقه المنصوص عليها في النظام، ويكون لصاحب البيانات الشخصيه استخدام واحده او اكثر من الوسايل التاتيه حسب اختياره وتوافرها لدي جهه التحكم: - 1- البريد البلكتروني. SDAIA الهييه السعوديه للبيانات والذكاء المضناعي Saudi Data & AI Authority الرسايل النصيه. العنوان الوطني. -٤ التواصل عبر التطبيقات الالكترونيه. - اي وسيله تواصل نظاميه اخري معده لهذا الغرض من قبل جهه التحكم. الماده الحاديه عشره: الموافقه - 1 لجهه التحكم الحصول علي موافقه صاحب البيانات الشخصيه علي معالجه بياناته باي شكل او وسيله ملاميه، بما في ذلك الموافقات الكتابيه او الشفويه او باستخدام الطرق الالكترونيه، علي ان يشترط في الموافقه ما ياتي: ا - ان تصدر الموافقه ايراده حره، وال تستخدم اي طريق فضلله في سبيل الحصول عليها، وان يكون الحصول علي الموافقه بمراعاه احكام الماده (السابعه) من النظام. ب- ان تكون اغراض المعالجه وضحه ومحدده، وان توضح وتثين تلك الاغراض الي صاحب البيانات الشخصيه عند او قبل طلب الموافقه. ج- ان تصدر من کامل الاهليه. - ان توق الموافقه بوسايل تتيح التحقق منها مستقبل، ومن ذلك الاحتفاظ بسجلت تتضمن موافقه اصحاب البيانات الشخصيه علي عمليات المعالجه مع بيان وقت ووسيله الموافقه. ه - ان تكون هناك موافقه مستقله لكل غرض من اغراض المعالجه. ٢- يشترط ان تكون موافقه صاحب البيانات الشخصيه صريحه في الاحوال التي: - في حال تضمنت المعالجه بيانات حساسه. ب - في حال تضمنت المعالجه بيانات اثمانيه. SDAIA الهينه السعوديه للبيانات والذكراء المصناعي Saudi Data & Al Authority ج- في حال كان سيتم اتخاذ قرارات مبنيه بشكل كامل علي المعالجه التاليه للبيانات الشخصيه. الماده الثانيه عشره العدول عن الموافقه 1 - لصاحب البيانات الشخصيه العدول عن موافقه علي معالجه بياناته الشخصيه في اي وقت، وله ابلغ جهه التحكم بذلك باي من الوسايل المتاحه وفقا للماده (الرابع) من هذه اللايحه. 2 - قبل طلب الموافقه من صاحب البيانات الشخصيه، علي جهه التحكم وضع اجراءات تبيح العددول عن تلك الموافقه، واتخاذ التدابير اللازمه لضمان تنفيذها، علي ان تكون اجراءات العددول عن الموافقه مماليه او اكثر سهوله من اجراءات الحصول عليها. - في حال العددول عن الموافقه، فيجب علي جهه التحكم ايقاف المعالجه دون تاخير عبر مبرر، ولا يؤثر الرجوع عن الموافقه علي مشروعيه اي عمليه معالجه تمت في ظل الموافقه وقبل الرجوع عنها. - علي جهه التحكم عند عدول صاحب البيانات الشخصيه عن موافقه علي معالجه بياناته: اتخاذ الIberateات المطايمه لابشعار من تم الافصاح لهم عن البيانات الشخصيه - باي وسيله كانت - وطلب اتلدفها. - 0 لي يؤثر العدول عن الموافقه علي عمليات معالجه البيانات الشخصيه التي تتم بناء علي مسوغات نظاميه اخري. الماده الثالثه عشره: الولي الشرعي SDAIA الهييه السعوديه للبيانات والذكاء المصناعي Saudi Data & Al Authority 1 - مع مراعاه المتطلبات النظاميه ذوات العلاقه، علي الولي الشعري لصاحب البيانات الشخصيه ناقص او عديم النهاييه ان يتصرف بما يحقق مصلحه صاحب البيانات الشخصيه، وله في سبيل ذلك ما يلي: ا - ممارسه الحقوق المقرره لصاحب البيانات الشخصيه بموجب النظام وهذه مالكه. ب- الموافقه علي معالجه بيانات صاحب البيانات الشخصيه وفقا لاحكامالنظام وهذه اللايحه. ٢- اضافه الي ما نعت عليه الفقره (1) من الماده (الحاديه عشره) من هذه اللايحه، في حال معالجه البيانات الشخصيه لناقص او عدم الاهليه يشترط في الحصول علي موافقه الولي الشعري اتخاذ الوسايل المnasيه للتحقق من صحه الوليه الشرعيه لولي صاحب البيانات الشخصيه ناقص او عدم الاهليه. - علي جهه التحكم عند الحصول علي موافقه الولي الشعري لناقص او عدم الاهليه مراعاه التحكام الاتبه: - alد ينتج عن موافقه الولي الشعري علي المعالجه اي ضرر علي مصالح صاحب البيانات الشخصيه. ب- تمكين صاحب البيانات الشخصيه ناقص الاهليه من ممارسه حقوقه المنصوص عليها في النظام وهذه اللاتحه عند اكتمال اهليه. الماده الرابعه عشره: معالجه البيانات الشخصيه ل مصلحه متحققه SDAIA الهينه السعوديه للبيانات والذكراء المضطناي Saudi Data & AI Authority علي جهه التحكم عند معالجه البيانات لتحقيق مصلحه تحققه لصاحب البيانات التحتفاظ بما شبت توفر تلك المصلحه وتعذر التصال بصاحب البيانات الشخصيه او صعوبه. الماده الخامسه عشره: جمع البيانات من غير صاحبها مباشره - فيما عدا ما ورد في الفقره (٢) من الماده (العاشره) من النظام، علي جهه التحكم عند معالجه البيانات الشخصيه من غير صاحبها مباشره، مراعاه ما ياتي: - ان تكون المعالجه ضروريه ومتناسبه مع العرض المحدد. ب- اذ تؤثر علي حقوق ومسالح صاحب البيانات الشخصيه. ٢- علي جهه التحكم عند معالجتها للبيانات الشخصيه وفقا للفقره (٢) من الماده (العاشره) من النظام. مراعاه ان يكون جمعها من مصدر متاح للعموم قد تم بشكل نظامي. ٣- علي جهه التحكم عند معالجتها للبيانات الشخصيه وفقا للفقره (٦) من الماده (العاشره) من النظام. مراعاه ما ورد في الماده (التاسعه) من هذه الاليحه في شان اخفاء الهويه. الماده السادسه عشره المعالجه لاغراض المصلحه المشروعه ١ - فيما عدا النحوال التي تكون فيها جهه التحكم جهه عامه، لجهه التحكم معالجه البيانات الشخصيه لتحقيق مصلحه مشروعه يتوفر فيها ما يلي: ا- ان يكون الغرض مخالفا لاي من النظمه في المملكه. ب- الموازنه بين حقوق و مصالح صاحب البيانات الشخصيه وال مصلحه المشروعه لجهه التحكم، بحيث لا تؤثر مصالح جهه التحكم علي حقوق و مصالح صاحب البيانات الشخصيه. ج- الا تënضم المعالجه بيانات حساسه. SDAIA الهييه السعوديه للبيانات والذكاء المطنايع Saudi Data & Al Authority - ان تكون المعالجه ضمن التوقعات المعقوله لصاحب البيانات الشخصيه. -2 يعد من المصالح المشروعه كشف عمليات التحتيال وحمايه امن الشبكه المعلومات، وغير ذلك من المصالح المشروعه التي يتحقق فيها ما ورد في الفقره (1) من هذه الماده. - وفقا لحكام الفقره (٤) من الماده (السادسه) من النظام، علي جهه التحكم قبل معالجه البيانات الشخصيه لمصلحه مشروعه اجراء وتوثيق تقويم للمعالجه المقترحه واثرها علي حقوق ومصالح اصحاب البيانات الشخصيه، علي ان يتضمن التقويم علي وجه التحديد ما يلي: - تحديد المعالجه المقترحه واغراضها، ونوع البيانات وفيات اصحاب البيانات الشخصيه. ب- تقويم الغرض من خلال التاكد من مشروعيته وعدم مخالفته لاي من الانظمه في المملكه. ج- التحقق من ان معالجه البيانات الشخصيه ضروريه لتحقيق الفرض المشروع لدي جهه التحكم. - تقويم ما اذا كانت المعالجه المقترحه سترتب اي ضرر علي مصالح اصحاب البيانات الشخصيه او قدرتهم علي ممارسه حقوقهم المقرره نظاما. ه- تقويم ما اذا كانت هناك اي تدابير يتطلب اتخاذها لتجنب المخاطر او الاضرر المحتمله. وذلك وفقا لما نست عليه الفقره (٢) من الماده (الخامسه والعشرون) من هذه اللغه. - اذا اظهر التقويم المبين بالفقره (٣) من هذه الماده ان المعالجه المقترحه ستؤدي باي شكل من الاشكال الي مخالفه اي من الالزظمه او المساس بحقوق و مصالح اصحاب البيانات الشخصيه او ترتيب اي ضرر عليهم او علي اي طرف اخري، فيكون علي جهه التحكم تعديل المعالجه المقترحه واجراء تقويم جديد، او النظر في الاعتماد علي مسوع نظامي اخري. الماده السابعه عشره: اختيار جهه المعالجه SDAIA الهييه السعوديه للبيانات والذكاء المصطاعي Saudi Data & Al Authority - علي جهه التحكم عند اختيار جهه المعالجه الالتزام باخترا جهه معالجه تقدم ضمانات كافيه لحمايه البيانات الشخصيه، وان يتضمن التفاق مع جهه المعالجه ما يلي: ا - غرض المعالجه. ب- فيات البيانات الشخصيه المعالجه. ج- المده الزمنيه للمعالجه. د- التزام جهه المعالجه باشعار جهه التحكم في حال تسرب البيانات الشخصيه، وذلك وفقا لحكام النظام وهذه اللاته ودون تاخر غير مبرر. ه- توضیح ما اذا كانت جهه المعالجه تضع لنظمه في دول اخري، واثر ذلك علي التزامها باحكام النظام ولوايحه. و- عدم اشتراط حصول جهه المعالجه علي موافقه مسبقه من جهه التحكم علي الEفصاح الوجوبي عن البيانات الشخصيه بموجب الانظمه المعمول بها في المملكه، علي ان تقوم جهه المعالجه باشعار جهه التحكم بذلك الافصاح. - تحديد جهات المعالجه الفرعيه المتعاقده مع جهه المعالجه، او اي طرف اخري سيجري الاfصاح له عن البيانات الشخصيه. ٢- علي جهه التحكم اصدار التعليمات لجهه المعالجه بشكل واضح، وفي حال مخالفه تعليمات جهه التحكم لدي من النظمه المعمول بها في المملكه، فيكون علي جهه المعالجه اشعار جهه التحكم بذلك كتابه ودون تاخير. ٣- تكون جهه التحكم مسؤوله عن التحقق من التزام جهه المعالجه - بشكل دوري- اجراء عمليات المعالجه وفقا لاحكام النظام ولوايحه، وضمان استيفايها لكافه المتطلبات النظاميه في هذا SDAIA الهييه السعوديه للبيانات والذكراء المصناعي Saudi Data & Al Authority الشان، سواء تمت المقاله من قبلها او من قبل جهه اخري نيابه عنها، ويكون لجهه التحكم تعيين طرف اخري مستقل للمراجعه والتحقق من الالتزام نيابه عنها. -4 عند مخالفه جهه المقاله للتعليمات الصادره من جهه التحكم او التفاق المبرم معها بشان معالجه البيانات الشخصيه، فتعده журاليه في حكم جهه التحكم وتكون مسؤوله عن مخالفه احكام النظام. -5 يجب علي جهه المقاله قبل قيامها باي تعاقدات لحقه مع جهات معالجه فرعيه الالتزام بالاتتي: - اتخاذ الضمانات الكافيه للتاكد من ان تلك التعاقدات لن تؤثر علي المستوي المكفول لحمايه البيانات الشخصيه محل المعالجه. - اختبار الجهه التي توفر الضمانات اللازمه لتنفيذ احكام النظام ولوايحه. ج- الحصول علي الموافقه المسبقه من جهه التحكم، علي ان يتم اشعار جهه التحكم قبل القيام بذلك التعاقدات وتمكين جهه التحكم من الاعتراض عليها خلال مده يتفق عليها بين جهه التحكم وجهه المعالجه. الماده الثامنه عشره: معالجه البيانات لفرض اخر غير الذي جمعت من اجله 1 - علي جهه التحكم عند معالجتها البيانات الشخصيه لفرض اخر غير الذي جمعت من اجله في التحوال المنصوص عليها في الماده (العاشره) من النظام، القيام بما ياتي: - تحديد اغراض المعالجه بشكل محدود وواضح. ب- توثيق اجراءات تحديد Cohوي البيانات وفقا للاغراض المحدده، ومنها علي سبيل المثال استخدم مخططات البيانات التي تبين الحاجه الي كل بيان وربطه بكل هدف من اهداف المعالجه. SDAIA الهييه السعوديه للبيانات والذكرات الاصطناعي Saudi Data & Al Authority ج- اتخاذ التدابير اللازمه لضمان جمع البيانات الشخصيه وفق الحد الادني الضروي لتحقيق الغراض المحدده في الفقره (ب) اعلاه. ٢- فيما عدا الحوال المنصوص عليها في الفقره (٣) من الماده (الغاشره) من النظام، علي جهه التحكم عند معالجتها البيانات الشخصيه لفرض اخري غير الذي جمعت من اجله في الاحوال المنصوص عليها في الفقرات (1) و (2) و (3) من الماده (الغاشره) من النظام، التلزام بما ياتي: - تحديد الفرض من المعالجه بوضوح ودقه، وتضمينه في سجلانت انشطه معالجه البيانات الشخصيه. ب- ان يقتصر الجمع والمعالجه علي الحد الذي من البيانات الشخصيه المطلوبه لتحقيق الغرض. ج- ان يتم تحديد نوع البيانات الشخصيه المراد معالجتها، والتدابير اللازمه لضمان معالجه تلك البيانات بالشكل المطلوب. الماده التاسعه عشره: جمع الحد الادني من البيانات الشخصيه - علي جهه التحكم جمع الحد الادني اللازم من البيانات الشخصيه ل تحقيق العرض من المعالجه، وضمان ما يلي: - جمع البيانات الشخصيه الضروريه والمرتبطه ارباطا وثيقا ومباشرا بالغرض من معالجه البيانات، ويتقدم تحديد ذلك من خلال استخدام الوسايل المطلقه، بما في ذلك مخططات البيانات التي تبين الحاجه الي كل بيان وربطه بكل هدف من اهداف المعالجه او غيرها من الوسايل. ب - بذل العنايه اللازمه بما يساهم في تحقيق الغرض من المعالجه دون جمع بيانات شخصيه غير ضروريه. SDAIA الهييه السعوديه للبيانات والذكراء المطنايع Saudi Data & AI Authority ٢- علي جهه التحكم الاحتفاظ بالحد الذدني من البيانات الشخصيه اللازمه لتحقيق الفرض من المعالجه. الماده العشرون: الافصاح عن البيانات الشخصيه ١- يشترط في الافصاح عن البيانات التي تم جمعها من مصادر متاحه للعموم بناء علي الفقره (٢) من الماده (الخامسه عشره) من النظام ال تكون اتحاتها للعموم قد تمت بشكل مخالف لاحكام النظام ولوالثمه. ٢- فيما عدا الاحوال المنصوص عليها في الفقرتين (٣) من الماده (الخامسه عشره) من النظام، علي جهه التحكم عند الفصاح عن البيانات الشخصيه مراعاه ما يلي: ا - ان يتربط طلب الفصاح ارباطا وثيقا بغرض او موضوع محدود وواضح. ب- بذل العنايه اللازمه للمحافظه علي خصوصيه صاحب البيانات الشخصيه او اي فرد اخر. ج - ان يقتصر الفصاح علي الحد الادني من البيانات الشخصيه اللازمه لتحقيق الفرض منه. 3 - علي جهه التحكم عند الافصاح عن البيانات الشخصيه بناء علي طلب جهه عامه للغرض امنيه او لتنفيذ نظام اخري او لستيفاء متطلبات قضاييه، او اذا كان الافصاح ضروريا لحمايه الصحه العامه او السلامه العامه او حمايه حياه فرد او افراد معينين او حمايه صحتهم، القيام بالاتي: - ا - توثيق طلب الفصاح. ب- تحديد نوع البيانات الشخصيه المطلوب الافصاح عنها بشكل دقيق. 4- فيما عدا ما نصت عليه الفقره (٣) و (٤) من الماده (الخامسه عشره) من النظام، علي جهه التحكم عند الافصاح عن بيانات شخصيه مرتبطه بيانات شخص اخري غير صاحبها الالتزام ببذل العنايه اللازمه وتوفر في عمانات الكافيه للمحافظه علي خصوصيه الفرد التخر وضمان عدم انتهاها، ومن ذلك مراعاه الخطوات التييه: SDAIA الهييه السعوديه للبيانات والذكري المطنايع Saudi Data & Al Authority ا - الموازنه بين حقوق صاحب البيانات الشخصيه وحقوق الشخص التخر في كل حاله علي . hd ب- تميز البيانات الشخصيه التي تدل علي هويه الشخص التخر ما امكن ذلك. - علي جهه التحكم عند اقصاحها عن البيانات الشخصيه لتحقيق مصلحه مشروعه لجهه التحكم الالتزام بما نصت عليه الماده (السادسه عشر) من هذه الاليحه. - علي جهه التحكم تضمين عمليات الاقصاح عن البيانات الشخصيه في سجلات انشطه معالجه البيانات الشخصيه وتوثيق تواريخها وطرقها والغرض منها. الماده الحاديه والعشرون: ضوابط معالجه البيانات الشخصيه للغرض المصلحه العامه علي الجهه العامه عند جمعها للبيانات الشخصيه من غير صاحبها مباشره او معالجتها لفرض اخري غير الذي جمعت من اجله او طلب الابضاح عنها to تحقيق مصلحه عامه الالتزام بما يلي: - التاكد من ان ذلك يعد ضروريا لتحقيق مصلحه عامه محدده بشكل واضح. - ان تصل المصلحه العامه بال-acتصاصات المقرره لها نظاما. - اتخاذ الوسايل المناسبه للحد من الاضرار التي قد تنتج عن ذلك، بما في ذلك وضع الضوابط الابداريه والتقنيه اللازمه لضمان التزام منسوبها باحكام الماده (الحاديه والاربعون) من النظام. - ٤- تضمين تلك العمليات في سجلعت انشطه معالجه البيانات الشخصيه. - ٥- جمع معالجه الحد الذي الالزام من البيانات الشخصيه لتحقيق الفرض. الماده الثانيه والعشرون: تصحيح البيانات الشخصيه - ١- يقصد بانواع تصحيح البيانات الشخصيه المشار اليها في الفقره (٢) من الماده (السابعه عشر) من النظام; تصحيح بيانات خاطيه، او اكمال بيانات ناقصه، او تحديث بيانات سابقه. SDAIA الهييه السعوديه للبيانات والذكاء المضاعي Saudi Data & Al Authority ٢- علي جهه التحكم عند تصحيح البيانات الشخصيه الالتزام بما يلي: - ضمان دقه وسلامه البيانات الشخصيه من خلال فحص ومراجعه الوثايق الداعمه ان اقتضت الضروره ذلك. ب- اشعار الجهات التي اصح لها عن البيانات الشخصيه دون تاخير. ج- اشعار صاحب البيانات الشخصيه عند النت Oman من التصحيح. د- تتويق كافه التحديثات التي اجريت علي البيانات الشخصيه. ٣- في حال تين لجهه التحكم ان البيانات الشخصيه غير صحيحه او غير مكتملهogenous من شان ذلك احداث اضرار علي صاحب البيانات الشخصيه: القيام بقياقف المعالجه لحين تحديث او تصحيح البيانات. ٤- مع مراعاه الفقره (٢) من هذه الماده، علي جهه التحكم عند علمها بعدم صحه او حداثه البيانات الشخصيه العمل علي تصحيحها او اتمامها او تحديثها وفق الوسايل المتاحه لديها دون تاخر. - علي جهه التحكم اتخاذ الاجراءات التنظيميه والباريه والTQINIE المناسبه لتفادي اثار معالجه البيانات الشخصيه غير الصحيه او غير المكتمله او غير المحده، ومن ذلك ما ياتي: - وضع وتحديث السياسات والابجراءات الداخليه بما يتوافق مع احكام النظام وهذه اللايحه، بما في ذلك اجراءات تمكن اصحاب البيانات الشخصيه من ممارسه جقهم في طلب التصحيح وفق ما نص عليه النظام وهذه اللايحه. ب- المراجعه الدوريه لدقه وحداثه البيانات الشخصيه. الماده الثالثه والعشرون: امن المعلومات علي جهه التحكم اتخاذ التدابير التنظيميه والابداريه والثقنيه اللازمه لضمان امن البيانات الشخصيه وخصوصيه اصحابها، والالتزام بالاتي: SDAIA الهييه السعوديه للبيانات والذكاء المضطاني Saudi Data & Al Authority ١. تطبيق التدابير الامنيه والTQNNIE الضروريه للحد من المخاطر الامنيه لحدوت تسرب البيانات الشخصيه. ٢.الالتزام بالضوابط والمعاير والقواعد ذات الصله الصادره عن الهييه الوطنيه للامن السبيراني، او افضل ممارسات ومعاير الامن السيراني المتعارف عليها في حال كانت جهه التحكم غير ملزمه بتطبيق الضوابط والمعاير والقواعد الصادره عن الهييه الوطنيه للمن السيراني. الماده الرابعه والعشرون: الاشعار عن حوادث تسرب البيانات الشخصيه ١ - شعر جه التحكم الجهه المختصه في حاله وقوع حادثه تسرب للبيانات الشخصيه خلال مده لم تتجاوز (V2) ساعه من وقت علمها بالحادثه، اذا كان من شان تلك الحاده الاصدار بالبيانات الشخصيه او صاحب البيانات الشخصيه او كانت تتعارض مع حقوقه او مصالحه، علي ان يتضمن البشعار ما ياتي: وصف لحادثه تسرب البيانات الشخصيه، علي ان يتضمن وقتها وتاريخها وكيفيه وقعها ووقت علم جهه التحكم بها. ال兜يات والاعداد الفعليه او التقريبيه ل-psحاب البيانات الشخصيه المعنيين، ونوع البيانات الشخصيه. ج- وصف للمخاطر التي قد تنتج عن الحاده، بما في ذلك مستوي الاثر الفعلي او المحتمل الذي قد يلحق بالبيانات الشخصيه واصحاب البيانات الشخصيه، والاجراعات والتدابير التي تم اتخاذها من قبل جهه التحكم للمنع او الحد من اثار تلك المخاطر وتخفيفها، والتدابير المستقبليه التي ستتخذها جهه التحكم لمنع تكرار الحادثه. SDATA الهييه السعوديه للبيانات والذكاء المضناعي Saudi Data & Al Authority - دين اذا تم او سيتم اشعار صاحب البيانات الشخصيه بتسرب بيانات الشخصيه، وفقا لما نعت عليه الفقره (0) من هذه الماده. - بيانات التواصل لجنه التحكم او مسؤول حمايه البيانات الشخصيه لديها - ان وجد - او اي مسؤل اخر تتوافر لدي معلومات فيما يخص الحادثه محل الاشعار. - اذا لم تمكن جهه التحكم من تقديم اي من البيانات المطلوبه خلال مده ل تتجاوز (V2) ساعه من وقت علمها بتسرب البيانات الشخصيه وفقا لاحكام الفقره (1) من هذه الماده، فعليها ان تقدمها في اقرب وقت ممكن مع ارفاق مابررات التاخير. - علي جهه التحكم الحتفاظ بنسخه من التقارير المقدمه الي جهه المختصه وفقا لاحكام الفقره (1) من هذه الماده، ووثيق التدابير التصحيحه المتحذفه فيما يتعلق بتسرب البيانات الشخصيه، واي مستندات او وثايق داعمه ذوات علاقه. - ٤- لنا تخل احكام هذه الماده بالتزامات جهه التحكم او المعالجه بتقدمي اي بلغ او اشعار عن حوادث تسرب البيانات بموجب ما يصدر عن الهييه الوطنيه للامن السيراني او اي انظمه لوايح معمول بها في المملكه. - ٥- علي جهه التحكم دون تاخير غير مبرر اشعار صاحب البيانات الشخصيه بحداثه تسرب بياناته الشخصيه، اذا كان من شانها ان ترتب ضرا علي بياناته او تتعارض مع حفوقه او مصالحه، علي ان يكون الاشعار بلغه مبسطه وواضحه، وان يتضمن ما ياتي: SDAIA الهييه السعوديه للبيانات والذكاء المصناعي Saudi Data & AI Authority - وصف لحادثه تسرب بياناته الشخصيه. ب- وصف المخاطر المحتمله الناشيه عن تسرب بياناته الشخصيه، والتدابير المتخنه لمنع تللك المخاطر او الحد منها وتخفيف اثارها. ج- اسم وبيانات التواصل لجهه التحكم ومسؤول حمايه البيانات لديها - ان وجد- او اي وسايل تواصل اخري مناسبه مع جهه التحكم. د- التوصيات او النصايج التي قد تساعد صاحب البيانات الشخصيه علي اتخاذ الاجراءات الملايمه لتجنب المخاطر المحدده او تخفيف اثارها. الماده الخامسه والعشرون: تقويم الاثر - يجب علي جهه التحكم ان تعد تقويما مكتوبا وموثقا للاثار والمخاطر التي قد تلحق بصاحب البيانات الشخصيه نتيجه معالجه البيانات الشخصيه، ويتم اجراء تقويم الاثر في الدخول التاليه: معالجه البيانات الشخصيه الحساسه. ب- جمع او مقارنه او ربط مجموعتين او اكثر من مجموعات البيانات الشخصيه التي تم الحصول عليها من مصادر مختلفه. ج- ان يتضمن نشاط جهه التحكم - علي نطاق واسع او بصوره متكره- معالجه بيانات شخصيه لناقصي او عديمي الاهليه، او عمليات المعالجه التي تتطلب بطيعتها مراقبه مستقمه ل'صاحب البيانات الشخصيه، او معالجه بيانات شخصيه باستخدام تقنيات ناشيه، او اتخاذ قارات مبنيه علي المعالجه التاليه للبيانات الشخصيه. - تقدمي منتج او خدمه تثممن معالجه البيانات الشخصيه التي من المحتمل ان تشكل اضرارا جسيمه علي خصوصيه اصحاب البيانات الشخصيه. SDAIA الهييه السعوديه للبيانات والذكاء المصطاني Saudi Data & AI Authority ٢- يجب ان يحتوي تقويم الاثر علي العناصر التبيه كحد ادني: ا - الفرض من المعالجه والمسوغ النظامي لها. ب- وصف لطبيعه المعالجه التي سيتم تنفيذها، وانواع مصادر البيانات الشخصيه محل المعالجه واي جهات سيتم الافصاح لها عن البيانات الشخصيه. ج- وصف لنطاق المعالجه الذي يحدد نوع البيانات الشخصيه والنطاق الجغرافي للمعالجه. د- وصف لسياق المعالجه الذي يحدد العلاقه بين اصحاب البيانات الشخصيه وجهه التحكم وجهات المعالجه واي ظروف اخري ذوات صله. ه- ضروره وتناسب التدابير المتبعه لتمكين جهه التحكم وجهات المعالجه من معالجه الحد الادني من البيانات الشخصيه المطلوبه لتحقيق اغراض المعالجه. و- التثار المترتبه علي المعالجه بناء علي شده تاثيرها ماديا ومعنويا واحتمال حدوث اي اثار سلبيه علي اصحاب البيانات الشخصيه، ويتضمن ذلك اي اثار نفسيه او اجتماعيه او جسديه او ماليه واحتمال حدوث اي منها. - التدابير التي ستتخذ لمنع المخاطر والحد منها. - محمد ملامعه التدابير المتبعه لتفادي المخاطر المحدده. - علي جهه التحكم تقديم نسخه من تقويم الاثر الي اي جهه معالجه تتصرف نيابه عنها فيما يتعلق بالمعالجه ذات الصله. - علي جهه التحكم -في حال انتهت نتايج التقويم المشار اليه في هذه الماده الي ان عمليه المعالجه ستؤدي الي الاضرار بخصوصيه اصحاب البيانات الشخصيه- القيام بمعالجه الاسباب التي دعت الي ذلك واعاده اجراء التقويم. SDAIA الهييه السعوديه للبيانات والنكاء المصطاعي Saudi Data & Al Authority الماده السادسه والعشرون: معالجه البيانات الصحيه علي جهه التحكم اتخاذ البحارات والوسايل التنظيميه والثقنيه والفنيه والابداريه الكفيله بالمحافظه علي البيانات الصحيه من اي استعمال غير مشروع، او من اساءه استخدامها، او استخدامها لغير الفرض الذي جمعت من اجله، او تسربها، واي اجراءات او وسايل تضمن المحافظه علي خصوصيه اصحابها، وعلها بصفه خاصه اتخاذ الضوابط والابجراعات التاتيه: - تبني وتطبيق الاشتراطات والضوابط الصادره عن وزاره الصحه والمجلس الصحي السعودي والبنك المركزي السعودي ومجلس الضمان الصحي والجهات الاخري ذات العلاقه بتنظيم الخدمات الصحيه وخدمات التامين الصحي، والتي تبين مهام ومسؤолиات منسوبي مقدمي الرعايه الصحيه، SDAIA الهييه السعوديه للبيانات والذكاء المصطاعي Saudi Data & AI Authority وشركات التامين الصحي، وشركات اداره مطالبات التامين الصحي ومن تتعاقد معهم ممن يباشرون عمليات معالجه البيانات الصحيه. -2- تضمين血色اكام الوارده في النظام ولوايحه في السياسات الداخليه لدي جهه التحكم. -3- توزيع المهام والمسؤوليات بين الموظفين او العاملين بطريقه تحول دون تداخل الختصاصات وتشتيت المسؤوليه ومراعاه تدرج امكانيه الوصول الي البيانات بين الموظفين او العاملين بما يكفل اعلي درجه من المحافظه علي خصوصيه اصحاب البيانات الشخصيه. -4- توثيق كافه مراحل معالجه البيانات الصحيه وتوفر امكانيه تحديد Spusخ المسؤل عن كل مرحله منها. -5- ان يënضم اتفاق جهه التحكم مع جهات المعالجه - لتنفيذ اعمال او مهام تتعلق بمعالجه البيانات الصحيه - احكاما تلمزها بالاتبع الاجراءات والوسايل المنصوص عليها في هذه الماده. -7- قصر عمليات معالجه البيانات علي الحد الذين اللازم لتقدم خدمات او منتجات الرعايه الصحيه، او برامج التامين الصحي. الماده السابعه والعشرون: معالجه البيانات والثمنايه مع عدم الاخلل باحكام نظام المعلومات والثمنايه، علي جهه التحكم اتخاذ الاجراءات والوسايل التنظيميه والتقنيه والفنيه والبداريه التي تضمن المحافظه علي البيانات الantianaيه من اي استعمال غير مشروع، او SDATA الهييه السعوديه للبيانات والذكاء المصناعي Saudi Data & AI Authority اساءه استخدامها، اوال媒体 عن غير المصرح لهم، او استخدامها لغير الغرض الذي جمعت من اجه. او تسربها، وعليها اتخاذ الضوابط والابجراعات التاتيه: 1 - تبني وتطبيق الاشتراطات والضوابط الصادره من البنك المركزي السعودي والجهات الاخري ذوات العلاقه، التي تبين مهم ومسؤليات منسوبي المنشات التي تقدم خدمات المعلومات والETCتامانيه ومن تتعاقد معهم من الذين يباشرون عمليات معالجه البيانات التثمنانيه. ٢ - تلتزم جهه التحكم بالحصول علي موافقه صاحب البيانات الشخصيه واشعاره عند وجود اي طلب للاي فصاح عن بيانات التثمنايه، وذلك وفق ما ينص عليه نظام المعلومات التثمنايه، مع مراعاه ما نصت عليه الفقره الفرعيه (د) من الفقره (1) من الماده (الحاديه عشره) من اللايحه. الماده الثامنه والعشرون: معالجه البيانات للاغراض دعاييه او توعويه - علي جهه التحكم قبل ارسال مواد دعاييه او توعويه الحصول علي موافقه المتلقي المستهدف، وذلك في حال عدم وجود تعامل مسبق بين جهه التحكم والمتلقي المستهدف. - تكون شروط موافقه المتلقي المستهدف بالمواد الدعاييه او التوعويه وفقا لما يلي: - ان تصدر الموافقه ابارده حره، والات تستخدم اي طرق مضلله في سبيل الحصول عليها. ب- تمكين المتلقي من تخصيص الخيارات المتعلقه بالمواد الدعاييه او التوعويه محل الموافقه. ج- ان تؤق موافقه المتلقي المستهدف بوسايل تتيح التحقق منها مستقبله. دون الZخلال بنظام التسالات وتقنيه المعلومات والانظمه الاخري ذات الصله، علي جهه التحكم قبل استخدام وسايل التصال الشخصيه - بما فيها العناوين البريه والالكترونيه - الخاصه بصاحب البيانات الشخصيه لغرض ارسال مواد دعاييه او توعويه، الالتزام بما ياتي: - ذكر اسم الجهه المرسله بوضوح دون اي اخفاء لهوياتها. SDAIA الهييه السعوديه للبيانات والذكراء المضناعي Saudi Data & AI Authority ب- توفير اليه تمكن صاحب البيانات الشخصيه من ايقاف تلقي تلك المواد الدعاييه او التوعويه متي ما رغب في ذلك، وان تكون اجراءات ايقاف تلقي المواد الدعاييه او التوعويه سهله ومبسطه ومماليه او اكثر سهوله من اجراءات الحصول علي الموافقه علي استقبالها. ج- التوقف عن ارسال الرسايل الدعاييه او التوعويه فور تلقها طلب المتلقي المستهدف بذلك. - ان يكون ايقاف تلقي المواد الدعاييه او التوعويه دون مقال مالي. ه- الحتفاظ بما يثبت موافقه المتلقي المستهدف علي تلقي المواد الدعاييه او التوعويه. الماده التاسعه والعشرون: التسويق المباشر - دون الاخلال بنظام الاتصالات وتقنيه المعلومات والانظمه الاخري ذات الصله، علي جهه التحكم قبل القيام بمعالجه البيانات الشخصيه لاغراض التسويق المباشر الالتزام بالاتني: - الحصول علي موافقه صاحب البيانات الشخصيه وفقا لاحكام الماده (الحاديه عشره) من هذه اللايحه. ب- توفير اليه تمكن صاحب البيانات الشخصيه من ايقاف تلقي المواد التسويقيه متي ما رغب في ذلك، وان تكون اجراءات ايقاف تلقي المواد التسويقيه سهله وMBSSطه ومماثله او اكثر سهوله من اجراءات الحصول علي الموافقه علي استقبالها. ٢- عند ارسال مواد التسويق المباشر لصاحب البيانات الشخصيه، يجب ذكر اسم الجهه المرسله بوضوح دون اي اخفاء لدهيتها. SDAIA الهييه السعوديه للبيانات والنزكه العصطاني Saudi Data & Al Authority ٢- في حال عدول صاحب البيانات الشخصيه عن موافقه علي التسويق المباشر، فيكون علي جهه التحكم التوقف دون تاخير غير مبرر عن توجيه المواد التسويقيه اليه. الماده الثالثون: جمع ومعالجه البيانات للغراض علميه او بحثيه او احصاييه علي جهه التحكم عند جمع او معالجه البيانات الشخصيه لاغراض علميه او بحثيه او احصاييه دون موافقه صاحبها الالتزام بالاتي: ١. تحديد الاغراض العلميه او البحثيه او الحصاييه بشكل واضح ودقيق في سجلت انشطه معالجه البيانات الشخصيه. ٢. اتخاذ التدابير اللازمه لضمان جمع البيانات الشخصيه وفق الحد الذدني اللازم لتحقيق الاغراض المحدده. ٣. ترمز البيانات الشخصيه التي تجري معالجتها، في الذحوال التي لاء يؤثر ذلك علي تحقيق الفرض من المعالجه. ٤. اتخاذ التدابير اللازمه لضمان ادا ترتب المعالجه اي اثار سلبيه علي حقوق ومصالح صاحب البيانات الشخصيه. الماده الحاديه والثلاثون: تصوير او نسخ الوثايق الرسميه التي تحدد هويه صاحبها دون الاخلل بالانظمه ذوات العلاقه، علي جهه التحكم الامتناع عن تصوير الوثايق الرسميه - الصادره من الجهات العامه - التي تحدد هويه صاحب البيانات الشخصيه او نسخها، الي بناء علي طلب من جهه عامه SDAIA الهييه السعوديه للبيانات والذكاء الاصطناعي Saudi Data & AI Authority مختصه، او متي ما كان ذلك تنفيذا لاحكام نظام، وعلي جهه التحكم توفير الحمايه اللازمه لتلك الوثايق، واتلا فها فور انتهاه العرض منها، ما لم يكن هناك متطلب نظامي للدحتفاظ بها. الماده الثانيه والثلاثون: مسؤول حمايه البيانات الشخصيه - تقوم جهه التحكم بتعيين او تحديد شخص او اكثر ليكون مسووله عن حمايه البيانات الشخصيه، وذلك في اي من الحالت التاليه: - ان تكون جهه التحكم جهه عامه تقدم خدمات تخصص معالجه بيانات شخصيه علي نطاق واسع. ب- ان تقوم الانشطه الاساسيه لجنه التحكم علي عمليات المعالجه التي تتطلب بطبيعتها مراقبه منظمه وممنهجه للubحاب البيانات الشخصيه. ج- ان تقوم الانشطه الاساسيه لجنه التحكم علي معالجه بيانات شخصيه حساسه. ٢- مع مراعاه متطلبات الفقره (1) من هذه الماده يجوز ان يكون مسؤول حمايه البيانات الشخصيه مسؤوله او موظفا لدي جهه التحكم او متعاقدا خارجيا. ٣- يتولي مسؤول حمايه البيانات الشخصيه في جهه التحكم متابعه تنفيذ احكام النظام ولوايحه، و摩قبه الاجراءات المعمول بها داخل جهه التحكم والاشراف عليها، وتلقي الطابات المتعلقه بالبيانات الشخصيه وفقا لاحكام النظام ولوايحه، ويتولي علي وجه الخصوص التي: ا- العمل كمسول اتصال مباشر مع الجهه المختصه وتنفيذ قراراتها وتعليماتها فيما يتصل بتطبيق احكام النظام ولوايحه. ب- الاشراف علي اجراءات تقويم الاثر وتقارير المراجعه والتدقيق المتعلقه بضوابط حمايه البيانات الشخصيه، ووثيق نتايج التقويم واصدار التوصيات اللازمه لذلك. ج- تمكين صاحب البيانات الشخصيه من ممارسه حقوقه المنصوص عليها في النظام. SDAIA الهييه السعوديه للبيانات والذكرات المضطاعي Saudi Data & AI Authority - اشعار الجهه المختصه عن حوادث تسرب البيانات الشخصيه. - الرد علي الطبات المقدمه من صاحب البيانات الشخصيه، والرد علي الجهه المختصه في الشكاوي المقدمه وفقا لاحكام النظام واللغه. و- متابعه قيد وتحديث سجلت انشطه معالجه البيانات الشخصيه لدي جهه التحكم. ز - معالجه المخالفات المتعلقه بالبيانات الشخصيه داخل جهه التحكم، واتخاذ البحارات التصحيحه حيالها. 4- تصدر الجهه المختصه قواعد تعيين مسؤول حمايه البيانات الشخصيه، علي ان تنضمن القواعد التحوال التي يجب فيها تعيين مسؤول حمايه البيانات الشخصيه. SDATA الهييه السعوديه للبيانات والذكاء المضطاعي Saudi Data & AI Authority الماده الثالثه والثلاثون: سجلت انشطه معالجه البيانات الشخصيه -1 علي جهه التحكم الحتفاظ بسجل انشطه معالجه البيانات الشخصيه اثناء فتره استمرار عمليات معالجه البيانات الشخصيه، اضافه الي خمس سنوات تببدا من تاريخ انتهاه نشاط معالجه البيانات الشخصيه. -2 يجب ان تكون سجلت انشطه معالجه البيانات الشخصيه مكتوبه. -3 علي جهه التحكم ضمان دقه وحداثه سجلت انشطه معالجه البيانات الشخصيه. -4 علي جهه التحكم اتاحه سجلت انشطه معالجه البيانات الشخصيه للجهه المختصه عند طلبها. -5 يتضمن سجل انشطه معالجه البيانات الشخصيه المحتويات التاتيه كحد ادني: - اسم جهه التحكم وتفاصيل الاتصال المتعلقه بها. ب- بيانات مسؤول حمايه البيانات الشخصيه في الاحوال التي تتطلب ذلك وفقا لما نصت عليه الفقره (1) من الماده (الثانيه والثلاثون) من هذه الاليحه. ج- اغراض معالجه البيانات الشخصيه. - وصف ل佛يات البيانات الشخصيه التي تتم معالجتها، وفقا اصحاب البيانات الشخصيه. - مهد الاحتفاظ الخاصه بكل من فيات البيانات الشخصيه، ما امكن ذلك. - فيات الجهات التي يتم الافصاح لها عن البيانات الشخصيه. - وصف لعمليات نقل البيانات الشخصيه الي خارج المملكه، بما في ذلك المسوغات النظاميه لعمليات النقل والجهات التي يتم نقل البيانات الشخصيه اليها. - وصف الاجراءات والوسايل التنظيميه والابداريه والتقنيه التي تضمن المحافظه علي البيانات الشخصيه، ما امكن ذلك. - تضع الجهه المختصه نماذج استرشاديه لسجلت انشطه معالجه البيانات الشخصيه. SDAIA الهينه السعوديه للبيانات والذكاء المصطاعي Saudi Data & AI Authority الماده الرابعه والثلاثون: السجل الوطني لجهات التحكم تصدر الجهه المختصه قواعد التسجيل في السجل الوطني لجهات التحكم، علي ان تتضمن القواعد تحديد جهات التحكم الميزمه بالتسجيل. الماده الخاصه والثلاثون: جهات منح شهادات الاعتماد تصدر الجهه المختصه القواعد المنظمه للترخيص لجهات تتولي اصدار شهادات الاعتماد لجهات التحكم وجهات المعالجه وفق ما نصت عليه الفقره (٢) من (الماده الثالثه والثلاثون) من النظام، ونشقق الجهه المختصه مع هييه الحكومه الرقميه فيما يتعلق بالترخيص للجهات التي تقدم الخدمات نيابه عن الجهات الحكوميه. الماده السادسه والثلاثون: التدقيق والفحص - تهدف عمليات التدقيق والفحص الي التاكد من ان الجهه تقوم بحمايه البيانات الشخصيه بشكل ملايم، وذلك من خلال تدقيق وفحص انشطه معالجه البيانات الشخصيه المتبعه لدي الجهه، والضوابط والجراعات ذوات الصله بها، وصد اي فجوات لديها فيما يتعلق بتطبيق النظام ولوايجه. ٢- عند القيام بتدقيق وفحص انشطه معالجه البيانات الشخصيه، يتم التلزام بما يلي: - تقديم هذه الخدمات بشكل مستقل وفق المعايير المهنيه المتبعه. ب- وضع الاجراءات والضوابط الاداريه والتنظيميه اللازمه للتاكد من دقه وسلامه ما يصدر عنها. - تصدر الجه المختصه القواعد المنظمه للترخيص لحوات تتولي التدقيق او الفحص لانشطه معالجه البيانات الشخصيه وفق ما نعت عليه الفقره (٢) من (الماده الثالثه والثلاثين) من النظام، SDATA الهييه السعوديه للبيانات والذكاء المصطاعي Saudi Data & Al Authority وتنشق الجهه المختصه مع هييه الحكومه الرقميه فيما يتعلق بالترخيص للجهات التي تقدم الخدمات نيابه عن الجهات الحكوميه. الماده السابعه والثلاثون: تقدم ومعالجه الشكاوي 1 - لصاحب البيانات الشخصيه تقدم شكوي الي الجهه المختصه خلال مده ل تتجاوز (٩٠) يوما من تاريخ الحادثه محل الشكوي او علم صاحب البيانات الشخصيه بها، وللجهه المختصه تقدير قبول SDAIA الهييه السعوديه للبيانات والذكاء المضطاعي Saudi Data & AI Authority الشكوي من عدمه بعد تجاز هذه المده في الحالات التي يتبين لها وجود اسباب واقعيه منعت صاحب البيانات الشخصيه من تقديم شكواه خلال هذه الفتره. -2 تتلقي الجهه المختصه الشكاوي الوارده اليها من خلال الوسيله التي تبيتها، وذلك وفق اجراءات تكفل السرعه والجوده في التعامل معها. -3- تزيد الجهه المختصه الشكاوي المقدمه في سجل يعد لهذا الغرض. -4- يجب ان تتضمن الشكوي البيانات التاليه: ا - مكان وزمان المخالفه. ب- اسم مقدمها، وهويته، وعنوانه، ورقم هاتفه. ج- بيانات الجهه المشتكي ضدها. - د- وصف الفعل المخالف بشكل واضح ومحدد، والادله المعلومات المقدمه مع الشكوي. ه- اي متطلبات اخري تحدها الجهه المختصه. - تتولي الجهه المختصه فحص ودراسه الشكاوي ومستنداتها، ولها التواصل مع مقدم الشكوي بحسب الحاجه الي طلب المستندات والوثايق المعلومات ذات الصله. - تتولي الجهه المختصه اتخاذ البحارات اللازمه حيال الشكاوي الوارده اليها وتشعر مقدم الشكوي بالنتيجه التي انتهت اليها. الماده الثامنه والثلاثون: النشر والنفاذ تنشر هذه اللايحه في الجريده الرسميه والموقع الرسمي للجهه المختصه، ويعمل بها من تاريخ نفاذ النظام.