تعديلات نظام حماية البيانات الشخصية

uqn_gov_sa · law · processed · 32 chunks

1- تعديل تعريف (الاتلاف) الوارد في الفقره (7) من الماده (الاولي)؛ ليكون بالنص الاتي: «7- الاتلاف: اي اجراء يتم علي البيانات الشخصيه ويجعل من المتعذر الاطلاع عليها او استعادتها مره اخري او معرفه صاحبها علي وجه التحديد». 2- تعديل تعريف (الافصاح) الوارد في الفقره (8) من الماده (الاولي)؛ ليكون بالنص الاتي: «8- الافصاح: تمكين اي شخص –عدا جهه التحكم او جهه المعالجه بحسب الاحوال- من الحصول علي البيانات الشخصيه او استعمالها او الاطلاع عليها باي وسيله ولاي غرض». 3- تعديل تعريف (البيانات الحساسه) الوارد في الفقره (11) من الماده (الاولي)؛ ليكون بالنص الاتي: «البيانات الحساسه: «كل بيان شخصي يتعلق باصل الفرد العرقي او اصله الاثني، او معتقده الديني او الفكري او السياسي. وكذلك البيانات الامنيه والجناييه، او بيانات السمات الحيويه التي تحدد الهويه، او البيانات الوراثيه، او البيانات الصحيه، والبيانات التي تدل علي ان الفرد مجهول الابوين او احدهما». 4- تعديل تعريف (صاحب البيانات الشخصيه) الوارد في الفقره (61) من الماده (الاولي)؛ ليكون بالنص الاتي: «صاحب البيانات الشخصيه: الفرد الذي تتعلق به البيانات الشخصيه». 5- تعديل الماده (الرابعه)؛ لتكون بالنص الاتي: «يكون لصاحب البيانات الشخصيه –وفقا للاحكام الوارده في النظام وما تحدده اللوايح- الحقوق الاتيه: 1- الحق في العلم، ويشمل ذلك احاطته علما بالمسوغ النظامي لجمع بياناته الشخصيه والغرض من جمعها. 2- الحق في وصوله الي بياناته الشخصيه المتوافره لدي جهه التحكم، وفق الضوابط والاجراءات التي تحددها اللوايح، ودون اخلال بما ورد في الماده (التاسعه) من النظام. 3- الحق في طلب الحصول علي بياناته الشخصيه المتوافره لدي جهه التحكم بصيغه مقروءه وواضحه، وفق الضوابط والاجراءات التي تحددها اللوايح. 4- الحق في طلب تصحيح بياناته الشخصيه المتوافره لدي جهه التحكم، او اتمامها، او تحديثها. 5- الحق في طلب اتلاف بياناته الشخصيه المتوافره لدي جهه التحكم مما انتهت الحاجه اليه منها، وذلك دون اخلال بما تقضي به الماده (الثامنه عشره) من النظام». 6- احلال كلمه «صريحه» محل كلمه «كتابيه» الوارده في الفقره (1) من الماده (الخامسه). 7- اضافه فقره (4) الي الماده (السادسه)، بالنص الاتي: «4- عندما تكون المعالجه ضروريه لتحقيق مصالح مشروعه لجهه التحكم، ما لم يخل ذلك بحقوق صاحب البيانات الشخصيه او يتعارض مع مصالحه ولم تكن تلك البيانات بيانات حساسه. وتبين اللوايح الاحكام والضوابط المتعلقه بذلك». 8- تعديل الماده (الثامنه)، لتكون بالنص الاتي: «مع مراعاه ما ينص عليه النظام واللوايح في شان الافصاح عن البيانات الشخصيه، علي جهه التحكم عند اختيارها جهه المعالجه ان تلتزم باختيار الجهه التي توفر الضمانات اللازمه لتنفيذ احكام النظام واللوايح، وعليها التحقق من التزام تلك الجهه باحكام النظام واللوايح، ولا يخل ذلك بمسؤولياتها تجاه صاحب البيانات الشخصيه او الجهه المختصه بحسب الاحوال. وتحدد اللوايح الاحكام اللازمه لذلك، علي ان تشتمل علي الاحكام المتعلقه باي تعاقدات لاحقه تقوم بها جهه المعالجه». 9- تعديل الفقره (1) من الماده (التاسعه)، لتكون بالنص الاتي: «1- يجوز لجهه التحكم تحديد مدد لممارسه حق الوصول الي البيانات الشخصيه المقرر في الفقره (2) من الماده (الرابعه) من النظام؛ وفق ما تحدده اللوايح. ويجوز كذلك لجهه التحكم تقييد هذا الحق في الاحوال الاتيه: ا- اذا كان ذلك ضروريا لحمايه صاحب البيانات الشخصيه او غيره من اي ضرر؛ وفق الاحكام التي تحددها اللوايح. ب- اذا كانت جهه التحكم جهه عامه، وكان التقييد مطلوبا لاغراض امنيه او لتنفيذ نظام اخر او لاستيفاء متطلبات قضاييه». 10- تعديل الماده (العاشره)، لتكون بالنص الاتي: «لا يجوز لجهه التحكم جمع البيانات الشخصيه الا من صاحبها مباشره، ولا يجوز كذلك معالجه تلك البيانات الا لتحقيق الغرض الذي جمعت من اجله. ومع ذلك، يجوز لجهه التحكم جمع البيانات الشخصيه من غير صاحبها مباشره، او معالجتها لغرض اخر غير الذي جمعت من اجله، وذلك في الاحوال الاتيه: 1- اذا وافق صاحب البيانات الشخصيه علي ذلك، وفقا لاحكام النظام. 2- اذا كانت البيانات الشخصيه متاحه للعموم، او جري جمعها من مصدر متاح للعموم. 3- اذا كانت جهه التحكم جهه عامه، وكان جمع البيانات الشخصيه او معالجتها؛ مطلوبا لاغراض المصلحه العامه او لاغراض امنيه او لتنفيذ نظام اخر او لاستيفاء متطلبات قضاييه. 4- اذا كان التقيد بهذا الحظر قد يلحق ضررا بصاحب البيانات الشخصيه او يؤثر علي مصالحه الحيويه. 5- اذا كان جمع البيانات الشخصيه او معالجتها ضروريا لحمايه الصحه العامه او السلامه العامه او حمايه حياه فرد او افراد معينين او حمايه صحتهم. 6- اذا كانت البيانات الشخصيه لن تسجل او تحفظ في صيغه تجعل من الممكن تحديد هويه صاحبها ومعرفته بصوره مباشره او غير مباشره. 7- اذا كان جمع البيانات الشخصيه او معالجتها ضروريا لتحقيق مصالح مشروعه لجهه التحكم، ما لم يخل ذلك بحقوق صاحب البيانات الشخصيه او يتعارض مع مصالحه، ولم تكن تلك البيانات بيانات حساسه. وتبين اللوايح الاحكام والضوابط والاجراءات المتعلقه بما ورد في الفقرات من (2) الي (7) من هذه الماده». 11- تعديل الفقره (4) من الماده (الحاديه عشره)، لتكون بالنص الاتي: «4- اذا اتضح ان البيانات الشخصيه التي تجمع لم تعد ضروريه لتحقيق الغرض من جمعها، فعلي جهه التحكم التوقف عن جمعها، واتلاف ما سبق ان جمعته منها دون تاخير». 12- تعديل الماده (الثانيه عشره)، لتكون بالنص الاتي: «علي جهه التحكم ان تعتمد سياسه للخصوصيه، وان تجعلها متاحه لاصحاب البيانات الشخصيه ليطلعوا عليها عند جمع بياناتهم. علي ان تشتمل تلك السياسه علي تحديد الغرض من جمعها، ومحتوي البيانات الشخصيه المطلوب جمعها، وطريقه جمعها، ووسيله حفظها، وكيفيه معالجتها، وكيفيه اتلافها، وحقوق صاحبها فيما يتعلق بها، وكيفيه ممارسه هذه الحقوق». 13- تعديل الماده (الثالثه عشره)، وذلك علي النحو الاتي: ا- تعديل ديباجه الماده، لتكون بالنص الاتي: «علي جهه التحكم، في حاله جمع البيانات الشخصيه من صاحبها مباشره، اتخاذ الوسايل الكافيه لاحاطته علما بالعناصر الاتيه عند جمع بياناته:...». ب- تعديل الفقره (1) من الماده، لتكون بالنص الاتي: «1- المسوغ النظامي لجمع بياناته الشخصيه». 14- تعديل الماده (الخامسه عشره)، لتكون بالنص الاتي: «لا يجوز لجهه التحكم الافصاح عن البيانات الشخصيه الا في الاحوال الاتيه: 1- اذا وافق صاحب البيانات الشخصيه علي الافصاح وفقا لاحكام النظام. 2- اذا كانت البيانات الشخصيه قد جري جمعها من مصدر متاح للعموم. 3- اذا كانت الجهه التي تطلب الافصاح جهه عامه، وكان ذلك لاغراض المصلحه العامه او لاغراض امنيه او لتنفيذ نظام اخر او لاستيفاء متطلبات قضاييه. 4- اذا كان الافصاح ضروريا لحمايه الصحه العامه او السلامه العامه او حمايه حياه فرد او افراد معينين او حمايه صحتهم. 5- اذا كان الافصاح سيقتصر علي معالجتها لاحقا بطريقه لا تؤدي الي معرفه هويه صاحب البيانات الشخصيه او اي فرد اخر علي وجه التحديد. 6- اذا كان الافصاح ضروريا لتحقيق مصالح مشروعه لجهه التحكم، ما لم يخل ذلك بحقوق صاحب البيانات الشخصيه او يتعارض مع مصالحه ولم تكن تلك البيانات بيانات حساسه. وتبين اللوايح الاحكام والضوابط والاجراءات المتعلقه بما ورد في الفقرات من (2) الي (6) من هذه الماده». 15- تعديل ديباجه الماده (السادسه عشره)، لتكون بالنص الاتي: «علي جهه التحكم الا تفصح عن البيانات الشخصيه في الاحوال المنصوص عليها في الفقرات (1) و(2) و(5) و(6) من الماده (الخامسه عشره) من النظام، متي اتصف الافصاح باي مما ياتي...». 16- تعديل الفقره (1) من الماده (الثامنه عشره)، لتكون بالنص الاتي: «1- علي جهه التحكم اتلاف البيانات الشخصيه بعد انتهاء الغرض من جمعها دون تاخير. ومع ذلك، يجوز لها الاحتفاظ بتلك البيانات بعد انتهاء الغرض من جمعها اذا تمت ازاله كل ما يؤدي الي معرفه صاحبها علي وجه التحديد وفق الضوابط التي تحددها اللوايح». 17- تعديل الماده (العشرين)، لتكون بالنص الاتي: «1- تشعر جهه التحكم الجهه المختصه عند علمها بحدوث تسرب لبيانات شخصيه او تلفها او وصول غير مشروع اليها؛ وفقا لما تحدده اللوايح. 2- تشعر جهه التحكم صاحب البيانات الشخصيه اذا كان من شان حدوث تسرب لبيانات شخصيه او تلفها او وصول غير مشروع اليها ان يرتب ضررا علي بياناته او يتعارض مع حقوقه او مصالحه؛ وفقا لما تحدده اللوايح». 18- احلال كلمه «الصريحه» محل كلمه «الكتابيه» الوارده في الفقره (1) من الماده (الرابعه والعشرين). 19- تعديل الماده (التاسعه والعشرين)؛ لتكون بالنص الاتي: «1- مع مراعاه ما ورد في الفقره (2) من هذه الماده، يجوز لجهه التحكم نقل البيانات الشخصيه الي خارج المملكه او الافصاح عنها لجهه خارج المملكه، وذلك لتحقيق اي من الاغراض الاتيه: ا- اذا كان ذلك تنفيذا لالتزام بموجب اتفاقيه تكون المملكه طرفا فيه. ب- اذا كان ذلك لخدمه مصالح المملكه. ج- اذا كان ذلك تنفيذا لالتزام يكون صاحب البيانات الشخصيه طرفا فيه. د- اذا كان ذلك تنفيذا لاغراض اخري وفق ما تحدده اللوايح. 2- تكون الشروط الواجب توافرها عند نقل البيانات الشخصيه او الافصاح عنها -وفق ما ورد في الفقره (1) من هذه الماده- علي النحو الاتي: ا- الا يترتب علي النقل او الافصاح مساس بالامن الوطني او بمصالح المملكه الحيويه. ب- ان يتوافر مستوي مناسب لحمايه البيانات الشخصيه في خارج المملكه؛ بما لا يقل عن مستوي الحمايه المقرر في النظام واللوايح، وفقا لنتايج تقويم تجريه الجهه المختصه في هذا الشان بالتنسيق مع من تراه من الجهات المعنيه. ج- ان يقتصر النقل او الافصاح علي الحد الادني من البيانات الشخصيه الذي تدعو الحاجه اليه. 3- لا يسري ما ورد في الفقره (2) من هذه الماده علي حالات الضروره القصوي للمحافظه علي حياه صاحب البيانات الشخصيه او مصالحه الحيويه او الوقايه من عدوي مرضيه او فحصها او معالجتها. 4- تحدد اللوايح الاحكام والمعايير والاجراءات المتعلقه بتطبيق ما ورد في هذه الماده، بما في ذلك تحديد حالات اعفاء جهات التحكم من الالتزام باي من الشروط المشار اليها في الفقرتين الفرعيتين (ب) و(ج) من الفقره (2) من هذه الماده، وكذلك ضوابط واجراءات ذلك الاعفاء والعدول عنه». 20- تعديل الماده (الثلاثين)، لتكون بالنص الاتي: «1- مع عدم الاخلال باحكام النظام، وما للبنك المركزي السعودي من صلاحيات وفقا لما تقضي به النصوص النظاميه ذات العلاقه، تكون الجهه المختصه الجهه المشرفه علي تطبيق احكام النظام واللوايح. 2- تحدد اللوايح الاحوال التي يجب فيها علي جهه التحكم تعيين او تحديد شخص (او اكثر) يتولي دور مسؤول حمايه البيانات الشخصيه، وتبين اللوايح كذلك مسؤولياته بما يتفق مع احكام النظام واللوايح. 3- علي جهه التحكم التعاون مع الجهه المختصه في سبيل مباشرتها مهماتها المتعلقه بالاشراف علي تطبيق احكام النظام واللوايح، وعليها كذلك اتخاذ ما يلزم من اجراءات حيال المسايل المتعلقه بذلك التي تحيلها الجهه المختصه اليها. 4- للجهه المختصه في سبيل مباشرتها مهماتها المتعلقه بالاشراف علي تطبيق احكام النظام واللوايح، اتخاذ ما ياتي: ا- طلب الوثايق او المعلومات اللازمه من جهه التحكم للتاكد من التزامها باحكام النظام واللوايح. ب- الاستعانه باي جهه اخري لاغراض المسانده في مباشرتها مهماتها المتعلقه بالاشراف علي تطبيق احكام النظام واللوايح. ج- تحديد الادوات والاليات المناسبه في شان مراقبه ومتابعه التزام جهات التحكم باحكام النظام واللوايح، بما في ذلك بناء سجل وطني لهذا الغرض عن جهات التحكم. د- تقديم الخدمات المتعلقه بحمايه البيانات الشخصيه من خلال السجل الوطني المشار اليه في الفقره الفرعيه (ج) من هذه الفقره او من خلال اي وسيله اخري؛ وفقا لما تراه مناسبا. وللجهه المختصه استحصال مقابل مالي عن الخدمات التي تقدمها المتعلقه بحمايه البيانات الشخصيه. 5- يجوز للجهه المختصه –وفق ما تقدره- تفويض غيرها من الجهات في مباشره بعض المهمات الموكوله اليها المتعلقه بالاشراف علي تطبيق احكام النظام واللوايح». 21- الغاء الماده (الثانيه والثلاثين). 22- تعديل الماده (الثالثه والثلاثين)، لتكون بالنص الاتي: «1- تضع الجهه المختصه اشتراطات ممارسه الانشطه التجاريه او المهنيه او غير الربحيه المرتبطه بحمايه البيانات الشخصيه في المملكه، بالتنسيق مع الجهات المعنيه، وبما لا يخل بما تضعه تلك الجهات من اشتراطات اخري بحسب اختصاصاتها. 2- للجهه المختصه الترخيص لجهات تتولي اصدار شهادات اعتماد لجهه التحكم وجهه المعالجه. وتضع الجهه المختصه القواعد المنظمه لاصدار تلك الشهادات. 3- للجهه المختصه الترخيص لجهات تتولي اعمال التدقيق او الفحص لانشطه معالجه البيانات الشخصيه بحسب طبيعه النشاط الذي تمارسه جهه التحكم؛ وفق الاحكام التي تحددها اللوايح. وتضع الجهه المختصه شروط ومتطلبات اصدار تلك التراخيص، والقواعد المنظمه لها. 4- تتولي الجهه المختصه تحديد الادوات والاليات المناسبه لمتابعه التزام الجهات التي في خارج المملكه بالتزاماتها المقرره بموجب احكام النظام واللوايح عند معالجتها لبيانات شخصيه متعلقه بالافراد المقيمين في المملكه باي وسيله كانت، والاجراءات المتعلقه بانفاذ احكام النظام واللوايح خارج المملكه». 23- تعديل الماده (الخامسه والثلاثين)، لتكون بالنص الاتي: «1- مع عدم الاخلال باي عقوبه اشد منصوص عليها في نظام اخر، يعاقب بالسجن مده لا تزيد علي (سنتين) وبغرامه لا تزيد علي (ثلاثه ملايين) ريال، او باحدي هاتين العقوبتين؛ كل من افصح عن بيانات حساسه او نشرها مخالفا احكام النظام، اذا كان ذلك بقصد الاضرار بصاحب البيانات او بقصد تحقيق منفعه شخصيه. 2- تختص النيابه العامه بمهمه التحقيق، والادعاء امام المحكمه المختصه، عن المخالفه المنصوص عليها في الفقره (1) من هذه الماده. 3- تتولي المحكمه المختصه النظر في الدعاوي الناشيه من تطبيق هذه الماده وايقاع العقوبات المقرره. 4- يجوز للمحكمه المختصه مضاعفه عقوبه الغرامه المنصوص عليها في الفقره (1) من هذه الماده في حاله العود حتي لو ترتب عليها تجاوز الحد الاقصي لها، علي الا تتجاوز ضعف هذا الحد». 24- تعديل الفقره (2) من الماده (السادسه والثلاثين)، لتكون بالنص الاتي: «2- تكون بقرار من رييس الجهه المختصه لجنه (او اكثر) لا يقل عدد اعضايها عن (ثلاثه)، ويسمي احدهم رييسا، ويكون منهم مختص فني ومستشار نظامي؛ تتولي النظر في المخالفات وايقاع عقوبه الانذار او الغرامه المنصوص عليها في الفقره (1) من هذه الماده، وذلك بحسب نوع المخالفه المرتكبه وجسامتها ومدي تاثيرها، علي ان يعتمد قرار اللجنه رييس الجهه المختصه او من يفوضه بذلك. ويصدر رييس الجهه المختصه -بقرار منه- قواعد عمل اللجنه، وتحدد فيها مكافات اعضايها». 25- تعديل الماده (السابعه والثلاثين)، لتكون بالنص الاتي: «1- يتولي الموظفون او العاملون –الذين يصدر بتسميتهم قرار من رييس الجهه المختصه- صلاحيات الضبط والتفتيش المتعلقه بالمخالفات المنصوص عليها في النظام او اللوايح. ويصدر رييس الجهه المختصه قواعد واجراءات عملهم بما يتفق مع النصوص النظاميه ذات الصله. 2- للموظفين او العاملين –المنصوص عليهم في الفقره (1) من هذه الماده- الاستعانه بجهات الضبط الجنايي او الجهات المختصه الاخري؛ وذلك في سبيل قيامهم بمهمات واجراءات الضبط والتفتيش المتعلقه بالمخالفات المنصوص عليها في النظام او اللوايح. 3- للجهه المختصه الحق في حجز الوسايل او الادوات المستخدمه في ارتكاب المخالفه الي حين البت فيها». 26- تعديل الماده (الثانيه والاربعين)، لتكون بالنص الاتي: «يصدر رييس الجهه المختصه اللوايح، وذلك في مده لا تتجاوز (سبعمايه وعشرين) يوما من تاريخ صدور النظام، علي ان ينسق -قبل اصدارها- مع: (وزاره الاتصالات وتقنيه المعلومات، ووزاره الخارجيه، وهييه الاتصالات والفضاء والتقنيه، وهييه الحكومه الرقميه، والهييه الوطنيه للامن السيبراني، والمجلس الصحي السعودي، والبنك المركزي السعودي)، كل فيما يخصه». 27- تعديل الماده (الثالثه والاربعين)، لتكون بالنص الاتي: «يعمل بالنظام بعد (سبعمايه وعشرين) يوما من التاريخ الذي نشر به في الجريده الرسميه».