ncar · rules · processed · 36 chunks
NDMO مكتب اداره البيانات الوطنيه National Data Management Office القواعد العامه نقل البيانات الشخصيه خارج الحدود الجغرافيه للمملكه National Center for Archives & Reports النسخه الاولي 2020/11/25 الله الله الله الله الله الله الله الله الله الله الله الله الله الله الله الله الله الله National Center for Archives & Records جدول المحتويات 5. مقدمه 6. التعريفات 7. الاهداف 7. النطاق 7. حقوق اصحاب البيانات 8. التزامات الجهاات 10. اكام عامه National Center for Archives & Records NDMO مكتب اداره البيانات الوطنيه National Data Management Office الدليل الارشادي لتطوير اشعار الخصوصيه 1. مقدمه يعتبر التدفق الحر للبيان عبر الحدود – بما في ذلك البيانات الشخصيه – من اهم الاسس التي يقوم عليها الاقتصاد العالمي في هذا العمر مما يطلاب تحقيق التوازن بين التنميه الاقتصاديه وال محافظه علي حصويه اصاب البيانات الشخصيه. ومن هذا المنطلق، سعت العديد من الدول في جميع انحاء العالم الي الاستفاده من تبادل البيانات باعتبارها موردا اقتصدا يساهم في دعم التحولات الاقتصاديه ويعزز المقومات التنافسيه للدول وذلك من خلال سن الانظمه والتشريعات التي تنظم عمليه نقل البيانات الشخصيه عبر الحدود الجغرافيه للدول. وعلي الصعيد الوطني، تسعي المملكه الي وضع السياسات والمعايير الخاصه بنقل البيانات الشخصيه خارج الحدود الجغرافيه للمملكه بما يضمن المحافظه علي السياده الوطنيه علي هذه البيانات، وكذلك المحافظه علي خصوصيه اصحاب البيانات الشخصيه وحمايه حقوفهم من خلال تحديد التزامات جهات التحكم والمعالجه حيال عمليه نقل البيانات الشخصيه خارج الحدود الجغرافيه، وتوفير السايل المناسبه التي تمكن اصحاب البيانات من معاise كيفهم وصديد ادوار وسووبيات هذه البيانات بالاضافه الي الجهات التنظيميه والجهات الاشرافيه علي تطبيق احكام هذه السياسات. National Center for Archives & Records NDMO مكتب اداره البيانات الوطنيه National Data Management Office الدليل الارشادي لتطوير اشعار الخصوصيه 2. التعريفات لاغراض تطبيق هذه القواعد العامه، يقصد بالكلمات والمصلات الوارده ادناه -اينما وردت في هذه الوثيقه - المعاني الموضحه امام كل منها، ما لم يقتض سياق النص خلاف ذلك: البيانات الشخصيه: كل بيان - مهما كان مدره او شكله - من شانه ان يؤدي الي معرفه الفرد عليه وجه التديد، او يجعله قابلا للتعرف عليه بصفه او غير مباشره عند دجمه مع بيانات اخري، ويشمل ذلك - علي سبيل المثال لا الحصر - الاسم، وارقام الهويات الشخصيه، والعناوين، وارقام التواصل، وارقام الحسابات البنكيه والبقالات التثمانيه، وصور المستخدم الثابته او المتحركه، وغير ذلك من البيانات ذات الطابع SpRضي. البيانات الشخصيه الحساسه: كل بيان شخصي يتضمن الاشاره الي اصل الفرد العراقي او القبلي، او معتقده الديني او الفكري او السياسي، او يدل علي عضويته في جمعيات او مؤسسات اهليه. وكذلك البيانات البيانات والامنيه، وبيانات السماء الحيويه التي تKDد الحيويه، والبيانات الواریييه، والبيانات الماليه والاتمانيه، والبيانات الصحيه، وبيانات تKDد المواقع، والبيانات المتعلقه باجره الفرد، والبيانات التي تدل علي ان الفرد مجهول الابويين او احمد ما. نقل البيانات الشخصيه: ارسال البيانات الشخصيه الي جهه خارج الحدود الجغرافيه للمملكه - باي وسيله كانت - بهدف معالجتها سواء كانت بطريقه مباشره او غير مباشره وفقا لاغراض محدده مبنيه علي اسس نظاميه - بما في ذلك النقل لاغراض امنيه او لحمايه الصلاه العامه او تنفيذا التفاقيه تكون المملكه طرفا فيها. النقل المباشر: نقل البيانات الشخصيه من الجمه المرسله الي الجمه المستقبله دون مرور البيانات باي جهه اخري. النقل غير المباشر: نقل البيانات الشخصيه من الجمه المرسله الي الجمه المستقبله مورا بجهه اخري او اكثر. النقل العرضي: نقل البيانات الشخصيه بشكل غير متكرر او منظم - عاده ما يكون لمره واحده - لعدد محدود من الاشخاص. ومنها علي سبيل المثال، نقل البيانات لغير الاستفاده من خدمه في دوله اخري ل مصلحه صاحب البيانات. قايمه الاعتماد: قايمه معدوده من مكتب اداره البيانات الوطنيه تثممن اسماء الدول التي تتمتع بمستوي كافي من الحمايه لحقوق اصحاب البيانات فيما يتعلق بمعالجه بياناتهم الشخصيه. جهه التحكم: اي جهه حكوميه او جهه اعتباريه عامه مستقله في المملكه، واي شخصيه ذات صفه طبيعيه او اعتباريه خاصه: تعدد الغرض من معالجه البيانات الشخصيه وكيفيه ذلك: سواء تمت معالجه البيانات بولاستها او من خلال جهه المعالجه. جهه المعالجه: اي جهه حكوميه او جهه اعتباريه عامه مستقله في المملكه، واي شخصيه ذات صفه طبيعيه او اعتباريه خاصه: تعالي البيانات الشخصيه لصحه التحكم ونهايه عنها. الجهه العامه: اي جهه حكوميه او جهه اعتباريه عامه مستقله في المملكه، او اي من البحث لاتيابه لها - وعند في حكم الجهه العامه اي شركه تقوم اداره المرافق العامه او البني التحتيه الوطنيه او تشغيلها او صيانتها، او تقوم بمباشره خدمه عامه في بما يخص اداره تلك المرافق او البني التحتيه. الجهه التنظيميه: اي جهه حكوميه او جهه اعتباريه عامه مستقله تتولي مهمات ومسؤوليات تنظيميه او رقابيه لقطاع معين في المملكه العربيه السعوديه بناء علي مستند نظامي. المكتب: مكتب اداره البيانات الوطنيه NDMO مكتب اداره البيانات الوطنيه National Data Management Office الدليل الارشادي لтуير اشعار الخصوصيه 3. الاهداف اشاره الي قرار مجلس الوزراء رقم (292) وتاريخ (1441/04/27) القاضي في الفقره (1) من الماده عاشرا بان "يتولي المكتب وضع السياسات واليات الحوكمه والمعابير والضوابط الخاصه بالبيانات والذكراء الاستثناعي ومتابعه الالتزام بها بعد اقرارها". عليه فقد قام مكتب اداره البيانات الوطنيه بالاستفاده من المعياريات المعايير العامه عند اعداد القواعد العامه لنقل البيانات الشخصيه خارج الحدود الجغرافيه للمملكه والتي تهدف الي: . 1 دعم وتعزيز جدود المملكه في تحقيق الرؤيه والاستراتيجيات الوطنيه. . 2 المحافظه علي السياده الوطنيه الرقميه علي البيانات الشخصيه. العمل علي توفير افضل مستويات الحمايه عند نقل البيانات الشخصيه خارج الحدود الجغرافيه للمملكه لضمان المحافظه علي خصوصيه اصحابها وجمابه حقيقهم. 4. ايجاد التوازن بين الاثار والمخاطر المحتمله والحاجه الي نقل البيانات الشخصيه لاغراض محدده مبنيه علي اسس نظاميه. 5. ضمان الامتثال سياسه حمايه البيانات الشخصيه عند نقل البيانات خارج الحدود الجغرافيه للمملكه. النطاق. تنطبق احكام هذه الوثيقه علي جميع الجهات العامه واخلاصه وكذلك الجهات غير الربحيه في المملكه - المشوله بنطاق تطبيق سياسه حمايه البيانات الشخصيه - والتي تقوم بنقل البيانات الشخصيه الي جهات اخري خارج الحدود الجرغرافيه للمملكه بغرض معالجتها، ويستثني من ذلك نقط البيانات الشخصيه من والي الافراد مباشره. 5. حقوق اصحاب البيانات National Center for Archives & Records اشاره الي سياسه حمايه البيانات الشخصيه، فان المبادي الاساسيه لحمايه تنمخ الافراد حققا محدده فيما يتعلق بمعالجه بياناتهم الشخصيه، بينما تحدد التزامات جهات التحكم القواعد العامه التي يجي الانزام بها عند معاليتها. وفيما يتعلق بنقل البيانات الشخصيه عبر الحدود، فان لصاحب البيانات نفس الحقوق الموضحه في سياسه حمايه البيانات الشخصيه مع التاكيد علي الحقوق التاليه: اولا: الحق في العلم ويشمل ذلك اشعاره بالاساس النظامي او الاحتياج الفعلي لنقل بيانات الشخصيه خارج الحدود الجرافيه للمملكه ومكان تخزينها او استطافتها، والجهات التي سيتم الافصاح لها عن بيانات الشخصيه عند نقلها. والغرض من هذا النقل، واخذ موافقه علي ذلك، والتدابير الامنيه المتحذه لحمايه بياناته الشخصيه اثناء وبعد النقل. ثانيا: الذي في الرجوع عن موافقه علي معاليه بياناته الشخصيه خارج الحدود – في اي وقت – مالم يكن الغرض من نقل البيانات تحقيقا للصلحه العامه، او حمايه للمصالح الحيويه للافراد، او تنفيذا لمتطلبات نظريه. ثالثا: الحق في الوصول الي بياناته الشخصيه لدي جه التحكم/جهه المعالجه الخارجيه، وذلك للاطلاع عليها، وطلب تصحيحها، او اتمامها، او تحديدها، وطلب اتلاف ما انتهت الحاجه اليه منها، والحصول علي نسخه منها بسيغه واضحه. NDMO مكتب اداره البيانات الوطنيه National Data Management Office الدليل الارشادي لTUTWIR اشعار الخصوصيه 6. التزامات الجهات الاصل في المعالجه ان تكون داخل الحدود الجغرافيه للمملكه، حيث تقوم الجهه بتخزين البيانات الشخصيه ومعالجتها داخل المملكه لضمان المحافظه علي السياده الوطنيه علي هذه البيانات وحمايه خصوصيه اصاحبها، ولا يجوز نقلها او معالجتها خارج المملكه الا بعد التحقق من الحالات الموضحه ادناه حسب التسلسل التالي: 1. اذا كانت جهه المعالجه الخارجيه المسند ايها انشطه معالجه البيانات الشخصيه في دوله ضمن قايمه الاعتماد، تقدم وجه التحكم/جهه المعالجه الداخليه باخذ موافقه كتابيه من الجهه التنظيميه علي نقل البيانات، وعلي الجهه التنظيميه التنسيق مع المكتب. 2. اذا كانت جهه المعالجه الخارجيه في دوله ليست ضمن قايمه الاعتماد، فان نقل البيانات الشخصيه خارج الحدود الجغرافيه للمملكه يتطلب مستوي كان من الحمايه - لا يقل عن مستوي الحمايه الذي كفله سياسه حمايه البيانات الشخصيه الصادره من المكتب - بعد اجراء تقييم مستوي الحمايه التي توفرها جهه المعالجه الخارجيه. 3. اذا لم يكن مستوي كافي من الحمايه، متقوم الجهه بوضع ضمانات مناسبه لحمايه حقوق اصحاب البيانات، ومنها علي سبيل المثال، استخدم القياسيه، او القواعد الملازمه. 4. اذا لم تمكن الجهه من توفير الضمانات الكافيه فيمكن الاعتماد علي احد الاستثناءات النظاميه التي تتطلب نقل البيانات والموضحه في البند (ثالث) ادناه. في جميع الحالات الوارده في الفقرات (2) و (3) اعلاه، يجب علي جهه التحكم او المعالجه الداخليه الحصول علي موافقه كتابيه من الجهه التنظيميه علي نقل البيانات، وعلي الجهه التنظيميه التنسيه المعمكت. اولا: تقييم مستوي الحمايه يجب ان تقدم الجهه التي ترغب بنقل البيانات خارج الحدود الوطنيه اجراء تقييم الاثار والمخاطر المحتمله - لكل حاله علي حده - لتديد ما اذا كانت جهه التحكم/جهه المعالجه الخارجيه ستوفر مستوي كافي من الحمايه لحقق اصداب البيانات و عرض نتايج التقييم علي (المسؤل الاول للجهه) لتحديد مستوي قبول المخاطر واقرارها. وللقيام بذلك يجب ان تقوم الجهه بالالتزام بععابير التقييم سواء الععابير العامه او القانونيه - وذلك لضمان ان يكون مستوي الحمايه ملاما في جميع الطروفي: ا- معابير التقييم العامه طبيعه وجساسيه البيانات: يجاب علي الجنه عند تقييم مستوي الحمايه ان تاكد يعين الاعتبار نوع وقيبه وحجم البيانات المراد نقلها ودرجه حساسيتها، حيث ان نقل البيانات الخاصه ل巴ستقب مستوي عال من الحمايه. الغرض من معالجه البيانات: يجب علي الجنه عند تقييم مستوي الحمايه ان تاكد بعين الاعتبار الغرض من المعالجه والفقيه المستحده من اصحاب البيانات ونطاق المعالجه والجهات التي سيتم مشاركه البيانات معها، حيث ان معالجه بيانات شخصيه حساسه علي نطاق واسع يتطلب مستوي عال من الحمايه. - الفتره التي يتم خلالها معالجه البيانات: يجب علي الجنه عند تقييم مستوي الحمايه ان تاخذ بعين الاعتبار ما اذا كانت المعالجه ستتم بيكل مكتر ومنتظم، حيث ان البيانات الشخصيه التي سيتم معالجتها بشكل متقطع و استم بشكل متكرر ومنتظم، حيث ان البيانات الشخصيه التي سيتم معالجتها بشكل متقطع وعلي المدي الب甯ل تتطلب مستوي عال من الحمايه. NDMO مكتب اداره البيانات الوطنيه National Data Management Office الدليل الارشادي لتطوير اشعار الخصوصيه منها البيانات: يجب علي الجنه عند تقييم مستوي الحمايه ان تاخذ بعين الاعتبار الدوله التي جمعت البيانات فيما يتعلق بالضروره الدوله التي سيتم نقل البيانات منها - وذلك لتحديد توقعات اصحاب البيانات فيما يتعلق ب مستوي الحمايه، حيث ان نقل البيانات الشخصيه التي تم جمعها من دول تënض لمستوي حمايه عالي جدا يتطلب مستوي لا يقل عن مستوي الحمايه في هذه الدول. - الوحده النهاييه للبيانات: يجب علي الجنه عند تقييم مستوي الحمايه ان تاخذ بعين الاعتبار المراحل التي يتم بها نقل البيانات الشخصيه - والتي تم براكتر من دوله احيانا - وتقييم مستوي الحمايه في الدوله التي تعتبر هي الوجهه النهاييه - اخري مرحله من مراحل النقل. - الفوابط الامنيه: يجب علي الجنه عند تقييم مستوي الحمايه ان تاخذ بعين الاعتبار الاجراءات الاداريه والتدابير التقنيه والضوابط الماديه المعتمده في سياسات الجنه لامن المعلومات، كالتشغير والضوابط الامنيه والمعابير الدوليه. اذا اظهرت نتايج تقييم مستوي الحمايه – بناء علي المعابير العامه – انه بالظروف الخاصه ل’ السلبيه علي حقوق اصحاب البيانات محدوده والمخاطر المحتمله منخفضه، فقد يكون تقييم مستوي الحمايه - بناء علي المعابير القانونيه - طروي في هذه الحاله. ب- معابير التقيم القانونيه: يجب ان تqeو الجمه التي ترغب بنقل البيانات خارج الحدود الوطنيه بمراعاه هذه المعابير عندما تكون نتايج تقييم الاثار والمخاطر المحتمله في الفقره (ا) اعلاه غير كافيه، ومن هذه الحالات علي سبيل المثال، ان يتم نقل بيانات شخصيه حساسه بشكل دايم ومنتظم وعلي نطاق واسع. - الانظمه والتشريعات النافضه: يجي علي الجمه عند تقييم مستوي الحمايه ان تاخذ بعين الاعتبار ما اذا كان في الدوله - المراد نقل البيانات لها - انظمه وتشريعات تحمي حقوق اصحاب البيانات فيما يتعلي بمعالجه بياناتهم الشخصيه، وضمن قدره الاطراف المشاركه علي التعاقد والالالتزام بموجب هذه العقود. الالتزامات الدوليه: يجي علي الجمه عند تقييم مستوي الحمايه ان تاخذ بعين الاعتبار ما اذا كانت الدوله - المراد نقل البيانات لها - طرفا في اتفاقيات دوليه او تتبني مبادي ومعابير دوليه لحمايه البيانات الشخصيه. القواعد وال .ممارسات المعتمده: يجي علي الجمه عند تقييم مستوي الحمايه ان تاخذ بعين الاعتبار ما اذا كانت الدوله - المراد نقل البيانات لها - تعتمد قواعد سلوكيه او ممارسات عامه او معابير خاصه لحمايه البيانات الشخصيه. ثانيا: الضمانات المnasيه اذا كانت الجمه في دوله ليست من ضمن قايمه الاعتماد ولم تخضع ل تقييم مستوي المحايه او كان مستوي الحمايه غير كاف، فيجب عليها توفير الضمانات المناسبه لحمايه البيانات الشخصيه، ومنها البنود التعاقديه القياسيه: يجب علي الجمه ان تضلن في العقود والاتفاقيات بنود نموذجيه او قياسيه - يتم الموافقه عليها من قبل المكتب - لتقيد نقل البيانات الشخصيه خارج الحدود الجرافه للمملكه بما يضمن المحافظه علي خصوصيه اصحابها وحمايه حقيقهم. - القواعد المشركه المعلومه: يجب علي جمه التحكم وجبه المعالجه - كل علي حده - التي تعمل ضمن مجموعه متعدده الجنسيات ان تقوم اعداد قواعد مشركه داخليه ملمه قانونيا تنطبق علي عمليات نقل البيانات الشخصيه خارج الحدود بما في ذلك معالجه انتهاكات الخصوصيه والاشعار عنها - علي ان تتم الموافقه عليها من قبل المكتب، ويتم تضمين هذه القواعد المشركه كملق الاتفاقات مستوي الخدمه او العقود المربعه بين الجهيين. كما يجب علي هذه التحكم اخذ موافقه الجهه التخطييه عند وجود اي التزام قانوني تضع له هذه الجهه او احد الجهات التابعه لها في دوله اخري يرج ان يكون له اثر سلبي علي الضمانات التي توفرها القواعد المشركه المزلعه. NDMO مكتب اداره البيانات الوطنيه National Data Management Office الدليل الارشادي لطوير اشعار الخصوصيه - قواعد السلوك المعتمده: ان تقوم الجهات باستخدم قواعد السلوك المعتمده من الجهات التنظيميه او المكتب كااده قعاله تحدد الاتزامات علي جهات التحكم والمعالجه لضمان المحافظه علي خصوصيه اصحاب البيانات وحمايه. حقوقهم. - الشهادات المعتمده: ان تقوم الجهات بالاستعانه باطراف خارجيه مستقله تتولي اصدار شهادات اعتماد تؤكد وجود الضمانات المناسبه التي توفرها جهات التحكم او جهات المعالجه الخارجيه. كما تقوم هذه الجهات بتقدمي التزامات قابله للتنفيذ ل-تطبيق هذه الضمانات بما في ذلك الاحكام المتعلقه بحقوق اصحاب البيانات. - الاتفاقيات الملوحه بين الجهات العامنه: ان تقوم الجهات العامه - سواء - سواء جهت ان وجهات المعالجه - بتويع اتفاقيه ملوزه قانونيا لنقل البيانات الشخصيه علي ان تتضمن هذه الاتفاقيه علي بنود تعاقديه ملوزه تضمن المحافظه علي خصوصيه اصحاب البيانات وتحمي حقوقهم. ثالثا: الاستثناءات لحالات محدده يمكن للجهات نقل البيانات الشخصيه خارج الحدود الجغرافيه دون الالتزام بالشروط والاحكام الموضحه في البند (اول) والبند (ثانيا) اعلاه في حالات محدده، ومنها ان يكون نقل البيانات خارج الحدود الجغرافيه للملكه: 1. استثناء علي موافقه اصحاب البيانات. 2. تنفيذا لالتزام تعاقدي ويكون صاحب البيانات طرفا فيه. 3. تنفيذا لمتطلبات قضاييه. 4. تنفيذا لاحكام نظام اخر او اتفاقيه دوليه تكون المملكه طرفا فيها. 5. للمحافظه علي المصلحه العامه – بما في ذلك حمايه الصحه او السلامه العامه. 6. لحمايه المصالح الحيويه لاحصاب البيانات. في جميع هذه الالاده الوارده في الفقرات (1), (2), (3), (4), (5), يجب علي تحكم او المعالجه الداخليه الحصول علي موافقه كتابه من الجهه التظيفيه علي نقل البيانات - كل حاله علي حده - وعلي الجهه التظيفيه التنسيه مع المكتب. اما ما يتعلق بالحاله الوارده في الفقره (6) فيجب علي جهه التحكم او جهه المعالجه اشعار الجهه التنظيميه فقط، وعلي الجهه التظيفيه اشعار المكتب ذلك. 7. اكام عامه اولا: تتويي الجهات التنظيميه مواجه هذه الوثيقه مع واتلها التنظيميه وتعميمها علي جميع الجهات التابعه لها او المرتبطه بها بما يحدقق التكامل ويضمن تحقيق المنشود من اعداد هذه القواعد. ثانيا: تقوم الجهات التنظيميه بمراقبه امتثال الجهات التابعه لها او المرتبطه بها هذه القواعد بشكل دوري. ثالثا: يجب علي جهات التحكم وجهات المعالجه الامتثال له هذه القواعد وتوثيق الامتثال وفقا للاليات والاجراءات التي تحددها الجهات التنظيميه. رابعا: يجب علي جهات التحكم عند تعاقدها مع جهات المعالجه - داخل او خارج المملكه - ان تتحقق بشكل دوري من امتثال جهات المعالجه لهذه القواعد وفقا للايات والاجراءات التي تحددها الجهات التنظيميه، علي ان يشمل ذلك اي تعاقدات لاحقه تقوم بها جهات المعالجه. خامسا: يمارس المكتب ادوار ومهام الجهات التنظيميه علي جهات التحكم غير الخاضعه لجهات تنظيميه. سادسا: يحق للجهات التنظيميه وضع قواعد اضافيه لنقل انواع محدده من البيانات الشخصيه وفقا لطبيعه وحساريه هذه البيانات بعد التنسيق مع المكتب. NDMO مكتب اداره البيانات الوطنيه National Data Management Office الدليل الارشادي لتطوير اشعار الخصوصيه سابعا: يقوم المكتب بمراجعه معابير التقييم - العامه والقانونيه - المتعلقه بحمايه البيانات الشخصيه عند نقطها خارج الحدود الجغرافيه للمملكه واتخاذ القرارات المنظمه لها. ثامنا: يقوم المكتب بوضع قايمه محدده للعوامل الرييسيه التي تهدد مستوي الحمايه المناسبه، ومنها علي سبيل المثال، الانظمه والشريعات، حمايه الحقوق والحريات، الامن الوطني، قواعد حمايه البيانات الشخصيه، جمه اشرافيه لحمايه البيانات، الالتزامات المطره التي تعهدت بها الدوله. تاسعا: يقوم المكتب اعداد ومراجعه ونشر قايمه الاعتماد وتحديثها بشكل دوري وذلك بناء علي تقييم مستوي الحمايه المناسب بحيث لا يقل عن مستوي الحمايه الذي كفلته سياسه حمايه البيانات الشخصيه الصادره من المكتب. عاشر: يقوم المكتب اعداد ومراجعه البنود القياسيه لحمايه البيانات الشخصيه. National Center for Archives & Records الله الله الله الله الله الله الله الله الله الله الله الله الله الله الله الله الله الله National Center for Archives & Records National Center for Archives & Records