نظام حماية البيانات الشخصية

uqn_gov_sa · law · processed · 58 chunks

الماده الاولي:لغرض تطبيق هذا النظام، يقصد بالالفاظ والعبارات الاتيه -اينما وردت في هذا النظام- المعاني المبينه امام كل منها، ما لم يقتض السياق غير ذلك:1-النظام:نظام حمايه البيانات الشخصيه.2-اللوايح:اللوايح التنفيذيه للنظام.3-الجهه المختصه:الجهه التي يصدر بتحديدها قرار من مجلس الوزراء.4-البيانات الشخصيه:كل بيان -مهما كان مصدره او شكله- من شانه ان يؤدي الي معرفه الفرد علي وجه التحديد، او يجعل التعرف عليه ممكنا بصفه مباشره او غير مباشره، ومن ذلك: الاسم، ورقم الهويه الشخصيه، والعناوين، وارقام التواصل، وارقام الرخص والسجلات والممتلكات الشخصيه، وارقام الحسابات البنكيه والبطاقات الايتمانيه، وصور الفرد الثابته او المتحركه، وغير ذلك من البيانات ذات الطابع الشخصي.5-المعالجه:اي عمليه تجري علي البيانات الشخصيه باي وسيله كانت يدويه او اليه، ومن ذلك:عمليات الجمع، والتسجيل، والحفظ، والفهرسه، والترتيب، والتنسيق، والتخزين، والتعديل والتحديث، والدمج، والاسترجاع، والاستعمال، والافصاح، والنقل، والنشر، والمشاركه في البيانات او الربط البيني، والحجب، والمسح، والاتلاف.6-الجمع:حصول جهه التحكم علي البيانات الشخصيه وفقا لاحكام النظام، سواء من صاحبها مباشره او ممن يمثله او ممن له الولايه الشرعيه عليه او من طرف اخر.7-الاتلاف:كل عمل يؤدي الي ازاله البيانات الشخصيه ويجعل من المتعذر الاطلاع عليها او استعادتها مره اخري.8-الافصاح:تمكين اي شخص -عدا جهه التحكم- من الحصول علي البيانات الشخصيه او استعمالها او الاطلاع عليها باي وسيله ولاي غرض.9-النقل:نقل البيانات الشخصيه من مكان الي اخر لمعالجتها.10-النشر:بث اي من البيانات الشخصيه عبر وسيله نشر مقروءه او مسموعه او مرييه، او اتاحتها.11-البيانات الحساسه:كل بيان شخصي يتضمن الاشاره الي اصل الفرد العرقي او اصله القبلي، او معتقده الديني او الفكري او السياسي، او يدل علي عضويته في جمعيات او مؤسسات اهليه. وكذلك البيانات الجناييه والامنيه، او بيانات السمات الحيويه التي تحدد الهويه، او البيانات الوراثيه، او البيانات الايتمانيه، او البيانات الصحيه، وبيانات تحديد الموقع، والبيانات التي تدل علي ان الفرد مجهول الابوين او احدهما.12-البيانات الوراثيه:كل بيان شخصي يتعلق بالخصايص الوراثيه او المكتسبه لشخص طبيعي، يحدد بشكل فريد السمات الفيسيولوجيه او الصحيه لذلك الشخص، ويستخلص من تحليل عينه بيولوجيه للشخص كتحليل الاحماض النوويه او تحليل اي عينه اخري تؤدي الي استخلاص بيانات وراثيه.13-البيانات الصحيه:كل بيان شخصي يتعلق بحاله الفرد الصحيه، سواء الجسديه او العقليه او النفسيه او المتعلقه بالخدمات الصحيه الخاصه به.14-الخدمات الصحيه:الخدمات المتعلقه بصحه الفرد، ومن ذلك الخدمات الوقاييه والعلاجيه والتاهيليه والتنويم وتوفير الدواء.15-البيانات الايتمانيه:كل بيان شخصي يتعلق بطلب الفرد الحصول علي تمويل، او حصوله عليه، سواء لغرض شخصي او عايلي، من جهه تمارس التمويل، بما في ذلك اي بيان يتعلق بقدرته علي الحصول علي ايتمان او بقدرته علي الوفاء به او بتاريخه الايتماني.16- صاحب البيانات الشخصيه: الفرد الذي تتعلق به البيانات الشخصيه او من يمثله او من له الولايه الشرعيه عليه.17-الجهه العامه:اي وزاره او مصلحه او مؤسسه عامه او هييه عامه، او اي جهه عامه مستقله في المملكه، او اي من الجهات التابعه لها.18-جهه التحكم:اي جهه عامه، واي شخصيه ذات صفه طبيعيه او اعتباريه خاصه؛ تحدد الغرض من معالجه البيانات الشخصيه وكيفيه ذلك؛ سواء اباشرت معالجه البيانات بوساطتها ام بوساطه جهه المعالجه.19-جهه المعالجه:اي جهه عامه، واي شخصيه ذات صفه طبيعيه او اعتباريه خاصه؛ تعالج البيانات الشخصيه لمصلحه جهه التحكم ونيابه عنها.الماده الثانيه:1- يطبق النظام علي اي عمليه معالجه لبيانات شخصيه تتعلق بالافراد تتم في المملكه باي وسيله كانت، بما في ذلك معالجه البيانات الشخصيه المتعلقه بالافراد المقيمين في المملكه باي وسيله كانت من اي جهه خارج المملكه. ويشمل ذلك بيانات المتوفي اذا كانت ستؤدي الي معرفته او معرفه احد افراد اسرته علي وجه التحديد.2- يستثني من نطاق تطبيق النظام، قيام الفرد بمعالجه البيانات الشخصيه لاغراض لا تتجاوز الاستخدام الشخصي او العايلي، ما دام انه لم ينشرها او يفصح عنها للغير. وتحدد اللوايح المقصود بالاستخدام الشخصي والعايلي المنصوص عليهما في هذه الفقره.الماده الثالثه:لا تخل الاحكام والاجراءات المنصوص عليها في النظام باي حكم يمنح حقا لصاحب البيانات الشخصيه او يقرر حمايه افضل لها، ينص عليه نظام اخر او اتفاقيه دوليه تكون المملكه طرفا فيها.الماده الرابعه:يكون لصاحب البيانات الشخصيه -وفقا للاحكام الوارده في النظام- الحقوق الاتيه:1- الحق في العلم، ويشمل ذلك احاطته علما بالمسوغ النظامي او العملي المعتبر لجمع بياناته الشخصيه، والغرض من ذلك، والا تعالج بياناته لاحقا بصوره تتنافي مع الغرض من جمعها او في غير الاحوال المنصوص عليها في الماده (العاشره) من النظام.2- الحق في وصوله الي بياناته الشخصيه المتوافره لدي جهه التحكم، ويشمل ذلك الاطلاع عليها، والحصول علي نسخه منها بصيغه واضحه ومطابقه لمضمون السجلات وبلا مقابل مادي -وفقا لما تحدده اللوايح- وذلك دون اخلال بما يقضي به نظام المعلومات الايتمانيه فيما يخص المقابل المالي، ودون اخلال بما تقضي به الماده (التاسعه) من النظام.3- الحق في طلب تصحيح بياناته الشخصيه المتوافره لدي جهه التحكم، او اتمامها، او تحديثها.4- الحق في طلب اتلاف بیاناته الشخصيه المتوافره لدي جهه التحكم مما انتهت الحاجه اليه منها، وذلك دون اخلال بما تقضي به الماده (الثامنه عشره) من النظام.5- الحقوق الاخري المنصوص عليها في النظام، التي تبينها اللوايح.الماده الخامسه:1- فيما عدا الاحوال المنصوص عليها في النظام، لا تجوز معالجه البيانات الشخصيه او تغيير الغرض من معالجتها الا بعد موافقه صاحبها. وتبين اللوايح شروط الموافقه، والاحوال التي يجب فيها ان تكون الموافقه كتابيه، والشروط والاحكام المتعلقه بالحصول علي الموافقه من الولي الشرعي اذا كان صاحب البيانات الشخصيه ناقص او عديم الاهليه.2- في جميع الاحوال، يجوز لصاحب البيانات الشخصيه الرجوع عن الموافقه المشار اليها في الفقره (1) من هذه الماده في اي وقت، وتحدد اللوايح الضوابط اللازمه لذلك.الماده السادسه:لا تخضع معالجه البيانات الشخصيه للموافقه المشار اليها في الفقره (1) من الماده (الخامسه) من النظام، في الاحوال الاتيه:1- عندما تحقق المعالجه مصلحه متحققه لصاحب البيانات وكان الاتصال به متعذرا او كان من الصعب تحقيق ذلك.2- عندما تكون المعالجه بمقتضی نظام اخر او تنفيذا لاتفاق سابق يكون صاحب البيانات الشخصيه طرفا فيه.3- اذا كانت جهه التحكم جهه عامه، وكانت تلك المعالجه مطلوبه لاغراض امنيه او لاستيفاء متطلبات قضاييه.الماده السابعه:لا يجوز ان تكون الموافقه المشار اليها في الفقره (1) من الماده (الخامسه) من النظام شرطا لاسداء خدمه او تقديم منفعه، ما لم تكن الخدمه او المنفعه ذات علاقه بمعالجه البيانات الشخصيه التي صدرت الموافقه عليها.الماده الثامنه:مع مراعاه ما ينص عليه النظام واللوايح في شان الافصاح عن البيانات الشخصيه، علي جهه التحكم عند اختيارها جهه المعالجه ان تلتزم باختيار الجهه التي توفر الضمانات اللازمه لتنفيذ احكام النظام واللوايح، وعليها التحقق بصفه مستمره من التزام تلك الجهه بالتعليمات التي توجهها اليها في جميع ما يتعلق بحمايه البيانات الشخصيه بما لا يتعارض مع احكام النظام واللوايح، ولا يخل ذلك بمسؤولياتها تجاه صاحب البيانات الشخصيه او الجهه المختصه بحسب الاحوال. وتحدد اللوايح الاحكام اللازمه لذلك، علي ان تشتمل علي الاحكام المتعلقه باي تعاقدات لاحقه تقوم بها جهه المعالجه.الماده التاسعه:1- يجوز لجهه التحكم تحديد مدد لممارسه حق الوصول الي البيانات الشخصيه المقرر في الفقره (2) من الماده (الرابعه) من النظام، وتتولي الجهه المختصه تحديد المده المناسبه لذلك. ويجوز كذلك لجهه التحكم تقييد هذا الحق في الاحوال الاتيه:ا- اذا كان ذلك ضروريا لحمايه صاحب البيانات الشخصيه او غيره من اي ضرر؛ وفق الاحكام التي تحددها اللوايح.ب- اذا كانت جهه التحكم جهه عامه، وكان التقييد مطلوبا لاغراض امنيه او لتنفيذ نظام اخر او لاستيفاء متطلبات قضاييه.2- يجب علي جهه التحكم الا تمكن صاحب البيانات الشخصيه من الوصول اليها متي تحقق اي من الاحوال المنصوص عليها في الفقرات (1) و(2) و(3) و(4) و(5) و(6) من الماده (السادسه عشره) من النظام.الماده العاشره:لا يجوز لجهه التحكم جمع البيانات الشخصيه الا من صاحبها مباشره، ولا تجوز كذلك معالجه تلك البيانات الا لتحقيق الغرض الذي جمعت من اجله. ومع ذلك، يجوز لجهه التحكم جمع البيانات الشخصيه من غير صاحبها مباشره، او معالجتها لغرض اخر غير الذي جمعت من اجله، وذلك في الاحوال الاتيه:1- اذا وافق صاحب البيانات الشخصيه علي ذلك، وفقا لاحكام النظام.2- اذا كانت البيانات الشخصيه متاحه للعموم، او جري جمعها من مصدر متاح للعموم.3- اذا كانت جهه التحكم جهه عامه، وكان جمع البيانات الشخصيه من غير صاحبها مباشره، او معالجتها لغرض اخر غير الذي جمعت من اجله؛ مطلوبا لاغراض امنيه او لتنفيذ نظام اخر او لاستيفاء متطلبات قضاييه وفق الاحكام التي تحددها اللوايح.4- اذا كان التقيد بهذا الحظر قد يلحق ضررا بصاحب البيانات الشخصيه او يؤثر علي مصالحه الحيويه؛ وفق الاحكام التي تحددها اللوايح.5- اذا كان جمع البيانات الشخصيه او معالجتها ضروريا لحمايه الصحه او السلامه العامه او حمايه حياه فرد او افراد معينين او حمايه صحتهم. وتبين اللوايح الضوابط والاجراءات المتعلقه بذلك.6- اذا كانت البيانات الشخصيه لن تسجل او تحفظ في صيغه تجعل من الممكن تحديد هويه صاحبها ومعرفته بصوره مباشره او غير مباشره. وتبين اللوايح الضوابط والاجراءات المتعلقه بذلك.الماده الحاديه عشره:1- يجب ان يكون الغرض من جمع البيانات الشخصيه ذا علاقه مباشره باغراض جهه التحكم، والا يتعارض مع اي حكم مقرر نظاما.2- يجب الا تتعارض طرق جمع البيانات الشخصيه ووسايلها مع اي حكم مقرر نظاما، وان تكون ملايمه لظروف صاحبها، ومباشره وواضحه وامنه، وخاليه من اساليب الخداع او التضليل او الابتزاز.3- يجب ان يكون محتوي البيانات الشخصيه ملايما ومقصورا علي الحد الادني اللازم لتحقيق الغرض من جمعها، مع تجنب شموله علي ما يؤدي الي معرفه صاحبها بصوره محدده متي تحقق الغرض من جمعها. وتحدد اللوايح الضوابط اللازمه لذلك.4- اذا اتضح ان البيانات الشخصيه التي تجمع لم تعد ضروريه لتحقيق الغرض من جمعها، فعلی جهه التحكم التوقف عن جمعها، واتلاف ما سبق ان جمعته منها فورا.الماده الثانيه عشره:علي جهه التحكم ان تعتمد سياسه لخصوصيه البيانات الشخصيه، وان تجعلها متاحه لاصحابها ليطلعوا عليها قبل جمع بياناتهم. علي ان تشتمل تلك السياسه علي تحديد الغرض من جمعها، ومحتوي البيانات الشخصيه المطلوب جمعها، وطريقه جمعها، ووسيله حفظها، وكيفيه معالجتها، وكيفيه اتلافها، وحقوق صاحبها فيما يتعلق بها، وكيفيه ممارسه هذه الحقوق.الماده الثالثه عشره:علي جهه التحكم، في حاله جمع البيانات الشخصيه من صاحبها مباشره، اتخاذ الوسايل الكافيه لاحاطته علما بالعناصرالاتيه قبل البدء في جمع بياناته:1- المسوغ النظامي او العملي المعتبر لجمع بياناته الشخصيه.2- الغرض من جمع بياناته الشخصيه، وما اذا كان جمعها كلها او بعضها الزاميا ام اختياريا، واحاطته كذلك بان بياناته لن تعالج لاحقا بصوره تتنافي مع الغرض من جمعها او في غير الاحوال المنصوص عليها في الماده (العاشره) من النظام.3- هويه من يجمع البيانات الشخصيه وعنوان مرجعه عند الاقتضاء، ما لم يكن جمعها لاغراض امنيه.4- الجهه او الجهات التي سيجري افصاح البيانات الشخصيه اليها، وصفتها، وما اذا كانت البيانات الشخصيه ستنقل او سيفصح عنها او ستعالج خارج المملكه.5- الاثار والاخطار المحتمله التي تترتب علي عدم اتمام اجراء جمع البيانات الشخصيه.6- حقوقه المنصوص عليها في الماده (الرابعه) من النظام.7- العناصر الاخري التي تحددها اللوايح بحسب طبيعه النشاط الذي تمارسه جهه التحكم.الماده الرابعه عشره:لا يجوز لجهه التحكم ان تعالج البيانات الشخصيه دون اتخاذ خطوات كافيه للتحقق من دقتها واكتمالها وحداثتها وارتباطها بالغرض الذي جمعت من اجله وفقا لاحكام النظام.الماده الخامسه عشره:لا يجوز لجهه التحكم الافصاح عن البيانات الشخصيه الا في الاحوال الاتيه:1- اذا وافق صاحب البيانات الشخصيه علي الافصاح وفقا لاحكام النظام.2- اذا كانت البيانات الشخصيه قد جري جمعها من مصدر متاح للعموم.3- اذا كانت الجهه التي تطلب الافصاح جهه عامه، وذلك لاغراض امنيه او لتنفيذ نظام اخر او لاستيفاء متطلبات قضاييه وفق الاحكام التي تحددها اللوايح.4- اذا كان الافصاح ضروريا لحمايه الصحه او السلامه العامه او حمايه حياه فرد او افراد معينين او حمايه صحتهم. وتبين اللوايح الضوابط والاجراءات المتعلقه بذلك.5- اذا كان الافصاح سيقتصر علي معالجتها لاحقا بطريقه لا تؤدي الي معرفه هويه صاحب البيانات الشخصيه او اي فرد اخر علي وجه التحديد. وتبين اللوايح الضوابط والاجراءات المتعلقه بذلك.الماده السادسه عشره:علي جهه التحكم الا تفصح عن البيانات الشخصيه في الاحوال المنصوص عليها في الفقرات (1) و(2) و(5) من الماده (الخامسه عشره) من النظام، متي اتصف الافصاح باي مما ياتي:1- انه يمثل خطرا علي الامن، او يسيء الي سمعه المملكه، او يتعارض مع مصالحها.2- انه يؤثر علي علاقات المملكه مع دوله اخري.3- انه يمنع من كشف جريمه او يمس حقوق متهم في الحصول علي محاكمه عادله او يؤثر في سلامه اجراءات جناييه قايمه.4- انه يعرض سلامه فرد او افراد للخطر.5- انه يترتب عليه انتهاك خصوصيه فرد اخر غير صاحب البيانات الشخصيه وفق ما تحدده اللوايح.6- انه يتعارض مع مصلحه ناقص او عديم الاهليه.7- انه يخل بالتزامات مهنيه مقرره نظاما.8- انه ينطوي عليه اخلال بالتزام او اجراء او حكم قضايي.9- انه يكشف عن مصدر سري لمعلومات تحتم المصلحه العامه عدم الكشف عنه.الماده السابعه عشره:1- اذا جري تصحيح خطا او اكمال نقص او اجراء تحديث في البيانات الشخصيه، فعلي جهه التحكم ان تشعر اي جهه اخري انتقلت اليها تلك البيانات باي تعديل يطرا عليها، وان تتيح لها ذلك التعديل.2- توضح اللوايح المدد الزمنيه للتصحيح والتحديث، وانواع التصحيح، والاجراءات المطلوبه لتفادي الاثار المترتبه علي معالجه بيانات شخصيه غير صحيحه او غير دقيقه او غير حديثه.الماده الثامنه عشره:1- علي جهه التحكم اتلاف البيانات الشخصيه فور انتهاء الغرض من جمعها. ومع ذلك، يجوز لها الاحتفاظ بتلك البيانات بعد انتهاء الغرض من جمعها اذا تمت ازاله كل ما يؤدي الي معرفه صاحبها علي وجه التحديد وفق الضوابط التي تحددها اللوايح.2- علي جهه التحكم الاحتفاظ بالبيانات الشخصيه حتي بعد انتهاء الغرض من جمعها في الحالتين الاتيتين:ا - اذا توافر مسوغ نظامي يوجب الاحتفاظ بها مده محدده، وفي هذه الحاله يجري اتلافها بعد انتهاء هذه المده او انتهاء الغرض من جمعها، ايهما اطول.ب- اذا كانت البيانات الشخصيه متصله اتصالا وثيقا بقضيه منظوره امام جهه قضاييه وكان الاحتفاظ بها مطلوبا لهذا الغرض، وفي هذه الحاله يجري اتلافها بعد استكمال الاجراءات القضاييه الخاصه بالقضيه.الماده التاسعه عشره:علي جهه التحكم اتخاذ ما يلزم من اجراءات ووسايل تنظيميه واداريه وتقنيه تضمن المحافظه علي البيانات الشخصيه، بما في ذلك عند نقلها؛ وذلك وفقا للاحكام والضوابط التي تحددها اللوايح.الماده العشرون:1- تشعر جهه التحكم الجهه المختصه فور علمها بحدوث تسرب او تلف لبيانات شخصيه او حدوث وصول غير مشروع اليها.2- تحدد اللوايح الاحوال التي يجب فيها علي جهه التحكم اشعار صاحب البيانات الشخصيه في حاله حدوث تسرب او تلف لبياناته الشخصيه او حدوث وصول غير مشروع اليها. واذا كان من شان حدوث اي مما سبق ان يرتب ضررا جسيما علي بياناته او علي نفسه، فيجب علي جهه التحكم اشعاره فورا.الماده الحاديه والعشرون:علي جهه التحكم الاستجابه لطلبات صاحب البيانات الشخصيه المتعلقه بحقوقه المنصوص عليها في النظام خلال مده محدده وعبر وسيله مناسبه تبينهما اللوايح.الماده الثانيه والعشرون:علي جهه التحكم اجراء تقويم للاثار المترتبه علي معالجه البيانات الشخصيه لاي منتج او خدمه تقدم للعموم بحسب طبيعه النشاط الذي تمارسه جهه التحكم، وتحدد اللوايح الاحكام اللازمه لذلك.الماده الثالثه والعشرون:تحدد اللوايح الضوابط والاجراءات الاضافيه -بما لا يتعارض مع احكام النظام- في شان معالجه البيانات الصحيه بما يكفل المحافظه علي خصوصيه اصحابها ويحمي حقوقهم الوارده في النظام، علي ان تشتمل علي ما ياتي:1- قصر حق الاطلاع علي البيانات الصحيه -بما فيها الملفات الطبيه- علي اقل عدد ممكن من الموظفين او العاملين وبالقدر اللازم فقط لتقديم الخدمات الصحيه اللازمه.2- تقييد اجراءات وعمليات معالجه البيانات الصحيه الي اقل قدر ممكن من الموظفين والعاملين لتقديم الخدمات الصحيه او توفير برامج التامين الصحي.الماده الرابعه والعشرون:تحدد اللوايح الضوابط والاجراءات الاضافيه -بما لا يتعارض مع احكام النظام- في شان معالجه البيانات الايتمانيه بما يكفل المحافظه علي خصوصيه اصحابها ويحمي حقوقهم الوارده في النظام ونظام المعلومات الايتمانيه، علي ان تشتمل علي ما ياتي:1- اتخاذ ما يلزم للتحقق من توافر الموافقه الكتابيه من صاحب البيانات الشخصيه علي جمع هذه البيانات او تغيير الغرض من جمعها او الافصاح عنها او نشرها وفق احكام النظام ونظام المعلومات الايتمانيه.2- وجوب اشعار صاحب البيانات الشخصيه عند ورود طلب الافصاح عن بياناته الايتمانيه من اي جهه.الماده الخامسه والعشرون:فيما عدا المواد التوعويه التي ترسلها الجهات العامه، لا يجوز لجهه التحكم استخدام وسايل الاتصال الشخصيه -بما فيها العناوين البريديه والالكترونيه- الخاصه بصاحب البيانات الشخصيه لاجل ارسال مواد دعاييه او توعويه، الا وفقا لما ياتي:1- ان تؤخذ موافقه المتلقي المستهدف علي ارسال هذه المواد اليه.2- ان يوفر مرسل المواد اليه واضحه -بحسب ما تحدده اللوايح- تمكن المتلقي المستهدف من ابداء رغبته في التوقف عن ارسالها اليه عند رغبته في ذلك.وتحدد اللوايح الاحكام المتعلقه بالمواد الدعاييه والتوعويه المشار اليها في هذه الماده، وشروط واحوال موافقه المتلقي المستهدف علي ارسال هذه المواد اليه.الماده السادسه والعشرون:فيما عدا البيانات الحساسه، تجوز معالجه البيانات الشخصيه لاغراض تسويقيه، اذا جري جمعها من صاحبها مباشره ووافق علي ذلك وفق احكام النظام. وتحدد اللوايح الضوابط اللازمه لذلك.الماده السابعه والعشرون:يجوز جمع البيانات الشخصيه او معالجتها لاغراض علميه او بحثيه او احصاييه دون موافقه صاحبها، في الاحوال الاتيه:1- اذا لم تتضمن البيانات الشخصيه ما يدل علي هويه صاحبها علي وجه التحديد.2- اذا كان سيجري اتلاف ما يدل علي هويه صاحب البيانات الشخصيه علي وجه التحديد خلال عمليه معالجتها وقبل الافصاح عنها لاي جهه اخري ولم تكن تلك البيانات بيانات حساسه.3- اذا كان جمع البيانات الشخصيه او معالجتها لهذه الاغراض يقتضيها نظام اخر او تنفيذا لاتفاق سابق يكون صاحبها طرفا فيه.وتحدد اللوايح الضوابط اللازمه لما ورد في هذه الماده.الماده الثامنه والعشرون:لا يجوز تصوير الوثايق الرسميه التي تحدد هويه صاحب البيانات الشخصيه او نسخها، الا عندما يكون ذلك تنفيذا لاحكام نظام، او عندما تطلب جهه عامه مختصه تصوير تلك الوثايق او نسخها وفق ما تحدده اللوايح.الماده التاسعه والعشرون:فيما عدا حالات الضروره القصوي للمحافظه علي حياه صاحب البيانات خارج المملكه او مصالحه الحيويه او الوقايه من عدوي مرضيه او فحصها او معالجتها، لا يجوز لجهه التحكم نقل البيانات الشخصيه الي خارج المملكه او الافصاح عنها لجهه خارج المملكه الا اذا كان ذلك تنفيذا لالتزام بموجب اتفاقيه تكون المملكه طرفا فيه، او لخدمه مصالح المملكه، او لاغراض اخري وفقا لما تحدده اللوايح، وذلك بعد ان تتوافر الشروط الاتيه:1- الا يترتب علي النقل او الافصاح مساس بالامن الوطني او بمصالح المملكه الحيويه.2- ان تقدم ضمانات كافيه للمحافظه علي البيانات الشخصيه التي سيجري نقلها او الافصاح عنها وعلي سريتها، بحيث لا تقل معايير حمايه البيانات الشخصيه عن المعايير الوارده في النظام واللوايح.3- ان يقتصر النقل او الافصاح علي الحد الادني من البيانات الشخصيه الذي تدعو الحاجه اليه.4- موافقه الجهه المختصه علي النقل او الافصاح وفقا لما تحدده اللوايح.وفيما عدا الشرط الوارد في الفقره (1) من هذه الماده، يجوز للجهه المختصه ان تعفي جهه التحكم -في كل حاله علي حده- من الالتزام باحد الشروط المشار اليها؛ متي قدرت الجهه المختصه منفرده او بالاشتراك مع جهات اخري ان البيانات الشخصيه سيتوافر لها مستوي مقبول من الحمايه خارج المملكه، ولم تكن تلك البيانات بيانات حساسه.الماده الثلاثون:1- مع عدم الاخلال باحكام النظام، وما للبنك المركزي السعودي من صلاحيات وفقا لما تقضي به النصوص النظاميه ذات العلاقه، تكون الجهه المختصه الجهه المشرفه علي تطبيق احكام النظام واللوايح.2- علي جهه التحكم ان تعين او تحدد شخصا (او اكثر) من منسوبيها ليكون مسؤولا عن التزامها بتطبيق احكام النظام واللوايح. وتحدد اللوايح الاحكام المتعلقه بما ورد في هذه الفقره.3- علي جهه التحكم التعاون مع الجهه المختصه في سبيل مباشرتها مهماتها المتعلقه بالاشراف علي تطبيق احكام النظام واللوايح، وعليها كذلك اتخاذ ما يلزم من اجراءات حيال المسايل المتعلقه بذلك التي تحيلها الجهه المختصه اليها. وللجهه المختصه طلب الوثايق او المعلومات اللازمه من جهه التحكم للتاكد من التزامها باحكام النظام واللوايح.4- يجوز للجهه المختصه -وفق ما تقدره- تفويض غيرها من الجهات في مباشره بعض المهمات الموكوله اليها المتعلقه بالاشراف علي تطبيق احكام النظام واللوايح.الماده الحاديه والثلاثون:دون اخلال بما ورد في الماده (الثامنه عشره) من النظام، تحتفظ جهه التحكم بسجلات لمده تحددها اللوايح لانشطه معالجه البيانات الشخصيه بحسب طبيعه النشاط الذي تمارسه جهه التحكم؛ لتكون متاحه عندما تطلبها الجهه المختصه. علي ان تشمل السجلات حدا ادني من البيانات الاتيه:1- تفاصيل الاتصال الخاصه بجهه التحكم.2- الغرض من معالجه البيانات الشخصيه.3- وصف فيات اصحاب البيانات الشخصيه.4- اي جهه جري (او سيجري) افصاح البيانات الشخصيه اليها.5- ما اذا جري (او سيجری) نقل البيانات الشخصيه الي خارج المملكه او الافصاح عنها لجهه خارج المملكه.6- المده الزمنيه المتوقعه للاحتفاظ بالبيانات الشخصيه.الماده الثانيه والثلاثون:1- تقوم الجهه المختصه بانشاء بوابه الكترونيه لغرض بناء سجل وطني عن جهات التحكم، تهدف الي مراقبه ومتابعه التزام تلك الجهات باحكام النظام واللوايح، وتقديم الخدمات المرتبطه باجراءات حمايه البيانات الشخصيه لجهات التحكم؛ وذلك وفق ما تحدده اللوايح.2- تلتزم جميع جهات التحكم بالتسجيل في البوابه المشار اليها في الفقره (1) من هذه الماده، وتستحصل الجهه المختصه رسما سنويا ثابتا بما لا يتجاوز (مايه الف) ريال؛ عن تسجيل جهات التحكم ذات الصفه الاعتباريه الخاصه في البوابه المشار اليها في الفقره (1) من هذه الماده، علي ان تحدد اللوايح مقدار الرسم السنوي الثابت بما لا يتجاوز الحد الاقصي المقرر، وذلك بحسب طبيعه النشاط الذي تمارسه تلك الجهات.3- يخصص في البوابه سجل خاص لكل جهه تحكم تدون فيه السجلات المشار اليها في الماده (الحاديه والثلاثين) من النظام وغيرها من الوثايق او المعلومات اللازمه ذات الصله بمعالجه البيانات الشخصيه.الماده الثالثه والثلاثون:1- تختص الجهه المختصه بالموافقه علي ممارسه الانشطه التجاريه او المهنيه او غير الربحيه المرتبطه بحمايه البيانات الشخصيه في المملكه وفقا لما تحدده اللوايح.2- يجب علي الجهه التي في خارج المملكه -عند معالجتها لبيانات شخصيه تتعلق بالافراد المقيمين في المملكه باي وسيله كانت- ان تعين ممثلا لها في المملكه ترخص له الجهه المختصه لمباشره التزاماته المقرره بموجب احكام النظام واللوايح. ولا يخل هذا التعيين بمسؤوليات تلك الجهه تجاه صاحب البيانات الشخصيه او الجهه المختصه بحسب الاحوال. وتبين اللوايح الاحكام المتعلقه بالترخيص وحدود علاقه الممثل بالجهه التي في خارج المملكه التي يمثلها.3- يجوز للجهه المختصه الترخيص لجهات تتولي اصدار شهادات اعتماد لجهه التحكم وجهه المعالجه، علي ان تضع الجهه المختصه القواعد المنظمه لاصدار تلك الشهادات.الماده الرابعه والثلاثون:يجوز لصاحب البيانات الشخصيه التقدم الي الجهه المختصه باي شكوي ناشيه من تطبيق النظام واللوايح. وتحدد اللوايح ضوابط معالجه الجهه المختصه للشكاوي التي يقدمها صاحب البيانات الشخصيه الناشيه من تطبيق النظام واللوايح.الماده الخامسه والثلاثون:1- مع عدم الاخلال باي عقوبه اشد منصوص عليها في نظام اخر، تكون عقوبه ارتكاب المخالفات الاتيه وفقا لما دون امامها:ا- كل من افصح عن بيانات حساسه او نشرها مخالفا احكام النظام: يعاقب بالسجن مده لا تزيد علي (سنتين) وبغرامه لا تزيد علي (ثلاثه ملايين) ريال، او باحدي هاتين العقوبتين؛ اذا كان ذلك بقصد الاضرار بصاحب البيانات او بقصد تحقيق منفعه شخصيه.ب- كل من خالف احكام الماده (التاسعه والعشرين) من النظام: يعاقب بالسجن مده لا تزيد علي (سنه) وبغرامه لا تزيد علي (مليون) ريال، او باحدي هاتين العقوبتين.2- تختص النيابه العامه بمهمه التحقيق والادعاء امام المحكمه المختصه عن المخالفات المنصوص عليها في هذه الماده.3- تتولي المحكمه المختصه النظر في الدعاوي الناشيه من تطبيق هذه الماده وايقاع العقوبات المقرره.4- يجوز للمحكمه المختصه مضاعفه عقوبه الغرامه في حاله العود حتي لو ترتب عليها تجاوز الحد الاقصي لها علي الا تتجاوز ضعف هذا الحد.الماده السادسه والثلاثون:1- فيما لم يرد في شانه نص خاص في الماده (الخامسه والثلاثين) من النظام، ودون اخلال باي عقوبه اشد منصوص عليها في نظام اخر؛ تعاقب بالانذار او بغرامه لا تزيد علي (خمسه ملايين) ريال، كل شخصيه ذات صفه طبيعيه او اعتباريه خاصه -مشموله باحكام النظام- خالفت ايا من احكام النظام او اللوايح. وتجوز مضاعفه عقوبه الغرامه في حاله تكرار المخالفه حتي لو ترتب عليها بتجاوز الحد الاقصي لها علي الا تتجاوز ضعف هذا الحد.2- تكون بقرار من رييس الجهه المختصه، لجنه (او اكثر) لا يقل عدد اعضايها عن (ثلاثه)، ويسمي احدهم رييسا، ويكون من بينهم مستشار شرعي او نظامي؛ تتولي النظر في المخالفات وايقاع عقوبه الانذار او الغرامه المنصوص عليها في الفقره (1) من هذه الماده، وذلك بحسب نوع المخالفه المرتكبه وجسامتها ومدي تاثيرها، علي ان يعتمد قرار اللجنه رييس الجهه المختصه او من يفوضه بذلك. ويصدر رييس الجهه المختصه –بقرار منه– قواعد عمل اللجنه، وتحدد فيها مكافات اعضايها.3- يحق لمن صدر ضده قرار من اللجنه المنصوص عليها في الفقره (2) من هذه الماده التظلم منه امام المحكمه المختصه.الماده السابعه والثلاثون:1- يتولي الموظفون او العاملون –الذين يصدر بتسميتهم قرار من رييس الجهه المختصه– ضبط المخالفات المنصوص عليها في النظام او اللوايح.2- للجهه المختصه الحق في حجز الوسايل او الادوات المستخدمه في ارتكاب المخالفه الي حين البت فيها.الماده الثامنه والثلاثون:1- مع عدم الاخلال بحقوق الغير حسن النيه، يجوز للمحكمه المختصه الحكم بمصادره الاموال المتحصله من جراء ارتكاب المخالفات المنصوص عليها في النظام.2- يجوز للمحكمه المختصه او اللجنه المنصوص عليها في الفقره (2) من الماده (السادسه والثلاثين) -بحسب الاحوال- تضمين الحكم او القرار الصادر من اي منهما بتحديد العقوبه النص علي نشر ملخصه علي نفقه المحكوم عليه او المخالف في صحيفه محليه (او اكثر) تصدر في مكان اقامته، او في اي وسيله اخري مناسبه، وذلك بحسب نوع المخالفه المرتكبه وجسامتها ومدي تاثيرها، علي ان يكون النشر بعد اكتساب الحكم الصفه القطعيه، او تحصن القرار بفوات ميعاد التظلم منه، او صدور حكم نهايي برفض التظلم منه.الماده التاسعه والثلاثون:دون اخلال بما ورد في الماده (الخامسه والثلاثين) والفقره (1) من الماده (السادسه والثلاثين) من النظام، يجب علي الجهه العامه مساءله اي من منسوبيها –تاديبيا– في حال مخالفته ايا من احكام النظام واللوايح؛ وفق احكام واجراءات المساءله والتاديب المقرره نظاما.الماده الاربعون:مع عدم الاخلال بايقاع العقوبات المنصوص عليها في النظام، لمن لحقه ضرر -نتيجه ارتكاب اي من المخالفات المنصوص عليها في النظام او اللوايح- حق المطالبه امام المحكمه المختصه بالتعويض عن الضرر المادي او المعنوي بما يتناسب مع حجم الضرر.الماده الحاديه والاربعون:يلتزم كل من باشر عملا من اعمال معالجه البيانات الشخصيه بالمحافظه علي الاسرار المتعلقه بالبيانات حتي بعد انتهاء علاقته الوظيفيه او التعاقديه.الماده الثانيه والاربعون:يصدر رييس الجهه المختصه اللوايح، وذلك في مده لا تتجاوز (مايه وثمانين) يوما من تاريخ صدور النظام، علي ان ينسق -قبل اصدارها- مع وزاره الاتصالات وتقنيه المعلومات ووزاره الخارجيه وهييه الاتصالات وتقنيه المعلومات والهييه الوطنيه للامن السيبراني والمجلس الصحي السعودي والبنك المركزي السعودي، كل فيما يخصه.الماده الثالثه والاربعون:يعمل بالنظام بعد (مايه وثمانين) يوما من تاريخ نشره في الجريده الرسميه.