اللائحة التنفيذية لنظام حماية البيانات الشخصية

uqn_gov_sa · executive_regulation · processed · 60 chunks

تكون للكلمات والعبارات الوارده في هذه اللايحه المعاني الموضحه امام كل منها في الماده (الاولي) من نظام حمايه البيانات الشخصيه، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9 /2/ 1443ه والمعدل بموجب المرسوم الملكي رقم (م/148) وتاريخ 5 /9/ 1444ه، ويقصد بالالفاظ والعبارات الاتيه -اينما وردت في هذه اللايحه- المعاني الموضحه امام كل منها، ما لم يقتض السياق غير ذلك: 1- اللايحه: اللايحه التنفيذيه للنظام. 2- التسويق المباشر: التواصل مع صاحب البيانات الشخصيه باي وسيله ماديه او الكترونيه مباشره بهدف توجيه ماده تسويقيه، ويشمل ذلك علي سبيل المثال لا الحصر الاعلانات او العروض الترويجيه. 3- تسرب البيانات الشخصيه: اي حادثه تؤدي الي الافصاح عن البيانات الشخصيه او تلفها او الوصول غير المشروع اليها، سواء كان ذلك بقصد او بغير قصد، وباي وسيله كانت، سواء اليه او يدويه. 4- المصلحه الحيويه: اي من المصالح الضروريه للحفاظ علي حياه صاحب البيانات الشخصيه. 5- المصلحه المتحققه: اي مصلحه معنويه او ماديه لصاحب البيانات الشخصيه ترتبط بشكل مباشر بالغرض من معالجه البيانات الشخصيه، وتكون المعالجه ضروريه لتحقيق تلك المصلحه. 6- المصلحه المشروعه: اي حاجه ضروريه لدي جهه التحكم يتطلب تحقيقها معالجه بيانات شخصيه لغرض محدد، علي الا تؤثر علي حقوق ومصالح صاحب البيانات الشخصيه. 7- الترميز: تحويل المعرفات الرييسيه التي تدل علي هويه صاحب البيانات الشخصيه الي رموز تجعل من المتعذر تحديد هويه صاحب البيانات الشخصيه بشكل مباشر دون استخدام بيانات او معلومات اضافيه، وان يتم الاحتفاظ بتلك البيانات او المعلومات الاضافيه بشكل منفصل ووضع الضوابط الفنيه والاداريه اللازمه لضمان عدم ربطها بصاحب البيانات الشخصيه بشكل محدد. 8- اخفاء الهويه: ازاله المعرفات المباشره وغير المباشره التي تدل علي هويه صاحب البيانات الشخصيه بشكل نهايي يتعذر معه تحديد هويه صاحب البيانات الشخصيه. 9- الموافقه الصريحه: موافقه تمنح بشكل مباشر وصريح من صاحب البيانات الشخصيه باي شكل من الاشكال وتدل علي قبوله بمعالجه بياناته الشخصيه بحيث لا يمكن تفسيرها بخلاف ذلك، وتكون قابله للاثبات. 1- لا تسري احكام النظام ولوايحه علي قيام الفرد بمعالجه البيانات الشخصيه لاغراض لا تتجاوز الاستخدام الشخصي او العايلي. 2- يقصد بالاستخدام الشخصي او العايلي المنصوص عليه في الماده الثانيه من النظام، قيام الفرد بمعالجه البيانات الشخصيه داخل نطاق اسرته او دايرته الاجتماعيه المحدوده ضمن اي نشاط اجتماعي او عايلي. 3- لا يعد من قبيل الاستخدام الشخصي او العايلي ما يلي: ا- قيام الفرد بنشر البيانات الشخصيه للجمهور او الافصاح عنها لاي شخص خارج النطاق المحدد في الفقره (2) من هذه الماده. ب- استخدام البيانات الشخصيه لاغراض ذوات طابع مهني او تجاري او غير ربحي. 1- علي جهه التحكم عند تلقيها طلبا من صاحب البيانات الشخصيه يتعلق بحقوقه المنصوص عليها في النظام القيام بما يلي: ا- تنفيذ طلبات ممارسه الحقوق المنصوص عليها في النظام خلال مده لا تتجاوز (ثلاثين) يوما دون تاخير، ولها تمديد ذلك في حال تطلب التنفيذ جهدا اضافيا غير متوقع او غير معتاد او في حال تلقيها طلبات متعدده من صاحب البيانات الشخصيه، وذلك بما لا يزيد علي (ثلاثين) يوما اضافيه، بشرط ان تشعر صاحب البيانات الشخصيه مسبقا بالتمديد ومبرراته. ب- تبني الوسايل التقنيه والاداريه والتنظيميه اللازمه لضمان سرعه الاستجابه لطلبات ممارسه الحقوق. ج- اتخاذ الاجراءات والتدابير المناسبه للتحقق من هويه مقدم الطلب قبل تنفيذه بما يتوافق مع الاحكام النظاميه ذوات العلاقه. د- اتخاذ الوسايل اللازمه لتوثيق وحفظ كافه الطلبات المقدمه لها، بما في ذلك الطلبات الشفهيه. 2- في حال كان الطلب متكررا بشكل غير مبرر او يتطلب تنفيذه جهدا غير عادي؛ يكون لجهه التحكم عدم معالجه الطلب، علي ان يكون ذلك مسببا ويشعر صاحب البيانات الشخصيه به. 3- في الحالات التي يكون صاحب البيانات الشخصيه ناقصا او عديم الاهليه، يكون لوليه الشرعي ممارسه حقوقه نيابه عنه. 1- في حال تم جمع البيانات الشخصيه من صاحبها مباشره، يجب علي جهه التحكم قبل او عند جمع البيانات، اتخاذ التدابير اللازمه لابلاغ صاحب البيانات الشخصيه بالاتي: ا- الاسم النظامي لجهه التحكم، وبيانات التواصل الخاصه بها، واي تفاصيل اخري تخص القنوات المنشاه من قبل جهه التحكم لغرض التواصل المرتبط بحمايه البيانات الشخصيه. ب- بيانات الاتصال بمسؤول حمايه البيانات الشخصيه -ان وجد- المعين من قبل جهه التحكم. ج- المسوغ النظامي والغرض من جمع ومعالجه البيانات الشخصيه بصوره محدده وواضحه وصريحه. د- مده الاحتفاظ بالبيانات الشخصيه او معايير حساب المده في حال تعذر تحديدها مسبقا. ه- توضيح حقوق صاحب البيانات الشخصيه، المنصوص عليها في الماده (الرابعه) من النظام واليه ممارسه اي من تلك الحقوق. و- توضيح كيفيه العدول عن الموافقه الممنوحه لمعالجه اي من البيانات الشخصيه. ز- بيان ما اذا كان جمع اي من البيانات الشخصيه او معالجتها الزاميا او اختياريا. 2- لا يطبق ما ورد في الفقره (1) من هذه الماده في حال كانت المعلومات الموضحه في الفقرات الفرعيه (ا) الي (ز) متوفره مسبقا لصاحب البيانات الشخصيه، او اذا كان تقديم تلك المعلومات يتعارض مع اي من الانظمه الساريه في المملكه. 3- في حال تم جمع البيانات الشخصيه من غير صاحبها مباشره، علي جهه التحكم عند تلقيها للبيانات الشخصيه القيام -دون تاخر غير مبرر- وخلال مده لا تتجاوز (30) يوما، اتخاذ الخطوات اللازمه لابلاغ صاحب البيانات الشخصيه بما نصت عليه الفقره (1) من هذه الماده، اضافه الي فيات البيانات الشخصيه التي تتم معالجتها، والمصدر الذي تم من خلاله حصول جهه التحكم علي البيانات الشخصيه. 4- لا يطبق مع ما ورد في الفقره (3) من هذه الماده في اي من الاحوال الاتيه: ا- اذا كانت المعلومات متوفره مسبقا لصاحب البيانات الشخصيه. ب- اذا كان تنفيذ ذلك غير ممكن او يتطلب جهدا غير معقول. ج- اذا كان حصول جهه التحكم علي البيانات قد تم تنفيذا لنظام. د- اذا كانت جهه التحكم جهه عامه وكان جمع البيانات الشخصيه لاغراض امنيه او لاستيفاء متطلبات قضاييه، او لتحقيق مصلحه عامه. ه- اذا كانت البيانات الشخصيه تخضع لاحكام السريه المهنيه المقرره نظاما. 5- علي جهات التحكم التي تتضمن انشطتها -علي نطاق واسع او بصوره متكرره- معالجه بيانات شخصيه لناقصي او عديمي الاهليه، او عمليات المعالجه التي تتطلب بطبيعتها مراقبه مستمره لاصحاب البيانات الشخصيه، او معالجه بيانات شخصيه باستخدام تقنيات ناشيه، او اتخاذ قرارات مبنيه علي المعالجه الاليه للبيانات الشخصيه؛ اتخاذ التدابير اللازمه لابلاغ صاحب البيانات الشخصيه بما نصت عليه الفقره (1) من هذه الماده، اضافه الي ما يلي: ا- وسايل وطرق الجمع والمعالجه للبيانات الحساسه ان تضمنت المعالجه ذلك. ب- الوسايل والاجراءات المتخذه لحمايه البيانات الشخصيه. ج- توضيح ما اذا كان سيتم اتخاذ قرارات مبنيه بشكل كامل علي المعالجه الاليه للبيانات الشخصيه. 6- عند قيام جهه التحكم بمعالجه اضافيه للبيانات الشخصيه لغرض اخر غير الذي جمعت من اجله، فيجب عليها قبل اجراء المعالجه الاضافيه ان تقدم لصاحب البيانات الشخصيه المعلومات اللازمه وفقا لاحكام هذه الماده. 7- يجب علي جهه التحكم ان توفر المعلومات المطلوبه وفقا لما ورد في هذه الماده بلغه مناسبه اذا علمت ان صاحب البيانات الشخصيه ناقص الاهليه. 1- دون الاخلال باحكام الماده (التاسعه) والماده (السادسه عشره) من النظام، يكون لصاحب البيانات الشخصيه حق الوصول الي بياناته الشخصيه المتوافره لدي جهه التحكم مع مراعاه ما يلي: ا- الا تؤثر ممارسه الحق في الوصول الي البيانات الشخصيه سلبا علي حقوق الغير، مثل: حقوق الملكيه الفكريه او الاسرار التجاريه. ب- اتاحه الوصول الي البيانات الشخصيه بناء علي طلب يقدمه صاحب البيانات الشخصيه، او وسيله توفرها جهه التحكم لتمكين صاحب البيانات من الوصول الي بياناته الشخصيه بشكل تلقايي دون الحاجه الي تقديم طلب. 2- علي جهه التحكم عند تمكين صاحب البيانات من الوصول الي بياناته الشخصيه، التاكد من ان ذلك لا يتضمن الافصاح عن بيانات شخصيه تحدد هويه فرد اخر. مع مراعاه احكام الماده (السادسه عشره) من النظام، يكون لصاحب البيانات الشخصيه الحق في طلب الحصول علي نسخه من بياناته الشخصيه بصيغه مقروءه وواضحه، مع مراعاه ما يلي: 1- الا تؤثر ممارسه الحق في الحصول علي البيانات الشخصيه سلبا علي حقوق الغير، مثل: حقوق الملكيه الفكريه او الاسرار التجاريه. 2- تقدم البيانات الشخصيه الي صاحب البيانات الشخصيه بصيغه الكترونيه شايعه الاستخدام، ولصاحب البيانات الشخصيه طلب نسخه مطبوعه منها متي ما كان تنفيذ ذلك ممكنا. 3- علي جهه التحكم عند تمكين صاحب البيانات من الحصول علي بياناته الشخصيه، التاكد من ان ذلك لا يتضمن الافصاح عن بيانات شخصيه تحدد هويه فرد اخر. 1- يجوز لصاحب البيانات الشخصيه في حال عدم صحه بياناته الشخصيه المتوافره لدي جهه التحكم ان يطلب تقييد معالجه بياناته لمده يمكن لجهه التحكم خلالها التحقق من صحه البيانات الشخصيه، مع مراعاه عدم سريان حق صاحب البيانات الشخصيه في الحصول علي التقييد المذكور اذا كان تقديم تلك البيانات يتعارض مع احكام النظام وهذه اللايحه. 2- يكون لجهه التحكم طلب المستندات او الوثايق الداعمه لطلب تصحيح البيانات الشخصيه متي ما كان ذلك ضروريا لتحديث او تصحيح او اتمام البيانات الشخصيه، علي ان يتم اتلاف تلك المستندات او الوثايق بعد الانتهاء من عمليه التحقق. 3- علي جهه التحكم بعد تصحيح البيانات الشخصيه اشعار الجهات التي افصح لها سابقا عن البيانات الشخصيه دون تاخير. 1- علي جهه التحكم اتلاف البيانات الشخصيه في اي من الاحوال الاتيه: ا- تنفيذا لطلب صاحب البيانات الشخصيه. ب- اذا لم تعد البيانات الشخصيه ضروريه لتحقيق الغرض الذي جمعت من اجله. ج- اذا عدل صاحب البيانات الشخصيه عن موافقته علي جمع بياناته الشخصيه، وكانت الموافقه هي المسوغ النظامي الوحيد للمعالجه. د- اذا علمت ان البيانات الشخصيه تجري معالجتها بطريقه مخالفه للنظام. 2- علي جهه التحكم عند اتلافها للبيانات الشخصيه القيام بالاتي: ا- اتخاذ الاجراءات الملايمه لاشعار الجهات الاخري التي افصحت لها جهه التحكم عن البيانات الشخصيه ذوات الصله، وطلب اتلافها. ب- اتخاذ الاجراءات الملايمه لاشعار الاشخاص الذين تم الافصاح لهم عن البيانات الشخصيه باي وسيله كانت، وطلب اتلافها. ج- اتلاف كافه النسخ المتعلقه بالبيانات الشخصيه المخزنه في انظمه جهه التحكم، بما في ذلك النسخ الاحتياطيه، علي ان تراعي المتطلبات النظاميه ذوات العلاقه بهذا الشان. 3- لا يخل ما ورد في هذه الماده ما نصت عليه الماده (الثامنه عشره) من النظام والمتطلبات النظاميه التي تقرها الجهات المختصه ذوات العلاقه. 1- علي جهه التحكم عند اخفايها لهويه صاحب البيانات الشخصيه القيام بالاتي: ا- التاكد من عدم امكانيه اعاده التعرف علي هويه صاحب البيانات الشخصيه بعد اخفاء هويته. ب- تقويم الاثر بما في ذلك امكانيه اعاده تحديد هويه صاحب البيانات الشخصيه، وذلك في الاحوال المنصوص عليها في الفقره (1) من الماده (الخامسه والعشرين) من هذه اللايحه. ج- اتخاذ التدابير التنظيميه والاداريه والتقنيه اللازمه لتجنب المخاطر، مع مراعاه التطورات التقنيه واساليب اخفاء الهويه وتحديثها ومواءمتها مع تلك التطورات. د- تقويم فاعليه تقنيات اخفاء هويه صاحب البيانات الشخصيه المطبقه، واجراء التعديلات اللازمه لضمان عدم امكانيه اعاده التعرف علي هويه صاحب البيانات الشخصيه. 2- لا تعد البيانات التي جري اخفاء هويه اصحابها بيانات شخصيه. علي جهه التحكم توفير الوسايل الملايمه للاستجابه لطلبات صاحب البيانات الشخصيه المتعلقه بحقوقه المنصوص عليها في النظام، ويكون لصاحب البيانات الشخصيه استخدام واحده او اكثر من الوسايل الاتيه حسب اختياره وتوافرها لدي جهه التحكم: 1- البريد الالكتروني. 2- الرسايل النصيه. 3- العنوان الوطني. 4- التواصل عبر التطبيقات الالكترونيه. 5- اي وسيله تواصل نظاميه اخري معده لهذا الغرض من قبل جهه التحكم. 1- لجهه التحكم الحصول علي موافقه صاحب البيانات الشخصيه علي معالجه بياناته باي شكل او وسيله ملايمه، بما في ذلك الموافقات الكتابيه او الشفويه او باستخدام الطرق الالكترونيه، علي ان يشترط في الموافقه ما ياتي: ا- ان تصدر الموافقه باراده حره، والا تستخدم اي طرق مضلله في سبيل الحصول عليها، وان يكون الحصول علي الموافقه بمراعاه احكام الماده (السابعه) من النظام. ب- ان تكون اغراض المعالجه واضحه ومحدده، وان توضح وتبين تلك الاغراض الي صاحب البيانات الشخصيه عند او قبل طلب الموافقه. ج- ان تصدر من كامل الاهليه. د- ان توثق الموافقه بوسايل تتيح التحقق منها مستقبلا، ومن ذلك الاحتفاظ بسجلات تتضمن موافقه اصحاب البيانات الشخصيه علي عمليات المعالجه مع بيان وقت ووسيله الموافقه. ه- ان تكون هناك موافقه مستقله لكل غرض من اغراض المعالجه. 2- يشترط ان تكون موافقه صاحب البيانات الشخصيه صريحه في الاحوال الاتيه: ا- في حال تضمنت المعالجه بيانات حساسه. ب- في حال تضمنت المعالجه بيانات ايتمانيه. ج- في حال كان سيتم اتخاذ قرارات مبنيه بشكل كامل علي المعالجه الاليه للبيانات الشخصيه. 1- لصاحب البيانات الشخصيه العدول عن موافقته علي معالجه بياناته الشخصيه في اي وقت، وله ابلاغ جهه التحكم بذلك باي من الوسايل المتاحه وفقا للماده (الرابعه) من هذه اللايحه. 2- قبل طلب الموافقه من صاحب البيانات الشخصيه، علي جهه التحكم وضع اجراءات تتيح العدول عن تلك الموافقه، واتخاذ التدابير اللازمه لضمان تنفيذها، علي ان تكون اجراءات العدول عن الموافقه مماثله او اكثر سهوله من اجراءات الحصول عليها. 3- في حال العدول عن الموافقه، فيجب علي جهه التحكم ايقاف المعالجه دون تاخير غير مبرر، ولا يؤثر الرجوع عن الموافقه علي مشروعيه اي عمليه معالجه تمت في ظل الموافقه وقبل الرجوع عنها. 4- علي جهه التحكم عند عدول صاحب البيانات الشخصيه عن موافقته علي معالجه بياناته؛ اتخاذ الاجراءات الملايمه لاشعار من تم الافصاح لهم عن البيانات الشخصيه -باي وسيله كانت- وطلب اتلافها. 5- لا يؤثر العدول عن الموافقه علي عمليات معالجه البيانات الشخصيه التي تتم بناء علي مسوغات نظاميه اخري. 1- مع مراعاه المتطلبات النظاميه ذوات العلاقه، علي الولي الشرعي لصاحب البيانات الشخصيه ناقص او عديم الاهليه، ان يتصرف بما يحقق مصلحه صاحب البيانات الشخصيه، وله في سبيل ذلك ما يلي: ا- ممارسه الحقوق المقرره لصاحب البيانات الشخصيه بموجب النظام وهذه اللايحه. ب- الموافقه علي معالجه بيانات صاحب البيانات الشخصيه وفقا لاحكام النظام وهذه اللايحه. 2- اضافه الي ما نصت عليه الفقره (1) من الماده (الحاديه عشره) من هذه اللايحه، في حال معالجه البيانات الشخصيه لناقص او عديم الاهليه، يشترط في الحصول علي موافقه الولي الشرعي اتخاذ الوسايل المناسبه للتحقق من صحه الولايه الشرعيه لولي صاحب البيانات الشخصيه ناقص او عديم الاهليه. 3- علي جهه التحكم عند الحصول علي موافقه الولي الشرعي لناقص او عديم الاهليه، مراعاه الاحكام الاتيه: ا- الا ينتج عن موافقه الولي الشرعي علي المعالجه اي ضرر علي مصالح صاحب البيانات الشخصيه. ب- تمكين صاحب البيانات الشخصيه ناقص الاهليه من ممارسه حقوقه المنصوص عليها في النظام وهذه اللايحه عند اكتمال اهليته. علي جهه التحكم عند معالجه البيانات لتحقيق مصلحه متحققه لصاحب البيانات، الاحتفاظ بما يثبت توفر تلك المصلحه وتعذر الاتصال بصاحب البيانات الشخصيه او صعوبته. 1- فيما عدا ما ورد في الفقره (3) من الماده (العاشره) من النظام، علي جهه التحكم عند معالجه البيانات الشخصيه من غير صاحبها مباشره، مراعاه ما ياتي: ا- ان تكون المعالجه ضروريه ومتناسبه مع الغرض المحدد. ب- الا تؤثر علي حقوق ومصالح صاحب البيانات الشخصيه. 2- علي جهه التحكم عند معالجتها للبيانات الشخصيه وفقا للفقره (2) من الماده (العاشره) من النظام، مراعاه ان يكون جمعها من مصدر متاح للعموم قد تم بشكل نظامي. 3- علي جهه التحكم عند معالجتها للبيانات الشخصيه وفقا للفقره (6) من الماده (العاشره) من النظام، مراعاه ما ورد في الماده (التاسعه) من هذه اللايحه في شان اخفاء الهويه. 1- فيما عدا الاحوال التي تكون فيها جهه التحكم جهه عامه، لجهه التحكم معالجه البيانات الشخصيه لتحقيق مصلحه مشروعه يتوفر فيها ما يلي: ا- الا يكون الغرض مخالفا لاي من الانظمه في المملكه. ب- الموازنه بين حقوق ومصالح صاحب البيانات الشخصيه والمصلحه المشروعه لجهه التحكم، بحيث لا تؤثر مصالح جهه التحكم علي حقوق ومصالح صاحب البيانات الشخصيه. ج- الا تتضمن المعالجه بيانات حساسه. د- ان تكون المعالجه ضمن التوقعات المعقوله لصاحب البيانات الشخصيه. 2- يعد من المصالح المشروعه كشف عمليات الاحتيال وحمايه امن الشبكه والمعلومات، وغير ذلك من المصالح المشروعه التي يتحقق فيها ما ورد في الفقره (1) من هذه الماده. 3- وفقا لاحكام الفقره (4) من الماده (السادسه) من النظام، علي جهه التحكم قبل معالجه البيانات الشخصيه لمصلحه مشروعه، اجراء وتوثيق تقويم للمعالجه المقترحه واثرها علي حقوق ومصالح اصحاب البيانات الشخصيه، علي ان يتضمن التقويم علي وجه التحديد ما يلي: ا- تحديد المعالجه المقترحه واغراضها، ونوع البيانات وفيات اصحاب البيانات الشخصيه. ب- تقويم الغرض من خلال التاكد من مشروعيته وعدم مخالفته لاي من الانظمه في المملكه. ج- التحقق من ان معالجه البيانات الشخصيه ضروريه لتحقيق الغرض المشروع لدي جهه التحكم. د- تقويم ما اذا كانت المعالجه المقترحه سترتب اي ضرر علي مصالح اصحاب البيانات الشخصيه او قدرتهم علي ممارسه حقوقهم المقرره نظاما. ه- تقويم ما اذا كانت هناك اي تدابير يتطلب اتخاذها لتجنب المخاطر او الاضرار المحتمله، وذلك وفقا لما نصت عليه الفقره (2) من الماده (الخامسه والعشرين) من هذه اللايحه. 4- اذا اظهر التقويم المبين بالفقره (3) من هذه الماده ان المعالجه المقترحه ستؤدي باي شكل من الاشكال الي مخالفه اي من الانظمه او المساس بحقوق ومصالح اصحاب البيانات الشخصيه او ترتيب اي ضرر عليهم او علي اي طرف اخر، فيكون علي جهه التحكم تعديل المعالجه المقترحه واجراء تقويم جديد، او النظر في الاعتماد علي مسوغ نظامي اخر. 1- علي جهه التحكم عند اختيار جهه المعالجه الالتزام باختيار جهه معالجه تقدم ضمانات كافيه لحمايه البيانات الشخصيه، وان يتضمن الاتفاق مع جهه المعالجه ما يلي: ا- غرض المعالجه. ب- فيات البيانات الشخصيه المعالجه. ج- المده الزمنيه للمعالجه. د- التزام جهه المعالجه باشعار جهه التحكم في حال تسرب البيانات الشخصيه، وذلك وفقا لاحكام النظام وهذه اللايحه ودون تاخر غير مبرر. ه- توضيح ما اذا كانت جهه المعالجه تخضع لانظمه في دول اخري، واثر ذلك علي التزامها باحكام النظام ولوايحه. و- عدم اشتراط حصول جهه المعالجه علي موافقه مسبقه من جهه التحكم علي الافصاح الوجوبي عن البيانات الشخصيه بموجب الانظمه المعمول بها في المملكه، علي ان تقوم جهه المعالجه باشعار جهه التحكم بذلك الافصاح. ز- تحديد جهات المعالجه الفرعيه المتعاقده مع جهه المعالجه، او اي طرف اخر سيجري الافصاح له عن البيانات الشخصيه. 2- علي جهه التحكم اصدار التعليمات لجهه المعالجه بشكل واضح، وفي حال مخالفه تعليمات جهه التحكم لاي من الانظمه المعمول بها في المملكه، فيكون علي جهه المعالجه اشعار جهه التحكم بذلك كتابه ودون تاخير. 3- تكون جهه التحكم مسؤوله عن التحقق من التزام جهه المعالجه -بشكل دوري- باجراء عمليات المعالجه وفقا لاحكام النظام ولوايحه، وضمان استيفايها لكافه المتطلبات النظاميه في هذا الشان، سواء تمت المعالجه من قبلها او من قبل جهه اخري نيابه عنها، ويكون لجهه التحكم تعيين طرف اخر مستقل للمراجعه والتحقق من الالتزام نيابه عنها. 4- عند مخالفه جهه المعالجه للتعليمات الصادره من جهه التحكم او الاتفاق المبرم معها بشان معالجه البيانات الشخصيه، فتعد جهه المعالجه في حكم جهه التحكم وتكون مسؤوله عن مخالفه احكام النظام. 5- يجب علي جهه المعالجه قبل قيامها باي تعاقدات لاحقه مع جهات معالجه فرعيه الالتزام بالاتي: ا- اتخاذ الضمانات الكافيه للتاكد من ان تلك التعاقدات لن تؤثر علي المستوي المكفول لحمايه البيانات الشخصيه محل المعالجه. ب- اختيار الجهه التي توفر الضمانات اللازمه لتنفيذ احكام النظام ولوايحه. ج- الحصول علي الموافقه المسبقه من جهه التحكم، علي ان يتم اشعار جهه التحكم قبل القيام بتلك التعاقدات وتمكين جهه التحكم من الاعتراض عليها خلال مده يتفق عليها بين جهه التحكم وجهه المعالجه. 1- علي جهه التحكم عند معالجتها البيانات الشخصيه لغرض اخر غير الذي جمعت من اجله في الاحوال المنصوص عليها في الماده (العاشره) من النظام، القيام بما ياتي: ا- تحديد اغراض المعالجه بشكل محدد وواضح. ب- توثيق اجراءات تحديد محتوي البيانات وفقا للاغراض المحدده، ومنها علي سبيل المثال استخدام مخططات البيانات التي تبين الحاجه الي كل بيان وربطه بكل هدف من اهداف المعالجه. ج- اتخاذ التدابير اللازمه لضمان جمع البيانات الشخصيه وفق الحد الادني الضروري لتحقيق الاغراض المحدده في الفقره (ب) اعلاه. 2- فيما عدا الاحوال المنصوص عليها في الفقره (3) من الماده (العاشره) من النظام، علي جهه التحكم عند معالجتها البيانات الشخصيه لغرض اخر غير الذي جمعت من اجله في الاحوال المنصوص عليها في الفقرات (1) و(2) و(4) و(5) و(6) من الماده (العاشره) من النظام، الالتزام بما ياتي: ا- تحديد الغرض من المعالجه بوضوح ودقه، وتضمينه في سجلات انشطه معالجه البيانات الشخصيه. ب- ان يقتصر الجمع والمعالجه علي الحد الادني من البيانات الشخصيه المطلوبه لتحقيق الغرض. ج- ان يتم تحديد نوع البيانات الشخصيه المراد معالجتها، والتدابير اللازمه لضمان معالجه تلك البيانات بالشكل المطلوب. 1- علي جهه التحكم جمع الحد الادني اللازم من البيانات الشخصيه لتحقيق الغرض من المعالجه، وضمان ما يلي: ا- جمع البيانات الشخصيه الضروريه والمرتبطه ارتباطا وثيقا ومباشرا بالغرض من معالجه البيانات، ويتم تحديد ذلك من خلال استخدام الوسايل الملايمه، بما في ذلك مخططات البيانات التي تبين الحاجه الي كل بيان وربطه بكل هدف من اهداف المعالجه او غيرها من الوسايل. ب- بذل العنايه اللازمه بما يساهم في تحقيق الغرض من المعالجه دون جمع بيانات شخصيه غير ضروريه. 2- علي جهه التحكم الاحتفاظ بالحد الادني من البيانات الشخصيه اللازمه لتحقيق الغرض من المعالجه. 1- يشترط في الافصاح عن البيانات التي تم جمعها من مصادر متاحه للعموم بناء علي الفقره (2) من الماده (الخامسه عشره) من النظام، الا تكون اتاحتها للعموم قد تمت بشكل مخالف لاحكام النظام ولوايحه. 2- فيما عدا الاحوال المنصوص عليها في الفقرتين (3) و(4) من الماده (الخامسه عشره) من النظام، علي جهه التحكم عند الافصاح عن البيانات الشخصيه مراعاه ما يلي: ا- ان يرتبط طلب الافصاح ارتباطا وثيقا بغرض او موضوع محدد وواضح. ب- بذل العنايه اللازمه للمحافظه علي خصوصيه صاحب البيانات الشخصيه او اي فرد اخر. ج- ان يقتصر الافصاح علي الحد الادني من البيانات الشخصيه اللازمه لتحقيق الغرض منه. 3- علي جهه التحكم عند الافصاح عن البيانات الشخصيه بناء علي طلب جهه عامه لاغراض امنيه او لتنفيذ نظام اخر او لاستيفاء متطلبات قضاييه، او اذا كان الافصاح ضروريا لحمايه الصحه العامه او السلامه العامه او حمايه حياه فرد او افراد معينين او حمايه صحتهم، القيام بالاتي: ا- توثيق طلب الافصاح. ب- تحديد نوع البيانات الشخصيه المطلوب الافصاح عنها بشكل دقيق. 4- فيما عدا ما نصت عليه الفقره (3) و(4) من الماده (الخامسه عشره) من النظام، علي جهه التحكم عند الافصاح عن بيانات شخصيه مرتبطه ببيانات شخص اخر غير صاحبها، الالتزام ببذل العنايه اللازمه وتوفير الضمانات الكافيه للمحافظه علي خصوصيه الفرد الاخر وضمان عدم انتهاكها، ومن ذلك مراعاه الخطوات الاتيه: ا- الموازنه بين حقوق صاحب البيانات الشخصيه وحقوق الشخص الاخر في كل حاله علي حده. ب- ترميز البيانات الشخصيه التي تدل علي هويه الشخص الاخر ما امكن ذلك. 5- علي جهه التحكم عند افصاحها عن البيانات الشخصيه لتحقيق مصلحه مشروعه لجهه التحكم، الالتزام بما نصت عليه الماده (السادسه عشره) من هذه اللايحه. 6- علي جهه التحكم تضمين عمليات الافصاح عن البيانات الشخصيه في سجلات انشطه معالجه البيانات الشخصيه وتوثيق تواريخها وطرقها والغرض منها. علي الجهه العامه عند جمعها للبيانات الشخصيه من غير صاحبها مباشره او معالجتها لغرض اخر غير الذي جمعت من اجله او طلب الافصاح عنها لتحقيق مصلحه عامه الالتزام بما يلي: 1- التاكد من ان ذلك يعد ضروريا لتحقيق مصلحه عامه محدده بشكل واضح. 2- ان تتصل المصلحه العامه بالاختصاصات المقرره لها نظاما. 3- اتخاذ الوسايل المناسبه للحد من الاضرار التي قد تنتج عن ذلك، بما في ذلك وضع الضوابط الاداريه والتقنيه اللازمه لضمان التزام منسوبيها باحكام الماده (الحاديه والاربعين) من النظام. 4- تضمين تلك العمليات في سجلات انشطه معالجه البيانات الشخصيه. 5- جمع ومعالجه الحد الادني اللازم من البيانات الشخصيه لتحقيق الغرض. 1- يقصد بانواع تصحيح البيانات الشخصيه المشار اليها في الفقره (2) من الماده (السابعه عشره) من النظام؛ تصحيح بيانات خاطيه، او اكمال بيانات ناقصه، او تحديث بيانات سابقه. 2- علي جهه التحكم عند تصحيح البيانات الشخصيه الالتزام بما يلي: ا- ضمان دقه وسلامه البيانات الشخصيه من خلال فحص ومراجعه الوثايق الداعمه ان اقتضت الضروره ذلك. ب- اشعار الجهات التي افصح لها عن البيانات الشخصيه دون تاخير. ج- اشعار صاحب البيانات الشخصيه عند الانتهاء من التصحيح. د- توثيق كافه التحديثات التي اجريت علي البيانات الشخصيه. 3- في حال تبين لجهه التحكم ان البيانات الشخصيه غير صحيحه او غير مكتمله وكان من شان ذلك احداث اضرار علي صاحب البيانات الشخصيه؛ القيام بايقاف المعالجه لحين تحديث او تصحيح البيانات. 4- مع مراعاه الفقره (2) من هذه الماده، علي جهه التحكم عند علمها بعدم صحه او حداثه البيانات الشخصيه، العمل علي تصحيحها او اتمامها او تحديثها وفق الوسايل المتاحه لديها دون تاخر. 5- علي جهه التحكم اتخاذ الاجراءات التنظيميه والاداريه والتقنيه المناسبه لتفادي اثار معالجه البيانات الشخصيه غير الصحيحه او غير المكتمله او غير المحدثه، ومن ذلك ما ياتي: ا- وضع وتحديث السياسات والاجراءات الداخليه بما يتوافق مع احكام النظام وهذه اللايحه، بما في ذلك اجراءات تمكن اصحاب البيانات الشخصيه من ممارسه حقهم في طلب التصحيح وفق ما نص عليه النظام وهذه اللايحه. ب- المراجعه الدوريه لدقه وحداثه البيانات الشخصيه. علي جهه التحكم اتخاذ التدابير التنظيميه والاداريه والتقنيه اللازمه لضمان امن البيانات الشخصيه وخصوصيه اصحابها، والالتزام بالاتي: 1. تطبيق التدابير الامنيه والتقنيه الضروريه للحد من المخاطر الامنيه لحدوث تسرب البيانات الشخصيه. 2. الالتزام بالضوابط والمعايير والقواعد ذوات الصله الصادره عن الهييه الوطنيه للامن السيبراني، او افضل ممارسات ومعايير الامن السيبراني المتعارف عليها في حال كانت جهه التحكم غير ملزمه بتطبيق الضوابط والمعايير والقواعد الصادره عن الهييه الوطنيه للامن السيبراني. 1- تشعر جهه التحكم الجهه المختصه في حاله وقوع حادثه تسرب للبيانات الشخصيه خلال مده لا تتجاوز (72) ساعه من وقت علمها بالحادثه، اذا كان من شان تلك الحادثه الاضرار بالبيانات الشخصيه او صاحب البيانات الشخصيه او كانت تتعارض مع حقوقه او مصالحه، علي ان يتضمن الاشعار ما ياتي: ا- وصف لحادثه تسرب البيانات الشخصيه، علي ان يتضمن وقتها وتاريخها وكيفيه وقوعها ووقت علم جهه التحكم بها. ب- الفيات والاعداد الفعليه او التقريبيه لاصحاب البيانات الشخصيه المعنيين، ونوع البيانات الشخصيه. ج- وصف للمخاطر التي قد تنتج عن الحادثه، بما في ذلك مستوي الاثر الفعلي او المحتمل الذي قد يلحق بالبيانات الشخصيه واصحاب البيانات الشخصيه، والاجراءات والتدابير التي تم اتخاذها من قبل جهه التحكم للمنع او الحد من اثار تلك المخاطر وتخفيفها، والتدابير المستقبليه التي ستتخذها جهه التحكم لمنع تكرار الحادثه. د- بيان اذا تم او سيتم اشعار صاحب البيانات الشخصيه بتسرب بياناته الشخصيه، وفقا لما نصت عليه الفقره (5) من هذه الماده. ه- بيانات التواصل لجهه التحكم او مسؤول حمايه البيانات الشخصيه لديها -ان وجد- او اي مسؤول اخر تتوافر لديه معلومات فيما يخص الحادثه محل الاشعار. 2- اذا لم تتمكن جهه التحكم من تقديم اي من البيانات المطلوبه خلال مده لا تتجاوز (72) ساعه من وقت علمها بتسرب البيانات الشخصيه وفقا لاحكام الفقره (1) من هذه الماده، فعليها ان تقدمها في اقرب وقت ممكن مع ارفاق مبررات التاخير. 3- علي جهه التحكم الاحتفاظ بنسخه من التقارير المقدمه الي الجهه المختصه وفقا لاحكام الفقره (1) من هذه الماده، وتوثيق التدابير التصحيحيه المتخذه فيما يتعلق بتسرب البيانات الشخصيه، واي مستندات او وثايق داعمه ذوات علاقه. 4- لا تخل احكام هذه الماده بالتزامات جهه التحكم او المعالجه بتقديم اي بلاغ او اشعار عن حوادث تسرب البيانات بموجب ما يصدر عن الهييه الوطنيه للامن السيبراني او اي انظمه ولوايح معمول بها في المملكه. 5- علي جهه التحكم دون تاخير غير مبرر اشعار صاحب البيانات الشخصيه بحادثه تسرب بياناته الشخصيه، اذا كان من شانها ان ترتب ضررا علي بياناته او تتعارض مع حقوقه او مصالحه، علي ان يكون الاشعار بلغه مبسطه وواضحه، وان يتضمن ما ياتي: ا- وصف لحادثه تسرب بياناته الشخصيه. ب- وصف المخاطر المحتمله الناشيه عن تسرب بياناته الشخصيه، والتدابير المتخذه لمنع تلك المخاطر او الحد منها وتخفيف اثارها. ج- اسم وبيانات التواصل لجهه التحكم ومسؤول حمايه البيانات لديها –ان وجد- او اي وسايل تواصل اخري مناسبه مع جهه التحكم. د- التوصيات او النصايح التي قد تساعد صاحب البيانات الشخصيه علي اتخاذ الاجراءات الملايمه لتجنب المخاطر المحدده او تخفيف اثارها. 1- يجب علي جهه التحكم ان تعد تقويما مكتوبا وموثقا للاثار والمخاطر التي قد تلحق بصاحب البيانات الشخصيه نتيجه معالجه البيانات الشخصيه، ويتم اجراء تقويم الاثر في الاحوال التاليه: ا- معالجه البيانات الشخصيه الحساسه. ب- جمع او مقارنه او ربط مجموعتين او اكثر من مجموعات البيانات الشخصيه التي تم الحصول عليها من مصادر مختلفه. ج- ان يتضمن نشاط جهه التحكم -علي نطاق واسع او بصوره متكرره- معالجه بيانات شخصيه لناقصي او عديمي الاهليه، او عمليات المعالجه التي تتطلب بطبيعتها مراقبه مستمره لاصحاب البيانات الشخصيه، او معالجه بيانات شخصيه باستخدام تقنيات ناشيه، او اتخاذ قرارات مبنيه علي المعالجه الاليه للبيانات الشخصيه. د- تقديم منتج او خدمه تتضمن معالجه البيانات الشخصيه التي من المحتمل ان تشكل اضرارا جسيمه علي خصوصيه اصحاب البيانات الشخصيه. 2- يجب ان يحتوي تقويم الاثر علي العناصر الاتيه كحد ادني: ا- الغرض من المعالجه والمسوغ النظامي لها. ب- وصف لطبيعه المعالجه التي سيتم تنفيذها، وانواع ومصادر البيانات الشخصيه محل المعالجه واي جهات سيتم الافصاح لها عن البيانات الشخصيه. ج- وصف لنطاق المعالجه الذي يحدد نوع البيانات الشخصيه والنطاق الجغرافي للمعالجه. د- وصف لسياق المعالجه الذي يحدد العلاقه بين اصحاب البيانات الشخصيه وجهه التحكم وجهات المعالجه واي ظروف اخري ذوات صله. ه- ضروره وتناسب التدابير المتبعه لتمكين جهه التحكم وجهات المعالجه من معالجه الحد الادني من البيانات الشخصيه المطلوبه لتحقيق اغراض المعالجه. و- الاثار المترتبه علي المعالجه بناء علي شده تاثيرها ماديا ومعنويا واحتمال حدوث اي اثار سلبيه علي اصحاب البيانات الشخصيه، ويتضمن ذلك اي اثار نفسيه او اجتماعيه او جسديه او ماليه واحتمال حدوث اي منها. ز- التدابير التي ستتخذ لمنع المخاطر والحد منها. ح- مدي ملاءمه التدابير المتبعه لتفادي المخاطر المحدده. 3- علي جهه التحكم تقديم نسخه من تقويم الاثر الي اي جهه معالجه تتصرف نيابه عنها فيما يتعلق بالمعالجه ذات الصله. 4- علي جهه التحكم -في حال انتهت نتايج التقويم المشار اليه في هذه الماده الي ان عمليه المعالجه ستؤدي الي الاضرار بخصوصيه اصحاب البيانات الشخصيه- القيام بمعالجه الاسباب التي دعت الي ذلك واعاده اجراء التقويم. علي جهه التحكم اتخاذ الاجراءات والوسايل التنظيميه والتقنيه والفنيه والاداريه الكفيله بالمحافظه علي البيانات الصحيه من اي استعمال غير مشروع، او من اساءه استخدامها، او استخدامها لغير الغرض الذي جمعت من اجله، او تسربها، واي اجراءات او وسايل تضمن المحافظه علي خصوصيه اصحابها، وعليها بصفه خاصه اتخاذ الضوابط والاجراءات الاتيه: 1- تبني وتطبيق الاشتراطات والضوابط الصادره عن وزاره الصحه والمجلس الصحي السعودي والبنك المركزي السعودي ومجلس الضمان الصحي والجهات الاخري ذوات العلاقه بتنظيم الخدمات الصحيه وخدمات التامين الصحي، والتي تبين مهام ومسؤوليات منسوبي مقدمي الرعايه الصحيه، وشركات التامين الصحي، وشركات اداره مطالبات التامين الصحي ومن تتعاقد معهم ممن يباشرون عمليات معالجه البيانات الصحيه. 2- تضمين الاحكام الوارده في النظام ولوايحه في السياسات الداخليه لدي جهه التحكم. 3- توزيع المهام والمسؤوليات بين الموظفين او العاملين بطريقه تحول دون تداخل الاختصاصات وتشتيت المسؤوليه ومراعاه تدرج امكانيه الوصول الي البيانات بين الموظفين او العاملين بما يكفل اعلي درجه من المحافظه علي خصوصيه اصحاب البيانات الشخصيه. 4- توثيق كافه مراحل معالجه البيانات الصحيه وتوفير امكانيه تحديد الشخص المسؤول عن كل مرحله منها. 5- ان يتضمن اتفاق جهه التحكم مع جهات المعالجه -لتنفيذ اعمال او مهام تتعلق بمعالجه البيانات الصحيه- احكاما تلزمها باتباع الاجراءات والوسايل المنصوص عليها في هذه الماده. 6- قصر عمليات معالجه البيانات علي الحد الادني اللازم لتقديم خدمات او منتجات الرعايه الصحيه، او برامج التامين الصحي. مع عدم الاخلال باحكام نظام المعلومات الايتمانيه، علي جهه التحكم اتخاذ الاجراءات والوسايل التنظيميه والتقنيه والفنيه والاداريه التي تضمن المحافظه علي البيانات الايتمانيه من اي استعمال غير مشروع، او اساءه استخدامها، او الاطلاع عليها من غير المصرح لهم، او استخدامها لغير الغرض الذي جمعت من اجله، او تسربها، وعليها اتخاذ الضوابط والاجراءات الاتيه: 1- تبني وتطبيق الاشتراطات والضوابط الصادره من البنك المركزي السعودي والجهات الاخري ذوات العلاقه، التي تبين مهام ومسؤوليات منسوبي المنشات التي تقدم خدمات المعلومات الايتمانيه ومن تتعاقد معهم من الذين يباشرون عمليات معالجه البيانات الايتمانيه. 2- تلتزم جهه التحكم بالحصول علي موافقه صاحب البيانات الشخصيه واشعاره عند وجود اي طلب للافصاح عن بياناته الايتمانيه، وذلك وفق ما ينص عليه نظام المعلومات الايتمانيه، مع مراعاه ما نصت عليه الفقره الفرعيه (د) من الفقره (1) من الماده (الحاديه عشره) من اللايحه. 1- علي جهه التحكم قبل ارسال مواد دعاييه او توعويه الحصول علي موافقه المتلقي المستهدف، وذلك في حال عدم وجود تعامل مسبق بين جهه التحكم والمتلقي المستهدف. 2- تكون شروط موافقه المتلقي المستهدف بالمواد الدعاييه او التوعويه وفقا لما يلي: ا- ان تصدر الموافقه باراده حره، والا تستخدم اي طرق مضلله في سبيل الحصول عليها. ب- تمكين المتلقي من تخصيص الخيارات المتعلقه بالمواد الدعاييه او التوعويه محل الموافقه. ج- ان توثق موافقه المتلقي المستهدف بوسايل تتيح التحقق منها مستقبلا. 3- دون الاخلال بنظام الاتصالات وتقنيه المعلومات والانظمه الاخري ذوات الصله، علي جهه التحكم قبل استخدام وسايل الاتصال الشخصيه -بما فيها العناوين البريديه والالكترونيه- الخاصه بصاحب البيانات الشخصيه لغرض ارسال مواد دعاييه او توعويه، الالتزام بما ياتي: ا- ذكر اسم الجهه المرسله بوضوح دون اي اخفاء لهويتها. ب- توفير اليه تمكن صاحب البيانات الشخصيه من ايقاف تلقي تلك المواد الدعاييه او التوعويه متي ما رغب في ذلك، وان تكون اجراءات ايقاف تلقي المواد الدعاييه او التوعويه سهله ومبسطه ومماثله او اكثر سهوله من اجراءات الحصول علي الموافقه علي استقبالها. ج- التوقف عن ارسال الرسايل الدعاييه او التوعويه فور تلقيها طلب المتلقي المستهدف بذلك. د- ان يكون ايقاف تلقي المواد الدعاييه او التوعويه دون مقابل مالي. ه- الاحتفاظ بما يثبت موافقه المتلقي المستهدف علي تلقي المواد الدعاييه او التوعويه. 1- دون الاخلال بنظام الاتصالات وتقنيه المعلومات والانظمه الاخري ذوات الصله، علي جهه التحكم قبل القيام بمعالجه البيانات الشخصيه لاغراض التسويق المباشر، الالتزام بالاتي: ا- الحصول علي موافقه صاحب البيانات الشخصيه وفقا لاحكام الماده (الحاديه عشره) من هذه اللايحه. ب- توفير اليه تمكن صاحب البيانات الشخصيه من ايقاف تلقي المواد التسويقيه متي ما رغب في ذلك، وان تكون اجراءات ايقاف تلقي المواد التسويقيه سهله ومبسطه ومماثله او اكثر سهوله من اجراءات الحصول علي الموافقه علي استقبالها. 2- عند ارسال مواد التسويق المباشر لصاحب البيانات الشخصيه، يجب ذكر اسم الجهه المرسله بوضوح دون اي اخفاء لهويتها. 3- في حال عدول صاحب البيانات الشخصيه عن موافقته علي التسويق المباشر، فيكون علي جهه التحكم التوقف دون تاخير غير مبرر عن توجيه المواد التسويقيه اليه. علي جهه التحكم عند جمع او معالجه البيانات الشخصيه لاغراض علميه او بحثيه او احصاييه دون موافقه صاحبها الالتزام بالاتي: 1. تحديد الاغراض العلميه او البحثيه او الاحصاييه بشكل واضح ودقيق في سجلات انشطه معالجه البيانات الشخصيه. 2. اتخاذ التدابير اللازمه لضمان جمع البيانات الشخصيه وفق الحد الادني اللازم لتحقيق الاغراض المحدده. 3. ترميز البيانات الشخصيه التي تجري معالجتها، في الاحوال التي لا يؤثر ذلك علي تحقيق الغرض من المعالجه. 4. اتخاذ التدابير اللازمه لضمان الا ترتب المعالجه اي اثار سلبيه علي حقوق ومصالح صاحب البيانات الشخصيه. دون الاخلال بالانظمه ذوات العلاقه، علي جهه التحكم الامتناع عن تصوير الوثايق الرسميه -الصادره من الجهات العامه- التي تحدد هويه صاحب البيانات الشخصيه او نسخها، الا بناء علي طلب من جهه عامه مختصه، او متي ما كان ذلك تنفيذا لاحكام نظام، وعلي جهه التحكم توفير الحمايه اللازمه لتلك الوثايق، واتلافها فور انتهاء الغرض منها، ما لم يكن هناك متطلب نظامي للاحتفاظ بها. 1- تقوم جهه التحكم بتعيين او تحديد شخص او اكثر ليكون مسؤولا عن حمايه البيانات الشخصيه، وذلك في اي من الحالات الاتيه: ا- ان تكون جهه التحكم جهه عامه تقدم خدمات تتضمن معالجه بيانات شخصيه علي نطاق واسع. ب- ان تقوم الانشطه الاساسيه لجهه التحكم علي عمليات المعالجه التي تتطلب بطبيعتها مراقبه منتظمه وممنهجه لاصحاب البيانات الشخصيه. ج- ان تقوم الانشطه الاساسيه لجهه التحكم علي معالجه بيانات شخصيه حساسه. 2- مع مراعاه متطلبات الفقره (1) من هذه الماده، يجوز ان يكون مسؤول حمايه البيانات الشخصيه مسؤولا او موظفا لدي جهه التحكم او متعاقدا خارجيا. 3- يتولي مسؤول حمايه البيانات الشخصيه في جهه التحكم متابعه تنفيذ احكام النظام ولوايحه، ومراقبه الاجراءات المعمول بها داخل جهه التحكم والاشراف عليها، وتلقي الطلبات المتعلقه بالبيانات الشخصيه وفقا لاحكام النظام ولوايحه، ويتولي علي وجه الخصوص الاتي: ا- العمل كمسؤول اتصال مباشر مع الجهه المختصه وتنفيذ قراراتها وتعليماتها فيما يتصل بتطبيق احكام النظام ولوايحه. ب- الاشراف علي اجراءات تقويم الاثر وتقارير المراجعه والتدقيق المتعلقه بضوابط حمايه البيانات الشخصيه، وتوثيق نتايج التقويم واصدار التوصيات اللازمه لذلك. ج- تمكين صاحب البيانات الشخصيه من ممارسه حقوقه المنصوص عليها في النظام. د- اشعار الجهه المختصه عن حوادث تسرب البيانات الشخصيه. ه- الرد علي الطلبات المقدمه من صاحب البيانات الشخصيه، والرد علي الجهه المختصه في الشكاوي المقدمه وفقا لاحكام النظام واللايحه. و- متابعه قيد وتحديث سجلات انشطه معالجه البيانات الشخصيه لدي جهه التحكم. ز- معالجه المخالفات المتعلقه بالبيانات الشخصيه داخل جهه التحكم، واتخاذ الاجراءات التصحيحيه حيالها. 4- تصدر الجهه المختصه قواعد تعيين مسؤول حمايه البيانات الشخصيه، علي ان تتضمن القواعد الاحوال التي يجب فيها تعيين مسؤول حمايه البيانات الشخصيه. 1- علي جهه التحكم الاحتفاظ بسجل انشطه معالجه البيانات الشخصيه اثناء فتره استمرار عمليات معالجه البيانات الشخصيه، اضافه الي خمس سنوات تبدا من تاريخ انتهاء نشاط معالجه البيانات الشخصيه. 2- يجب ان تكون سجلات انشطه معالجه البيانات الشخصيه مكتوبه. 3- علي جهه التحكم ضمان دقه وحداثه سجلات انشطه معالجه البيانات الشخصيه. 4- علي جهه التحكم اتاحه سجلات انشطه معالجه البيانات الشخصيه للجهه المختصه عند طلبها. 5- يتضمن سجل انشطه معالجه البيانات الشخصيه المحتويات الاتيه كحد ادني: ا- اسم جهه التحكم وتفاصيل الاتصال المتعلقه بها. ب- بيانات مسؤول حمايه البيانات الشخصيه في الاحوال التي تتطلب ذلك وفقا لما نصت عليه الفقره (1) من الماده (الثانيه والثلاثين) من هذه اللايحه. ج- اغراض معالجه البيانات الشخصيه. د- وصف لفيات البيانات الشخصيه التي تتم معالجتها، وفيات اصحاب البيانات الشخصيه. ه- مدد الاحتفاظ الخاصه بكل من فيات البيانات الشخصيه، ما امكن ذلك. و- فيات الجهات التي يتم الافصاح لها عن البيانات الشخصيه. ز- وصف لعمليات نقل البيانات الشخصيه الي خارج المملكه، بما في ذلك المسوغات النظاميه لعمليات النقل والجهات التي يتم نقل البيانات الشخصيه اليها. ح- وصف الاجراءات والوسايل التنظيميه والاداريه والتقنيه التي تضمن المحافظه علي البيانات الشخصيه، ما امكن ذلك. 6- تضع الجهه المختصه نماذج استرشاديه لسجلات انشطه معالجه البيانات الشخصيه. تصدر الجهه المختصه قواعد التسجيل في السجل الوطني لجهات التحكم، علي ان تتضمن القواعد تحديد جهات التحكم الملزمه بالتسجيل. تصدر الجهه المختصه القواعد المنظمه للترخيص لجهات تتولي اصدار شهادات الاعتماد لجهات التحكم وجهات المعالجه وفق ما نصت عليه الفقره (2) من (الماده الثالثه والثلاثين) من النظام، وتنسق الجهه المختصه مع هييه الحكومه الرقميه فيما يتعلق بالترخيص للجهات التي تقدم الخدمات نيابه عن الجهات الحكوميه. 1- تهدف عمليات التدقيق والفحص الي التاكد من ان الجهه تقوم بحمايه البيانات الشخصيه بشكل ملايم، وذلك من خلال تدقيق وفحص انشطه معالجه البيانات الشخصيه المتبعه لدي الجهه، والضوابط والاجراءات ذوات الصله بها، ورصد اي فجوات لديها فيما يتعلق بتطبيق النظام ولوايحه. 2- عند القيام بتدقيق وفحص انشطه معالجه البيانات الشخصيه، يتم الالتزام بما يلي: ا- تقديم هذه الخدمات بشكل مستقل وفق المعايير المهنيه المتبعه. ب- وضع الاجراءات والضوابط الاداريه والتنظيميه اللازمه للتاكد من دقه وسلامه ما يصدر عنها. 3- تصدر الجهه المختصه القواعد المنظمه للترخيص لجهات تتولي التدقيق او الفحص لانشطه معالجه البيانات الشخصيه وفق ما نصت عليه الفقره (3) من (الماده الثالثه والثلاثين) من النظام، وتنسق الجهه المختصه مع هييه الحكومه الرقميه فيما يتعلق بالترخيص للجهات التي تقدم الخدمات نيابه عن الجهات الحكوميه. 1- لصاحب البيانات الشخصيه تقديم شكوي الي الجهه المختصه خلال مده لا تتجاوز (90) يوما من تاريخ الحادثه محل الشكوي او علم صاحب البيانات الشخصيه بها، وللجهه المختصه تقدير قبول الشكوي من عدمه بعد تجاوز هذه المده في الحالات التي يتبين لها وجود اسباب واقعيه منعت صاحب البيانات الشخصيه من تقديم شكواه خلال هذه الفتره. 2- تتلقي الجهه المختصه الشكاوي الوارده اليها من خلال الوسيله التي تبينها، وذلك وفق اجراءات تكفل السرعه والجوده في التعامل معها. 3- تقيد الجهه المختصه الشكاوي المقدمه في سجل يعد لهذا الغرض. 4- يجب ان تتضمن الشكوي البيانات التاليه: ا- مكان وزمان المخالفه. ب- اسم مقدمها، وهويته، وعنوانه، ورقم هاتفه. ج- بيانات الجهه المشتكي ضدها. د- وصف الفعل المخالف بشكل واضح ومحدد، والادله والمعلومات المقدمه مع الشكوي. ه- اي متطلبات اخري تحددها الجهه المختصه. 5- تتولي الجهه المختصه فحص ودراسه الشكاوي ومستنداتها، ولها التواصل مع مقدم الشكوي بحسب الحاجه الي طلب المستندات والوثايق والمعلومات ذوات الصله. 6- تتولي الجهه المختصه اتخاذ الاجراءات اللازمه حيال الشكاوي الوارده اليها وتشعر مقدم الشكوي بالنتيجه التي انتهت اليها. تنشر هذه اللايحه في الجريده الرسميه والموقع الرسمي للجهه المختصه، ويعمل بها من تاريخ نفاذ النظام.