tree · classes · sources · search · improve
root / telecom_it / data_cybersecurity / personal_data_protection

لائحة نقل البيانات الشخصية خارج المملكة

uqn_gov_sa · regulation · processed · 16 chunks

date_gregorian=2023-09-07 date_hijri=1445-02-22 document_type=regulation entity=legal_basis:royal_decree:19 entity=legal_basis:royal_decree:148 entity=format:text/html entity=document_number:م/19 entity=document_number:م/148 language=ar taxonomy_l1=telecom_it taxonomy_l2=data_cybersecurity taxonomy_l3=personal_data_protection validity_confidence=0.0
تكون للكلمات والعبارات الوارده في هذه اللايحه المعاني الموضحه امام كل منها في الماده (الاولي) من نظام حمايه البيانات الشخصيه، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9 /2/ 1443ه، والمعدل بموجب المرسوم الملكي رقم (م/148) وتاريخ 5 /9/ 1444ه ولايحته التنفيذيه، ويقصد بالالفاظ والعبارات الاتيه -اينما وردت في هذه اللايحه- المعاني الموضحه امام كل منها، ما لم يقتض السياق غير ذلك:

1. اللايحه: لايحه نقل البيانات الشخصيه خارج المملكه.

2. نقل البيانات الشخصيه: نقل البيانات الشخصيه خارج المملكه بغرض معالجتها.

3. اللوايح: اللوايح التنفيذيه لنظام حمايه البيانات الشخصيه.

1. مع مراعاه احكام النظام ولوايحه، يجوز لجهه التحكم نقل البيانات الشخصيه او الافصاح عنها لجهه خارج المملكه، ما لم يؤثر هذا النقل او الافصاح علي الامن الوطني او مصالح المملكه الحيويه او كان النقل او الافصاح مخالفا لنظام اخر في المملكه.

2. علي جهه التحكم قصر نقل البيانات الشخصيه خارج المملكه او الافصاح عنها لجهه خارج المملكه علي الحد الادني اللازم لتحقيق الغرض من عمليه النقل او الافصاح، ويتم تحديد ذلك من خلال استخدام اي وسايل ملايمه، بما في ذلك مخططات البيانات التي تبين الحاجه الي نقل كل بيان او الافصاح عنه وربط ذلك بكل هدف من اهداف المعالجه خارج المملكه.

3. علي جهه التحكم عند نقل البيانات الشخصيه او الافصاح عنها لجهه خارج المملكه، التاكد من ان ذلك لن يؤثر علي خصوصيه اصحاب البيانات الشخصيه او مستوي الحمايه المكفول للبيانات الشخصيه وفق النظام ولوايحه، وذلك من خلال التاكد من ان عمليه النقل او الافصاح لن تخل -كحد ادني- باي مما يلي:

ا- قدره صاحب البيانات الشخصيه علي ممارسه حقوقه المكفوله في النظام.

ب- قدره صاحب البيانات الشخصيه علي العدول عن موافقته علي عمليه المعالجه.

ج- قدره جهه التحكم علي الالتزام بمتطلبات الاشعار عن حوادث تسرب البيانات الشخصيه.

د- قدره جهه التحكم علي الالتزام باحكام وضوابط واجراءات الافصاح عن البيانات الشخصيه.

ه- قدره جهه التحكم علي الالتزام باحكام وضوابط اتلاف البيانات الشخصيه.

و- قدره جهه التحكم علي اتخاذ التدابير التنظيميه والاداريه والتقنيه اللازمه لضمان امن البيانات الشخصيه.

4. يجوز لجهه التحكم نقل البيانات الشخصيه خارج المملكه او الافصاح عنها لجهه خارج المملكه وفقا للاغراض المنصوص عليها في الفقره (1) من الماده (التاسعه والعشرين) من النظام، اضافه الي الاغراض الاتيه:

ا- اجراء العمليات التشغيليه للمعالجه لتمكين جهه التحكم من ممارسه انشطتها، بما يشمل عمليات الاداره المركزيه.

ب- تقديم خدمه او منفعه لصاحب البيانات الشخصيه.

ج- اجراء البحوث والدراسات العلميه.

1. تقوم الجهه المختصه والجهات المعنيه التي يتم التنسيق معها -كل بحسب اختصاصه- بتقويم مستوي حمايه البيانات الشخصيه خارج المملكه، وذلك وفقا للمعايير التاليه:

ا- وجود انظمه تضمن حمايه البيانات الشخصيه والمحافظه علي حقوق اصحابها بما لا يقل عن مستوي الحمايه الذي يكفله النظام ولوايحه.

ب- سياده الانظمه، وضمان حقوق اصحاب البيانات الشخصيه والمحافظه علي خصوصيتهم.

ج- فاعليه تطبيق انظمه حمايه البيانات الشخصيه.

د- امكانيه قيام اصحاب البيانات الشخصيه بممارسه حقوقهم، وان تتوفر لهم الوسايل اللازمه لتقديم الشكاوي او المطالبات المتصله بمعالجه البيانات الشخصيه.

ه- وجود جهه مشرفه تتولي مسؤوليه متابعه التزام جهات التحكم بمتطلبات حمايه البيانات الشخصيه.

و- استعداد الجهه المشرفه للتعاون مع الجهه المختصه في المملكه في المسايل المتصله بحمايه البيانات الشخصيه.

ز- وضوح وملاءمه المتطلبات التنظيميه المتعلقه بالافصاح عن البيانات الشخصيه للجهات الحكوميه والرقابيه.

2. يجوز اجراء تقويم مستوي حمايه البيانات الشخصيه المشار اليه في هذه الماده للدول او لقطاعات محدده فيها او لمنظمات دوليه.

1. تقوم الجهه المختصه برفع نتايج تقويم مستوي حمايه البيانات الشخصيه خارج المملكه لرييس مجلس الوزراء، مبينا فيها كافه التفاصيل المتعلقه به، بما في ذلك اراء الجهات المشاركه في التقويم، وتوصيات الجهه المختصه.

2. تكون توصيات الجهه المختصه المشار اليها في الفقره (1) من هذه الماده وفقا لما يلي:

ا- التوصيه باصدار قرار اعتماد وفقا لنتايج تقويم مستوي حمايه البيانات الشخصيه، سواء تم استيفاء كل او بعض المعايير المنصوص عليها في الفقره (1) من الماده (الثالثه) من هذه اللايحه.

ب- التوصيه بعقد اتفاقيه دوليه -وفق الاجراءات النظاميه المتبعه- وذلك بحسب الاحوال.

ج- التوصيه بعدم اصدار قرار اعتماد او عقد اتفاقيه دوليه مع بيان المسوغات لذلك.

3. تقوم الجهه المختصه -كل اربع سنوات او عند الاقتضاء- بمراجعه تقويم مستوي حمايه البيانات الشخصيه لدي الدول او القطاعات او المنظمات الدوليه التي صدر لها قرارات اعتماد او تم توقيع اتفاقيه دوليه معها، مع مراعاه جميع التطورات ذوات الصله في تلك الدول او القطاعات او المنظمات الدوليه وفقا للمعايير الوارده في الفقره (1) من الماده (الثالثه) من هذه اللايحه.

4. تقوم الجهه المختصه بالرفع الي رييس مجلس الوزراء باقتراح الغاء او تعديل او تعليق اي من القرارات المتخذه بشان مستوي حمايه البيانات الشخصيه خارج المملكه، وذلك في حال تبين من خلال مراجعه مستوي الحمايه للبيانات الشخصيه ان الدوله او القطاع او المنظمه الدوليه لم تعد تضمن مستوي كافيا من الحمايه المكفوله للبيانات الشخصيه.

1. في حال عدم وجود مستوي مناسب لحمايه البيانات الشخصيه خارج المملكه، لجهه التحكم نقل البيانات الشخصيه او الافصاح عنها خارج المملكه شريطه الا تتضمن المتطلبات النظاميه لدي الدوله او المنظمه الدوليه ما يؤثر سلبا علي خصوصيه اصحاب البيانات الشخصيه او قدره جهه التحكم علي الالتزام بتطبيق الضمانات الملايمه، وتتمثل الضمانات الملايمه في اي من الاتي:

ا- القواعد المشتركه الملزمه، والتي تطبق علي كل طرف معني في مجموعه الجهات التي تعمل في نشاط اقتصادي مشترك، بما في ذلك موظفوها، والتي تتم الموافقه علي احكامها وبنودها من قبل الجهه المختصه وفق طلبات تقدم لها في كل حاله علي حده.

ب- البنود التعاقديه القياسيه التي تضمن المستوي الكافي لحمايه البيانات الشخصيه عند نقلها خارج المملكه، وفق نموذج قياسي تصدره الجهه المختصه.

ج- شهادات الالتزام بالنظام واللايحه في المملكه، والتي تصدر من جهه مرخصه من قبل الجهه المختصه، مع التزام جهه التحكم او جهه المعالجه خارج المملكه بتطبيق الضمانات الملايمه.

د- قواعد السلوك الملزمه، والتي تتم الموافقه عليها من قبل الجهه المختصه وفق طلبات تقدم لها في كل حاله علي حده، مع التزام جهه التحكم او جهه المعالجه خارج المملكه بتطبيق الضمانات الملايمه.

2. تتضمن القواعد المشتركه الملزمه المشار اليها في الفقره الفرعيه (ا) من الفقره (1) من هذه الماده المسايل الاتيه علي الاقل:

ا- بيانات السجلات التجاريه وتفاصيل معلومات الاتصال الخاصه بمجموعه الجهات التي تعمل في نشاط اقتصادي مشترك.

ب- وصف عمليات نقل البيانات الشخصيه او مجموعه عمليات النقل، بما في ذلك نوع البيانات الشخصيه ونوع المعالجه واغراضها وتحديد الدوله او الدول التي سيجري نقل البيانات اليها.

ج- التزام كافه الاطراف في القواعد بتطبيق ما ورد فيها.

د- احكام حمايه البيانات الشخصيه الواجب تطبيقها، بما في ذلك تحديد الغرض من المعالجه، وجمع الحد الادني من البيانات، وفترات الاحتفاظ، والمسوغات النظاميه للمعالجه، وضوابط معالجه البيانات الشخصيه، والمتطلبات المتعلقه بعمليات النقل اللاحقه الي الجهات غير الملزمه بالقواعد.

ه- حقوق صاحب البيانات الشخصيه فيما يتعلق بالمعالجه ووسايل ممارسه تلك الحقوق بما في ذلك الحق في تقديم شكوي الي الجهه المختصه.

و- احكام مسؤوليه جهه التحكم عن اي انتهاكات للقواعد من قبل اطرافها.

ز- كيفيه توفير المعلومات المتعلقه بالقواعد لاصحاب البيانات بالاضافه الي المعلومات الاخري التي سيتم تقديمها وفقا للنظام ولوايحه.

ح- مهام مسؤول حمايه البيانات الشخصيه -ان وجد- او اي شخص او جهه مسؤوله عن مراقبه الالتزام بالقواعد داخل الجهات العامله في نشاط اقتصادي مشترك.

ط- اليه معالجه الشكاوي، والتعامل مع حوادث تسرب البيانات الشخصيه.

ي- اليات ضمان ومتابعه الالتزام داخل مجموعه الجهات العامله في نشاط اقتصادي مشترك لضمان التحقق من الالتزام بالقواعد بشكل مستمر وفعال، علي ان تتضمن هذه الاليات عمليات التدقيق لحمايه البيانات الشخصيه وطرق تنفيذ الاجراءات التصحيحيه، اضافه الي الالتزام باتاحه نتايج هذا التدقيق للجهه المختصه عند طلبها.

ك- اليه طلب الموافقه من الجهه المختصه علي اي تعديلات تطرا علي القواعد.

ل- اليه التعاون والتواصل مع الجهه المختصه لضمان التزام كل طرف في مجموعه الجهات العامله في النشاط الاقتصادي المشترك.

م- توضيح اي متطلبات نظاميه للافصاح عن البيانات الشخصيه تخضع لها مجموعه الجهات العامله في النشاط الاقتصادي المشترك في دوله اخري، والتي من المحتمل ان يكون لها اثر سلبي علي الاحكام المنصوص عليها في القواعد، واليه التعامل مع احوال تعارض المتطلبات النظاميه خارج المملكه مع احكام النظام ولوايحه.

ن- اليه تدريب وتاهيل الموظفين الذين لديهم وصول دايم او منتظم الي البيانات الشخصيه والبيانات الحساسه.

3. لا يخل تطبيق ما ورد في هذه الماده بمسؤوليات جهه التحكم المنصوص عليها في النظام ولوايحه.

في حال عدم وجود مستوي مناسب لحمايه البيانات الشخصيه خارج المملكه وتعذر استخدام جهه التحكم لاي من الضمانات الملايمه لنقل البيانات المنصوص عليها في الفقره (1) من الماده (الخامسه) من هذه اللايحه، يجوز نقل البيانات الشخصيه خارج المملكه او الافصاح عنها لجهه خارج المملكه وذلك في اي من الحالات الاتيه:

1. اذا كان النقل او الافصاح ضروريا لابرام او تنفيذ اتفاق يكون صاحب البيانات الشخصيه طرفا فيه.

2. اذا كانت جهه التحكم جهه عامه وكان النقل او الافصاح ضروريا لحمايه الامن الوطني للمملكه او لتحقيق مصلحه عامه.

3. اذا كانت جهه التحكم جهه عامه وكان النقل او الافصاح ضروريا للتحقيق في الجرايم او الكشف عنها او ملاحقه مرتكبيها، او لتنفيذ عقوبات جزاييه.

4. اذا كان النقل او الافصاح ضروريا لحمايه المصالح الحيويه لصاحب البيانات الشخصيه وكان الاتصال به متعذرا.

1- علي جهه التحكم في حال نقلها للبيانات الشخصيه او الافصاح عنها لجهه خارج المملكه وفقا للماده (الخامسه) او (السادسه) من هذه اللايحه، التوقف عن نقل البيانات الشخصيه او الافصاح عنها لجهه خارج المملكه في اي من الاحوال الاتيه:

ا- اذا تبين ان عمليه النقل او الافصاح تمس الامن الوطني او مصالح المملكه الحيويه.

ب- اذا وضحت نتايج تقويم مخاطر نقل البيانات الشخصيه خارج المملكه او الافصاح عنها لجهه خارج المملكه ان عمليه النقل او الافصاح سينتج عنها مخاطر عاليه علي خصوصيه اصحاب البيانات الشخصيه.

ج- توقف سريان الضمانات الملايمه المطبقه من قبل جهه التحكم.

د- عدم امكانيه جهه التحكم من الالتزام بالضمانات الملايمه المطبقه من قبلها.

2- في حال انطباق اي من الاحوال المنصوص عليها في الفقره (1) من هذه الماده، علي جهه التحكم القيام بما يلي:

ا- التوقف -دون تاخر غير مبرر- عن عمليه نقل البيانات الشخصيه خارج المملكه او الافصاح عنها لجهه خارج المملكه.

ب- اعاده اجراء تقويم مخاطر نقل البيانات الشخصيه خارج المملكه او الافصاح عنها لجهه خارج المملكه.

3- تقوم الجهه المختصه بتقييم ومراجعه احوال واجراءات العدول عن الاعفاء بشكل مستمر.

1. علي جهه التحكم اجراء تقويم مخاطر نقل البيانات خارج المملكه او الافصاح عنها لجهه خارج المملكه، وذلك في اي من الاحوال الاتيه:

ا- نقل البيانات خارج المملكه وفقا للماده (الخامسه) من هذه اللايحه.

ب- نقل البيانات خارج المملكه وفقا للماده (السادسه) من هذه اللايحه.

ج- نقل بيانات حساسه خارج المملكه بصفه مستمره او علي نطاق واسع.

2. يجب ان يتضمن تقويم مخاطر نقل البيانات خارج المملكه او الافصاح عنها لجهه خارج المملكه العناصر الاتيه كحد ادني:

ا- الغرض من عمليه النقل او الافصاح والمسوغ النظامي لها.

ب- وصف لطبيعه عمليه النقل او الافصاح التي سيتم تنفيذها، والنطاق الجغرافي لها.

ج- الوسايل والضمانات الملايمه المتخذه لنقل البيانات الشخصيه خارج المملكه ومدي كفايتها لتحقيق المستوي المطلوب لحمايه البيانات الشخصيه.

د- التدابير المتبعه للتاكد من ان عمليه النقل او الافصاح تتم وفق الحد الادني من البيانات الشخصيه المطلوبه لتحقيق الاغراض.

ه- الاثار الماديه او المعنويه التي قد تترتب علي عمليه النقل او الافصاح، واحتمال حدوث اي اضرار علي اصحاب البيانات الشخصيه.

و- التدابير التي ستتخذ لمنع المخاطر المحدده لحمايه البيانات الشخصيه والحد منها.

تصدر الجهه المختصه النماذج والادله الاسترشاديه والاجراييه المتصله بالاحكام الوارده في هذه اللايحه.

يتم العمل بهذه اللايحه ابتداء من تاريخ نفاذ النظام.