دليل معايير إصدار شهادات الاعتماد لجهات التحكم وجهات المعالجة

إضافة تعليق ؟

يمكنك إضافة مرئياتك على المشروع بما لا يتجاوز 5000 حرف,باقي 5000 حرف

إضافة تعليق

التعليقات

(فارغة)

المقدّمة

الهدف والنطاق

يهدف هذا الدليل إلى وضع إطار تنظيمي واضح ومتسق وموثوق يحكم إصدار شهادات الاعتماد وأداء أنشطة التدقيق والفحص بموجب نظام حماية البيانات الشخصية.

وعليه، فإن أهداف هذا الدليل تتمحور حول الآتي:

أ‌) ضمان مصداقية وموثوقية شهادات الاعتماد من خلال وضع إجراءات موحّدة تنطبق على اعتماد جهات التحكم والمعالجة.

ب‌) ضمان مستوى عالٍ ومتسق من حماية البيانات الشخصية، من خلال التأكد من عدم منح شهادات الاعتماد إلّا لجهات التحكم والمعالجة التي تثبت امتثالًا فعالًا، بما في ذلك التدابير الفنية والتنظيمية المناسبة، وترتيبات الحوكمة، وآليات المساءلة.

ت‌) تعزيز الثقة واليقين القانوني لدى جهات التحكم والمعالجة، وأصحاب البيانات، وسائر الجهات المعنية التي تعتمد على شهادات الاعتماد باعتبارها دليلًا على الامتثال للنظام ولائحته التنفيذية.

ث‌) توفير إطار اعتماد يتسم بالوضوح والشفافية وقابلية التنبؤ، يمكّن الجهة المختصّة من تقييم الطلبات، ومتابعة جهات التحكم والمعالجة المعتمدة، وإنفاذ الامتثال المستمر بصورة فعّالة ومتناسبة.

ج‌) ضمان الاتساق في تفسير وتطبيق متطلبات الاعتماد عبر مختلف القطاعات والأنشطة، مع إتاحة نهج قائم على المخاطر ومتناسب يعكس طبيعة أنشطة معالجة البيانات الشخصية ونطاقها وسياقها ومستوى حساسيتها.

ح‌) مواءمة ممارسات الاعتماد الوطنية لجهات التحكم والمعالجة مع مبادئ حماية البيانات وإصدار الشهادات والضمان المعترف بها دوليًا، دون الإخلال بسيادة الإطار النظامي والتنظيمي في المملكة أو بالصلاحيات الإشرافية الحصرية للجهة المختصّة.

وينطبق هذا الدليل على:

أ‌) أي جهة اعتماد مرخّصة تمارس أنشطة إصدار الشهادات أو التدقيق أو الفحص المتعلقة بالامتثال للنظام ولائحته التنفيذية.

ب‌) أي جهة تتقدم بطلب للحصول على شهادة اعتماد من خلال جهة إصدار شهادات مرخّصة.

ت‌) أي جهة تطلب تنفيذ أنشطة الفحص أو التدقيق المتعلقة بمعالجة البيانات الشخصية لديها من خلال جهة تدقيق وفحص مرخّصة.

المراجع المعيارية

التعريفات

يُقصد بالألفاظ والعبارات الآتية، أينما وردت في هذا الدليل، المعاني المبينة أمام كل منها، ما لم يقتضِ السياق خلاف ذلك:

المملكة: المملكة العربية السعودية.

النظام: نظام حماية البيانات الشخصية الصادر بموجب المرسوم الملكي رقم (م\19) بتاريخ 9\2\1443هـ، والمعدّل بموجب المرسوم الملكي رقم (م\148) بتاريخ 5\9\1444هـ ("النظام").

اللوائح: "اللوائح التنفيذية للنظام" تشمل كلاً من "اللائحة التنفيذية" و"اللائحة الخاصة بنقل البيانات الشخصية إلى خارج المملكة".

الجهة المختصّة: الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

القواعد: القواعد المنظّمة لتراخيص أنشطة إصدار شهادات الاعتماد لجهات التحكم والمعالجة وأنشطة التدقيق والفحص المرتبطة بمعالجة البيانات الشخصية.

الترخيص: وثيقة تصدر من الجهة المختصّة تتيح لمقدم الطلب صلاحية ممارسة أنشطة إصدار شهادات الاعتماد لجهات التحكم والمعالجة، والقيام بأنشطة التدقيق والفحص المرتبطة بمعالجة البيانات الشخصية لدى تلك الجهات.

ترخيص أنشطة إصدار شهادات الاعتماد: وثيقة صادرة من الجهة المختصّة لكيانٍ نظاميٍّ ذات صفة اعتبارية خاصّة لممارسة نشاط إصدار شهادات الاعتماد لجهات التحكم والمعالجة.

ترخيص أنشطة التدقيق والفحص: وثيقة صادرة من الجهة المختصّة لكيانٍ نظاميٍّ ذات صفة اعتبارية خاصّة لممارسة أنشطة التدقيق والفحص المرتبطة بمعالجة البيانات الشخصية لدى جهات التحكم والمعالجة.

مقدّم الطلب: جهة التحكم أو جهة المعالجة الخاضعة لأنشطة إصدار الشهادات أو الفحص. وتتقدم بطلب الحصول على شهادة اعتماد إلى جهة الاعتماد، أو تطلب تنفيذ أنشطة الفحص والتدقيق من جهة التدقيق والفحص.

جهة الاعتماد: جهة حاصلة على ترخيص من قبل الجهة المختصّة لممارسة أنشطة إصدار شهادات الاعتماد، وتشمل صلاحياتها إصدار الشهادات ومتابعة سريانها، وإيقافها أو سحبها أو إلغائها وفقًا لمقتضيات القواعد المنظّمة.

جهة التدقيق والفحص: جهة حاصلة على ترخيص من قبل الجهة المختصّة لممارسة أنشطة التدقيق والفحص؛ لتقييم مدى الامتثال للمتطلبات المحددة ذات الصلة، وتتولى إصدار تقارير التدقيق والفحص دون أن يكون لها صلاحية إصدار الشهادات.

شهادة الاعتماد: شهادة تصدرها الجهة المختصّة للعميل بناءً على قرار صادر عن جهة الاعتماد، تتضمن التأكيد على أن الممارسات والإجراءات التي يتم اتباعها لدى العميل عند معالجة البيانات الشخصية تمتثل لأحكام النظام ولوائحه التنفيذية والمتطلبات المنصوص عليها في القواعد المنظمة لإصدار شهادات الاعتماد لجهات التحكم والمعالجة.

تقرير تقييم إصدار شهادات الاعتماد: تقرير يُعَدّ من جهة الاعتماد ويتضمن نتائج تقييم الممارسات والإجراءات المتّبعة لدى العميل عند معالجة البيانات الشخصية في ضوء أحكام النظام ولوائحه التنفيذية، ووفقًا للآلية والمعايير التي تحددها الجهة المختصّة.

منصّة الجهة المختصّة: منصة حوكمة البيانات الوطنية (https://dgp.sdaia.gov.sa) التابعة للجهة المختصّة، تهدف إلى تقديم الخدمات الداعمة لتنفيذ وإنفاذ أحكام النظام ولوائحه التنفيذية.

المركز: المركز السعودي للاعتماد.

المعيار الدولي: الأطر المعترف بها دوليًا والصادرة عن المنظّمة الدولية للتقييس (ISO)، والتي تحدد المتطلبات اللازمة لضمان الكفاءة والحياد والاتساق في أنشطة تقييم المطابقة، بما في ذلك أنشطة إصدار الشهادات بموجب معيار ISO/IEC 17065، وأنشطة الفحص بموجب معيار ISO/IEC 17020.

ملاحظة: تكون للمصطلحات الأخرى المستخدمة في هذه الوثيقة، والتي لم يرد تعريفها صراحةً فيها، المعاني المحددة لها في المعايير الدولية، شريطة ألا تتعارض هذه التعريفات أو تتناقض مع التعريفات الواردة في هذه الوثيقة.

المعايير العامة لإصدار شهادات الاعتماد

4.1. التسجيل في السجل الوطني لجهات التحكم

4.1.1. يجب أن يكون مقدّم الطلب مسجّلًا في السجل الوطني لجهات التحكم من خلال “منصّة الجهة المختصّة”، وذلك وفقًا للأحكام والإجراءات المنظمة للتسجيل التي تحددها الجهة المختصّة. ويجب أن يكون هذا التسجيل ساريًا ونافذًا وقت تقديم طلب الاعتماد وطوال مدة سريان شهادة الاعتماد.

4.2. امتثال ممارسات معالجة البيانات الشخصية

4.2.1. يجب أن تمتثل ممارسات مقدّم الطلب وإجراءاته المتعلقة بأنشطة معالجة البيانات الشخصية لأحكام النظام ولوائحه التنفيذية.

4.2.2. يتم التحقق من الامتثال من خلال تقييم تجريه جهة الاعتماد، وفقًا لآلية الاعتماد والمعايير والإجراءات المعمول بها والمعتمدة من الجهة المختصّة.

4.3. الإفصاح عن الشكاوى

4.3.1. يتعيّن على مقدّم الطلب الإفصاح لجهة الاعتماد عن أي شكاوى سابقة أو قائمة مقدّمة ضده بموجب أحكام النظام ولوائحه التنفيذية المعمول بها. ويجب أن يكون هذا الإفصاح كاملًا ودقيقًا وفي الوقت المناسب، بما يمكّن جهة الاعتماد من تقييم مدى صلة تلك الشكاوى بعملية إصدار الشهادة أو الاعتماد.

4.4. الإفصاح عن المخالفات التنظيمية

4.4.1. يتعيّن على مقدّم الطلب الإفصاح لجهة الاعتماد عن أي مخالفات لأحكام النظام ولوائحه التنفيذية سبق أن حدّدتها الجهة المختصّة. ويجب أن يشمل هذا الإفصاح، متى كان منطبقًا، معلومات عن الإجراءات التصحيحية المتخذة أو التدابير الجارية التي تم تنفيذها لمعالجة تلك المخالفات.

4.5. الأدوات

4.5.1. يتعيّن على مقدّم الطلب إنشاء نظام وأدوات مناسبة والمحافظة عليها للتحقق من تنفيذ أنشطة معالجة البيانات الشخصية بما يتوافق مع النظام ولوائحه التنفيذية.

4.5.2. يجب أن تتيح هذه الأدوات والإجراءات إمكانية التقييم والمتابعة والتحقق بفعالية من الامتثال لمتطلبات حماية البيانات الشخصية المعمول بها.

4.6. التدابير التنظيمية والإدارية والفنية

4.6.1. يتعيّن على مقدّم الطلب الاحتفاظ بإجراءات موثّقة ومعتمدة لتحديد التدابير التنظيمية والإدارية والفنية المناسبة لحماية البيانات الشخصية وتنفيذها وتطبيقها.

4.6.2. كما يجب أن تتضمن هذه الإجراءات آليات متابعة ومراجعة دورية لتقييم الفعالية المستمرة لتلك التدابير.

4.7. إدارة حوادث تسرّب البيانات الشخصية

4.7.1. يتعيّن على مقدّم الطلب إنشاء إجراءات موثّقة ومعتمدة للتعامل مع حوادث تسرب البيانات الشخصية، بما يشمل الاكتشاف، والاستجابة، والاحتواء، والإبلاغ.

4.7.2. كما يجب مراجعة هذه الإجراءات وتحديثها دوريًا لضمان استمرار فعاليتها ومواءمتها مع النظام ولوائحه التنفيذية.

4.8. الموظفون المؤهلون ومسؤول حماية البيانات

4.8.1. يتعيّن على مقدّم الطلب تعيين موظفين قانونيين وفنيين مؤهلين، لديهم خبرة مثبتة في الجوانب التنظيمية والفنية لحماية البيانات الشخصية، على ألا تقل الخبرة ذات الصلة عن ثلاث (3) سنوات.

4.8.2. إضافةً إلى ذلك، يتعيّن على مقدّم الطلب تعيين مسؤول حماية بيانات (DPO) وفقًا للنظام واللوائح، وبما يتوافق مع المادة (30) من نظام حماية البيانات الشخصية.

4.8.3. يتعيّن على الجهة التي قامت بتعيين مسؤول حماية بيانات أن تنفذ تدابير تضمن ما يلي:

أ‌) إشراك مسؤول حماية البيانات بالشكل المناسب وفي الوقت المناسب في جميع المسائل المتعلقة بحماية البيانات الشخصية.

ب‌) دعم مسؤول حماية البيانات الشخصية من قبل إدارة الجهة في أداء مهامه، ولا سيما من خلال توفير الوقت والموارد اللازمة لتنفيذ تلك المهام، وإتاحة الوصول إلى البيانات الشخصية وعمليات المعالجة، والمحافظة على معرفته المتخصصة.

ت‌) عدم تلقي مسؤول حماية البيانات أي تعليمات تتعارض مع النظام ولوائحه التنفيذية بشأن أداء مهامه. ولا يجوز فصله أو معاقبته بسبب أدائه لمهامه. كما يجب أن يرفع مسؤول حماية البيانات الشخصية تقاريره مباشرة إلى أعلى مستوى إداري لدى جهة التحكم أو جهة المعالجة.

ث‌) تمكين أصحاب البيانات من التواصل مع مسؤول حماية البيانات بشأن جميع المسائل المتعلقة بمعالجة بياناتهم الشخصية وممارسة حقوقهم بموجب نظام حماية البيانات الشخصية.

ج‌) التزام مسؤول حماية البيانات بالسرية أو الكتمان فيما يتعلق بأداء مهامه، وفقًا للأنظمة المعمول بها.

ح‌) عدم إشراك مسؤول حماية البيانات في مهام وواجبات قد تؤدي إلى تعارض في المصالح.

إجراءات الاعتماد

5.1. دورة حياة الطلب

يعرض التسلسل التالي نظرة عامة عالية المستوى لدورة حياة التقديم للحصول على شهادة اعتماد لجهات التحكم والمعالجة من خلال جهة الاعتماد.

5.1.1. التسجيل في منصة الجهة المختصّة

5.1.1.1. يتعيّن على مقدم الطلب التحقق من قائمة جهات الاعتماد المنشورة على منصة الجهة المختصة قبل الدخول في أي أنشطة مرتبطة بالاعتماد أو إصدار شهادة الاعتماد.

5.1.1.2. يتعيّن على مقدم الطلب التأكد مما يلي:

أ‌) أن جهة الاعتماد المختارة تحمل ترخيصًا ساريًا وفعالًا صادرًا من الجهة المختصة .

ب‌) أن نطاق وصلاحية تفويض جهة الاعتماد مناسبان للخدمات المطلوبة.

يجب الاحتفاظ بما يثبت هذا التحقق وإتاحته عند الطلب.

5.1.1.3. يتعيّن على مقدم الطلب التسجيل من خلال منصة الجهة المختصة بصفته متحكمًا أو معالجًا قبل تقديم طلب الحصول على شهادة الاعتماد.

5.1.2. التسجيل في منصة جهة الاعتماد

5.1.2.1. بعد التسجيل في منصة الجهة المختصّة، يتعيّن على مقدم الطلب التسجيل في منصة جهة الاعتماد بصفته متحكمًا أو معالجًا. ويجب أن تكون منصة جهة الاعتماد متكاملة مع منصة الجهة المختصة للتحقق من تسجيل مقدم الطلب في منصة الجهة المختصة بصفته جهة تحكم او جهة معالجة ، وذلك كمتطلب مسبق قبل تمكين مقدم الطلب من تقديم الطلب.

5.1.3. تقديم طلب الحصول على شهادة الاعتماد

5.1.3.1. بعد الانتهاء من التسجيل، يتعيّن على مقدم الطلب تقديم طلب الحصول على شهادة الاعتماد من خلال منصة جهة الاعتماد، وإرفاق المستندات الداعمة المطلوبة.

5.1.3.2. عندما يتم الانتهاء من تقديم الطلب من خلال منصة جهة الاعتماد، يتم إشعار الجهة المختصّة عبر التكامل من خلال منصتها.

5.1.3.3. يتعيّن على مقدم الطلب التأكد من أن ممارساته وإجراءاته المتعلقة بأنشطة معالجة البيانات الشخصية متوافقة مع أحكام النظام ولوائحه التنفيذية.

5.1.3.4. يتعيّن على مقدم الطلب الإقرار رسميًا بأن جميع المعلومات والمستندات المقدمة كجزء من الطلب وخلال دورة حياة الاعتماد دقيقة وكاملة ومحدثة.

5.1.3.5. بتقديم الطلب، يقر مقدم الطلب ويوافق على جميع شروط الاعتماد، بما في ذلك أنشطة التقييم، والمراقبة، ومتطلبات الإجراءات التصحيحية، والتعليق، والإلغاء، والالتزامات المتعلقة بمشاركة المعلومات مع الجهة المختصة.

5.1.4. مراجعة الطلب واتخاذ القرار

5.1.4.1. يتعيّن على مقدم الطلب التعاون بشكل كامل مع جهة الاعتماد أثناء عملية المراجعة والتقييم، ومعالجة أي فجوات أو حالات عدم امتثال يتم تحديدها في الوقت المناسب.

5.1.4.2. يتعيّن على مقدم الطلب منح جهة الاعتماد وصولًا بالحد المعقول إلى الموظفين المعنيين، والسجلات، والأنظمة، والمقار، حيثما ينطبق ذلك، والأدلة اللازمة لإجراء أنشطة التقييم أو المراقبة أو التجديد أو المتابعة.

5.1.4.3. يتعيّن على مقدّم الطلب استيفاء أي متطلبات إضافية لتقديم الطلب تحدّدها الجهة المختصة. وقد تشمل هذه المتطلبات، على سبيل المثال لا الحصر:

أ‌) تقديم مستندات إضافية.

ب‌) تقديم إيضاحات أو أدلة داعمة.

ت‌) الالتزام بالتعليمات الإجرائية المحدثة أو المعدلة.

5.1.4.4. يتعيّن على جهة الاعتماد تقييم كل طلب وفقًا للمتطلبات المنصوص عليها في المادتين (3) و(4) من قواعد الجهة المختصة. ولضمان الاتساق والعدالة، يتعيّن على جهة الاعتماد تطبيق منهجية تقييم موثقة تتضمن، كحد أدنى، الخطوات التالية:

أ‌) تأكيد استلام الطلب

- تسجيل تاريخ استلام الطلب، ويُعد هذا التاريخ بداية المدة الرسمية للمراجعة.

- تخصيص رقم مرجعي فريد وفريق أو قائد تقييم مسؤول.

- التأكد من أن الطلب يقع ضمن النطاق المصرح به لجهة الاعتماد .

ب‌) التحقق من اكتمال الطلب «الفحص الإداري»

- التحقق من اكتمال النماذج والإقرارات والمستندات الداعمة المطلوبة.

- تحديد العناصر الناقصة وإرسال طلب للحصول على معلومات إضافية إلى مقدم الطلب، عند الحاجة.

- توثيق جميع المراسلات والتحديثات المقدمة.

ت‌) تقييم المتطلبات وفقًا للمادتين (3) و(4)

- مراجعة مستندات مقدم الطلب وممارساته مقابل الشروط والمتطلبات ذات الصلة.

- إجراء تحقق قائم على الأدلة، قد يشمل ذلك.

- مراجعة المستندات، مثل السياسات والإجراءات والسجلات والعقود.

- إجراء مقابلات مع الموظفين المعنيين، مثل موظفي الامتثال وتقنية المعلومات والشؤون القانونية ومسؤول حماية البيانات الشخصية.

- أخذ عينات من السجلات التشغيلية، مثل سجلات الطلبات وسجلات الحوادث وسجلات التدريب.

- اختبار الضوابط أو تنفيذ جولات استرشادية عند الاقتضاء.

- تسجيل جميع أنشطة التقييم والأدلة التي تمت مراجعتها والنتائج.

ث‌) إدارة الملاحظات والإجراءات التصحيحية

- تصنيف نتائج التقييم، مثل: ممتثل، ممتثل جزئيًا، غير ممتثل، بناءً على معايير جهة الاعتماد المحددة.

- عند تحديد فجوات، يتم إصدار ملاحظات موثقة والإجراءات التصحيحية المطلوبة.

- تحديد أطر زمنية واضحة لردود مقدم الطلب وتقديم الأدلة.

- التحقق من إغلاق الملاحظات، أو توثيق البنود غير المغلقة والمخاطر المرتبطة بها

ج‌) إعداد القرار

- دمج النتائج في توصية قرار، مثل: إصدار شهادة الاعتماد، أو عدم إصدارها، أو إصدارها بشروط في حالة كان ذلك مسموحًا به بموجب البرنامج.

- ضمان الحياد والفصل بين المهام عند الحاجة، مثل أن يكون متخذ القرار مستقلًا عن المقيم.

ح‌) الجدول الزمني للتقييم

- يتعيّن على جهة الاعتماد إكمال مراجعة الطلب وإصدار تقرير التقييم الخاص بإصدار شهادات الاعتماد خلال مدة لا تتجاوز تسعين (90) يوم عمل من تاريخ استلام الطلب.

5.1.4.5. وللالتزام بالجدول الزمني المطلوب، ينبغي على جهة الاعتماد تطبيق ضوابط زمنية تشمل ما يلي:

أ‌) تحديد المراحل

- إكمال الاستلام والتسجيل خلال مستهدف زمني محدد.

- إكمال التحقق من اكتمال الطلب في وقت مبكر لتجنب التأخير.

- جدولة أنشطة التقييم وتنفيذها وفقًا لخطة موثقة.

- إصدار الملاحظات بشكل فوري لإتاحة الوقت الكافي للمعالجة وإعادة التحقق.

ب‌) تتبع الجدول الزمني والتصعيد

- الاحتفاظ بسجل تتبع يوضح عدد الأيام المنقضية منذ استلام الطلب.

- تصعيد حالات التأخير، مثل نقص المستندات أو قيود الجدولة، من خلال مسار تصعيد موثق.

- توثيق أي عوامل تؤثر على الجداول الزمنية، بما في ذلك التأخيرات الناتجة عن الوقت المستغرق لاستجابة مقدم الطلب.

5.1.4.6. عند الانتهاء من التقييم، يتعيّن على جهة الاعتماد القيام بما يلي:

أ‌) إصدار تقرير التقييم: يجب توثيق تقرير التقييم في صيغة رسمية، وأن يتضمن، كحد أدنى، ما يلي:

- تفاصيل مرجع الطلب ونطاق التقييم.

- ملخص الأدلة التي تمت مراجعتها والأنشطة التي تم تنفيذها.

- الملاحظات وحالتها، سواء كانت مغلقة أو مفتوحة، مع المبررات الداعمة.

- النتيجة النهائية للتقييم والتوصية المتعلقة بإصدار شهادة الاعتماد.

- أي قيود أو شروط أو متطلبات متابعة، إن وجدت.

ب‌) إشعار مقدم الطلب بنتيجة التقييم

- إبلاغ مقدم الطلب بنتيجة التقييم النهائية كتابيًا، مثل خطاب رسمي أو بريد إلكتروني

- تزويد مقدم الطلب بنسخة من تقرير التقييم.

- تضمين الخطوات التالية، مثل عملية إصدار شهادة الاعتماد، أو الإجراءات التصحيحية، أو خطوات إعادة التقييم، أو قنوات الاعتراض أو الشكاوى في حالة كانت مقررة بموجب البرنامج.

ت‌) حفظ السجلات

- الاحتفاظ بسجلات الإشعار وتسليم التقرير وإقرار الاستلام.

- ضمان السرية والتحكم في الوصول إلى سجلات التقييم.

5.1.5. إصدار شهادة الاعتماد

5.1.5.1. عند الموافقة على الطلب، يتعيّن على جهة الاعتماد إضافة سجل جديد في منصة الجهة المختصة من خلال التكامل، مع إرفاق المستندات الإضافية المطلوبة وفقًا لمتطلبات الجهة المختصة.

5.1.5.2. يتعيّن على جهة الاعتماد التأكد من أن معلومات شهادة الاعتماد تعكس بدقة النطاق المعتمد، وفترة الصلاحية، وأي شروط مطبقة.

5.1.5.3. تكون شهادة الاعتماد صالحة لمدة سنتين (2) ، تبدأ من تاريخ الإصدار الموضح في الشهادة.

5.1.5.4. يتعيّن على جهة الاعتماد تزويد مقدم الطلب بنسخة من تقرير التقييم الداعم لقرار الموافقة.

5.1.6. وثيقة الشهادة

5.1.6.1. يقوم مقدم الطلب المعتمد طباعة الشهادة من خلال منصة الجهة المختصة.

5.1.6.2. يكون لدى جهة الاعتماد إمكانية الوصول إلى شهادة مقدم الطلب من خلال منصة الجهة المختصة، حيث يجب عليها التحقق والتأكد من أن المعلومات المعروضة في شهادة الاعتماد دقيقة وكاملة ومتسقة مع الطلب وسجلات التقييم.

5.1.6.3. يجب أن تكون تفاصيل إصدار الشهادة وصلاحيتها ظاهرة بوضوح في الشهادة لدعم الشفافية والتحقق والرقابة التنظيمية.

5.1.6.4. يجب أن تتضمن شهادة الاعتماد رقمًا فريدًا لشهادة الاعتماد لضمان إمكانية التتبع والرجوع إليها.

5.1.6.5. بالإضافة إلى ذلك، يجب أن تحدد الشهادة بوضوح الجهة التي صدر لها الاعتماد. ويجب أن تتضمن هذه المعلومات، كحد أدنى، ما يلي:

أ‌) الاسم الرسمي للجهة المعتمدة

ب‌) رقم السجل القانوني أو التجاري، حيثما ينطبق ذلك

ت‌) بيانات الاتصال الرسمية للجهة المعتمدة، بما في ذلك العنوان والبريد الإلكتروني ورقم الهاتف

5.1.6.6. يجب أن توضح شهادة الاعتماد ما يلي:

أ‌) تاريخ إصدار شهادة الاعتماد

ب‌) مدة الصلاحية، بما في ذلك تاريخ بداية الاعتماد وتاريخ انتهائه

5.1.6.7. كما يجب أن تتضمن شهادة الاعتماد معلومات عن جهة الاعتماد المخولة بإصدار الشهادة، بما في ذلك:

أ‌) الاسم الرسمي لجهة الاعتماد

ب‌) مرجع اعتماد أو تفويض جهة الاعتماد، حيثما ينطبق ذلك

ت‌) بيانات الاتصال الرسمية لجهة الاعتماد، بما في ذلك العنوان والبريد الإلكتروني ورقم الهاتف

5.1.6.8. يتعيّن على مقدم الطلب استخدام الشهادة وأي ادعاءات ذات صلة بها وفقًا للنطاق والشروط المعتمدة فقط، وألا يقدم أي ادعاءات مضللة أو موسعة أو غير مصرح بها بشأن حالة اعتماده.

5.1.7. تحديثات الشهادة وإدارتها

5.1.7.1. يتعيّن على مقدم الطلب ضمان استمرار الامتثال للنظام واللوائح ومتطلبات الاعتماد المعمول بها طوال فترة صلاحية الشهادة.

5.1.7.2. تتم إدارة الشهادة من خلال منصة جهة الاعتماد، بما في ذلك تحديثات المستندات وتعليق الشهادة أو سحبها. ويجب تكامل التحديثات المطلوبة مع منصة الجهة المختصة وفقًا لمتطلبات الجهة المختصة.

5.1.7.3. يتعيّن على مقدم الطلب إشعار جهة الاعتماد، دون تأخير غير مبرر، بأي تغييرات جوهرية تؤثر على وضعه القانوني، أو هيكله التنظيمي، أو أنشطة المعالجة، أو الضوابط التقنية، أو الالتزامات التنظيمية التي قد تؤثر على استمرار المطابقة مع متطلبات الاعتماد.

5.1.7.4. قبل انتهاء صلاحية شهادة الاعتماد، ينبغي على مقدم الطلب القيام بما يلي:

أ‌) مراقبة فترة صلاحية الشهادة.

ب‌) بدء إجراءات التجديد أو إعادة الاعتماد ضمن الإطار الزمني المحدد من جهة الاعتماد أو الجهة المختصة.

ت‌) الحفاظ على الجاهزية لأي أنشطة إعادة تقييم أو مراجعة مطلوبة كجزء من عملية التجديد.

5.2. الطلبات المرفوضة وإعادة التقديم

5.2.1.1. في حالة رفض الطلب، يجوز لمقدم الطلب تقديم طلب لاحق بعد معالجة الأسباب التي أدت إلى رفض الطلب السابق.

5.2.1.2. ولدعم إعادة تقديم فعالة، ينبغي على مقدم الطلب القيام بما يلي:

أ‌) مراجعة تقرير التقييم وأسباب الرفض المقدمة من جهة الاعتماد.

ب‌) تنفيذ إجراءات تصحيحية لمعالجة الفجوات أو حالات عدم الامتثال المحددة.

ت‌) تحديث المستندات أو العمليات أو الضوابط ذات الصلة وفقًا لذلك.

ث‌) تقديم أدلة واضحة تثبت أن المشكلات التي سبق تحديدها قد تمت معالجتها بشكل كافٍ.

5.2.1.3. يتعيّن على جهة الاعتماد التعامل مع الطلب المعاد تقديمه باعتباره طلبًا جديدًا، وتقييمه وفقًا للمتطلبات والإجراءات المعمول بها.

5.3. المراقبة

5.3.1. استمرار الامتثال طوال فترة الصلاحية

5.3.1.1. يتعيّن على الجهة التي مُنحت شهادة اعتماد الاستمرار في الامتثال لجميع المتطلبات المنصوص عليها في المادة (4) من قواعد الجهة المختصة طوال فترة صلاحية الشهادة كاملة، كما هو محدد في المادة (9).

5.3.1.2. ولضمان استدامة الامتثال، يتعيّن على الجهة المعتمدة القيام بما يلي:

أ‌) الحفاظ على جميع السياسات والإجراءات والضوابط التي شكلت أساس قرار الاعتماد.

ب‌) مراقبة أنشطة معالجة البيانات الشخصية لديها بصورة مستمرة.

ت‌) معالجة أي فجوات أو مخاطر أو حالات عدم امتثال يتم تحديدها بشكل فوري.

5.3.1.3. في حال أصبحت الجهة المعتمدة غير قادرة على الحفاظ على الامتثال للمتطلبات المعمول بها، فيجب عليها إشعار كل من جهة الاعتماد والجهة المختصة فورًا، مع تقديم ما يلي:

أ‌) وصف حالة عدم الامتثال.

ب‌) سبب عدم القدرة على الامتثال.

ت‌) أي إجراءات تصحيحية تم اتخاذها أو التخطيط لها.

5.3.2. الإشعار بالتعارضات التنظيمية للجهات الواقعة خارج المملكة

5.3.2.1. يتعيّن على الجهة الواقعة خارج المملكة والحاصلة على شهادة اعتماد إشعار جهة الاعتماد بأي تغييرات في:

أ‌) المتطلبات التنظيمية.

ب‌) الممارسات المعمول بها في بلد عملها.

5.3.2.2. وذلك في حال كانت هذه التغييرات تتعارض مع أو تؤثر على الامتثال لشروط أو متطلبات الحصول على شهادة الاعتماد كما هو منصوص عليه في المادتين (3) و(4) من قواعد الجهة المختصة.

5.3.2.3. يجب تقديم الإشعار في الوقت المناسب، وأن يتضمن تفاصيل كافية تتيح تقييم الأثر على حالة الاعتماد.

5.3.2.4. عند استلام هذا الإشعار، يتعيّن على جهة الاعتماد القيام بما يلي:

أ‌) مراجعة المعلومات المقدمة من الجهة المعتمدة.

ب‌) إشعار الجهة المختصة بذلك، مع أي ملاحظات أو توصيات ذات صلة.

5.3.3. التعاون مع الجهة المختصة وجهة الاعتماد

5.3.3.1. يتعيّن على الجهة الواقعة خارج المملكة والتي تم إصدار شهادة اعتماد لها بموجب هذه القواعد التعاون الكامل مع الجهة المختصّة وجهة الاعتماد فيما يتعلق بأي طلبات مرتبطة بما يلي:

أ‌) النظام.

ب‌) اللوائح.

ت‌) قواعد الجهة المختصّة.

5.3.3.2. قد يشمل هذا التعاون، على سبيل المثال لا الحصر، ما يلي:

أ‌) تقديم المعلومات أو المستندات المطلوبة.

ب‌) المشاركة في المراجعات أو التقييمات أو تقييمات المتابعة.

ت‌) دعم التحقيقات أو الاستفسارات أو أنشطة التحقق من الامتثال.

5.3.3.3. يتعيّن على الجهة المعتمدة التأكد من أن الردود على هذه الطلبات دقيقة وكاملة ومقدمة ضمن المهل الزمنية المحددة من الجهة المختصّة أو جهة الاعتماد.

5.4. التجديد

5.4.1. طلب التجديد والموافقة عليه

5.4.1.1. يجوز للجهة الحاصلة على شهادة اعتماد سارية تقديم طلب تجديد إلى جهة الاعتماد قبل ما لا يقل عن تسعين (90) يوم عمل من تاريخ انتهاء صلاحية الشهادة.

5.4.1.2. ولدعم عملية تجديد فعالة وفي الوقت المناسب، يتعيّن على الجهة القيام بما يلي:

أ‌) مراقبة فترة صلاحية شهادة الاعتماد الخاصة بها.

ب‌) تقديم طلب التجديد ضمن الإطار الزمني المحدد.

ت‌) تقديم مستندات محدثة ودقيقة، وفق ما تطلبه جهة الاعتماد.

ث‌) إثبات استمرار الامتثال للمتطلبات المنصوص عليها في المادتين (3) و(4) من قواعد الجهة المختصّة.

5.4.1.3. تتم الموافقة على تجديد شهادة الاعتماد بعد التحقق من الامتثال من قبل جهة الاعتماد، وقد يشمل ذلك ما يلي:

أ‌) مراجعة السياسات والإجراءات والسجلات المحدثة.

ب‌) تقييم استمرار تطبيق الضوابط وفعاليتها.

ت‌) التحقق من أي تغييرات حدثت منذ الاعتماد الأولي أو التجديد السابق.

5.4.1.4. تكون مدة شهادة الاعتماد المجددة وفقًا للمدة المحددة في المادة (9) من قواعد الجهة المختصّة، وتبدأ من تاريخ إصدار الشهادة المجددة.

5.5. تعليق وإلغاء شهادات الاعتماد

5.5.1. أسباب الإلغاء

5.5.1.1. يتعيّن على جهة الاعتماد إلغاء شهادة الاعتماد في أي من الحالات الموضحة أدناه، وذلك لضمان الامتثال للنظام واللوائح وهذه القواعد، وحماية نزاهة إطار الاعتماد:

أ‌) عدم الامتثال للمتطلبات في حالة فشلت الجهة الحاصلة على شهادة الاعتماد في الامتثال لما يلي:

- المتطلبات المنصوص عليها في المادتين (3) و(4) من قواعد الجهة المختصة.

- أحكام النظام ولوائحه التنفيذية.

- أي تعليمات أو توجيهات صادرة من الجهة المختصة تتعلق بشهادة الاعتماد.

ب‌) تقديم معلومات خاطئة أو مضلّلة في حالة قامت الجهة بما يلي:

- تقديم معلومات خاطئة أو مضللة أو غير دقيقة إلى جهة الاعتماد.

- عدم الإفصاح عن معلومات تكون ملزمة بتقديمها لغرض الحصول على شهادة الاعتماد أو المحافظة عليها.

ت‌) توجيه من الجهة المختصّة

5.5.1.2. يتعيّن على جهة الاعتماد إلغاء شهادة الاعتماد بناءً على توجيه من الجهة المختصّة، في حالة تبيّن أن الجهة الحاصلة على شهادة الاعتماد قد خالفت المتطلبات المشار إليها في الفقرة الفرعية (أ) أعلاه

5.5.2. الإشعار بالإلغاء والحق في الرد

5.5.2.1. يتعيّن على جهة الاعتماد إشعار الجهة التي تم إلغاء شهادة اعتمادها رسميًا، مع تحديد ما يلي:

أ‌) أسباب الإلغاء.

ب‌) تاريخ نفاذ الإلغاء.

5.5.2.2. عندما يكون الإلغاء مستندًا إلى عدم الامتثال بموجب الفقرة الفرعية (أ) من الفقرة (1)، يجوز للجهة، خلال ثلاثين (30) يوم عمل من تاريخ الإلغاء، القيام بما يلي:

أ‌) الاعتراض على قرار الإلغاء الصادر من جهة الاعتماد.

ب‌) تصحيح حالة الامتثال الخاصة بها وتقديم أدلة موثقة تثبت الإجراء التصحيحي.

5.5.2.3. يتعيّن على جهة الاعتماد مراجعة أي اعتراض أو أدلة مقدمة وفقًا لإجراءاتها المعتمدة، وإبلاغ الجهة بالنتيجة.

5.5.3. الالتزامات عند الإلغاء

5.5.3.1. يتعيّن على الجهة التي تم إلغاء شهادة اعتمادها القيام بما يلي:

أ‌) التوقف فورًا عن استخدام شهادة الاعتماد، بما في ذلك أي إشارات أو شعارات أو ادعاءات بالاعتماد.

ب‌) تنفيذ خطة موثقة لمعالجة جميع الآثار المترتبة على الإلغاء، بما في ذلك الإجراءات التصحيحية أو العلاجية أو الاتصالية، حسبما ينطبق

5.6. الحالات التي تجعل شهادات الاعتماد لاغية

5.6.1. تُعد شهادات الاعتماد الصادرة بموجب هذه القواعد لاغية تلقائيًا، دون الحاجة إلى قرار إلغاء، في أي من الحالات التالية:

أ‌) تغيير الكيان أو الشكل القانوني للجهة: في حالة تحويل الكيان القانوني الحاصل على شهادة الاعتماد إلى كيان أو شكل قانوني آخر.

ب‌) حلّ الجهة الحاصلة على شهادة الاعتماد: في حالة حل الكيان القانوني للجهة الحاصلة على الشهادة وفقًا للأنظمة المعمول بها.

ت‌) التغييرات الهيكلية للشركات: في حالة خضعت الجهة الحاصلة على شهادة الاعتماد لأي مما يلي:

ث‌) التحول

ج‌) الاندماج

ح‌) الانقسام

وذلك وفقًا للأحكام الواردة في نظام الشركات السعودي

5.6.2. في أي من الحالات السابقة، يتعيّن على الجهة المتأثرة القيام بما يلي:

أ‌) التوقف فورًا عن استخدام شهادة الاعتماد.

ب‌) تقديم طلب جديد للحصول على الاعتماد في حالة كان استمرار الاعتماد مطلوبًا، وذلك وفقًا لهذه القواعد وأي تعليمات صادرة من الجهة المختصة.

إجراءات التدقيق والفحص

6.1. دورة حياة التدقيق والفحص

يعرض التسلسل التالي نظرة عامة عالية المستوى لدورة حياة التدقيق والفحص لجهات التحكم والمعالجة.

6.1.1. تقديم طلب التدقيق والفحص

6.1.1.1. يتعيّن على مقدم الطلب التحقق من قائمة جهات التدقيق والفحص المنشورة على منصة الجهة المختصة قبل تقديم أي طلب فحص وتدقيق.

6.1.1.2. يتعيّن على مقدم الطلب التأكد من أن جهة التدقيق والفحص تحمل ترخيصًا ساريًا وفعالًا صادرًا من الجهة المختصّة، وأن نطاق التدقيق والفحص المصرح به وفترة صلاحيته مناسبان لأنشطة التدقيق والفحص المطلوبة.

6.1.1.3. يتعيّن على مقدم الطلب الاحتفاظ بما يثبت هذا التحقق وإتاحته عند الطلب.

6.1.1.4. يتعيّن على مقدم الطلب التأكد من أن المعلومات ونطاق الفحص والتدقيق المتقدّم له جاهزة ومتاحة للتدقيق والفحص وفقًا للمتطلبات والمعايير والأنظمة والأحكام التنظيمية المعمول بها.

6.1.1.5. يتعيّن على مقدم الطلب استيفاء أية متطلبات إضافية للطلب تحددها جهة التدقيق والفحص أو الجهة المختصة. ويجب أن تكون جميع المعلومات المقدّمة من مقدم الطلب دقيقة وكاملة وحديثة.

6.1.1.6. من خلال تقديم طلب التدقيق والفحص، يقرّ مقدم الطلب بالموافقة على عملية التدقيق والفحص والالتزامات المحدّدة في هذه الوثيقة.

6.1.1.7. يتعيّن على جهة التدقيق والفحص تقييم طلب التدقيق والفحص للتأكد من أنه يقع ضمن نطاق التدقيق والفحص المصرّح به لها، وعدم وجود أي تعارض في المصالح.

6.1.2. تنفيذ أنشطة التدقيق والفحص

6.1.2.1. بعد قبول طلب التدقيق والفحص، يتعيّن على جهة التدقيق والفحص إعداد خطة وإبلاغ مقدم الطلب بها.

6.1.2.2. يجب تنفيذ أنشطة التدقيق والفحص باستخدام أساليب ومعايير تدقيق موثّقة. ويتعيّن على مقدم الطلب التعاون بشكل كامل مع جهة التدقيق والفحص أثناء تنفيذ الأعمال.

6.1.2.3. يجب توثيق ملاحظات التدقيق والفحص استنادًا إلى الأدلة الموضوعية فقط والتي تمت ملاحظتها أثناء أنشطة التدقيق والفحص.

6.1.3. إصدار تقرير التدقيق والفحص

6.1.3.1. يجب إعداد تقرير التدقيق والفحص بحيث يعكس ملاحظات النتائج في وقت التدقيق فقط، ولا ينبغي أن يتم تفسيره على أنه شهادة اعتماد أو دليل على الامتثال المستمر.

6.1.3.2. يعكس تقرير التدقيق والفحص حالة الأعمال في وقت التدقيق فقط، وبناءً على معايير التدقيق والفحص المتفق عليها.

6.1.3.3. يرجى الرجوع إلى وثيقة «دليل معايير تراخيص أنشطة التدقيق والفحص لمعالجة البيانات الشخصية»، القسم 7.3.5 «تقارير التدقيق وشهادات الفحص»، لمزيد من التفاصيل المتعلقة بمتطلبات التقرير.

6.1.4. التكامل مع منصة الجهة المختصة

6.1.4.1. يتعيّن على جهة التدقيق والفحص رفع تقرير التدقيق والفحص على منصة الجهة المختصة.

6.1.4.2. عند استلام تقرير التدقيق والفحص، يحق للجهة المختصة طلب رفع مستندات إضافية داعمة إلى منصتها.

الشكاوى والاعتراضات

7.1.1. يحق لمقدم الطلب تقديم شكاوى أو اعتراضات تتعلق بأنشطة الاعتماد، أو أنشطة التدقيق والفحص، أو الملاحظات، أو الاستنتاجات الصادرة عن جهة الاعتماد أو جهة التدقيق والفحص المعنية. ويجب تقديم الشكاوى والاعتراضات من خلال قنوات التواصل الرسمية المحددة، وضمن الإطار الزمني الذي تحدده جهة الاعتماد أو جهة التدقيق والفحص المعنية.

7.1.2. يتعيّن على جهة الاعتماد أو جهة التدقيق والفحص المعنية تأكيد استلام الشكاوى والاعتراضات، والتعامل معها بطريقة موضوعية ومحايدة وفي الوقت المناسب، وفقًا لإجراءاتها الموثقة. وينبغي، حيثما أمكن، أن تتم مراجعة الشكاوى والاعتراضات من قبل موظفين لم يشاركوا في تقييم الاعتماد أو أنشطة التدقيق والفحص أو القرارات الأصلية، وذلك لضمان الاستقلالية.

7.1.3. يتعيّن على جهة الاعتماد أو جهة التدقيق والفحص المعنيّة تقييم المعلومات المقدّمة، وتحديد أي إجراءات تصحيحية لازمة، وإبلاغ مقدم الطلب بالنتيجة والمبررات الداعمة لها. ولا يجوز أن يؤدي تقديم شكوى أو اعتراض إلى معاملة تمييزية ضد مقدم الطلب.

7.1.4. لا يؤدي تقديم الاعتراض تلقائيًا إلى تعليق أو إبطال نتائج الاعتماد أو التدقيق والفحص، ما لم تتطلب القواعد أو التعليمات التنظيمية ذلك، أو ما لم تحدد جهة التدقيق والفحص أن ذلك ضروري. وتكون القرارات الناتجة عن عملية الشكاوى والاعتراضات نهائية ضمن نطاق الأنشطة المنفذة.

7.1.5. يجب الاحتفاظ بسجلات الشكاوى والاعتراضات، بما في ذلك الإجراءات المتخذة والنتائج، وفقًا لمتطلبات حفظ السجلات والسرية المعمول بها. وعند اشتراط ذلك بموجب القواعد أو بتوجيه من الجهة المختصة، يجوز إتاحة المعلومات ذات الصلة لأغراض الرقابة التنظيمية.

آخر تحديث : 29 يونيو 2026

دليل معايير إصدار شهادات الاعتماد لجهات التحكم وجهات المعالجة

إضافة تعليق ؟

المقدّمة

إضافة تعليق

الهدف والنطاق

إضافة تعليق

المراجع المعيارية

إضافة تعليق

التعريفات

إضافة تعليق

المعايير العامة لإصدار شهادات الاعتماد

إضافة تعليق

إجراءات الاعتماد

إضافة تعليق

إجراءات التدقيق والفحص

إضافة تعليق

الشكاوى والاعتراضات

إضافة تعليق

تواصل معنا

أدوات سهولة الوصول