تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية

1. على جهة التحكم عند تلقيها طلباً من صاحب البيانات الشخصية يتعلق بحقوقه المنصوص عليها في النظام القيام بما يلي:

أ.تنفيذ طلبات ممارسة الحقوق المنصوص عليها في النظام خلال مدة لا تتجاوز (ثلاثين) يوماً دون تأخير، ولها تمديد ذلك في حال تطلب التنفيذ جهداً إضافياً غير متوقع أو غير معتاد أو في حال تلقيها طلبات متعددة من صاحب البيانات الشخصية، وذلك بما لا يزيد على (ثلاثين) يوماً إضافية، بشرط أن تُشعِر صاحب البيانات الشخصية مسبقا بالتمديد ومبرراته.

ب.تبني الوسائل التقنية والإدارية والتنظيمية اللازمة لضمان سرعة الاستجابة لطلبات ممارسة الحقوق.

ج.اتخاذ الإجراءات والتدابير المناسبة للتحقق من هوية مُقدم الطلب قبل تنفيذه بما يتوافق مع الأحكام النظامية ذوات العلاقة.

د.اتخاذ الوسائل اللازمة لتوثيق وحفظ كافة الطلبات المقدمة لها، بما في ذلك الطلبات الشفهية.

2.في حال كان الطلب متكرراً بشكل غير مبرر أو يتطلب تنفيذه جهداً غير عادي؛ يكون لجهة التحكم عدم معالجة الطلب، على أن يكون ذلك مسبباً ويُشعَر صاحب البيانات الشخصية به.

3.في الحالات التي يكون صاحب البيانات الشخصية ناقصاً أو عديم الأهلية، يكون لوليه الشرعي ممارسة حقوقه نيابة عنه.

مع مراعاة ما ورد في المادة (الثانية عشرة) من النظام، على جهة التحكم أن تراعي عند إعدادها لسياسة الخصوصية، استيفاء المتطلبات الآتية:

أ.أن تتم صياغتها بلغة واضحة ومبسطة ومفهومة تراعي مستويات الفهم المختلفة بين فئات أصحاب البيانات الشخصية.

ب.أن تتوافق مع اللغة المستخدمة في سياق تقديم الخدمات أو المنتجات لمختلف فئات أصحاب البيانات الشخصية المستهدف معالجة بياناتهم الشخصية من خلال ذلك.

ج‌.يجوز أن تكون سياسة الخصوصية منشورة بأكثر من لغة، على أن تكون اللغة العربية واحدة منها.

على جهة التحكم اتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لضمان أمن البيانات الشخصية وخصوصية أصحابها، والالتزام بالآتي:

1. تطبيق التدابير الأمنية والتقنية الضرورية للحد من المخاطر الأمنية لحدوث تسرب البيانات الشخصية.
2. الالتزام بالضوابط والمعايير والقواعد ذوات الصلة الصادرة عن الهيئة الوطنية للأمن السيبراني، أو أفضل ممارسات ومعايير الأمن السيبراني المتعارف عليها في حال كانت جهة التحكم غير ملزمة بتطبيق الضوابط والمعايير والقواعد الصادرة عن الهيئة الوطنية للأمن السيبراني.

1. تُشعر جهة التحكم الجهة المختصة في حالة وقوع حادثة تسرّب للبيانات الشخصية خلال مدة لا تتجاوز (72) ساعة من وقت علمها بالحادثة، إذا كان من شأن تلك الحادثة الإضرار بالبيانات الشخصية أو صاحب البيانات الشخصية أو كانت تتعارض مع حقوقه أو مصالحه، على أن يتضمن الإشعار ما يأتي:
   أ-وصف لحادثة تسرب البيانات الشخصية، على أن يتضمن وقتها وتاريخها وكيفية وقوعها ووقت علم جهة التحكم بها.
   ب-الفئات والأعداد الفعلية أو التقريبية لأصحاب البيانات الشخصية المعنيين، ونوع البيانات الشخصية.
   ج-وصف للمخاطر التي قد تنتج عن الحادثة، بما في ذلك مستوى الأثر الفعلي أو المحتمل الذي قد يلحق بالبيانات الشخصية وأصحاب البيانات الشخصية، والإجراءات والتدابير التي تم اتخاذها من قبل جهة التحكم للمنع أو الحد من آثار تلك المخاطر وتخفيفها، والتدابير المستقبلية التي ستتخذها جهة التحكم لمنع تكرار الحادثة.
   د-بيان إذا تم أو سيتم إشعار صاحب البيانات الشخصية بتسرب بياناته الشخصية، وفقاً لما نصت عليه الفقرة (5) من هذه المادة.
   هـ-بيانات التواصل لجهة التحكم أو مسؤول حماية البيانات الشخصية لديها -إن وجد- أو أي مسؤول آخر تتوافر لديه معلومات فيما يخص الحادثة محل الإشعار.
2. إذا لم تتمكن جهة التحكم من تقديم أي من البيانات المطلوبة خلال مدة لا تتجاوز (72) ساعة من وقت علمها بتسرب البيانات الشخصية وفقاً لأحكام الفقرة (1) من هذه المادة، فعليها أن تُقدمها في أقرب وقت ممكن مع إرفاق مبررات التأخير.
3. على جهة التحكم الاحتفاظ بنسخة من التقارير المقدمة إلى الجهة المختصة وفقاً لأحكام الفقرة (1) من هذه المادة، وتوثيق التدابير التصحيحية المتخذة فيما يتعلق بتسرب البيانات الشخصية، وأي مستندات أو وثائق داعمة ذوات علاقة.
4. لا تخل أحكام هذه المادة بالتزامات جهة التحكم أو المعالجة بتقديم أي بلاغ أو إشعار عن حوادث تسرب البيانات بموجب ما يصدر عن الهيئة الوطنية للأمن السيبراني أو أي أنظمة ولوائح معمول بها في المملكة.
5. على جهة التحكم دون تأخير غير مبرر إشعار صاحب البيانات الشخصية بحادثة تسرب بياناته الشخصية، إذا كان من شأنها أن ترتب ضرراً على بياناته أو تتعارض مع حقوقه أو مصالحه، على أن يكون الإشعار بلغة مبسطة وواضحة، وأن يتضمن ما يأتي:
   أ-وصف لحادثة تسرب بياناته الشخصية.
   ب-وصف المخاطر المحتملة الناشئة عن تسرب بياناته الشخصية، والتدابير المتخذة لمنع تلك المخاطر أو الحد منها وتخفيف آثارها.
   ج-اسم وبيانات التواصل لجهة التحكم ومسؤول حماية البيانات لديها –إن وجد- أو أي وسائل تواصل أخرى مناسبة مع جهة التحكم.
   د-التوصيات أو النصائح التي قد تساعد صاحب البيانات الشخصية على اتخاذ الإجراءات الملائمة لتجنب المخاطر المحددة أو تخفيف آثارها.

1. يجب على جهة التحكم أن تعد تقويماً مكتوباً وموثقاً للآثار والمخاطر التي قد تلحق بصاحب البيانات الشخصية نتيجة معالجة البيانات الشخصية، ويتم إجراء تقويم الأثر في الأحوال التالية:
   أ-‌معالجة البيانات الشخصية الحساسة.
   ب-جمع أو مقارنة أو ربط مجموعتين أو أكثر من مجموعات البيانات الشخصية التي تم الحصول عليها من مصادر مختلفة.
   ج-أن يتضمن نشاط جهة التحكم -على نطاق واسع أو بصورة متكررة- معالجة بيانات شخصية لناقصي أو عديمي الأهلية، أو عمليات المعالجة التي تتطلب بطبيعتها مراقبة مستمرة لأصحاب البيانات الشخصية، أو معالجة بيانات شخصية باستخدام تقنيات ناشئة، أو اتخاذ قرارات مبنية على المعالجة الآلية للبيانات الشخصية.
   د-تقديم منتج أو خدمة تتضمن معالجة البيانات الشخصية التي من المحتمل أن تشكل أضراراً جسيمة على خصوصية أصحاب البيانات الشخصية.
2. يجب أن يحتوي تقويم الأثر على العناصر الآتية كحد أدنى:
   أ-الغرض من المعالجة والمسوغ النظامي لها.
   ب-وصف لطبيعة المعالجة التي سيتم تنفيذها، وأنواع ومصادر البيانات الشخصية محل المعالجة وأي جهات سيتم الإفصاح لها عن البيانات الشخصية.
   ج-وصف لنطاق المعالجة الذي يحدد نوع البيانات الشخصية والنطاق الجغرافي للمعالجة.
   د-وصف لسياق المعالجة الذي يحدد العلاقة بين أصحاب البيانات الشخصية وجهة التحكم وجهات المعالجة وأي ظروف أخرى ذوات صلة.
   هـ-ضرورة وتناسب التدابير المتبعة لتمكين جهة التحكم وجهات المعالجة من معالجة الحد الأدنى من البيانات الشخصية المطلوبة لتحقيق أغراض المعالجة.
   و-الآثار المترتبة على المعالجة بناءً على شدة تأثيرها مادياً ومعنوياً واحتمال حدوث أي آثار سلبية على أصحاب البيانات الشخصية، ويتضمن ذلك أي آثار نفسية أو اجتماعية أو جسدية أو مالية واحتمال حدوث أي منها.
   ز-التدابير التي ستتخذ لمنع المخاطر والحد منها.
   ح-مدى ملاءمة التدابير المتبعة لتفادي المخاطر المحددة.
3. على جهة التحكم تقديم نسخة من تقويم الأثر إلى أي جهة معالجة تتصرف نيابة عنها فيما يتعلق بالمعالجة ذات الصلة.
4. على جهة التحكم -في حال انتهت نتائج التقويم المشار إليه في هذه المادة إلى أن عملية المعالجة ستؤدي إلى الإضرار بخصوصية أصحاب البيانات الشخصية- القيام بمعالجة الأسباب التي دعت إلى ذلك وإعادة إجراء التقويم.

1. تعديل الفقرات الفرعية (أ) و(ج) و(د) من الفقرة رقم (1).
2. تعديل نص الفقرة رقم (2) والفقرات. الفرعية (هـ) و(و) و(ز) منها.
3. إزالة الفقرة الفرعية (ح) من الفقرة رقم (2).
4. تعديل الفقرة رقم (4).

1. على جهة التحكم قبل القيام بمعالجة البيانات الشخصية لأغراض إرسال المواد الدعائية أو التوعوية الالتزام بما يأتي:​

أ‌.الحصول على موافقة المتلقي المستهدف، وفي حال وجود تعامل مسبق بين جهة التحكم والمتلقي، فيتم التحقق من أنه تم الحصول على الموافقة وفقاً لأحكام النظام واللائحة.

ب‌.تمكين المتلقي من تخصيص الخيارات المتعلقة بالمواد الدعائية أو التوعوية محل الموافقة.

ج‌.ذكر اسم الجهة المرسلة بوضوح دون أي إخفاء لهويتها.

د‌.توفير آلية تمكن صاحب البيانات الشخصية من إيقاف تلقي تلك المواد الدعائية أو التوعوية متى رغب في ذلك، وأن تكون إجراءات إيقاف تلقي المواد الدعائية أو التوعوية سهلة ومبسطة ومماثلة أو أكثر سهولةً من إجراءات الحصول على الموافقة على استقبالها.

ه‌.التوقف عن إرسال الرسائل الدعائية أو التوعوية فور تلقيها طلب المتلقي المستهدف بذلك.

و‌.أن يكون إيقاف تلقي المواد الدعائية أو التوعوية دون مقابل مالي.

ز‌.الاحتفاظ بما يثبت موافقة المتلقي المستهدف على تلقي المواد الدعائية أو التوعوية.

1.على جهة التحكم قبل إرسال مواد دعائية أو توعوية الحصول على موافقة المتلقي المستهدف، وذلك في حال عدم وجود تعامل مسبق بين جهة التحكم والمتلقي المستهدف.

2.تكون شروط موافقة المتلقي المستهدف بالمواد الدعائية أو التوعوية وفقاً لما يلي:

أ.أن تصدر الموافقة بإرادة حرة، وألّا تُستخدم أي طرق مُضللة في سبيل الحصول عليها.

ب.تمكين المتلقي من تخصيص الخيارات المتعلقة بالمواد الدعائية أو التوعوية محل الموافقة.

ج.أن توثّق موافقة المتلقي المستهدف بوسائل تتيح التحقق منها مستقبلاً.

3.دون الإخلال بنظام الاتصالات وتقنية المعلومات والأنظمة الأخرى ذوات الصلة، على جهة التحكم قبل استخدام وسائل الاتصال الشخصية -بما فيها العناوين البريدية والإلكترونية- الخاصة بصاحب البيانات الشخصية لغرض إرسال مواد دعائية أو توعوية، الالتزام بما يأتي:

أ.ذكر اسم الجهة المرسلة بوضوح دون أي إخفاء لهويتها.

ب‌.توفير آلية تمكن صاحب البيانات الشخصية من إيقاف تلقي تلك المواد الدعائية أو التوعوية متى ما رغب في ذلك، وأن تكون إجراءات إيقاف تلقي المواد الدعائية أو التوعوية سهلة ومبسطة ومماثلة أو أكثر سهولةً من إجراءات الحصول على الموافقة على استقبالها.

ج.التوقف عن إرسال الرسائل الدعائية أو التوعوية فور تلقيها طلب المتلقي المستهدف بذلك.

د.أن يكون إيقاف تلقي المواد الدعائية أو التوعوية دون مقابل مالي.

ه. الاحتفاظ بما يثبت موافقة المتلقي المستهدف على تلقي المواد الدعائية أو التوعوية.

1. دون الإخلال بنظام الاتصالات وتقنية المعلومات والأنظمة الأخرى ذوات الصلة، على جهة التحكم قبل القيام بمعالجة البيانات الشخصية لأغراض التسويق المباشر الالتزام بالآتي:

أ. الحصول على موافقة صاحب البيانات الشخصية وفقاً لأحكام المادة (الحادية عشرة) من هذه اللائحة.

ب. توفير آلية تمكن صاحب البيانات الشخصية من إيقاف تلقي المواد التسويقية متى ما رغب في ذلك، وأن تكون إجراءات إيقاف تلقي المواد التسويقية سهلة ومبسطة ومماثلة أو أكثر سهولةً من إجراءات الحصول على الموافقة على استقبالها.

2. عند إرسال مواد التسويق المباشر لصاحب البيانات الشخصية، يجب ‌ذكر اسم الجهة المرسلة بوضوح دون أي إخفاء لهويتها.

3. في حال عدول صاحب البيانات الشخصية عن موافقته على التسويق المباشر، فيكون على جهة التحكم التوقف دون تأخير غير مبرر عن توجيه المواد التسويقية إليه.

1. تقوم جهة التحكم بتعيين أو تحديد شخص أو أكثر ليكون مسؤولاً عن حماية البيانات الشخصية، وذلك في أي من الحالات الآتية:

أ. أن تكون جهة التحكم جهة عامة تقدم خدمات تتضمن معالجة بيانات شخصية على نطاق واسع.

ب. أن تقوم الأنشطة الأساسية لجهة التحكم على عمليات المعالجة التي تتطلب بطبيعتها مراقبة منتظمة وممنهجة لأصحاب البيانات الشخصية.

ج. أن تقوم الأنشطة الأساسية لجهة التحكم على معالجة بيانات شخصية حساسة.

2. مع مراعاة متطلبات الفقرة (1) من هذه المادة يجوز أن يكون مسؤول حماية البيانات الشخصية مسؤولاً أو موظفاً لدى جهة التحكم أو متعاقداً خارجياً.

3. يتولى مسؤول حماية البيانات الشخصية في جهة التحكم متابعة تنفيذ أحكام النظام ولوائحه، ومراقبة الإجراءات المعمول بها داخل جهة التحكم والإشراف عليها، وتلقي الطلبات المتعلقة بالبيانات الشخصية وفقاً لأحكام النظام ولوائحه، ويتولى على وجه الخصوص الآتي:

أ. العمل كمسؤول اتصال مباشر مع الجهة المختصة وتنفيذ قراراتها وتعليماتها فيما يتصل بتطبيق أحكام النظام ولوائحه.

ب. الإشراف على إجراءات تقويم الأثر وتقارير المراجعة والتدقيق المتعلقة بضوابط حماية البيانات الشخصية، وتوثيق نتائج التقويم وإصدار التوصيات اللازمة لذلك.

ج. تمكين صاحب البيانات الشخصية من ممارسة حقوقه المنصوص عليها في النظام.

د. إشعار الجهة المختصة عن حوادث تسرب البيانات الشخصية.

هـ. الرد على الطلبات المقدمة من صاحب البيانات الشخصية، والرد على الجهة المختصة في الشكاوى المقدمة وفقاً لأحكام النظام واللائحة.

و. متابعة قيد وتحديث سجلات أنشطة معالجة البيانات الشخصية لدى جهة التحكم.

ز. معالجة المخالفات المتعلقة بالبيانات الشخصية داخل جهة التحكم، واتخاذ الإجراءات التصحيحية حيالها.

4. تصدر الجهة المختصة قواعد تعيين مسؤول حماية البيانات الشخصية، على أن تتضمن القواعد الأحوال التي يجب فيها تعيين مسؤول حماية البيانات الشخصية.

1. تعديل الفقرات الفرعية (أ) و(ب) من الفقرة رقم (1).
2. تعديل الفقرتين (3) و(4) وترتيب الفقرات تباعاً لذلك.
3. تعديل الفقرة رقم (3) سابقاً لتصبح رقم (5) مع تضمين فقرات فرعية.
4. إزالة الفقرة الفرعية (ج) من الفقرة رقم (3) سابقاً.
5. إلغاء قواعد تعيين مسؤول حماية البيانات الشخصية؛ اكتفاءً بالمتطلبات الواردة في اللائحة بشأن الموضوع.

1. على جهة التحكم الاحتفاظ بسجل أنشطة معالجة البيانات الشخصية المشار إليها في المادة (الحادية والثلاثون) من النظام طوال فترة استمرار عمليات معالجة البيانات الشخصية، إضافةً إلى (خمس) سنوات تبدأ من تاريخ انتهاء كل نشاط من أنشطة معالجة البيانات الشخصية.
2. على جهة التحكم ضمان دقة وحداثة سجلات أنشطة معالجة البيانات الشخصية.
3. على جهة التحكم إتاحة سجلات أنشطة معالجة البيانات الشخصية للجهة المختصة عند طلبها.

1. على جهة التحكم الاحتفاظ بسجل أنشطة معالجة البيانات الشخصية أثناء فترة استمرار عمليات معالجة البيانات الشخصية، إضافة إلى خمس سنوات تبدأ من تاريخ انتهاء نشاط معالجة البيانات الشخصية.

2. يجب أن تكون سجلات أنشطة معالجة البيانات الشخصية مكتوبةً.

3. على جهة التحكم ضمان دقة وحداثة سجلات أنشطة معالجة البيانات الشخصية.

4. على جهة التحكم إتاحة سجلات أنشطة معالجة البيانات الشخصية للجهة المختصة عند طلبها.

5. يتضمن سجل أنشطة معالجة البيانات الشخصية المحتويات الآتية كحد أدنى:

أ. اسم جهة التحكم وتفاصيل الاتصال المتعلقة بها.

ب. بيانات مسؤول حماية البيانات الشخصية في الأحوال التي تتطلب ذلك وفقاً لما نصت عليه الفقرة (1) من المادة (الثانية والثلاثون) من هذه اللائحة.

ج‌. أغراض معالجة البيانات الشخصية.

د. وصف لفئات البيانات الشخصية التي تتم معالجتها، وفئات أصحاب البيانات الشخصية.

هـ. مدد الاحتفاظ الخاصة بكل من فئات البيانات الشخصية، ما أمكن ذلك.

و. فئات الجهات التي يتم الإفصاح لها عن البيانات الشخصية.

ز. وصف لعمليات نقل البيانات الشخصية إلى خارج المملكة، بما في ذلك المسوغات النظامية لعمليات النقل والجهات التي يتم نقل البيانات الشخصية إليها.

ح‌. وصف الإجراءات والوسائل التنظيمية والإدارية والتقنية التي تضمن المحافظة على البيانات الشخصية، ما أمكن ذلك.

6. تضع الجهة المختصة نماذج استرشادية لسجلات أنشطة معالجة البيانات الشخصية.

1. يجب أن تتضمن عمليات التدقيق والفحص إجراءات للتحقق من شمولية أنشطة معالجة البيانات الشخصية لدى جهة التحكم أو المعالجة، وتحديد مدى فاعلية الضوابط والتدابير المتخذة لحماية البيانات الشخصية، ورصد أي فجوات لديها فيما يتعلق بتطبيق النظام ولوائحه.
2. تخضع عمليات التدقيق والفحص لأنشطة معالجة البيانات الشخصية للقواعد المنظمة لتراخيص أنشطة إصدار شهادات الاعتماد لجهات التحكم والمعالجة وأنشطة التدقيق والفحص لمعالجة البيانات الشخصية التي تصدرها الجهة المختصة؛ بناءً على ما نصت عليه الفقرة (3) من (المادة الثالثة والثلاثون) من النظام.

1. تهدف عمليات التدقيق والفحص إلى التأكد من أن الجهة تقوم بحماية البيانات الشخصية بشكل ملائم، وذلك من خلال تدقيق وفحص أنشطة معالجة البيانات الشخصية المتبعة لدى الجهة، والضوابط والإجراءات ذوات الصلة بها، ورصد أي فجوات لديها فيما يتعلق بتطبيق النظام ولوائحه.
2. عند القيام بتدقيق وفحص أنشطة معالجة البيانات الشخصية، يتم الالتزام بما يلي:
   أ-تقديم هذه الخدمات بشكل مستقل وفق المعايير المهنية المتبعة.
   ب-وضع الإجراءات والضوابط الإدارية والتنظيمية اللازمة للتأكد من دقة وسلامة ما يصدر عنها.
3. تصدر الجهة المختصة القواعد المنظمة للترخيص لجهات تتولى التدقيق أو الفحص لأنشطة معالجة البيانات الشخصية وفق ما نصت عليه الفقرة (3) من (المادة الثالثة والثلاثين) من النظام، وتُنسّق الجهة المختصة مع هيئة الحكومة الرقمية فيما يتعلق بالترخيص للجهات التي تقدّم الخدمات نيابةً عن الجهات الحكومية.

1. مع مراعاة ما ورد في الفقرة (4) من المادة (الثلاثون) من النظام، على الجهات المشمولة بنطاق تطبيق النظام الاستجابة لطلبات الجهة المختصة فيما يتعلق بتطبيق أحكام النظام واللوائح خلال مدة لا تزيد على (20) يوم عمل من تاريخ استقبال الطلب.
2. في حال لم تتمكن الجهة من الاستجابة خلال المدة المحددة في الفقرة (1) من هذه المادة، فلها طلب مدة إضافية مع إرفاق مبررات كافية، وللجهة المختصة الموافقة على ذلك وفقاً لتقديرها.