تعديلات نظام حماية البيانات الشخصية السعودي
كل المواد التي عُدّلت منذ صدور النظام، مرتبة حسب المرسوم المعدِّل من الأحدث إلى الأقدم. يظهر لكل مادة النص قبل التعديل وبعده؛ المحذوفهكذاوالمضافهكذا.
المرسوم الملكي رقم (م/148)
الأحدثصدر 5/9/1444هـ · 24 مادة
تحدد المادة معاني المصطلحات الأساسية في نظام حماية البيانات الشخصية، مثل البيانات الشخصية والحساسة والمعالجة والإفصاح وجهة التحكم وجهة المعالجة.
لغرض تطبيق هذا النظام، يُقصد بالألفاظ والعبارات الآتية -أينما وردت في هذا النظام- المعاني المبينة أمام كل منها، ما لم يقتضِ السياق غير ذلك: 1- النظام: نظام حماية البيانات الشخصية. 2- اللوائح: اللوائح التنفيذية للنظام. 3- الجهة المختصة: الجهة التي يصدر بتحديدها قرار من مجلس الوزراء. 4- البيانات الشخصية: كل بيان -مهما كان مصدره أو شكله- من شأنه أن يؤدي إلى معرفة الفرد على وجه التحديد، أو يجعل التعرف عليه ممكنًا بصفة مباشرة أو غير مباشرة، ومن ذلك: الاسم، ورقم الهوية الشخصية، والعناوين، وأرقام التواصل، وأرقام الرُّخص والسجلات والممتلكات الشخصية، وأرقام الحسابات البنكية والبطاقات الائتمانية، وصور الفرد الثابتة أو المتحركة، وغير ذلك من البيانات ذات الطابع الشخصي. 5- المُعالجة: أي عملية تُجرى على البيانات الشخصية بأي وسيلة كانت يدوية أو آلية، ومن ذلك: عمليات الجمع، والتسجيل، والحفظ، والفهرسة، والترتيب، والتنسيق، والتخزين، والتعديل، والتحديث، والدمج، والاسترجاع، والاستعمال، والإفصاح، والنقل، والنشر، والمشاركة في البيانات أو الربط البيني، والحجب، والمسح، والإتلاف. 6- الجمع: حصول جهة التحكم على البيانات الشخصية وفقاً لأحكام النظام، سواء من صاحبها مُباشرةً أو ممن يُمثله أو ممن له الولاية الشرعية عليه أو من طرف آخر. 7- الإتلاف: كل عملأي يؤديإجراء إلىيتم إزالةعلى البيانات الشخصية ويجعل من المتعذر الاطلاع عليها أو استعادتها مرة أخرى.أخرى أو معرفة صاحبها على وجه التحديد 8- الإفصاح: تمكين أي شخص -عدا جهة التحكم-التحكم أو جهة المعالجة بحسب الأحوال - من الحصول على البيانات الشخصية أو استعمالها أو الاطلاع عليها بأي وسيلة ولأي غرض.غرض 9- النقل: نقل البيانات الشخصية من مكان إلى آخر لمعالجتها. 10- النشر: بث أي من البيانـات الشخصية عبـر وسيلـة نشـر مقـروءة أو مسموعـة أو مرئية، أو إتاحتها. 11- البيانات الحساسة: كل بيان شخصي يتضمن الإشارة إلىيتعلق أصلبأصل الفرد العرقي أو أصله القبلي،الإثني، أو معتقده الديني أو الفكري أو السياسي، أو يدل على عضويته في جمعيات أو مؤسسات أهلية.السياسي. وكذلك البيانات الجنائيةالأمنية والأمنية،والجنائية، أو بيانات السمات الحيوية التي تحدد الهوية، أو البيانات الوراثية، أو البيانات الائتمانية، أو البيانات الصحية، وبيانات تحديد الموقع، والبيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما.أحدهما 12- البيانات الوراثية: كل بيان شخصي يتعلق بالخصائص الوراثية أو المكتسبة لشخص طبيعي، يحدد بشكل فريد السمات الفيسيولوجية أو الصحية لذلك الشخص، ويستخلص من تحليل عينة بيولوجية للشخص كتحليل الأحماض النووية أو تحليل أي عينة أخرى تؤدي إلى استخلاص بيانات وراثية. 13- البيانات الصحية: كل بيان شخصي يتعلق بحالة الفرد الصحية، سواء الجسدية أو العقلية أو النفسية أو المتعلقة بالخدمات الصحية الخاصة به. 14- الخدمات الصحية: الخدمات المتعلقة بصحة الفرد، ومن ذلك الخدمات الوقائية والعلاجية والتأهيلية والتنويم وتوفير الدواء. 15- البيانات الائتمانية: كل بيان شخصي يتعلق بطلب الفرد الحصول على تمويل، أو حصوله عليه، سواء لغرض شخصي أو عائلي، من جهة تُمارس التمويل، بما في ذلك أي بيان يتعلق بقدرته على الحصول على ائتمان أو بقدرته على الوفاء به أو بتاريخه الائتماني. 16- صاحب البيانات الشخصية: الفرد الذي تتعلق به البيانات الشخصية أو من يمثله أو من له الولاية الشرعية عليه. 17- الجهة العامة: أي وزارة أو مصلحة أو مؤسسة عامة أو هيئة عامة، أو أي جهة عامة مستقلة في المملكة، أو أي من الجهات التابعة لها. 18- جهة التحكم: أي جهة عامة، وأي شخصية ذات صفة طبيعية أو اعتبارية خاصة؛ تحدد الغرض من معالجة البيانات الشخصية وكيفية ذلك؛ سواء أباشرت معالجة البيانات بوساطتها أم بوساطة جهة المعالجة. 19- جهة المعالجة: أي جهة عامة، وأي شخصية ذات صفة طبيعية أو اعتبارية خاصة؛ تعالج البيانات الشخصية لمصلحة جهة التحكم ونيابةً عنها.
تقرر المادة خمسة حقوق لصاحب البيانات الشخصية: العلم، والوصول، والحصول على نسخة مقروءة، وطلب التصحيح أو الإتمام أو التحديث، وطلب الإتلاف.
قبل التعديل
يكون لصاحب البيانات الشخصية -وفقاً للأحكام الواردة في النظام- الحقوق الآتية:
1- الحق في العلم، ويشمل ذلك إحاطته علماً بالمسوغ النظامي أو العملي المعتبر لجمع بياناته الشخصية، والغرض من ذلك، وألاَّ تعالج بياناته لاحقاً بصورة تتنافى مع الغرض من جمعها أو في غير الأحوال المنصوص عليها في المادة (العاشرة) من النظام.
2- الحق في وصوله إلى بياناته الشخصية المتوافرة لدى جهة التحكم، ويشمل ذلك الاطلاع عليها، والحصول على نسخة منها بصيغة واضحة ومطابقة لمضمون السجلات وبلا مقابل مادي -وفقاً لما تحدده اللوائح- وذلك دون إخلال بما يقضي به نظام المعلومات الائتمانية فيما يخص المقابل المالي، ودون إخلال بما تقضي به المادة (التاسعة) من النظام.
3- الحق في طلب تصحيح بياناته الشخصية المتوافرة لدى جهة التحكم، أو إتمامها، أو تحديثها.
4- الحق في طلب إتلاف بياناته الشخصية المتوافرة لدى جهة التحكم مما انتهت الحاجة إليه منها، وذلك دون إخلال بما تقضي به المادة (الثامنة عشرة) من النظام.
5- الحقوق الأخرى المنصوص عليها في النظام، التي تُبينها اللوائح.
بعد التعديل (النص النافذ)
يكون لصاحب البيانات الشخصية -وفقاً للأحكام الواردة في النظام وما تحدده اللوائح- الحقوق الآتية:
1- الحق في العلم، ويشمل ذلك إحاطته علماً بالمسوغ النظامي لجمع بياناته الشخصية والغرض من جمعها.
2- الحق في وصوله إلى بياناته الشخصية المتوافرة لدى جهة التحكم، وفق الضوابط والإجراءات التي تحددها اللوائح، ودون إخلال بما ورد في المادة (التاسعة) من النظام.
3- الحق في طلب الحصول على بياناته الشخصية المتوافرة لدى جهة التحكم بصيغة مقروءة وواضحة، وفق الضوابط والإجراءات التي تحددها اللوائح.
4- الحق في طلب تصحيح بياناته الشخصية المتوافرة لدى جهة التحكم، أو إتمامها، أو تحديثها.
5- الحق في طلب إتلاف بياناته الشخصية المتوافرة لدى جهة التحكم مما انتهت الحاجة إليه منها، وذلك دون إخلال بما تقضي به المادة (الثامنة عشرة) من النظام.
لا تجوز معالجة البيانات الشخصية أو تغيير غرض معالجتها إلا بموافقة صاحبها، عدا الأحوال التي ينص عليها النظام، ويحق له الرجوع عن موافقته في أي وقت.
1- فيما عدا الأحوال المنصوص عليها في النظام، لا تجوز معالجة البيانات الشخصية أو تغيير الغرض من معالجتها إلاَّ بعد موافقة صاحبها. وتُبين اللوائح شروط الموافقة، والأحوال التي يجب فيها أن تكون الموافقة كتابية،صريحة، والشروط والأحكام المتعلقة بالحصول على الموافقة من الولي الشرعي إذا كان صاحب البيانات الشخصية ناقص أو عديم الأهلية. 2- في جميع الأحوال، يجوز لصاحب البيانات الشخصية الرجوع عن الموافقة المشار إليها في الفقرة (1) من هذه المادة في أي وقت، وتحدد اللوائح الضوابط اللازمة لذلك.
تحدد المادة أربع حالات تجوز فيها معالجة البيانات الشخصية دون موافقة صاحبها المشار إليها في الفقرة 1 من المادة 5.
لا تخضع معالجة البيانات الشخصية للموافقة المشار إليها في الفقرة (1) من المادة (الخامسة) من النظام، في الأحوال الآتية: 1- عندما تُحقق المعالجة مصلحة متحققة لصاحب البيانات وكان الاتصال به متعذراً أو كان من الصعب تحقيق ذلك. 2- عندما تكون المعالجة بمقتضى نظام آخر أو تنفيذاً لاتفاق سابق يكون صاحب البيانات الشخصية طرفاً فيه. 3- إذا كانت جهة التحكم جهة عامة، وكانت تلك المعالجة مطلوبة لأغراض أمنية أو لاستيفاء مُتطلبات قضائية. 4- عندما تكون المعالجة ضرورية لتحقيق مصالح مشروعة لجهة التحكم، ما لم يخل ذلك بحقوق صاحب البيانات الشخصية أو يتعارض مع مصالحه ولم تكن تلك البيانات بيانات حساسة. وتبيّن اللوائح الأحكام والضوابط المتعلقة بذلك
تلزم المادة جهة التحكم باختيار جهة معالجة توفر الضمانات اللازمة لتنفيذ النظام واللوائح والتحقق من التزامها، دون أن يخل ذلك بمسؤولياتها.
مع مراعاة ما ينص عليه النظام واللوائح في شأن الإفصاح عن البيانات الشخصية، على جهة التحكم عند اختيارها جهة المعالجة أن تلتزم باختيار الجهة التي توفر الضمانات اللازمة لتنفيذ أحكام النظام واللوائح، وعليها التحقق بصفة مستمرة من التزام تلك الجهة بالتعليمات التي توجهها إليها في جميع ما يتعلق بحماية البيانات الشخصية بما لا يتعارض مع أحكامبأحكام النظام واللوائح، ولا يخل ذلك بمسؤولياتها تجاه صاحب البيانات الشخصية أو الجهة المختصة بحسب الأحوال. وتحدد اللوائح الأحكام اللازمة لذلك، على أن تشتمل على الأحكام المتعلقة بأي تعاقدات لاحقة تقوم بها جهة المعالجة.المعالجة
تجيز المادة لجهة التحكم تحديد مدد لممارسة حق الوصول وتقييده في حالات معينة، وتلزمها بعدم تمكين صاحب البيانات من الوصول في الأحوال المحددة في المادة 16.
1- يجوز لجهة التحكم تحديد مدد لممارسة حق الوصول إلى البيانات الشخصية المقرر في الفقرة (2) من المادة (الرابعة) من النظام، وتتولى الجهة المختصةالنظام؛ تحديدوفق المدةما المناسبةتحدده لذلك.اللوائح. ويجوز كذلك لجهة التحكم تقييد هذا الحق في الأحوال الآتية: أ- إذا كان ذلك ضرورياً لحماية صاحب البيانات الشخصية أو غيره من أي ضرر؛ وفق الأحكام التي تحددها اللوائح. ب- إذا كانت جهة التحكم جهة عامة، وكان التقييد مطلوباً لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء مُتطلبات قضائية.قضائية 2- يجب على جهة التحكم ألا تُمكِّن صاحب البيانات الشخصية من الوصول إليها متى تحقق أيٌ من الأحوال المنصوص عليها في الفقرات (1) و(2) و(3) و(4) و(5) و(6) من المادة (السادسة عشرة) من النظام.
الأصل أن تُجمع البيانات الشخصية من صاحبها مباشرة وتُعالج للغرض الذي جمعت له، مع سبع حالات يجوز فيها الجمع من غيره أو المعالجة لغرض آخر.
لا يجوز لجهة التحكم جمع البيانات الشخصية إلا من صاحبها مباشرةً، ولا تجوز كذلك مُعالجة تلك البيانات إلا لتحقيق الغرض الذي جُمعت من أجله. ومع ذلك، يجوز لجهة التحكم جمع البيانات الشخصية من غير صاحبها مباشرةً، أو مُعالجتها لغرض آخر غير الذي جمعت من أجله، وذلك في الأحوال الآتية: 1- إذا وافق صاحب البيانات الشخصية على ذلك، وفقاً لأحكام النظام. 2- إذا كانت البيانات الشخصية متاحة للعموم، أو جرى جمعها من مصدر متاح للعموم. 3- إذا كانت جهة التحكم جهة عامة، وكان جمع البيانات الشخصية من غير صاحبها مباشرةً، أو مُعالجتها لغرض آخر غيرأومعالجتها؛ الذيمطلوباً جمعتلأغراض منالمصلحة أجله؛العامة مطلوباًأو لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء مُتطلبات قضائية وفق الأحكام التي تحددها اللوائح.قضائية. 4- إذا كان التقيد بهذا الحظر قد يُلحق ضرراً بصاحب البيانات الشخصية أو يؤثر على مصالحه الحيوية؛ وفق الأحكام التي تحددها اللوائح.الحيوية. 5- إذا كان جمع البيانات الشخصية أو معالجتها ضروريا ً لحماية الصحة العامة أو السلامة العامة أو حماية حياة فرد أو أفراد معينين أو حماية صحتهم. وتبيّن اللوائح الضوابط والإجراءات المتعلقة بذلك. 6- إذا كانت البيانات الشخصية لن تُسجل أو تُحفظ في صيغة تجعل من الممكن تحديد هوية صاحبها ومعرفته بصورة مباشرة أو غير مباشرة. 7- وتبيّنإذا اللوائحكان الضوابطجمع والإجراءاتالبيانات المتعلقةالشخصية بذلك.أو معالجتها ضرورياً لتحقيق مصالح مشروعة لجهة التحكم، ما لم يخل ذلك بحقوق صاحب البيانات الشخصية أو يتعارض مع مصالحه ولم تكن تلك البيانات بيانات حساسة.
تشترط المادة أن يرتبط غرض جمع البيانات بأغراض جهة التحكم، وأن تكون وسائله نظامية وواضحة وآمنة، وأن يقتصر المحتوى على الحد الأدنى اللازم.
1- يجب أن يكون الغرض من جمع البيانات الشخصية ذا علاقة مُباشرة بأغراض جهة التحكم، وألاَّ يتعارض مع أي حكم مقرر نظاماً. 2- يجب ألاَّ تتعارض طُرق جمع البيانات الشخصية ووسائلها مع أي حكم مقرر نظاماً، وأن تكون ملائمة لظروف صاحبها، ومباشرة وواضحة وآمنة، وخالية من أساليب الخداع أو التضليل أو الابتزاز. 3- يجب أن يكون مُحتوى البيانات الشخصية ملائماً ومقصوراً على الحد الأدنى اللازم لتحقيق الغرض من جمعها، مع تجنب شموله على ما يؤدي إلى معرفة صاحبها بصورة محددة متى تحقق الغرض من جمعها. وتحدد اللوائح الضوابط اللازمة لذلك. 4- إذا اتضح أن البيانات الشخصية التي تجمع لم تعد ضرورية لتحقيق الغرض من جمعها،حجمها، فعلى جهة التحكم التوقف عن جمعها، وإتلاف ما سبق أن جمعته منها فوراً.دون تأخير
تلزم المادة جهة التحكم باعتماد سياسة خصوصية متاحة لأصحاب البيانات عند جمع بياناتهم، وتحدد العناصر التي يجب أن تشتمل عليها.
على جهة التحكم أن تعتمد سياسة لخصوصية البيانات الشخصية،للخصوصية، وأن تجعلها متاحة لأصحابهالأصحاب البيانات الشخصية ليطلعوا عليها قبلعند جمع بياناتهم. على أن تشتمل تلك السياسة على تحديد الغرض من جمعها، ومُحتوى البيانات الشخصية المطلوب جمعها، وطريقة جمعها، ووسيلة حفظها، وكيفية معالجتها، وكيفية إتلافها، وحقوق صاحبها فيما يتعلق بها، وكيفية ممارسة هذه الحقوق.الحقوق
تلزم المادة جهة التحكم عند جمع البيانات من صاحبها مباشرة بإحاطته بسبعة عناصر، منها المسوغ النظامي والغرض وهوية الجامع والجهات التي ستفصح لها البيانات.
على جهة التحكم، في حالة جمع البيانات الشخصية من صاحبها مباشرةً، اتخاذ الوسائل الكافية لإحاطته علماً بالعناصر الآتية قبل البدء فيعند جمع بياناته: 1- المسوغ النظامي أو العملي المعتبر لجمع بياناته الشخصية.الشخصية 2- الغرض من جمع بياناته الشخصية، وما إذا كان جمعها كلها أو بعضها إلزاميًّا أم اختياريًّا، وإحاطته كذلك بأن بياناته لن تعالج لاحقاً بصورة تتنافى مع الغرض من جمعها أو في غير الأحوال المنصوص عليها في المادة (العاشرة) من النظام. 3- هوية من يجمع البيانات الشخصية وعنوان مرجعه عند الاقتضاء، ما لم يكن جمعها لأغراض أمنية. 4- الجهة أو الجهات التي سَيُجرى إفصاح البيانات الشخصية إليها، وصفتها، وما إذا كانت البيانات الشخصية ستنقل أو سيفصح عنها أو ستعالج خارج المملكة. 5- الآثار والأخطار المحتملة التي تترتب على عدم إتمام إجراء جمع البيانات الشخصية. 6- حقوقه المنصوص عليها في المادة (الرابعة) من النظام. 7- العناصر الأخرى التي تحددها اللوائح بحسب طبيعة النشاط الذي تمارسه جهة التحكم.
تحظر المادة على جهة التحكم الإفصاح عن البيانات الشخصية إلا في ست حالات محددة، وتحيل إلى اللوائح أحكام الحالات من 2 إلى 6.
لا يجوز لجهة التحكم الإفصاح عن البيانات الشخصية إلا في الأحوال الآتية: 1- إذا وافق صاحب البيانات الشخصية على الإفصاح وفقاً لأحكام النظام. 2- إذا كانت البيانات الشخصية قد جرى جمعها من مصدر متاح للعموم. 3- إذا كانت الجهة التي تطلب الإفصاح جهة عامة، وذلكوكان ذلك لأغراض المصلحة العامة أو لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء مُتطلبات قضائية وفق الأحكام التي تحددها اللوائح.قضائية. 4- إذا كان الإفصاح ضرورياً لحماية الصحة العامة أو السلامة العامة أو حماية حياة فرد أو أفراد معينين أو حماية صحتهم. وتبيّن اللوائح الضوابط والإجراءات المتعلقة بذلك. 5- إذا كان الإفصاح سيقتصر على معالجتها لاحقاً بطريقة لا تؤدي إلى معرفة هوية صاحب البيانات الشخصية أو أي فرد آخر على وجه التحديد. 6- إذا كان الإفصاح ضرورياً لتحقيق مصالح مشروعة لجهة التحكم، ما لم يخل ذلك بحقوق صاحب البيانات الشخصية أو يتعارض مع مصالحه ولم تكن تلك البيانات بيانات حساسة. وتبيّن اللوائح الضوابطالأحكام والضوابط والإجراءات المتعلقة بذلك.بما ورد في الفقرات من (2) إلى (6) من هذه المادة
تمنع المادة جهة التحكم من الإفصاح عن البيانات في الحالات 1 و2 و5 و6 من المادة 15 متى اتصف الإفصاح بأي من تسعة أوصاف محددة.
على جهة التحكم ألا تفصح عن البيانات الشخصية في الأحوال المنصوص عليها في الفقرات (1) و(2) و(5) و(6) من المادة (الخامسةالخامسة عشرة)عشرة من النظام، متى اتصف الإفصاح بأيٍّ مما يأتي: 1- أنه يمثل خطراً على الأمن، أو يسيء إلى سمعة المملكة، أو يتعارض مع مصالحها. 2- أنه يؤثر على علاقات المملكة مع دولة أخرى. 3- أنه يمنع من كشف جريمة أو يمس حقوق متهم في الحصول على محاكمة عادلة أو يؤثر في سلامة إجراءات جنائية قائمة. 4- أنه يعرض سلامة فرد أو أفراد للخطر. 5- أنه يترتب عليه انتهاك خصوصية فرد آخر غير صاحب البيانات الشخصية وفق ما تحدده اللوائح. 6- أنه يتعارض مع مصلحة ناقص أو عديم للأهلية. 7- أنه يخل بالتزامات مهنية مقررة نظاماً. 8- أنه ينطوي عليه إخلال بالتزام أو إجراء أو حكم قضائي. 9- أنه يكشف عن مصدر سري لمعلومات تحتم المصلحة العامة عدم الكشف عنه.
تلزم المادة جهة التحكم بإتلاف البيانات بعد انتهاء غرض جمعها دون تأخير، وتجيز الاحتفاظ بها بعد إزالة ما يحدد هوية صاحبها، وتوجبه في حالتين.
1- على جهة التحكم إتلاف البيانات الشخصية فوربعد انتهاء الغرض من جمعها.جمعها دون تأخير. ومع ذلك، يجوز لها الاحتفاظ بتلك البيانات بعد انتهاء الغرض من جمعها إذا تمت إزالة كل ما يؤدي إلى معرفة صاحبها على وجه التحديد وفق الضوابط التي تحددها اللوائح.اللوائح 2- على جهة التحكم الاحتفاظ بالبيانات الشخصية حتى بعد انتهاء الغرض من جمعها في الحالتين الآتيتين: أ- إذا توافر مسوغ نظامي يوجب الاحتفاظ بها مدة مُحددة، وفي هذه الحالة يُجرى إتلافها بعد انتهاء هذه المدة أو انتهاء الغرض من جمعها، أيهما أطول. ب- إذا كانت البيانات الشخصية متصلة اتصالاً وثيقاً بقضية منظورة أمام جهة قضائية وكان الاحتفاظ بها مطلوباً لهذا الغرض، وفي هذه الحالة يُجرى إتلافها بعد استكمال الإجراءات القضائية الخاصة بالقضية.
تلزم المادة جهة التحكم بإشعار الجهة المختصة عند علمها بتسرب البيانات أو تلفها أو الوصول غير المشروع إليها، وبإشعار صاحب البيانات إذا كان ذلك قد يضره.
قبل التعديل
1- تُشعر جهة التحكم الجهة المختصة فور علمها بحدوث تسرّب أو تلف لبيانات شخصية أو حدوث وصول غير مشروع إليها.
2- تحدد اللوائح الأحوال التي يجب فيها على جهة التحكم إشعار صاحب البيانات الشخصية في حالة حدوث تسرّب أو تلف لبياناته الشخصية أو حدوث وصول غير مشروع إليها. وإذا كان من شأن حدوث أيٍّ مما سبق أن يرتب ضرراً جسيماً على بياناته أو على نفسه، فيجب على جهة التحكم إشعاره فوراً.
بعد التعديل (النص النافذ)
1- تشعر جهة التحكم الجهة المختصة عند علمها بحدوث تسرب لبيانات شخصية أو تلفها أو وصول غير مشروع إليها؛ وفقاً لما تحدده اللوائح.
2- تشعر جهة التحكم صاحب البيانات الشخصية إذا كان من شأن حدوث تسرب لبيانات شخصية أو تلفها أو وصول غير مشروع إليها أن يرتب ضرراً على بياناته أو يتعارض مع حقوقه أو مصالحه؛ وفقاً لما تحدده اللوائح
تحيل المادة إلى اللوائح وضع ضوابط إضافية لمعالجة البيانات الائتمانية، تشمل التحقق من الموافقة الصريحة وإشعار صاحب البيانات عند طلب الإفصاح عنها.
تُحدد اللوائح الضوابط والإجراءات الإضافية -بما لا يتعارض مع أحكام النظام- في شأن معالجة البيانات الائتمانية بما يكفل المحافظة على خصوصية أصحابها ويحمي حقوقهم الواردة في النظام ونظام المعلومات الائتمانية، على أن تشتمل على ما يأتي: 1- اتخاذ ما يلزم للتحقق من توافر الموافقة الكتابيةالصريحة من صاحب البيانات الشخصية على جمع هذه البيانات أو تغيير الغرض من جمعها أو الإفصاح عنها أو نشرها وفق أحكام النظام ونظام المعلومات الائتمانية. 2- وجوب إشعار صاحب البيانات الشخصية عند ورود طلب الإفصاح عن بياناته الائتمانية من أي جهة.
تجيز المادة نقل البيانات الشخصية خارج المملكة أو الإفصاح عنها لجهة خارجها لأغراض محددة وبشروط، مع استثناء حالات الضرورة القصوى من الشروط.
قبل التعديل
فيما عدا حالات الضرورة القصوى للمحافظة على حياة صاحب البيانات خارج المملكة أو مصالحه الحيوية أو الوقاية من عدوى مرضية أو فحصها أو معالجتها، لا يجوز لجهة التحكم نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارج المملكة إلاَّ إذا كان ذلك تنفيذاً لالتزام بموجب اتفاقية تكون المملكة طرفاً فيه، أو لخدمة مصالح المملكة، أو لأغراض أخرى وفقاً لما تحدده اللوائح، وذلك بعد أن تتوافر الشروط الآتية:
1- ألاَّ يترتب على النقل أو الإفصاح مساس بالأمن الوطني أو بمصالح المملكة الحيوية.
2- أن تقدم ضمانات كافية للمحافظة على البيانات الشخصية التي سَيُجرى نقلها أو الإفصاح عنها وعلى سريتها، بحيث لا تقل معايير حماية البيانات الشخصية عن المعايير الواردة في النظام واللوائح.
3- أن يقتصر النقل أو الإفصاح على الحد الأدنى من البيانات الشخصية الذي تدعو الحاجة إليه.
4- موافقة الجهة المختصة على النقل أو الإفصاح وفقاً لما تحدده اللوائح.
وفيما عدا الشرط الوارد في الفقرة (1) من هذه المادة، يجوز للجهة المختصة أن تعفي جهة التحكم -في كل حالة على حدة- من الالتزام بأحد الشروط المشار إليها؛ متى قدَّرت الجهة المختصة منفردة أو بالاشتراك مع جهات أخرى أن البيانات الشخصية سيتوافر لها مستوى مقبول من الحماية خارج المملكة، ولم تكن تلك البيانات بيانات حساسة.
بعد التعديل (النص النافذ)
1- مع مراعاة ما ورد في الفقرة (2) من هذه المادة، يجوز لجهة التحكم نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارج المملكة، وذلك لتحقيق أيٍّ من الأغراض الآتية:
أ- إذا كان ذلك تنفيذاً لالتزام بموجب اتفاقية تكون المملكة طرفاً فيه.
ب- إذا كان ذلك لخدمة مصالح المملكة.
ج- إذا كان ذلك تنفيذاً لالتزام يكون صاحب البيانات الشخصية طرفاً فيه.
د- إذا كان ذلك تنفيذاً لأغراض أخرى وفق ما تحدده اللوائح.
2- تكون الشروط الواجب توافرها عند نقل البيانات الشخصية أو الإفصاح عنها -وفق ما ورد في الفقرة (1) من هذه المادة- على النحو الآتي:
أ- ألا يترتب على النقل أو الإفصاح مساس بالأمن الوطني أو بمصالح المملكة الحيوية.
ب- أن يتوافر مستوى مناسب لحماية البيانات الشخصية في خارج المملكة؛ بما لا يقل عن مستوى الحماية المقرر في النظام واللوائح، وفقاً لنتائج تقويم تجريه الجهة المختصة في هذا الشأن بالتنسيق مع من تراه من الجهات المعنية.
ج- أن يقتصر النقل أو الإفصاح على الحد الأدنى من البيانات الشخصية الذي تدعو الحاجة إليه.
3- لا يسري ما ورد في الفقرة (2) من هذه المادة على حالات الضرورة القصوى للمحافظة على حياة صاحب البيانات الشخصية أو مصالحه الحيوية أو الوقاية من عدوى مرضية أو فحصها أو معالجتها.
4- تحدد اللوائح الأحكام والمعايير والإجراءات المتعلقة بتطبيق ما ورد في هذه المادة، بما في ذلك تحديد حالات إعفاء جهات التحكم من الالتزام بأي من الشروط المشار إليها في الفقرتين الفرعيتين (ب) و(ج) من الفقرة (2) من هذه المادة، وكذلك ضوابط وإجراءات ذلك الإعفاء والعدول عنه
تجعل المادة الجهة المختصة مشرفة على تطبيق النظام واللوائح دون إخلال بصلاحيات البنك المركزي، وتنظم مسؤول حماية البيانات وصلاحيات الإشراف والتفويض.
قبل التعديل
1- مع عدم الإخلال بأحكام النظام، وما للبنك المركزي السعودي من صلاحيات وفقاً لما تقضي به النصوص النظامية ذات العلاقة، تكون الجهة المختصة الجهة المشرفة على تطبيق أحكام النظام واللوائح.
2- على جهة التحكم أن تعيّن أو تحدد شخصاً (أو أكثر) من منسوبيها ليكون مسؤولاً عن التزامها بتطبيق أحكام النظام واللوائح. وتحدد اللوائح الأحكام المتعلقة بما ورد في هذه الفقرة.
3- على جهة التحكم التعاون مع الجهة المختصة في سبيل مباشرتها مهماتها المتعلقة بالإشراف على تطبيق أحكام النظام واللوائح، وعليها كذلك اتخاذ ما يلزم من إجراءات حيال المسائل المتعلقة بذلك التي تحيلها الجهة المختصة إليها. وللجهة المختصة طلب الوثائق أو المعلومات اللازمة من جهة التحكم للتأكد من التزامها بأحكام النظام واللوائح.
4- يجوز للجهة المختصة -وفق ما تقدره- تفويض غيرها من الجهات في مباشرة بعض المهمات الموكولة إليها المتعلقة بالإشراف على تطبيق أحكام النظام واللوائح.
بعد التعديل (النص النافذ)
1- مع عدم الإخلال بأحكام النظام، وما للبنك المركزي السعودي من صلاحيات وفقاً لما تقضي به النصوص النظامية ذات العلاقة، تكون الجهة المختصة الجهة المشرفة عل تطبيق أحكام النظام واللوائح.
2- تحدد اللوائح الأحوال التي يجب فيها على جهة التحكم تعيين أو تحديد شخص (أو أكثر) يتولى دور مسؤول حماية البيانات الشخصية، وتبيّن اللوائح كذلك مسؤولياته بما يتفق مع أحكام النظام واللوائح.
3- على جهة التحكم التعاون مع الجهة المختصة في سبيل مباشرتها مهماتها المتعلقة بالإشراف على تطبيق أحكام النظام واللوائح، وعليها كذلك اتخاذ مايلزم من إجراءات حيال المسائل المتعلقة بذلك التي تحيلها الجهة المختصة إليها.
4- للجهة المختصة في سبيل مباشرتها مهماتها المتعلقة بالإشراف على تطبيق أحكام النظام واللوائح، اتخاذ ما يأتي:
أ- طلب الوثائق أو المعلومات اللازمة من جهة التحكم للتأكد من التزامها بأحكام النظام واللوائح.
ب- الاستعانة بأي جهة أخرى لأغراض المساندة في مباشرتها مهماتها المتعلقة بالإشراف على تطبيق أحكام النظام واللوائح.
ج- تحديد الأدوات والآليات المناسبة في شأن مراقبة ومتابعة التزام جهات التحكم بأحكام النظام واللوائح، بما في ذلك بناء سجل وطني لهذا الغرض عن جهات التحكم.
د- تقديم الخدمات المتعلقة بحماية البيانات الشخصية من خلال السجل الوطني المشار إليه في الفقرة الفرعية (ج) من هذه الفقرة أو من خلال أي وسيلة أخرى؛ وفقاً لما تراه مناسباً. وللجهة المختصة استحصال مقابل مالي عن الخدمات التي تقدمها المتعلقة بحماية البيانات الشخصية.
5- يجوز للجهة المختصة -وفق ما تقدره- تفويض غيرها من الجهات في مباشرة بعض المهمات الموكولة إليها المتعلقة بالإشراف على تطبيق أحكام النظام واللوائح
- المادة 32ملغاة
نص التعديل
- ألغيت هذه المادة وذلك بموجب المرسوم الملكي رقم (م/148) وتاريخ 1444/9/5هـ.
تمنح المادة الجهة المختصة صلاحية وضع اشتراطات الأنشطة المرتبطة بحماية البيانات، والترخيص لجهات الاعتماد والتدقيق، ومتابعة التزام الجهات خارج المملكة.
قبل التعديل
1- تختص الجهة المختصة بالموافقة على ممارسة الأنشطة التجارية أو المهنية أو غير الربحية المرتبطة بحماية البيانات الشخصية في المملكة وفقاً لما تحدده اللوائح.
2- يجب على الجهة التي في خارج المملكة -عند معالجتها لبيانات شخصية تتعلق بالأفراد المقيمين في المملكة بأي وسيلة كانت- أن تعين ممثلاً لها في المملكة ترخص له الجهة المختصة لمباشرة التزاماته المقررة بموجب أحكام النظام واللوائح. ولا يخل هذا التعيين بمسؤوليات تلك الجهة تجاه صاحب البيانات الشخصية أو الجهة المختصة بحسب الأحوال. وتبين اللوائح الأحكام المتعلقة بالترخيص وحدود علاقة الممثل بالجهة التي في خارج المملكة التي يمثلها.
3- يجوز للجهة المختصة الترخيص لجهات تتولى إصدار شهادات اعتماد لجهة التحكم وجهة المعالجة، على أن تضع الجهة المختصة القواعد المنظمة لإصدار تلك الشهادات.
بعد التعديل (النص النافذ)
1- تضع الجهة المختصة اشتراطات ممارسة الأنشطة التجارية أو المهنية أو غير الربحية المرتبطة بحماية البيانات الشخصية في المملكة، بالتنسيق مع الجهات المعنية، وبما لا يخل بما تضعه تلك الجهات من اشتراطات أخرى بحسب اختصاصاتها.
2- للجهة المختصة الترخيص لجهات تتولى إصدار شهادات اعتماد لجهة التحكم وجهة المعالجة. وتضع الجهة المختصة القواعد المنظمة لإصدار تلك الشهادات.
3- للجهة المختصة الترخيص لجهات تتولى أعمال التدقيق أو الفحص لأنشطة معالجة البيانات الشخصية بحسب طبيعة النشاط الذي تمارسه جهة التحكم؛ وفق الأحكام التي تحددها اللوائح. وتضع الجهة المختصة شروط ومتطلبات إصدار تلك التراخيص، والقواعد المنظّمة لها.
4- تتولى الجهة المختصة تحديد الأدوات والآليات المناسبة لمتابعة التزام الجهات التي في خارج المملكة بالتزاماتها المقررة بموجب أحكام النظام واللوائح عند معالجتها لبيانات شخصية متعلقة بالأفراد المقيمين في المملكة بأي وسيلة كانت، والإجراءات المتعلقة بإنفاذ أحكام النظام واللوائح خارج المملكة
تعاقب المادة بالسجن حتى سنتين وبغرامة حتى 3 ملايين ريال أو بإحداهما من أفصح عن بيانات حساسة أو نشرها مخالفًا النظام بقصد الإضرار أو المنفعة الشخصية.
1- مع عدم الإخلال بأي عقوبة أشد منصوص عليها في نظام آخر، تكون عقوبة ارتكاب المخالفات الآتية وفقاً لما دون أمامها: أ- كل من أفصح عن بيانات حساسة أو نشرها مخالفًا أحكام النظام: يُعاقب بالسجن مدة لا تزيد على (سنتين) وبغرامة لا تزيد على (ثلاثة ملايين) ريال، أو بإحدى هاتين العقوبتين؛ إذا كان ذلك بقصد الإضرار بصاحب البيانات أو بقصد تحقيق منفعة شخصية. ب- كل من خالف أحكام المادة (التاسعة والعشرين)أفصح منعن النظام:بيانات يعاقبحساسة بالسجنأو مدةنشرها لامخالفاً تزيدأحكام علىالنظام (سنة)إذا وبغرامةكان لاذلك تزيدبقصد علىالإضرار (مليون)بصاحب ريال،البيانات أو بإحدىبقصد هاتينتحقيق العقوبتين.منفعة شخصية. 2- تختص النيابة العامة بمهمة التحقيق، والادعاء أمام المحكمة المختصةالمختصة، عن المخالفاتالمخالفة المنصوص عليها في الفقرة (1) من هذه المادة. 3- تتولى المحكمة المختصة النظر في الدعاوى الناشئة من تطبيق هذه المادة وإيقاع العقوبات المقررة. 4- يجوز للمحكمة المختصة مضاعفة عقوبة الغرامة المنصوص عليها في الفقرة (1) من هذه المادة في حالة العود حتى لو ترتب عليها تجاوز الحد الأقصى لها على ألا تتجاوز ضعف هذا الحد.
تعاقب المادة بالإنذار أو بغرامة حتى 5 ملايين ريال كل شخص طبيعي أو اعتباري خاص خالف النظام أو اللوائح، عبر لجنة يُتظلم من قرارها أمام المحكمة المختصة.
1- فيما لم يرد في شأنه نص خاص في المادة (الخامسة والثلاثين) من النظام، ودون إخلال بأيِّ عقوبة أشد منصوص عليها في نظام آخر؛ تُعاقَب بالإنذار أو بغرامة لا تزيد على (خمسة ملايين) ريال، كلُّ شخصية ذات صفة طبيعية أو اعتبارية خاصة -مشمولة بأحكام النظام- خالفت أيًّا من أحكام النظام أو اللوائح. وتجوز مضاعفة عقوبة الغرامة في حالة تكرار المخالفة حتى لو ترتب عليها تجاوز الحد الأقصى لها على ألا تتجاوز ضعف هذا الحد. 2- تكوّن بقرار من رئيس الجهة المختصة،المختصة لجنة (أو أكثر) لا يقل عدد أعضائها عن (ثلاثة)، ويسمى أحدهم رئيساً، ويكون من بينهممنهم مستشارمختص شرعيفني أوومستشار نظامي؛ تتولى النظر في المخالفات وإيقاع عقوبة الإنذار أو الغرامة المنصوص عليها في الفقرة (1) من هذه المادة، وذلك بحسب نوع المخالفة المرتكبة وجسامتها ومدى تأثيرها، على أن يعتمد قرار اللجنة رئيس الجهة المختصة أو من يفوضه بذلك. ويصدر رئيس الجهة المختصة -بقرار منه- قواعد عمل اللجنة، وتحدد فيها مكافآت أعضائها. 3- يحق لمن صدر ضده قرار من اللجنة المنصوص عليها في الفقرة (2) من هذه المادة التظلم منه أمام المحكمة المختصة.
تحدد المادة من يتولى ضبط مخالفات النظام واللوائح والتفتيش عليها، وتجيز لهم الاستعانة بجهات الضبط الجنائي، وتمنح الجهة المختصة حق حجز وسائل المخالفة حتى البت فيها.
قبل التعديل
1- يتولى الموظفون أو العاملون -الذين يصدر بتسميتهم قرار من رئيس الجهة المختصة- ضبط المخالفات المنصوص عليها في النظام أو اللوائح.
2- للجهة المختصة الحق في حجز الوسائل أو الأدوات المستخدمة في ارتكاب المخالفة إلى حين البت فيها.
بعد التعديل (النص النافذ)
1- يتولى الموظفون أو العاملون -الذين يصدر بتسميتهم قرار من رئيس الجهة المختصة- صلاحيات الضبط والتفتيش المتعلقة بالمخالفات المنصوص عليها في النظام أو اللوائح. ويُصدر رئيس الجهة المختصة قواعد وإجراءات عملهم بما يتفق مع النصوص النظامية ذات الصلة.
2- للموظفين أو العاملين -المنصوص عليهم في الفقرة (1) من هذه المادة- الاستعانة بجهات الضبط الجنائي أو الجهات المختصة الأخرى؛ وذلك في سبيل قيامهم بمهمات وإجراءات الضبط والتفتيش المتعلقة بالمخالفات المنصوص عليها في النظام أو اللوائح.
3- للجهة المختصة الحق في حجز الوسائل أو الأدوات المستخدمة في ارتكاب المخالفة إلى حين البت فيها.
تكلّف المادة رئيس الجهة المختصة بإصدار لوائح النظام خلال مدة لا تتجاوز 720 يومًا من تاريخ صدوره، بعد التنسيق مع سبع جهات حكومية كلٌّ فيما يخصه.
يصدر رئيس الجهة المختصة اللوائح، وذلك في مدة لا تتجاوز (مائة(سبعمائة وثمانين)وعشرين) يوماً من تاريخ صدور النظام، على أن يُنسِّق -قبل إصدارها- معمع: وزارة(وزارة الاتصالات وتقنية المعلوماتالمعلومات، ووزارة الخارجيةالخارجية، وهيئة الاتصالات وتقنيةوالفضاء المعلوماتوالتقنية، وهيئة الحكومة الرقمية، والهيئة الوطنية للأمن السيبرانيالسيبراني، والمجلس الصحي السعوديالسعودي، والبنك المركزي السعودي،السعودي)، كلٌّ فيما يخصه.
تنص المادة على أن العمل بنظام حماية البيانات الشخصية يبدأ بعد 720 يومًا من تاريخ نشره في الجريدة الرسمية.
يُعمل بالنظام بعد (مائة(سبعمائة وثمانين)وعشرين) يوماً من تاريخالتاريخ نشرهالذي نشر به في الجريدة الرسمية.