المادة 31 من نظام حماية البيانات الشخصية
المادة الحادية والثلاثون
تُلزم المادة جهة التحكم بالاحتفاظ بسجلات لأنشطة معالجة البيانات الشخصية لمدة تحددها اللوائح، لتكون متاحة للجهة المختصة عند طلبها، وتحدد الحد الأدنى لمحتواها.
النص الرسمي
لم تُعدَّل هذه المادة منذ صدور النظام.
دون إخلال بما ورد في المادة (الثامنة عشرة) من النظام، تحتفظ جهة التحكم بسجلات لمدة تحددها اللوائح لأنشطة معالجة البيانات الشخصية بحسب طبيعة النشاط الذي تمارسه جهة التحكم؛ لتكون متاحة عندما تطلبها الجهة المختصة. على أن تشمل السجلات حدًّا أدنى من البيانات الآتية:
1- تفاصيل الاتصال الخاصة بجهة التحكم.
2- الغرض من معالجة البيانات الشخصية.
3- وصف فئات أصحاب البيانات الشخصية.
4- أي جهة جرى (أو سَيُجرى) إفصاح البيانات الشخصية إليها.
5- ما إذا جرى (أو سَيُجرى) نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارج المملكة.
6- المدة الزمنية المتوقعة للاحتفاظ بالبيانات الشخصية.
المصدر الرسمي: نظام حماية البيانات الشخصية — هيئة الخبراء بمجلس الوزراء
شرح المادة 31 بلغة مبسطة
تفرض هذه المادة على جهة التحكم (الجهة التي تحدد الغرض من معالجة البيانات الشخصية وطريقتها) أن توثّق أنشطة المعالجة التي تقوم بها في سجلات تحتفظ بها، وذلك دون إخلال بما ورد في المادة (18) من النظام.
مدة الاحتفاظ: لم تحدد المادة مدة بعينها، بل أحالت إلى اللوائح لتحديدها بحسب طبيعة النشاط الذي تمارسه جهة التحكم. والغرض من هذه السجلات أن تكون متاحة عندما تطلبها الجهة المختصة.
الحد الأدنى لمحتوى السجلات: يجب أن تتضمن السجلات على الأقل ما يلي:
- تفاصيل الاتصال الخاصة بجهة التحكم.
- الغرض من معالجة البيانات الشخصية.
- وصف فئات أصحاب البيانات (مثل العملاء أو الموظفين).
- أي جهة جرى الإفصاح لها عن البيانات أو سيجري الإفصاح لها.
- ما إذا كانت البيانات قد نُقلت أو ستُنقل إلى خارج المملكة أو يُفصح عنها لجهة خارجها.
- المدة المتوقعة للاحتفاظ بالبيانات الشخصية.
وعبارة «حد أدنى» تعني أن جهة التحكم يمكنها أن تضيف بيانات أخرى إلى السجل، لكن لا يجوز أن ينقص عن هذه العناصر الستة.
وترتبط هذه المادة بالمادة (30) التي تجعل الجهة المختصة هي المشرفة على تطبيق النظام، وتمنحها صلاحية طلب الوثائق والمعلومات اللازمة من جهة التحكم للتأكد من التزامها، وتُلزم جهة التحكم بالتعاون معها. فالسجلات المذكورة هنا من أهم ما يمكن أن تطلبه الجهة المختصة في هذا الإطار.
ولمعرفة ما يلزم منشأة بعينها من تفاصيل في سجلاتها، يُنصح بالرجوع إلى اللوائح واستشارة محامٍ متخصص في حماية البيانات الشخصية والأنظمة التقنية.
مثال عملي
متجر إلكتروني في جدة يجمع أسماء عملائه وعناوينهم وأرقام جوالاتهم، ويرسلها إلى شركة شحن لتوصيل الطلبات. يجب أن يحتفظ المتجر بسجل يبيّن بيانات الاتصال الخاصة به، وأن الغرض هو تنفيذ الطلبات وتوصيلها، وأن الفئة المعنية هي العملاء، وأن شركة الشحن جهة يُفصح لها عن البيانات، وهل تُنقل البيانات خارج المملكة أم لا، والمدة المتوقعة للاحتفاظ بها. وإذا طلبت الجهة المختصة هذا السجل وجب أن يكون متاحًا لها.
شرح استرشادي لا يغني عن استشارة محامٍ في حالتك.
محامو القضايا التجارية والشركات: اسأل محاميًا مختصًا عن حالتك
صف حالتك باختصار وسنرشّح لك محاميًا مختصًا في هذا النظام
محامو القضايا التجارية والشركات
محامون يتولّون هذا النوع من القضايا
- العمالية
- المدنية والتعويضات
- العمالية
- التجارية والشركات
أسئلة شائعة عن المادة 31 من نظام حماية البيانات الشخصية
ما المدة التي يجب الاحتفاظ فيها بسجلات معالجة البيانات الشخصية؟
لم تحدد المادة مدة معينة، وإنما أحالت إلى اللوائح لتحديدها بحسب طبيعة النشاط الذي تمارسه جهة التحكم.
ما البيانات التي يجب أن يتضمنها سجل معالجة البيانات؟
حد أدنى يشمل: تفاصيل الاتصال بجهة التحكم، والغرض من المعالجة، ووصف فئات أصحاب البيانات، والجهات التي يُفصح لها عن البيانات، وما إذا كانت ستُنقل خارج المملكة، والمدة المتوقعة للاحتفاظ بها.
لمن تُقدَّم سجلات معالجة البيانات؟
تحتفظ بها جهة التحكم لتكون متاحة للجهة المختصة عندما تطلبها.
مواد تشير إليها هذه المادة
مواد أخرى عن التزامات جهة التحكم
- المادة 8عُدّلت بموجب م/148
تلزم المادة جهة التحكم باختيار جهة معالجة توفر الضمانات اللازمة لتنفيذ النظام واللوائح والتحقق من التزامها، دون أن يخل ذلك بمسؤولياتها.
مع مراعاة ما ينص عليه النظام واللوائح في شأن الإفصاح عن البيانات الشخصية، على جهة التحكم عند اختيارها جهة المعالجة أن تلتزم باختيار الجهة التي توفر الضمانات الل
- المادة 10عُدّلت بموجب م/148
الأصل أن تُجمع البيانات الشخصية من صاحبها مباشرة وتُعالج للغرض الذي جمعت له، مع سبع حالات يجوز فيها الجمع من غيره أو المعالجة لغرض آخر.
لا يجوز لجهة التحكم جمع البيانات الشخصية إلا من صاحبها مباشرةً، ولا تجوز مُعالجة تلك البيانات إلا لتحقيق الغرض الذي جُمعت من أجله. ومع ذلك، يجوز لجهة التحكم جمع
- المادة 11عُدّلت بموجب م/148
تشترط المادة أن يرتبط غرض جمع البيانات بأغراض جهة التحكم، وأن تكون وسائله نظامية وواضحة وآمنة، وأن يقتصر المحتوى على الحد الأدنى اللازم.
1- يجب أن يكون الغرض من جمع البيانات الشخصية ذا علاقة مُباشرة بأغراض جهة التحكم، وألاَّ يتعارض مع أي حكم مقرر نظاماً. 2- يجب ألاَّ تتعارض طُرق جمع البيانات الشخ
- المادة 12عُدّلت بموجب م/148
تلزم المادة جهة التحكم باعتماد سياسة خصوصية متاحة لأصحاب البيانات عند جمع بياناتهم، وتحدد العناصر التي يجب أن تشتمل عليها.
على جهة التحكم أن تعتمد سياسة للخصوصية، وأن تجعلها متاحة لأصحاب البيانات الشخصية ليطلعوا عليها عند جمع بياناتهم. على أن تشتمل تلك السياسة على تحديد الغرض من جمع
- المادة 13عُدّلت بموجب م/148
تلزم المادة جهة التحكم عند جمع البيانات من صاحبها مباشرة بإحاطته بسبعة عناصر، منها المسوغ النظامي والغرض وهوية الجامع والجهات التي ستفصح لها البيانات.
على جهة التحكم، في حالة جمع البيانات الشخصية من صاحبها مباشرةً، اتخاذ الوسائل الكافية لإحاطته علماً بالعناصر الآتية عند جمع بياناته: 1- المسوغ النظامي لجمع بيان
- المادة 14
لا يجوز لجهة التحكم معالجة البيانات الشخصية دون خطوات كافية للتحقق من دقتها واكتمالها وحداثتها وارتباطها بالغرض الذي جمعت من أجله.
لا يجوز لجهة التحكم أن تعالج البيانات الشخصية دون اتخاذ خطوات كافية للتحقق من دقتها واكتمالها وحداثتها وارتباطها بالغرض الذي جُمعت من أجله وفقاً لأحكام النظام.
النصوص منقولة من الموقع الرسمي لهيئة الخبراء بمجلس الوزراء لأغراض الاطلاع، والمرجع عند الاختلاف هو النص المنشور رسميًا. المحتوى لا يُعدّ استشارة قانونية.

