In force Last amended 5/9/1444 AH
Saudi Personal Data Protection Law
نظام حماية البيانات الشخصية
The Personal Data Protection Law of Saudi Arabia. This page presents the official Arabic text of each article with plain-English explanations for residents and businesses.
- Articles
- 43
- In force
- 42
- Amended
- 24
- Issued
- 9/2/1443 AH
Issued by: مرسوم ملكي رقم (م/19) وتاريخ 1443/2/9هـ · قرار مجلس الوزراء رقم (98) وتاريخ 1443/2/7هـ
Each article shows the official Arabic text, which is the only legally binding version, followed by our plain-English explanation.
Browse Personal Data Protection Law by topic
Scope of the Law and Definitions4 articlesData Subject Rights9 articlesConsent to Processing Data8 articlesController's Obligations17 articlesHealth Data and Marketing4 articlesTransferring Data Outside the Kingdom1 articleCompetent Authority and Supervision of Application8 articlesData Protection Violations and Penalties6 articles
Articles of the Saudi Personal Data Protection Law
- Article 1تحدد المادة معاني المصطلحات الأساسية في نظام حماية البيانات الشخصية، مثل البيانات الشخصية والحساسة والمعالجة والإفصاح وجهة التحكم وجهة المعالجة.Amended M/148
- Article 2يسري النظام على كل معالجة لبيانات الأفراد في المملكة، وعلى معالجة جهات خارجها لبيانات المقيمين فيها، ويُستثنى الاستخدام الشخصي أو العائلي ما لم تُنشر البيانات أو يُفصح عنها.
- Article 3لا تُخل أحكام النظام وإجراءاته بأي حكم في نظام آخر أو اتفاقية دولية تكون المملكة طرفًا فيها يمنح صاحب البيانات حقًا أو يقرر حماية أفضل لبياناته.
- Article 4تقرر المادة خمسة حقوق لصاحب البيانات الشخصية: العلم، والوصول، والحصول على نسخة مقروءة، وطلب التصحيح أو الإتمام أو التحديث، وطلب الإتلاف.Amended M/148
- Article 5لا تجوز معالجة البيانات الشخصية أو تغيير غرض معالجتها إلا بموافقة صاحبها، عدا الأحوال التي ينص عليها النظام، ويحق له الرجوع عن موافقته في أي وقت.Amended M/148
- Article 6تحدد المادة أربع حالات تجوز فيها معالجة البيانات الشخصية دون موافقة صاحبها المشار إليها في الفقرة 1 من المادة 5.Amended M/148
- Article 7لا يجوز جعل الموافقة على معالجة البيانات الشخصية شرطًا لتقديم خدمة أو منفعة، إلا إذا كانت الخدمة أو المنفعة ذات علاقة بالمعالجة التي صدرت الموافقة عليها.
- Article 8تلزم المادة جهة التحكم باختيار جهة معالجة توفر الضمانات اللازمة لتنفيذ النظام واللوائح والتحقق من التزامها، دون أن يخل ذلك بمسؤولياتها.Amended M/148
- Article 9تجيز المادة لجهة التحكم تحديد مدد لممارسة حق الوصول وتقييده في حالات معينة، وتلزمها بعدم تمكين صاحب البيانات من الوصول في الأحوال المحددة في المادة 16.Amended M/148
- Article 10الأصل أن تُجمع البيانات الشخصية من صاحبها مباشرة وتُعالج للغرض الذي جمعت له، مع سبع حالات يجوز فيها الجمع من غيره أو المعالجة لغرض آخر.Amended M/148
- Article 11تشترط المادة أن يرتبط غرض جمع البيانات بأغراض جهة التحكم، وأن تكون وسائله نظامية وواضحة وآمنة، وأن يقتصر المحتوى على الحد الأدنى اللازم.Amended M/148
- Article 12تلزم المادة جهة التحكم باعتماد سياسة خصوصية متاحة لأصحاب البيانات عند جمع بياناتهم، وتحدد العناصر التي يجب أن تشتمل عليها.Amended M/148
- Article 13تلزم المادة جهة التحكم عند جمع البيانات من صاحبها مباشرة بإحاطته بسبعة عناصر، منها المسوغ النظامي والغرض وهوية الجامع والجهات التي ستفصح لها البيانات.Amended M/148
- Article 14لا يجوز لجهة التحكم معالجة البيانات الشخصية دون خطوات كافية للتحقق من دقتها واكتمالها وحداثتها وارتباطها بالغرض الذي جمعت من أجله.
- Article 15تحظر المادة على جهة التحكم الإفصاح عن البيانات الشخصية إلا في ست حالات محددة، وتحيل إلى اللوائح أحكام الحالات من 2 إلى 6.Amended M/148
- Article 16تمنع المادة جهة التحكم من الإفصاح عن البيانات في الحالات 1 و2 و5 و6 من المادة 15 متى اتصف الإفصاح بأي من تسعة أوصاف محددة.Amended M/148
- Article 17إذا صُححت البيانات الشخصية أو أكملت أو حُدثت، فعلى جهة التحكم إشعار كل جهة انتقلت إليها البيانات بالتعديل وإتاحته لها، وتوضح اللوائح المدد والإجراءات.
- Article 18تلزم المادة جهة التحكم بإتلاف البيانات بعد انتهاء غرض جمعها دون تأخير، وتجيز الاحتفاظ بها بعد إزالة ما يحدد هوية صاحبها، وتوجبه في حالتين.Amended M/148
- Article 19تلزم المادة جهة التحكم باتخاذ الإجراءات والوسائل التنظيمية والإدارية والتقنية التي تضمن المحافظة على البيانات الشخصية، بما في ذلك عند نقلها، وفق اللوائح.
- Article 20تلزم المادة جهة التحكم بإشعار الجهة المختصة عند علمها بتسرب البيانات أو تلفها أو الوصول غير المشروع إليها، وبإشعار صاحب البيانات إذا كان ذلك قد يضره.Amended M/148
- Article 21تلزم المادة جهة التحكم بالاستجابة لطلبات صاحب البيانات المتعلقة بحقوقه في النظام خلال مدة محددة وعبر وسيلة مناسبة، وتحدد اللوائح المدة والوسيلة.
- Article 22تلزم المادة جهة التحكم بتقويم الآثار المترتبة على معالجة البيانات الشخصية لأي منتج أو خدمة تقدم للعموم بحسب طبيعة نشاطها، وتحيل التفاصيل إلى اللوائح.
- Article 23تحيل المادة إلى اللوائح وضع ضوابط إضافية لمعالجة البيانات الصحية، على أن تقصر الاطلاع عليها ومعالجتها على أقل عدد ممكن من الموظفين.
- Article 24تحيل المادة إلى اللوائح وضع ضوابط إضافية لمعالجة البيانات الائتمانية، تشمل التحقق من الموافقة الصريحة وإشعار صاحب البيانات عند طلب الإفصاح عنها.Amended M/148
- Article 25لا يجوز لجهة التحكم استخدام وسائل الاتصال الشخصية لإرسال مواد دعائية أو توعوية إلا بموافقة المتلقي وتوفير آلية واضحة لإيقافها، عدا المواد التوعوية من الجهات العامة.
- Article 26تجوز معالجة البيانات الشخصية غير الحساسة لأغراض تسويقية إذا جُمعت من صاحبها مباشرة ووافق على ذلك وفق النظام، وتحدد اللوائح الضوابط.
- Article 27تجيز المادة جمع البيانات الشخصية أو معالجتها لأغراض علمية أو بحثية أو إحصائية دون موافقة صاحبها في ثلاث حالات، وتحيل الضوابط إلى اللوائح.
- Article 28تمنع المادة تصوير الوثائق الرسمية التي تحدد هوية صاحب البيانات أو نسخها، إلا تنفيذًا لأحكام نظام أو بطلب جهة عامة مختصة وفق اللوائح.
- Article 29تجيز المادة نقل البيانات الشخصية خارج المملكة أو الإفصاح عنها لجهة خارجها لأغراض محددة وبشروط، مع استثناء حالات الضرورة القصوى من الشروط.Amended M/148
- Article 30تجعل المادة الجهة المختصة مشرفة على تطبيق النظام واللوائح دون إخلال بصلاحيات البنك المركزي، وتنظم مسؤول حماية البيانات وصلاحيات الإشراف والتفويض.Amended M/148
- Article 31تُلزم المادة جهة التحكم بالاحتفاظ بسجلات لأنشطة معالجة البيانات الشخصية لمدة تحددها اللوائح، لتكون متاحة للجهة المختصة عند طلبها، وتحدد الحد الأدنى لمحتواها.
- Article 321- تقوم الجهة المختصة بإنشاء بوابة إلكترونية لغرض بناء سجل وطني عن جهات التحكم، تهدف إلى مراقبة ومتابعة التزام تلك الجهات بأحكام النظام…Repealed
- Article 33تمنح المادة الجهة المختصة صلاحية وضع اشتراطات الأنشطة المرتبطة بحماية البيانات، والترخيص لجهات الاعتماد والتدقيق، ومتابعة التزام الجهات خارج المملكة.Amended M/148
- Article 34تمنح المادة صاحب البيانات الشخصية حق تقديم أي شكوى ناشئة عن تطبيق النظام ولوائحه إلى الجهة المختصة، وتحيل ضوابط معالجة الشكاوى إلى اللوائح.
- Article 35تعاقب المادة بالسجن حتى سنتين وبغرامة حتى 3 ملايين ريال أو بإحداهما من أفصح عن بيانات حساسة أو نشرها مخالفًا النظام بقصد الإضرار أو المنفعة الشخصية.Amended M/148
- Article 36تعاقب المادة بالإنذار أو بغرامة حتى 5 ملايين ريال كل شخص طبيعي أو اعتباري خاص خالف النظام أو اللوائح، عبر لجنة يُتظلم من قرارها أمام المحكمة المختصة.Amended M/148
- Article 37تحدد المادة من يتولى ضبط مخالفات النظام واللوائح والتفتيش عليها، وتجيز لهم الاستعانة بجهات الضبط الجنائي، وتمنح الجهة المختصة حق حجز وسائل المخالفة حتى البت فيها.Amended M/148
- Article 38تجيز المادة للمحكمة مصادرة الأموال المتحصلة من مخالفات النظام دون إخلال بحقوق الغير حسن النية، ونشر ملخص الحكم أو القرار على نفقة المخالف بعد صيرورته نهائيًا.
- Article 39تُلزم المادة الجهة العامة بمساءلة أي من منسوبيها تأديبيًا إذا خالف النظام أو اللوائح، دون إخلال بالمادة 35 والفقرة 1 من المادة 36.
- Article 40تمنح المادة كل من لحقه ضرر بسبب مخالفة النظام أو اللوائح حق المطالبة أمام المحكمة المختصة بتعويض عن الضرر المادي أو المعنوي يتناسب مع حجمه.
- Article 41تُلزم المادة كل من باشر عملًا من أعمال معالجة البيانات الشخصية بالمحافظة على أسرارها، ويستمر الالتزام حتى بعد انتهاء علاقته الوظيفية أو التعاقدية.
- Article 42تكلّف المادة رئيس الجهة المختصة بإصدار لوائح النظام خلال مدة لا تتجاوز 720 يومًا من تاريخ صدوره، بعد التنسيق مع سبع جهات حكومية كلٌّ فيما يخصه.Amended M/148
- Article 43تنص المادة على أن العمل بنظام حماية البيانات الشخصية يبدأ بعد 720 يومًا من تاريخ نشره في الجريدة الرسمية.Amended M/148