Competent Authority and Supervision of Application in the Saudi Personal Data Protection Law

The article makes the competent authority the supervisor of the Law and the regulations without prejudice to the Central Bank's powers, and regulates the data protection officer and the supervisory and delegation powers.

1- مع عدم الإخلال بأحكام النظام، وما للبنك المركزي السعودي من صلاحيات وفقاً لما تقضي به النصوص النظامية ذات العلاقة، تكون الجهة المختصة الجهة المشرفة عل تطبيق أحكام النظام واللوائح. 2- تحدد اللوائح الأحوال التي يجب فيها على جهة التحكم تعيين أو تحديد شخص (أو أكثر) يتولى دور مسؤول حماية البيانات الشخصية، وتبيّن اللوائح…

The article gives the competent authority the power to set requirements for data protection activities, license accreditation and audit bodies, and monitor compliance by bodies outside the Kingdom.

1- تضع الجهة المختصة اشتراطات ممارسة الأنشطة التجارية أو المهنية أو غير الربحية المرتبطة بحماية البيانات الشخصية في المملكة، بالتنسيق مع الجهات المعنية، وبما لا يخل بما تضعه تلك الجهات من اشتراطات أخرى بحسب اختصاصاتها. 2- للجهة المختصة الترخيص لجهات تتولى إصدار شهادات اعتماد لجهة التحكم وجهة المعالجة. وتضع الجهة…

The article tasks the head of the competent authority with issuing the regulations of the Law within no more than 720 days of its issuance, after coordinating with seven government bodies, each as it concerns them.

يصدر رئيس الجهة المختصة اللوائح، وذلك في مدة لا تتجاوز (سبعمائة وعشرين) يوماً من تاريخ صدور النظام، على أن يُنسِّق -قبل إصدارها- مع: (وزارة الاتصالات وتقنية المعلومات، ووزارة الخارجية، وهيئة الاتصالات والفضاء والتقنية، وهيئة الحكومة الرقمية، والهيئة الوطنية للأمن السيبراني، والمجلس الصحي السعودي، والبنك المركزي…

The article provides that the Personal Data Protection Law takes effect 720 days after its publication in the Official Gazette.

يُعمل بالنظام بعد (سبعمائة وعشرين) يوماً من التاريخ الذي نشر به في الجريدة الرسمية.

The article requires the controller to notify the competent authority when it learns of a leak, damage or unlawful access to data, and to notify the data subject if that may harm them.

1- تشعر جهة التحكم الجهة المختصة عند علمها بحدوث تسرب لبيانات شخصية أو تلفها أو وصول غير مشروع إليها؛ وفقاً لما تحدده اللوائح. 2- تشعر جهة التحكم صاحب البيانات الشخصية إذا كان من شأن حدوث تسرب لبيانات شخصية أو تلفها أو وصول غير مشروع إليها أن يرتب ضرراً على بياناته أو يتعارض مع حقوقه أو مصالحه؛ وفقاً لما تحدده اللوائح

The article requires a controller to keep records of its personal data processing activities for a period set by the regulations, available to the competent authority on request, and sets their minimum content.

دون إخلال بما ورد في المادة (الثامنة عشرة) من النظام، تحتفظ جهة التحكم بسجلات لمدة تحددها اللوائح لأنشطة معالجة البيانات الشخصية بحسب طبيعة النشاط الذي تمارسه جهة التحكم؛ لتكون متاحة عندما تطلبها الجهة المختصة. على أن تشمل السجلات حدًّا أدنى من البيانات الآتية: 1- تفاصيل الاتصال الخاصة بجهة التحكم. 2- الغرض من معالجة…

The article gives the data subject the right to submit to the competent authority any complaint arising from the application of the Law and its regulations, and refers the rules for handling complaints to the regulations.

يجوز لصاحب البيانات الشخصية التقدم إلى الجهة المختصة بأي شكوى ناشئة من تطبيق النظام واللوائح. وتحدد اللوائح ضوابط معالجة الجهة المختصة للشكاوى التي يقدمها صاحب البيانات الشخصية الناشئة من تطبيق النظام واللوائح.

The article specifies who handles the detection of and inspection for violations of the Law and regulations, allows them to use criminal investigation bodies, and gives the competent authority the right to seize the means of the violation until it is decided.

1- يتولى الموظفون أو العاملون -الذين يصدر بتسميتهم قرار من رئيس الجهة المختصة- صلاحيات الضبط والتفتيش المتعلقة بالمخالفات المنصوص عليها في النظام أو اللوائح. ويُصدر رئيس الجهة المختصة قواعد وإجراءات عملهم بما يتفق مع النصوص النظامية ذات الصلة. 2- للموظفين أو العاملين -المنصوص عليهم في الفقرة (1) من هذه المادة-…