تخطَّ إلى المحتوى
رُفــوف
RUFOF
القـــــــــــــــــــــــــــــانون
الأنظمة
اللوائح
التعاميم
المصطلحات
دخول
ابدأ مجاناً
الأنظمة
اللوائح
التعاميم
المصطلحات
دخول
ابدأ مجاناً
رفوف القانون
اللوائح
اللائحة التنفيذية لنظام حماية البيانات الشخصية
اللائحة التنفيذية لنظام حماية البيانات الشخصية
ساري
المصدر:
الهيئة السعودية للبيانات والذكاء الاصطناعي
38
مادة
المادة 1
الأولى: التعريفات
تكون للكلمات والعبارات الواردة في هذه اللائحة المعاني الموضحة أمام كل منها في المادة (الأولى) من نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ…
المادة 2
الثانية: الاستخدام الشخصي أو العائلي
1. لا تسري أحكام النظام ولوائحه على قيام الفرد بمعالجة البيانات الشخصية لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي. 2. يقصد بالاستخدام الشخصي أو العائلي المنصوص عليه…
المادة 3
الثالثة: الأحكام العامة لحقوق أصحاب البيانات الشخصية
1. على جهة التحكم عند تلقيها طلباً من صاحب البيانات الشخصية يتعلق بحقوقه المنصوص عليها في النظام القيام بما يلي: أ-تنفيذ طلبات ممارسة الحقوق المنصوص عليها في النظام خلال…
المادة 4
الرابعة: الحق في العلم
1. في حال تم جمع البيانات الشخصية من صاحبها مباشرةً، يجب على جهة التحكم قبل أو عند جمع البيانات اتخاذ التدابير اللازمة لإبلاغ صاحب البيانات الشخصية بالآتي: أ-الاسم…
المادة 5
الخامسة: الحق في الوصول إلى البيانات الشخصية
1. دون الإخلال بأحكام المادة (التاسعة) والمادة (السادسة عشرة) من النظام، يكون لصاحب البيانات الشخصية حق الوصول إلى بياناته الشخصية المتوافرة لدى جهة التحكم مع مراعاة ما…
المادة 6
السادسة: الحق في طلب الحصول على البيانات الشخصية
مع مراعاة أحكام المادة (الرابعة) من النظام يكون لصاحب البيانات الشخصية الحق في طلب الحصول على نسخة من بياناته الشخصية بصيغة مقروءة وواضحة، مع مراعاة ما يلي: 1. ألا تؤثر…
المادة 7
السابعة: الحق في طلب تصحيح البيانات الشخصية
1. يجوز لصاحب البيانات الشخصية في حال عدم صحة بياناته الشخصية المتوافرة لدى جهة التحكم أن يطلب تقييد معالجة بياناته لمدة يمكن لجهة التحكم خلالها التحقق من صحة البيانات…
المادة 8
الثامنة: الحق في طلب إتلاف البيانات الشخصية
1. على جهة التحكم إتلاف البيانات الشخصية في أي من الأحوال الآتية: أ-تنفيذاً لطلب صاحب البيانات الشخصية. ب-إذا لم تعد البيانات الشخصية ضرورية لتحقيق الغرض الذي جمعت من…
المادة 9
التاسعة: إخفاء الهوية
1. على جهة التحكم عند إخفائها لهوية صاحب البيانات الشخصية القيام بالآتي: أ-التأكد من عدم إمكانية إعادة التعرف على هوية صاحب البيانات الشخصية بعد إخفاء هويته. ب-تقويم…
المادة 10
العاشرة: وسائل التواصل
على جهة التحكم توفير الوسائل الملائمة للاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه المنصوص عليها في النظام، ويكون لصاحب البيانات الشخصية استخدام واحدة أو أكثر…
المادة 11
الحادية عشرة: الموافقة
1. لجهة التحكم الحصول على موافقة صاحب البيانات الشخصية على معالجة بياناته بأي شكل أو وسيلة ملائمة، بما في ذلك الموافقات الكتابية أو الشفوية أو باستخدام الطرق…
المادة 12
الثانية عشرة: العدول عن الموافقة
1. لصاحب البيانات الشخصية العدول عن موافقته على معالجة بياناته الشخصية في أي وقت، وله إبلاغ جهة التحكم بذلك بأي من الوسائل المتاحة وفقاً للمادة (الرابعة) من هذه اللائحة.…
المادة 13
الثالثة عشرة: الولي الشرعي
1. مع مراعاة المتطلبات النظامية ذوات العلاقة، على الولي الشرعي لصاحب البيانات الشخصية ناقص أو عديم الأهلية أن يتصرف بما يحقق مصلحة صاحب البيانات الشخصية، وله في سبيل ذلك…
المادة 14
الرابعة عشرة: معالجة البيانات الشخصية لمصلحة متحققة
على جهة التحكم عند معالجة البيانات لتحقيق مصلحة متحققة لصاحب البيانات الاحتفاظ بما يثبت توفر تلك المصلحة وتعذر الاتصال بصاحب البيانات الشخصية أو صعوبته.
المادة 15
الخامسة عشرة: جمع البيانات من غير صاحبها مباشرة
1. فيما عدا ما ورد في الفقرة (3) من المادة (العاشرة) من النظام، على جهة التحكم عند معالجة البيانات الشخصية من غير صاحبها مباشرة، مراعاة ما يأتي: أ-أن تكون المعالجة…
المادة 16
السادسة عشرة: المعالجة لأغراض المصلحة المشروعة
1. فيما عدا الأحوال التي تكون فيها جهة التحكم جهة عامة، لجهة التحكم معالجة البيانات الشخصية لتحقيق مصلحة مشروعة يتوفر فيها ما يلي: أ-ألا يكون الغرض مخالفاً لأي من…
المادة 17
السابعة عشرة: اختيار جهة المعالجة
1. على جهة التحكم عند اختيار جهة المعالجة الالتزام باختيار جهة معالجة تقدم ضمانات كافية لحماية البيانات الشخصية، وأن يتضمن الاتفاق مع جهة المعالجة ما يلي: أ-غرض…
المادة 18
الثامنة عشرة: معالجة البيانات لغرض آخر غير الذي جمعت من أجله
1. على جهة التحكم عند معالجتها البيانات الشخصية لغرض آخر غير الذي جمعت من أجله في الأحوال المنصوص عليها في المادة (العاشرة) من النظام، القيام بما يأتي: أ-تحديد أغراض…
المادة 19
التاسعة عشرة: جمع الحد الأدنى من البيانات الشخصية
1. على جهة التحكم جمع الحد الأدنى اللازم من البيانات الشخصية لتحقيق الغرض من المعالجة، وضمان ما يلي: أ-جمع البيانات الشخصية الضرورية والمرتبطة ارتباطاً وثيقاً ومباشراً…
المادة 20
العشرون: الإفصاح عن البيانات الشخصية
1. يشترط في الإفصاح عن البيانات التي تم جمعها من مصادر متاحة للعموم بناءً على الفقرة (2) من المادة (الخامسة عشرة) من النظام ألا تكون إتاحتها للعموم قد تمت بشكل مخالف…
المادة 21
الحادية والعشرون: ضوابط معالجة البيانات الشخصية لأغراض المصلحة العامة
على الجهة العامة عند جمعها للبيانات الشخصية من غير صاحبها مباشرة أو معالجتها لغرض آخر غير الذي جمعت من أجله أو طلب الإفصاح عنها لتحقيق مصلحة عامة الالتزام بما يلي: 1.…
المادة 22
الثانية والعشرون: تصحيح البيانات الشخصية
1. يُقصد بأنواع تصحيح البيانات الشخصية المشار إليها في الفقرة (2) من المادة (السابعة عشرة) من النظام؛ تصحيح بيانات خاطئة، أو إكمال بيانات ناقصة، أو تحديث بيانات سابقة.…
المادة 23
الثالثة والعشرون: أمن المعلومات
على جهة التحكم اتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لضمان أمن البيانات الشخصية وخصوصية أصحابها، والالتزام بالآتي: 1. تطبيق التدابير الأمنية والتقنية…
المادة 24
الرابعة والعشرون: الإشعار عن حوادث تسرب البيانات الشخصية
1. تُشعر جهة التحكم الجهة المختصة في حالة وقوع حادثة تسرّب للبيانات الشخصية خلال مدة لا تتجاوز (72) ساعة من وقت علمها بالحادثة، إذا كان من شأن تلك الحادثة الإضرار…
المادة 25
الخامسة والعشرون: تقويم الأثر
1. يجب على جهة التحكم أن تعد تقويماً مكتوباً وموثقاً للآثار والمخاطر التي قد تلحق بصاحب البيانات الشخصية نتيجة معالجة البيانات الشخصية، ويتم إجراء تقويم الأثر في الأحوال…
المادة 26
السادسة والعشرون: معالجة البيانات الصحية
على جهة التحكم اتخاذ الإجراءات والوسائل التنظيمية والتقنية والفنية والإدارية الكفيلة بالمحافظة على البيانات الصحية من أي استعمال غير مشروع، أو من إساءة استخدامها، أو…
المادة 27
السابعة والعشرون: معالجة البيانات الائتمانية
مع عدم الإخلال بأحكام نظام المعلومات الائتمانية، على جهة التحكم اتخاذ الإجراءات والوسائل التنظيمية والتقنية والفنية والإدارية التي تضمن المحافظة على البيانات الائتمانية…
المادة 28
الثامنة والعشرون: معالجة البيانات لأغراض دعائية أو توعوية
1. على جهة التحكم قبل إرسال مواد دعائية أو توعوية الحصول على موافقة المتلقي المستهدف، وذلك في حال عدم وجود تعامل مسبق بين جهة التحكم والمتلقي المستهدف. 2. تكون شروط…
المادة 29
التاسعة والعشرون: التسويق المباشر
1. دون الإخلال بنظام الاتصالات وتقنية المعلومات والأنظمة الأخرى ذوات الصلة، على جهة التحكم قبل القيام بمعالجة البيانات الشخصية لأغراض التسويق المباشر الالتزام بالآتي…
المادة 30
الثلاثون: جمع ومعالجة البيانات لأغراض علمية أو بحثية أو إحصائية
على جهة التحكم عند جمع أو معالجة البيانات الشخصية لأغراض علمية أو بحثية أو إحصائية دون موافقة صاحبها الالتزام بالآتي: 1. تحديد الأغراض العلمية أو البحثية أو الإحصائية…
المادة 31
الحادية والثلاثون: تصوير أو نسخ الوثائق الرسمية التي تحدد هوية صاحبها
دون الإخلال بالأنظمة ذوات العلاقة، على جهة التحكم الامتناع عن تصوير الوثائق الرسمية -الصادرة من الجهات العامة- التي تحدد هوية صاحب البيانات الشخصية أو نسخها، إلا بناءً…
المادة 32
الثانية والثلاثون: مسؤول حماية البيانات الشخصية
1. تقوم جهة التحكم بتعيين أو تحديد شخص أو أكثر ليكون مسؤولاً عن حماية البيانات الشخصية، وذلك في أي من الحالات الآتية: أ-أن تكون جهة التحكم جهة عامة تقدم خدمات تتضمن…
المادة 33
الثالثة والثلاثون: سجلات أنشطة معالجة البيانات الشخصية
1. على جهة التحكم الاحتفاظ بسجل أنشطة معالجة البيانات الشخصية أثناء فترة استمرار عمليات معالجة البيانات الشخصية، إضافة إلى خمس سنوات تبدأ من تاريخ انتهاء نشاط معالجة…
المادة 34
الرابعة والثلاثون: السجل الوطني لجهات التحكم
تصدر الجهة المختصة قواعد التسجيل في السجل الوطني لجهات التحكم، على أن تتضمن القواعد تحديد جهات التحكم الملزمة بالتسجيل.
المادة 35
الخامسة والثلاثون: جهات منح شهادات الاعتماد
تصدر الجهة المختصة القواعد المنظمة للترخيص لجهات تتولى إصدار شهادات الاعتماد لجهات التحكم وجهات المعالجة وفق ما نصت عليه الفقرة (2) من (المادة الثالثة والثلاثون) من…
المادة 36
السادسة والثلاثون: التدقيق والفحص
1. تهدف عمليات التدقيق والفحص إلى التأكد من أن الجهة تقوم بحماية البيانات الشخصية بشكل ملائم، وذلك من خلال تدقيق وفحص أنشطة معالجة البيانات الشخصية المتبعة لدى الجهة…
المادة 37
السابعة والثلاثون: تقديم ومعالجة الشكاوى
1. لصاحب البيانات الشخصية تقديم شكوى إلى الجهة المختصة خلال مدة لا تتجاوز (90) يوماً من تاريخ الحادثة محل الشكوى أو علم صاحب البيانات الشخصية بها، وللجهة المختصة تقدير…
المادة 38
الثامنة والثلاثون: النشر والنفاذ
تنشر هذه اللائحة في الجريدة الرسمية والموقع الرسمي للجهة المختصة، ويعمل بها من تاريخ نفاذ النظام.