المادة العاشرة من نظام حماية البيانات الشخصية

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة الخامسة عشرة: جمع البيانات من غير صاحبها مباشرة

1- فيما عدا ما ورد في الفقرة (3) من المادة (العاشرة) من النظام، على جهة التحكم عند معالجة البيانات الشخصية من غير صاحبها مباشرة، مراعاة ما يأتي:

أ- أن تكون المعالجة ضرورية ومتناسبة مع الغرض المحدد.

ب- ألا تؤثر على حقوق ومصالح صاحب البيانات الشخصية.

2- على جهة التحكم عند معالجتها للبيانات الشخصية وفقا للفقرة (2) من المادة (العاشرة) من النظام، مراعاة أن يكون جمعها من مصدر متاح للعموم قد تم بشكل نظامي.

3- على جهة التحكم عند معالجتها للبيانات الشخصية وفقا للفقرة (6) من المادة (العاشرة) من النظام، مراعاة ما ورد في المادة (التاسعة) من هذه اللائحة في شأن إخفاء الهوية.

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة السادسة عشرة: المعالجة لأغراض المصلحة المشروعة

1- فيما عدا الأحوال التي تكون فيها جهة التحكم جهة عامة، لجهة التحكم معالجة البيانات الشخصية لتحقيق مصلحة مشروعة يتوفر فيها ما يلي:

أ- ألا يكون الغرض مخالفا لأي من الأنظمة في المملكة.

ب- الموازنة بين حقوق ومصالح صاحب البيانات الشخصية والمصلحة المشروعة لجهة التحكم، بحيث لا تؤثر مصالح جهة التحكم على حقوق ومصالح صاحب البيانات الشخصية.

ج- ألا تتضمن المعالجة بيانات حساسة.

د- أن تكون المعالجة ضمن التوقعات المعقولة لصاحب البيانات الشخصية.

2- يعد من المصالح المشروعة كشف عمليات الاحتيال وحماية أمن الشبكة والمعلومات، وغير ذلك من المصالح المشروعة التي يتحقق فيها ما ورد في الفقرة (1) من هذه المادة.

3- وفقا لأحكام الفقرة (4) من المادة (السادسة) من النظام، على جهة التحكم قبل معالجة البيانات الشخصية لمصلحة مشروعة إجراء وتوثيق تقويم للمعالجة المقترحة وأثرها على حقوق ومصالح أصحاب البيانات الشخصية، على أن يتضمن التقويم على وجه التحديد ما يلي:

أ- تحديد المعالجة المقترحة وأغراضها، ونوع البيانات وفئات أصحاب البيانات الشخصية.

ب- تقويم الغرض من خلال التأكد من مشروعيته وعدم مخالفته لأي من الأنظمة في المملكة.

ج- التحقق من أن معالجة البيانات الشخصية ضرورية لتحقيق الغرض المشروع لدى جهة التحكم.

د- تقويم ما إذا كانت المعالجة المقترحة سترتب أي ضرر على مصالح أصحاب البيانات الشخصية أو قدرتهم على ممارسة حقوقهم المقررة نظاما.

ه- تقويم ما إذا كانت هناك أي تدابير يتطلب اتخاذها لتجنب المخاطر أو الأضرار المحتملة، وذلك وفقا لما نصت عليه الفقرة (2) من المادة (الخامسة والعشرون) من هذه اللائحة.

4- إذا أظهر التقويم المبين بالفقرة (3) من هذه المادة أن المعالجة المقترحة ستؤدي بأي شكل من الأشكال إلى مخالفة أي من الأنظمة أو المساس بحقوق ومصالح أصحاب البيانات الشخصية أو ترتيب أي ضرر عليهم أو على أي طرف آخر، فيكون على جهة التحكم تعديل المعالجة المقترحة وإجراء تقويم جديد، أو النظر في الاعتماد على مسوغ نظامي آخر.

وترد أيضاً تحت المادة (6) من النظام.

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة السابعة عشرة: اختيار جهة المعالجة

1- على جهة التحكم عند اختيار جهة المعالجة الالتزام باختيار جهة معالجة تقدم ضمانات كافية لحماية البيانات الشخصية، وأن يتضمن الاتفاق مع جهة المعالجة ما يلي:

أ- غرض المعالجة.

ب- فئات البيانات الشخصية المعالجة.

ج- المدة الزمنية للمعالجة.

د- التزام جهة المعالجة بإشعار جهة التحكم في حال تسرب البيانات الشخصية، وذلك وفقا لأحكام النظام وهذه اللائحة ودون تأخر غير مبرر.

ه- توضيح ما إذا كانت جهة المعالجة تخضع لأنظمة في دول أخرى، وأثر ذلك على التزامها بأحكام النظام ولوائحه.

و- عدم اشتراط حصول جهة المعالجة على موافقة مسبقة من جهة التحكم على الإفصاح الوجوبي عن البيانات الشخصية بموجب الأنظمة المعمول بها في المملكة، على أن تقوم جهة المعالجة بإشعار جهة التحكم بذلك الإفصاح.

ز- تحديد جهات المعالجة الفرعية المتعاقدة مع جهة المعالجة، أو أي طرف آخر سيجري الإفصاح له عن البيانات الشخصية.

2- على جهة التحكم إصدار التعليمات لجهة المعالجة بشكل واضح، وفي حال مخالفة تعليمات جهة التحكم لأي من الأنظمة المعمول بها في المملكة، فيكون على جهة المعالجة إشعار جهة التحكم بذلك كتابة ودون تأخير.

3- تكون جهة التحكم مسؤولة عن التحقق من التزام جهة المعالجة -بشكل دوري- بإجراء عمليات المعالجة وفقا لأحكام النظام ولوائحه، وضمان استيفائها لكافة المتطلبات النظامية في هذا الشأن، سواء تمت المعالجة من قبلها أو من قبل جهة أخرى نيابة عنها، ويكون لجهة التحكم تعيين طرف آخر مستقل للمراجعة والتحقق من الالتزام نيابة عنها.

4- عند مخالفة جهة المعالجة للتعليمات الصادرة من جهة التحكم أو الاتفاق المبرم معها بشأن معالجة البيانات الشخصية، فتعد جهة المعالجة في حكم جهة التحكم وتكون مسؤولة عن مخالفة أحكام النظام.

5- يجب على جهة المعالجة قبل قيامها بأي تعاقدات لاحقة مع جهات معالجة فرعية الالتزام بالآتي:

أ- اتخاذ الضمانات الكافية للتأكد من أن تلك التعاقدات لن تؤثر على المستوى المكفول لحماية البيانات الشخصية محل المعالجة.

ب- اختيار الجهة التي توفر الضمانات اللازمة لتنفيذ أحكام النظام ولوائحه.

ج- الحصول على الموافقة المسبقة من جهة التحكم، على أن يتم إشعار جهة التحكم قبل القيام بتلك التعاقدات وتمكين جهة التحكم من الاعتراض عليها خلال مدة يتفق عليها بين جهة التحكم وجهة المعالجة.

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة الثامنة عشرة: معالجة البيانات لغرض آخر غير الذي جمعت من أجله

1- على جهة التحكم عند معالجتها البيانات الشخصية لغرض آخر غير الذي جمعت من أجله في الأحوال المنصوص عليها في المادة (العاشرة) من النظام، القيام بما يأتي:

أ- تحديد أغراض المعالجة بشكل محدد وواضح.

ب- توثيق إجراءات تحديد محتوى البيانات وفقا للأغراض المحددة، ومنها على سبيل المثال استخدام مخططات البيانات التي تبين الحاجة إلى كل بيان وربطه بكل هدف من أهداف المعالجة.

ج- اتخاذ التدابير اللازمة لضمان جمع البيانات الشخصية وفق الحد الأدنى الضروري لتحقيق الأغراض المحددة في الفقرة (ب) أعلاه.

2- فيما عدا الأحوال المنصوص عليها في الفقرة (3) من المادة (العاشرة) من النظام، على جهة التحكم عند معالجتها البيانات الشخصية لغرض آخر غير الذي جمعت من أجله في الأحوال المنصوص عليها في الفقرات (1) و(2) و(4) و(5) و(6) من المادة (العاشرة) من النظام، الالتزام بما يأتي:

أ- تحديد الغرض من المعالجة بوضوح ودقة، وتضمينه في سجلات أنشطة معالجة البيانات الشخصية.

ب- أن يقتصر الجمع والمعالجة على الحد الأدنى من البيانات الشخصية المطلوبة لتحقيق الغرض.

ج- أن يتم تحديد نوع البيانات الشخصية المراد معالجتها، والتدابير اللازمة لضمان معالجة تلك البيانات بالشكل المطلوب.