المادة الثالثة والعشرون من نظام حماية البيانات الشخصية

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة السادسة والعشرون: معالجة البيانات الصحية

على جهة التحكم اتخاذ الإجراءات والوسائل التنظيمية والتقنية والفنية والإدارية الكفيلة بالمحافظة على البيانات الصحية من أي استعمال غير مشروع، أو من إساءة استخدامها، أو استخدامها لغير الغرض الذي جمعت من أجله، أو تسربها، وأي إجراءات أو وسائل تضمن المحافظة على خصوصية أصحابها، وعليها بصفة خاصة اتخاذ الضوابط والإجراءات الآتية:

1- تبني وتطبيق الاشتراطات والضوابط الصادرة عن وزارة الصحة والمجلس الصحي السعودي والبنك المركزي السعودي ومجلس الضمان الصحي والجهات الأخرى ذوات العلاقة بتنظيم الخدمات الصحية وخدمات التأمين الصحي، والتي تبين مهام ومسؤوليات منسوبي مقدمي الرعاية الصحية، وشركات التأمين الصحي، وشركات إدارة مطالبات التأمين الصحي ومن تتعاقد معهم ممن يباشرون عمليات معالجة البيانات الصحية.

2- تضمين الأحكام الواردة في النظام ولوائحه في السياسات الداخلية لدى جهة التحكم.

3- توزيع المهام والمسؤوليات بين الموظفين أو العاملين بطريقة تحول دون تداخل الاختصاصات وتشتيت المسؤولية ومراعاة تدرج إمكانية الوصول إلى البيانات بين الموظفين أو العاملين بما يكفل أعلى درجة من المحافظة على خصوصية أصحاب البيانات الشخصية.

4- توثيق كافة مراحل معالجة البيانات الصحية وتوفير إمكانية تحديد الشخص المسؤول عن كل مرحلة منها.

5- أن يتضمن اتفاق جهة التحكم مع جهات المعالجة -لتنفيذ أعمال أو مهام تتعلق بمعالجة البيانات الصحية

-أحكاما تلزمها باتباع الإجراءات والوسائل المنصوص عليها في هذه المادة.

6- قصر عمليات معالجة البيانات على الحد الأدنى اللازم لتقديم خدمات أو منتجات الرعاية الصحية، أو برامج التأمين الصحي.