المادة الرابعة من نظام حماية البيانات الشخصية

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة الرابعة: الحق في العلم

1- في حال تم جمع البيانات الشخصية من صاحبها مباشرة، يجب على جهة التحكم قبل أو عند جمع البيانات اتخاذ التدابير اللازمة لإبلاغ صاحب البيانات الشخصية بالآتي:

أ- الاسم النظامي لجهة التحكم، وبيانات التواصل الخاصة بها، وأي تفاصيل أخرى تخص القنوات المنشأة من قبل جهة التحكم لغرض التواصل المرتبط بحماية البيانات الشخصية.

ب- بيانات الاتصال بمسؤول حماية البيانات الشخصية -إن وجد- المعين من قبل جهة التحكم.

ج- المسوغ النظامي والغرض من جمع ومعالجة البيانات الشخصية بصورة محددة وواضحة وصريحة.

د- مدة الاحتفاظ بالبيانات الشخصية أو معايير حساب المدة في حال تعذر تحديدها مسبقا.

ه- توضيح حقوق صاحب البيانات الشخصية، المنصوص عليها في المادة (الرابعة) من النظام وآلية ممارسة أي من تلك الحقوق.

و- توضيح كيفية العدول عن الموافقة الممنوحة لمعالجة أي من البيانات الشخصية.

ز- بيان ما إذا كان جمع أي من البيانات الشخصية أو معالجتها إلزاميا أو اختياريا.

2- لا يطبق ما ورد في الفقرة (1) من هذه المادة في حال كانت المعلومات الموضحة في الفقرات الفرعية (أ) إلى (ز) متوفرة مسبقا لصاحب البيانات الشخصية، أو إذا كان تقديم تلك المعلومات يتعارض مع أي من الأنظمة السارية في المملكة.

3- في حال تم جمع البيانات الشخصية من غير صاحبها مباشرة، على جهة التحكم عند تلقيها للبيانات الشخصية القيام -دون تأخر غير مبرر- وخلال مدة لا تتجاوز (30) يوما اتخاذ الخطوات اللازمة لإبلاغ صاحب البيانات الشخصية بما نصت عليه الفقرة (1) من هذه المادة إضافة إلى فئات البيانات الشخصية التي تتم معالجتها، والمصدر الذي تم من خلاله حصول جهة التحكم على البيانات الشخصية.

4- لا يطبق مع ما ورد في الفقرة (3) من هذه المادة في أي من الأحوال الآتية:

أ- إذا كانت المعلومات متوفرة مسبقا لصاحب البيانات الشخصية.

ب- إذا كان تنفيذ ذلك غير ممكنا أو يتطلب جهدا غير معقول.

ج- إذا كان حصول جهة التحكم على البيانات قد تم تنفيذا لنظام.

د- إذا كانت جهة التحكم جهة عامة وكان جمع البيانات الشخصية لأغراض أمنية أو لاستيفاء متطلبات قضائية، أو لتحقيق مصلحة عامة.

ه- إذا كانت البيانات الشخصية تخضع لأحكام السرية المهنية المقررة نظاما.

5- على جهات التحكم التي تتضمن أنشطتها -على نطاق واسع أو بصورة متكررة- معالجة بيانات شخصية لناقصي أو عديمي الأهلية، أو عمليات المعالجة التي تتطلب بطبيعتها مراقبة مستمرة لأصحاب البيانات الشخصية، أو معالجة بيانات شخصية باستخدام تقنيات ناشئة، أو اتخاذ قرارات مبنية على المعالجة الآلية للبيانات الشخصية؛ اتخاذ التدابير اللازمة لإبلاغ صاحب البيانات الشخصية بما نصت عليه الفقرة (1) من هذه المادة، إضافة إلى ما يلي:

أ- وسائل وطرق الجمع والمعالجة للبيانات الحساسة إن تضمنت المعالجة ذلك.

ب- الوسائل والإجراءات المتخذة لحماية البيانات الشخصية.

ج- توضيح ما إذا كان سيتم اتخاذ قرارات مبنية بشكل كامل على المعالجة الآلية للبيانات الشخصية.

6- عند قيام جهة التحكم بمعالجة إضافية للبيانات الشخصية لغرض آخر غير الذي جمعت من أجله، فيجب عليها قبل إجراء المعالجة الإضافية أن تقدم لصاحب البيانات الشخصية المعلومات اللازمة وفقا لأحكام هذه المادة.

7- يجب على جهة التحكم أن توفر المعلومات المطلوبة وفقا لما ورد في هذه المادة بلغة مناسبة إذا علمت أن صاحب البيانات الشخصية ناقص الأهلية.

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة الخامسة: الحق في الوصول إلى البيانات الشخصية

1- دون الإخلال بأحكام المادة (التاسعة) والمادة (السادسة عشرة) من النظام، يكون لصاحب البيانات الشخصية حق الوصول إلى بياناته الشخصية المتوافرة لدى جهة التحكم مع مراعاة ما يلي:

أ- ألا تؤثر ممارسة الحق في الوصول إلى البيانات الشخصية سلبا على حقوق الغير، مثل: حقوق الملكية الفكرية أو الأسرار التجارية.

ب- إتاحة الوصول إلى البيانات الشخصية بناء على طلب يقدمه صاحب البيانات الشخصية، أو وسيلة توفرها جهة التحكم لتمكين صاحب البيانات من الوصول إلى بياناته الشخصية بشكل تلقائي دون الحاجة إلى تقديم طلب.

2- على جهة التحكم عند تمكين صاحب البيانات من الوصول إلى بياناته الشخصية التأكد من أن ذلك لا يتضمن الإفصاح عن بيانات شخصية تحدد هوية فرد آخر.

وترد أيضاً تحت المادة (9) من النظام، المادة (16) من النظام.

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة السادسة: الحق في طلب الحصول على البيانات الشخصية

مع مراعاة أحكام المادة (الرابعة) من النظام يكون لصاحب البيانات الشخصية الحق في طلب الحصول على نسخة من بياناته الشخصية بصيغة مقروءة وواضحة، مع مراعاة ما يلي:

1- ألا تؤثر ممارسة الحق في الحصول على البيانات الشخصية سلبا على حقوق الغير، مثل: حقوق الملكية الفكرية أو الأسرار التجارية.

2- تقدم البيانات الشخصية إلى صاحب البيانات الشخصية بصيغة إلكترونية شائعة الاستخدام، ولصاحب البيانات الشخصية طلب نسخة مطبوعة منها متى ما كان تنفيذ ذلك ممكنا.

3- على جهة التحكم عند تمكين صاحب البيانات من الحصول على بياناته الشخصية التأكد من أن ذلك لا يتضمن الإفصاح عن بيانات شخصية تحدد هوية فرد آخر.

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة السابعة: الحق في طلب تصحيح البيانات الشخصية

1- يجوز لصاحب البيانات الشخصية في حال عدم صحة بياناته الشخصية المتوافرة لدى جهة التحكم أن يطلب تقييد معالجة بياناته لمدة يمكن لجهة التحكم خلالها التحقق من صحة البيانات الشخصية، مع مراعاة عدم سريان حق صاحب البيانات الشخصية في الحصول على التقييد المذكور إذا كان تقديم تلك البيانات يتعارض مع أحكام النظام وهذه اللائحة.

2- يكون لجهة التحكم طلب المستندات أو الوثائق الداعمة لطلب تصحيح البيانات الشخصية متى ما كان ذلك ضروريا لتحديث أو تصحيح أو إتمام البيانات الشخصية، على أن يتم إتلاف تلك المستندات أو الوثائق بعد الانتهاء من عملية التحقق.

3- على جهة التحكم بعد تصحيح البيانات الشخصية إشعار الجهات التي أفصح لها سابقا عن البيانات الشخصية دون تأخير.

اللائحة التنفيذية لنظام حماية البيانات الشخصية — المادة الثامنة: الحق في طلب إتلاف البيانات الشخصية

1- على جهة التحكم إتلاف البيانات الشخصية في أي من الأحوال الآتية:

أ- تنفيذا لطلب صاحب البيانات الشخصية.

ب- إذا لم تعد البيانات الشخصية ضرورية لتحقيق الغرض الذي جمعت من أجله.

ج- إذا عدل صاحب البيانات الشخصية عن موافقته على جمع بياناته الشخصية، وكانت الموافقة هي المسوغ النظامي الوحيد للمعالجة.

د- إذا علمت أن البيانات الشخصية تجرى معالجتها بطريقة مخالفة للنظام.

2- على جهة التحكم عند إتلافها للبيانات الشخصية القيام بالآتي:

أ- اتخاذ الإجراءات الملائمة لإشعار الجهات الأخرى التي أفصحت لها جهة التحكم عن البيانات الشخصية ذوات الصلة، وطلب إتلافها.

ب- اتخاذ الإجراءات الملائمة لإشعار الأشخاص الذين تم الإفصاح لهم عن البيانات الشخصية بأي وسيلة كانت، وطلب إتلافها.

ج- إتلاف كافة النسخ المتعلقة بالبيانات الشخصية المخزنة في أنظمة جهة التحكم، بما في ذلك النسخ الاحتياطية، على أن تراعى المتطلبات النظامية ذوات العلاقة بهذا الشأن.

3- لا يخل ما ورد في هذه المادة ما نصت عليه المادة (الثامنة عشرة) من النظام والمتطلبات النظامية التي تقرها الجهات المختصة ذوات العلاقة.

وترد أيضاً تحت المادة (18) من النظام.