المادة الثانية
1- مع مراعاة أحكام النظام ولوائحه، يجوز لجهة التحكم نقل البيانات الشخصية أو الإفصاح عنها لجهة خارج المملكة، ما لم يؤثر هذا النقل أو الإفصاح على الأمن الوطني أو مصالح المملكة الحيوية أو كان النقل أو الإفصاح مخالفا لنظام آخر في المملكة.
2- على جهة التحكم قصر نقل البيانات الشخصية خارج المملكة أو الإفصاح عنها لجهة خارج المملكة على الحد الأدنى اللازم لتحقيق الغرض من عملية النقل أو الإفصاح، ويتم تحديد ذلك من خلال استخدام أي وسائل ملائمة، بما في ذلك مخططات البيانات التي تبين الحاجة إلى نقل كل بيان أو الإفصاح عنه وربط ذلك بكل هدف من أهداف المعالجة خارج المملكة.
3- على جهة التحكم عند نقل البيانات الشخصية أو الإفصاح عنها لجهة خارج المملكة التأكد من أن ذلك لن يؤثر على خصوصية أصحاب البيانات الشخصية أو مستوى الحماية المكفول للبيانات الشخصية وفق النظام ولوائحه، وذلك من خلال التأكد من أن عملية النقل أو الإفصاح لن تخل -كحد أدنى- بأي مما يلي:
أ- قدرة صاحب البيانات الشخصية على ممارسة حقوقه المكفولة في النظام.
ب- قدرة صاحب البيانات الشخصية على العدول عن موافقته على عملية المعالجة.
ج- قدرة جهة التحكم على الالتزام بمتطلبات الإشعار عن حوادث تسرب البيانات الشخصية.
د- قدرة جهة التحكم على الالتزام بأحكام وضوابط وإجراءات الإفصاح عن البيانات الشخصية.
ه- قدرة جهة التحكم على الالتزام بأحكام وضوابط إتلاف البيانات الشخصية.
و- قدرة جهة التحكم على اتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لضمان أمن البيانات الشخصية.
4- يجوز لجهة التحكم نقل البيانات الشخصية خارج المملكة أو الإفصاح عنها لجهة خارج المملكة وفقا للأغراض المنصوص عليها في الفقرة (1) من المادة (التاسعة والعشرون) من النظام، إضافة إلى الأغراض الآتية:
أ- إجراء العمليات التشغيلية للمعالجة لتمكين جهة التحكم من ممارسة أنشطتها، بما يشمل عمليات الإدارة المركزية.
ب- تقديم خدمة أو منفعة لصاحب البيانات الشخصية.
ج- إجراء البحوث والدراسات العلمية.