وفقــا لتنظيــم هيئــة الاتصــالات وتقنيــة المعلومــات، وإلــى نظــام الاتصــالات وتقنية المعلومات الصادر بقرار مجلس الوزراء رقم (592) وتاريخ 1443/11/1هـ ولائحتــه التنفيذيـة، واسـتنادا إلــى قــرار الهيئــة بالرقــم (416) وتاريــخ 12/ 9/ 1441 هــ ، باعتمــاد إجراءات إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية للمستخدمين أو مشاركة البيانات الشخصية، أعدت الهيئة وثيقة ”دليـل تقييـم مخاطـر الخصوصيـة لمقدمـي خدمـات الاتصـالات وتقنية المعلومــات“.

تهــدف هــذه الوثيقــة إلــى تقديــم إرشــادات حــول عمليــة تقييــم مخاطــر الخصوصيــة فــي الخدمــات والمنتجــات لمقدمــي خدمــات الاتصــالات وتقنيــة المعلومــات، وذلــك لتوضيــح عمليــة تقييــم مخاطــر الخصوصيــة ومــا تحتــوي عليــه بشــكل أساســي لمقدمــي الخدمــة لاستيفاء متطلبــات الخصوصيــة المعتمــدة.

وعمليــة تقييــم مخاطــر الخصوصيــة هــي المتطلــب الأساســي المطلــوب مــن مقدمــي الخدمـة عنـد إطلاق خدمـات أو منتجـات معتمـدة علـى البيانـات الشـخصية للمسـتخدمين أو مشـاركة البيانـات الشـخصية، حسـب وثيقـة ”إجراءات إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية“ وتعــد هــذه إلارشــادات مرجــع إرشــادي غيــر شــامل، حيــث توضــح الحــد الأدنــى المناســب لاستيفاء متطلبــات التنظيمــات ذات العلاقــة فيمــا يتعلــق بتنفيــذ عمليــة تقييــم مخاطــر الخصوصيــة.

المصطلحــات الــواردة فــي هــذا الوثيقــة، ينطبــق عليهــا التعاريــف الــواردة فــي ”إجراءات إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية للمستخدمين أو مشاركة البيانات الشخصية“

تتمحــور عمليــة تقييــم مخاطــر الخصوصيــة؛ حــول تحديــد المخاطــر المحتملــة عنــد اجــراء عمليــات معالجـة البيانـات الشـخصية وإعـداد آليـة لمعالجـة هـذه المخاطـر وتقليلهـا؛ وتتضمـن العمليـة عـدة جوانـب، يتـم أخذهـا بعيـن الاعتبار، منهـا، مخاطـر عـدم الالتـزام بالأنظمـة أو التشـريعات ذات العلاقـة بالخصوصيــة، وحقــوق أصحــاب البيانــات الشــخصية، واحتماليــة التأثيــر الســلبي علــى الأشــخاص أو المجتمــع بشــكل عــام.

• وتجــدر الإشــارة بــأن عمليــة تقييــم مخاطــر الخصوصيــة، عمليــة مســتمرة، حيــث يتــم بشــكل مســتمر مراجعـة التقييـم والتأكـد مـن حداثتـه وشـموليته، ومراعـاة كافـة المسـتجدات فـي جميـع الخطـوات، وانعكاسـها علـى نتائـج التقييـم ومناسـبة القـرارات المتخـذة حيالـه، ويشـمل ذلـك التأكـد مـن التالـي:

  • 1.  حداثــة معلومــات طبيعــة المعالجــة ونطاقهــا والغــرض ومســوغاتها، وضــرورة وتناســب المعالجــة.

  • 2 . تغطية جميع المخاطر ذات العلاقة بآلية المعالجة المرتبطة بالبيانات الشخصية.

  • 3 . الالتــزام بالأنظمــة والتشــريعات الصــادرة مــن الهيئــة او الجهــات الأخــرى ذات العلاقــة بالخصوصيــة . 

لايوجـد حاجـة لإجـراء عمليـة تقييـم مخاطـر الخصوصيـة بالكامـل حسـب الحـالات المذكـورة فـي وثيقـة ”معاييـر تحديـد مـدى الحاجـة للقيـام بعمليـة تقييـم مخاطـر الخصوصيـة“.

وفــي حــال عــدم الحاجــة فإنــه يكتفــى بتحديــد المعلومــات الاساســية كالغــرض والمسـوغ وتقييــم الضـرورة والتناسـب لنطـاق وطبيعـة المعالجـة، وذكـر الخدمـة المشـابهة، وذلـك فـي نمـوذج الإشـعار الموجـود فـي ملحـق (2) ويرفـع للهيئـة.

• يتـم تحديـد الغـرض مـن معالجـة البيانـات الشـخصية، ويشـمل ذلـك توضيـح المصلحـة المتحققـة مـن تنفيــذ عمليــات المعالجــة والفائــدة المتوقــع تحققهــا لأصحــاب البيانــات وللمجتمــع ككل، وتختلــف الجهـة المسـؤولة عـن تحديـد الغـرض حسـب التالـي:

  •  يتم تحديد الغرض من قبل مقدم الخدمة في الحالات التالية:

    • - إطلاق خدمات أو منتجات قائمة على البيانات الشخصية

    • -  مشاركة البيانات الشخصية مع جهة تقوم بالمعالجة نيابة عن مقدم الخدمة لأغراضه.

• بينمــا يتــم تحديــد الغــرض مــن قبــل الجهــة طالبــة البيانــات فــي حالــة مشــاركة البيانــات الشــخصية مــع جهــة لأغــراض تحددهــا تلــك الجهــة

• الجهة التي تحدد الغرض هي الجهة التي تتحقق لها المصلحة من معالجة البيانات، وتعـد الجهـة المعنية بشكل أساسي بتقييم مخاطـر الخصوصية واستيفاء متطلبات الخصوصية

يتــم توضيــح المســوغ النظامــي لمعالجــة البيانــات، إمــا بموافقــة صاحــب البيانــات علــى الغــرض المحــدد، أو وجــود أســس نظاميــة أخــرى مســتثناة مــن الموافقــة.

• يتــم تحديــد نطــاق البيانــات الشــخصية التــي ســيتم معالجتهــا، ونطــاق المعالجــة، وتقييــم مــدى الحاجــة لهــا، أو اســتبعادها إن اتضــح عــدم الحاجــة لهــا؛ ومــن ذلــك، يتــم تحديــد: 

  • - طبيعــة أصحــاب البيانــات: علــى ســبيل المثــال: (النطــاق العمــري، وجــود فئــات حساســة كالأشــخاص ذوي الإعاقــة، أو الضعفــاء، أو الأطفــال)

  • - الأنظمــة المتعلقــة بالبيانــات الشــخصية والمعتمــدة عليهــا، ســواء أكانــت تلــك الأنظمــة  (برامـج، او شـبكات، أو اشـخاص، أو غيرهــا).

  • - الطبيعــة العامــة للبيانــات الشــخصية، علــى ســبيل المثــال: (رقميــة، ورقيــة، مُجمعــة، موزعة).

  • - حجــم البيانــات الشــخصية: علــى ســبيل المثــال: (عــدد الأشــخاص، عدد السـجلات، المحيـط الجغرافي). 

  • - المــدة المتوقعــة لمعالجــة البيانــات الشــخصية.

  • - وتيــرة وعمــق عمليــات المعالجــة البيانــات الشــخصية.

يتــم تقييــم مــدى ضــرورة المعالجــة لتحقيــق الغــرض وعلاقتــه بهــا، وتناســبها مــع الفائــدة المرجـوة مـن عمليـات المعالجـة، أخـذا بالاعتبـار نطاقهـا وطبيعتهـا، ودراسـة الطـرق الأخـرى  البديلـة الممكنـة لتحقيـق الغـرض دون اللجـوء لمعالجـة بيانـات شـخصية.