تكون للكلمات والعبارات الواردة في هذه اللائحة المعاني الموضحة أمام كل منها في المادة (الأولى) من نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9 /2/ 1443هـ والمعدل بموجب المرسوم الملكي رقم (م/148) وتاريخ 5 /9/ 1444هـ، ويقصد بالألفاظ والعبارات الآتية -أينما وردت في هذه اللائحة- المعاني الموضحة أمام كل منها، ما لم يقتضِ السياق غير ذلك:

• 1- اللائحة: اللائحة التنفيذية للنظام.

• 2- التسويق المباشر: التواصل مع صاحب البيانات الشخصية بأي وسيلة مادية أو إلكترونية مباشرة بهدف توجيه مادة تسويقية، ويشمل ذلك على سبيل المثال لا الحصر الإعلانات أو العروض الترويجية.

• 3- تسرب البيانات الشخصية: أي حادثة تؤدي إلى الإفصاح عن البيانات الشخصية أو تلفها أو الوصول غير المشروع إليها، سواء كان ذلك بقصد أو بغير قصد، وبأي وسيلة كانت، سواء آلية أو يدوية.

• 4- المصلحة الحيوية: أي من المصالح الضرورية للحفاظ على حياة صاحب البيانات الشخصية.

• 5- المصلحة المتحققة: أي مصلحة معنوية أو مادية لصاحب البيانات الشخصية ترتبط بشكل مباشر بالغرض من معالجة البيانات الشخصية، وتكون المعالجة ضرورية لتحقيق تلك المصلحة.

• 6- المصلحة المشروعة: أي حاجة ضرورية لدى جهة التحكم يتطلب تحقيقها معالجة بيانات شخصية لغرض محدد، على ألا تؤثر على حقوق ومصالح صاحب البيانات الشخصية.

• 7- الترميز: تحويل المعرفات الرئيسية التي تدل على هوية صاحب البيانات الشخصية إلى رموز تجعل من المتعذر تحديد هوية صاحب البيانات الشخصية بشكل مباشر دون استخدام بيانات أو معلومات إضافية، وأن يتم الاحتفاظ بتلك البيانات أو المعلومات الإضافية بشكل منفصل ووضع الضوابط الفنية والإدارية اللازمة لضمان عدم ربطها بصاحب البيانات الشخصية بشكل محدد.

• 8- إخفاء الهوية: إزالة المعرفات المباشرة وغير المباشرة التي تدل على هوية صاحب البيانات الشخصية بشكل نهائي يتعذر معه تحديد هوية صاحب البيانات الشخصية.

• 9- الموافقة الصريحة: موافقة تُمنح بشكل مباشر وصريح من صاحب البيانات الشخصية بأي شكل من الأشكال وتدل على قبوله بمعالجة بياناته الشخصية بحيث لا يمكن تفسيرها بخلاف ذلك، وتكون قابلة للإثبات.

1- لا تسري أحكام النظام ولوائحه على قيام الفرد بمعالجة البيانات الشخصية لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي.

2- يُقصد بالاستخدام الشخصي أو العائلي المنصوص عليه في المادة الثانية من النظام، قيام الفرد بمعالجة البيانات الشخصية داخل نطاق أسرته أو دائرته الاجتماعية المحدودة ضمن أي نشاط اجتماعي أو عائلي.

3- لا يعد من قبيل الاستخدام الشخصي أو العائلي ما يلي:

• أ‌- قيام الفرد بنشر البيانات الشخصية للجمهور أو الإفصاح عنها لأي شخص خارج النطاق المحدد في الفقرة (2) من هذه المادة.

• ب‌- استخدام البيانات الشخصية لأغراض ذوات طابع مهني أو تجاري أو غير ربحي.

1- على جهة التحكم عند تلقيها طلباً من صاحب البيانات الشخصية يتعلق بحقوقه المنصوص عليها في النظام القيام بما يلي:

• ‌أ- تنفيذ طلبات ممارسة الحقوق المنصوص عليها في النظام خلال مدة لا تتجاوز (ثلاثين) يوماً دون تأخير، ولها تمديد ذلك في حال تطلب التنفيذ جهداً إضافياً غير متوقع أو غير معتاد أو في حال تلقيها طلبات متعددة من صاحب البيانات الشخصية، وذلك بما لا يزيد على (ثلاثين) يوماً إضافية، بشرط أن تُشعِر صاحب البيانات الشخصية مسبقاً بالتمديد ومبرراته.

• ‌ب- تبني الوسائل التقنية والإدارية والتنظيمية اللازمة لضمان سرعة الاستجابة لطلبات ممارسة الحقوق.

• ‌ج- اتخاذ الإجراءات والتدابير المناسبة للتحقق من هوية مُقدم الطلب قبل تنفيذه بما يتوافق مع الأحكام النظامية ذوات العلاقة.

• ‌د- اتخاذ الوسائل اللازمة لتوثيق وحفظ كافة الطلبات المقدمة لها، بما في ذلك الطلبات الشفهية.

2- في حال كان الطلب متكرراً بشكل غير مبرر أو يتطلب تنفيذه جهداً غير عادي؛ يكون لجهة التحكم عدم معالجة الطلب، على أن يكون ذلك مسبباً ويُشعَر صاحب البيانات الشخصية به.

3- في الحالات التي يكون صاحب البيانات الشخصية ناقصاً أو عديم الأهلية، يكون لوليه الشرعي ممارسة حقوقه نيابة عنه.

1- في حال تم جمع البيانات الشخصية من صاحبها مباشرةً، يجب على جهة التحكم قبل أو عند جمع البيانات، اتخاذ التدابير اللازمة لإبلاغ صاحب البيانات الشخصية بالآتي:

• ‌أ- ‌الاسم النظامي لجهة التحكم، وبيانات التواصل الخاصة بها، وأي تفاصيل أخرى تخص القنوات المُنشأة من قبل جهة التحكم لغرض التواصل المرتبط بحماية البيانات الشخصية.

• ‌ب- بيانات الاتصال بمسؤول حماية البيانات الشخصية -إن وجد- المعيّن من قبل جهة التحكم.

• ‌ج- المسوّغ النظامي والغرض من جمع ومعالجة البيانات الشخصية بصورة محددة وواضحة وصريحة.

• ‌د- ‌مدة الاحتفاظ بالبيانات الشخصية أو معايير حساب المدة في حال تعذر تحديدها مسبقاً.

• ‌هـ- توضيح حقوق صاحب البيانات الشخصية، المنصوص عليها في المادة (الرابعة) من النظام وآلية ممارسة أي من تلك الحقوق.

• ‌و- توضيح كيفية العدول عن الموافقة الممنوحة لمعالجة أي من البيانات الشخصية.

• ‌ز- ‌ بيان ما إذا كان جمع أي من البيانات الشخصية أو معالجتها إلزامياً أو اختيارياً.

2- لا يُطبّق ما ورد في الفقرة (1) من هذه المادة في حال كانت المعلومات الموضحة في الفقرات الفرعية (أ) إلى (ز) متوفرة مسبقاً لصاحب البيانات الشخصية، أو إذا كان تقديم تلك المعلومات يتعارض مع أي من الأنظمة السارية في المملكة.

3- في حال تم جمع البيانات الشخصية من غير صاحبها مباشرة، على جهة التحكم عند تلقيها للبيانات الشخصية القيام -دون تأخر غير مبرر- وخلال مدة لا تتجاوز (30) يوماً، اتخاذ الخطوات اللازمة لإبلاغ صاحب البيانات الشخصية بما نصت عليه الفقرة (1) من هذه المادة، إضافة إلى فئات البيانات الشخصية التي تتم معالجتها، والمصدر الذي تم من خلاله حصول جهة التحكم على البيانات الشخصية.

4- لا يُطبق مع ما ورد في الفقرة (3) من هذه المادة في أي من الأحوال الآتية:

• ‌أ- إذا كانت المعلومات متوفرة مسبقاً لصاحب البيانات الشخصية.

• ‌ب- إذا كان تنفيذ ذلك غير ممكن أو يتطلب جهداً غير معقول.

• ‌ج- إذا كان حصول جهة التحكم على البيانات قد تم تنفيذاً لنظام.

• ‌د- إذا كانت جهة التحكم جهة عامة وكان جمع البيانات الشخصية لأغراض أمنية أو لاستيفاء متطلبات قضائية، أو لتحقيق مصلحة عامة.

• ‌هـ- إذا كانت البيانات الشخصية تخضع لأحكام السرية المهنية المقررة نظاماً.

5- على جهات التحكم التي تتضمن أنشطتها -على نطاق واسع أو بصورة متكررة- معالجة بيانات شخصية لناقصي أو عديمي الأهلية، أو عمليات المعالجة التي تتطلب بطبيعتها مراقبة مستمرة لأصحاب البيانات الشخصية، أو معالجة بيانات شخصية باستخدام تقنيات ناشئة، أو اتخاذ قرارات مبنية على المعالجة الآلية للبيانات الشخصية؛ اتخاذ التدابير اللازمة لإبلاغ صاحب البيانات الشخصية بما نصت عليه الفقرة (1) من هذه المادة، إضافة إلى ما يلي:

• ‌أ- وسائل وطرق الجمع والمعالجة للبيانات الحساسة إن تضمنت المعالجة ذلك.

• ‌ب- الوسائل والإجراءات المتخذة لحماية البيانات الشخصية.

• ‌ج- توضيح ما إذا كان سيتم اتخاذ قرارات مبنية بشكل كامل على المعالجة الآلية للبيانات الشخصية.

6- عند قيام جهة التحكم بمعالجة إضافية للبيانات الشخصية لغرض آخر غير الذي جُمعت من أجله، فيجب عليها قبل إجراء المعالجة الإضافية أن تقدم لصاحب البيانات الشخصية المعلومات اللازمة وفقاً لأحكام هذه المادة.

7- يجب على جهة التحكم أن توفر المعلومات المطلوبة وفقاً لما ورد في هذه المادة بلغة مناسبة إذا علمت أن صاحب البيانات الشخصية ناقص الأهلية.

1- دون الإخلال بأحكام المادة (التاسعة) والمادة (السادسة عشرة) من النظام، يكون لصاحب البيانات الشخصية حق الوصول إلى بياناته الشخصية المتوافرة لدى جهة التحكم مع مراعاة ما يلي:

• ‌أ- ألا تؤثر ممارسة الحق في الوصول إلى البيانات الشخصية سلباً على حقوق الغير، مثل: حقوق الملكية الفكرية أو الأسرار التجارية.

• ‌ب- إتاحة الوصول إلى البيانات الشخصية بناءً على طلب يقدمه صاحب البيانات الشخصية، أو وسيلة توفرها جهة التحكم لتمكين صاحب البيانات من الوصول إلى بياناته الشخصية بشكل تلقائي دون الحاجة إلى تقديم طلب.

2- على جهة التحكم عند تمكين صاحب البيانات من الوصول إلى بياناته الشخصية، التأكد من أن ذلك لا يتضمن الإفصاح عن بيانات شخصية تحدد هوية فرد آخر.

مع مراعاة أحكام المادة (السادسة عشرة) من النظام، يكون لصاحب البيانات الشخصية الحق في طلب الحصول على نسخة من بياناته الشخصية بصيغة مقروءة وواضحة، مع مراعاة ما يلي:

1- ألا تؤثر ممارسة الحق في الحصول على البيانات الشخصية سلباً على حقوق الغير، مثل: حقوق الملكية الفكرية أو الأسرار التجارية.

2- تُقدَّم البيانات الشخصية إلى صاحب البيانات الشخصية بصيغة إلكترونية شائعة الاستخدام، ولصاحب البيانات الشخصية طلب نسخة مطبوعة منها متى ما كان تنفيذ ذلك ممكناً.

3- على جهة التحكم عند تمكين صاحب البيانات من الحصول على بياناته الشخصية، التأكد من أن ذلك لا يتضمن الإفصاح عن بيانات شخصية تحدد هوية فرد آخر.

1- يجوز لصاحب البيانات الشخصية في حال عدم صحة بياناته الشخصية المتوافرة لدى جهة التحكم أن يطلب تقييد معالجة بياناته لمدة يمكن لجهة التحكم خلالها التحقق من صحة البيانات الشخصية، مع مراعاة عدم سريان حق صاحب البيانات الشخصية في الحصول على التقييد المذكور إذا كان تقديم تلك البيانات يتعارض مع أحكام النظام وهذه اللائحة.

2- يكون لجهة التحكم طلب المستندات أو الوثائق الداعمة لطلب تصحيح البيانات الشخصية متى ما كان ذلك ضرورياً لتحديث أو تصحيح أو إتمام البيانات الشخصية، على أن يتم إتلاف تلك المستندات أو الوثائق بعد الانتهاء من عملية التحقق.

3- على جهة التحكم بعد تصحيح البيانات الشخصية إشعار الجهات التي أُفصح لها سابقاً عن البيانات الشخصية دون تأخير.

1- على جهة التحكم إتلاف البيانات الشخصية في أي من الأحوال الآتية:

• ‌أ- تنفيذاً لطلب صاحب البيانات الشخصية.

• ‌ب- إذا لم تعد البيانات الشخصية ضرورية لتحقيق الغرض الذي جُمعت من أجله.

• ‌ج- إذا عدل صاحب البيانات الشخصية عن موافقته على جمع بياناته الشخصية، وكانت الموافقة هي المسوّغ النظامي الوحيد للمعالجة.

• ‌د- إذا علمت أن البيانات الشخصية تجرى معالجتها بطريقة مخالفة للنظام.

2- على جهة التحكم عند إتلافها للبيانات الشخصية القيام بالآتي:

• ‌أ- ‌اتخاذ الإجراءات الملائمة لإشعار الجهات الأخرى التي أفصحت لها جهة التحكم عن البيانات الشخصية ذوات الصلة، وطلب إتلافها.

• ‌ب- اتخاذ الإجراءات الملائمة لإشعار الأشخاص الذين تم الإفصاح لهم عن البيانات الشخصية بأي وسيلة كانت، وطلب إتلافها.

• ‌ج- إتلاف كافة النسخ المتعلقة بالبيانات الشخصية المخزنة في أنظمة جهة التحكم، بما في ذلك النسخ الاحتياطية، على أن تراعى المتطلبات النظامية ذوات العلاقة بهذا الشأن.

3- لا يخل ما ورد في هذه المادة ما نصت عليه المادة (الثامنة عشرة) من النظام والمتطلبات النظامية التي تقرها الجهات المختصة ذوات العلاقة.

1- على جهة التحكم عند إخفائها لهوية صاحب البيانات الشخصية القيام بالآتي:

• ‌أ- التأكد من عدم إمكانية إعادة التعرف على هوية صاحب البيانات الشخصية بعد إخفاء هويته.

• ‌ب- تقويم الأثر بما في ذلك إمكانية إعادة تحديد هوية صاحب البيانات الشخصية، وذلك في الأحوال المنصوص عليها في الفقرة (1) من المادة (الخامسة والعشرين) من هذه اللائحة.

• ‌ج- اتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لتجنب المخاطر، مع مراعاة التطورات التقنية وأساليب إخفاء الهوية وتحديثها ومواءمتها مع تلك التطورات.

• ‌د- تقويم فاعلية تقنيات إخفاء هوية صاحب البيانات الشخصية المُطبقة، وإجراء التعديلات اللازمة لضمان عدم إمكانية إعادة التعرف على هوية صاحب البيانات الشخصية.

2- لا تعد البيانات التي جرى إخفاء هوية أصحابها بيانات شخصية.

على جهة التحكم توفير الوسائل الملائمة للاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه المنصوص عليها في النظام، ويكون لصاحب البيانات الشخصية استخدام واحدة أو أكثر من الوسائل الآتية حسب اختياره وتوافرها لدى جهة التحكم:

1- ‌ البريد الإلكتروني.

2- ‌ الرسائل النصية.

3- العنوان الوطني.

4- التواصل عبر التطبيقات الإلكترونية.

5- أي وسيلة تواصل نظامية أخرى معدة لهذا الغرض من قبل جهة التحكم.