وفقًا لتنظيم هيئة الاتصالات وتقنية المعلومات الصادر بقرار مجلس الوزراء رقم (74) وتاريخ 1422/3/5هـ، والمعدل بقرار مجلس الوزراء رقم (133) وتاريخ 1424/5/21هـ والقاضي بأن تتولى الهيئة مهام تقنية المعلومات، وإلى نظام الاتصالات الصادر بقرار مجلس الوزراء رقم (74)وتاريخ1422/3/5هـ، وتعديلاته ولائحته التنفيذية، وإلى قرار مجلس الوزراء رقم (403) وتاريخ 1440/7/12هـ، الذي أسند لهيئة الاتصالات وتقنية المعلومات المهام التنظيمية والرقابية على قطاع البريد، وانطلاقًا من دور الهيئة تجاه حماية البيانات الشخصية للمستخدمين في قطاع الاتصالات وتقنية المعلومات والبريد، أعدت الهيئة وثيقة "القواعد العامة للمحافظة على خصوصية البيانات الشخصية للمستخدمين" في قطاعي الاتصالات وتقنية المعلومات والبريد.

تهدف وثيقة القواعد العامة للمحافظة على خصوصية البيانات الشخصية للمستخدمين في كل من قطاع الاتصالات وتقنية المعلومات وقطاع البريد لتحقيق الأهداف التالية:

• - المحافظة على خصوصية البيانات الشخصية للمستخدمين، وحماية حقوقهم بما يتوافق مع أفضل الممارسات العالمية.

• - رفع مستوى الثقة في خدمات الاتصالات وتقنية المعلومات والبريد المعتمدة على معالجة البيانات الشخصية للمستخدمين.

• - وضع المبادئ والأسس النظامية التي تمكن مقدمي الخدمة من الاستثمار والابتكار في الخدمات والتطبيقات التي توفر قيمة مضافة للمستخدمين من خلال الاستفادة من البيانات الشخصية.

يكون للكلمات والمصطلحات الآتية المعاني الموضحة نظير كل منها، ما لم يقتض السياق خلاف ذلك:

الهيئة: هيئة الاتصالات وتقنية المعلومات.

مقدم الخدمة: مزود خدمات الاتصالات أو تقنية المعلومات أو البريد طبقًا لأنظمة الهيئة.

المستخدم: الشخص ذو الصفة الطبيعية الذي يستخدم أيًا من خدمات الاتصالات وتقنية المعلومات أو البريد من مقدم الخدمة.

البيانات الشخصية: كل بيان -مهما كان مصدره أو شكله- من شأنه أن يؤدي إلى معرفة المستخدم على وجه التحديد، أو يجعله قابلاً للتعرف عليه بصفة مباشرة أو غير مباشرة، ويشمل ذلك -دون حصر- الأسماء، وأرقام الهويات الشخصية، والعناوين، وأرقام التواصل، وأرقام الرخص والسجلات والممتلكات الشخصية، وأرقام الحسابات البنكية والبطاقات الائتمانية، وصور المستخدم الثابتة أو المتحركة، وغير ذلك من البيانات ذات الطابع الشخصي.

معالجة البيانات الشخصية: جميع العمليات التي تُجرى على البيانات الشخصية بأي وسيلة كانت يدوية أو آلية، وتشمل هذه العمليات -على سبيل المثال لا الحصر- جمع البيانات أو نقلها أو حفظها أو تخزينها أو مشاركتها أو إتلافها أو تحليلها أو استخراج أنماطها أو الاستنتاج منها وربطها مع بيانات أخرى.

تسريب البيانات الشخصية: الإفصاح عن البيانات الشخصية أو إفشائها، أو نشرها، أو الحصول عليها، أو تمكين الوصول لها دون سند نظامي، سواءً بقصد أو بدون بقصد.

1-3 تسري هذه القواعد على جميع مقدمي الخدمة، وعلى مقدم الخدمةالالتزام بالقواعد الواردة في هذه الوثيقة، والرفع بما يثبت الالتزام بها من خلال الآليات التي تقرها الهيئة.

2-3 يجب على مقدم الخدمة أن يتحقق بشكل دوري من التزام جميع الأطراف المتعاقد معهم لمعالجة البيانات الشخصية للمستخدمين لتحقيق أغراض يحددها مقدم الخدمة، بالقواعد الواردة في هذه الوثيقة والرفع بما يثبت ذلك الالتزام عبر الآليات التي تقرها الهيئة.

3-3 يحظر على مقدم الخدمة أي ممارسات تخالف هذه القواعد، وفي حال مخالفتها فإنه يتم التعامل مع المخالفات وفق أنظمة الهيئة، ولا يعفي مقدم الخدمة من المسؤولية في حال تعاقده مع أطراف أخرى.

4-3 لا تخل هذه القواعد بأي وثيقة نظامية صادرة من الهيئة أو من الجهات الأخرى ذات العلاقة توفر حماية أعلى لخصوصية البيانات الشخصية للمستخدمين.

يجب مراعاة المبادئ الأساسية التالية عند معالجة البيانات الشخصية للمستخدمين:

1-4 أن يتم معالجة البيانات الشخصية للمستخدمين بطريقة نظامية، وشفافة، وأن تكون نتائج معالجة البيانات الشخصية للمستخدمين عادلة بحيث تضمن عدم التأثير السلبي غير المبرر على مصالح المستخدم.

2-4  أن يتم معالجة البيانات الشخصية للمستخدمين لأغراض محددة وواضحة للمستخدم.

3-4 أن يتم جمع الحد الأدنى من البيانات الشخصية للمستخدمين لتحقيق أغراض معالجة البيانات.

4-4 ألا يتم الاحتفاظ بالبيانات الشخصية للمستخدمين بصيغة تتيح التعرف على أصحاب البيانات لمدة تتجاوز المدة اللازمة لتحقيق أغراض معالجة البيانات.

5-4  أن يتم حماية البيانات الشخصية للمستخدمين بما يضمن خصوصيتها، ويمنع الوصول غير المشروع لها أو تسريبها أو العبث بها أو إساءة استخدامها.

1-5 يلتزم مقدم الخدمة بتطوير وتنفيذ برنامج للمحافظة على خصوصية البيانات الشخصية للمستخدمين، على أن يشمل ذلك تطوير وتوثيق وتنفيذ السياسات والإجراءات المتعلقة بالمحافظة على خصوصية البيانات الشخصية للمستخدمين ومتابعة الالتزام بها، وأن يتم اعتماد البرنامج من قبل المسؤول الأول لدى مقدم الخدمة أو من يفوضه، كما يلتزم مقدم الخدمة برفع خطة البرنامج للهيئة قبل اعتماده والرفع بشكل دوري للهيئة عن نشاطات البرنامج بعد اعتماده، وللهيئة الحق بطلب إجراء أي تعديلات تراها مناسبة.

2-5 يلتزم مقدم الخدمة بإسناد مهام ومسؤوليات خصوصية البيانات الشخصية للمستخدمين إلى وحدة مستقلة تنشأ لهذا الغرض، مع توفير الدعم المناسب لها بما يمكنها من القيام بأعمالها مع مراعاة عدم تعارض المصالح.

3-5 يلتزم مقدم الخدمة بتطوير واعتماد ونشر سياسة لخصوصية البيانات الشخصية، على أن تشمل تلك السياسة أنواع البيانات الشخصية للمستخدمين التي سيتم معالجتها، والغرض من ذلك، وما إذا كان سيتم مشاركتها مع أطراف أخرى داخل أو خارج المملكة، ومدة الاحتفاظ بها، وإجراءات حمايتها، وحقوق المستخدمين فيما يتعلق ببياناتهم الشخصية، وكيفية ممارسة هذه الحقوق.

4-5 يلتزم مقدم الخدمة بمعالجة البيانات الشخصية للمستخدمين داخل المملكة، ولا يجوز له معالجتها خارج المملكة قبل الحصول على موافقة الهيئة الكتابية.

5-5 يلتزم مقدم الخدمة بالاحتفاظ بالبيانات الشخصية للمستخدمين للأغراض والمدد المحددة، وبما يتوافق مع التعليمات الصادرة من الهيئة.

6-5 يلتزم مقدم الخدمة بإبلاغ الهيئة فورًا عند حدوث أي تسريب للبيانات الشخصية للمستخدمين، عبر الآليات والإجراءات التي تقرها الهيئة.

1-6 لا يجوز معالجة البيانات الشخصية للمستخدمين دون موافقتهم الصريحة على ذلك، ويجوز للمستخدمين الرجوع عن موافقتهم في أي وقت، ويستثنى من ذلك ما تقتضيه الأنظمة واللوائح والتعليمات ذات العلاقة.

2-6 يجب تمكين المستخدمين من الاطلاع على سياسة خصوصية البيانات الشخصية قبل معالجة بياناتهم الشخصية.

3-6 يجب تمكين المستخدمين من الوصول إلى بياناتهم الشخصية التي يعالجها مقدم الخدمة في أي وقت، وتصحيحها عند وجود بيانات خاطئة أو غير دقيقة.

4-6 يجب تمكين المستخدمين من الحصول على نسخة من بياناتهم الشخصية بصيغة إلكترونية، وفقًا لما تقره الهيئة.