وفقاً لتنظيم هيئة الاتصالات وتقنية المعلومات الصادر بقرار مجلس الوزراء رقم (74) وتاريخ 1422/3/5هـ. والمعدل بقرار مجلس الوزراء رقم (133) وتاريخ 1424/5/21هـ والقاضي بأن تتولى الهيئة مهام تقنية المعلومات. وإلى نظام الاتصالات الصادر بقرار مجلس الوزراء رقم (74) وتاريخ 1422/3/5هـ، وتعديلاته ولائحته التنفيذية وتعديلاتها، وإلى قرار مجلس الوزراء رقم (403) وتاريخ 1440/7/12هـ، الذي أسند لهيئة الاتصالات وتقنية المعلومات المهام التنظيمية والرقابية على قطاع البريد، وانطلاقاً من دور الهيئة تجاه حماية البيانات الشخصية للمستخدمين في قطاع الاتصالات وتقنية المعلومات والبريد، واستناداً إلى قرار الهيئة الرقم (415) وتاريخ 1441/8/23هـ، باعتماد "وثيقة القواعد العامة للمحافظة على خصوصية البيانات الشخصية ، أعدت الهيئة وثيقة "إجراءات إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية للمستخدمين أو مشاركة البيانات الشخصية في قطاعي الاتصالات وتقنية المعلومات والبريد.

وتهدف هذه الوثيقة؛ لتنظيم وحوكمة تطوير وإطلاق الخدمات أو المنتجات المعتمدة على البيانات الشخصية للمستخدمين من قبل مقدمي خدمات الاتصالات وتقنية المعلومات والبريد، ومشاركة البيانات الشخصية بين مقدمي الخدمة والأطراف الخارجية، مما يعزز من مستوى الثقة في خدمات الاتصالات وتقنية المعلومات والبريد المعتمدة على معالجة البيانات الشخصية للمستخدمين.

يكون للكلمات والمصطلحات الآتية المعاني الموضحة نظير كل منها، ما لم يقتض السياق خلاف ذلك:

الهيئة: هيئة الاتصالات وتقنية المعلومات.

مقدم الخدمة: مزود خدمات الاتصالات أو تقنية المعلومات أو البريد طبقا لأنظمة الهيئة.

المستخدم: الشخص ذو الصفة الطبيعية الذي يستخدم أيا من خدمات الاتصالات وتقنية المعلومات أو البريد من مقدم الخدمة.

البيانات الشخصية: كل بيان -مهما كان مصدره أو شكله- من شأنه أن يؤدي إلى معرفة المستخدم على وجه التحديد، أو يجعله قابلاً للتعرف عليه بصفة مباشرة أو غير مباشرة، ويشمل ذلك -دون حصر- الأسماء، وأرقام الهويات الشخصية، والعناوين وأرقام التواصل، وأرقام الرخص والسجلات والممتلكات الشخصية، وأرقام الحسابات البنكية والبطاقات الائتمانية، وصور المستخدم الثابتة أو المتحركة، وغير ذلك من البيانات ذات الطابع الشخصي.

معالجة البيانات الشخصية: جميع العمليات التي تجرى على البيانات الشخصية بأي وسيلة كانت يدوية أو آلية، وتشمل هذه العمليات - على سبيل المثال لا الحصر- جمع البيانات أو نقلها أو حفظها أو تخزينها أو مشاركتها أو اتلافها أو تحليلها أو استخراج انماطها أو الاستنتاج منها وربطها مع بيانات أخرى.

مشاركة البيانات الشخصية: الإفصاح عن البيانات الشخصية للمستخدمين من قبل مقدم الخدمةإلى جهة أخرى.

تقييم التأثير على الخصوصية: دراسة يقوم بها مقدم الخدمة قبل إطلاق خدمة أو منتج يعتمد على البيانات الشخصية أو مشاركة البيانات بهدف تقييم تأثير هذه الخدمة أو المنتج على خصوصية البيانات الشخصية للمستخدمين الجدد أو الحاليين، وتشمل -على سبيل المثال لا الحصر- تحديدا للبيانات المطلوبة، ووصفاً للغرض من معالجتها، ونطاق المعالجة وطبيعتها، وتحديد وتقييم مخاطر الخصوصية وطرق معالجتها.

• 1-3 مع مراعاة أنظمة وقرارات الهيئة ذات العلاقة، تطبق هذه الوثيقة على مقدم الخدمة في جميع الحالات التالية:

  • 1-1-3 إطلاق خدمة أو منتج جديد، أو اجراء تغيير على خدمة أو منتج قائم، معتمد على البيانات الشخصية، باستثناء معالجة البيانات الشخصية للمستخدم التي تتم داخل أنظمة مقدم الخدمة بهدف تقديم الخدمات له.

  • 2-1-3 مشاركة بيانات شخصية.

• 2-3 للهيئة الحق في تعديل المدد أو الإجراءات المنصوص عليها في هذه الوثيقة، وفقاً لتقديرها المطلق.

• 3-3 يحظر على مقدم الخدمة أي ممارسات تخالف هذه الإجراءات، وفي حال مخالفتها فإنه يتمالتعامل مع المخالفات وفق أنظمة الهيئة.

لا يحق لمقدم الخدمة إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية للمستخدمين أو مشاركة  البيانات الشخصية قبل قيامه بالإجراءات التالية:

1-4 التحقق من مدى الحاجة إلى إجراء تقييم التأثير على الخصوصية، وتوثيق نتيجة التحقق.

2-4 إذا أظهرت نتائج التحقق الوارد في الإجراء (4-1)، عدم الحاجة لتقييم التأثير على الخصوصية. يجب على مقدم الخدمة الرفع بنتيجة التحقق للهيئة، مع تبرير عدم الحاجة لتقييم التأثير على الخصوصية، قبل (5) خمسة أيام عمل من إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية للمستخدمين أو مشاركة البيانات الشخصية.

3-4 إذا أظهرت نتائج التحقق الوارد في الإجراء (4-1)، الحاجة لتقييم التأثير على الخصوصية، فيجب على مقدم الخدمة القيام بإجراء تقييم التأثير على الخصوصية، والرفع به للهيئة، قبل (21) واحد وعشرون يوم عمل من إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية للمستخدمين أو مشاركة البيانات الشخصية.

4-4 يجوز للهيئة بناء على مخرجات الإجراء (4-2) أو (4-3)، طلب وثائق أو توضيحات أو تقييمات إضافية وفق الشكل والمدة المناسبة وفق تقديرها المطلق، ولا يجوز لمقدم الخدمة إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية للمستخدمين أو مشاركة البيانات الشخصية إلا بعداستكمال هذه الوثائق أو التوضيحات أو التقييمات الإضافية على النحو المقبول من الهيئة وإشعارها لمقدم الخدمة بما يقضي بذلك.

5-4 يجوز لمقدم الخدمة إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية للمستخدمين أومشاركة البيانات الشخصية، إذا لم يتلقى أي ملاحظات أو متطلبات إضافية من الهيئة قبل انتهاء المدد المحددة في الإجراء (4-2) أو (4-3)، بحسب الأحوال.

6-4 يجب على مقدم الخدمة إشعار الهيئة عند إطلاق خدمات أو منتجات معتمدة على البيانات الشخصية للمستخدمين أو مشاركة البيانات الشخصية.