ساري آخر تعديل 5/9/1444هـ
نظام حماية البيانات الشخصية السعودي
- عدد المواد
- 43
- مواد نافذة
- 42
- مواد معدّلة
- 24
- صدر في
- 9/2/1443هـ
أداة الإصدار: مرسوم ملكي رقم (م/19) وتاريخ 1443/2/9هـ · قرار مجلس الوزراء رقم (98) وتاريخ 1443/2/7هـ
تصفّح نظام حماية البيانات الشخصية حسب الموضوع
مواد نظام حماية البيانات الشخصية
- المادة 1تحدد المادة معاني المصطلحات الأساسية في نظام حماية البيانات الشخصية، مثل البيانات الشخصية والحساسة والمعالجة والإفصاح وجهة التحكم وجهة المعالجة.عُدّلت م/148
- المادة 2يسري النظام على كل معالجة لبيانات الأفراد في المملكة، وعلى معالجة جهات خارجها لبيانات المقيمين فيها، ويُستثنى الاستخدام الشخصي أو العائلي ما لم تُنشر البيانات أو يُفصح عنها.
- المادة 3لا تُخل أحكام النظام وإجراءاته بأي حكم في نظام آخر أو اتفاقية دولية تكون المملكة طرفًا فيها يمنح صاحب البيانات حقًا أو يقرر حماية أفضل لبياناته.
- المادة 4تقرر المادة خمسة حقوق لصاحب البيانات الشخصية: العلم، والوصول، والحصول على نسخة مقروءة، وطلب التصحيح أو الإتمام أو التحديث، وطلب الإتلاف.عُدّلت م/148
- المادة 5لا تجوز معالجة البيانات الشخصية أو تغيير غرض معالجتها إلا بموافقة صاحبها، عدا الأحوال التي ينص عليها النظام، ويحق له الرجوع عن موافقته في أي وقت.عُدّلت م/148
- المادة 6تحدد المادة أربع حالات تجوز فيها معالجة البيانات الشخصية دون موافقة صاحبها المشار إليها في الفقرة 1 من المادة 5.عُدّلت م/148
- المادة 7لا يجوز جعل الموافقة على معالجة البيانات الشخصية شرطًا لتقديم خدمة أو منفعة، إلا إذا كانت الخدمة أو المنفعة ذات علاقة بالمعالجة التي صدرت الموافقة عليها.
- المادة 8تلزم المادة جهة التحكم باختيار جهة معالجة توفر الضمانات اللازمة لتنفيذ النظام واللوائح والتحقق من التزامها، دون أن يخل ذلك بمسؤولياتها.عُدّلت م/148
- المادة 9تجيز المادة لجهة التحكم تحديد مدد لممارسة حق الوصول وتقييده في حالات معينة، وتلزمها بعدم تمكين صاحب البيانات من الوصول في الأحوال المحددة في المادة 16.عُدّلت م/148
- المادة 10الأصل أن تُجمع البيانات الشخصية من صاحبها مباشرة وتُعالج للغرض الذي جمعت له، مع سبع حالات يجوز فيها الجمع من غيره أو المعالجة لغرض آخر.عُدّلت م/148
- المادة 11تشترط المادة أن يرتبط غرض جمع البيانات بأغراض جهة التحكم، وأن تكون وسائله نظامية وواضحة وآمنة، وأن يقتصر المحتوى على الحد الأدنى اللازم.عُدّلت م/148
- المادة 12تلزم المادة جهة التحكم باعتماد سياسة خصوصية متاحة لأصحاب البيانات عند جمع بياناتهم، وتحدد العناصر التي يجب أن تشتمل عليها.عُدّلت م/148
- المادة 13تلزم المادة جهة التحكم عند جمع البيانات من صاحبها مباشرة بإحاطته بسبعة عناصر، منها المسوغ النظامي والغرض وهوية الجامع والجهات التي ستفصح لها البيانات.عُدّلت م/148
- المادة 14لا يجوز لجهة التحكم معالجة البيانات الشخصية دون خطوات كافية للتحقق من دقتها واكتمالها وحداثتها وارتباطها بالغرض الذي جمعت من أجله.
- المادة 15تحظر المادة على جهة التحكم الإفصاح عن البيانات الشخصية إلا في ست حالات محددة، وتحيل إلى اللوائح أحكام الحالات من 2 إلى 6.عُدّلت م/148
- المادة 16تمنع المادة جهة التحكم من الإفصاح عن البيانات في الحالات 1 و2 و5 و6 من المادة 15 متى اتصف الإفصاح بأي من تسعة أوصاف محددة.عُدّلت م/148
- المادة 17إذا صُححت البيانات الشخصية أو أكملت أو حُدثت، فعلى جهة التحكم إشعار كل جهة انتقلت إليها البيانات بالتعديل وإتاحته لها، وتوضح اللوائح المدد والإجراءات.
- المادة 18تلزم المادة جهة التحكم بإتلاف البيانات بعد انتهاء غرض جمعها دون تأخير، وتجيز الاحتفاظ بها بعد إزالة ما يحدد هوية صاحبها، وتوجبه في حالتين.عُدّلت م/148
- المادة 19تلزم المادة جهة التحكم باتخاذ الإجراءات والوسائل التنظيمية والإدارية والتقنية التي تضمن المحافظة على البيانات الشخصية، بما في ذلك عند نقلها، وفق اللوائح.
- المادة 20تلزم المادة جهة التحكم بإشعار الجهة المختصة عند علمها بتسرب البيانات أو تلفها أو الوصول غير المشروع إليها، وبإشعار صاحب البيانات إذا كان ذلك قد يضره.عُدّلت م/148
- المادة 21تلزم المادة جهة التحكم بالاستجابة لطلبات صاحب البيانات المتعلقة بحقوقه في النظام خلال مدة محددة وعبر وسيلة مناسبة، وتحدد اللوائح المدة والوسيلة.
- المادة 22تلزم المادة جهة التحكم بتقويم الآثار المترتبة على معالجة البيانات الشخصية لأي منتج أو خدمة تقدم للعموم بحسب طبيعة نشاطها، وتحيل التفاصيل إلى اللوائح.
- المادة 23تحيل المادة إلى اللوائح وضع ضوابط إضافية لمعالجة البيانات الصحية، على أن تقصر الاطلاع عليها ومعالجتها على أقل عدد ممكن من الموظفين.
- المادة 24تحيل المادة إلى اللوائح وضع ضوابط إضافية لمعالجة البيانات الائتمانية، تشمل التحقق من الموافقة الصريحة وإشعار صاحب البيانات عند طلب الإفصاح عنها.عُدّلت م/148
- المادة 25لا يجوز لجهة التحكم استخدام وسائل الاتصال الشخصية لإرسال مواد دعائية أو توعوية إلا بموافقة المتلقي وتوفير آلية واضحة لإيقافها، عدا المواد التوعوية من الجهات العامة.
- المادة 26تجوز معالجة البيانات الشخصية غير الحساسة لأغراض تسويقية إذا جُمعت من صاحبها مباشرة ووافق على ذلك وفق النظام، وتحدد اللوائح الضوابط.
- المادة 27تجيز المادة جمع البيانات الشخصية أو معالجتها لأغراض علمية أو بحثية أو إحصائية دون موافقة صاحبها في ثلاث حالات، وتحيل الضوابط إلى اللوائح.
- المادة 28تمنع المادة تصوير الوثائق الرسمية التي تحدد هوية صاحب البيانات أو نسخها، إلا تنفيذًا لأحكام نظام أو بطلب جهة عامة مختصة وفق اللوائح.
- المادة 29تجيز المادة نقل البيانات الشخصية خارج المملكة أو الإفصاح عنها لجهة خارجها لأغراض محددة وبشروط، مع استثناء حالات الضرورة القصوى من الشروط.عُدّلت م/148
- المادة 30تجعل المادة الجهة المختصة مشرفة على تطبيق النظام واللوائح دون إخلال بصلاحيات البنك المركزي، وتنظم مسؤول حماية البيانات وصلاحيات الإشراف والتفويض.عُدّلت م/148
- المادة 31تُلزم المادة جهة التحكم بالاحتفاظ بسجلات لأنشطة معالجة البيانات الشخصية لمدة تحددها اللوائح، لتكون متاحة للجهة المختصة عند طلبها، وتحدد الحد الأدنى لمحتواها.
- المادة 321- تقوم الجهة المختصة بإنشاء بوابة إلكترونية لغرض بناء سجل وطني عن جهات التحكم، تهدف إلى مراقبة ومتابعة التزام تلك الجهات بأحكام النظام…ملغاة
- المادة 33تمنح المادة الجهة المختصة صلاحية وضع اشتراطات الأنشطة المرتبطة بحماية البيانات، والترخيص لجهات الاعتماد والتدقيق، ومتابعة التزام الجهات خارج المملكة.عُدّلت م/148
- المادة 34تمنح المادة صاحب البيانات الشخصية حق تقديم أي شكوى ناشئة عن تطبيق النظام ولوائحه إلى الجهة المختصة، وتحيل ضوابط معالجة الشكاوى إلى اللوائح.
- المادة 35تعاقب المادة بالسجن حتى سنتين وبغرامة حتى 3 ملايين ريال أو بإحداهما من أفصح عن بيانات حساسة أو نشرها مخالفًا النظام بقصد الإضرار أو المنفعة الشخصية.عُدّلت م/148
- المادة 36تعاقب المادة بالإنذار أو بغرامة حتى 5 ملايين ريال كل شخص طبيعي أو اعتباري خاص خالف النظام أو اللوائح، عبر لجنة يُتظلم من قرارها أمام المحكمة المختصة.عُدّلت م/148
- المادة 37تحدد المادة من يتولى ضبط مخالفات النظام واللوائح والتفتيش عليها، وتجيز لهم الاستعانة بجهات الضبط الجنائي، وتمنح الجهة المختصة حق حجز وسائل المخالفة حتى البت فيها.عُدّلت م/148
- المادة 38تجيز المادة للمحكمة مصادرة الأموال المتحصلة من مخالفات النظام دون إخلال بحقوق الغير حسن النية، ونشر ملخص الحكم أو القرار على نفقة المخالف بعد صيرورته نهائيًا.
- المادة 39تُلزم المادة الجهة العامة بمساءلة أي من منسوبيها تأديبيًا إذا خالف النظام أو اللوائح، دون إخلال بالمادة 35 والفقرة 1 من المادة 36.
- المادة 40تمنح المادة كل من لحقه ضرر بسبب مخالفة النظام أو اللوائح حق المطالبة أمام المحكمة المختصة بتعويض عن الضرر المادي أو المعنوي يتناسب مع حجمه.
- المادة 41تُلزم المادة كل من باشر عملًا من أعمال معالجة البيانات الشخصية بالمحافظة على أسرارها، ويستمر الالتزام حتى بعد انتهاء علاقته الوظيفية أو التعاقدية.
- المادة 42تكلّف المادة رئيس الجهة المختصة بإصدار لوائح النظام خلال مدة لا تتجاوز 720 يومًا من تاريخ صدوره، بعد التنسيق مع سبع جهات حكومية كلٌّ فيما يخصه.عُدّلت م/148
- المادة 43تنص المادة على أن العمل بنظام حماية البيانات الشخصية يبدأ بعد 720 يومًا من تاريخ نشره في الجريدة الرسمية.عُدّلت م/148