نظام حماية البيانات الشخصية السعودي بلغة واضحة

حقائق أساسية

سند الإصدار

المرسوم الملكي رقم (م/19) بتاريخ 16 سبتمبر 2021، وعُدّل في مارس 2023

الجهة المختصة

الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)

دخول حيز النفاذ

14 سبتمبر 2023، مع اللائحة التنفيذية

التطبيق الكامل

14 سبتمبر 2024، بعد مهلة مدتها سنة

اللوائح والقواعد ذات الصلة

اللائحة التنفيذية؛ ولائحة نقل البيانات الشخصية خارج المملكة؛ وقواعد السجل الوطني لجهات التحكم؛ وقواعد تعيين مسؤول حماية البيانات الشخصية

على من ينطبق

بموجب المادة 2 من النظام، يسري النظام على كل معالجة لبيانات شخصية تتم في المملكة، وعلى معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة من أي جهة خارجها. فقد تقع الشركة الأجنبية التي تتعامل مع بيانات شخصية لمقيمين في المملكة ضمن نطاقه. ولا يسري النظام على معالجة الفرد للبيانات الشخصية لأغراض شخصية أو عائلية بحتة.

ويقوم النظام على دورين: جهة التحكم، وهي التي تحدد غرض معالجة البيانات الشخصية وطريقتها، وجهة المعالجة، وهي التي تعالجها نيابة عن جهة التحكم.

وتغطي قواعد التسجيل الصادرة عن سدايا جهات التحكم داخل المملكة، وتنص على أن قواعد جهات التحكم خارج المملكة ستصدر لاحقًا بشكل مستقل.

ما يتوقعه النظام في الممارسة

• أساس نظامي لكل نشاط معالجة، مع قصر المعالجة على ما يحتاجه الغرض.
• إشعار خصوصية واضح يبين لأصحاب البيانات الشخصية ما تجمعه، ولماذا، وما حقوقهم.
• احترام حقوق أصحاب البيانات، ومنها الوصول والتصحيح والإتلاف.
• ضمانات أمنية تتناسب مع البيانات التي تحتفظ بها.
• الإبلاغ عن التسرب إلى سدايا خلال 72 ساعة إذا كان من شأنه إلحاق ضرر، بموجب المادة 24 من اللائحة التنفيذية.
• مسؤول حماية البيانات الشخصية في ثلاث حالات محددة، بموجب المادة 32 من اللائحة التنفيذية.
• التسجيل في المنصة الوطنية لحوكمة البيانات لدى سدايا في أربع حالات محددة.
• شروط لنقل البيانات الشخصية خارج المملكة، تحددها لائحة نقل البيانات الشخصية خارج المملكة.

نقل البيانات خارج المملكة

لا يجوز نقل البيانات الشخصية خارج المملكة إلا عند استيفاء الشروط الواردة في لائحة نقل البيانات الشخصية خارج المملكة الصادرة عن سدايا. وقبل أن تعتمد على منطقة سحابية خارجية أو مركز دعم أو شركة أم في الخارج، حدد مسارات تدفق البيانات الشخصية ووثّق الأساس النظامي لكل عملية نقل.

التطبيق

انتهت المهلة في 14 سبتمبر 2024، والنظام مطبّق منذ ذلك التاريخ. تعامل مع الامتثال بوصفه واجبًا قائمًا لا مستقبليًا، وتابع إعلانات سدايا للاطلاع على آخر المستجدات.

من أين تبدأ

1. حدد البيانات الشخصية التي تحتفظ بها، وأين توجد، ومن يمكنه الوصول إليها.
2. تحقق من وجوب تعيين مسؤول لحماية البيانات ومن وجوب التسجيل. يشرح دليل مسؤول حماية البيانات والتسجيل المسألتين.
3. اكتب إشعار الخصوصية أو حدّثه، وضع إجراءً للتعامل مع طلبات أصحاب البيانات.
4. ضع إجراءً للإبلاغ عن التسرب خلال 72 ساعة وتدرّب عليه. يتضمن دليل الإبلاغ عن التسرب الخطوات.
5. احصر كل عملية نقل للبيانات الشخصية خارج المملكة، ووثّق أساسها النظامي.

أسئلة حول النظام