بدأ نفاذ نظام حماية البيانات الشخصية، بعد تعديله بالمرسوم الملكي رقم (م/١٤٨) وتاريخ ١٤٤٤/٩/٥هـ، في ١٤٤٥/٢/٢٩هـ الموافق ١٤ سبتمبر ٢٠٢٣.١ وقد أكّد البنك المركزي السعودي على الجهات الخاضعة لإشرافه الالتزامَ بالنظام المحدَّث ولوائحه التنفيذية.١
ثلاثة التزامات تشكّل برنامج الامتثال
- إشعار التسرب. على جهة التحكم إشعار الجهة المختصة فور علمها بحدوث تسرب للبيانات الشخصية أو تلفها أو حدوث وصول غير مشروع إليها، وإشعار صاحب البيانات إذا كان من شأن ذلك الإضرار ببياناته أو تعارضه مع حقوقه أو مصالحه (المادة العشرون).٢
- النقل خارج المملكة. يُسمح بالنقل لأغراض محددة ووفق شروط، منها توافر مستوى مناسب من الحماية، والاقتصار على الحد الأدنى من البيانات (المادة التاسعة والعشرون).٢ وتبيّن لائحة مستقلة كيفية تقييم مستوى الحماية، والضمانات الممكنة عند عدم توافره، مثل البنود التعاقدية المعيارية وقواعد الشركات الملزمة، مع تقييم المخاطر.٣
- مسؤول حماية البيانات. تحدد اللوائح الحالات التي يجب فيها على جهة التحكم تعيين شخص أو أكثر يتولى مسؤولية الالتزام بأحكام النظام (المادة الثلاثون).٢
ترتيب عملي للعمل
- حصر البيانات الشخصية لديكم: لماذا تُجمع، وأين تُخزن، ومن يتلقاها.
- تحديد عمليات النقل إلى خارج المملكة وأساسها.
- إعداد إجراء للاستجابة للحوادث يحدد أدوار الإشعار.
- تحديث إشعارات الخصوصية وعقود المعالجين وقواعد الاحتفاظ.
- البتّ في وجوب تعيين مسؤول لحماية البيانات.
يعتمد الانطباق على ما تعالجونه وكيف تعالجونه؛ لذا ينبغي أن يأتي البرنامج بعد التقييم، لا قبله.
هذه الملاحظة معلومات عامة وليست استشارة قانونية. تحقّق من النص النافذ لدى الجهة المختصة قبل اتخاذ أي إجراء.
المصادر
- دليل قواعد البنك المركزي السعودي — تعميم التأكيد على الالتزام بنظام حماية البيانات الشخصية المحدَّث ولوائحه التنفيذية (المرسوم الملكي م/١٤٨ وتاريخ ١٤٤٤/٩/٥هـ؛ النفاذ ١٤٤٥/٢/٢٩هـ الموافق ٢٠٢٣/٩/١٤م). rulebook.sama.gov.sa
- جريدة أم القرى (الجريدة الرسمية) — تعديلات نظام حماية البيانات الشخصية، المواد العشرون والتاسعة والعشرون والثلاثون. www.uqn.gov.sa
- جريدة أم القرى (الجريدة الرسمية) — لائحة نقل البيانات الشخصية خارج المملكة. www.uqn.gov.sa