اللائحة التنفيذية لقانون حماية البيانات الشخصية

المادة 1

الفصل الأول · تعريفات وأحكام عامة

في تطبيق أحكام هذه اللائحة، يكون للكلمات والعبارات الواردة فيها المعنى ذاته المنصوص عليه في قانون حماية البيانات الشخصية المشار إليه، كما يكون للكلمات والعبارات الآتية المعنى المبين قرين كل منها، ما لم يقتض سياق النص معنى آخر: ١ – القانون: قانون حماية البيانات الشخصية. ٢ – الإدارة المختصة: التقسيم الإداري المختص في الوزارة لإدارة حماية البيانات الشخصية. ٣ – التصريح: الموافقة الصادرة عن الوزارة للمتحكم لمعالجة البيانات الشخصية. ٤ – الإفصاح: تمكين الغير بأي وسيلة ولأي غرض من الوصول إلى البيانات الشخصية للاطلاع عليها أو الحصول عليها أو استعمالها. ٥ – اختراق البيانات الشخصية: الدخول غير المشروع إلى البيانات الشخصية بشكل يؤدي إلى تدميرها أو تغييرها أو الإفصاح عنها أو الوصول إليها أو معالجتها بصورة غير قانونية.

المادة 2

الفصل الأول · تعريفات وأحكام عامة

يلتزم المتحكم أو المعالج – بحسب الأحوال – بموافاة الإدارة المختصة بأي مستندات أو بيانات أو معلومات وغيرها خلال (٣٠) ثلاثين يوما من تاريخ طلبها.

المادة 3

الفصل الأول · تعريفات وأحكام عامة

يجوز للمتحكم في سبيل معالجته للبيانات الشخصية التعاقد مع المعالج، ويكون المعالج في علاقته بالغير فيما يقدمه من خدمات نائبا عن المتحكم، وذلك في نطاق تطبيق أحكام المسؤولية المدنية، والمسؤولية الإدارية أمام الوزارة، ودون الإخلال بالمسؤولية الجزائية للمعالج عما يقع منه بالمخالفة لأحكام القانون وهذه اللائحة.

المادة 4

الفصل الأول · تعريفات وأحكام عامة

يلتزم المتحكم قبل معالجة البيانات الشخصية بالحصول على الموافقة الصريحة لصاحب البيانات الشخصية، ويشترط للاعتداد بالموافقة الآتي: ١ – أن تصدر الموافقة من شخص كامل الأهلية. ٢ – أن تصدر الموافقة بطريقة واضحة ودون إكراه. ٣ – أن تكون الموافقة كتابية أو إلكترونية أو بأي وسيلة أخرى يحددها المتحكم.

المادة 5

الفصل الثاني · إجراءات الحصول على التصريح

في نطاق تطبيق حكم المادة (٥) من القانون، يلتزم المتحكم بالحصول على تصريح من الوزارة قبل معالجة أي من البيانات الشخصية وفقا للنموذج المعد لذلك، متضمنا البيانات الآتية: ١ – الاسم والعنوان والبريد الإلكتروني لمسؤول حماية البيانات الشخصية. ٢ – الغرض من معالجة البيانات الشخصية. ٣ – تحديد وتصنيف البيانات الشخصية التي ستتم معالجتها. ٤ – المعالج الذي سيتم التعاقد معه لمعالجة البيانات الشخصية (إن وجد). ٥ – تحديد أي جهة أو طرف ثالث يتم الإفصاح له عن البيانات الشخصية التي ستتم معالجتها. ٦ – الأماكن التي سيتم نقل أو حفظ البيانات الشخصية فيها. ٧ – تحديد نظم إدارة وحماية البيانات الشخصية. ٨ – أي بيانات أخرى تطلبها الوزارة.

المادة 6

الفصل الثاني · إجراءات الحصول على التصريح

يلتزم المتحكم عند تقديم طلب التصريح بإرفاق سياسة حماية البيانات الشخصية الخاصة به، والتدابير الاحترازية المعتمدة لديه عند حدوث اختراق للبيانات الشخصية.

المادة 7

الفصل الثاني · إجراءات الحصول على التصريح

تتولى الإدارة المختصة دراسة طلب التصريح والبت فيه خلال مدة لا تتجاوز (٤٥) خمسة وأربعين يوما من تاريخ استيفاء البيانات والمستندات المطلوبة، وفي حال رفض الطلب يجب أن يكون القرار مسببا، ويعتبر انقضاء تلك المدة دون رد رفضا للطلب. ويجوز لطالب التصريح التظلم إلى الوزير من قرار الرفض خلال (٦٠) ستين يوما من تاريخ إخطاره بالقرار أو علمه به علما يقينيا، ويعتبر عدم الرد على التظلم خلال مدة (٣٠) ثلاثين يوما من تاريخ تقديمه رفضا له.

المادة 8

الفصل الثاني · إجراءات الحصول على التصريح

يصدر التصريح من الوزير لمدة لا تزيد على (٥) خمسة أعوام متضمنا بيانات المصرح له، وبعد سداد الرسوم المقررة، ويكون تجديد التصريح لمدة أو مدد مماثلة بذات الإجراءات المنصوص عليها في هذا الفصل.

المادة 9

الفصل الثاني · إجراءات الحصول على التصريح

يلتزم المتحكم بإخطار الإدارة المختصة – على النموذج المعد لذلك – بأي تعديلات في البيانات الواردة في التصريح الصادر له، وذلك خلال (١٥) خمسة عشر يوما من تاريخ إجراء تلك التعديلات.

المادة 10

الفصل الثاني · إجراءات الحصول على التصريح

يلغى التصريح في إحدى الحالات الآتية: ١ – بناء على طلب المتحكم. ٢ – إذا ارتكب المتحكم مخالفة لأحكام القانون أو هذه اللائحة. ٣ – عدم إخطار الإدارة المختصة بالتعديلات على بيانات التصريح خلال المدة المحددة. ٤ – إذا ثبت حصول المتحكم على التصريح عن طريق الغش أو التدليس أو التزوير أو تقديم بيانات أو معلومات غير صحيحة.

المادة 11

الفصل الثالث · معالجة البيانات الشخصية للطفل

يجب على المتحكم أو المعالج – بحسب الأحوال – الحصول على الموافقة الصريحة لولي أمر الطفل قبل القيام بمعالجة بياناته الشخصية. ويجوز للمتحكم أو المعالج – بحسب الأحوال – أن يطلب من الطفل الحد الأدنى من بيانات ولي أمره، وذلك بغرض التحقق من هويته والحصول على موافقته.

المادة 12

الفصل الثالث · معالجة البيانات الشخصية للطفل

يجب على المتحكم أو المعالج – بحسب الأحوال – عند معالجة البيانات الشخصية للطفل التقيد بالضوابط الآتية: ١ – أن يكون الهدف من المعالجة واضحا ومباشرا وآمنا وخاليا من التدليس والتضليل. ٢ – أن تكون المعالجة مقتصرة على الحد الأدنى من البيانات الشخصية لتحقيق الغرض المحدد منها.

المادة 13

الفصل الثالث · معالجة البيانات الشخصية للطفل

يجب على المتحكم أو المعالج – بحسب الأحوال – تحديد وتوفير الوسائل التي تمكن ولي أمر الطفل من الوصول إلى البيانات الشخصية لطفله، وذلك لتحديثها وتعديلها.

المادة 14

الفصل الثالث · معالجة البيانات الشخصية للطفل

لا يجوز للمتحكم أو المعالج – بحسب الأحوال – الإفصاح عن البيانات الشخصية للطفل أو مشاركتها مع الغير إلا بعد الحصول على الموافقة الصريحة لولي الأمر بذلك.

المادة 15

الفصل الثالث · معالجة البيانات الشخصية للطفل

ينوب عن الشخص عديم أو ناقص أو فاقد الأهلية وليه أو الوصي أو القيم عليه بحسب الأحوال، وتسري بشأن معالجة بياناته الشخصية الأحكام المنصوص عليها في هذا الفصل.

المادة 16

الفصل الرابع · حقوق صاحب البيانات الشخصية

يجوز لصاحب البيانات الشخصية تقديم طلب كتابي للمتحكم لممارسة أي من حقوقه المنصوص عليها في البنود (أ، ب، ج، د، هـ) من المادة (١١) من القانون وذلك بدون مقابل، ويجب على المتحكم البت في الطلب خلال مدة لا تتجاوز (٤٥) خمسة وأربعين يوما من تاريخ تسلمه الطلب. ويجوز لصاحب البيانات الشخصية أن يطلب وقف معالجة بياناته الشخصية إلى حين البت في الطلب.

المادة 17

الفصل الرابع · حقوق صاحب البيانات الشخصية

يجوز للمتحكم رفض طلب صاحب البيانات الشخصية جزئيا أو كليا إذا كان الطلب متكررا بشكل غير مبرر، أو أن تنفيذه يتطلب جهدا غير عادي. وفي جميع الأحوال، يلتزم المتحكم بإخطار صاحب البيانات الشخصية بقرار الرفض مسببا خلال المدة المنصوص عليها في المادة (١٦) من هذه اللائحة.

المادة 18

الفصل الرابع · حقوق صاحب البيانات الشخصية

لصاحب البيانات الشخصية الحق في طلب محو بياناته الشخصية لدى المتحكم في أي من الحالات الآتية: ١ – إذا انتهى الغرض من المعالجة. ٢ – إذا ألغى موافقته على معالجة بياناته، وذلك دون الإخلال بحكم المادة (١٧) من هذه اللائحة. ٣ – إذا كانت معالجة البيانات لا تتوافق مع أحكام القانون أو هذه اللائحة. ويجوز للمتحكم – بحسب الأحوال – رفض طلب صاحب البيانات الشخصية في الحالات الآتية: ١ – تنفيذ التزام قانوني ملقى على عاتق المتحكم بموجب أي قانون أو حكم أو قرار قضائي. ٢ – وجود نزاع قائم بين المتحكم وصاحب البيانات الشخصية.

المادة 19

الفصل الرابع · حقوق صاحب البيانات الشخصية

يحق لصاحب البيانات الشخصية أن يطلب من المتحكم نسخة من بياناته الشخصية المعالجة بصيغة مقروءة وواضحة إلكترونية أو ورقية، شريطة التأكد من خلو النسخة التي قدمها من أي بيانات شخصية تحدد هوية شخص آخر.

المادة 20

الفصل الرابع · حقوق صاحب البيانات الشخصية

يحق لصاحب البيانات الشخصية أن ينقل بياناته الشخصية إلى متحكم جديد، على أن يقوم المتحكم بنقل البيانات الشخصية للمتحكم الجديد إذا كان ملزما قانونا بذلك.

المادة 21

الفصل الخامس · التزامات المتحكم والمعالج

يلتزم المتحكم أو المعالج – بحسب الأحوال – بوضع سياسة حماية البيانات الشخصية في مكان ظاهر يتيح لصاحب البيانات الشخصية الاطلاع عليها قبل معالجة بياناته، على أن تتضمن تلك السياسة – على الأقل – آلية وإجراءات ممارسة صاحب البيانات الشخصية لحقوقه المنصوص عليها في القانون وهذه اللائحة.

المادة 22

الفصل الخامس · التزامات المتحكم والمعالج

يجب على المتحكم قبل إرسال أي مادة إعلانية أو تسويقية أو ذات أغراض تجارية لصاحب البيانات الشخصية الالتزام بالآتي: ١ – الحصول على الموافقة الكتابية لصاحب البيانات الشخصية. ٢ – إخطار صاحب البيانات الشخصية بوسيلة إرسال المواد الإعلانية أو التسويقية أو التجارية. ٣ – تحديد آلية إيقاف استقبال المواد الإعلانية أو التسويقية أو التجارية. ٤ – التوقف عن إرسال المواد الإعلانية أو التسويقية أو التجارية فور تلقي طلب الإيقاف من صاحب البيانات الشخصية وبدون مقابل.

المادة 23

الفصل الخامس · التزامات المتحكم والمعالج

يلتزم المتحكم والمعالج بتعيين المدقق الخارجي، وذلك وفق الاشتراطات الآتية: ١ – أن يكون معتمدا ومرخصا له من قبل الوزارة. ٢ – أن يكون مستقلا وغير مرتبط بأي اتصال مباشر أو غير مباشر مع المتحكم أو المعالج. وفي جميع الأحوال، يلتزم المتحكم والمعالج بتمكين المدقق الخارجي من الاطلاع وفحص السجلات وأنظمة المعالجة والبيانات اللازمة لأعمال التدقيق.

المادة 24

الفصل الخامس · التزامات المتحكم والمعالج

يجب على المتحكم والمعالج موافاة الإدارة المختصة بنسخة من تقرير المدقق الخارجي خلال مدة لا تتجاوز (٦٠) ستين يوما من تاريخ تعيين المدقق الخارجي.