تسجيل الجهات الخاصة

المقدمة

إشارةً إلى نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 1443/2/9هـ والمعدل بالمرسوم الملكي رقم (م/148) وتاريخ 1444/9/5هـ الذي نص في الفقرة الرابعة من المادة (الثلاثون) من النظام على أنه: "للجهة المختصة في سبيل مباشرتها مهماتها المتعلقة بالإشراف على تطبيق أحكام النظام واللوائح، اتخاذ ما يأتي: ... ج- تحديد الأدوات والآليات المناسبة في شأن مراقبة ومتابعة التزام جهات التحكم بأحكام النظام واللوائح، بما في ذلك بناء سجل وطني لهذا الغرض عن جهات التحكم"، وتنفيذاً للمادة (الرابعة والثلاثون) من اللائحة التنفيذية للنظام المتضمنة أن تصدر الجهة المختصة قواعد التسجيل في السجل الوطني لجهات التحكم، عليه تم إصدار هذه القواعد لجهات التحكم داخل المملكة؛ وذلك لتحديد ومعرفة مدى إلزامية جهات التحكم بالتسجيل في منصة حوكمة البيانات الوطنية، كما ستصدر الجهة المختصة قواعد التسجيل لجهات التحكم خارج المملكة.

المادة الأولى: التعريفات

تكون الألفاظ والعبارات الواردة في هذه القواعد للمعاني المبينة أمام كل منها في المادة (الأولى) من نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 1443/2/9هـ وتعديلاته، والمادة (الأولى) من اللائحة التنفيذية لنظام حماية البيانات الشخصية، ما لم يرد لها تعريف خاص في هذه القواعد، يُقصد بالألفاظ والعبارات الآتية - أينما وردت في هذه القواعد - المعاني المبينة أمام كل منها، ما لم يقتضِ السياق غير ذلك:

1. القواعد: القواعد المنظمة للسجل الوطني لجهات التحكم داخل المملكة.
2. الجهة المختصة: الهيئة السعودية للبيانات والذكاء الاصطناعي.
3. المنصة: منصة حوكمة البيانات الوطنية.
4. السجل الوطني: هو سجل يتضمن جهات التحكم العامة، الخاصة، والأفراد داخل المملكة التي تعمل على معالجة البيانات الشخصية، وذلك بهدف مراقبة ومتابعة جهات التحكم ومساعدتها في رفع مستوى الالتزام بأحكام النظام واللوائح، بالإضافة إلى تقديم الخدمات المتعلقة بحماية البيانات الشخصية.
5. الممثل: أي شخص ذي صفة طبيعية يتم تعيينه من قبل جهة التحكم العامة أو الخاصة لغرض استكمال إجراءات التسجيل في المنصة.
6. الأفراد: أي شخص ذي صفة طبيعية يقوم بمعالجة البيانات الشخصية لأغراض تتجاوز الاستخدام الشخصي أو العائلي.

المادة الثانية: النطاق والهدف

تطبق هذه القواعد على جهات التحكم المشمولة بنطاق تطبيق نظام حماية البيانات الشخصية المُلزَمة بالتسجيل في المنصة في أي من الأحوال الآتية:

1. إذا كانت جهة التحكم جهة عامة.
2. إذا كان النشاط الرئيسي لجهة التحكم قائماً على معالجة البيانات الشخصية.
3. إذا كانت جهة التحكم تعالج بيانات حساسة.
4. إذا كان الفرد يقوم بمعالجة البيانات الشخصية لأغراض تتجاوز الاستخدام الشخصي أو العائلي.

وذلك بهدف بناء سجل وطني لجهات التحكم العامة والخاصة والأفراد، والتي تعمل على معالجة البيانات الشخصية داخل المملكة، إضافة إلى مراقبة ومتابعة جهات التحكم ومساعدتها في رفع مستوى الالتزام بتطبيق أحكام النظام واللوائح، وتقديم الخدمات المتعلقة بحماية البيانات الشخصية، وذلك بالتسجيل في المنصة.

المادة الثالثة: تعيين الممثل

1. جهة التحكم العامة: يتم تعيين ممثل عنها من خلال نموذج التسجيل المرسل من قبل الجهة المختصة.
2. جهة التحكم الخاصة: يتم تعيين ممثل عنها من خلال المنصة من قبل صاحب الصلاحية.
3. الأفراد: يعتبر الأفراد هم الممثلين لأنفسهم ولا يسمح لهم بتسمية أشخاص آخرين.

المادة الرابعة: إجراءات التسجيل

1. على الممثل استكمال إجراءات التسجيل في المنصة عند تحقق أحد الأحوال المنصوص عليها في المادة(الثانية) من هذه القواعد، وتحديد مدى الحاجة إلى تعيين مسؤول حماية البيانات الشخصية وفقاً للأحوال المنصوص عليها في المادة (الثانية والثلاثون) من اللائحة التنفيذية لنظام حماية البيانات الشخصية وقواعد تعيين مسؤول حماية البيانات الشخصية.
2. على الأفراد استكمال إجراءات التسجيل في المنصة عند تحقق أحد الأحوال المنصوص عليها في المادة(الثانية) من هذه القواعد.

المادة الخامسة: بيانات الملف التعريفي

1. يتم استكمال الملف التعريفي لجهة التحكم من خلال قيام الممثل بتعبئة الحقول المطلوبة في المنصة، ومنها:
   أ. بيانات الجهة: تشمل شعار الجهة، والبريد الإلكتروني، ورقم التواصل الرسمي، والمقر الرئيسي.
   ب. بيانات الممثل: تشمل البريد الإلكتروني، ورقم التواصل الرسمي.
2. يتم استكمال الملف التعريفي للفرد من خلال قيامه بتعبئة الحقول المطلوبة في المنصة ومنها: البريد الإلكتروني، ورقم التواصل.

المادة السادسة: أحوال تعيين مسؤول حماية البيانات الشخصية

تقوم جهة التحكم بتعيين أو تحديد شخص أو أكثر ليكون مسؤوًلا عن حماية البيانات الشخصية وفقاً للأحوال المنصوص عليها في المادة (الثانية والثلاثون) من اللائحة التنفيذية لنظام حماية البيانات الشخصية وقواعد تعيين مسؤول حماية البيانات الشخصية.

المادة السابعة: بيانات مسؤول حماية البيانات الشخصية

1. في حال تم تعيين مسؤول حماية البيانات الشخصية وفقاً لما ورد في المادة (السادسة) من هذه القواعد، يقوم الممثل بتعبئة بيانات مسؤول حماية البيانات الشخصية في المنصة ليتم إنشاء حساب جهة التحكم.
2. في حال كان مسؤول حماية البيانات الشخصية موظفاً لدى جهة التحكم أو متعاقداً خارجياً، يقوم الممثل بتعبئة البيانات الآتية:
   أ. رقم الهوية الوطنية/الإقامة وذلك ليتم استرداد بيانات المسؤول.
   ب. تاريخ الميلاد وذلك للتحقق من صحة رقم الهوية الوطنية/الإقامة المدخلة.
   ت. تمعلومات التواصل الرسمية (رقم التواصل، البريد الإلكتروني)
3. في حال كان مسؤول حماية البيانات الشخصية متعاقداً خارج المملكة، يقوم الممثل بتعبئة البيانات الآتية:
   أ. الاسم الأول والأخير.
   ب. البريد الإلكتروني الرسمي.
   ت. رقم التواصل الرسمي.
4. يجوز للممثل تعيين نفسه كمسؤول حماية البيانات الشخصية في حال تم تعيينه من قبل جهة التحكم.

المادة الثامنة: الالتزامات

1. يلتزم الممثل عند استخدام المنصة بكل مما يأتي:
   أ. استكمال آلية تسجيل الجهة.
   ب. تعبئة بيانات مسؤول حماية البيانات الشخصية وفقاً للمادة (السابعة) من هذه القواعد.
   ت. تعبئة بيانات مدير مكتب البيانات للجهة (إن وجد).
   ث. الاطلاع على نتائج تقييم الالتزام والخدمات المقدمة.
   ج. استخدام خدمات المنصة، في حال لم يتم تعيين مسؤول حماية البيانات الشخصية وفقاً لما نصت عليه المادة (السادسة) من هذه القواعد.
   ح. تحديث بيانات جهة التحكم بشكل مستمر للتأكد من حداثتها.
2. يلتزم الأفراد عند استخدام المنصة بكل مما يأتي:
   أ. استكمال آلية التسجيل.
   ب. استخدام خدمات المنصة.
   ت. تحديث البيانات بشكل مستمر للتأكد من حداثتها.
3. يلتزم مسؤول حماية البيانات الشخصية - في حال تعيينه - باستخدام خدمات المنصة المنصوص عليها في المادة (الثانية عشرة) من هذه القواعد.

المادة التاسعة: استبدال الممثل

1. على جهة التحكم العامة التواصل مع الجهة المختصة في حال رغبتها في استبدال الممثل، من خلال وسائل التواصل الرسمية المتوفرة في المنصة.
2. على جهة التحكم الخاصة في حال رغبتها في استبدال الممثل استخدام النموذج المتوفر في المنصة.

المادة العاشرة: إصدار شهادة التسجيل

1. يتم إصدار شهادة التسجيل فور إتمام إجراءات التسجيل المنصوص عليها في المادة (الرابعة) من هذه القواعد، وتتضمن الشهادة المعلومات الآتية:
   أ. الرقم التسلسلي الخاص بالتسجيل.
   ب. اسم الجهة/ الفرد.
   ت. شعار الجهة.
   ث. عنوان الجهة.
   ج. البريد الإلكتروني الرسمي للجهة/ للفرد.
   ح. رقم التواصل الرسمي للجهة/ للفرد.
   خ. تاريخ الإصدار والانتهاء.
   د. رمز الاستجابة السريعة (QR code).
2. تكون مدة صلاحية الشهادة (5) سنوات كحد أقصى.
3. يتم إشعار جهة التحكم بموعد انتهاء مدة صلاحية شهادة التسجيل قبل (30) يوماً من تاريخ الانتهاء، وفي حال انتهاء مدة صلاحية الشهادة يمكن لجهة التحكم الاستفادة من الخدمات المقدمة في المنصة خلال مدة لا تزيد على (5) أيام، بعد ذلك لا يمكن الاستفادة من الخدمات المقدمة إلا بطلب التجديد.

المادة الحادية عشرة: إتاحة شهادة التسجيل للعموم

تتيح الجهة المختصة للعموم التحقق من تسجيل جهات التحكم في السجل الوطني من خلال استعراض شهادة التسجيل والتحقق من صحتها، ولا يترتب عليها أي اشتراطات، وذلك بهدف حماية البيانات الشخصية ورفع مستوى الثقة في الخدمات المقدمة.

المادة الثانية عشرة: الخدمات المقدمة في المنصة

تقدم المنصة مجموعة من الخدمات الإلكترونية؛ بغرض حماية البيانات كأصول وطنية، وحماية حقوق الأفراد من التجاوزات والانتهاكات غير النظامية، ومنها ما يأتي:

1. خدمة إشعار عن حادثة تسرب البيانات: خدمة تتيح لجهات التحكم الإشعار عن حادثة تسرب البيانات الشخصية للجهة المختصة خلال مدة لا تتجاوز (72) ساعة من وقت علمها بالحادثة، إذا كان من شأن تلك الحادثة الإضرار بالبيانات الشخصية أو صاحب البيانات الشخصية أو كانت تتعارض مع حقوقه أو مصالحه وفقاً للمادة (الرابعة والعشرون) من اللائحة التنفيذية لنظام حماية البيانات الشخصية.
2. خدمة تقييم الأثر على الخصوصية: هي أداة تمكن من إجراء تحليل للأثر الناتج عن معالجة البيانات الشخصية في المنتجات والخدمات التي تقدمها، ويتم من خلالهــــا تحديــد نطــــاق وأهداف المعالجـــة وتحديــد المسوغــــات النظامية ومعرفة المخاطر التي قد تنتج من معالجة البيانات الشخصية.
3. خدمة الدعم القانوني: تقديم الدعم والإرشاد لمساعدة الجهات العامة في فهم نظام حماية البيانات الشخصية ولوائحه، وتفسير الأحكام والمتطلبات المنصوص عليها، والتوجيه إلى جميع الأدلة واللوائح ذات العلاقة، مما يساهم في ضمان التطبيق الفعال وتحقيق الأهداف المرجوة.
4. خدمة تقييم الالتزام: تقييم الالتزام بشكل دوري من خلال معايير ومتطلبات محددة لمتابعة مستوى التزامهم والتأكد من فعالية الإجراءات المتخذة من قبلهم لتطبيق أحكام الأنظمة واللوائح والسياسات، واكتشاف الممارسات الخاطئة لمعالجتها وتحسين ممارسة الأعمال والإجراءات.

المادة الثالثة عشرة: المراجعة والتعديل

تقوم الجهة المختصة بمراجعة هذه القواعد متى ما اقتضت الحاجة، ولها إجراء أي تعديل أو تحديث عليها.

المادة الرابعة عشرة: النفاذ

يُعمل بهذه القواعد اعتباراً من تاريخ النشر في موقع الجهة المختصة الرسمي.

المرفقات: نموذج التسجيل