القواعد المنظمة لإصدار شهادات الاعتماد لجهات التحكم وجهات المعالجة

الفصل الأول: التعريفات والنطاق والأهداف

المادة الأولى: التعريفات

تكون للألفاظ والعبارات الواردة في هذه القواعد المعاني المبينة لها أمام كل منها في المادة (الأولى) من نظام حماية البيانات الشخصية (النظام) الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ وتعديلاته، والمادة (الأولى) من اللائحة التنفيذية لنظام حماية البيانات الشخصية، والمادة (الأولى) من لائحة نقل البيانات الشخصية إلى خارج المملكة (اللوائح) ويُقصد بالألفاظ والعبارات الآتية -أينما وردت في هذه القواعد- المعاني المبينة أمام كل منها، ما لم يقتضِ السياق خلاف ذلك: 

1. القواعد: القواعد المنظمة لإصدار شهادات الاعتماد لجهات التحكم وجهات المعالجة.
2. الجهة المرخص لها: جهة حاصلة على ترخيص من قبل الجهة المختصة لممارسة أنشطة إصدار شهادات الاعتماد.
3. مقدم الطلب: جهة التحكم أو جهة المعالجة -سواء كانت تمارس نشاطها داخل أو خارج المملكة- التي تتقدم بطلب للحصول على شهادة اعتماد من قبل جهة مرخص لها.
4. شهادة الاعتماد: شهادة تصدرها الجهة المرخص لها -بإصدار شهادات الاعتماد- لجهات التحكم أو جهات المعالجة، تتضمن التأكيد على أن الممارسات والإجراءات التي يتم اتباعها لدى جهة التحكم أو جهة المعالجة -عند معالجة البيانات الشخصية- متوافقة مع أحكام النظام واللوائح والمتطلبات المنصوص عليها في هذه القواعد.
5. تقرير تقييم إصدار شهادات الاعتماد: تقرير يُعد من الجهة المرخص لها بإصدار شهادات الاعتماد يتضمن نتائج تقييم الممارسات والإجراءات المتبعة عند معالجة البيانات الشخصية في ضوء أحكام النظام واللوائح، وفقاً للآلية والمعايير التي تحددها الجهة المختصة.
6. المنصة الخاصة بالجهة المختصة: منصة إلكترونية تابعة للجهة المختصة تهدف إلى تقديم الخدمات الداعمة لتطبيق أحكام النظام واللوائح.

المادة الثانية: النطاق والهدف

تطبق هذه القواعد على المرخص لهم بممارسة أنشطة إصدار شهادات الاعتماد، إضافةً إلى مقدمي طلبات الحصول على شهادة الاعتماد سواءً أكانت جهات تحكم أو جهات معالجة، كما تهدف إلى:

1. رفع مستوى أداء الجهات المشمولة بتطبيق النظام في الجوانب المتعلقة بممارسات وإجراءات حماية البيانات الشخصية.
2. تعزيز ثقة أصحاب البيانات الشخصية بجهات التحكم وجهات المعالجة بالممارسات والإجراءات المتبعة في التعامل مع البيانات الشخصية.

 الفصل الثاني: متطلبات الحصول على شهادة الاعتماد

المادة الثالثة: الاشتراطات العامة لمنح شهادة الاعتماد

على مقدم الطلب استيفاء الشروط الآتية:

1. أن يكون مسجلاً في السجل الوطني لجهات التحكم وفقاً للأحكام المنظمة لذلك.
2. أن تكون أنشطة معالجة البيانات الشخصية وفقاً لممارسات وإجراءات متوافقة مع أحكام النظام واللوائح، بناءً على نتائج تقييم تجريه الجهة المرخص لها.
3. الإفصاح عن الشكاوى السابقة والحالية المقدمة ضد مقدم الطلب والمرتبطة بتطبيق أحكام النظام واللوائح.
4. الإفصاح عن أي مخالفات ناشئة عن تطبيق أحكام النظام واللوائح تم رصدها لدى مقدم الطلب مُسبقاً من قبل الجهة المختصة.

وللجهة المختصة اتخاذ ما يلزم من إجراءات للتحقق من استيفاء الاشتراطات المنصوص عليها في هذه المادة، إضافةً إلى التحقق من عدم وجود إجراءات استدلال قائمة في شأن اشتباه بمخالفة مقدم الطلب لأحكام النظام.

المادة الرابعة: متطلبات الحصول على شهادة الاعتماد

يجب أن يتوافر لدى مقدم الطلب ما يأتي:

1. أدوات ووسائل وإجراءات للتحقق من تنفيذ أنشطة معالجة البيانات الشخصية وفقاً لأحكام النظام واللوائح.
2. إجراءات موثقة ومعتمدة لتحديد وتطبيق التدابير التنظيمية والإدارية والتقنية الكافية لحماية البيانات الشخصية، إضافةً إلى إجراءات مراقبة مدى فعالية التدابير بشكل دوري.
3. وجود إجراءات موثقة ومعتمدة للتعامل مع حوادث تسرب البيانات الشخصية، ومراجعتها بشكل دوري.
4. عاملون مؤهلون نظامياً وتقنياً لديهم خبرات في الجوانب النظامية لحماية البيانات الشخصية، والجوانب التقنية لإجراءات وممارسات حماية البيانات الشخصية، بما لا يقل عن (3) سنوات من ممارسة العمل في هذه المجالات، إضافةً إلى مسؤول حماية البيانات الشخصية.
5. خطط سنوية تتضمن برامج وورش عمل تدريبية وتوعوية في مجال حماية البيانات الشخصية موجهة للعاملين على اختلاف أدوارهم ومسؤولياتهم.
6. أي متطلبات أخرى تحددها الجهة المرخص لها، بما يتفق مع أحكام النظام واللوائح، وما تصدره الجهة المختصة في شأن الالتزام بأحكام النظام واللوائح.

 الفصل الثالث: إجراءات طلب الحصول على شهادة الاعتماد

المادة الخامسة: تقديم طلب الحصول على شهادة الاعتماد

يتم تقديم طلب الحصول على شهادة اعتماد من خلال وسيلة تحددها الجهة المختصة، مع مراعاة الآتي:

1. التحقق من قائمة الجهات المرخص لها والمنشورة على المنصة الخاصة بالجهة المختصة.
2. تقديم نسخة من الوثائق الداعمة للاشتراطات وللمتطلبات المنصوص عليها في المادة (الثالثة) و(الرابعة) من هذه القواعد.
3. أي إجراءات إضافية تحددها الجهة المختصة تتعلق بتقديم الطلب.

المادة السادسة: تقييم طلب الحصول على شهادة الاعتماد

1. تقوم الجهة المرخص لها بتقييم الطلب وفقاً للمتطلبات المنصوص عليها في المادة (الثالثة) و(الرابعة) من هذه القواعد، على أن تتم دراسة الطلب وإصدار تقرير تقييم إصدار شهادات الاعتماد خلال مدة أقصاها (90) يوم عمل من تاريخ استلامه، وإشعار مقدم الطلب بنتيجة التقييم ونسخة من التقرير.
2. في حال رفض الطلب، يجوز لمقدم الطلب إعادة تقديم الطلب مرة أخرى بعد معالجة أسباب عدم قبول طلب إصدار شهادة الاعتماد.
3. في حال قبول الطلب، تصدر الجهة المرخص لها شهادة الاعتماد، وتزود مقدم الطلب بنسخة من التقرير.

المادة السابعة: العناصر الفنية لشهادة الاعتماد

يتم إصدار شهادة الاعتماد وفق الحد الأدنى للعناصر الفنية الآتية:

1. رقم شهادة الاعتماد.
2. بيانات الجهة التي صدر لها شهادة الاعتماد ووسيلة التواصل معها.
3. تاريخ إصدار شهادة الاعتماد وفترة سريانها.
4. بيانات الجهة المرخص لها بمنح شهادة الاعتماد ووسيلة التواصل معها.

وللجهة المختصة تحديد أي عناصر إضافية لإصدار شهادة الاعتماد.

المادة الثامنة: التزامات الأطراف

1. تلتزم الجهة التي صدر لها شهادة اعتماد بضمان توافر المتطلبات الواردة في المادة (الرابعة) من هذه القواعد خلال مدة سريان الشهادة المحددة في المادة (التاسعة) من هذه القواعد، وإشعار الجهة المرخص لها والجهة المختصة في حال عدم تمكنها من الالتزام.
2. تلتزم الجهة التي خارج المملكة بإشعار الجهة المرخص لها في حال وجود أي تغيير في المتطلبات النظامية أو الممارسات لدى الدولة تتعارض مع أي من اشتراطات ومتطلبات الحصول على شهادة الاعتماد المنصوص عليها في المادة (الثالثة) و(الرابعة) من هذه القواعد، على أن تقوم الجهة المرخص لها بإشعار الجهة المختصة بذلك.
3. تلتزم الجهة التي خارج المملكة والتي صدرت لها شهادة اعتماد بموجب هذه القواعد، بالتعاون مع الجهة المختصة والجهة المرخص لها حيال أي طلبات متعلقة بالنظام واللوائح وهذه القواعد.
4. تلتزم الجهة المرخص لها بإجراء تقييم الممارسات والإجراءات المتبعة بناءً على طلب من الجهة المختصة؛ لضمان استمرار التزام الجهة التي صدرت لها شهادة الاعتماد بأحكام النظام واللوائح والاشتراطات والمتطلبات المنصوص عليها في المادة (الثالثة) والمادة (الرابعة) من هذه القواعد، أو في حال ورود شكوى أو رصد مخالفة ناشئة عن تطبيق أحكام النظام واللوائح.

 الفصل الرابع: مدة شهادة الاعتماد أو تجديدها أو سحبها

المادة التاسعة: مدة شهادة الاعتماد

تُمنح شهادة الاعتماد من قبل الجهة المرخص لها لمدة (سنتين) تبدأ من تاريخ الإصدار.

المادة العاشرة: تجديد شهادة الاعتماد

1. للجهة التي صدر لها شهادة اعتماد التقدم بطلب تجديدها من الجهة المرخص لها خلال مدة لا تقل عن (30) يوم عمل سابقة لتاريخ انتهائها، على أن تتم الموافقة على التجديد بعد التأكد من توافر الاشتراطات والمتطلبات الواردة في المادة (الثالثة) و(الرابعة) من هذه القواعد، وتكون مدة شهادة الاعتماد عند التجديد وفقاً للمدة المحددة في المادة (التاسعة) من هذه القواعد.
2.  للجهة في حال تعذر تجديد الترخيص من الجهة المرخص لها لأسباب تتعلق بإيقاف أو سحب أو إلغاء الترخيص، التقدم بطلب جديد لإحدى الجهات المرخص لها بإصدار شهادات الاعتماد.

المادة الحادية عشرة: سحب شهادات الاعتماد أو الإلغاء

1. على الجهة المرخص لها سحب شهادة الاعتماد في الأحوال الآتية:

1. عدم التزام الجهة التي صدرت لها شهادة الاعتماد بالاشتراطات والمتطلبات الواردة في المادة (الثالثة) و(الرابعة) من هذه القواعد، أو بأحكام النظام واللوائح، أو ما تصدره الجهة المختصة من تعليمات فيما يتعلق بشهادة الاعتماد.
2. قيام الجهة التي صدر لها شهادة الاعتماد بتزويد الجهة المرخص لها بمعلومات خاطئة أو عدم إفصاحها عن معلومات كان عليها الإفصاح عنها قبل أو بعد الحصول على شهادة الاعتماد.
3. للجهة المختصة توجيه الجهة المرخص لها بسحب شهادة الاعتماد إذا تبين لها أن الجهة التي صدر لها شهادة الاعتماد خالفت أياً مما ورد في الفقرة الفرعية (أ) من الفقرة (1) من هذه المادة.
4. تشعر الجهة المرخص لها الجهة التي تم سحب شهادة الاعتماد منها بمسببات السحب، وللجهة الاعتراض لدى الجهة المرخص لها خلال مدة (30) يوم عمل من تاريخ السحب أو تعديل أوضاعها وتقديم ما يثبت ذلك في حال كان سحب الشهادة وفقاً لما ورد في الفقرة الفرعية (أ) من الفقرة (1) من هذه المادة.
5. على الجهة التي تم سحب شهادة الاعتماد منها التوقف فوراً عن استخدامها، كما تلتزم بخطة معالجة كافة العواقب التي قد تنشأ عن السحب.

2. تكون شهادة الاعتماد الصادرة لأي من الجهات بموجب هذه القواعد ملغاة في الأحوال الآتية:

1. تحوّل الكيان النظامي لشكل نظامي آخر.
2. انقضاء الكيان النظامي للجهة التي صدر لها شهادة الاعتماد؛ وفقاً للأنظمة ذات العلاقة.
3. تحوّل الجهة التي صدر لها شهادة الاعتماد أو اندماجها أو تقسيمها؛ وفقاً لما ورد في نظام الشركات.

 الفصل الخامس: أحكام عامة

المادة الثانية عشرة: تعارض المصالح

يلتزم منسوبو الجهة المرخص لها بالإفصاح عن أي تعارض فعلي أو محتمل في المصالح مع مقدم الطلب.

المادة الثالثة عشرة: النشر

تنشر الجهة المختصة على موقعها الرسمي قائمة بالجهات التي صدر لها شهادة الاعتماد، بما يشمل مدة سريان الشهادة وبيانات التواصل الرسمية الخاصة بكل جهة صدر لها شهادة اعتماد.

المادة الرابعة عشرة: المراجعة والتعديل

للجهة المختصة -عند الاقتضاء- مراجعة هذه القواعد ولها إجراء أي تعديل أو تحديث عليها.

المادة الخامسة عشرة: النفاذ

يُعمل بهذه القواعد من تاريخ نشرها في الموقع الرسمي للجهة المختصة.