الدليل الاسترشادي لتقويم مخاطر نقل البيانات الشخصية إلى

تتضمن هذه المرحلة الخطوات المطلوبة قبل البدء في إجراء تقويم مخاطر النقل أو الإفصاح، والتي تشمل تحديد ما إذا كان الأمر يتطلب إجراء تقويم للآثار المترتبة والمخاطر المحتملة عن معالجة البيانات الشخصية عند تقديم خدمة أو منتج للعموم، والخطوات المرتبطة بذلك، وفي

هذه المرحلة يتم اتباع الخطوات الآتية: أ. تحديد مدى إلزامية تقويم الآثار المترتبة والمخاطر المحتملة: تتمثل هذه الخطوة في تقديم وصف شامل لتحديد مدى إلزامية إجراء تقويم للآثار المترتبة والمخاطر المحتملة عن معالجة البيانات الشخصية عند تقديم منتج أو خدمة للعموم، بحيث يتم التحقق من توفر أي من الأحوال المنصوص عليها في الفقرة (١)من المادة (الخامسة

والعشرين) من اللائحة التنفيذية للنظام، وفقاً للآتي:

1- في حال تضمنت المعالجة بيانات حساسة.

2- في حال جمع أو مقارنة أو ربط مجموعتين أو أكثر من مجموعات البيانات الشخصية

من مصادر متعددة.

3- في حال كان نشاط جهة التحكم يتضمن معالجة بيانات شخصية – على نطاق واسع أو بصورة متكررة – لناقصي أو عديمي الأهلية، أو عمليات المعالجة التي تتطلب بطبيعتها مراقبة مستمرة لأصحاب البيانات الشخصية، أو معالجة بيانات شخصية باستخدام تقنيات ناشئة، أو اتخاذ قرارات مبنية على المعالجة الآلية للبيانات الشخصية.

4- تقديم منتج أو خدمة تتضمن معالجة البيانات الشخصية التي من المحتمل أن تشكل

أضراراً جسيمة على خصوصية أصحاب البيانات الشخصية.

ب. وصف المنتج أو الخدمة: تتمثل هذه الخطوة في تقديم وصف شامل حول الخدمة أو المنتج الذي يتضمن معالجة للبيانات الشخصية، بما يساعد على تقييم مدى ارتباط المنتج أو الخدمة بنشاط الجهة، وارتباطه

بالغرض الذي تم جمع البيانات الشخصية من أجله. ج. تحديد الغرض:

تتمثل هذه الخطوة في تحديد الغرض بدقة ووضوح بما يضمن إمكانية تحديد ارتباطه بأنشطة معالجة البيانات الشخصية بصفةٍ عامة، والأنشطة المرتبطة بنقل البيانات الشخصية أو

الإفصاح عنها لجهات خارج المملكة على وجه الخصوص. د. تحديد سياق معالجة البيانات الشخصية:

تتمثل هذه الخطوة في وصف سياق المعالجة؛ في ضوء جميع المراحل الرئيسية لمعالجة البيانات الشخصية، ابتداًء من مرحلة جمع البيانات الشخصية وانتهاًء بمرحلة إتلافها، بما يشمل

مراحل الاحتفاظ والاستخدام والإفصاح عن البيانات الشخصية. ويتم وصف كل مرحلة من هذه المراحل من خلال تحديد أنشطة معالجة البيانات الشخصية المرتبطة بكل مرحلة، والعناصر الإضافية المرتبطة بكل نشاط من أنشطة المعالجة؛ بما

يتناسب مع كل مرحلة، على النحو الآتي: .1مرحلة الجمع: يتم تحديد جميع أنشطة المعالجة ذات الصلة بجمع البيانات

الشخصية، مع إيضاح العناصر المرتبطة بهذه الأنشطة، ومن بينها ما يأتي: أ. مصادر جمع البيانات الشخصية: يتم تحديد مصادر جمع البيانات الشخصية، سواًء تم الحصول عليها من أصحاب البيانات الشخصية مباشرةً أو من أطراف أخرى، ويتم

تحديد اسم الجهة إذا كان المصدر طرفاً آخر. ب. وسائل جمع البيانات الشخصية: يتم تحديد جميع وسائل جمع البيانات الشخصية، بما يشمل النماذج الإلكترونية وملفات تعريف الارتباط، أو غير ذلك من

الوسائل التي من الممكن جمع البيانات الشخصية من خلالها.

.2مرحلة التخزين/ الاحتفاظ: يتم تحديد جميع أنشطة المعالجة ذات الصلة بتخزين البيانات الشخصية والاحتفاظ بها، بما يشمل الاحتفاظ بها لأغراض التشغيل أو الأرشفة أو النسخ الاحتياطية، مع إيضاح العناصر الآتية لوصف الأنشطة المرتبطة بهذه المرحلة: أ. الموقع الجغرافي للتخزين/ الاحتفاظ: يتم تحديد الموقع الجغرافي لتخزين البيانات الشخصية أو الاحتفاظ بها بدقة ووضوح، بما يضمن تحديد الدولة التي

يتم تخزين البيانات الشخصية فيها. ب. مكان التخزين/ الاحتفاظ: يتم تحديد مكان تخزين البيانات أو الاحتفاظ بها، على سبيل المثال: التخزين في سحابة عامة أو في سحابة خاصة أو في مقر الجهة، أو

غير ذلك من أماكن التخزين أو الاحتفاظ. ج. فترة الاحتفاظ بالبيانات الشخصية: يتم تحديد فترة الاحتفاظ بالبيانات الشخصية بوضوح، وما إذا كانت الفترة مستندة إلى نص نظامي يوجب الاحتفاظ بالبيانات الشخصية لفترة محددة أو كان الاحتفاظ مرتبطاً بعدم انتهاء الغرض من

جمع البيانات الشخصية أو معالجتها. .3مرحلة الاستخدام: يتم تحديد جميع أنشطة المعالجة ذات الصلة باستخدام البيانات الشخصية، بما يشمل أنشطة "الوصول عن بعد" إلى البيانات الشخصية لأي غرض، مع إيضاح ارتباط كل نشاط من أنشطة الاستخدام بالغرض الموضح في الفقرة (2)من

الخطوات الواردة في هذا البند. .4مرحلة الإفصاح: يتم تحديد جميع أنشطة المعالجة ذات الصلة بالإفصاح عن البيانات الشخصية، إضافةً إلى الجهات التي يتم الإفصاح لها عن البيانات الشخصية، سواًء أكانت داخل أو خارج المملكة، بما يشمل عمليات الإفصاح عن البيانات الشخصية لأطراف

أخرى في نطاق تعاقدات لاحقة. .5مرحلة الإتلاف: يتم تحديد جميع أنشطة المعالجة ذات الصلة بإتلاف البيانات الشخصية، وما إذا كان الإتلاف مبنياً على انتهاء الغرض من جمع تلك البيانات أم مبنياً على انتهاء فترة الاحتفاظ بها، مع إيضاح الوسائل المستخدمة للإشعار عن انتهاء الفترة

المحددة للاحتفاظ، إضافةً إلى الوسائل المستخدمة لإتلاف البيانات الشخصية بطريقة آمنة.

مرحلة تقويم الآثار السلبية والمخاطر المحتملة عن معالجة البيانات الشخصية

تتضمن هذه المرحلة الخطوات المطلوبة لإجراء تقويم للآثار السلبية والمخاطر المحتملة التي قد تترتب على معالجة البيانات الشخصية عند تقديم خدمة أو منتج للعموم، والخطوات

المرتبطة بذلك، وفي هذه المرحلة يمكن اتباع الخطوات الآتية:

.1ربط العناصر المتعلقة بتقييم الآثار السلبية والمخاطر المحتملة – الموضحة أدناه - بكل نشاط من الأنشطة المحددة في سياق المعالجة المنصوص عليها في الفقرة (د) من البند (أولاً) من هذا الدليل، ويمكن تبني أحد المعايير العالمية ذات الصلة بتقييم

المخاطر وتحليل التهديدات لتحديد هذه العناصر، مع الأخذ بعين الاعتبار الآتي: أ. الثغرات أو نقاط الضعف: تتمثل في نتائج تحليل مدى كفاية التدابير المتخذة لضمان التزام كل نشاط من أنشطة المعالجة بالأحكام والضوابط

والإجراءات المنصوص عليها في النظام واللوائح. ب. مصدر التهديد: يتمثل في أي مصدر -داخل جهة التحكم أو جهة المعالجة أو خارجهما- يقوم بأي نشاط لمعالجة البيانات الشخصية لأغراض غير نظامية،

سواًء كان ذلك بقصد أم بغير قصد. ج. الحدث المتوقع: أي فعل ناتج عن استغلال مصادر التهديد للثغرات أو نقاط

الضعف الموجودة، ويترتب عليه آثار سلبية على أصحاب البيانات الشخصية. د. الأثر: مستوى الضرر الناتج عن الأحداث المتوقعة، ويمكن قياس ذلك من خلال تحليل نطاق امتداد الأثر، والذي قد يكون مقتصراً على صاحب البيانات

الشخصية، أو ممتداً إلى مستوى الأسرة والأصدقاء، أو قد يكون على مستوى المجتمع بشكل عام.

ه. احتمالية الحدوث: مدى إمكانية وقوع الحدث، ويمكن تحديد ذلك من خلال قياس مدى قابلية الموارد والقدرات المتوفرة لدى مصادر التهديد لتمكينهم

من استغلال الثغرات ونقاط الضعف.

و. مستوى الخطر: نتيجة قياس حدة الأثر نسبةً إلى احتمالية الحدوث.

.2تحليل الأنشطة المنصوص عليها في الفقرة (د) من البند (أولاً) مع العناصر الإضافية التي تتناسب مع كل مرحلة من المراحل، وتحديد هذه العناصر المرتبطة بتقويم الآثار السلبية والمخاطر المحتملة التي قد تترتب على معالجة البيانات الشخصية -بحسب الترتيب الموضح في هذا البند- وتقييم مستوى هذه العناصر، ومنها على سبيل المثال- لا الحصر: تحليل الأنشطة المتعلقة بتمكين صاحب البيانات الشخصية من الوصول إلى بياناته لدى جهة التحكم، من خلال تحليل الإجراءات والتدابير المتخذة وتقييم مدى كفايتها لضمان التحقق من هوية صاحب البيانات الشخصية، حيث تمّثل عدم كفاية الإجراءات والتدابير المتخذة في هذا الشأن؛ ثغرة أو نقطة ضعف يمكن استغلالها من قبل أي شخص آخر غير صاحب البيانات الشخصية، وإمكانية الوصول إلى هذه البيانات واستخدامها لتحقيق منفعة شخصية أو إلحاق ضرر بصاحب البيانات

الشخصية.

.3تحديد الضوابط والتدابير المناسبة لمنع حدوث المخاطر، أو تقليل احتمالية حدوثها أو الحد من آثارها عند حدوثها، ويمكن تحقيق ذلك من خلال تطبيق الضوابط والتدابير الإدارية والتقنية والمادية ذات الصلة التزاماً بما ورد في المادة (التاسعة عشرة) من

النظام والمادة (الثالثة والعشرين) من اللائحة التنفيذية للنظام.

تقويم مخاطر نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهات خارج المملكة

تتضمن هذه المرحلة الخطوات المطلوبة لإجراء تقويم مخاطر نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهات خارج المملكة، والخطوات المرتبطة بذلك، وفي هذه

المرحلة يتم اتباع الخطوات الآتية:

.1إلزامية إجراء تقويم مخاطر النقل أو الإفصاح عن البيانات الشخصية: يتم التحقق من إلزامية إجراء تقويم مخاطر النقل أو الإفصاح عن البيانات الشخصية من خلال تقييم مدى توفر أي من الأحوال المنصوص عليها في الفقرة (١)من

المادة (السابعة) من لائحة النقل، وفقاً للآتي: أ. نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهات خارج

المملكة بناًء على المادة (الرابعة) من لائحة النقل. ب. نقل البيانات الحساسة إلى خارج المملكة أو الإفصاح عنها لجهات خارج

المملكة بصفة مستمرة أو على نطاق واسع. .2في حال لم يتم القيام بالإجراءات والخطوات الموضحة في البندين (أولاً) و (ثانياً) أعلاه، يتم القيام بها ومن ثم مراجعة وتحديد الخطوات السابقة الواردة في البندين (أولاً) و (ثانياً) ،1مع الأخذ بعين الاعتبار، الجوانب الآتية (عناصر إضافية متعلقة بالنقل

أو الإفصاح خارج المملكة): أ. طبيعة النقل أو الإفصاح: تحليل المراحل ذات الصلة بأنشطة نقل البيانات الشخصية إلى خارج المملكة أو بأنشطة الإفصاح عنها لجهات خارج المملكة،

1نظراً لاعتمادية الخطوات اللاحقة على الخطوات السابقة الموضحة في البندين أولاً وثانياً أعلاه، فإن ضمان تحقيق الغرض من الاسترشاد بما تضمنه الدليل من خطوات يقوم على مراعاة الاعتمادية والترابط بينهما.

وما إذا كان النقل أو الإفصاح يتمثل في "الوصول عن بعد" أو كان جمع البيانات الشخصية بغرض نقلها ومعالجتها خارج المملكة بما يشمل، جمع البيانات الشخصية للأفراد المتواجدين في المملكة من جهة خارج المملكة، أو تخزين البيانات الشخصية/الاحتفاظ بها خارج المملكة، أو نقل البيانات الشخصية لمعالجتها خارج المملكة، أو نقل البيانات الشخصية لتخزينها خارج المملكة، أو الإفصاح عن البيانات الشخصية لجهات خارج المملكة، أخذاً بعين الاعتبار مدى تكرار العمليات، ونطاقها من حيث فئات أصحاب البيانات

الشخصية، ومحتوى البيانات الشخصية. ب. الجهة/ الجهات التي سيتم نقل البيانات الشخصية إليها: التحقق من مدى التزام الجهات التي سيتم الإفصاح لها عن البيانات الشخصية بأحكام النظام ولوائحه التنفيذية بصفةٍ عامة، والأحكام المنظمة للإفصاح والعبور والنقل اللاحق على وجه الخصوص، والنظر في مدى كفاية المعايير والتدابير التقنية المتخذة من قبل الجهة لضمان أمن البيانات، والأنظمة القانونية الذي تخضع

لها الجهة/ الجهات التي سيتم نقل البيانات الشخصية إليها. ج. مدى كفاية التدابير المتخذة للحد من الآثار السلبية والمخاطر المحتملة، أو

مناسبة إضافة تدابير للتخفيف من مستويات المخاطر.

إرشادات متعلقة بتحديد العوامل المرتبطة بتحليل الآثار المترتبة على المصالح الحيوية للمملكة

تقدم هذه المرحلة إرشادات لتحديد العوامل المرتبطة بتحليل الآثار المترتبة على نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهات خارج المملكة في سياق الآثار المترتبة

على المصالح الحيوية للمملكة، وذلك في ضوء ما ورد في الفقرة الفرعية (أ) من الفقرة (2) من المادة (التاسعة والعشرين) من النظام.2

بعد مراجعة نتائج تقويم الآثار لجميع الأنشطة في جميع المراحل المحددة وتقويم مخاطر النقل أو الإفصاح، يتم مراعاة ما يأتي:

.1نطاق المعالجة من حيث محتوى البيانات الشخصية، وعدد أصحاب البيانات الشخصية وفئاتهم .

.2نطاق الأثر الذي قد يترتب على نقل البيانات الشخصية أو الإفصاح عنها لجهات خارج المملكة (مقتصراً على صاحب البيانات الشخصية، أو ممتداً إلى مستوى الأسرة

والأصدقاء، أو قد يكون على مستوى المجتمع بشكل عام). .3مدى كفاية التدابير والإجراءات التقنية والتنظيمية والإدارية المتخذة لمنع حدوث

المخاطر أو التخفيف من حدتها.

بعد اتخاذ جميع الخطوات، ومراجعة النتائج والتدابير المتخذة لتخفيف المخاطر أو منعها أو الحد من آثارها، في حال كانت نتائج التقويم مازالت تشير إلى مستويات مخاطر عالية وآثار قد لا يمكن تداركها على المدى القريب على مصالح الأفراد في المجتمع، فإنه على جهة التحكم البحث عن أساليب أخرى قبل وقوع المخاطر من حيث تقييم مدى الحاجة إلى نشاط المعالجة في وضعه الحالي أو إمكانية الاستغناء عنه أو تعديله أو اتخاذ أي تدابير أخرى ذات كفاءة

وفاعلية أعلى.

2يمكن تطبيق هذه الإرشادات لتحديد العناصر المرتبطة بتطبيق ماورد في الفقرتين (1)و (2)من المادة (السادسة عشرة) من النظام.