الدليل الاسترشادي لحالات الإفصاح عن البيانات الشخصية

إذا كانت موافقة صاحب البيانات الشخصية على الإفصاح وفقاً لأحكام النظام.

البيانات الشخصية التي جرى جمعها من مصدر متاح للعموم

إذا كانت البيانات الشخصية قد جرى جمعها من مصدر متاح للعموم. بشرط ألا تكون إتاحتها للعموم قد تمت بشكل مخالف لأحكام النظام ولوائحه التنفيذية. وعلى جهة التحكم مراعاة أن يرتبط طلب الإفصاح ارتباطًا وثيقًا بغرض أو موضوع محدد وواضح. وأن يتم بذل العناية اللازمة للمحافظة على خصوصية صاحب البيانات الشخصية أو أي فرد آخر. وأن يقتصر الإفصاح على الحد الأدنى من البيانات الشخصية اللازمة لتحقيق الغرض منه. وعلى جهة التحكم عند الإفصاح عن بيانات شخصية مرتبطة ببيانات شخص آخر غير صاحبها الالتزام ببذل العناية اللازمة وتوفير الضمانات الكافية للمحافظة على خصوصية الفرد الآخر وضمان عدم انتهاكها، ومن ذلك مراعاة الموازنة بين حقوق صاحب البيانات الشخصية وحقوق الشخص الآخر في كل حالة على حدة، وترميز البيانات الشخصية التي تدل على هوية الشخص الآخر ما

أمكن ذلك.

الجهة العامة الطالبة للإفصاح، وكان ذلك لأغراض المصلحة العامة أو لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء متطلبات قضائية

إذا كانت الجهة التي تطلب الإفصاح جهة عامة، وكان ذلك لأغراض المصلحة العامة أو لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء متطلبات قضائية. وعلى جهة التحكم توثيق طلب الإفصاح، وتحديد نوع البيانات الشخصية المطلوب الإفصاح عنها بشكل دقيق. مع مراعاة أنه على الجهة العامة عند طلب الإفصاح عن البيانات الشخصية لتحقيق مصلحة عامة

الالتزام بما يلي:

• التأكد من أن ذلك يعد ضرورياً لتحقيق مصلحة عامة محددة بشكل واضح.

• أن تتصل المصلحة العامة بالاختصاصات المقررة لها نظامًا.

• اتخاذ الوسائل المناسبة للحد من الأضرار التي قد تنتج عن ذلك، بما في ذلك وضع الضوابط الإدارية والتقنية اللازمة لضمان التزام منسوبيها بأحكام المادة (الحادية

والأربعون) من النظام.

• تضمين تلك العمليات في سجلات أنشطة معالجة البيانات الشخصية.

• جمع ومعالجة الحد الأدنى اللازم من البيانات الشخصية لتحقيق الغرض.

ضرورة الإف صاح لحماية الصحة العامة أو السلامة العامة أو حماية حياة فرد أو أفراد معينين أو حماية صحتهم

إذا كان الإفصاح ضرورياً لحماية الصحة العامة أو السلامة العامة أو حماية حياة فرد أو أفراد معينين أو حماية صحتهم. وعلى جهة التحكم توثيق طلب الإفصاح، وتحديد نوع البيانات

الشخصية المطلوب الإفصاح عنها بشكل دقيق.

اقتصار الإفصاح على معالجة البيانات الشخصية لاحقا بطريقة لا تؤدي إلى معرفة هوية صاحب البيانات الشخصية أو أي فرد آخر على وجه

التحديد

إذا كان الإفصاح سيقتصر على معالجة البيانات الشخصية لاحقاً بطريقة لا تؤدي إلى معرفة هوية صاحب البيانات الشخصية أو أي فرد آخر على وجه التحديد. وعلى جهة التحكم مراعاة أن يرتبط طلب الإفصاح ارتباطًا وثيقًا بغرض أو موضوع محدد وواضح. وأن يتم بذل العناية اللازمة للمحافظة على خصوصية صاحب البيانات الشخصية أو أي فرد آخر. وأن يقتصر الإفصاح على الحد الأدنى من البيانات الشخصية اللازمة لتحقيق الغرض منه. وعلى جهة التحكم عند الإفصاح عن بيانات شخصية مرتبطة ببيانات شخص آخر غير صاحبها الالتزام ببذل العناية اللازمة وتوفير الضمانات الكافية للمحافظة على خصوصية الفرد الآخر وضمان عدم انتهاكها، ومن ذلك مراعاة الموازنة بين حقوق صاحب البيانات الشخصية وحقوق الشخص الآخر في كل حالة على حدة، وترميز البيانات الشخصية التي تدل على هوية الشخص الآخر ما

أمكن ذلك.

إذا كان الإفصاح ضرورياً لتحقيق مصالح مشروعة لجهة التحكم، ما لم يخل ذلك بحقوق صاحب البيانات الشخصية أو يتعارض مع مصالحه ولم تكن تلك البيانات بيانات حساسة. وعلى جهة التحكم مراعاة أن يرتبط طلب الإفصاح ارتباطاً وثيقاً بغرض أو موضوع محدد وواضح. وأن يتم بذل العناية اللازمة للمحافظة على خصوصية صاحب البيانات الشخصية أو أي فرد آخر. وأن يقتصر الإفصاح على الحد الأدنى من البيانات الشخصية اللازمة لتحقيق الغرض منه. وعلى جهة التحكم عند الإفصاح عن بيانات شخصية مرتبطة ببيانات شخص آخر غير صاحبها الالتزام ببذل العناية اللازمة وتوفير الضمانات الكافية للمحافظة على خصوصية الفرد الآخر وضمان عدم انتهاكها، ومن ذلك مراعاة الموازنة بين حقوق صاحب البيانات الشخصية وحقوق الشخص الآخر في كل حالة على حدة، وترميز البيانات الشخصية التي تدل

على هوية الشخص الآخر ما أمكن ذلك.

بالإضافة إلى ما سبق، عند قيام جهة التحكم بالإفصاح عن البيانات الشخصية لتحقيق مصلحة مشروعة لابد من توفر الشروط الآتية:

أ- ألا يكون الغرض مخالفًا لأي من الأنظمة في المملكة.

ب- الموازنة بين حقوق ومصالح صاحب البيانات الشخصية والمصلحة المشروعة لجهة التحكم، بحيث لا تؤثر مصالح جهة التحكم على حقوق ومصالح صاحب البيانات

الشخصية.

ج- ألا تتضمن المعالجة بيانات حساسة.

د- أن تكون المعالجة ضمن التوقعات المعقولة لصاحب البيانات الشخصية.

مثال : يعد من المصالح المشروعة كشف عمليات الاحتيال وحماية أمن الشبكة والمعلومات.

على جهة التحكم قبل معالجة البيانات الشخصية ومن ضمنها الإفصاح لمصلحة مشروعة إجراء وتوثيق تقويم للمعالجة المقترحة وأثرها على حقوق ومصالح أصحاب البيانات الشخصية، على

أن يتضمن التقويم على وجه التحديد ما يلي:

أ- تحديد المعالجة المقترحة وأغراضها، ونوع البيانات وفئات أصحاب البيانات الشخصية.

ب- تقويم الغرض من خلال التأكد من مشروعيته وعدم مخالفته لأي من الأنظمة في المملكة.

ج- التحقق من أن معالجة البيانات الشخصية ضرورية لتحقيق الغرض المشروع لدى جهة التحكم.

د- تقويم ما إذا كانت المعالجة المقترحة سيترتب عليها أي ضرر على مصالح أصحاب البيانات الشخصية أو قدرتهم على ممارسة حقوقهم المقررة نظامًا.

ه- تقويم ما إذا كانت هناك أي تدابير يتطلب اتخاذها لتجنب المخاطر أو الأضرار المحتملة، وذلك وفقا لما نصت عليه الفقرة (٢)من المادة (الخامسة والعشرون) من

اللائحة التنفيذية. إذا أظهر التقويم أن المعالجة المقترحة ستؤدي بأي شكل من الأشكال إلى مخالفة أي من الأنظمة أو المساس بحقوق ومصالح أصحاب البيانات الشخصية أو ترتيب أي ضرر عليهم أو على أي طرف آخر، فيكون على جهة التحكم تعديل المعالجة المقترحة وإجراء تقويم جديد، أو

النظر في الاعتماد على مسوغ نظامي آخر.

القيود المانعة للإفصاح عن البيانات الشخصية

على جهة التحكم ألاّ تفصح عن البيانات الشخصية!متى اتصف الإفصاح بأيٍّ مما يأتي:

١- أنه يمثل خطراً على الأمن، أو يسيء إلى سمعة المملكة، أو يتعارض مع مصالحها.

٢- أنه يؤثر على علاقات المملكة مع دولة أخرى.

٣- أنه يمنع من كشف جريمة أو يمس حقوق متهم في الحصول على محاكمة عادلة أو

يؤثر في سلامة إجراءات جنائية قائمة.

٤- أنه يعرض سلامة فرد أو أفراد للخطر.

٥- أنه يترتب عليه انتهاك خصوصية فرد آخر غير صاحب البيانات الشخصية وفق ما تحدده

اللوائح.

٦- أنه يتعارض مع مصلحة ناقص أو عديم للأهلية.

٧- أنه يخل بالتزامات مهنية مقررة نظامًا.

٨- أنه ينطوي عليه إخلال بالتزام أو إجراء أو حكم قضائي.

٩- أنه يكشف عن مصدر سري لمعلومات تحتم المصلحة العامة عدم الكشف عنه. ولا تسري هذه القيود على عمليات الإفصاح في الحالات الآتية:

١- إذا كانت الجهة التي تطلب الإفصاح جهة عامة، وكان ذلك لأغراض المصلحة العامة أو لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء متطلبات قضائية.

٢- إذا كان الإفصاح ضرورياً لحماية الصحة العامة أو السلامة العامة أو حماية حياة فرد أو

أفراد معينين أو حماية صحتهم.

إرشادات عامة

١- على جهة التحكم تضمين عمليات الإفصاح عن البيانات الشخصية في سجلات أنشطة معالجة البيانات الشخصية وتوثيق تواريخها وطرقها والغرض منها.

٢- على جهات التحكم الالتزام بمتطلبات عملية نقل البيانات الشخصية خارج المملكة عند الإفصاح عن البيانات الشخصية وفق المتطلبات والأحوال المنصوص عليها في النظام

ولوائحه التنفيذية.