القواعد المنظمة لتراخيص أنشطة إصدار شهادات الاعتماد لجهات التحكم والمعالجة وأنشطة التدقيق والفحص لمعالجة البيانات الشخصية

تكون للألفاظ والعبارات الواردة في هذه القواعد المعاني المبيّنة أمام كل منها في المادة )الأولى( من نظام حماية

البيانات الشخصية )النظام( الصادر بالمرسوم الملكي رقم )م )19/وتاريخ 1443/2/9ه وتعديلاته، والمادة )الأولى( من

اللائحة التنفيذية لنظام حماية البيانات الشخصية، والمادة )الأولى( من لائحة نقل البيانات الشخصية إلى خارج المملكة )اللوائح .)ويُقصد بالألفاظ والعبارات الآتية -أينما وردت في هذه القواعد - المعاني المبينة أمام كل منها، ما

لم يقتض السياق خلاف ذلك:

.1القواعد: القواعد المنظمة لتراخيص أنشطة إصدار شهادات الاعتماد لجهات التحكم والمعالجة وأنشطة التدقيق والفحص لمعالجة البيانات الشخصية.

.2الترخيص: وثيقة تصدر من الجهة المختصة تتيح لمقدم الطلب ممارسة الأنشطة المنصوص عليها في الفقرة )

4) و )

5) من هذه المادة.

.3مقدم الطلب: الجهة التي تتقدم بطلب الترخيص للجهة المختصة للقيام بأعمال التدقيق والفحص المرتبطة بأنشطة معالجة البيانات الشخصية أو بممارسة إصدار شهادات الاعتماد لجهات التحكم والمعالجة.

.4ترخيص نشاط إصدار شهادات الاعتماد: وثيقة صادرة من الجهة المختصة لشخص ذي صفة اعتبارية خاصة لممارسة نشاط إصدار شهادات الاعتماد لجهات التحكم والمعالجة.

.5ترخيص نشاط التدقيق والفحص: وثيقة صادرة من الجهة المختصة لشخص ذي صفة اعتبارية خاصة لممارسة نشاط التدقيق والفحص لأنشطة معالجة البيانات الشخصية لدى جهات التحكم والمعالجة.

.6الجهة المرخص لها: جهة حاصلة على ترخيص من قبل الجهة المختصة لممارسة أنشطة إصدار شهادات الاعتماد أو أنشطة التدقيق والفحص، بناء على ما تقرّه الجهة المختصة حيال الطلبات المقدمة للحصول على الترخيص، ووفقا

للمتطلبات المنصوص عليها في هذه القواعد. .7شااهادة الاعتماد: شهادة تصدرها الجهة المرخص لها -بإصدار شهادات الاعتماد- لجهات التحكم أو جهات المعالجة، تتضمن التأكيد على أن الممارسات والإجراءات التي يتم اتباعها لدى جهة التحكم أو جهة المعالجة - عند معالجة البيانات الشخصية- متوافقة مع أحكام النظام واللوائح والمتطلبات المنصوص عليها في القواعد

المنظمة لإصدار شهادات الاعتماد لجهات التحكم وجهات المعالجة. .8نشااااط التدقيق والفحص: نشاط تقوم به الجهة المرخص لها للتحقق من شمولية أنشطة معالجة البيانات الشخصية لدى الجهة، وذلك من خلال إجراء عمليات التدقيق والفحص، وتحديد مدى فاعلية الضواب والتدابير

المتخذة لحماية البيانات الشخصية. .9تقرير التدقيق والفحص: تقرير يُعد من الجهة وفحص أنشطة معالجة البيانات الشخصية محّ المرخص لها بأعمال التدقيق والفحص ويتضمن نتائج تدقيق ل التدقيق والفحص في ضوء أحكام النظام واللوائح. .10تقرير تقييم إصاادار شااهادات الاعتماد: تقرير يُعد من الجهة المرخص لها بإصدار شهادات الاعتماد ويتضمن نتائج تقييم الممارسات والإجراءات المتبعة عند معالجة البيانات الشخصية في ضوء أحكام النظام واللوائح، وفقا

للآلية والمعايير التي تحددها الجهة المختصة. .11المن صة الخاصة بالجهة المخت صة: من صة إلكترونية تابعة للجهة المخت صة تهدف إلى تقديم الخدمات الداعمة

لتطبيق أحكام النظام واللوائح.

تطبق هذه القواعد على الجهات التي تتقدم إلى الجهة المختصة بطلب إصدار ترخيص لممارسة أنشطة إصدار شهادات الاعتماد أو أنشطة التدقيق والفحص بحسب ما ورد في الفقرتين )

2) و)

3) من المادة )الثالثة والثلاثين( من

النظام والمادتين )الخامسة والثلاثين( والمادة )السادسة والثلاثين( من اللائحة التنفيذية للنظام، كما تهدف إلى:

.1تحديد آلية الترخيص المتبعة من قبل الجهة المختصة لجهات إصدار شهادات الاعتماد أو جهات التدقيق والفحص.

.2اعتماد جهات موثوقة لتقديم إصدار شهادات الاعتماد أو القيام بأعمال التدقيق والفحص وفقا لأحكام النظام واللوائح، وبما يتسق مع ما تصدره الجهة من وثائق متعلقة بالالتزام بأحكام النظام واللوائح.

.3تعزيز الشفافية في تطبيق أحكام النظام من خلال اعتماد ونشر الإجراءات المتعلقة بالترخيص للجهات بممارسة الأنشطة المنصوص عليها في النظام.

على مقدم الطلب استيفاء الشروط الآتية: .1الالتزام بأحكام النظام واللوائح، وأي وثائق نظامية أخرى تصدرها الجهة المختصة. .2ممارسة نشاط إصدار شهادات الاعتماد أو نشاط التدقيق والفحص وفقا للآلية والمعايير التي تحددها الجهة

المختصة، وبناء على الوثائق المتعلقة بالالتزام بأحكام النظام واللوائح. .3الإفصا عن أي تعارض مصالح متوقع حدوثه - عند ممارسة الأعمال بموجب الترخيص - مع جهات تحكم أو

جهات معالجة، وذلك لضمان تقديم هذه الخدمات باستقلالية تامة. .4الإفصا عن الشكاوى السابقة والحالية المقدمة ضد مقدم الطلب والمرتبطة بتطبيق أحكام النظام واللوائح. .5الإفصا عن أي مخالفات ناش ة عن تطبيق أحكام النظام واللوائح تم رصدها لدى مقدم الطلب مُسبقا من قبل

الجهة المختصة.

على مقدم الطلب استيفاء المتطلبات الآتية:

.1أن يكون مقدم الطلب كيانا نظاميا مستقلا عن أي جهة أخرى بموجب أنظمة المملكة، وأن يكون لدى مقدم الطلب مقر في المملكة.

.2أن تتضمن الوسيلة المعتمدة للتواصل مع الجهة المرخص لها الاسم النظامي للجهة وعنوان مقرها والسجل التجاري أو رقم الترخيص للمستثمر الأجنبي.

.3أن يتوافر لدى مقدم الطلب الأدوات التقنية الداعمة والعاملون المؤهلون لممارسة نشاط إصدار شهادات الاعتماد أو نشاط التدقيق والفحص، وفقا لأحكام النظام واللوائح والآلية والمعايير التي تحددها الجهة المختصة. .4الحصول على اعتماد منح الشهادات من قبل المركز السعودي للاعتماد وذلك في حال كان طلب الترخيص متعلق

بإصدار شهادات الاعتماد. .5أن يتوفر لدى مقدم طلب ترخيص ممارسة نشاط إصدار شهادات الاعتماد الآتي:

أ. ألا يقلرأس مال مقدم الطلب عن )

10) ملايين ريال سعودي. ب. ألا ي قل موظفي التقييم لدى مقدم الطلب عن )

10) موظفين، على أن يكونوا بعقود توظيف م باشرة مع

مقدم الطلب. ج. أن يكون لدى بعض موظفي التقييم خبرة لا تقل عن )

5) سنوات في ممارسات حماية البيانات الشخصية، أو

أعمال التقييم، أو أي مجال ذي صلة، وفقا لما تقدره الجهة المختصة. د. إتمام موظفي التقييم الدورات التخصصية، أو اجتياز الاختبارات التخصصية التي تحددها وتعدها الجهة

المختصة. .6أي متطلبات أخرى تحددها الجهة المختصة، بما يتفق مع أحكام النظام واللوائح وأي وثيقة تصدرها الجهة

المختصة في شأن تطبيق أحكام النظام واللوائح. .7يجوز للجهة المختصة إعفاء مقدم الطلب من أي متطلب من المتطلبات أعلاه، وفقا لتقديرها وبحسب الأحوال.

يتم تقديم طلب الترخيص من قبل مقدم الطلب وفقا للآلية التي تحددها الجهة المختصة، على أن يتضمن الطلب التفاصيل الآتية:

.1تعب ة نموذج طلب الترخيص، وتحديد نوع الترخيص المطلوب )ترخيص ممارسة نشاط إصدار شهادات الاعتماد، أو ترخيص ممارسة التدقيق والفحص.)

.2تقديم عقد تأسيس الجهة والسجل التجاري وعنوانها ووسائل التواصل المعتمدة. .3تقديم نسخة من الوثائق الداعمة للاشتراطات والمتطلبات المنصوص عليها في المادتين )الثالثة( و )الرابعة( من

هذه القواعد. .4أي متطلبات أخرى تحددها الجهة المختصة، وفقا لأحكام النظام واللوائح، وبما يتسق مع معايير الالتزام بأحكام

النظام واللوائح.

.1تقوم الجهة المختصة بتقييم طلب الترخيص وفقا للاشتراطات والمتطلبات المنصوص عليها في المادتين )الثالثة( و )الرابعة( من هذه القواعد، على أن تتم دراسة الطلب وإصدار القرار خلال مدة أقصاها )

90) يوم عمل من تاريخ

استلامه، وإشعار مقدم الطلب بالقرار. .2في حال قبول الطلب، تقوم الجهة المخت صة بتحديد مدة الترخيص وفقا لما ن صت عليه المادة )الثامنة( من هذه

القواعد.

.1تحدد الجهة المختصة المقابل المالي للتراخيص المنصوص عليها الفقرة )

4) و )

5) من المادة )الأولى( من هذه القواعد.

.2يجوز للجهة المختصة وضع ف ات للتراخيص وتحديد مقابل مالي لكل ف ة.

الفصاال الرابع: المدد الزمنية لسااريا الترخيص والأحكام المتعلقة بالتجديد والإيقاف والسحب والإلغاء

تقوم الجهة المختصة بمنح الترخيص لمدة )ثلاث( سنوات تبدأ من تاريخ صدور قرار الترخيص.

للجهات المرخص لها التقدم بطلب تجديد الترخيص من الجهة المختصة خلال مدة لا تقل عن )

90) يوم عمل سابقة لتاريخ انتهائها، على أن تتم الموافقة على التجديد بعد التأكد من توافر اشتراطات ومتطلبات الترخيص الواردة في المادتين )الثالثة( و )الرابعة ،)وتكون مدة الترخيص عند التجديد مماثلة لمدة سريان الترخيص عند إصداره أو بحسب

ما تراه الجهة المختصة.

.1للجهة المختصة سحب الترخيص أو إيقاف الجهة المرخص لها من ممارسة النشاط مؤقتا - وفقا للآلية التي تحددها الجهة المختصة- في الأحوال الآتية:

أ. عدم التزام الجهة المرخص لها بالمتطلبات المنصوص عليها في المادتين )الثالثة( و )الرابعة( من هذه القواعد، أو مخالفة أحكام النظام واللوائح، أو ما تصدره الجهة المختصة من تعليمات ملزمة في هذا الشأن. ب. انتهاء الاعتماد المنصوص عليه في الفقرة )

٤) من المادة )الرابعة( من هذه القواعد، إذا كان نوع الترخيص

ترخيصالإصدار شهادات الاعتماد. ج. عدم التزام الجهة المرخص لها بمعالجة المخالفات أو أي توجيهات خطية صادرة من الجهة المختصة. د. إذا ثبت أن الجهة المرخص لها قدمت معلومات خاط ة أو عدم إفصاحها عن أي معلومات كان عليها

الإفصا عنها أثناء فترة تقديم الطلب، أو أثناء ممارسة النشاط. ه. أي أسباب أخرى تراها الجهة المختصة وفقا لتقديرها.

.2تشعر الجهة المختصة الجهة التي تم سحب الترخيص منها أو إيقافها عن ممارسة النشاط مؤقتا بمسببات السحب أو الإيقاف المؤقت عن ممارسة النشاط.

.3للجهة الاعتراض على سحب الترخيص أو الإيقاف المؤقت من ممارسة النشاط خلال مدة لا تتجاوز )

30) يوم عمل من تاريخ الإشعار بالقرار، أو تعديل أوضاعها وتقديم ما يثبت تعديل الأوضاع في حال كان سحب الترخيص أو

الإيقاف المؤقت مبنيا على أي مما ورد في الفقرة )

1) من هذه المادة. .4لا يحول سحب الترخيص أو الإيقاف المؤقت من ممارسة النشاط دون صلاحية سريان تقارير أعمال التدقيق والفحص، أو شهادات اعتماد صادرة من قبل الجهة المرخص لها قبل تاريخ السحب أو الإيقاف، إلا إذا تبيّن للجهة

المختصة عدم سلامة أو صحة تلك الأعمال.

.1يُلغى الترخيص الصادر بناء على هذه القواعد في أي من الأحوال الآتية: أ. انقضاء الكيان النظامي للجهة المرخص لها؛ وفقا لما ورد في نظام الشركات. ب. عدم الحصول على موافقة الجهة المختصة قبل بدء إجراءات الاستحواذ أو الاندماج مع مرخص له آخر. .2لا يحول إلغاء الترخيص دون صلاحية شهادات الاعتماد أو تقارير التدقيق والفحص الصادرة من قبل الجهة المرخص لها قبل تاريخ الإلغاء، إلا إذا تبيّن للجهة المختصة عدم سلامة أو صحة تلك الشهادات أو التقارير.

.1لا يجوز للجهة التي حصلت على ترخيص ممارسة نشاط إصدار شهادات الاعتماد -بموجب هذه القواعد - تفويض غيرها من الجهات للقيام بالأعمال التي تتولاها بموجب الترخيص إلا بعد الحصول على موافقة الجهة المختصة،

على أن يكون التفويض صادرا لجهة مرخصة بموجب هذه القواعد. .2لا يجوز للجهة التي حصلت على ترخيص ممارسة نشاط التدقيق والفحص - بموجب هذه القواعد - تفويض غيرها من الجهات للقيام بالأعمال التي تتولاها بموجب الترخيص إلا بعد الحصول على موافقة الجهة المختصة،

على أن يكون التفويض صادرا لجهة مرخصة بموجب هذه القواعد. .3لا يخل تفويض الجهة المرخص لها بالتزاماتها المنصوص عليها في هذه القواعد ومسؤولياتها أمام الجهة

المختصة.

.1على الجهة المرخص لها العمل على تدريب وتطوير العاملين المعنيين -بصفة مستمرة- في مجال حماية البيانات الشخصية وفقا لأحكام النظام واللوائح، ودعمهم في الحصول على شهادات مهنية في هذا المجال لضمان رفع

كفاءتهم. .2على الجهة المرخص لها متابعة وتنفيذ ما يصدر من الجهة المختصة من لوائح وتعليمات وما في حكمها

متعلقة بحماية البيانات الشخصية. .3إجراء تقييم نصف سنوي للتدابير والإجراءات الإدارية والتقنية والتنظيمية والنموذج التشغييلإصدار شهادات الاعتماد أو إجراء عمليات التدقيق والفحص للتحقق من ا ستمرار توافر ا شتراطات ومتطلبات الترخيص المن صوص

عليها في المادتين )الثالثة( و )الرابعة( من هذه القواعد، وفقا للآلية والمعايير التي تحددها الجهة المختصة. .4المحافظة على سرية نتائج إصدار شهادات الاعتماد أو إجراء عمليات التدقيق والفحص المتعلقة بالجهات التي تم تقييمها، وعدم نشرها أو مشاركتها مع أي طرف آخر أو الإفصا عن محتواها دون موافقة خطية من الجهة

المختصة. .5الإفصا عن أي تغيير جوهري بعد الحصول على الترخيص قد يؤدي إلى تعارض في المصالح مع أي جهات

تحكم أو جهات معالجة عند قيامها بمهامها التي تتولاها بموجب الترخيص. .6التزام الجهة المرخصة لممارسة نشاط إصدار شهادات الاعتماد بإعداد خطة وإجراءات للمراجعة الدورية لأعمال

الجهات التي صدر لها شهادات اعتماد. .7الحصول على موافقة الجهة المختصة عند رغبة الجهة -المرخص لها- بالاستحواذ أو الاندماج مع مرخص له

آخر. .8أن يتم الاحتفاظ وتخزين البيانات المتعلقة بممارسة هذه الأنشطة داخل المملكة.

التزامات خاصة بالجهات المرخص لها بإصدار شهادات الاعتماد

.1تلتزم الجهة المرخص لها بتقديم تقرير تقييم إصدار شهادات الاعتماد، بما يشمل أسعار تقديم تلك الخدمات، وفقا للآلية والمعايير التي تحددها الجهة المختصة.

.2تقوم الجهة المرخص لها بحفظ كافّة الوثائق كاملة ومحدثة وصالحة للتدقيق –وفقا لآلية تحددها الجهة المختصة- على أن تشمل الآتي:

أ. جميع طلبات الحصول على شهادة الاعتماد الواردة من قبل جهات التحكم وجهات المعالجة. ب. جميع عمليات تقييم طلبات الحصول على شهادة الاعتماد.

ج. جميع شهادات الاعتماد الصادرة، بما في ذلك تفاصيل الجهة التي صدر لها شهادة الاعتماد وتاريخ إصدار شهادة الاعتماد وانتهاء صلاحيتها وجميع الوثائق ذات الصلة.

د. جميع القرارات والمبررات والأدلة الداعمة فيما يتعلق بسحب شهادات الاعتماد أو تجديدها. ه. جميع الموظفين ذوي الصلة العاملين لدى الجهة المرخص لها، والذين يشاركون في تقييم مدى ملاءمة حصول جهة التحكم أو جهة المعالجة على شهادة الاعتماد أو يتخذون قرارات بشأن إصدار شهادات الاعتماد

أو سحبها أو تجديدها أو جميع ما سبق. .3تقدم الجهة المرخص لها تقارير دورية للجهة المختصة عن الجهات التي تم منحها شهادات الاعتماد أو سحبها

أو تجديدها مع بيان الأسباب لاتخاذ أي من الإجراءات.

للجهة المختصة في سبيل الإشراف على المرخص له ومتابعة أعماله اتخاذ الإجراءات التالية: .1القيام بكل ما يلزم للتحقق من صحة البيانات المقدمة والتقارير المعدة من المرخص له.

.2طلب أي مستندات متعلقة بالمرخص له وأعماله أثناء فترة سريان الترخيص. .3التنسيق والمتابعة مع الجهات ذوات العلاقة.

.4القيام بالدور الإشرافي لضمان تنفيذ أحكام هذه القواعد.

تنشر الجهة المختصة على المنصة الخاصة بها قائمة بالجهات الحاصلة على ترخيص ممارسة نشاط إصدار شهادات الاعتماد والجهات المرخص لها لممارسة نشاط التدقيق والفحص والمدد الزمنية لسريان التراخيص وبيانات التواصُل

الرسمية الخاصة بكل جهة من الجهات المرخص لها.

للجهة المختصة – عند الاقتضاء- مراجعة هذه القواعد ولها إجراء أي تعديل أو تحديث عليها.

للجهة المختصة إصدار أي تعليمات إضافية منبثقة من هذه القواعد.

يُعمل بهذه القواعد من تاريخ نشرها في الموقع الرسمي للجهة المختصة.

. 1