دليل إعداد القواعد المُشتركة المُلزِمة لنقل البيانات الشخصية

دليل إعداد القواعد الُمشتركة الُملزِمة لنقل البيانات الشخصية

رقم الإصدار 1.0

سبتمبر 2024

قائمة المحتويات

المقدمة

استنادا إلى نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم )م )19/وتاريخ 9/2/1443ه )"النظام"( والُمعدل بالمرسوم الملكي رقم )م )148/وتاريخ 1444/9/5ه، وما تضمن م جوا نقل البيانات الشخصية إلى خار المملكة تحدد لائحة نقل البيانات الشخصية خار المملكة )"لائحة النقل" ،)الأحكام الواجب اتباعها عند النقل،

بما في ذلك هذه القواعد المشتركة التي يتم تطبيقها في حالات إعفاء جهات التحكم م شرو الالتزام بمستوى الحماية المناسب والحد الأدنى لنقل البيانات الشخصية المنصوص عليهما في الفقرتي الفرعيتي )ب( و ) ( م الفقرة )

2) م "المادة التاسعة

والعشرون" م النظام ووفقا لأحكام لائحة نقل البيانات الشخصية إلى خار المملكة

الغرض

يتمثل الغرض م هذه القواعد في ضمان تطبيق مستوى حماية للبيانات الشخصية بما لا يقل ع مستوى الحماية المقرر في النظام واللوائح، وذلك م خلال تحديد التزامات أطرا عملية النقل عند نقل البيانات الشخصية أو الإفصاح عنها إلى إحدى الدول أو المنظمات الدولية التي لا يتوفر لديها مستوى مناسب لحماية البيانات الشخصية، حيث تقدم هذه الوثيقة تعليمات شاملة لمجموعة الجهات العاملة داخل المملكة وخارجها بشأن إعداد القواعد المشتركة الُملزمة، كماُ تع د القواعد المشتركة الُملزمة إح دى الضمان ات المناسبة التي يجو لجهات التحكم استخدامها بالإضافة إلى جهات المعالجة بناء على تعليمات جهة التحكم ونيابة عنها إلى جانب البنود التعاقدية القياسية وشهادات الاعتماد م جهة مرخصة م الجهة المختصة ووفقا لأحكام نقل البيانات الشخصية إلى خار المملكة

التعريفات

يق صد بالألفاظ والعبارات الآتية – أينما وردت في هذه البنود – المعاني المبينة أمام كل منها، ما لم يقتضِ السياق خلا ذلك:

المملكة: المملكة العربية السعودية.

النظام: نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم )م )19/وتاريخ

1443/2/9ه )"النظام"( والُمعدل بالمرسوم الملكي رقم )م )148/وتاريخ 1444/9/5ه

اللوائح: اللوائح التنفيذية للنظام "وتتضم كلا م اللائحة التنفيذية ولائحة نقل البيانات

الشخصية إلى خار المملكة "

الجهة المختصة: الهيئة السعودية للبيانات والذكاء الاصطناعي )سدايا( الضمانات المناسبة: متطلبات تفرضها الجهة المختصة على جهات التحكم تتضم

الإلزام بأحكام النظام واللوائح، عند نقل البيانات الشخصية أو الإفصاح عنها لجهات خار المملكة، وذلك في أي م حالات الإعفاء م شرو توافر مستوى مناسب لحماية البيانات الشخصية أو الحد الأدنى للبيانات الشخصية، بحسب الأحوال؛ بهد ضمان مستوى مناسب لحماية البيانات الشخصية خار المملكة بما لا يقل ع مستوى الحماية

المقرر في النظام واللوائح

القواعد الُمشتركة الملزمة: قواعد تعد م قبل جهة التحكم، تطبق على كل جهة تحكم

ومعالجة طر في مجموعة كيانات متعددة الجنسيات تكفل مستوى مناسب لحماية البيانات الشخصية عند نقلها خار المملكة بما لا يقل ع مستوى الحماية المقرر في النظام واللوائح

المنظمات الدولية: كيان قانوني يضم أعضاء م ثلاث دول على الأقل، يعمل في دول

متعددة ذات سيادة، تنشأ م خلال وثيقة قانونية رسمية، مثل: المعاهدة أو الاتفاق يستند إلى القانون الدولي، وتحدد هذه الوثيقة القانونية أهدا ومقاصد المنظمة الدولية وهياكلها وجهات اتخاذ القرار والولاية القضائية، )مثل: الأمم المتحدة، والبنك الدولي، وجامعة الدول العربية، وصندوق النقد العربي ،)وتشارك هذه المنظمات في أنشطة دولية ويجب أن تلتزم بأنظمة حماية البيانات الشخصية المختلفة عبر ولايات

قضائية مختلفة

نقل البيانات الشخصية: نقل البيانات الشخصية أو الكشف عنها )أو منح حق

الوصول إليها( م المملكة العربية السعودية إلى جهات تحكم أو جهات معالجة أو متلقي آخري في دول أو منظمات دولية أو ولاية قضائية أخرى غير المملكة العربية السعودية حيث لا تكون الجهة المصدرة للبيانات الشخصية أو الجهة المستوردة للبيانات

الشخصية

عمليات نقل بيانات الطر الثالث/عمليات النقل اللاحقة: نقل البيانات

الشخصية م دولة خارجية أو منظمة دولية إلى جهات تحكم أو جهات معالجة في نفس الدولة/المنظمة أو في دولة/منظمة أخرى

مجموعة الجهات: مجموعة م الجهات التي تمارس أنشطة اقتصادية مشتركة، مثل:

حقوق الامتيا أو المشاري المشتركة أو الشراكات المهنية، وتعمل هذه الكيانات تح سيطرة مشتركة، على سبيل المثال: الملكية، أو المصالح الاقتصادية المشتركة، أو

المشاركة المالية، أو قواعد الحوكمة

النطاق

تحدد هذه الوثيقة المتطلبات والإرشادات المتعلقة بالقواعد المشتركة الُملزِمة، كما تنطبق لجهات التحكم أو جهات الُمعالجة بناء على تعليمات جهة التحكم ونيابة عنها وبما لا يخل بمسؤوليات جهة التحكم أمام الجهة المختصة أو صاحب البيانات الشخ صية - بحسب الأحوال - عند نقل البيانات الشخصية إلى خار المملكة لدولة أو منظمة دولية لا يتوفر لديها

مستوى مناسب لحماية البيانات الشخصية

النطاق الجغرافي للقواعد المشتركة الُملزمة

يشمل النطاق الجغرافي للقواعد المشتركة الُملزمة جمي عمليات نقل البيانات الشخصية إلى أي دولة / منظمة خار المملكة والتي تجريها جهات التحكم المتواجدة داخل المملكة

متطلبات القواعد المشتركة الملزمة

.1يجب على مجموعة الجهات التأكد م أن القواعد المشتركة الُملزِمة الخاصة بها

تتضم التزامات جهات التحكم المنصوص عليها في النظام واللوائح، بالإضافة إلى

تضمي ما يتعلق بحقوق أصحاب البيانات الشخصية والمطالبة بالتعويض ع الضرر الناتج

ع انتهاك هذه الحقوق

.2يجب على مجموعة الجهات وم ضمنها الجهة المستوردة للبيانات الشخصية التعاون م

الجهة المختصة والالتزام بالاستجابة لجمي طلباتها واستفساراتها وتقديم الوثائق

والمعلومات اللا مة لضمان الالتزام بالقواعد المشتركة الُملزمة .3يجب أن تتم الموافقة على القواعد المشتركة الُملزِمة داخليا م قبل صاحب

الصلاحية في مجموعة الجهات على أن تشمل هذه العملية مراجعة

لكافة التدابير التي سيتم اتخاذها حيال حماية البيانات الشخصية وآليات الالتزام والتحقق منها

.4يجب أن تكون القواعدُ ملزمة قانونيا على كل عضو داخل مجموعة الجهات وأن توفر معيارا ثابتا لحماية البيانات الشخصية، ويجب على كل عضو في المجموعة التي تتلقى البيانات الشخصية ذات الصلة بأن تلتزم بالأحكام المنصوص عليها في النظام

واللوائح .5م وجود وثائق القواعد المشتركة الُملزِمة، يجب إعداد سياسات مفصلة بشأن حماية البيانات الشخصية وحقوق أصحابها والتدابير الأمنية وبرامج التدقيق وآليات التعامل م حوادث تسرب البيانات الشخصية والشكاوى بما يتوافق م أحكام النظام

واللوائح .6تخض القواعد المشتركة الُملزمة للأنظمة المعمول بها في المملكة، وينعقد الاختصاص القضائي لأي نزاع ينشأ ع تطبيق أحكام القواعد لمحاكم المملكة، وتوافق الجهة / الجهات الم ستوردة للبيانات ال شخ صية داخل مجموعة الجهات على الخ ضوع للاخت صاص الق ضائي

للمملكة

الإرشادات

إرشادات عامة

.1على الأطرا المنضمة في اتفاقية ملزِمة التأكد م عدم تعارض أي م أحكامها م

التزامها بالقواع د

القواعد المشتركة الُملزِمة أو تحد م نطاق تطبيقها .2يجب على جهة التحكم تزويد الجهة المختصة -عند طلبها- ما يثب

المشتركة الُملزِمة والنظام واللوائح .3يجب على جهة التحكم وض خطة سريعة وفعالة للاستجابة لحوادث تسرب البيانات

الشخصية أو تلفها أو الوصول غير المشروع لها

.4يجب أن تتضم القواعد المشتركة الُملزِمة إجراءات إشعار الجهة المختصة وأصحاب

البيانات الشخصية عند اكتشا حادثة تسرب للبيانات الشخصية م شأنها الإضرار

على البيانات الشخصية المنقولة أو أصحاب البيانات الشخصية أو تتعارض م

حقوقهم أو مصالحهم

.5يجو إجراء تحديثات على قائمة أعضاء القواعد المشتركة الُملزِمة وفقا للشرو التالية:

أ الاحتف اظ بس جل مح دث لأعض اء القواع د المش تركة الُملزِم ة وجه ات المعالج ة وجهات المعالجة الفرعية المشاركة في أنشطة معالجة البيانات الشخصية وتسهيل وصول أصحاب البيانات الشخصية إلى قائمة أعضاء القواعد المشتركة

الُملزِمة ب الاحتف اظ بتقري ر يحت وي عل ى شرح للأسباب التي أدت إلى التحديث أو التغيير في

سجل الأعضاء .6لا تسري حالة الإعفاء المقيدة بالقواعد المشتركة الملزمة عند إخلال جهة التحكم بتطبيقها،

أو إذا تبي للجهة المختصة عدم كفايتها

معلومات مقدم طلب القواعد الُمشتركة الملزمة القسم الأول

ينبغي استخدام هذا القسم لتوثيق تفاصيل الجهة في مجموعة الجهات التي تقوم بتنفيذ القواعد المشتركة الُملزمة

.1اسم المجموعة: تقديم الاسم الرسمي لمجموعة الجهات مثال: "مجموعة **** ". .2عنوان المقر الرئيسي للمجموعة: تحديد العنوان الكامل للمقر الرئيسي لمجموعة

الجهات، مثال: 123الشارع الرئيسي، الرياض، المملكة العربية السعودية " .3اسم الجهة: ذكر اسم الجهة المتواجدة داخل المملكة والمسؤولة ع القواعد المشتركة الملزمة بحسب ما هو مذكور في السجل التجاري للجهة، والتأكد م أن هذه الجهة لديها القدرة المالية على تأمي المبالغ الناشئة ع أي التزامات بموجب القواعد

المشتركة الُملزِمة مثال: "شركة ****" .4الشكل القانوني للجهة: تحديد الشكل القانوني للجهة مثال: "الشركة". .5رقم السجل التجاري للجهة: تحديد رقم السجل التجاري المخصص للجهة م قبل

الجهة السعودية المختصة، مثال: "******"123 .6عنوان الجهة في المملكة العربية السعودية: إدخال العنوان الكامل للجهة داخل المملك ة العربي ة الس عودية، مث ال: "457المنطق ة الصناعي ة، جدة، المملكة العربية

السعودية".

.7رقم تسجيل الجهة لدى الجهة المختصة: تقديم رقم التسجيل المخصص م قبل الجهة المختصة )إن وجد( مثال:"."98V754321

.8قطاع الأعمال للجهة: تحديد قطاع الأعمال الذي تعمل في الجهة مثال: "تقنية المعلومات".

.9الاسم والعنوان ورقم السجل التجاري لجمي الجهات المتواجدة في المملكة العربية السعودية للمجموعة: إدرا جمي الجهات داخل المجموعة الموجودة في المملكة العربية السعودية، إلى جانب عناوينها وأرقام سجلاتها التجارية مثال: "جلوبال تك الرياض، V89شارع التجارة، الرياض، سجل تجاري رقم " **** ،"11جلوبال تك جدة،

457طريق التجارة، جدة، سجل تجاري رقم " ****. "*44 .10موق الجهة داخل المجموعة: وصف لدور أو موق الجهة داخل الهيكل التنظيمي

لمجموعة الجهات في العالم مثال: "المقر الإقليمي للشرق الأوسط" .11اسم ومنصب )المسؤول ع القواعد المشتركة الُملزِمة): تقديم الاسم الكامل والمسمى الوظيفي للمسؤول ع إدارة القواعد المشتركة الُملزِمة، مثال: "عبدالرحم ،

مسؤول حماية البيانات الشخصية" 12تفاصيل الاتصال بالشخص )ضابط الاتصال( - )العنوان، والبريد الإلكتروني، ورقم الهات ف):إدخال تفاصي ل الاتص ال الخاص ة بضابط الاتص ال، بم ا ف ي ذل ك العن وان والبريد الإلكتروني ورقم الهاتف، مثال: "789شارع الالتزام، الرياض، المملكة

العربية السعودية، "Abdulrahman@example.com"+966-000-****000 .13الاسم والمسمى الوظيفي وتفاصيل الاتصال الخاصة بأي ممثل/ممثلي تم تكليفهم بالتصر نيابة ع الجهة: تقديم تفاصيل ع أي متخصصي قانونيي أو استش اريي خارجيي يس اعدون ف ي وثائ ق القواع د المش تركة الُملزِم ة، إن وج دت، مثال: "أمل، مستشار أول، للمستشاري القانونيي "+966-000-****000

""Amal@example.com .14المستندات الإضافية التي سيتم تقديمها كملحق: تضمي مخطط تفصيل ي

يوضح الهيكل التنظيمي والموق الجغرافي لجمي أعضاء المجموعة الملتزمي بالقواعد المشتركة الُملزِمة

وصف للبيانات الشخصية في القواعد الُمشتركة الملزمة القسم الثاني

.1نوع أو فئ ات البيان ات الش خصية الت ي سيتم نقله ا وتغطيته ا بُموج ب القواع د الُمشتركة الملزمة: تحديد أنواع أو فئات البيانات الشخصية التي سيتم نقلها بموجب القواعد المشتركة الُملزِمة ويجب أن يتضم ذلك وصفا واضحا لأنواع

البيانات الشخصية .2فئات أصحاب البيانات الشخصية الذي سيتم نقل بياناتهم الشخصية: تحديد فئات أصحاب البيانات الشخصية الذي سيتم نقل بياناتهم الشخصية، بالإضافة إلى

المتأثري م عملية النقل .3أغراض نقل البيانات الشخصية: توضيح أسباب نقل البيانات الشخصية خار

المملكة، وشرح أنشطة المعالجة التي ستحدث بعد نقل البيانات الشخصية .4الدول المراد نقل البيانات الشخصية إليها: إدرا جمي الدول التي سيتم نقل البيانات الشخصية إليها بموجب القواعد المشتركة الُملزِمة والتأكد م تحديد كل دولة بدقة .5عدد مرات النق ل: تح ديد عدد مرات نق ل البيان ات الش خصية، الاختيار م بي "لم رة

واحدة" أو "مستمر" أو "دوري"، وتقديم مزيد م التفاصيل إذا لزم الأمر .6الترتيبات تعاقدية: ذكر أي ترتيبات تعاقدية بالتفصيل تتعلق باستخدام جهات التحكم

وجهات المعالجة المتعاقدة معها والتزامها بالقواعد المشتركة الملزمة .7المستندات الإضافية التي سيتم تقديمها كملحق: إدرا المستندات الإضافية التي

يتطلب تضمينها كملحقات لتوفير مزيد م الوضوح للقواعد المشتركة الُملزِمة

الطبيعة الملزمة للقواعد الُمشتركة الملزمة

.1الخصائص الملزمة للقواعد الُمشتركة الملزمة: توضيح وتحديد كيفية جعل القواعد ملزِمة لأعضاء المجموعة:

• الاتفاقيات داخل المجموعة: وصف الاتفاقيات الُملزِمة قانونيا داخل المجموعة الت ي تطب ق القواع د المشتركة الُملزِم ة، وتضمي تفاصي ل حول كيفي ة صياغ ة

هذه الاتفاقيات وتوقيعها م قبل جمي الجهات ذوات الصلة • التزامات الشركة الأم: شرح أي التزامات تفرضها الشركة الأم على أعضاء

المجموعة

• الا شتراطات الملزمة: تحديد الا شتراطات الملزمة التي تق على عاتق أع ضاء المجموع ة، وتوفي ر مراج للوثائ ق الداخلي ة أو الأحكام القانونية التي تفرض هذه

الاشتراطات في حال تسبب أي عضو م أعضاء المجموعة المشمولي ضم القواعد المشتركة الملزمة بالإخلال بالنصوص المتفق عليها فيحق لجهة التحكم تطبيق القواعد المشتركة الُملزِمة

ضده، ويوافق جمي أعضاء المجموعة وفقا للقواعد على هذا الشر كجزء م التزاماتهم .2التنفيذ م قبل أعضاء المجموعة: وصف آليات التنفيذ المتاحة لأعضاء المجموعة داخل المملكة وعلى المستوى الدولي، وتضمي أي إجراءات محددة للإبلاغ ومعالجة

عدم الالتزام مثال: يمك لأي عضو في المجموعة تنفيذ القواعد المشتركة الُملزِمة م خلال آليات إعداد التقارير الداخلية وبرامج الالتزام، لدى الأعضاء الموجودي في المملكة إجراءات محددة لتصعيد المشكلات إلى مسؤول حماية البيانات الشخصية بالمجموعة الذي يقوم

بالتنسيق م الجهة المختصة لضمان التنفيذ .3ملزم ة للموظفي : شرح كي ف سيتم جع ل القواع د المش تركة ملزِم ة لموظف ي

أعضاء المجموعة • عقد العمل: وصف كيفية إدرا التزامات القواعد المشتركة الُملزِمة في عقود

العمل • سياسات الشركة: شرح كيفية إدرا نصوص القواعد المشتركة الُملزِمة في

سياسات الشركة ذوات الصلة • العقوبات التأديبية: تقديم تفاصيل حول الإجراءات التأديبية عند عدم الالتزام

بالقواعد المشتركة الُملزِمة .4الالتزامات على جهات المعالجة الفرعية: وصف الالتزامات التعاقدية المفروضة على

جهات المعالجة الفرعية، بما في ذلك الإجراءات المتخذة عند عدم الالتزام .5حقوق المستفيد م الطر الثالث: وصف الإجراءات المتخذة التي تمك أصحاب البيانات الشخصية م ممارسة حقوقهم والمطالبة بالتعويض، وتضمي تفاصيل حول كيفية مراعاة هذه الحقوق وكيفية المطالبة بالتعويض لأصحاب البيانات

الشخصية عند انتهاك حقوقهم

.6الشفافية في القواعد المشتركة الملزمة: وصف لوسائل التواصل والقنوات المستخدمة لجعل القواعد الُملزِمة في متناول أصحاب البيانات الشخصية، وتضمي تفاصيل القنوات المتاحة لأصحاب البيانات الشخصية مثل: المواق الإلكترونية أو الأنظمة

الأساسية الأخرى التي يمك الوصول إليها .7رف الوعي والتدريب: وصف لكيفية تدريب موظفي أعضاء المجموعة على الالتزام بالمتطلبات المنصوص عليها في القواعد المشتركة الُملزِمة وتوعيتهم بها، ويجب أن يضم برنامج التدريب أن جمي الموظفي يدركون مسؤولياتهم ومتطلبات حماية

البيانات الشخصية المنصوص عليها في النظام واللوائح .8التعامل م الشكاوى: وصف الآليات التي سيتم تنفيذها لضمان التعامل بكفاءة م الشكاوى المتعلقة بالقواعد المشتركة الُملزِمة وعمليات النقل خار المملكة ذوات الصلة، ويلزم التوضيح لأصحاب البيانات الشخصية بآلية تقديم الشكاوى بسهولة وأن

يتم التعامل م هذه الشكاوى بسرعة وفاعلية 9عملية التدقيق: وصف عملية التدقيق التي سيتم تنفيذها لضمان الالتزام بالقواعد المشتركة الُملزِمة م قبل كل عضو في المجموعة، وينبغي أن تتضم معلومات

كافية ع عمليات التدقيق

التعاون م الجهة المختصة

يوضح هذا القسم مبادئ وإجراءات التعاون بي مجموعة الجهات والجهة المختصة، فهو

يضم التزام المجموعة بالمتطلبات التي تحددها الجهة المختصة، مما يسهل الرقابة

الفعالة ويضم الالتزام بالقواعد المشتركة الملزمة والانظمة واللوائح المعمول بها في

المملكة

.1التعاون م الجهة الُمختصة: توضيح المبادئ العامة والتزامات مجموعة الجهات في التعاون م الجهة المختصة، ويؤكد أعضاء المجموعة بالالتزام والشفافية والاستجابة

والتعاون في جمي الأمور المتعلقة بحماية البيانات الشخصية وم ذلك ما يأتي:

تقديم بيان يؤكد التزام المجموعة بالتعاون الكامل م السلطة المختصة

تحديد مسؤول حماية البيانات الشخصية داخل المجموعة الذي سيتعامل م

الطلبات المقدمة م الجهة المختصة

تحديد إجراءات الرد على الطلبات والاستفسارات م الجهة المختصة، وتحديد

الجداول الزمنية لتوفير المعلومات والوثائق

وصف أي التزامات منتظمة تتعلق بتقديم التقارير إلى الجهة المختصة، بما في

ذلك أنواع التقارير ومحتواها

.2الالتزام بتوجيهات الجهة الُمختصة: وصف لكيفية التزام المجموعة وأعضائها بتوجيهات الجهة المختصة المتعلقة بالقواعد المشتركة الُملزِمة ومعالجة البيانات

الشخصية

.3حق الجهة الُمختصة في متابعة الالتزام: وصف لكيفية تمكي الجهة المختصة م متابعة التزام المجموعة للقواعد المشتركة الُملزِمة وأحكام النظام واللوائح

تدابير حماية البيانات الشخصية

وصف تفصيلي لكيفية اتخاذ التدابير لحماية البيانات الشخصية م خلال القواعد

المشتركة الُملزِمة، ويجب إرفاق المستندات الداعمة والمراج ذوات الصلة بالقواعد المشتركة الملزمة

تعيي مسؤول )مسؤولي ( لحماية البيانات الشخصية: تفصيل عملية تعيي

مسؤولي حماية البيانات الشخصية المسؤولي ع الإشرا على الالتزِام بحماية البيانات الشخصية، وتضمي معايير الاختيار والأدوار والمسؤوليات وفق أحكام

النظام واللوائح

التعاون بي شبكة مسؤولي حماية البيانات الشخصية داخل المجموعة: وصف

كيفية تعاون مسؤولي حماية البيانات الشخصية داخل المجموعة لضمان تطبيق

ممارسات حماية البيانات الشخصية

أدوار ومس ؤوليات الأشخاص ذوي العلاقة وتعاونه م م شبكة مس ؤولي حماي ة

البيانات الشخصية داخل المجموعة: تحديد أدوار ومسؤوليات مسؤولي حماية

البيانات الشخصية وتفاعلهم م الأشخاص ذوي العلاقة

متطلبات الشفافية: تحديد الإجراءات المتخذة لضمان إظهار الشفافية أثناء قيام

الجهة بمعالجة البيانات الشخصية بما لا يتعارض م أحكام النظام واللوائح

متطلبات معالجة البيانات الشخصية: وصف لكيفية معالجة البيانات الشخصية

والالتزام بالقواعد المشتركة الُملزِمة وفق أحكام النظام واللوائح متطلب ات تحدي د الغ رض والمسوغ النظامي لها: تفصي ل كيفي ة اقتص ار معالج ة

البيانات الشخصية على أغراض مشروعة ومحددة وفق مسوغ نظامي ووفقا

لأحكام النظام واللوائح

متطلب ات الحد الأدنى م البيانات الشخصية: تحديد التدابير المتخذة لضمان جم ومعالجة الحد الأدنى م البيانات الشخصية الضرورية فقط وفق أحكام النظام

واللوائح مدد تخزي البيانات الشخصية وإتلافها وفق أحكام النظام واللوائح بالإضافة الى شرح

سياسات الاحتفاظ بالبيانات وإتلافها متطلبات البيانات الحساسة – بحسب الأحوال -: وصف التدابير الإضافية المتخذة

عند معالجة البيانات الحساسة وفق أحكام النظام واللوائح متطلب ات الاحتف اظ بس جلات أنش طة معالج ة البيان ات الش خصية: وص ف لكيفي ة

الاحتفاظ بسجلات أنشطة معالجة البيانات الشخصية وفق أحكام النظام واللوائح متطلبات تقييم الأثر: شرح إجراءات عملية تقييم الأثر المتخذة لحماية البيانات

الشخصية وفق أحكام النظام واللوائح متطلب ات ج ودة البيان ات الشخصية: وصف للتدابير المتخذة حيال دقة البيانات

الشخصية وجودتها وفق أحكام النظام واللوائح متطلبات أم البيانات الشخصية: وصف للإجراءات الأمنية المعمول بها لحماية

البيانات الشخصية وفق أحكام النظام واللوائح متطلبات الإشعار بحوادث تسرب البيانات الشخ صية: وصف للتدابير والإجراءات

المتخذة عند اكتشا حادثة تسرب للبيانات شخصية وفق أحكام النظام واللوائح القيود المتعلقة بعمليات النقل اللاحقة: وصف للقيود المفروضة على نقل

البيانات الشخصية إلى أطرا ثالثة وفق أحكام النظام واللوائح متطلبات إجراء عملية تقييم الأثر على النقل: وصف لإجراءات تقييم الأثر على

عمليات نقل البيانات الشخصية وفق أحكام النظام واللوائح

الُملحقات

ملحق :1توثيق تفاصيل الجهة المنفذة للقواعد المشتركة الملزمة

أ التعليمات يمك إرف اق وثائ ق إضافي ة عند الاقتض اء، وس يتم تقدي م نس خة إلكتروني ة م

القواعد المشتركة الُملزِمة إلى الجهة المختصة يتم تضمي المستندات الإضافية في القسم الأخير م نموذ الطلب

ب معلومات الكيان

تفاصيل الجهة

.1اسم المجموعة

.2عنوان المقر الرئيسي للمجموعة

.3اسم الجهة

.4الشكل القانوني للجهة

.5رقم السجل التجاري للجهة

.6عنوان الجهة في المملكة العربية ]يرجى الإدخال [ السعودية

.7رقم تسجيل الجهة لدى الجهة ]يرجى الإدخال [ المختصة - إن وجد -

.8نشا الجهة

.9الاسم والعنوان ورقم السجل ]يرجى الإدخال [ التجاري لجمي الجهات التابعة للكيان في المملكة العربية السعودية

.10موق الجهة داخل المجموعة

.11الشخص المسؤول ع التواصل )مسؤول حماية البيانات الشخصية (

.12تفاصيل الاتصال الخاصة بالمسؤول ع التواصل )مسؤول حماية البيانات الشخصية( )العنوان، والبريد

الإلكتروني، ورقم الهاتف(

.13الاسم والمسمى الوظيفي ومعلو مات التواصل ال كام لة لأي

محامي خارجيي أو مستشاري

آخري تم توجيههم للعمل نيا بة ع الجهة -إن وجد -

مخطط هيكل المجموعة: وصف للهيكل المؤسسي والموق الجغرافي لجمي أعضاء المجمو عة الملتزمي بالقوا عد المشتر كة

الُملزمة

.14المستندات الإضافية التي يجب تقديمها ضم المرفقات

ثانيا: وصف وتفاصيل تدفقات البيانات الشخصية التي تغطيها القواعد الُمشتركة الُملزِمة

.1نوع أو فئات البيانات الشخصية التي ] يرجى الإدخال [ سيتم نقلها

.2فئات أصحاب البيانات الشخصية الذي سيتم نقل بياناتهم الشخصية

.3أغراض م نقل البيانات الشخصية ] يرجى الإدخال [

.4الدول المراد نقل البيانات الشخصية إليها

.5عدد مرات النقل

.6ذكر أي ترتيبات تعاقدية بالتفصيل تتعلق باستخدام جهات المعالجة

والتزامها بالقواعد المشتركة الملزمة

.7المستندات الإضافية التي سيتم ] يرجى الإدخال [ تقديمها كملحق

الطبيعة الملزمة للقواعد المشتركة الملزمة

.1الطبيعة الضرورية للقواعد المشتركة ] تحديد وتوضيح كيفية ربط القواعد المشتركة الُملزِمة بأعضاء

المجمو عة، على سب يل الم ثال: القوا عد ملز مة على جمي أعضاء

الملزمة

المجموعة، والاتفاقيات داخل المجموعة، والالتزامات التي تفرضها

الشركة الأم على أعضاء المجموعة[

] شرح وتحديد كيف تضم القواعد المشتركة الملزِمة أن لدى جهات التحكم الحق في إنفاذ القواعد المشتركة اُلملزِمة ضد أي يتسبب

بانتهاك نصوص القواعد المشتركة الملزمة [

] توضيح كيف يمك لأعضاء المجموعة تطبيق القواعد المشتركة الملزمة [

] توضيح كيف سيتم جعل القواعد المشتركة ملزِمة لموظفي أعضاء المجموعة، على سبيل المثال: عقود العمل، وإدرا القواعد الم شتركة الملزمة في سيا سات ال شركة والإجراءات التأديبية يرجى إدرا مقتطفات م السياسات أو اتفاقيات السرية عند الاقتضاء

لشرح كيفية التزام الموظفي بالقواعد المشتركة الملزمة[

] توضيح كيف تتأكد المجموعة م أن جهات المعالجة الفرعية – إن وجدت - ل تؤدي إلى الإخلال بمستوى حماية البيانات الشخصية المفروض بموجب القواعد المشتركة الملزِمة، على سبيل المثال: الالتزامات الواردة في الاتفاقيات المبرمة معهم والعقوبات التعاقدية

المفروضة على المقاولي الفرعيي لعدم الالتزام [

] توضيح كيف ستضم القواعد المشتركة الملزمة قدرة أصحاب البيانات الشخصية على ممارسة حقوقهم بموجب النظام واللوائح[

] توضيح كيفية إرسال المحتوى المادي للقواعد المشتركة الملزمة إلى أصحاب البيانات الشخصية و إتاحت وتمكي أصحاب البيانات

الشخصية م الوصول إلي [

.2التنفيذ م قبل أعضاء المجموعة .3ملزمة للموظفي

.4التزامات جهات المعالجة الفرعية

.5حقوق المستفيد م الطر الثالث .6الشفافية في القواعد المشتركة الملزمة

فعالية القواعد المشتركة الملزمة

]توضيح كيف سيتم تدريب موظفي أعضاء المجموعة على الالتزام بالمتطلبات المنصوص عليها في القواعد المشتركة الملزِمة

وتوعيتهم بها[

]وصف الآليات التي سيتم تنفيذها لضمان التعامل بكفاءة م الشكاوى المتعلقة بالقواعد المشتركة الملزمة وعمليات النقل ذات

الصلة[

.1التوعية والتدريب .2التعامل م الشكاوى

]وصف إجراءات عملية التدقيق التي سيتم اتخاذها للتأكد م التزام كل عضو في المجموعة بالقواعد المشتركة الملزِمة[

.3عملية التدقيق

التعاون م الجهة المختصة

]توضيح لنصوص القواعد المشتركة الملزِمة التي تضم مسألة التعاون م الجهة المختصة[

] توضيح أن القوا عد المشتر كة الملزِ مة تضم بأن المجمو عة وأعضاءها سيلتزمون بالتعليمات الصادرة ع الجهة المختصة المتعلقة بالقواعد المشتركة الملزِمة وعملية معالجة البيانات

الشخصية ذات الصلة[

] توضيح بأن القواعد المشتركة الملزمة تمِك الجهة المختصة م متابعة التزام المجموعة وأعضاءها بالقواعد المشتركة الملزمة[

.1التعاون م الجهة المختصة .2الالتزام بتوجيهات الجهة المختصة

.3حق الجهة المختصة في متابعة الالتزام

تدابير حماية البيانات الشخصية

وصف لكيفية معالجة كل م المتطلبات التالية بموجب القواعد المشتركة الملزمة، وتقديم مرج إلى القسم ذي الصلة في القواعد المشتركة الملزمة، وتقديم الوثائق الداعمة -إن وجدت-

تعيي مسؤول )مسؤولي ( حماية البيانات الشخصية

التعاون بي مسؤولي حماية البيانات الشخصية الداخليي /الخارجيي العاملي داخل المجموعة

متطلبات الشفافية

متطلبات معالجة البيانات الشخصية

متطلبات تحديد الغرض

ا ل بيانات

متطلبات الحد الأدنى م الشخصية

مدد تخزي البيانات الشخصية وإتلافها

متطلبات البيانات الحساسة -بحسب الأحوال-

متطل بات الاحت فاظ بسجلات أنش طة معالجة البيانات الشخصية

متطلبات عمليات تقييم الأثر متطلبات جودة البيانات الشخصية متطلبات أم البيانات الشخصية متطلبات إشعار تسرب البيانات الشخصية القيود المتعلقة بعمليات النقل اللاحقة متطلبات إجراء عملية تقييم الأثر على

النقل

متطلبات إجراء عملية تقييم الأثر على النقل

]يرجى إدخال أي معلومات أخرى ذوات صلة[

تعليقات أخرى

]نسخة م القواعد المشتركة الملزمة الرسمية ]يرجى الإدخال [ ]يرجى الإدخال [

الملحق :2محتوى القواعد المشتركة الملزمة

يجب أن تحدد القواعد المشتركة الُملزِمة )عمليات نقل البيانات الشخصية أو مجموعة عمليات النقل، بما في ذلك نوع البيانات الشخصية ونوع المعالجة وأغراضها وأنواع أصحاب البيانات الشخصية بالإضافة إلى المنظمة/الدولة( بالنسبة لكل بند م بنود القواعد المشتركة الملزمة، قم بإدرا وصف لأحكام/أقسام القواعد المشتركة الملزِمة

التي تتناول العناصر ذات الصلة

.1اسم المجموعة وعنوان مقرها الرئيسي

.2اسم عضو المجموعة )المكلف بمسؤولية حماية البيانات الشخصية( في المملكة

وعنوان عضو المجموعة في المملكة

.3معلومات السجل التجاري لمجموعة الجهات

.4تفاصيل ع الهيكل التنظيمي ومعلومات التواصل الخاصة بمجموعة الجهات وكل عضو م أعضائها )تحديدا قائمة الجهات التي يجب أن تلتزم بالقواعد المشتركة

الملزمة(

.5وصف عمليات نقل البيانات الشخصية أو مجموعة عمليات النقل:

.6نوع أو فئات البيانات الشخصية الجاري نقلها؛

فئات أصحاب البيانات الشخصية الجاري نقل بياناتهم الشخصية؛

الغرض م نقل البيانات الشخصية؛ موق النقل )أو الأغراض المتوقعة م

عملية المعالجة(؛

مدة النقل المقترحة

تعليقات أخرى

.1الطبيعة الملزمة للقواعد المشتركة الملزمة يجب أن تكون القواعد المشتركة ملزمة قانون يا ل كل عض و ف ي المجموع ة، كما عليهم التوضيح بأن كل عضو في المجموعة يتلقى البيانات الشخصية ذات الصلة علي الالتزام بالأحكام المنصوص عليها في النظام واللوائح، وينطبق

الأمر ذات على الموظفي والمقاولي التابعي لأعضاء المجموعة الذي يجب عليهم الالتزام بالقواعد المشتركة

الملزمة

.2حقوق أصحاب البيانات الشخصية يج ب على أعضاء المجموعة تضمي حقوق أصحاب البيانات ال شخ صية وآلية ممار ستها في القواعد المشتركة الملزمة وذلك بموج ب النظ ام واللوائ ح، عل ى سبيل

المثال لا الحصر ما يلي: الحق في في العلم بالمسوغ النظامي والغرض م جم البيانات الشخصية

ومعالجتها ا ل حق في الوصول إلى ا ل بيانات

الشخصية الحق في طلب نسخة م البيانات

الشخصية بصيغة مقروءة وواضحة الحق في طلب تصحيح البيانات

الشخصية

الحق في إتلا البيانات الشخصية يشتر في القواعد المشتركة الملزمة ما يلي ) :

1) ضمان من أي تأثير سلبي على حقوق أصحاب البيانات الشخصية بموجب النظام

واللوائح بسبب نقلها إلى خار المملكة؛ )

2) منح أصحاب البيانات الشخصية الحق في تقديم الشكاوى أم ام الجه ة المختص ة، وتوضيح آلية التعويض في حال حدوث أي انتهاك لأحد نصوص القواعد المشتركة

الملزمة

.3المسؤوليات والالتزامات يجب أن تحتوي القواعد المشتركة الملزمة على التزامات واضحة للمجموعة أو عضو المجموعة )المسؤول ع حماي ة البيانات الشخصية( في المملكة حيث تكون المجموعة مسؤولة أمام أصحاب البيان ات الشخصية و/أو الجه ة المختص ة ع أي انتهاكات للقواعد المشتركة الملزمة يرتكبها أعضاء المجموعة

المتواجدي خار المملكة آل ية الت عا مل م حوادث تسرب الب يا نات

الشخصية

.4الاختصاص القضائي يجب أن تتضم القواعد المشتركة الملزمة بندا يو ضح بأن النزاعات والانتهاكات الناشئة ع القواعد المشتركة الملزمة تخض لمحاكم المملكة وتكون وفقا للأنظمة المعمول بها في المملكة، وأن أصح اب البيان ات الشخصية يمكنه م تقديم الشكاوى للجهة المختصة ضد عضو المجموعة )المسؤول ع حماية البيانات الشخصية( المتواجد داخل المملكة، حتى ف ي حال كان الانته اك م قب ل أح د

أعضاء المجموعة م خار المملكة

.5الشفافية يجب أن تتضم القواعد المشتركة الملزمة التزام أعضاء المجموعة بتزويد أصحاب البيانات الشخصية بمحتوى

القواعد المشتركة الملزمة

فاعلية القواعد المشتركة الملزمة

.1رف الوعي والتدريب يجب أن يكون موظفو أعضاء المجموعة الذي يعملون في معالجة البيانات الشخصية/ البيانات الحساسة على دراية وعلم بالالتزامات والمتطلبات المنصوص عليها في القواعد المشتركة الملزم ة ويجب أن يتلقوا التدريب المناسب، وينبغي أن تتضم القواعد المشتركة الملزمة الالتزامات المتعلقة في هذا

الشأن

.2معالجة الشكاوى يجب أن تحدد القواعد المشتركة الملزمة

آلية للتعامل م الشكاوى المقدمة م أصحاب البيانات الشخصية وكيفية تقديمها، ويجب أن تفرض القواعد على

أعضاء المجموعة إجراء تلك الآلية

.3عملية التدقيق يجب على المجموعة إجراء عمليات التدقي ق والقي ام بالإج راءات التصحيحي ة وذلك لضمان الالتزام بالقواعد المشتركة الملزمة، ويمك الاستعانة بمدققي خارجيي مرخصي لإجراء

عمليات التدقيق، ويجب أن تتضم القواعد المشتركة الملزمة وصفا لعملية التدقيق والتزام أعضاء المجموعة

بعملية التدقيق وفقا لذلك كم ا يج بأن تن ص القواع د المش تركة الملزمة على إمكانية حصول الجهة المختصة على نتائج التدقيق عند طلبها

.4الإشرا يجب أن تفرض القواعد المشتركة الملزمة على المجموعة تعيي مسؤول /مسؤولي حماية البيانات الشخصية - عند الاقتضاء- أو شبكة م مسؤولي

حماية البيانات الشخصية أو فريق م الخبراء لتولي مسؤولية الإشرا على الالتزام بالقواعد المشتركة كما يجب أن تتضم القواعد المشتركة الملزمة تفاصيل ووصف هيكل الفريق

ومهام

.5المسؤولية يجب أن توضح القواعد المشتركة الملزمة أن كل عضو في المجموعة يجب أن يكون قادرا على إثبات التزام بالقواعد المشتركة الملزمة، وتطبيق أحكام النظام واللوائح ومنها، تحديد

الغ رض م المعالجة والح د الأدن ى م البيانات الشخصية المطلوبة ومدة التخزي والمسوغ النظامي للمعالجة وضوابط معالجة البيانات الشخصية والمتطلبات المتعلقة بعمليات النقل اللاحقة إلى جهات أخرى غير ملزمة

بالقواعد

التعاون م الجهات المختصة

.1العلاقة م الجهات المختصة يج بأن يلت زم جمي أعض اء المجموعة بالتعاون م الجهة المختصة وفقا للقواعد المشتركة الملزمة وأنشطة المعالجة ذات الصلة، كما يجب أن تنص القواع د المش تركة الملزم ة عل ى الت زام

أعضاء المجموعة بالتعليمات الصادرة ع الجهة المختصة بالإضافة إلى السماح لها بمتابعة التزام المجموعة بالقواعد

المشتركة الملزمة

.2تعارض التشريعات الوطنية يجب أن تفرض القواعد المشتركة الملزمة على أعضاء المجموعة إبلاغ الجهة المختصة فورا إذا كان م شأن أي نص نظامي لدولة خار المملكة أن يؤثر سلبا على القواعد المشتركة الملزمة

أو الالتزام بها

.3متطلبات حماية البيانات الشخصية على أعضاء المجموعة في القواعد المشتركة الملزمة الالتزام بأحكام النظام واللوائح ويجب أن تتضم القواعد المش تركة الملزم ة الأح كام المنص وص

عليها في النظام واللوائح كالآتي: الشفافية؛

المسوغات النظامية؛

تحديد الغرض؛ الحد الأدنى م البيانات الشخصية؛

التخزي ؛ الحماي ة الإضافية للبيان ات الحساس ة

– إن وجدت - متطلبات إجراء تقويم الأثر؛

أم البيانات الشخصية؛ إشعار تسرب البيانات الشخصية؛ المتطلبات المتعلقة بعمليات نقل البيانات الشخصية اللاحقة إلى

الجهات غير الملزمة بالقواعد متطلبات إجراء تقويم مخاطر نقل

البيانات الشخصية لخار المملكة