قانون حماية البيانات / الخصوصية في الإماراتمرسوم بقانون اتحادي في شأن حماية البيانات الشخصية

المادة (1) التعاريف

في تطبيق أحكام هذا المرسوم بقانون، يقصد بالكلمات والعبارات التالية المعاني المبينة قرين كل منها، ما لم يقض سياق النص بغير ذلك:

الدولة: الإمارات العربية المتحدة.

مكتب الإمارات للبيانات المنشأ بموجب المرسوم بقانون اتحادي رقم (44) لسنة 2021 المشار إليه:

مجموعة منظمة أو غير منظمة من المعطيات، أو الوثائق أو المفاهيم أو التعليقات أو المشاهدات أو القياسات تكون على شكل أرقام أو حروف أو كلمات أو رموز أو صور أو فيديوهات أو إشارات أو أصوات أو خرائط أو أي شكل آخر، يتم تفسيرها أو تبديلها أو معالجتها، عن طريق الأفراد أو الحواسيب، وتشمل المعلومات البيانية الواردة في هذا المرسوم بقانون.

البيانات:

أي بيانات تتعلق بشخص طبيعي محدد، أو تتعلق بشخص طبيعي يمكن التعرف عليه بشكل مباشر أو غير مباشر من خلال الربط بين البيانات، من خلال استخدام عناصر التعريف كالصوته، أو صورته، أو رقمه التعريفي، أو المعرف الإلكتروني الخاص به، أو موقعه الجغرافي، أو صفة أو أكثر من صفاته الشكلية أو الفسيولوجية، أو الاقتصادية، أو الثقافية، أو الاجتماعية، وتشمل البيانات الشخصية الحساسة والبيانات الحيوية البيومترية.

البيانات الشخصية:

أي بيانات تكشف بشكل مباشر أو غير مباشر عن عائلة الشخص الطبيعي أو أصله العرق أو آراءه السياسية أو الفلسفية أو معتقداته الدينية، أو سجل السوابق الجنائية الخاص به، أو أي بيانات تتعلق بصحة هذا الشخص وتشمل حالته الجسدية أو النفسية أو الذهنية أو العقلية أو البدنية أو الجنسية أو الجنسانية، بما في ذلك المعلومات المتعلقة بتوفير خدمات الرعاية الصحية له التي تكشف عن وضعه الصحي.

البيانات الشخصية الحساسة:

البيانات الحيوية البيومترية:

البيانات الناتجة عن المعالجة باستخدام تقنية محددة تتعلق بالخصائص الجسدية أو الفسيولوجية أو السلوكية لصاحب البيانات، والتي تسمح بتحديد أو تؤكد التحديد الفريد لصاحب البيانات، مثل صورة الوجه أو بيانات البصمة.

صاحب البيانات:

الشخص الطبيعي موضوع البيانات الشخصية.

المنشأة:

أي شركة أو مؤسسة فردية داخل الدولة أو خارجها، بما فيها الشركات المملوكة بشكل جزئي أو كامل للحكومة الاتحادية أو المحلية أو التي تساهم فيها.

المنشأة أو الشخص الطبيعي الذي لديه بيانات شخصية، وبحكم نشاطه يقوم بتحديد طريقة ومعايير معالجة هذه البيانات الشخصية والغاية من معالجتها، سواء بمفرده أو بالاشتراك مع أشخاص أو منشآت أخرى.

المتحكم:

المنشأة أو الشخص الطبيعي الذي يعالج البيانات الشخصية نيابة عن المتحكم، بحيث يقوم بمعالجتها تحت توجيه وتعليماته.

المعالج:

أي شخص طبيعي أو اعتباري يتم تعيينه من قبل المتحكم أو المعالج، يتولى مهام التأكد من مدى امتثال الجهة التي يشرف عليها بضوابط وشروط وإجراءات وقواعد معالجة حماية البيانات الشخصية المنصوص عليها في هذا المرسوم بقانون، والتأكد من سلامة تنظيمها وإجراءاتها من أجل تحقيق الالتزام بأحكامه.

مسؤول حماية البيانات:

أي عملية أو مجموعة عمليات يتم إجراؤها على البيانات الشخصية باستخدام أي وسيلة من الوسائل الإلكترونية بما فيها وسيلة المعالجة وغيرها من الوسائل الأخرى، وتشمل هذه العملية جمع البيانات الشخصية، أو تخزينها، أو تسجيلها، أو تنظيمها أو تكييفها أو تعديلها، أو الإفصاح عنها عن طريق بثها أو نقلها أو توزيعها أو إتاحتها أو تنسيقها أو دمجها أو تقييدها أو حجبها أو محوها أو إتلافها أو إنشاء نماذج لها.

المعالجة:

المعالجة التي تتم باستخدام برنامج أو نظام إلكتروني، يعمل بطريقة آلية وتلقائية إما بشكل مستقل كلياً دون أي تدخل بشري أو بشكل جزئي بإشراف وتدخل بشري محدود.

المعالجة الآلية:

مجموعة من التدابير والإجراءات والعمليات التقنية والتنظيمية المحددة وفقاً لأحكام هذا المرسوم بقانون التي من شأنها الحفاظ على حماية خصوصية وسرية وسلامة وحدة البيانات الشخصية، وكمالها وتوافرها.

أمن البيانات الشخصية:

المعالجة التي يتم إجراؤها على البيانات الشخصية بطريقة تؤدي بعد إتمام المعالجة إلى عدم إمكانية ربط وتسبب هذه البيانات بصاحب البيانات دون استخدام معلومات إضافية، شريطة أن تكون تلك المعلومات الإضافية محفوظة بشكل مستقل وآمن، وفقاً للتدابير والإجراءات التقنية والتنظيمية المحددة بموجب أحكام هذا المرسوم بقانون، لضمان عدم ارتباط البيانات الشخصية إلى شخص طبيعي محدد أو يمكن التعرف عليه من خلالها.

آلية إخفاء البيانات:

آلية إخفاء المعالجة التي يتم إجراؤها على البيانات الشخصية بطريقة تؤدي إلى إخفاء هوية صاحب البيانات وعدم ربط وتسبب هذه البيانات به وعدم إمكانية التعرف عليه بأي طريقة كانت.

الهوية:

عملية حق لأمن المعلومات واتباك البيانات الشخصية من خلال الدخول والوصول إليها بشكل غير مشروع أو غير مرخص به، وتشمل نسخها أو إرسالها أو توزيعها أو تبديلها أو نقلها أو تعديلها أو معالجتها بشكل يؤدي إلى الكشف أو الإفصاح إلى الغير عن هذه البيانات أو إتلافها أو تعديلها أثناء عملية التخزين والنقل والمعالجة.

خرق واتباك البيانات:

شكل من أشكال المعالجة المؤتمتة بحيث تتضمن استخدام البيانات الشخصية لتقييم جوانب شخصية معينة ومرتبطة بصاحب البيانات، ومن بينها تحليل أو توقع الجوانب المتعلقة بأدائه أو وضعه المالي أو صحته أو تفضيلاته الشخصية أو اهتماماته أو سلوكه أو مكانه أو تحركاته أو موثوقيته.

التنميط:

نشر أو استخدام أو عرض أو إرسال أو استقبال أو استرجاع أو استخدام أو مشاركة البيانات الشخصية ومعالجتها خارج النطاق الجغرافي للدولة.

المعالجة عبر الحدود:

الموافقة التي يصرح فيها صاحب البيانات للغير بمعالجة بياناته الشخصية، على أن تكون هذه الموافقة بشكل محدد وواضح ولا يشف فيه على قبوله بمعالجة بياناته الشخصية من خلال بيان أو إجراء إيجابي واضح.

الموافقة:

المادة (2)

نطاق سريان المرسوم بقانون

1. تسري أحكام هذا المرسوم بقانون على معالجة البيانات الشخصية سواء كليا أو جزء منها عن طريق وسائل الأنظمة الإلكترونية التي تعمل بشكل تلقائي وأو غيرها من الوسائل الأخرى، وذلك من قبل:

أ. كل صاحب بيانات يقيم في الدولة أو له مقر عمل فيها.

ب. كل متحكم أو معالج متواجد في الدولة يقوم بمزاولة أنشطة معالجة معالجة البيانات الشخصية لأصحاب البيانات في الدولة أو خارجها.

ج. كل متحكم أو معالج متواجد خارج الدولة يقوم بمزاولة أنشطة معالجة البيانات الشخصية لأصحاب البيانات في الدولة.

2. لا تسري أحكام هذا المرسوم بقانون على ما يأتي: أ. البيانات الحكومية. ب. الجهات الحكومية المتحكمة بالبيانات الشخصية أو تلك التي تقوم بمعالجتها. ج. البيانات الشخصية لدى الجهات الأمنية والقضائية. د. صاحب البيانات الذي يقوم بمعالجة بياناته لأغراض شخصية. هـ. البيانات الشخصية الصحية التي لها تشريع ينظم حماية ومعالجة تلك البيانات. و. البيانات والمعلومات الشخصية المصرفية والائتمانية التي لها تشريع ينظم حماية ومعالجة تلك البيانات. ز. الشركات والمؤسسات الواقعة في المناطق الحرة في الدولة ولديها تشريعات خاصة بحماية البيانات الشخصية

المادة (4) حالات معالجة البيانات الشخصية بدون موافقة صاحبها

يحظر معالجة البيانات الشخصية بدون موافقة صاحبها، وتستثنى أي من الحالات التالية من هذا الحظر وتعتبر المعالجة فيها مشروعة حيثما: 1. أن تكون المعالجة ضرورية لحماية المصلحة العامة. 2. أن تكون المعالجة مرتبطة بالبيانات الشخصية التي أصبحت متاحة ومعلومة للكافة بفعل من صاحب البيانات. 3. أن تكون المعالجة ضرورية لإقامة أي من إجراءات المطالبة بالحقوق والدعاوى القانونية أو الدفاع عنها أو تتعلق بالإجراءات القضائية أو الأمنية.

4. أن تكون المعالجة ضرورية لأغراض الطب البيطري أو الوقاية من أجل تقييم قدرة الموظفين على العمل، أو التشخيص الطبي أو تقديم الرعاية الصحية أو الاجتماعية أو العلاج أو خدمات التأمين الصحي أو إدارة أنظمة وخدمات الرعاية الصحية أو الاجتماعية وفقاً للتشريعات السارية في الدولة.

5. أن تكون المعالجة ضرورية لحماية الصحة العامة، وتشمل الحماية من الأمراض السارية والوبائية أو لأغراض ضمان سلامة وجودة الرعاية الصحية والأدوية والعقاقير والأجهزة الطبية، وفقاً للتشريعات السارية في الدولة.

6. أن تكون المعالجة ضرورية لأغراض أرشيفية أو دراسات علمية وتاريخية وإحصائية وفقاً للتشريعات السارية في الدولة.

7. أن تكون المعالجة ضرورية لحماية مصالح صاحب البيانات.

8. أن تكون المعالجة ضرورية لأغراض قيام المتحكم أو صاحب البيانات بالتزاماته وممارسة حقوقه المقررة قانوناً في مجال التوظيف أو الضمان الاجتماعي أو القوانين المعنية بالحماية الاجتماعية وذلك بالقدر الذي يسمح به في تلك القوانين.

9. أن تكون المعالجة ضرورية لتنفيذ عقد صاحب البيانات طرفاً فيه ولاتخاذ إجراءات بناءً على طلب صاحب البيانات بهدف إبرام عقد أو تعديله أو إنهاؤه.

10. أن تكون المعالجة ضرورية لتنفيذ التزامات محددة في قوانين أخرى في الدولة على المتحكم.

11. أية حالات أخرى تحددها اللائحة التنفيذية لهذا القانون

المادة (5)

ضوابط معالجة البيانات الشخصية

يتم معالجة البيانات الشخصية وفقاً للضوابط الآتية:

1. أن تكون المعالجة بطريقة عادلة وشفافة ومشروعة.

2. أن تكون البيانات الشخصية قد جمعت لغرض محدد وواضح، ولا يتم معالجتها في أي وقت لاحق على نحو يتناقض مع ذلك الغرض، ومع ذلك يجوز معالجتها في حال كان الغرض منها مشابهاً أو متقارباً من الغرض الذي جمعت هذه البيانات من أجله.

3. أن تكون البيانات الشخصية كافية ومقتصرة على ما هو ضروري وفقاً للغرض الذي تمت المعالجة من أجله.

4. أن تكون البيانات الشخصية دقيقة وصحيحة، وأن تخضع للتحديث متى اقتضى الأمر ذلك.

5. أن توفر تدابير وإجراءات لضمان محو أو تصحيح البيانات الشخصية غير الصحيحة.

6. أن تكون البيانات الشخصية محفوظة بشكل آمن بما فيها حمايتها من أي إتلاف أو اختراق أو معالجة غير مشروعة أو غير مصرح بها من خلال وضع واستخدام تدابير وإجراءات تقنية وتنظيمية ملائمة وفق القوانين والتشريعات السارية في هذا الشأن.

7. عدم الاحتفاظ بالبيانات الشخصية بعد استنفاد الغرض من معالجتها، ويجوز الإبقاء عليها في حال تم إخفاء هوية صاحب البيانات باستخدام خاصية "آلية إخفاء الهوية".

8. أي ضوابط أخرى تحددها اللائحة التنفيذية لهذا المرسوم بقانون

المادة (7) الالتزامات العامة للمتحكم

يجب على المتحكم الالتزام بما يأتي:

1. اتخاذ الإجراءات والتدابير التقنية والتنظيمية الملائمة لتطبيق المعايير القياسية اللازمة لحماية وتأمين البيانات الشخصية حفاظاً على سريتها وخصوصيتها، وضمان عدم اختراقها أو تلافيها أو تغييرها أو العبث بها، مع مراعاة طبيعة ونطاق وأغراض المعالجة واحتمالية وجود مخاطر على سرية وخصوصية البيانات الشخصية لصاحب البيانات.

2. تطبيق التدابير الملائمة سواء أثناء تحديد وسائل المعالجة أو أثناء المعالجة نفسها، وذلك بهدف الامتثال لأحكام هذا المرسوم بقانون بما فيها الضوابط المنصوص عليها في المادة (5) منه، وتشمل هذه التدابير آلية إخفاء البيانات.

3. تطبيق التدابير التقنية والتنظيمية الملائمة بالنسبة للاعدادات التلقائية، للتأكد من اقتصار معالجة البيانات الشخصية على الغرض المحدد لها، وتطبيق هذا الالتزام على حجم ونوع البيانات الشخصية التي يتم جمعها، ونوع المعالجة التي سيتم إجراؤها عليها، وفترة تخزين هذه البيانات، ومدى إمكانية الوصول إليها.

4. مسك سجل خاص بالبيانات الشخصية، على أن يتضمن هذا السجل بيانات كل من المتحكم ومسؤول حماية البيانات، وبيان وصف فئات البيانات الشخصية لديه، وبيانات الأشخاص المصرح لهم بالوصول إلى البيانات الشخصية، والمدد الزمنية للمعالجة وقيودها وتطبيقها، وولاية محو البيانات الشخصية وتعديلها أو معالجتها لديه، والغرض من المعالجة، وأية بيانات متعلقة بحركة ومعالجة تلك البيانات غير الجديد، وبيان الإجراءات التقنية والتنظيمية الخاصة بأمن المعلومات وعمليات المعالجة، على أن يقوم المتحكم بتوفير هذا السجل للكتب ما طلب منه ذلك.

5. تعيين المعالج الذي يتوفر لديه ضمانات كافية لتطبيق التدابير التقنية والتنظيمية على نحو يضمن استيفاء المعالج لمتطلبات وقواعد وضوابط المعالجة المنصوص عليها في هذا المرسوم بقانون والتزاماته التنفيذية والقرارات الصادرة تنفيذاً له.

6. تزويد المكتب، وبناءً على قرار من الجهة القضائية المختص، بأي معلومات يطلبها تنفيذاً لاختصاصاته الواردة في هذا المرسوم بقانون والتزاماته التنفيذية.

7. أي التزامات أخرى تحددها اللائحة التنفيذية لهذا المرسوم بقانون

المادة (8) الالتزامات العامة للمعالج

يجب على المعالج الالتزام بما يأتي:

1. إجراء المعالجة وتنفيذها وفقاً لتعليمات المتحكم، والعقود والاتفاقات المبرمة بينهما التي تحدد على وجه الخصوص نطاق المعالجة وموضوعها وغرضها وطبيعتها ونوع البيانات الشخصية، وفئات أصحاب البيانات.

2. تطبيق الإجراءات والتدابير التقنية والتنظيمية الملائمة لحماية البيانات الشخصية في مرحلة التصميم، سواء أثناء تحديد وسائل المعالجة أو أثناء المعالجة نفسها، على أن يراعي فيها تكفية تطبيق هذه الإجراءات والتدابير طبيعة المعالجة وتنقاليها وأغراضها.

3. إجراء المعالجة وفق الغرض والمدة المحددة لها، وفي حال تجاوزت معالجة المدة المحددة يجب عليه أن يخطر المتحكم بذلك ليأذن له بتمديد هذه المدة أو يصدر إليه التوجيهات المناسبة.

4. محو البيانات بعد انقضاء مدة المعالجة أو تسليمها للمتحكم.

5. عدم القيام بأي عمل من شأنه الإفصاح عن البيانات الشخصية أو نتائج المعالجة إلا في الأحوال المصرح بها قانوناً.

6. حماية وتأمين عملية المعالجة وتأمين الوسائط والأجهزة الإلكترونية المستخدمة في المعالجة وما علمها من بيانات شخصية.

7. مسك سجل خاص للبيانات الشخصية التي تتم معالجتها نيابة عن المتحكم، على أن يتضمن هذا السجل بيانات كل من المتحكم والمعالج ومسؤول حماية البيانات وبيان وصف فئات البيانات الشخصية لديه، وبيانات الأشخاص المصرح لهم بالوصول إلى البيانات الشخصية، والمدة الزمنية للمعالجة وفيودها وانطباقها، وولاية محو البيانات الشخصية أو تعديلها أو معالجتها لديه، والغرض من المعالجة، وأي بيانات متعلقة بحركة ومعالجة تلك البيانات عبر الحدود، وبيان الإجراءات التقنية والتنظيمية الخاصة بأمن المعلومات وعمليات المعالجة، على أن يقوم المعالج بتوفير هذا السجل للكتب متى طلب منه ذلك.

8. توفير كافة الوسائل لإثبات التزامه بتطبيق أحكام هذا المرسوم بقانون عند طلب المتحكم أو المكتب ذلك.

9. إجراء المعالجة وتنفيذها طبقاً للقواعد والاشتراطات والضوابط المحددة بهذا المرسوم بقانون ولائحته التنفيذية أو التي يصدر بموجبها تعليمات من المكتب.

10. في حال اشترك أكثر من معالج في عملية المعالجة، يجب أن تنفذ المعالجة وفقاً لعقد أو اتفاق مكتوب يحدد بموجبة بشكل واضح التزاماتهم ومسؤولياتهم وأدوارهم حول عملية المعالجة، والا اعتبروا مسؤولين بالتضامن عن الالتزامات والمسؤوليات الواردة في هذا المرسوم بقانون ولائحته التنفيذية.

11. تحدد اللائحة التنفيذية لهذا المرسوم بقانون الإجراءات والضوابط والشروط والمعايير الفنية والقياسية المتعلقة بهذه الالتزامات

المادة (9) الإبلاغ عن انتهاك البيانات الشخصية

1. بالإضافة إلى التزامات المتحكم المنصوص عليها في هذا المرسوم بقانون، يلتزم المتحكم بمجرد علمه بوجود أي اختراق أو انتهاك للبيانات الشخصية لصاحب البيانات الذي من شأنه المساس بخصوصيته وسرية بياناته، بإبلاغ المكتب عن هذا الاختراق أو الانتهاك ونتائج التحقيق خلال المدة وفقاً للإجراءات والشروط

التي تحددها اللائحة التنفيذية لهذا المرسوم بقانون، على أن يكون الإفصاح مشفوعًا بالبيانات والمستندات الآتية:

أ. بيان طبيعة الاختراق أو الانتهاك، وصورته، وأسبابه، والعدد التقريبي له وسجلاته.

ب. بيانات مسؤول حماية البيانات المعين لديه.

ج. الآثار المحتملة والمتوقعة لحدوث الاختراق أو الانتهاك.

د. بيان الإجراءات والتدابير المتخذة من قبله والمقترح تنفيذها لمواجهة هذا الاختراق أو الانتهاك والتقليل من آثاره السلبية.

هـ. توثيق الاختراق أو الانتهاك، والإجراءات التصحيحية المتخذة من قبله.

و أية متطلبات أخرى يطلبها المكتب.

2. وفي جميع الأحوال، يجب على المتحكم أن يخطر صاحب البيانات في حال كان الانتهاك أو الاختراق من شأنه المساس بخصوصية وسرية وأمان بياناته الشخصية، خلال المدة ووفقًا للإجراءات والشروط التي تحددها اللائحة التنفيذية لهذا المرسوم بقانون، وموافقته بالإجراءات المتخذة من قبله.

3. في حال علم المعالج بوجود أي اختراق أو انتهاك للبيانات الشخصية لصاحب البيانات، يجب عليه إخطار المتحكم بهذا الاختراق أو الانتهاك فور علمه بذلك، ليقوم المتحكم بدوره بإبلاغ المكتب وفقًا للبند (1) من هذه المادة.

4. يقوم المكتب بعد استلام البلاغ من المتحكم بالتحقق من أسباب الانتهاك والاختراق لضمان سلامة الإجراءات الأمنية المتخذة، وتوقيع الجزاءات الإدارية المشار إليها في المادة (26) من هذا المرسوم بقانون في حال ثبوت مخالفة المتحكم أو المعالج لأحكامه والقرارات الصادرة تنفيذًا له

المادة (10)

تعيين مسؤول حماية البيانات

1. يجب على المتحكم والمعالج تعيين مسؤول لحماية البيانات توفر فيه المهارات والدراية الكافية بحماية البيانات الشخصية، وذلك في أي من الأحوال الآتية:

أ. إذا كانت المعالجة من شأنها إحداث خطر ذو مستوى عالٍ على سرية وخصوصية البيانات الشخصية لصاحب البيانات نتيجة اعتماد تقنيات جديدة أو مرتبطة بحجم البيانات.

ب. إذا كانت المعالجة ستتضمن تقييم ممنهج وشامل للبيانات الشخصية الحساسة بما يشمل التنميط والمعالجة الموثقة.

ج. إذا كانت المعالجة ستتعم على حجم كبير من البيانات الشخصية الحساسة.

2. يجوز أن يكون مسؤول حماية البيانات موظفاً لدى المتحكم أو المعالج أو مغول من قبلهما سواء من داخل الدولة أو خارجها.

3. على المتحكم أو المعالج تحديد عنوان الاتصال بمسؤول حماية البيانات وإخطار المكتب بذلك.

4. تحدد اللائحة التنفيذية لهذا المرسوم بقانون أنواع التقنيات ومعايير تحديد حجم البيانات المطلوبة وفقاً لهذه المادة

المادة (11) أدوار ومسؤول حماية البيانات

1. يتولى مسؤول حماية البيانات التأكد من مدى امتثال المتحكم أو المعالج بتنفيذ أحكام هذا المرسوم بقانون ولائحته التنفيذية والتعليمات الصادرة عن المكتب، وتتولى مسؤول حماية البيانات على وجه الخصوص القيام بالمهام والصلاحيات الآتية:

أ. التحقق من جودة وصحة الإجراءات المعمول بها لدى كل من المتحكم والمعالج.

ب. تلقي الطلبات والشكاوى المتعلقة بالبيانات الشخصية وفقاً لأحكام هذا المرسوم بقانون ولائحته التنفيذية.

ج. تقديم الاستشارات الفنية الخاصة بإجراءات التقييم والفحص الدوري لأنظمة حماية البيانات الشخصية لدى المتحكم والمعالج، وتنظيم منع الاختراق، وتوثيق نتائج هذا التقييم، وتقديم التوصيات المناسبة بشأنها بما فيها إجراءات تقييم المخاطر.

د. العمل كحلقة وصل بين المتحكم أو المعالج حسب الأحوال والمكتب بشأن قيامهما بتطبيق أحكام معالجة البيانات الشخصية المنصوص عليها في هذا المرسوم بقانون.

هـ أي مهام أو صلاحيات أخرى يتم تحديدها بموجب اللائحة التنفيذية لهذا المرسوم بقانون.

2. على مسؤول حماية البيانات الالتزام بالحفاظ على سرية المعلومات والبيانات التي يتلقاها تنفيذاً لمهامه وصلاحياته وفقاً لأحكام هذا المرسوم بقانون ولائحته التنفيذية ووفقاً للتشريعات السارية في الدولة

المادة (12) واجبات المتحكم والمعالج تجاه مسؤول حماية البيانات

1. على المتحكم والمعالج توفير كافة السبل لضمان أداء مسؤول حماية البيانات للمهام الموكلة إليه والمنصوص عليها في المادة (11) من هذا المرسوم بقانون بالشكل المطلوب، وعلى وجه الخصوص ما يأتي: أ. ضمان إشراكه بشكل مناسب وفي الوقت اللازم في كافة المسائل المتعلقة بحماية البيانات الشخصية. ب. ضمان تزويده بكافة الموارد اللازمة وتقديم الدعم اللازم له لتنفيذ المهام الموكلة إليه. ج. عدم إيقاء خدماته أو فرض أي جزاء تأديبي بسبب يتعلق بتأديته لمهامه وفقاً لأحكام هذا المرسوم بقانون. د. ضمان عدم تكليفه بمهام تؤدي إلى تعارض في المصالح بينها وبين المهام المحددة له وفقاً لهذا المرسوم بقانون.

2. لصاحب البيانات التواصل مباشرة مع مسؤول حماية البيانات بكل ما يتعلق ببياناته الشخصية ومعالجتها لتمكينه من ممارسة حقوقه وفقاً لأحكام هذا المرسوم بقانون

المادة (13) حق الحصول على المعلومات

1. يحق لصاحب البيانات وبناءً على طلب يقدمه إلى المتحكم ومن دون أي مقابل الحصول على المعلومات الآتية: أ. أنواع البيانات الشخصية التابعة له التي يتم معالجتها. ب. أغراض المعالجة. ج. القرارات المتخذة بناءً على المعالجة المؤتمتة بما فيها التنميط. د. القطاعات أو المنشآت المستهدفة التي سيتم مشاركة بياناته الشخصية معهم من داخل وخارج الدولة. هـ. ضوابط ومعايير مدة تخزين وحفظ بياناته الشخصية. و. إجراءات تصحيح أو محو تقييد المعالجة والاعتراض على بياناته الشخصية. ز. تدابير الحماية الخاصة بالمعالجة غير المحدودة التي تتم وفقاً للمادتين (22) و(23) من هذا المرسوم بقانون. ح. الإجراءات التي ستتخذ في حال اخترق أو انتهاك بياناته الشخصية، خاصة إن كان الاختراق أو الانتهاك له خطر مباشر وجسيم على خصوصية وسرية بياناته الشخصية. ط. كيفية تقديم الشكوى للمكتب.

2. في جميع الأحوال، يجب على المتحكم، وقبل البدء بالمعالجة، تزويد صاحب البيانات بالمعلومات المنصوص عليها في الفقرات (ب) و(د) و(ز) من البند (1) من هذه المادة.

3. للمتحكم رفض طلب صاحب البيانات في الحصول على المعلومات الواردة في البند (1) من هذه المادة، في حال تبين له ما يأتي:

أ. أن الطلب لا يتعلق بالمعلومات المشار إليها في البند (1) من هذه المادة أو كان مكررا بشكل مالي به.

ب. أن الطلب يتعارض مع الإجراءات القضائية أو التحقيقات التي تجريها الجهات المختصة.

ج. أن الطلب قد يؤثر سلبيا على جهود المتحكم في حماية أمن المعلومات.

د. أن الطلب يمس بخصوصية وسرية البيانات الشخصية للغير

المادة (15)

حق تصحيح أو محو البيانات الشخصية

1. يحق لصاحب البيانات طلب تصحيح بياناته الشخصية غير الدقيقة، أو استكمالها لدى المتحكم دون تأخير غير مبرر.

2. دون الإخلال بالتشريعات السارية في الدولة وما تتطلبه المصلحة العامة، يحق لصاحب البيانات طلب محو بياناته الشخصية الخاصة لدى المتحكم في أي من الحالات الآتية:

أ. لم تعد بياناته الشخصية ضرورية للأغراض التي جمعت أو عولجت من أجلها.

ب. عدول صاحب البيانات عن الموافقة التي ثبت عليها المعالجة.

ج. اعتراض صاحب البيانات على المعالجة، أو غياب الأسباب المشروعة للمتحكم في الاستمرار بالمعالجة.

د. أن معالجة بيانات الشخصية تمت بالمخالفة لأحكام هذا المرسوم بقانون والتشريعات السارية، وأن عملية المحو ضرورية للامتثال للتشريعات والمعايير المعتمدة المعمول بها في هذا الشأن.

3. استثناء ما ورد في البند (2) من هذه المادة لا يحق لصاحب البيانات طلب محو بيانات الشخصية لدى المتحكم في الحالات الآتية:

أ. في حال كان الطلب يتعلق بمحو بيانات الشخصية المتعلقة بالصحة العامة لدى المنشآت الخاصة.

ب. إذا كان الطلب يؤثر على إجراءات التحقيق والمالية والحقوق والدعاوى القانونية أو الدفاع عنها لدى المتحكم.

ج. إذا كان الطلب يتعارض مع تشريعات أخرى يخضع لها المتحكم.

د. أي حالات أخرى تحددها اللائحة التنفيذية لهذا المرسوم بقانون

المادة (16)

حق تقييد المعالجة

1. يحق لصاحب البيانات إلزام المتحكم بتقييد وإيقاف المعالجة في أي من الحالات الآتية:

أ. اعتراض صاحب البيانات على دقة بيانات الشخصية، وفي هذه الحالة يتم تقييد المعالجة لفترة محددة تسمح للمتحكم التحقق من دقتها.

ب. اعتراض صاحب البيانات على معالجة بيانات الشخصية بالمخالفة للأغراض المتفق عليها.

ج. أن تكون المعالجة قد تمت بالمخالفة لأحكام هذا المرسوم بقانون والتشريعات السارية.

2. يحق لصاحب البيانات طلب المتحكم الاستمرار بالاحتفاظ ببيانات الشخصية لها بعد انتهاء أغراض المعالجة، كون هذه البيانات ضرورية له لاستكمال إجراءات متعلقة بالحقوق والدعاوى القضائية أو الدفاع عنها.

3. على الرغم مما ورد في البند (1) من هذه المادة، للمتحكم المحي في معالجة البيانات الشخصية لصاحب البيانات دون موافقته في أي من الحالات الآتية:

أ. إذا كانت المعالجة مقتصرة على تخزين البيانات الشخصية.

ب. إذا كانت المعالجة ضرورية لقائمة أي من إجراءات المتعلقة بالحقوق والدعاوى القانونية أو الدفاع عنها أو تتعلق بالإجراءات القضائية.

ج. إذا كانت المعالجة ضرورية لحماية حقوق الغير وفقاً للتشريعات السارية.

د. إذا كانت المعالجة ضرورية لحماية المصلحة العامة.

4. وفي جميع الأحوال، يجب على المتحكم في حال قام برفع التقييد المنصوص عليه في هذه المادة، أن يخطر صاحب البيانات بذلك

المادة (18) حق المعالجة والمعالجة المؤمنة

1. يحق لصاحب البيانات الاعتراض على القرارات التي تصدر عن المعالجة المؤمنة وتكون لها تبعات قانونية أو تؤثر بشكل جسيم على صاحب البيانات، بما فيها التنميط. 2. على الرغم مما ورد في البند (1) من هذه المادة، لا يجوز لصاحب البيانات الاعتراض على القرارات التي تصدر عن المعالجة المؤمنة في الحالات الآتية: أ. إذا كانت المعالجة المؤمنة ضمن شروط التعاقد بين صاحب البيانات والمتحكم. ب. إذا كانت المعالجة المؤمنة ضرورية وفق تشريعات أخرى نافذة في الدولة. ج. إذا تمت الموافقة المسبقة من صاحب البيانات على المعالجة المؤمنة وفق الشروط المحددة في المادة (6) من هذا المرسوم بقانون. 3. يجب على المتحكم تطبيق إجراءات وتدابير مناسبة لحماية خصوصية وسرية البيانات الشخصية لصاحب البيانات في الحالات المشار إليها في البند (2) من هذه المادة، وعدم الإضرار والمساس بحقوقه. 4. يتعين على المتحكم إدخال العنصر البشري في مراجعة قرارات المعالجة المؤمنة بناءً على طلب صاحب البيانات

المادة (20) أمن معلومات البيانات الشخصية

1. يجب على المتحكم والمعالج وضع واتخاذ إجراءات وتدابير تقنية وتنظيمية ملائمة، لضمان تطبيق مستوى أمن المعلومات الذي يتناسب مع المخاطر المصاحبة للمعالجة وفق أفضل المعايير والممارسات الدولية، ويمكن أن يشمل ذلك التالي: أ. تشفير البيانات الشخصية وتطبيق آلية إخفاء البيانات. ب. تطبيق إجراءات وتدابير تضمن استمرار سرية أنظمة وخدمات المعالجة، وسلامتها وصحتها وموثوقيتها. ج. تطبيق إجراءات وتدابير تضمن استرجاع البيانات الشخصية والوصول إليها في الوقت المحدد في حال حدوث أي عطل فعلي أو فني. د. تطبيق إجراءات تضمن سلامة عملية اختبار وتقييم وتضمين فاعلية التدابير التقنية والتنظيمية بما يضمن أمن المعالجة.

2. يراعى عند تقييم مستوى أمن المعلومات المنصوص عليها في البند (1) من هذه المادة، ما يأتي: أ. المخاطر المصاحبة للمعالجة، بما فيها تلف البيانات الشخصية أو ضياعها أو التعديل العرضي عليها أو غير القانوني لها أو الإفشاء أو الوصول غير المصرح به لها سواء تم نقلها أو تخزينها أو معالجتها. ب. تكاليف تنفيذ المعالجة وطبيعتها ونطاقها وأغراضها، وكذلك تباين المخاطر المحتملة على خصوصية وسرية البيانات الشخصية لصاحب البيانات

المادة (21) تقييم أثر حماية البيانات الشخصية

1. مع مراعاة طبيعة المعالجة ونطاقها وأغراضها، يجب على المتحكم قبل القيام بإجراء المعالجة، أن يقوم بتقييم أثر عمليات المعالجة المقترحة على حماية البيانات الشخصية، وذلك عند استخدام أي من التقنيات

الحديثة التي من شأنها أن تشكل خطراً عالياً على خصوصية وسرية البيانات الشخصية لصاحب البيانات.

2. يكون تقييم الأثر المنصوص عليه في البند (1) من هذه المادة ضروريًا في الأحوال الآتية:

أ. إذا كانت المعالجة تتضمن تقييم ممنهج وشامل للجوانب الشخصية لصاحب البيانات التي تعتمد على المعالجة المؤتمتة بما فيها التنميط والتي لها تبعات قانونية أو التي من شأنها أن تؤثر بشكل جسيم على صاحب البيانات.

ب. إذا كانت المعالجة ستتم على حجم كبير من البيانات الشخصية الحساسة.

3. يجب أن يتضمن التقييم المنصوص عليه في البند (1) من هذه المادة بعد أدنى على ما يأتي:

أ. شرح واضح وممنهج لعمليات المعالجة المقترحة على حماية البيانات الشخصية والغرض من معالجتها.

ب. تقييم مدى ضرورة وتناسب عمليات المعالجة مع الغرض منها.

ج. تقسيم المخاطر المتعلقة على خصوصية وسرية البيانات الشخصية لصاحب البيانات.

د. الإجراءات والتدابير المقترحة للحد من المخاطر المتعلقة على حماية البيانات الشخصية.

4. يجوز للمتحكم إجراء تقييم واحد لمجموعة من عمليات المعالجة التي تتماثل في طبيعتها ومخاطرها.

5. على المتحكم التنسيق مع مسؤول حماية البيانات عند تقييم أثر حماية البيانات الشخصية.

6. على المكتب إعداد قائمة بأنواع عمليات المعالجة غير الملزمة بتقييم أثر حماية البيانات الشخصية وإتاحتها للعموم من خلال الموقع الإلكتروني الخاص به.

7. على المتحكم مراجعة مخرجات التقييم بشكل دوري للتأكد من تنفيذ المعالجة وفقاً للتقييم في حال اختلاف مستوى المخاطر المصاحبة لعمليات المعالجة

المادة (23) نقل ومشاركة البيانات الشخصية عبر الحدود لغراض المعالجة في حال عدم وجود مستوى حماية ملائم

1. استثناء مما ورد في المادة (22) من هذا المرسوم بقانون، يجوز نقل البيانات الشخصية إلى خارج الدولة في الحالات التالية:

أ. في الدول التي لا توفر فيها قانون لحماية البيانات، يجوز للمنشآت العاملة في الدولة وفي تلك الدول أن تنقل البيانات بموجب عقد أو اتفاقية يلزم المنشأة في تلك الدول بتطبيق الأحكام والتدابير والضوابط والاشتراطات الواردة في هذا المرسوم بقانون شاملاً أحكاماً تتعلق بغرض التدابير المناسبة على المتحكم أو المعالج من خلال جهة رقابية أو قضائية معنية في تلك الدولة وتحديد في العقد.

ب. الموافقة الصريحة من صاحب البيانات على نقل بياناته الشخصية خارج الدولة بما لا يتعارض مع المصلحة العامة والأمنية للدولة.

ج. إذا كان النقل ضروري لتنفيذ التزامات وإثبات الحقوق أمام الجهات القضائية أو ممارستها أو الدفاع عنها.

د. إذا كان النقل ضروري لإبرام أو تنفيذ عقد مبرم بين المتحكم وصاحب البيانات، أو بين المتحكم والغير لتحقيق مصلحة صاحب البيانات.

هـ إذا كان النقل ضروري لتنفيذ إجراء متعلق بتعاون قضائي دولي.

و. إذا كان النقل ضروري لحماية المصلحة العامة.

2. تحدد اللائحة التنفيذية لهذا المرسوم بقانون الضوابط والاشتراطات للحالات المشار إليها في البند (1) من هذه المادة، والتي يجب أن تتوفر في حالات نقل البيانات الشخصية إلى خارج الدولة