المادة الخامسة عشرةمعدّل
لا يجوز لجهة التحكم الإفصاح عن البيانات الشخصية إلا في الأحوال الآتية: 1- إذا وافق صاحب البيانات الشخصية على الإفصاح وفقاً لأحكام النظام. 2- إذا كانت البيانات الشخصية قد جرى جمعها من مصدر متاح للعموم. 3- إذا كانت الجهة التي تطلب الإفصاح جهة عامة، وذلك لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء متطلبات قضائية وفق الأحكام التي تحددها اللوائح. 4- إذا كان الإفصاح ضرورياً لحماية الصحة أو السلامة العامة أو حماية حياة فرد أو أفراد معينين أو حماية صحتهم. وتبين اللوائح الضوابط والإجراءات المتعلقة بذلك. 5- إذا كان الإفصاح سيقتصر على معالجتها لاحقاً بطريقة لا تؤدي إلى معرفة هوية صاحب البيانات الشخصية أو أي فرد آخر على وجه التحديد. وتبين اللوائح الضوابط والإجراءات المتعلقة بذلك.
المادة السادسة عشرة من نظام حماية البيانات الشخصيةمعدّل
على جهة التحكم ألا تفصح عن البيانات الشخصية في الأحوال المنصوص عليها في الفقرات (1) و(2) و(5) من المادة (الخامسة عشرة) من النظام، متى اتصف الإفصاح بأيّ مما يأتي: 1- أنه يمثل خطراً على الأمن، أو يسيء إلى سمعة المملكة، أو يتعارض مع مصالحها. 2- أنه يؤثر على علاقات المملكة مع دولة أخرى. 3- أنه يمنع من كشف جريمة أو يمس حقوق متهم في الحصول على محاكمة عادلة أو يؤثر في سلامة إجراءات جنائية قائمة. 4- أنه يعرض سلامة فرد أو أفراد للخطر. 5- أنه يترتب عليه انتهاك خصوصية فرد آخر غير صاحب البيانات الشخصية وفق ما تحدده اللوائح. 6- أنه يتعارض مع مصلحة ناقص أو عديم الأهلية. 7- أنه يخل بالتزامات مهنية مقررة نظاماً. 8- أنه ينطوي عليه إخلال بالتزام أو إجراء أو حكم قضائي. 9- أنه يكشف عن مصدر سري لمعلومات تحتم المصلحة العامة عدم الكشف عنه.
المادة السابعة عشرة
1- إذا جرى تصحيح خطأ أو إكمال نقص أو إجراء تحديث في البيانات الشخصية، فعلى جهة التحكم أن تشعر أي جهة أخرى انتقلت إليها تلك البيانات بأي تعديل يطرأ عليها، وأن تتيح لها ذلك التعديل. 2- توضح اللوائح المدد الزمنية للتصحيح والتحديث، وأنواع التصحيح، والإجراءات المطلوبة لتفادي الآثار المترتبة على معالجة بيانات شخصية غير صحيحة أو غير دقيقة أو غير حديثة.
المادة الثامنة عشرةمعدّل
1- على جهة التحكم إتلاف البيانات الشخصية فور انتهاء الغرض من جمعها. ومع ذلك، يجوز لها الاحتفاظ بتلك البيانات بعد انتهاء الغرض من جمعها إذا تمت إزالة كل ما يؤدي إلى معرفة صاحبها على وجه التحديد وفق الضوابط التي تحددها اللوائح. 2- على جهة التحكم الاحتفاظ بالبيانات الشخصية حتى بعد انتهاء الغرض من جمعها في الحالتين الآتيتين: أ - إذا توافر مسوغ نظامي يوجب الاحتفاظ بها مدة محددة، وفي هذه الحالة يجرى إتلافها بعد انتهاء هذه المدة أو انتهاء الغرض من جمعها، أيهما أطول. ب- إذا كانت البيانات الشخصية متصلة اتصالاً وثيقاً بقضية منظورة أمام جهة قضائية وكان الاحتفاظ بها مطلوباً لهذا الغرض، وفي هذه الحالة يجرى إتلافها بعد استكمال الإجراءات القضائية الخاصة بالقضية.