المادة الثامنة عشرةمعدّل
1- على جهة التحكم إتلاف البيانات الشخصية فور انتهاء الغرض من جمعها. ومع ذلك، يجوز لها الاحتفاظ بتلك البيانات بعد انتهاء الغرض من جمعها إذا تمت إزالة كل ما يؤدي إلى معرفة صاحبها على وجه التحديد وفق الضوابط التي تحددها اللوائح. 2- على جهة التحكم الاحتفاظ بالبيانات الشخصية حتى بعد انتهاء الغرض من جمعها في الحالتين الآتيتين: أ - إذا توافر مسوغ نظامي يوجب الاحتفاظ بها مدة محددة، وفي هذه الحالة يجرى إتلافها بعد انتهاء هذه المدة أو انتهاء الغرض من جمعها، أيهما أطول. ب- إذا كانت البيانات الشخصية متصلة اتصالاً وثيقاً بقضية منظورة أمام جهة قضائية وكان الاحتفاظ بها مطلوباً لهذا الغرض، وفي هذه الحالة يجرى إتلافها بعد استكمال الإجراءات القضائية الخاصة بالقضية.
المادة التاسعة عشرة من نظام حماية البيانات الشخصية
على جهة التحكم اتخاذ ما يلزم من إجراءات ووسائل تنظيمية وإدارية وتقنية تضمن المحافظة على البيانات الشخصية، بما في ذلك عند نقلها؛ وذلك وفقاً للأحكام والضوابط التي تحددها اللوائح.
المادة العشرونمعدّل
1- تشعر جهة التحكم الجهة المختصة فور علمها بحدوث تسرب أو تلف لبيانات شخصية أو حدوث وصول غير مشروع إليها. 2- تحدد اللوائح الأحوال التي يجب فيها على جهة التحكم إشعار صاحب البيانات الشخصية في حالة حدوث تسرب أو تلف لبياناته الشخصية أو حدوث وصول غير مشروع إليها. وإذا كان من شأن حدوث أيّ مما سبق أن يرتب ضرراً جسيماً على بياناته أو على نفسه، فيجب على جهة التحكم إشعاره فوراً.
المادة الحادية والعشرون
على جهة التحكم الاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه المنصوص عليها في النظام خلال مدة محددة وعبر وسيلة مناسبة تبينهما اللوائح.