المادة التاسعة والعشرونمعدّل
فيما عدا حالات الضرورة القصوى للمحافظة على حياة صاحب البيانات خارج المملكة أو مصالحه الحيوية أو الوقاية من عدوى مرضية أو فحصها أو معالجتها، لا يجوز لجهة التحكم نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارج المملكة إلا إذا كان ذلك تنفيذاً لالتزام بموجب اتفاقية تكون المملكة طرفاً فيه، أو لخدمة مصالح المملكة، أو لأغراض أخرى وفقاً لما تحدده اللوائح، وذلك بعد أن تتوافر الشروط الآتية: 1- ألا يترتب على النقل أو الإفصاح مساس بالأمن الوطني أو بمصالح المملكة الحيوية. 2- أن تقدم ضمانات كافية للمحافظة على البيانات الشخصية التي سيجرى نقلها أو الإفصاح عنها وعلى سريتها، بحيث لا تقل معايير حماية البيانات الشخصية عن المعايير الواردة في النظام واللوائح. 3- أن يقتصر النقل أو الإفصاح على الحد الأدنى من البيانات الشخصية الذي تدعو الحاجة إليه. 4- موافقة الجهة المختصة على النقل أو الإفصاح وفقاً لما تحدده اللوائح. وفيما عدا الشرط الوارد في الفقرة (1) من هذه المادة، يجوز للجهة المختصة أن تعفي جهة التحكم -في كل حالة على حدة- من الالتزام بأحد الشروط المشار إليها؛ متى قدرت الجهة المختصة منفردة أو بالاشتراك مع جهات أخرى أن البيانات الشخصية سيتوافر لها مستوى مقبول من الحماية خارج المملكة، ولم تكن تلك البيانات بيانات حساسة.
المادة الثلاثون من نظام حماية البيانات الشخصيةمعدّل
1- مع عدم الإخلال بأحكام النظام، وما للبنك المركزي السعودي من صلاحيات وفقاً لما تقضي به النصوص النظامية ذات العلاقة، تكون الجهة المختصة الجهة المشرفة على تطبيق أحكام النظام واللوائح. 2- على جهة التحكم أن تعين أو تحدد شخصاً (أو أكثر) من منسوبيها ليكون مسؤولاً عن التزامها بتطبيق أحكام النظام واللوائح. وتحدد اللوائح الأحكام المتعلقة بما ورد في هذه الفقرة. 3- على جهة التحكم التعاون مع الجهة المختصة في سبيل مباشرتها مهماتها المتعلقة بالإشراف على تطبيق أحكام النظام واللوائح، وعليها كذلك اتخاذ ما يلزم من إجراءات حيال المسائل المتعلقة بذلك التي تحيلها الجهة المختصة إليها. وللجهة المختصة طلب الوثائق أو المعلومات اللازمة من جهة التحكم للتأكد من التزامها بأحكام النظام واللوائح. 4- يجوز للجهة المختصة -وفق ما تقدره- تفويض غيرها من الجهات في مباشرة بعض المهمات الموكولة إليها المتعلقة بالإشراف على تطبيق أحكام النظام واللوائح.
المادة الحادية والثلاثون
دون إخلال بما ورد في المادة (الثامنة عشرة) من النظام، تحتفظ جهة التحكم بسجلات لمدة تحددها اللوائح لأنشطة معالجة البيانات الشخصية بحسب طبيعة النشاط الذي تمارسه جهة التحكم؛ لتكون متاحة عندما تطلبها الجهة المختصة. على أن تشمل السجلات حداً أدنى من البيانات الآتية: 1- تفاصيل الاتصال الخاصة بجهة التحكم. 2- الغرض من معالجة البيانات الشخصية. 3- وصف فئات أصحاب البيانات الشخصية. 4- أي جهة جرى (أو سيجرى) إفصاح البيانات الشخصية إليها. 5- ما إذا جرى (أو سيجري) نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارج المملكة. 6- المدة الزمنية المتوقعة للاحتفاظ بالبيانات الشخصية.
المادة الثانية والثلاثونمعدّل
1- تقوم الجهة المختصة بإنشاء بوابة إلكترونية لغرض بناء سجل وطني عن جهات التحكم، تهدف إلى مراقبة ومتابعة التزام تلك الجهات بأحكام النظام واللوائح، وتقديم الخدمات المرتبطة بإجراءات حماية البيانات الشخصية لجهات التحكم؛ وذلك وفق ما تحدده اللوائح. 2- تلتزم جميع جهات التحكم بالتسجيل في البوابة المشار إليها في الفقرة (1) من هذه المادة، وتستحصل الجهة المختصة رسماً سنوياً ثابتاً بما لا يتجاوز (مائة ألف) ريال؛ عن تسجيل جهات التحكم ذات الصفة الاعتبارية الخاصة في البوابة المشار إليها في الفقرة (1) من هذه المادة، على أن تحدد اللوائح مقدار الرسم السنوي الثابت بما لا يتجاوز الحد الأقصى المقرر، وذلك بحسب طبيعة النشاط الذي تمارسه تلك الجهات. 3- يخصص في البوابة سجل خاص لكل جهة تحكم تدون فيه السجلات المشار إليها في المادة (الحادية والثلاثين) من النظام وغيرها من الوثائق أو المعلومات اللازمة ذات الصلة بمعالجة البيانات الشخصية.