المملكة: حقوق المستفيد والشفافية.. أبرز القواعد المُشتركة المُلزِمة لنقل البيانات الشخصية

أطلقت الهيئة السعودية للبيانات والذكاء الاصطناعي، دليل إعداد قواعد مشتركة ملزمة لنقل البيانات الشخصية، عبر منصة “استثناء”، بهدف إرساء آلية لإعداد قواعد مشتركة ملزمة عند نقل البيانات الشخصية خارج المملكة إلى دولة أو منظمة دولية ليست ضمن قائمة الدول أو المنظمات الدولية التي توفر مستوى مناسباً من حماية البيانات.
حددت الهيئة متطلبات القواعد المشتركة، حيث يتعين على مجموعة الكيانات التأكد من تضمين ما يتعلق بحقوق أصحاب البيانات الشخصية والمطالبة بالتعويض عن الأضرار الناتجة عن انتهاك هذه الحقوق.

حقوق المستفيد

ولفتت الهيئة الانتباه إلى حقوق الطرف الثالث المستفيد من العقد: مثل وصف التدابير المتخذة التي تمكن أصحاب البيانات الشخصية من ممارسة حقوقهم والمطالبة بالتعويض، وإدراج تفاصيل حول كيفية مراعاة هذه الحقوق وكيفية المطالبة بالتعويض لأصحاب البيانات الشخصية عند انتهاك حقوقهم.

وتضمن القواعد المشتركة الملزمة تمكين أصحاب البيانات الشخصية من ممارسة حقوقهم بموجب النظام واللوائح من خلال توفير آليات واضحة للتعامل مع الشكاوى والانتصاف. ويتم إبلاغ أصحاب البيانات بحقوقهم من خلال إشعارات الخصوصية ويتم شرح آلية للتواصل مع مسؤول حماية البيانات الشخصية لتمكينهم من ممارسة تلك الحقوق. وتتضمن القواعد المشتركة الملزمة أحكامًا لحل النزاعات والتعاون مع السلطة المختصة وفقًا للنظام الحاكم والاختصاص المنصوص عليه في هذا الدليل.
وشددت اللائحة على الشفافية في القواعد المشتركة الملزمة ووصف وسائل الاتصال والقنوات المستخدمة لجعل القواعد الملزمة متاحة لأصحاب البيانات الشخصية.

وتلزم اللائحة “الجهات” بالتعاون مع الجهة المختصة والاستجابة لكافة طلباتها لضمان الالتزام بالقواعد المشتركة الملزمة، وتلتزم الجهة المستوردة للبيانات بالرد على كافة الاستفسارات الواردة من الجهة المختصة وتزويدها بالوثائق والمعلومات اللازمة عند الطلب.
ويتطلب ذلك أن تكون القواعد ملزمة قانونًا لكل عضو ضمن مجموعة الكيانات وتوفر معيارًا متسقًا لحماية البيانات الشخصية، ويجب على كل عضو في المجموعة التي تتلقى البيانات الشخصية ذات الصلة الالتزام بالأحكام المنصوص عليها في النظام واللوائح.
وهي ملزمة بإعداد سياسات مفصلة بشأن حماية البيانات الشخصية، وحقوق أصحابها، وتدابير الأمن، وبرامج التدقيق، وآليات التعامل مع حوادث تسرب البيانات الشخصية والشكاوى.

حماية البيانات

وألزمت الجهة الرقابية بالحصول على موافقة السلطة المختصة بمراجعة وتحديث القواعد المشتركة الملزمة (BCR) بشكل دوري لضمان الالتزام بأحكام النظام واللوائح، والتأكد من الإبقاء على التغييرات السابقة، شريطة ألا يمس ذلك الحماية الممنوحة لأصحاب البيانات الشخصية بموجب القواعد المشتركة الملزمة.
وتتضمن المتطلبات أيضًا تقديم ما يثبت التزام الجهة المختصة – عند الطلب – بالقواعد والأنظمة واللوائح المشتركة الملزمة، وتطوير خطة سريعة وفعالة للاستجابة لحوادث تسرب البيانات الشخصية أو إتلافها أو الوصول غير المصرح به.

وشددت اللائحة على ضرورة تحديد نوع أو فئات البيانات الشخصية التي سيتم نقلها وتغطيتها، ويجب أن يتضمن ذلك وصفًا واضحًا لأنواع البيانات، مثل: “بيانات الائتمان”، و”البيانات الصحية”، و”البيانات الجينية”، على سبيل المثال: البيانات الصحية، بما في ذلك سجلات المرضى والتاريخ الطبي.
وأوضحت أن من المتطلبات الوصفية تحديد فئات وخصائص أصحاب البيانات الذين سيتم نقل بياناتهم الشخصية، مثل مستخدمي الويب أو الموظفين أو العملاء.
وشددت اللائحة على ضرورة تحديد البلدان التي سيتم نقل البيانات الشخصية إليها والتأكد من تحديد كل دولة بشكل دقيق، وتحديد عدد مرات نقلها، وتفصيل أي ترتيبات تعاقدية بشأن استخدام كيانات المعالجة والتزامها بقواعد مشتركة ملزمة، والوثائق الإضافية التي سيتم تقديمها كملحق.