البنود التعاقدية القياسية لنقل البيانات الشخصية

​​​​اسـتناداً إلـى نظـام حمايـة البيانات الشـخصية، الصادر بالمرسـوم الملكــي رقــم (م/19) وتاريــخ 9/2/1443هـ ("النظــام") والمُعــدل بالمرســوم الملكــي رقــم (م/148) وتاريــخ 5/9/1444هـ، ومــا تضمنـه مـن جـواز نقـل البيانـات الشـخصية خـارج المملكـة، تحدد لائحـة نقـل البيانـات الشـخصية خـارج المملكـة ("لائحـة النقـل") الأحـكام الواجـب اتباعهـا عنـد النقـل، بمـا فـي ذلـك هـذه البنـود التـي يتـم تطبيقهـا فـي حـالات إعفـاء جهـات التحكـم مـن شـروط الالتــزام بمســتوى الحمايــة المناســب والحــد الأدنــى لنقــل البيانــات الشــخصية المنصــوص عليهــا فــي "المــادة التاســعة والعشـرون" مـن النظـام ولائحة نقـل البيانات الشـخصية خـارج المملكـة.​

​​​​تحــدد هــذه الوثيقــة البنــود التعاقديــة القياســية الصــادرة عــن الجهــة المختصــة فــي الملحــق رقــم (1) مــن هــذه الوثيقــة، كمــا تنطبـق هـذه البنـود علـى جهـات التحكـم أو جهـات المُعالجـة عنـد نقــل البيانــات الشــخصية خــارج المملكــة إلــى دولــة أو منظمــة دوليــة لا يتوفــر لديهــا مســتوى مناســب لحمايــة البيانــات الشخصية.​​

​​​​يتمثـل الغـرض مـن هـذه البنـود في ضمـان تطبيـق مسـتوى حماية للبيانــات الشــخصية يعــادل مســتوى الحمايــة المطبــق بموجــب النظــام واللوائــح، وذلــك مــن خلال تحديــد التزامــات أطــراف عمليـة النقـل عنـد نقـل البيانـات الشـخصية إلـى إحـدى الـدول أو المنظمــات الدوليــة التــي لا يتوفــر لديهــا مســتوى مناســب لحمايــة البيانــات الشــخصية، كمــا تُعــد هــذه البنــود إحــدى الضمانــات الملائمــة التــي يجــوز لجهــات التحكــم وجهــات المعالجــة اســتخدامها.

​​فــي هــذه الوثيقــة -مــا لــم يقتــضِ الســياق خلاف ذلــك- المصطلحــات والعبــارات يكــون أمام كل منها المعانــي المحددة التالية:

1. المملكة: المملكة العربية السعودية
2. النظام: نظـام حمايـة البيانـات الشـخصية الصـادر بالمرسـوم الملكـي رقـم (م19/) وتاريـخ 1443/2/9هــ ("النظـام") والمُعـدل بالمرسـوم الملكـي رقم (م148/) وتاريخ 1444/9/5هـ.
3. اللوائح: اللوائــح التنفيذيــة للنظــام "وتتضمــن كلاً مــن اللوائــح التنفيذيــة ولائحــة النقــل التــي توفــر ضوابــط وإجــراءات لحمايــة البيانــات الشــخصية أثنــاء معالجتهــا ومــن ضمنهــا النقــل خــارج المملكة.
4. الجهة المُختصة: الهيئة السعودية للبيانات والذكاء الاصطناعي (سد​ايا).
5. الضمانات الملائمة: المتطلبــات التــي تفرضهــا الجهــة المختصــة علــى جهــات التحكــم بمــا يضمــن الالتــزام بأحــكام نظــام حمايــة البيانــات الشــخصية ولوائحـه التنفيذيـة، عنـد نقـل البيانـات الشـخصية أو الإفصـاح عنهـا لجهــات خــارج المملكــة فــي أي حالــة مــن حــالات الإعفــاء مــن شــروط توافــر مســتوى الحمايــة المناســب للبيانــات الشــخصية أو الحــد الأدنــى للبيانــات الشــخصية، حســب الحالــة، بهــدف ضمــان مســتوى مناســب لحمايــة البيانــات الشــخصية خــارج المملكــة العربيــة الســعودية لا يقــل عــن المســتوى المنصــوص عليــه فــي نظام حماية البيانات الشخصية ولوائحه التنفيذية.
6. البنود التعاقدية القياسية: بنــود حمايــة بيانــات شــخصية نموذجيــة وموحــدة ومعتمــدة مــن الجهـة المختصـة، تضمـن مـن خلالهـا جهـة التحكـم وجهـة المعالجـة الالتــزام بأحــكام نظــام حمايــة البيانــات الشــخصية ولوائحــه التنفيذيـة، ويمكـن لجهـة التحكـم وجهـة المعالجـة دمـج هـذه البنـود في العقود والاتفاقيات المبرمة فيما بينهما.
7. المنظمات الدولية: كيان قانوني يضم أعضـاءً مـن ثلاث دول علـى الأقـل، يعمـل فـي دول متعـددة ذات سـيادة، تنشـأ مـن خلال وثيقـة قانونيـة رسـمية، مثــل: المعاهــدة أو الاتفــاق الذي يســتند إلــى القانــون الدولــي، وتحــدد هــذه الوثيقــة القانونيــة أهــداف ومقاصــد المنظمــة الدوليــة وهياكلهــا وجهــات اتخــاذ القــرار والولايــة القضائيــة، (مثــل: الأمــم المتحــدة، والبنــك الدولــي، وجامعــة الــدول العربيــة، وصنــدوق النقــد العربــي)، وتشــارك هــذه المنظمــات فــي أنشــطة دوليــة ويجــب أن تلتــزم بأنظمـة حمايـة البيانـات الشـخصية المختلفـة عبـر ولايـات قضائيـة مختلفة.
8. نقل البيانات الشخصية: نقــل البيانــات الشــخصية أو الكشــف عنهــا (أو منــح حــق الوصــول إليها) مــن المملكــة العربيــة الســعودية إلــى جهــات تحكــم أو جهــات معالجــة أو متلقيــن آخريــن فــي دول أو منظمــات دوليــة أو ولايــة قضائيــة أخــرى غيــر المملكــة العربيــة الســعودية حيــث لا تكــون الجهة المصدرة للبيانات أو الجهة المستوردة صاحبة البيانات.
9. الجهة المصدرة: جهــة التحكــم (إمــا أن تكــون موجــودة فــي المملكــة أو تخضــع لنطــاق تطبيــق النظــام) التــي تنقــل البيانــات الشــخصية إلــى الجهة المستوردة للبيانات.
10. الجهة المستوردة: جهـة تحكـم أو جهـة معالجـة أو جهـة معالجـة فرعيـة مؤسسـة خـارج المملكــة أو غيــر خاضعــة للنظــام ولوائحــه وتتلقــى البيانــات الشخصية من الجهة المصدرة للبيانات.
11. عمليات نقل بيانات الطرف الثالث/عمليات النقل اللاحقة: نقــل البيانــات الشــخصية مــن دولــة خارجيــة أو منظمــة دوليــة إلــى جهـات تحكـم أو جهـات معالجـة فـي نفـس الدولة/المنظمـة أو فـي دولة/منظمة أخرى.

1. ​​ توفـر البنـود التعاقديـة القياسـية الـواردة علـى النحـو المبيـن فــي الملحــق (1) المرفقــة بهــذه الوثيقــة، حمايــة للبيانــات الشــخصية وضمانــاً مناســباً وفــق أحــكام النظــام واللوائــح لنقــل البيانــات الشــخصية أو الإفصــاح عنهــا لجهــات خــارج المملكــة مــن الجهــة المصــدرة للبيانــات إلــى الجهــة المستوردة للبيانات.
2.  تحــدد البنــود التعاقديــة القياســية البنــود التــي يمكــن تضمينهـا فـي عقـد أو اتفاقيـة بيـن الجهة المصـدرة للبيانات والجهـة المسـتوردة للبيانـات أو وضعهـا فـي عقـد أو اتفاقية مستقلة.
3.  لا يخــل اعتمــاد البنــود التعاقديــة القياســية بالتزامــات الأطــراف بموجــب النظــام واللوائــح عنــد معالجــة البيانــات الشخصية.
4.  فــي حــال تضميــن البنــود التعاقديــة القياســية فــي عقــد أو اتفاقيــة، يجــب ألا يتعــارض أي شــرط أو حكــم صريــح أو ضمنــي فــي هــذا العقــد أو الاتفاقيــة مــع البنــود التعاقديــة القياسـية أو يحـد مـن نطـاق تطبيقهـا أو الحمايـة المتوقعـة منهــا، بالإضافــة إلــى أحقيــة الأطــراف المتعاقــدة فــي تضميــن أي شــروط إضافيــة تتعلــق بمعالجــة البيانــات الشـخصية، علـى ألا تتعـارض هـذه الشـروط الإضافيـة مـع و/أو تقــوض أيـاً مــن متطلبــات البنــود التعاقديــة القياســية أو النظام واللوائح.
5.  إلــى الحــد الــذي يجــري فيــه أي طــرف تعديــلاً علــى النــص المعتمــد (بــخلاف الحقــول الفارغــة التــي تتطلــب تعبئة فــي البنــود التعاقديــة القياســية) لا يعتــد بهــذه التعــديلات مــن قبــل الجهــة المختصــة وتعتبــر مخالفــة لأحــكام النظــام واللوائح
6. يمكــن أن تشــمل البنــود التعاقديــة القياســية أكثــر مــن طرفيــن، لــذا يمكــن لجهــات التحكــم وجهــات المعالجــة الإضافيــة الانضمــام إلــى هــذه البنــود كجهــات مُصــدرة أو جهــات مُســتوردة للبيانــات بحســب طبيعــة دورها طوال مدة سريان العقد.
7.  لا يجـوز نقـل البيانـات الشـخصية بموجـب البنـود التعاقديـة القياسـية إذا كانـت القوانيـن والقواعـد فـي الدولـة المتلقيـة أو المنظمــة الدوليــة تمنــع الجهــة المســتوردة للبيانــات مــن الالتزام بالبنود التعاقدية القياسية.
8. لضمــان الإنفــاذ الفعــال لهــذه البنــود، تخضــع الجهــة المسـتوردة للبيانـات للاختصـاص القضائـي فـي المملكـة، وتتعهــد بالالتــزام وتنفيــذ أي قــرار ملــزم بموجــب أنظمــة المملكة المعمول بها.
9. يجـب أن توافـق الجهـة المسـتوردة للبيانـات علـى الاسـتجابة لطلبــات الجهــة المختصــة والتعــاون معهــا فــي إجــراءات التدقيــق ومتابعــة الالتــزام بالتدابيــر المعتمــدة لديهــا، بمــا فــي ذلــك التدابيــر والإجــراءات التصحيحيــة والتأكيــد كتابيــاً للجهة المختصة بأنه تم اتخاذ الإجراءات اللازمة.
10.  بعــد اعتمــاد البنــود التعاقديــة القياســية، فــي حــال تبيــن للجهــة المصــدرة للبيانــات أن الجهــة المســتوردة للبيانــات ليســت قــادرة أو لــم تعــد قــادرة علــى الوفــاء بالالتزامــات المنصــوص عليهــا فــي هــذه البنــود، أو قامــت الجهــة المسـتوردة للبيانـات بإشـعار الجهـة المصـدرة للبيانـات فـي حــال وجــد ســبب يســتدعي الاعتقــاد بعــدم القــدرة علــى الوفــاء بالالتزامــات المنصــوص عليهــا فــي هــذه البنــود، فيجــب علــى الجهــة المصــدرة للبيانــات تعليــق عمليــات النقــل مــا لــم تعتمــد تدابيــر أو ضمانــات بديلــة تســتوفي المتطلبات المنصوص عليها في النظام واللوائح.

​​​تــم إعــداد نمــاذج للبنــود التعاقديــة القياســية حيــث تتضمــن بنــوداً عامــة تنطبــق علــى جميــع الحــالات التعاقديــة، بالإضافــة إلــى بنــود أخــرى ذات طبيعــة محــددة بحســب أدوار الأطــراف المعنيــة، ويجــب علــى جميــع الأطــراف قبــل تنفيــذ البنــود التعاقديـة القياسـية تحديـد النمـوذج الـذي ينطبـق علـى عمليات النقــل ذوات الصلــة وبحســب طبيعــة أدوارهــم، وحــذف النمــاذج غير المنطبقة:

1. النمــوذج الأول: جهــة تحكــم إلــى جهــة تحكــم: ينطبــق هــذا النمـوذج علـى عمليـات نقـل البيانـات الشـخصية إلـى خـارج المملكــة مــن جهــة تحكــم (الجهــة المصــدرة للبيانــات) إلــى جهـة تحكـم أخـرى (الجهـة المسـتوردة للبيانـات)، علـى سـبيل المثـال: تنقـل وكالـة سـفر يقـع مقرهـا فـي المملكـة بيانـات شـخصية لعميـل إلـى مركـز حجـز سلسـلة فنـادق فـي دولـة لا يتوفــر لديهــا مســتوى مناســب لحمايــة البيانــات الشخصية.
2. النمـوذج الثانـي: جهـة تحكـم إلـى جهـة معالجـة: ينطبـق هـذا النمـوذج علـى عمليـات نقـل البيانـات الشـخصية إلـى خـارج المملكــة مــن جهــة تحكــم (الجهــة المصــدرة للبيانــات) إلــى جهــة معالجــة (الجهــة المســتوردة للبيانــات)، علــى ســبيل المثـال: تنقـل وكالـة سـفر يقـع مقرهـا فـي المملكـة بيانـات شـخصية لموظفيـن إلـى جهـة تحويـل الرواتـب المعنيـة فـي دولــة لا يتوفــر لديهــا مســتوى مناســب لحمايــة البيانــات الشخصية.
3. النمــوذج الثالــث: جهــة معالجــة إلــى جهــة معالجــة: ينطبــق هــذا النمــوذج علــى عمليــات نقــل البيانــات الشــخصية إلــى خـارج المملكـة مـن جهـة معالجـة (الجهـة المصـدرة للبيانات) إلـى جهـة معالجـة فرعيـة (الجهـة المسـتوردة للبيانـات)، علـى سـبيل المثـال: تنقـل شـركة حوسـبة سـحابية فـي المملكـة (الجهـة المصـدرة للبيانـات) البيانـات الشـخصية للعميـل إلـى (جهـة معالجـة فرعيـة) شـركة تحليـل بيانـات قائمـة فـي دولـة لا يتوفر لديها مسـتوى مناسـب لحماية البيانات الشـخصية (الجهــة المســتوردة للبيانــات) لغــرض إجــراء تحلــيلات متقدمة نيابة عن عملاء شركة الحوسبة السحابية.​​ 
4. النمـوذج الرابـع: جهـة معالجـة إلـى جهـة تحكـم: ينطبـق هـذا النمـوذج علـى عمليـات نقـل البيانـات الشـخصية إلـى خـارج المملكـة مـن جهـة معالجـة (الجهـة المصـدرة للبيانـات) إلـى جهـة تحكـم تابعـة (الجهـة المسـتوردة للبيانـات)، علـى سـبيل المثــال: ينقــل مــزود خدمــات ســحابية (مقــره فــي المملكــة) بيانـات شـخصية مخزنـة فـي خـادم فـي المملكـة إلـى عميلـه فـي دولـة لا يتوفـر لديهـا مسـتوى مناسـب لحمايـة البيانـات الشخصية.

​​البند(1) الغرض والنطاق

أ. الغــرض مــن هــذه البنــود هــو ضمــان تطبيــق مســتوى مناســب لحمايــة البيانــات الشــخصية يعــادل مســتوى الحمايـة المطبـق بموجـب نظـام حمايـة البيانـات الشـخصية ولوائحــه التنفيذيــة فــي حــال عــدم توفــر مســتوى مناســب لحمايــة البيانــات الشــخصية خــارج المملكــة، وذلــك مــن خلال تحديــد التزامــات أطــراف عمليــة النقــل عنــد نقــل البيانـات الشـخصية إلـى إحـدى الـدول أو المنظمـات الدوليـة التــي لا يتوفــر لديهــا مســتوى مناســب لحمايــة البيانــات الشخصية، كمــا يوضــح الملحــق (1) بيانــات كل مــن الجهــات المصــدرة للبيانات والجهات المستوردة للبيانات.

ب. تنطبــق هــذه البنــود علــى نقــل البيانــات الشــخصية علــى النحــو المحــدد فــي الملحــق (2) ("البيانــات الشــخصية التــي سيتم نقلها أو الإفصاح عنها").

البند(2) الأثر والتعديل

أ. ​تحـدد هـذه البنـود ضمانـات مناسـبة، بمـا فـي ذلـك حقـوق تقديــم الشــكاوى مــن قبــل أصحــاب البيانــات الشــخصية، ولا يمكـن تعديـل هـذه البنـود إلا لاختيـار النموذج المناسـب أو لإضافة أو تحديث المعلومات في الملحق.

ب. يجـوز للأطـراف تضميـن هـذه البنـود فـي اتفاقيـة شـاملة أو إضافــة بنــود أخــرى أو ضمانــات إضافيــة لهــا، بشــرط ألا تتعــارض بشــكل مباشــر أو غيــر مباشــر مــع هــذه البنــود أو تخل بالحقوق الأساسية لأصحاب البيانات الشخصية.

ج. لا تعفـي هـذه البنـود أي طـرف مـن التزاماتـه بموجـب نظـام حمايــة البيانــات الشــخصية ولوائحــه التنفيذيــة، ولا تخــل بأحـكام الأنظمـة المعمـول بهـا فـي المملكـة أو الاتفاقيـات التي تكون المملكة طرفاً فيها.​