اللائحة التنفيذية لنظام حماية البيانات الشخصية

يكون للكلمات والعبارات الواردة في هذه اللائحة المعاني الموضحة أمام كل منها في المادة (الأولى) من نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ والمعدل بموجب المرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ ، ويقصد بالألفاظ والعبارات الآتية -أينما وردت في هذه اللائحة- المعاني الموضحة أمام كل منها، ما لم يقتضِ السياق غير ذلك:
1-اللائحة: اللائحة التنفيذية للنظام.
2- التسويق المباشر: التواصل مع صاحب البيانات الشخصية بأي وسيلة مادية أو إلكترونية مباشرة بهدف توجيه مادة تسويقية؛ ويشمل ذلك على سبيل المثال لا الحصر الإعلانات أو العروض الترويجية حتى وإن لم يتضمن ذلك تسويقًا لبيع منتجٍ أو خدمة.
3-تسرب البيانات الشخصية: أي حادثة تؤدي إلى الإفصاح عن البيانات الشخصية أو تلفها أو الوصول غير المشروع إليها، سواءً كان ذلك بقصد أو بغير قصد، وبأي وسيلة كانت سواءً آلية أو يدوية.
4-المصلحة الحيوية: أي من المصالح الضرورية للحفاظ على حياة صاحب البيانات الشخصية أو أي فرد آخر.
5-المصلحة المتحققة: أي مصلحة معنوية أو مادية لصاحب البيانات الشخصية ترتبط بشكل مباشر بالغرض من معالجة البيانات الشخصية، وتكون المعالجة ضرورية لتحقيق تلك المصلحة.
6-المصلحة المشروعة: أي حاجة ضرورية لدى جهة التحكم يتطلب تحقيقها معالجة بيانات شخصية لغرض محدد.
7-الترميز: تحويل المعرفات الرئيسية التي تدل على هوية صاحب البيانات الشخصية إلى رموز تجعل من المتعذر تحديد هوية صاحب البيانات الشخصية بشكل مباشر دون استخدام بيانات أو معلومات إضافية.
8-إخفاء الهوية: إزالة المعرفات المباشرة وغير المباشرة التي تدل على هوية صاحب البيانات الشخصية بشكل نهائي يتعذر معه تحديد هوية صاحب البيانات الشخصية.
9-الاستخدام الثانوي: معالجة البيانات الشخصية لأغراض أخرى غير الأغراض التي جمعت من أجلها ابتداءً.
10-الموافقة الصريحة: موافقة تمنح بشكل مباشر وصريح من صاحب البيانات الشخصية بأي شكل من الأشكال وتدل على قبوله بمعالجة بياناته الشخصية بحيث لا يمكن تفسيرها بخلاف ذلك، وتكون قابلة للإثبات. ​​

1-لا تسري أحكام النظام واللائحة على قيام الفرد بمعالجة البيانات الشخصية لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي.
2-يقصد بالاستخدام الشخصي أو العائلي المنصوص عليه في المادة الثانية من النظام قيام الفرد بمعالجة البيانات الشخصية داخل نطاق أسرته أو دائرته الاجتماعية المحدودة ضمن أي نشاط اجتماعي أو عائلي.
3-لا يعد من قبيل الاستخدام الشخصي أو العائلي ما يلي:
أ‌-قيام الفرد بنشر البيانات الشخصية للجمهور أو الإفصاح عنها لأي شخص خارج النطاق المحدد في الفقرة (2) من هذه المادة.

​يكون أي مما يلي مسوغاً نظاميا لمعالجة البيانات الشخصية أو الإفصاح عنها وفقاً لما ورد في المواد (السادسة) و (العاشرة) و (الخامسة عشرة) من النظام:
1-موافقة صاحب البيانات الشخصية.
2-المحافظة على المصالح الحيوية لصاحب البيانات الشخصية، أو حماية صاحب البيانات الشخصية من أي ضرر.
3-إذا كانت جهة التحكم جهة عامة، وكانت تلك المعالجة مطلوبة لتنفيذ نظام آخر أو لأغراض أمنية أو لاستيفاء متطلبات قضائية، أو لتحقيق المصلحة العامة.
4-حماية الصحة العامة أو السلامة العامة أو حماية فرد أو أفراد معينين أو حماية صحتهم.
5-تحقيق مصلحة مشروعة لجهة التحكم، أو مصلحة متحققة لصاحب البيانات الشخصية.
6-أن تكون المعالجة بمقتضى نظام آخر.
7-تنفيذ اتفاق يكون صاحب البيانات طرفا فيه.
8-إذا كانت البيانات الشخصية متاحة للعموم، أو جرى جمعها من مصدر متاح للعموم.​​

​1-في حال كانت الموافقة أو المصلحة المشروعة أو تنفيذ اتفاق يكون صاحب البيانات الشخصية طرفًا فيه المسوغ النظامي لمعالجة البيانات الشخصية، على جهة التحكم عند تلقيها طلبًا من صاحب البيانات الشخصية يتعلق بحقوقه المنصوص عليها في النظام القيام بما يلي:
‌أ-تنفيذ طلبات ممارسة الحقوق المنصوص عليها في النظام خلال مدة لا تتجاوز (ثلاثين) يوم عمل دون تأخير.
‌ب-تمديد مدة تنفيذ الحق في طلب الإتلاف أو الحق في طلب الحصول على البيانات الشخصية في حال تطلب التنفيذ جهدًا إضافيًا غير متوقع أو غير معتاد أو في حال تلقيها عدد من الطلبات من صاحب البيانات الشخصية وذلك بما لا يزيد عن (ثلاثين) يوم عمل إضافية، بشرط أن تُشعِر صاحب البيانات الشخصية مسبقا بالتمديد ومبرراته.
‌ج-تبني الوسائل التقنية والإدارية والتنظيمية اللازمة لضمان سرعة الاستجابة لطلبات ممارسة الحقوق.
‌د-اتخاذ الإجراءات والتدابير المناسبة للتحقق من هوية مُقدم الطلب قبل تنفيذه بما يتوافق مع الأحكام النظامية ذات العلاقة.
‌ه-اتخاذ الوسائل اللازمة لتوثيق وحفظ كافة الطلبات المقدمة لها، بما في ذلك الطلبات الشفهية.
2-في حال كان الطلب متكررًا بشكل غير مبرر أو يتطلب تنفيذه جهد غير عادي؛ يكون لجهة التحكم عدم معالجة الطلب، على أن يكون ذلك مسببا ويُشعَر صاحب البيانات الشخصية به.
3-في الحالات التي يكون صاحب البيانات الشخصية ناقصا أو عديم الأهلية، يكون لوليه الشرعي ممارسة حقوقه نيابة عنه. 

‌ 1-دون الإخلال بأحكام المواد (السادسة) و (العاشرة) و (الخامسة عشرة) من النظام، في حال تم جمع البيانات الشخصية مباشرةً من صاحب البيانات الشخصية، يجب على جهة التحكم قبل أو عند جمع البيانات الشخصية اتخاذ التدابير اللازمة لإبلاغ صاحب البيانات الشخصية بالآتي:
أ- الاسم النظامي لجهة التحكم، وبيانات التواصل الخاصة بها، وأي تفاصيل أخرى تخص القنوات المُنشأة من قبل جهة التحكم لغرض التواصل المرتبط بحماية البيانات الشخصية.
‌ب- بيانات الاتصال بمسؤول حماية البيانات الشخصية –إن وجد- المعيّن من قبل جهة التحكم.
‌ج- المسوغ النظامي والغرض من جمع ومعالجة البيانات الشخصية بصورة محددة وواضحة وصريحة.
‌د- مدة الاحتفاظ بالبيانات الشخصية أو معايير حساب المدة في حال تعذر تحديدها مسبقًا.
‌ه- توضيح حقوق صاحب البيانات الشخصية، المنصوص عليها في المادة (الرابعة) من النظام وآلية ممارسة أي من تلك الحقوق.
‌و- توضيح كيفية العدول عن الموافقة الممنوحة لمعالجة أي من البيانات الشخصية. 
‌ز- بيان ما إذا كان جمع أي من البيانات الشخصية أو معالجتها إلزاميًا أو اختياريًا.
2- على جهات التحكم التي تتضمن أنشطتها -على نطاق واسع أو بصورة متكررة- معالجة بيانات شخصية لناقصي أو عديمي الأهلية، أو عمليات المعالجة التي تتطلب بطبيعتها مراقبة مستمرة لأصحاب البيانات الشخصية، أو معالجة بيانات شخصية باستخدام تقنيات ناشئة، أو اتخاذ قرارات مبنية على المعالجة الآلية للبيانات الشخصية؛ اتخاذ التدابير اللازمة لإبلاغ صاحب البيانات الشخصية بما نصت عليه الفقرة (1) من هذه المادة، إضافة إلى ما يلي:
أ- وسائل وطرق الجمع والمعالجة للبيانات الحساسة إن تضمنت المعالجة ذلك.
ب- الوسائل والإجراءات المتخذة لحماية البيانات الشخصية.
ج- توضيح ما إذا كان سيتم اتخاذ قرارات مبنية على المعالجة الآلية للبيانات الشخصية.
3-عند قيام جهة التحكم بمعالجة إضافية للبيانات الشخصية لأغراض الاستخدام الثانوي للبيانات، فيجب عليها قبل إجراء المعالجة الإضافية أن تقدم لصاحب البيانات الشخصية المعلومات اللازمة وفقا لأحكام الفقرتين (1) أو (2) من هذه المادة، بحسب الأحوال.
4 -يجب على جهة التحكم أن توفر المعلومات المطلوبة وفقًا لما ورد في الفقرتين (1) و (2) من هذه المادة بلغة مناسبة إذا علمت أن صاحب البيانات الشخصية ناقص الأهلية.
5-لا تسري أحكام الفقرات (1) و (2) من هذه المادة في الحالات الآتية:
‌أ- إذا توافرت المعلومات ذات الصلة لدى صاحب البيانات الشخصية مسبقا.
‌ب- إذا ثبت أن تقديم تلك المعلومات متعذر أو يتطلب بذل جهد غير عادي.
‌ج- إذا كان تقديم تلك المعلومات يتعارض مع الأنظمة السارية في المملكة.​​

​1-دون الإخلال بأحكام المادة (التاسعة) والمادة (السادسة عشرة) من النظام، يكون لصاحب البيانات الشخصية حق الوصول إلى بياناته الشخصية المتوافرة لدى جهة التحكم مع مراعاة ما يلي:
أ- أن يكون المسوغ النظامي للمعالجة الموافقة أو المصلحة المشروعة لجهة التحكم أو تنفيذ اتفاق يكون صاحب البيانات الشخصية طرفا فيه.
‌ب- إتاحة الوصول إلى البيانات الشخصية بناءً على طلب يقدمه صاحب البيانات الشخصية، أو وسيلة توفرها جهة التحكم لتمكين صاحب البيانات من الوصول لبياناته الشخصية بشكل تلقائي دون الحاجة لتقديم طلب.
2- ​على جهة التحكم عند تمكين صاحب البيانات من الوصول إلى بياناته الشخصية التأكد من أن ذلك لا يتضمن الإفصاح عن بيانات شخصية تحدد هوية فرد آخر. ​​​

مع مراعاة أحكام المادة (السادسة عشرة) من النظام يكون لصاحب البيانات الشخصية الحق في طلب الحصول على نسخة من بياناته الشخصية بصيغة مقروءة وواضحة، مع مراعاة ما يلي:

​​​1- لصاحب البيانات الشخصية طلب تصحيح بياناته الشخصية إذا كان المسوغ النظامي للمعالجة الموافقة أو المصلحة المشروعة أو تنفيذ اتفاق يكون صاحب البيانات الشخصية طرفا فيه.
2- يجوز لصاحب البيانات الشخصية في حال عدم صحة بياناته الشخصية المتوافرة لدى جهة التحكم أن يطلب تقييد معالجة بياناته لمدة يمكن لجهة التحكم خلالها التحقق من صحة البيانات الشخصية، مع مراعاة عدم سريان حق صاحب البيانات الشخصية في الحصول على التقييد المذكور إذا كان تقديم تلك البيانات يتعارض مع أحكام النظام واللوائح.
3- يكون لجهة التحكم طلب المستندات أو الوثائق الداعمة لطلب تصحيح البيانات الشخصية متى ما كان ذلك ضروريا لتحديث أو تصحيح أو إتمام البيانات الشخصية، على أن يتم إتلاف تلك المستندات أو الوثائق بعد الانتهاء من عملية التحقق. ​​

​​1- مع مراعاة المادة (الثامنة عشرة) من النظام، لصاحب البيانات الشخصية ممارسة الحق في طلب إتلاف بياناته الشخصية إذا كان المسوغ النظامي لمعالجتها الموافقة أو تنفيذ اتفاق يكون صاحب البيانات الشخصية طرفا فيه أو المصلحة المشروعة لجهة التحكم.
2- على جهة التحكم إتلاف البيانات الشخصية في أي من الأحوال الآتية:
 ‌أ- تنفيذاً لطلب صاحب البيانات الشخصية، وفقا لما ورد في الفقرة (1) من هذه المادة.

على جهة التحكم عند إخفائها لهوية صاحب البيانات الشخصية القيام بالآتي:
1-ضمان عدم إمكانية إعادة التعرف على هوية صاحب البيانات الشخصية بعد إخفاء هويته.
2-تقويم الآثار والمخاطر المحتملة بما في ذلك إمكانية إعادة تحديد هوية صاحب البيانات الشخصية، وذلك في الأحوال المنصوص عليها في الفقرة (1) من المادة (السادسة والعشرين) من اللائحة.
3-اتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لتجنب المخاطر التي تم تحديدها، مع مراعاة التطورات التقنية وأساليب إخفاء الهوية وتحديثها وموائمتها مع تلك التطورات.
4-تقويم فعالية تقنيات إخفاء هوية صاحب البيانات الشخصية المُطبقة، وإجراء التعديلات اللازمة لضمان عدم إمكانية إعادة التعرف على هوية صاحب البيانات الشخصية.​​

على جهة التحكم توفير الوسائل الملائمة للاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه المنصوص عليها في النظام، ويكون لصاحب البيانات الشخصية استخدام واحدة أو أكثر من الوسائل الآتية حسب اختياره وتوافرها لدى جهة التحكم:
1​-البريد الإلكتروني.
2-الرسائل النصية.
3-العنوان الوطني.
4-التواصل عبر التطبيقات الإلكترونية.
5-أي وسيلة تواصل نظامية أخرى معدة لهذا الغرض من قبل جهة التحكم.​

​​​1-لجهة التحكم الحصول على موافقة صاحب البيانات الشخصية على معالجة البيانات الشخصية بأي شكل أو وسيلة ملائمة، بما في ذلك الموافقات الكتابية أو الشفوية أو باستخدام الطرق الإلكترونية، على أن يشترط في الموافقة ما يأتي:
‌أ-أن تصدر الموافقة بإرادة حرة، وألّا تُستخدم أي طرقٍ مُضللة في سبيل الحصول عليها، وأن يكون الحصول على الموافقة بمراعاة أحكام المادة (السابعة) من النظام.
‌ب-أن تكون أغراض المعالجة واضحةً ومحددةً، وأن توضح وتبيّن تلك الأغراض إلى صاحب البيانات الشخصية عند أو قبل طلب الموافقة.
‌ج-أن تصدر من كامل الأهلية.
‌د-أن توثّق الموافقة بوسائل تتيح التحقق منها مستقبلًا.
‌ه-أن تكون هناك موافقة مستقلة لكل عملية معالجة في حال تعددت أغراض المعالجة.
2-يشترط أن تكون موافقة صاحب البيانات الشخصية صريحة في الأحوال الآتية:
أ-في حال كانت الموافقة هي المسوغ النظامي الوحيد لمعالجة البيانات الشخصية.
ب-في حال تضمنت المعالجة بيانات حساسة.
ج-في حال تضمنت المعالجة بيانات ائتمانية. ​

​​1-لصاحب البيانات الشخصية العدول عن موافقته على معالجة بياناته الشخصية في أي وقت، وله إبلاغ جهة التحكم بذلك بأي من الوسائل المتاحة وفقًا للمادة (الخامسة) من اللائحة.
2-قبل طلب الموافقة من صاحب البيانات الشخصية، على جهة التحكم وضع إجراءات تُتيح العدول عن تلك الموافقة، واتخاذ التدابير اللازمة لضمان تنفيذها، على أن تكون إجراءات العدول عن الموافقة مماثلة أو أكثر سهولةً من إجراءات الحصول عليها.
3-في حال العدول عن الموافقة، فيجب على جهة التحكم إيقاف المعالجة دون تأخير غير مبرر بمجرد إشعارها بذلك، ولا يؤثر الرجوع عن الموافقة على مشروعية أي عملية معالجة تمت في ظل الموافقة وقبل الرجوع عنها.
4-على جهة التحكم عند عدول صاحب البيانات الشخصية عن موافقته على معالجة بياناته؛ اتخاذ الإجراءات الملائمة لإشعار من تم الإفصاح لهم عن البيانات الشخصية -بأي وسيلة كانت- وطلب إتلافها.​​

1-مع مراعاة المتطلبات النظامية ذات العلاقة، على الولي الشرعي لصاحب البيانات الشخصية لناقص أو عديم الأهلية أن يتصرف بما يحقق مصلحة صاحب البيانات الشخصية، وله في سبيل ذلك ما يلي:
‌أ-ممارسة الحقوق المقررة لصاحب البيانات الشخصية بموجب النظام واللائحة.
‌ب-الموافقة على معالجة بيانات صاحب البيانات الشخصية وفقاً لأحكام النظام واللائحة.
2-إضافة إلى ما نصت عليه الفقرة (1) من المادة (الثانية عشرة) من اللائحة، في حال معالجة البيانات الشخصية لناقص أو عديم الأهلية يشترط في الحصول على موافقة الولي الشرعي اتخاذ الوسائل المناسبة للتحقق من صحة الولاية الشرعية لوليّ صاحب البيانات الشخصية عديم أو ناقص الأهلية.
3-يتم الحصول على موافقة الولي الشرعي لناقص أو عديم الأهلية مع مراعاة الأحكام الآتية:
أ‌-ألا ينتج عن موافقة الولي الشرعي على المعالجة أي ضرر على مصالح صاحب البيانات الشخصية.
ب‌-تمكين صاحب البيانات الشخصية ناقص الأهلية من ممارسة حقوقه المنصوص عليها في النظام واللائحة عند اكتمال أهليته.
4-مع مراعاة المادة (السادسة والعشرون) من اللائحة، لجهة التحكم - ما لم تكن البيانات محل الموافقة بيانات حساسة- الحصول على موافقة أصحاب البيانات الشخصية ممن تتراوح أعمارهم ما بين (13) عامًا و (18) عامًا دون الحاجة للحصول على موافقة الولي الشرعي، على أن يتم إعداد طلب الحصول على الموافقة والمعلومات التوضيحية بلغة وصياغة مناسبة لمستوى إدراك الفئة العمرية المستهدفة.
5-لا تشترط موافقة الولي الشرعي في سياق الخدمات ذات المنفعة المحضة لعديم الأهلية، ومن ذلك الخدمات الاستشارية أو الوقائية التي تقدم له مباشرة.​

​​على جهة التحكم عند معالجة البيانات لتحقيق مصلحة متحققة لصاحب البيانات الاحتفاظ بما يثبت توفر تلك المصلحة وتعذر الاتصال بصاحب البيانات الشخصية أو صعوبته.​

​1-فيما عدا ما ورد في الفقرة (3) من المادة (العاشرة) من النظام، على جهة التحكم عند معالجة البيانات الشخصية من غير صاحبها مباشرة، مراعاة ما يأتي:
أ-أن تكون المعالجة ضرورية ومتناسبة مع الغرض المحدد.

​​1-لجهة التحكم معالجة البيانات الشخصية لتحقيق مصلحة مشروعة يتوفر فيها ما يلي:
‌أ-ألا يكون الغرض مخالفا لأي من الأنظمة في المملكة.
‌ب-ألا تؤثر على حقوق ومصالح صاحب البيانات الشخصية أو الغير.
‌ج-ألا تتعارض مع مصالح أصحاب البيانات الشخصية أو ترتب عليهم آثارًا سلبية.
‌د-ألا تتضمن المعالجة بيانات حساسة.
2-يعد من المصالح المشروعة كشف عمليات الاحتيال وحماية أمن الشبكة والمعلومات، وغير ذلك من المصالح المشروعة التي يتحقق فيها ما ورد في الفقرة (1) من هذه المادة.
3-وفقاً لأحكام الفقرة (4) من المادة (السادسة) من النظام، يجب على جهة التحكم قبل معالجة البيانات الشخصية لمصلحة مشروعة إجراء وتوثيق تقويم للمعالجة المقترحة وأثرها على حقوق ومصالح أصحاب البيانات الشخصية، على أن يتضمن التقويم على وجه التحديد ما يلي:
‌أ-تحديد المعالجة المقترحة وأغراضها، ونوع البيانات وفئات أصحاب البيانات الشخصية.
ب-تقويم الغرض من خلال التأكد من مشروعيته وعدم مخالفته لأي من الأنظمة في المملكة.
‌ج-التحقق من أن معالجة البيانات الشخصية ضرورية لتحقيق الغرض المشروع لدى جهة التحكم.
‌د-تحديد ما إذا كانت المعالجة المقترحة ضمن التوقعات المعقولة لأصحاب البيانات الشخصية المتأثرين.
‌ه-تقويم ما إذا كانت المعالجة المقترحة سترتب أي ضرر محتمل لأصحاب البيانات الشخصية.
‌و-تقويم ما إذا كانت هناك أي تدابير يتطلب اتخاذها لتجنب المخاطر أو الأضرار المحتملة، وذلك وفقا لما نصت عليه الفقرة (2) من المادة (السادسة والعشرون) من اللائحة.
4-إذا أظهر التقويم المبيّن بالفقرة (3) من هذه المادة أن المعالجة المقترحة ستؤدي بأي شكل من الأشكال إلى مخالفة أي من الأنظمة أو المساس بحقوق ومصالح أصحاب البيانات الشخصية أو ترتيب أي ضرر عليهم أو على أي طرف آخر، فيكون على جهة التحكم تعديل المعالجة المقترحة وإجراء تقويم جديد. ​​

​​1-على جهة التحكم عند اختيار جهة المعالجة الالتزام باختيار جهة معالجة تقدم ضمانات كافية لحماية البيانات الشخصية، وأن يتضمن الاتفاق مع جهة المعالجة كل مما يلي:
‌أ-غرض المعالجة.
‌ب-فئات البيانات الشخصية المعالجة.
‌ج-المدة الزمنية للمعالجة.
‌د-التزام جهة المعالجة بإشعار جهة التحكم في حال تسرب البيانات الشخصية.
‌ه-توضيح ما إذا كانت جهة المعالجة تخضع لأنظمة في دول أخرى، وأثر ذلك على التزامها بأحكام النظام واللوائح.
‌و-عدم اشتراط حصول جهة المعالجة على موافقة مسبقة من جهة التحكم على الإفصاح الوجوبي عن البيانات الشخصية بموجب الأنظمة المعمول بها في المملكة، على أن تقوم جهة المعالجة بإشعار جهة التحكم بذلك الإفصاح.
‌ز-تحديد جهات المعالجة الفرعية المتعاقدة مع جهة المعالجة، أو أي طرف آخر سيجري الإفصاح له عن البيانات الشخصية.
2-على جهة التحكم إصدار التعليمات لجهة المعالجة بشكل واضح، وفي حال مخالفة تعليمات جهة التحكم لأي من الأنظمة المعمول بها في المملكة، فيكون على جهة المعالجة إشعار جهة التحكم بذلك كتابةً ودون تأخير.
3-تكون جهة التحكم مسؤولة عن التحقق من التزام جهة المعالجة -بشكل دوري- بإجراء عمليات المعالجة وفقًا لأحكام النظام واللوائح، وضمان استيفائها لكافة المتطلبات النظامية في هذا الشأن، سواءً تمت المعالجة من قبلها أو من قبل جهةٍ أخرى نيابةً عنها، ويكون لجهة التحكم تعيين طرف آخر مستقل للمراجعة والتحقق من الالتزام نيابةً عنها.
4-عند مخالفة جهة المعالجة للتعليمات الصادرة من جهة التحكم أو الاتفاق المبرم معها بشأن معالجة البيانات الشخصية، فتعد جهة المعالجة في حكم جهة التحكم وتكون مسؤولة عن مخالفة أحكام النظام.
5-يجب على جهة المعالجة قبل قيامها بأي تعاقدات لاحقة مع جهات معالجة فرعية الالتزام بالآتي:
أ-اتخاذ الضمانات الكافية للتأكد من أن تلك التعاقدات لن تؤثر على المستوى المكفول لحماية البيانات الشخصية محل المعالجة.
ب-اختيار الجهة التي توفر الضمانات اللازمة لتنفيذ أحكام النظام واللوائح.
ج-الحصول على الموافقة المسبقة من جهة التحكم، على أن يتم إشعار جهة التحكم قبل القيام بتلك التعاقدات وتمكين جهة التحكم من الاعتراض عليها خلال مدة يتفق عليها بين جهة التحكم وجهة المعالجة.​​

​​1-على جهة التحكم عند معالجتها البيانات الشخصية لاستخدامات ثانوية في الأحوال المنصوص عليها في المادة (العاشرة) من النظام، القيام بما يأتي:
‌أ-تحديد أغراض الاستخدام الثانوي بشكل محدد وواضح.
ب-توثيق إجراءات تحديد محتوى البيانات وفقاً للأغراض المحددة، ومنها على سبيل المثال استخدام مخططات البيانات التي تبيّن الحاجة لكل بيان وربطه بكل هدف من أهداف المعالجة.
‌ج-تقويم الآثار السلبية والمخاطر المحتملة التي قد تترتب على معالجة البيانات الشخصية، ومنها المخاطر المتعلقة بإمكانية التعرف على هوية أصحاب البيانات الشخصية على وجه التحديد.
‌د- اتخاذ التدابير اللازمة لضمان جمع البيانات الشخصية وفق الحد الأدنى الضروري لتحقيق الأغراض المحددة في الفقرة (ب) أعلاه.
2-فيما عدا الأحوال المنصوص عليها في الفقرة (3) من المادة (العاشرة) من النظام، على جهة التحكم عند معالجتها البيانات الشخصية لأغراض ثانوية في الأحوال المنصوص عليها في الفقرات (1) و (2) و (4) و (5) و (6) من المادة (العاشرة) من النظام، الالتزام بما يأتي:
‌أ-تحديد الغرض من المعالجة بوضوح ودقة، وتضمينه في سجلات أنشطة معالجة البيانات الشخصية.
​ب- أن يقتصر الجمع والمعالجة على الحد الأدنى من البيانات الشخصية المطلوبة لتحقيق الغرض.
‌ج-أن يتم تحديد نوع البيانات الشخصية المراد معالجتها، والتدابير اللازمة لضمان معالجة تلك البيانات بالشكل المطلوب.​​

​1-على جهة التحكم جمع الحد الأدنى اللازم من البيانات الشخصية لتحقيق الغرض من المعالجة، وضمان ما يلي:
‌أ-جمع البيانات الشخصية الضرورية والمرتبطة ارتباطا وثيقًا ومباشرًا بالغرض من معالجة البيانات، ويتم تحديد ذلك من خلال استخدام مخططات البيانات التي تبيّن الحاجة لكل بيان وربطه بكل هدف من أهداف المعالجة أو غيرها من الوسائل.
‌ب-بذل العناية اللازمة بما يساهم في تحقيق الغرض من المعالجة دون جمع بيانات شخصية غير ضرورية.
‌ج-توثيق إجراءات تحديد البيانات الشخصية المراد معالجتها لأي غرض معين من قبل جهة التحكم، وفقًا للضوابط الواردة في هذه المادة.
2-على جهة التحكم الاحتفاظ بالحد الأدنى من البيانات الشخصية اللازمة لتحقيق الغرض من المعالجة. ​

​1-يشترط في الإفصاح عن البيانات التي تم جمعها من مصادر متاحة للعموم بناء على الفقرة (2) من المادة (الخامسة عشرة) من النظام أن يكون جمعها من مصدر متاح للعموم قد تم بشكل نظامي.
2-فيما عدا الأحوال المنصوص عليها في الفقرتين (3) و (4) من المادة (الخامسة عشرة) من النظام، على جهة التحكم عند الإفصاح عن البيانات الشخصية مراعاة ما يلي:
‌أ-أن يرتبط طلب الإفصاح ارتباطًا وثيقًا بغرض أو موضوع محدد وواضح.​

​على الجهة العامة عند جمعها للبيانات الشخصية من غير صاحبها مباشرة، أو معالجتها لاستخدام ثانوي، أو طلب الإفصاح عنها لتحقيق مصلحة عامة الالتزام بما يلي:
1-التأكد من أن ذلك يعد ضروريا لتحقيق مصلحة عامة محددة بشكل واضح.
2-أن تتصل المصلحة العامة بالاختصاصات المقررة لها نظاماً.
3-اتخاذ الوسائل المناسبة للحد من الأضرار التي قد تنتج عن ذلك.
4-تضمين تلك العمليات في سجلات أنشطة معالجة البيانات الشخصية. ​​

1-يُقصد بأنواع تصحيح البيانات الشخصية المشار إليها في الفقرة (2) من المادة (السابعة عشرة) من النظام؛ تصحيح بيانات خاطئة، أو إكمال بيانات ناقصة، أو تحديث بيانات سابقة.
2-على جهة التحكم عند تصحيح البيانات الشخصية الالتزام بما يلي:
‌أ-ضمان دقة وسلامة البيانات الشخصية من خلال فحص ومراجعة الوثائق الداعمة إن اقتضت الضرورة ذلك.
‌ب-إشعار الجهات التي أُفصح لها عن البيانات الشخصية دون تأخير.
‌ج-إشعار صاحب البيانات الشخصية عند الانتهاء من تصحيحها.
‌د-توثيق كافة التحديثات التي أجريت على البيانات الشخصية.
3-في حال تبيّن لجهة التحكم أن البيانات الشخصية غير صحيحة أو غير مكتملة وكان من شأن ذلك إحداث أضرار على صاحب البيانات الشخصية؛ القيام بإيقاف المعالجة لحين تحديث أو تصحيح البيانات.
4-مع مراعاة الفقرة (2) من هذه المادة، على جهة التحكم عند علمها بعدم صحة أو حداثة البيانات الشخصية العمل على تصحيحها أو إتمامها أو تحديثها وفق الوسائل المتاحة لديها، وذلك خلال مدة لا تتجاوز (ثلاثين) يوم من تاريخ علمها بذلك.
5-على جهة التحكم اتخاذ الإجراءات المناسبة لتفادي آثار معالجة البيانات الشخصية غير الصحيحة أو غير المكتملة أو غير المحدثة، بما في ذلك ما يأتي:
‌أ-وضع وتحديث السياسات والإجراءات الداخلية بما يتوافق مع أحكام النظام واللوائح، بما في ذلك إجراءات تمكن أصحاب البيانات الشخصية من ممارسة حقهم في طلب التصحيح وفق ما نص عليه النظام واللوائح.
‌ب-المراجعة الدورية لدقة وحداثة البيانات الشخصية.​​

على جهة التحكم اتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لضمان خصوصية صاحب البيانات الشخصية وأمن البيانات الشخصية، والالتزام بالآتي:
‌أ-تطبيق التدابير الأمنية والتقنية الملائمة للحد من المخاطر الأمنية على البيانات الشخصية.
‌ب-الالتزام بالضوابط والمعايير والقواعد ذات الصلة الصادرة عن الهيئة الوطنية للأمن السيبراني، أو أفضل ممارسات ومعايير الأمن السيبراني المتعارف عليها في حال كانت جهة التحكم ذات صفة اعتبارية خاصة.​

​1-تُشعر جهة التحكم الجهة المختصة في حالة وقوع حادثة تسرّب للبيانات الشخصية خلال مدة لا تتجاوز (72) ساعة من وقت علمها بالحادثة، إذا كان من شأن تلك الحادثة الإضرار بالبيانات الشخصية أو صاحب البيانات الشخصية أو كانت تتعارض مع حقوقه أو مصالحه، على أن يتضمن الإشعار ما يأتي:
‌أ-وصف لحادثة تسرب البيانات الشخصية، على أن يتضمن وقتها وتاريخها وكيفية وقوعها ووقت علم جهة التحكم بها.
‌ب-الفئات والأعداد الفعلية أو التقريبية لأصحاب البيانات الشخصية المعنيين، ونوع البيانات الشخصية.
‌ج-وصف للمخاطر التي قد تنتج عن الحادثة، بما في ذلك مستوى الأثر الفعلي أو المحتمل الذي قد يلحق بالبيانات الشخصية وأصحاب البيانات الشخصية، والإجراءات والتدابير التي تم اتخاذها من قبل جهة التحكم للمنع أو الحد من آثار تلك المخاطر وتخفيفها، والتدابير المستقبلية التي ستتخذها جهة التحكم لمنع تكرار الحادثة.
‌د-بيان إذا تم أو سيتم إشعار صاحب البيانات الشخصية بتسرب بياناته الشخصية، وفقا لما نصت عليه الفقرة (5) من هذه المادة.
‌ه-بيانات التواصل لجهة التحكم أو مسؤول حماية البيانات الشخصية لديها –إن وجد- أو أي مسؤول آخر تتوافر لديه معلومات فيما يخص الحادثة محل الإشعار.
2-إذا لم تتمكن جهة التحكم من تقديم أي من البيانات المطلوبة خلال مدة لا تتجاوز (72) ساعة من وقت علمها بتسرب البيانات الشخصية وفقاً لأحكام الفقرة (1) من هذه المادة، فعليها أن تُقدمها في أقرب وقت ممكن مع إرفاق مبررات التأخير.
3-على جهة التحكم الاحتفاظ بنسخة من التقارير المقدمة إلى الجهة المختصة وفقاً لأحكام الفقرة (1) هذه المادة، وتوثيق التدابير التصحيحية المتخذة فيما يتعلق بتسرب البيانات الشخصية، وأي مستندات أو وثائق داعمة ذات علاقة.
4-لا تخل أحكام هذه المادة بالتزامات جهة التحكم أو المعالجة بتقديم أي بلاغ أو إشعار عن حوادث تسرب البيانات بموجب ما يصدر عن الهيئة الوطنية للأمن السيبراني أو أي أنظمة ولوائح معمول بها في المملكة.
5-على جهة التحكم دون تأخير غير مبرر إشعار صاحب البيانات الشخصية بحادثة تسرب بياناته الشخصية، إذا كان من شأنها أن ترتب ضرراً على بياناته أو تتعارض مع حقوقه أو مصالحه، على أن يكون الإشعار بلغة مبسطة وواضحة، وأن يتضمن ما يأتي:
‌أ-وصف لحادثة تسرب بياناته الشخصية.
​ب-وصف المخاطر المحتملة الناشئة عن تسرب بياناته الشخصية، والتدابير المتخذة لمنع تلك المخاطر أو الحد منها وتخفيف آثارها.
‌ج-اسم وبيانات التواصل لجهة التحكم ولمسؤول حماية البيانات لديها –إن وجد- أو أي وسائل تواصل أخرى مناسبة مع جهة التحكم.
‌د-التوصيات أو النصائح التي قد تساعد صاحب البيانات الشخصية في اتخاذ الإجراءات الملائمة لتجنب المخاطر المحددة أو تخفيف آثارها.​

1-يجب على جهة التحكم أن تعد تقويماً مكتوبًا وموثقًا للآثار والمخاطر التي قد تلحق بصاحب البيانات الشخصية نتيجة المعالجة، ويتم إجراء تقويم المخاطر في الأحوال التالية:
‌أ-معالجة البيانات الشخصية الحساسة.
‌ب-جمع أو مقارنة أو ربط مجموعتين أو أكثر من مجموعات البيانات الشخصية التي تم الحصول عليها من مصادر مختلفة.
‌ج-أن يتضمن نشاط جهة التحكم -على نطاق واسع أو بصورة متكررة- معالجة بيانات شخصية لناقصي أو عديمي الأهلية، أو عمليات المعالجة التي تتطلب بطبيعتها مراقبة مستمرة لأصحاب البيانات الشخصية، أو معالجة بيانات شخصية باستخدام تقنيات ناشئة، أو اتخاذ قرارات مبنية على المعالجة الآلية للبيانات الشخصية.
‌د-تقديم منتج أو خدمة تتضمن معالجة البيانات الشخصية التي من المحتمل أن تشكل أضراراً جسيمة على حقوق خصوصية أصحاب البيانات الشخصية.  
2-يجب أن يحتوي تقويم المخاطر على العناصر الآتية كحد أدنى:
‌أ-الغرض من المعالجة والمسوغ النظامي لها.
‌ب-وصف لطبيعة المعالجة التي سيتم تنفيذها، وأنواع ومصادر البيانات الشخصية محل المعالجة وأي جهات سيتم الإفصاح لها عن البيانات الشخصية.
‌ج-وصف لنطاق المعالجة الذي يحدد نوع البيانات الشخصية والنطاق الجغرافي للمعالجة.
‌د-وصف لسياق المعالجة الذي يحدد العلاقة بين أصحاب البيانات الشخصية وجهة التحكم وجهات المعالجة وأي ظروف أخرى ذات صلة.
‌ه-تقويم ضرورة وتناسب المعالجة التي تحدد التدابير المتبعة لتمكين جهة التحكم وجهات المعالجة من معالجة الحد الأدنى من البيانات الشخصية المطلوبة لتحقيق أغراض المعالجة.
‌و-الآثار المترتبة على المعالجة بناءً على شدة تأثيرها ماديا ومعنويا واحتمال حدوث أي آثار سلبية على أصحاب البيانات الشخصية، ويتضمن ذلك أي آثار نفسية أو اجتماعية أو جسدية أو مالية –  واحتمال حدوث أي منها.
‌ز-التدابير التي ستتخذ لمنع المخاطر المحددة والحد منها.
‌ح-تقويم مدى ملاءمة التدابير المتبعة لتفادي المخاطر المحددة.
3-على جهة التحكم تقديم نسخة من تقويم المخاطر إلى أي جهة معالجة تتصرف نيابة عنها فيما يتعلق بالمعالجة ذات الصلة.​​

على جهة التحكم اتخاذ الإجراءات والوسائل التنظيمية والتقنية والفنية والإدارية الكفيلة بالمحافظة على البيانات الصحية من أي استعمال غير مشروع، أو من إساءة استخدامها، أو استخدامها لغير الغرض الذي جُمعت من أجله، أو تسربها، وأي إجراءات أو وسائل تضمن المحافظة على خصوصية أصحابها، وعليها بصفة خاصة اتخاذ الضوابط والإجراءات الآتية:
1-تبني وتطبيق الاشتراطات والضوابط الصادرة عن وزارة الصحة والمجلس الصحي السعودي والبنك المركزي السعودي ومجلس الضمان الصحي والجهات الأخرى ذات العلاقة بتنظيم الخدمات الصحية وخدمات التأمين الصحي، والتي تبين مهام ومسؤوليات منسوبي مقدمي الرعاية الصحية، وشركات التأمين الصحي، وشركات إدارة مطالبات التأمين الصحي ومن تتعاقد معهم ممن يباشرون عمليات معالجة البيانات الصحية.
2-تضمين الأحكام الواردة في النظام واللوائح في قواعد سلوك الموظفين لدى جهة التحكم.
3-توزيع المهام والمسؤوليات بين الموظفين أو العاملين بطريقة تحول دون تداخل الاختصاصات وتشتيت المسؤولية ومراعاة تدرج إمكانية الوصول إلى البيانات بين الموظفين أو العاملين بما يكفل أعلى درجة من المحافظة على خصوصية أصحاب البيانات.
4-توثيق كافة مراحل معالجة البيانات الصحية وتوفير إمكانية تحديد الشخص المسؤول عن كل مرحلة منها.
5-أن يتضمن اتفاق جهة التحكم مع جهات المعالجة -لتنفيذ أعمال أو مهام تتعلق بمعالجة البيانات الصحية -أحكاماً تلزمها باتباع الإجراءات والوسائل المنصوص عليها في هذه المادة.
6-قصر عمليات معالجة البيانات على الحد الأدنى اللازم لتقديم خدمات أو منتجات الرعاية الصحية، أو برامج التأمين الصحي.​​

​1-على جهة التحكم قبل إرسال مواد دعائية أو توعوية الحصول على الموافقة الصريحة للمتلقي المستهدف، وذلك في حال عدم وجود تعامل مسبق بين جهة التحكم والمتلقي المستهدف.
2-تكون شروط موافقة المتلقي المستهدف بالمواد الدعائية أو التوعوية وفقا لما يلي:
‌أ-أن تصدر الموافقة بإرادة حرة، وألّا تُستخدم أي طرقٍ مُضللة في سبيل الحصول عليها.

​1-قبل القيام بمعالجة البيانات الشخصية لأغراض التسويق المباشر، يكون على جهة التحكم الالتزام بالآتي:
‌أ-الحصول على موافقة صاحب البيانات الشخصية وفقًا لأحكام المادة (الثانية عشرة) من اللائحة.
‌ب-إحاطة صاحب البيانات الشخصية عند الحصول على موافقته بأنواع بياناته الشخصية التي ستستخدم في التسويق المباشر.
‌ج-توفير آلية تتيح لصاحب البيانات الشخصية العدول عن موافقته على معالجة بياناته الشخصية لغرض التسويق المباشر، وإيقاف تلقي المواد التسويقية ذات العلاقة في أي وقت، على أن تكون الآلية مبسطة وسريعة ودون مقابل مالي وأن تكون إجراءات العدول عن الموافقة مماثلة أو أكثر سهولةً من إجراءات الحصول عليها.
‌د-الالتزام بالاشتراطات الصادرة من الجهات المعنية الخاصة بالتسويق وضوابطه، والحصول على التراخيص اللازمة في الأحوال التي تتطلب ذلك.
2-عند إرسال رسائل التسويق المباشر لصاحب البيانات الشخصية، يجب توضيح هوية جهة التحكم بوضوح دون تضليل.
3-على جهة التحكم الاحتفاظ بسجلات تتضمن موافقة أصحاب البيانات الشخصية على تلقي التسويق المباشر، على أن يبين فيها وقت وطريقة الموافقة.
4-في حال عدول صاحب البيانات الشخصية عن موافقته على التسويق المباشر، فيكون على جهة التحكم التوقف دون تأخير غير مبرر عن توجيه المواد التسويقية له.
5-أن يكون الإرسال من الجهة التي صدرت لها الموافقة من قبل صاحب البيانات وليس من قبل طرف ثالث، ما لم تكن الموافقة أُخذت من قبل ذلك الطرف بعد إعلام صاحب البيانات الشخصية بالجهة المرسلة والغرض من ذلك.​​

على جهة التحكم عند جمع ومعالجة البيانات الشخصية لأغراض علمية أو بحثية أو إحصائية دون موافقة صاحبها الالتزام بالآتي:
‌أ-تحديد الأغراض العلمية أو البحثية أو الإحصائية بشكل واضح ودقيق.
‌ب-اتخاذ التدابير اللازمة لضمان جمع البيانات الشخصية وفق الحد الأدنى اللازم لتحقيق الأغراض المحددة.
‌ج- اتخاذ التدابير اللازمة لضمان ألا ترتب المعالجة أي آثار سلبية على حقوق ومصالح صاحب البيانات الشخصية.​​

دون الإخلال بالأنظمة ذات العلاقة، على جهة التحكم الامتناع عن تصوير الوثائق الرسمية -الصادرة من الجهات العامة- التي تحدد هوية صاحب البيانات الشخصية أو نسخها، إلا بناء على طلب من جهة عامة مختصة، أو متى ما كان ذلك تنفيذا لأحكام نظام، وعلى جهة التحكم توفير الحماية اللازمة لتلك الوثائق، وإتلافها فور انتهاء الغرض منها، ما لم يكن هناك متطلب نظامي للاحتفاظ بها.​

​​​يتم نقل البيانات الشخصية إلى خارج المملكة أو الإفصاح عنها لجهة خارج المملكة وفق ما نص عليه النظام ولائحة نقل البيانات الشخصية خارج الحدود الجغرافية للمملكة.​

1-تقوم جهة التحكم بتعيين أو تحديد شخصًا أو أكثر ليكون مسؤولا عن حماية البيانات الشخصية، وذلك في أي من الحالات الآتية:
‌أ-أن تكون جهة التحكم جهة عامة تقدم خدمات تتضمن معالجة بيانات شخصية على نطاق واسع.
‌ب-أن تقوم الأنشطة الأساسية لجهة التحكم على عمليات المعالجة التي تتطلب بطبيعتها مراقبة منتظمة وممنهجة لأصحاب البيانات الشخصية.
‌ج-أن تقوم الأنشطة الأساسية لجهة التحكم على معالجة بيانات شخصية حساسة.
2​-مع مراعاة متطلبات الفقرة (1) من هذه المادة يجوز أن يكون مسؤول حماية البيانات الشخصية مسؤولًا أو موظفًا لدى جهة التحكم أو متعاقدًا خارجيًا.
3-تصدر الجهة المختصة قواعد تعيين مسؤول حماية البيانات الشخصية، على أن تتضمن القواعد الأحوال التي يجب فيها تعيين مسؤول حماية البيانات الشخصية، وبيان مهامه ومسؤولياته.​

1-على جهة التحكم الاحتفاظ بسجل أنشطة معالجة البيانات الشخصية أثناء فترة استمرار نشاطها المتصل بعمليات معالجة البيانات الشخصية، إضافة إلى الفترات الآتية:
‌أ-ثلاث سنوات تبدأ من تاريخ انتهاء نشاط جهة التحكم، وذلك لجهات التحكم التي تتضمن أنشطتها -على نطاق واسع أو بصورة متكررة- معالجة بيانات شخصية لعديمي أو ناقصي الأهلية، أو عمليات المعالجة التي تتطلب بطبيعتها مراقبة مستمرة لأصحاب البيانات الشخصية، أو معالجة بيانات شخصية باستخدام تقنيات ناشئة، أو اتخاذ قرارات مبنية على المعالجة الآلية للبيانات الشخصية.
‌ب-سنة واحدة، وذلك لجهات التحكم غير المشمولة بحكم الفقرة الفرعية (أ) من الفقرة (1) من هذه المادة.
2-يجب أن تكون سجلات أنشطة معالجة البيانات الشخصية مكتوبةً.
3-على جهة التحكم ضمان دقة وحداثة سجلات أنشطة معالجة البيانات الشخصية.
4-على جهة التحكم إتاحة سجلات أنشطة معالجة البيانات الشخصية للجهة المختصة عند طلبها.
5-تضع الجهة المختصة نماذج استرشادية لسجلات أنشطة معالجة البيانات الشخصية.​​

​​​تصدر الجهة المختصة قواعد التسجيل في السجل الوطني لجهات التحكم، على أن تتضمن القواعد تحديد جهات التحكم الملزمة بالتسجيل.​

​​​تصدر الجهة المختصة القواعد المنظمة للترخيص لجهات تتولى إصدار شهادات الاعتماد لجهات التحكم وجهات المعالجة وفق ما نصت عليه الفقرة (2) من (المادة الثالثة والثلاثون) من النظام.​

1-تهدف عمليات التدقيق والفحص إلى التأكد من أن الجهة تقوم بحماية البيانات الشخصية بشكل ملائم، وذلك من خلال تدقيق وفحص أنشطة معالجة البيانات الشخصية المتبعة لدى الجهة، والضوابط والإجراءات ذات الصلة بها، ورصد أي فجوات لديها فيما يتعلق بتطبيق النظام واللوائح.
2-على الجهات المرخص لها بتولي أعمال التدقيق أو الفحص لأنشطة معالجة البيانات الشخصية ممارسة أعمالها وفقا لما يلي:
‌أ-تقديم الخدمات والمنتجات بشكل مستقل وفق المعايير المهنية المتبعة.
‌ب-وضع الإجراءات والضوابط الإدارية والتنظيمية اللازمة للتأكد من دقة وسلامة ما يصدر عنها.
3-تصدر الجهة المختصة القواعد المنظمة للترخيص لجهات تتولى التدقيق أو الفحص لأنشطة معالجة البيانات الشخصية وفق ما نصت عليه الفقرة (3) من (المادة الثالثة والثلاثين) من النظام.​​

1-لصاحب البيانات الشخصية تقديم شكوى إلى الجهة المختصة خلال مدة لا تتجاوز (90) يوماً من تاريخ الحادثة محل الشكوى أو علم صاحب البيانات الشخصية بها، وللجهة المختصة تقدير قبول الشكوى من عدمه بعد تجاوز هذه المدة في الحالات التي يتبين لها وجود أسباب واقعية منعت صاحب البيانات الشخصية من تقديم شكواه خلال هذه الفترة.
2-تتلقى الجهة المختصة الشكاوى الواردة إليها، وفق إجراءات تكفل السرعة والجودة في التعامل معها.
3-تقيد الجهة المختصة الشكاوى المقدمة ضد من يشتبه في مخالفتهم أحكام النظام في سجل يعد لهذا الغرض، يراعى فيه الضمانات التي تكفل خصوصية مقدم الشكوى.
4-يجب أن تتضمن الشكوى البيانات التالية:
‌أ-مكان وزمان المخالفة.
‌ب-اسم مقدمها، وهويته، وعنوانه، ورقم هاتفه.
‌ج-بيانات الجهة المشتكى ضدها.
‌د-وصف الفعل المخالف بشكل واضح ومحدد، والأدلة والمعلومات المقدمة مع الشكوى.
‌ه-أي متطلبات أخرى تحددها الجهة المختصة.
5-تتولى الجهة المختصة فحص ودراسة الشكاوى ومستنداتها والأدلة المقدمة، ولها التواصل مع مقدم الشكوى للاستيضاح بحسب الحاجة لطلب المستندات والوثائق والمعلومات ذات الصلة.
6-تتولى الجهة المختصة اتخاذ الإجراءات اللازمة حيال الشكاوى الواردة إليها وتشعر مقدم الشكوى بالنتيجة التي انتهت إليها الجهة المختصة حيالها.
7-تصدر الجهة المختصة الأدلة الإجرائية لمعالجة الشكاوى.
8-تحتفظ الجهة المختصة بسجل داخلي للشكاوى المرفوعة إليها وفقًا لأحكام المادة (الرابعة والثلاثين) من النظام وهذه المادة.​​

​​تنشر اللائحة في الجريدة الرسمية والموقع الرسمي للجهة المختصة، ويعمل بها من تاريخ نفاذ النظام. ​​