المادة الثامنة عشرة من اللوائح التنفيذية لنظام حماية البيانات الشخصية

1- على جهة التحكم عند معالجتها البيانات الشخصية لغرض آخر غير الذي جمعت من أجله في الأحوال المنصوص عليها في المادة (العاشرة) من النظام، القيام بما يأتي:

أ-تحديد أغراض المعالجة بشكل محدد وواضح.

ب-توثيق إجراءات تحديد محتوى البيانات وفقاً للأغراض المحددة، ومنها على سبيل المثال استخدام مخططات البيانات التي تبيّن الحاجة إلى كل بيان وربطه بكل هدف من أهداف المعالجة.

ج-اتخاذ التدابير اللازمة لضمان جمع البيانات الشخصية وفق الحد الأدنى الضروري لتحقيق الأغراض المحددة في الفقرة (ب) أعلاه.

2- فيما عدا الأحوال المنصوص عليها في الفقرة (3) من المادة (العاشرة) من النظام، على جهة التحكم عند معالجتها البيانات الشخصية لغرض آخر غير الذي جمعت من أجله في الأحوال المنصوص عليها في الفقرات (1) و(2) و(4) و(5) و(6) من المادة (العاشرة) من النظام، الالتزام بما يأتي:

أ-تحديد الغرض من المعالجة بوضوح ودقة، وتضمينه في سجلات أنشطة معالجة البيانات الشخصية.

ب-أن يقتصر الجمع والمعالجة على الحد الأدنى من البيانات الشخصية المطلوبة لتحقيق الغرض.

ج-أن يتم تحديد نوع البيانات الشخصية المراد معالجتها، والتدابير اللازمة لضمان معالجة تلك البيانات بالشكل المطلوب.