المادة الرابعة
1- وفقاً لحالات الإعفاء المنصوص عليها في الفقرة (2) من هذه المادة، تقوم جهة التحكم باستخدام الضمانات المناسبة الآتية:
أ. البنود التعاقدية القياسية.
ب. القواعد المشتركة الملزمة.
ج. شهادة الاعتماد.
2- تعفى جهة التحكم من الشرطين الواجب توافرهما عند نقل البيانات الشخصية أو الإفصاح عنها إلى جهة خارج المملكة، والمنصوص عليهما في الفقرتين (ب) و (ج) من الفقرة (2) من المادة (التاسعة والعشرين) من النظام، أو أي منهما، ويكون نقل البيانات الشخصية أو الإفصاح عنها إلى جهة خارج المملكة مُقيّداً بالضمانات المناسبة، في الحالات الآتية:
أ.إذا كان النقل أو الإفصاح عن البيانات الشخصية سيُجرى بين الجهات العامة لتنفيذ اتفاقية تكون المملكة طرفاً فيها أو كان ذلك لخدمة مصالح المملكة، على أن تلتزم جهات التحكم بتضمين بنود قياسية لحماية البيانات الشخصية في الاتفاقيات أو مذكرات التفاهم ذوات الصلة.
ب.إذا كان النقل أو الإفصاح سيُجرى بصفة غير متكررة أو لفترة محدودة ولعدد محدود من أصحاب البيانات الشخصية، على أن تلتزم جهة التحكم بالبنود التعاقدية القياسية أو أن يكون النقل أو الإفصاح لجهة صدرت لها شهادة اعتماد من جهة مرخصة من الجهة المختصة، وألا تكون تلك البيانات بيانات حساسة.
ج.إذا كان النقل أو الإفصاح عن البيانات الشخصية ضرورياً لإجراء العمليات التشغيلية المركزية وكانت جهة التحكم ضمن مجموعة كيانات متعددة الجنسيات، على أن تلتزم جهة التحكم والجهات التابعة لها بقواعد مشتركة ملزمة أو البنود التعاقدية القياسية التي تضمن استيفاء المتطلبات المنصوص عليها في النظام واللوائح، أو حصول الجهة -التي سيُجرى نقل البيانات الشخصية إليها أو الإفصاح عنها- على شهادة اعتماد صادرة من جهة مرخصة من الجهة المختصة.
د.إذا كان النقل أو الإفصاح سيُجرى لتقديم خدمة أو منفعة لصاحب البيانات الشخصية بصورة مباشرة؛ بما لا يخالف توقعاته أو يتعارض مع مصالحه، على أن يكون النقل أو الإفصاح لجهة صدر لها شهادة اعتماد من جهة مرخصة من الجهة المختصة، وألا تكون تلك البيانات بيانات حساسة.
ه.إذا كان نقل البيانات الشخصية أو الإفصاح عنها ضرورياً لإجراء البحوث والدراسات العلمية على أن يقتصر النقل أو الإفصاح على الحد الأدنى من البيانات الشخصية الذي تدعو الحاجة إليه، وأن تلتزم جهة التحكم بالبنود التعاقدية القياسية أو أن يكون النقل أو الإفصاح لجهة صدر لها شهادة اعتماد من جهة مرخصة من الجهة المختصة، وألا تكون تلك البيانات بيانات حساسة.
3- يجب أن تضمن الضمانات المناسبة التزام جهات التحكم بالأحكام المنصوص عليها في النظام ولوائحه، وحقوق أصحاب البيانات الشخصية، بما في ذلك الحق في تقديم شكوى إلى الجهة المختصة بالإضافة إلى الحق في طلب التعويض عن الضرر المترتب على الإخلال بهذه الحقوق.
4- للجهة المختصة مراجعة مدى كفاية الضمانات المناسبة المحددة لكل حالة من حالات الإعفاء المنصوص عليها في الفقرة (2) من هذه المادة أو تعديلها كل سنتين أو عند الاقتضاء.