المادة الثانية والثلاثون: مسؤول حماية البيانات الشخصية:
النص العربي هو النص المعتمدThe Arabic text is the authoritative text. Hujah does not publish unofficial translations of statutes.
1- تقوم جهة التحكم بتعيين أو تحديد شخص أو أكثر ليكون مسؤولاً عن حماية البيانات الشخصية، وذلك في أي من الحالات الآتية:
أ-أن تكون جهة التحكم جهة عامة تقدم خدمات تتضمن معالجة بيانات شخصية على نطاق واسع.
ب-أن تقوم الأنشطة الأساسية لجهة التحكم على عمليات المعالجة التي تتطلب بطبيعتها مراقبة منتظمة وممنهجة لأصحاب البيانات الشخصية.
ج-أن تقوم الأنشطة الأساسية لجهة التحكم على معالجة بيانات شخصية حساسة.
2- مع مراعاة متطلبات الفقرة (1) من هذه المادة يجوز أن يكون مسؤول حماية البيانات الشخصية مسؤولًا أو موظفاً لدى جهة التحكم أو متعاقداً خارجياً.
3- يتولى مسؤول حماية البيانات الشخصية في جهة التحكم متابعة تنفيذ أحكام النظام ولوائحه، ومراقبة الإجراءات المعمول بها داخل جهة التحكم والإشراف عليها، وتلقي الطلبات المتعلقة بالبيانات الشخصية وفقاً لأحكام النظام ولوائحه، ويتولى على وجه الخصوص الآتي:
أ-العمل كمسؤول اتصال مباشر مع الجهة المختصة وتنفيذ قراراتها وتعليماتها فيما يتصل بتطبيق أحكام النظام ولوائحه.
ب-الإشراف على إجراءات تقويم الأثر وتقارير المراجعة والتدقيق المتعلقة بضوابط حماية البيانات الشخصية، وتوثيق نتائج التقويم وإصدار التوصيات اللازمة لذلك.
ج-تمكين صاحب البيانات الشخصية من ممارسة حقوقه المنصوص عليها في النظام.
د-إشعار الجهة المختصة عن حوادث تسرب البيانات الشخصية.
هـ-الرد على الطلبات المقدمة من صاحب البيانات الشخصية، والرد على الجهة المختصة في الشكاوى المقدمة وفقاً لأحكام النظام واللائحة.
ع-متابعة قيد وتحديث سجلات أنشطة معالجة البيانات الشخصية لدى جهة التحكم.
و-معالجة المخالفات المتعلقة بالبيانات الشخصية داخل جهة التحكم، واتخاذ الإجراءات التصحيحية حيالها.
4- تصدر الجهة المختصة قواعد تعيين مسؤول حماية البيانات الشخصية، على أن تتضمن القواعد الأحوال التي يجب فيها تعيين مسؤول حماية البيانات الشخصية.