يولي قانون حماية البيانات الشخصية أهمية كبيرة لحماية خصوصية الأفراد وضمان التعامل الآمن مع بياناتهم. وفقاً للمادة (9) من القانون، يكون مسؤول حماية البيانات الشخصية مسؤولاً عن تنفيذ أحكام القانون ولائحته التنفيذية وقرارات المركز، ومراقبة الإجراءات المعمول بها داخل كيانه والإشراف عليها، وتلقي الطلبات المتعلقة بالبيانات الشخصية. ويلتزم المسؤول على الأخص بالآتي:
الالتزامات التسعة لمسؤول حماية البيانات
- إجراء التقييم والفحص الدوري لنظم حماية البيانات الشخصية ومنع اختراقها، وتوثيق نتائج التقييم وإصدار التوصيات اللازمة لحمايتها.
- العمل كنقطة اتصال مباشرة مع المركز وتنفيذ قراراته فيما يخص تطبيق أحكام هذا القانون.
- تمكين الشخص المعني بالبيانات من ممارسة حقوقه المنصوص عليها في هذا القانون.
- إخطار المركز في حال وجود أي خرق أو انتهاك للبيانات الشخصية لديه.
- الرد على الطلبات المقدمة من الشخص المعني بالبيانات أو كل ذي صفة، والرد على المركز في التظلمات المقدمة إليه من أي منهما وفقاً لأحكام هذا القانون.
- متابعة القيد والتحديث لسجل البيانات الشخصية لدى المتحكم أو سجل عمليات المعالجة لدى المعالج، بما يكفل ضمان دقة البيانات والمعلومات المقيدة به.
- إزالة أي مخالفات متعلقة بالبيانات الشخصية داخل كيانه، واتخاذ الإجراءات التصحيحية حيالها.
- تنظيم البرامج التدريبية اللازمة لموظفي كيانه، لتأهيلهم بما يتناسب مع متطلبات هذا القانون.
وتحدد اللائحة التنفيذية لهذا القانون الالتزامات والإجراءات والمهام الأخرى التي يجب على مسؤول حماية البيانات الشخصية القيام بها.
الإبلاغ عن خروقات البيانات
ووفقاً للمادة (7)، يلتزم كل من المتحكم والمعالج، بحسب الأحوال، حال علمه بوجود خرق أو انتهاك للبيانات الشخصية لديه، بإبلاغ المركز خلال اثنتين وسبعين ساعة. وفي حال كان هذا الخرق أو الانتهاك متعلقاً باعتبارات حماية الأمن القومي، فيكون الإبلاغ فورياً. وعلى المركز وفي جميع الأحوال إخطار جهات الأمن القومي بالواقعة فوراً. كما يلتزم بموافاة المركز خلال اثنتين وسبعين ساعة من تاريخ علمه بما يأتي:
- وصف طبيعة الخرق أو الانتهاك، وصورته وأسبابه والعدد التقريبي للبيانات الشخصية وسجلاتها.
- بيانات مسؤول حماية البيانات الشخصية لديه.
- الآثار المحتملة لحادث الخرق أو الانتهاك.
- وصف الإجراءات المتخذة والمقترح تنفيذها لمواجهة هذا الخرق أو الانتهاك والتقليل من آثاره السلبية.
- توثيق أي خرق أو انتهاك للبيانات الشخصية، والإجراءات التصحيحية المتخذة لمواجهته.
- أي وثائق أو معلومات أو بيانات يطلبها المركز.
وفي جميع الأحوال يجب على المتحكم والمعالج، بحسب الأحوال، إخطار الشخص المعني بالبيانات خلال ثلاثة أيام عمل من تاريخ الإبلاغ وما تم اتخاذه من إجراءات. وتحدد اللائحة التنفيذية لهذا القانون الإجراءات الخاصة بالإبلاغ والإخطار.
