وبحسب نظام حماية البيانات الشخصية، الصادر بقرار مجلس الوزراء، فإنه كانت يتعين البدء في سريان أحكامه بدءا من الغد، إلا أن إعداد اللائحة التنفيذية تطلب استطلاع آراء الجهات ذات العلاقة.
الأحوال التي يجوز فيها الإفصاح
حدد النظام الأحوال التي يجوز فيها لجهة التحكم الإفصاح عن البيانات الشخصية، ومنها إذا وافق صاحب البيانات الشخصية على الإفصاح، وإذا كانت البيانات الشخصية قد جرى جمعها من مصدر متاح للعموم، وإذا كانت الجهة التي تطلب الإفصاح جهة عامة، وذلك لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء مُتطلبات قضائية، وإذا كان الإفصاح ضروريًّا، لحماية الصحة أو السلامة العامة أو حماية حياة فرد أو أفراد معينين أو حماية صحتهم. ونبه النظام بأنه لا يجوز لجهة التحكم الإفصاح عن البيانات الشخصية متى كانت تمثل خطرا على الأمن، أو تسيء إلى سمعة المملكة، أو تتعارض مع مصالحها، أو كان ذلك سيؤثر على علاقات المملكة مع دول أخرى، أو كان في ذلك ما يمنع من كشف جريمة، أو يمس حقوق متهم في الحصول على محاكمة عادلة، أو يؤثر في سلامة إجراءات جنائية قائمة.
البيانات الصحية
كما أولى النظام البيانات الصحية عناية مهمة، حيث أوجب قصر حق الاطلاع على البيانات الصحية -بما فيها الملفات الطبية- على أقل عدد ممكن من الموظفين أو العاملين، وبالقدر اللازم فقط لتقديم الخدمات الصحية اللازمة. كما قيد إجراءات وعمليات مُعالجة البيانات الصحية إلى أقل قدر ممكن من الموظفين والعاملين، لتقديم الخدمات الصحية أو توفير برامج التأمين الصحي.
العقوبات
بحسب النظام، فإنه يعاقب بالسجن مدة لا تزيد على سنتين، وبغرامة لا تزيد على 3 ملايين ريال، أو بإحدى هاتين العقوبتين، كل من أفصح عن بيانات حساسة أو نشرها إذا كان ذلك بقصد الإضرار بصاحب البيانات أو بقصد تحقيق منفعة شخصية. بينما يعاقب كل من أفصح عن بيانات شخصية تمس بالأمن الوطني أو بمصالح المملكة الحيوية بالسجن مدة لا تزيد على سنة، وبغرامة لا تزيد على مليون ريال، أو بإحدى هاتين العقوبتين، وتتولى النيابة العامة مهمة التحقيق والادعاء أمام المحكمة المختصة عن المخالفات المنصوص عليها.
عقوبة الإفصاح عن البيانات
السجن مدة لا تزيد على سنتين
غرامة لا تزيد على 3 ملايين ريال
