المادة 6 من تعليمات التدابير الأمنية التقنية والتنظيمية رقم 0 لسنة 2025

أ- لتحديد مستوى خطورة البيانات محل المعالجة وتأثير مستوى الإخلال بأمن البيانات وسلامتها ونوعها واحتماليتها إضافة الى أثرها على حقوق الأشخاص المعنيين، يلتزم المسؤول بإعداد "تقييم أثر حماية البيانات DPIA" أثناء إجراءات المعالجة في أي من الحالتين التاليتين: 1- معالجة البيانات الشخصية الحساسة أو نقلها إلى خارج المملكة 2- أي حالة أخرى يقرر المجلس إلزام المسؤول بإعداد "تقييم أثر حماية البيانات" لأجلها. ب- يجب أن يتضمن "تقييم أثر حماية البيانات" على ما يلي: 1- نوع البيانات التي بحوزته وحجمها وكميتها وتصنيفها أو التي يعالجها والغرض من عملية المعالجة وطبيعتها ومصادرها وأي جهات سيتم الإفصاح لها إذا تتطلب طبيعتها ذلك. 2- التدابير والإجراءات المتبعة في معالجة البيانات والتي يتم اتخاذها في حال الإخلال بأمن وسلامة البيانات والتدابير التي ستتخذ لمنع حدوث المخاطر والحد منها ومدى ملاءمة الإجراءات المتبعة لتفادي المخاطر المحددة بشكل يراعي حقوق الشخص المعنى وغيره من الأشخاص ذوي العلاقة. 3- مدة الاحتفاظ بالبيانات وتخزينها. 4 - نطاق المعالجة. 5- استشارات وآراء الشركاء ذوي العلاقة ان وجدت 6- احتمالية المخاطر وأثر المخاطر. 7- أي معلومات أخرى يرى المراقب تضمينها عند إعداد التقييم. ج- على المسؤول الاحتفاظ بنسخة من تقييم أثر حماية البيانات وتقديمها إلى الوحدة اذا تطلب الأمر ذلك على أن تكون محدثة بصورة دورية مرة واحدة سنويا على الأقل، وعليه اتخاذ قراراته بناء على نتائج تقييم أثر حماية البيانات.