المادة 8 من تعليمات التدابير الأمنية التقنية والتنظيمية رقم 0 لسنة 2025

أ- يلتزم المسؤول عند التعاقد مع المعالج أو المتلقي بتضمين التدابير الأمنية والتقنية والتنظيمية وتقديم الضمانات اللازمة والوسائل والأغراض في بنود العقد على أن يتضمن العقد ما يلي: 1- تحديد غرض المعالجة ومدتها ونطاقها ومدة الاحتفاظ بالبيانات وتحديد الصلاحيات الممنوحة للأشخاص المخولين بمعالجة البيانات والاطلاع عليها ضمن الغرض والمدة التي تقتضيها المعالجة. 2- تحديد وسائل التواصل بين المسؤول والمتعاقد معه ليتم الإبلاغ عند حدوث أي اختراق للبيانات أو أي أمر يخل بحقوق الشخص المعني وبياناته. 3- التزام المعالج والمتلقي بإبلاغ المسؤول فور اكتشاف أي إخلال بأمن وسلامة البيانات أو تسريبها أو تعرضها للحوادث السيبرانية وذلك وفقاً لأحكام هذه التعليمات وأي إجراءات مرتبطة بهذا الخصوص. 4- تحديد الوسائل التي من خلالها سيقوم المعالج بمحو أو إخفاء أو إعادة البيانات للمسؤول بعد انقضاء مدة المعالجة المحددة. 5- تحديد جهات المعالجة الفرعية المتعاقد معها أو أي طرف آخر سيتم الإفصاح له عن البيانات المعالجة. ب- عدم إمكانية قيام المعالج أو المتلقي من معالجة البيانات الشخصية إلا بناء على تعليمات المسؤول المتضمنة في العقد المبرم. ج- مع مراعاة المادة (14) من القانون، إذا تعاقد المعالج الرئيسي مع معالج آخر للقيام بنشاط معالجة معين، تطبق الالتزامات ذاتها المنصوص عليها في الفقرة (أ) من هذه المادة على المعالج الآخر، وعلى أن يتم الحصول على الموافقة من المسؤول الخطية و/ أو الإلكترونية وإشعاره قبل القيام بتلك التعاقدات وتمكينه من الاعتراض على جهة المعالجة متى كان ذلك ضرورياً.