طرحت الهيئة السعودية للبيانات والذكاء الاصطناعي تعديلات لائحة نقل البيانات الشخصية إلى خارج المملكة، بهدف بيان الأحكام والإجراءات التفصيلية المتعلقة بها بما يضمن توافر مستوى مناسب لحماية البيانات الشخصية وخصوصية أصحابها. وأوضحت اللائحة الأغراض الأخرى لنقل البيانات الشخصية أو الإفصاح عنها لجهات خارج المملكة، حيث تتمثل في إجراء العمليات التشغيلية الضرورية للمعالجة المركزية لتمكين جهة التحكم من ممارسة أنشطتها، أو تقديم خدمة أو منفعة لصاحب البيانات الشخصية، أو إجراء البحوث والدراسات العلمية. ​ ما هي حالات الإعفاء؟ وحددت الهيئة حالات إعفاء جهات التحكم من شروط الالتزام بمستوى الحماية المناسب والحد الأدنى لنقل البيانات الشخصية. وتعفى جهة التحكم من الشرطين الواجب توافرهما عند نقل البيانات الشخصية أو الإفصاح ويكون نقل البيانات الشخصية أو الإفصاح عنها إلى جهة خارج المملكة مُقيّداً بالضمانات المناسبة، في 5 حالات. ‌وتتمثل هذه الحالات في أنه إذا كان النقل أو الإفصاح عن البيانات الشخصية سيُجرى بين الجهات العامة لتنفيذ اتفاقية تكون المملكة طرفًا فيها أو كان ذلك لخدمة مصالح المملكة، على أن تلتزم جهات التحكم بتضمين بنود قياسية لحماية البيانات الشخصية في الاتفاقيات أو مذكرات التفاهم ذوات الصلة. الإفصاح "المحدود" ‌وتتضمن أيضًا إذا كان النقل أو الإفصاح سيُجرى بصفة غير متكررة أو لفترة محدودة ولعدد محدود من أصحاب البيانات الشخصية، على أن تلتزم جهة التحكم بالبنود التعاقدية القياسية أو أن يكون النقل أو الإفصاح لجهة صدرت لها شهادة اعتماد من جهة مرخصة من الجهة المختصة، وألا تكون تلك البيانات بيانات حساسة. ‌وتشتمل الحالات على أنه إذا كان النقل أو الإفصاح عن البيانات الشخصية ضرورياً لإجراء العمليات التشغيلية المركزية وكانت جهة التحكم ضمن مجموعة كيانات متعددة الجنسيات، على أن تلتزم جهة التحكم والجهات التابعة لها بقواعد مشتركة ملزمة أو البنود التعاقدية القياسية التي تضمن استيفاء المتطلبات المنصوص عليها في النظام واللوائح. ونصّت اللائحة على أنه إذا كان النقل أو الإفصاح سيُجرى لتقديم خدمة أو منفعة لصاحب البيانات الشخصية بصورة مباشرة؛ بما لا يخالف توقعاته أو يتعارض مع مصالحه، على أن يكون النقل أو الإفصاح لجهة صدر لها شهادة اعتماد من جهة مرخصة من الجهة المختصة، وألا تكون تلك البيانات بيانات حساسة. ‌ إجراء البحوث والدراسات وذكرت أن الحالة الأخيرة إذا كان نقل البيانات الشخصية أو الإفصاح عنها ضرورياً لإجراء البحوث والدراسات العلمية على أن يقتصر النقل أو الإفصاح على الحد الأدنى من البيانات الشخصية الذي تدعو الحاجة إليه، وأن تلتزم جهة التحكم بالبنود التعاقدية القياسية وألا تكون تلك البيانات بيانات حساسة. وألزمت اللائحة جهات التحكم المنصوص عليها في النظام ولوائحه، وحقوق أصحاب البيانات الشخصية، بما في ذلك الحق في طلب التعويض عن الضرر المترتب على الإخلال بهذه الحقوق. من جهة أخرى، حددت اللائحة معايير تقويم مخاطر نقل البيانات الشخصية أو الإفصاح عنها لجهة خارج المملكة. وجوب تقويم المخاطر وألزمت جهة التحكم بإجراء تقويم مخاطر قبل نقل البيانات الشخصية أو الإفصاح عنها لجهة خارج المملكة، في نقل البيانات الشخصية أو الإفصاح عنها أو نقل بيانات حساسة أو الإفصاح عنها بصفة مستمرة أو على نطاق واسع. وأوجبت على جهات التحكيم أن يتضمن تقويم مخاطر نقل البيانات الشخصية أو الإفصاح عنها الغرض من عملية النقل والمسوغ النظامي لها، ووصف لطبيعة عملية النقل والنطاق الجغرافي لها، والوسائل والضمانات المناسبة المتخذة ومدى كفايتها في تحقيق مستوى حماية البيانات الشخصية المناسب، والتدابير المتبعة للتأكد من أن عملية النقل ستقتصر على الحد الأدنى المطلوب من البيانات الشخصية لتحقيق الأغراض، والآثار المادية أو المعنوية التي قد تترتب على ذلك، والتدابير أو الضوابط التي سيتم تطبيقها لمنع حدوث المخاطر المحتملة على أصحاب البيانات الشخصية أو الحد من أثارها عند حدوثها. ​