المادة 7

الالتزامات العامة للمتحكم يجب على المتحكم الالتزام بما يأتي:

.1 اتخاذ الإجراءات والتدابير التقنية والتنظيمية الملائمة لتطبيق المعايير القياسية اللازمة لحماية وتأمين البيانات الشخصية حفاظًا على سريتها وخصوصيتها، وضمان عدم اختراقها أو إتلافها أو تغييرها أو العبث بها، مع مراعاة طبيعة ونطاق وأغراض المعالجة واحتمالية وجود مخاطر على سرية وخصوصية البيانات الشخصية لصاحب البيانات.

.2 تطبيق التدابير الملائمة سواء أثناء تحديد وسائل المعالجة أو أثناء المعالجة نفسها، وذلك بهدف الامتثال لأحكام هذا المرسوم بقانون بما فيها الضوابط المنصوص عليها في المادة (5) منه، وتشمل هذه التدابير آلية إخفاء البيانات.

.3 تطبيق التدابير التقنية والتنظيمية الملائمة بالنسبة للإعدادات التلقائية، للتأكد من اقتصار معالجة البيانات الشخصية على الغرض المحدد لها، ويُطبق هذا الالتزام على حجم ونوع البيانات الشخصية التي يتم جمعها، ونوع المعالجة التي سيتم إجراؤها عليها، وفترة تخزين هذه البيانات، ومدى إمكانية الوصول إليها.

.4 مسك سجل خاص للبيانات الشخصية، على أن يتضمن هذا السجل بيانات كل من المتحكم ومسؤول حماية البيانات، وبيان وصف فئات البيانات الشخصية لديه، وبيانات الأشخاص المصرح لهم بالوصول إلى البيانات الشخصية، والمدد الزمنية للمعالجة وقيودها ونطاقها، وآلية محو البيانات الشخصية أو تعديلها أو معالجتها لديه، والغرض من المعالجة، وأي بيانات متعلقة بحركة ومعالجة تلك البيانات عبر الحدود، وبيان الإجراءات التقنية والتنظيمية الخاصة بأمن المعلومات وعمليات المعالجة، على أن يقوم المتحكم بتوفير هذا السجل للمكتب متى ما طلب منه ذلك.

.5 تعيين المعالج الذي يتوفر لديه ضمانات كافية لتطبيق التدابير التقنية والتنظيمية على نحو يضمن استيفاء المعالجة لمتطلبات وقواعد وضوابط المعالجة المنصوص عليها في هذا المرسوم بقانون ولائحته التنفيذية والقرارات الصادرة تنفيذًا له.

.6 تزويد المكتب، وبناءً على قرار من الجهة القضائية المختصة، بأي معلومات يطلبها تنفيذًا لاختصاصاته الواردة في هذا المرسوم بقانون ولائحته التنفيذية.

.7 أي التزامات أخرى تحددها اللائحة التنفيذية لهذا المرسوم بقانون.

The Controller's General Obligations The Controller shall abide by the following:

1. Take appropriate technical and organizational measures to implement the necessary standards to protect and secure Personal Data in order to preserve its confidentiality and privacy, and to ensure that it is not breached, destroyed, altered or tampered with, taking into account the nature, scope and purposes of processing and the possibility of risks to the confidentiality and privacy of the Data Subject's Personal Data.

2. Apply the appropriate measures, whether while determining the means of processing or while processing, in order to comply with the provisions of this Decree by Law, including the controls stipulated in Article (5). These measures include the Pseudonymisation Mechanism.

3. Apply appropriate technical and organizational measures with respect to automatic settings, to ensure that the processing of Personal Data is limited to the purpose for which it is intended. Such obligation shall apply to the volume and type of Personal Data collected, the type of processing which will be carried out, the period of storage and accessibility of such data.

4. Maintain a special record for Personal Data, provided that such record shall include the data of both the Controller and the Data Protection Officer, a description of the categories of Personal Data, details of the persons authorized to access the Personal Data, processing times, limitations and scope, the mechanism for erasing, modifying or processing Personal Data, the purpose of processing, any data related to the cross-border movement and processing of such data, and the technical and organizational measures related to information security and processing The Controller shall submit such record to the Bureau whenever requested to do so.

5. Appoint the Processor which has sufficient guarantees to implement technical and organizational measures in a manner which ensures that the processing meets the processing requirements, rules and controls stipulated in this Decree by Law, its Executive Regulations and the decisions issued to implement the same.

6. Provide the Bureau, pursuant to a decision made by the competent judicial authority, with any information it requests in implementation of its powers stipulated in this Decree by Law and its Executive Regulations.

7. Any other obligations set out in the Executive Regulations of this Decree by Law.