كشفت الهيئة الوطنية للأمن السيبراني، مسودة قواعد تنظيم الإبلاغ عن المخالفات، وأشارت إلى أنها تتلقى البلاغات من خلال الموقع الإلكتروني أو من خلال أي وسيلة أخرى تحددها وعبر الوسائل المنصوص عليها في المسودة وفق نماذج تعتمدها لهذا الغرض، على أن تتضمن معلومات عن اسم المُبلِّغ، ورقم هويته، وعنوانه، وبيانات التواصل معه، واسم المُبلَّغ عنه، وعنوانه، وبيانات التواصل معه، ووصف المخالفة، وطبيعتها، ومكانها بشكل دقيق وكامل مع البيانات والوثائق والأدلة الداعمة للبلاغ. وإبداء رغبة المُبلِّغ في الحصول على المكافأة من عدمها. وأضافت المسودة المقترحة، أنه يجوز للهيئة تلقي البلاغات بشكل مجهول، ويسقط في هذه الحالة حق المبلِّغ في الحصول على المكافأة. وتمنح الهيئة المُبلغ المكافأة وفقاً لسلطتها التقديرية، على أن تراعي شروطاً عدة، منها ثبوت المخالفة محل البلاغ، وذلك باكتساب قرار ثبوت المخالفة الصفة القطعية؛ إما بصدور حكم قضائي، أو بمضي المدة النظامية للطعن فيه، وأن يكون للبلاغ دور في إثبات المخالفة، وأن يكون المُبلِّغ شخصاً طبيعياً، وألا يكون المُبلِّغ من منسوبي الهيئة، وألا يكون زوجاً أو صهراً أو قريباً حتى الدرجة الرابعة لأي من منسوبي الهيئة، وألا تكون المخالفة قد سبق الإبلاغ عنها، أو كُوفئ عليها من قبل الهيئة، وألا يكون الإبلاغ عن المخالفة من واجبات المبلغ الوظيفية، إذا كان موظفاً عاماً أو ما في حكمه، وألا يدلي المبلغ للآخرين عن أي معلومات متعلقة بالبلاغ، وأن تكون المخالفة محل البلاغ مما عوقب عليها بغرامة مالية، وأن تُحصل الهيئة مبلغ الغرامة. وأشارت مسودة هيئة الأمن السيبراني إلى أن مبلغ المكافأة لا يتجاوز 50 ألف ريال، أو ما يعادل (1%) من قيمة الغرامة المالية المحصلة، أيهما أقل. وتراعي عند تحديد مبلغ المكافأة دور البلاغ في إثبات المخالفة؛ بما في ذلك أهمية المعلومات الواردة فيه ودقتها واكتمالها ومدى خطورة المخالفة وأهميتها وحجم المخاطر التي واجهها المبلغ عند تقديم البلاغ، وحجم الأضرار التي كانت ستنجم عن آثار المخالفة لو لم يبلغ عنها، ومدى توافر المعلومات الواردة في البلاغ، وكونها متاحةً للعموم من عدمه، ومدى تعاون المبلغ في حال التواصل معه، ومدى إسهام المبلغ في إقناع أطراف أخرى بالتعاون في شأن موضوع البلاغ.
The National Cybersecurity Authority has revealed a draft of the regulations for reporting violations, indicating that it receives reports through its website or any other means it specifies, and through the methods outlined in the draft according to forms approved for this purpose. The report must include information about the name of the reporter, their identification number, address, contact details, the name of the reported individual, their address, contact details, a description of the violation, its nature, and its location in a precise and complete manner, along with data, documents, and supporting evidence for the report. The reporter must also express their desire to receive a reward or not. The proposed draft added that the authority may receive reports anonymously, in which case the reporter forfeits their right to receive a reward. The authority grants the reporter a reward at its discretion, taking into account several conditions, including the confirmation of the violation subject to the report, which must be established by a final decision; either through a court ruling or the expiration of the legal period to appeal it, that the report played a role in proving the violation, that the reporter is a natural person, that the reporter is not an employee of the authority, that the reporter is not a spouse, in-law, or relative up to the fourth degree of any of the authority’s employees, that the violation has not been previously reported or rewarded by the authority, that reporting the violation is not part of the reporter’s job responsibilities if they are a public employee or equivalent, that the reporter does not disclose any information related to the report to others, that the violation subject to the report has been penalized with a financial fine, and that the authority collects the amount of the fine. The draft from the Cybersecurity Authority indicated that the reward amount does not exceed 50,000 riyals, or the equivalent of (1%) of the collected financial fine, whichever is less. When determining the reward amount, the authority considers the role of the report in proving the violation; including the importance of the information contained in it, its accuracy and completeness, the severity and significance of the violation, the level of risks faced by the reporter when submitting the report, the extent of damages that would have resulted from the effects of the violation if it had not been reported, the availability of the information contained in the report, whether it is accessible to the public or not, the level of cooperation from the reporter if contacted, and the extent to which the reporter contributed to convincing other parties to cooperate regarding the subject of the report.
