अगर आपका व्यवसाय अपने ग्राहकों के बारे में कोई भी डेटा इकट्ठा करता है — नाम, मोबाइल नंबर, ईमेल, लोकेशन या फ़ोटो — तो आप व्यक्तिगत डेटा संरक्षण कानून (PDPL) के अधीन हैं। यह कानून 14 सितंबर 2024 से पूरी तरह लागू है, इसकी निगरानी सऊदी डेटा और कृत्रिम बुद्धिमत्ता प्राधिकरण (SDAIA) करता है, और उल्लंघन होने पर 5 मिलियन SAR तक का जुर्माना लग सकता है। यह गाइड सरल शब्दों में बताती है कि आपके व्यवसाय को क्या करना चाहिए, आपके ग्राहकों के क्या अधिकार हैं, और बिना अनावश्यक जटिलता के तैयारी कैसे करें।

व्यक्तिगत डेटा संरक्षण कानून क्या है?

यह शाही फ़रमान संख्या (M/19) द्वारा जारी किया गया एक सऊदी कानून है, जो यह नियंत्रित करता है कि किंगडम के भीतर व्यक्तिगत डेटा कैसे इकट्ठा, प्रोसेस, संग्रहीत और साझा किया जाता है। इसका उद्देश्य व्यक्तियों की निजता की रक्षा करना और यह सुनिश्चित करना है कि व्यवसाय उनके डेटा को ज़िम्मेदारी और पारदर्शिता के साथ संभालें। यह कानून 14 सितंबर 2023 को लागू हुआ, अनुपालन के लिए एक वर्ष की रियायत अवधि के साथ, जो 14 सितंबर 2024 को समाप्त हुई; इसके बाद यह पूरी तरह बाध्यकारी हो गया।

यह कानून किस पर लागू होता है?

यह किसी भी संस्था — सरकारी या निजी — पर लागू होता है जो किसी भी माध्यम से किंगडम के भीतर व्यक्तियों के व्यक्तिगत डेटा को प्रोसेस करती है। इसमें ऑनलाइन स्टोर, ऐप, क्लिनिक, रेस्तरां, रियल एस्टेट कंपनियाँ और ग्राहक आधार रखने वाला हर व्यवसाय शामिल है। अगर किंगडम के बाहर की संस्थाएँ यहाँ के निवासियों का डेटा प्रोसेस करती हैं, तो इसका दायरा उन तक भी पहुँचता है। संक्षेप में: अगर आपके पास ग्राहकों का डेटा है, तो यह कानून आपसे जुड़ा है।

डेटा विषय (आपके ग्राहक) के क्या अधिकार हैं?

यह कानून व्यक्तियों को उनके डेटा पर अधिकारों का एक स्पष्ट समूह देता है, जिनमें सबसे प्रमुख हैं:

  • सूचित किए जाने का अधिकार: यह जानना कि उनका डेटा क्यों इकट्ठा किया जा रहा है और उसका उपयोग कैसे होगा।
  • पहुँच का अधिकार: आपके पास उनके बारे में मौजूद डेटा देखना और उसकी एक प्रति प्राप्त करना।
  • सुधार का अधिकार: अपने डेटा में संशोधन, अद्यतन या उसे पूरा करने का अनुरोध करना।
  • नष्ट करने का अधिकार: जब डेटा की ज़रूरत न रहे, तो उसे मिटाने का अनुरोध करना।

व्यवसाय (डेटा नियंत्रक) के दायित्व क्या हैं?

  • प्रोसेसिंग का कानूनी आधार: बिना औचित्य के डेटा इकट्ठा न करें; सामान्य नियम व्यक्ति की सहमति लेना है।
  • एक स्पष्ट गोपनीयता नीति: ऐसी नीति प्रकाशित करें जो बताए कि आप क्या इकट्ठा करते हैं, क्यों और उसकी सुरक्षा कैसे करते हैं।
  • डेटा न्यूनीकरण: केवल उतना ही इकट्ठा करें जितना उद्देश्य पूरा करने के लिए ज़रूरी है — उससे अधिक नहीं।
  • उल्लंघन की सूचना: निजता को खतरे में डालने वाले किसी भी लीक की सूचना प्राधिकरण को (और ज़रूरत होने पर डेटा विषय को) दें।
  • सीमा-पार हस्तांतरण पर नियंत्रण: किंगडम के बाहर व्यक्तिगत डेटा के हस्तांतरण संबंधी विनियम के अनुरूप।

उल्लंघन पर क्या दंड हैं?

दंड उल्लंघन के प्रकार के अनुसार बढ़ते जाते हैं:

  • संवेदनशील डेटा का खुलासा या हस्तांतरण नुकसान पहुँचाने के इरादे से या निजी लाभ के लिए: दो वर्ष तक की कैद और/या 3 मिलियन SAR तक का जुर्माना।
  • अन्य उल्लंघन: चेतावनी या 5 मिलियन SAR तक का जुर्माना, जिसे बार-बार उल्लंघन पर दोगुना किया जा सकता है।

इससे भी अहम बात यह है कि आर्थिक दंड ही एकमात्र जोखिम नहीं है; डेटा लीक के बाद ग्राहकों का भरोसा खोना आपके व्यवसाय को जुर्माने से कहीं ज़्यादा महँगा पड़ सकता है।

अपने व्यवसाय को अनुपालन के लिए कैसे तैयार करें?

  • अपने डेटा को जानें: पता लगाएँ कि आप कौन-सा डेटा इकट्ठा करते हैं, वह कहाँ संग्रहीत है और उस तक किसकी पहुँच है।
  • एक स्पष्ट गोपनीयता नीति प्रकाशित करें अपनी वेबसाइट और ऐप पर, सरल और समझने योग्य भाषा में।
  • स्पष्ट सहमति लागू करें डेटा इकट्ठा करने से पहले, और बाद में सहमति वापस लेने का विकल्प दें।
  • सुरक्षित भंडारण: एन्क्रिप्शन, सीमित पहुँच अनुमतियाँ, और जिसकी अब ज़रूरत नहीं उसे मिटाना।
  • एक प्रक्रिया तैयार करें ग्राहकों के अनुरोधों (पहुँच, सुधार, मिटाना) का जवाब देने और उल्लंघनों की रिपोर्ट करने के लिए।

Origami आपकी कैसे मदद करता है

Origami में हम प्राइवेसी-बाय-डिज़ाइन सिद्धांत पर सिस्टम और ऐप बनाते हैं: संवेदनशील डेटा का एन्क्रिप्शन, सहमति प्रबंधन, पहुँच का लॉग, और अंतर्निहित मिटाने व सुधारने की व्यवस्था। चाहे आप नया सिस्टम बना रहे हों या अपने मौजूदा सिस्टम को डेटा संरक्षण आवश्यकताओं के अनुरूप ढाल रहे हों, तकनीकी पक्ष हम संभालते हैं ताकि आप अपने व्यवसाय के अनुपालन को लेकर निश्चिंत रह सकें।

अक्सर पूछे जाने वाले प्रश्न

क्या यह कानून छोटे व्यवसायों पर भी लागू होता है? हाँ, आकार के आधार पर कोई छूट नहीं है; व्यक्तियों का डेटा प्रोसेस करने वाला हर व्यवसाय इस कानून के अधीन है।

क्या वेबसाइट पर गोपनीयता नीति होना काफ़ी है? गोपनीयता नीति एक महत्वपूर्ण कदम है, लेकिन अकेले पर्याप्त नहीं; कानून के तहत डेटा इकट्ठा करने, उसकी सुरक्षा करने, उस तक पहुँच देने और उसे मिटाने में वास्तविक अनुपालन ज़रूरी है।

अगर मेरे ग्राहकों का डेटा लीक हो जाए तो मैं क्या करूँ? कमज़ोरी को तुरंत ठीक करें, घटना का दस्तावेज़ बनाएँ, आवश्यकता के अनुसार प्राधिकरण को सूचित करें, और जहाँ ज़रूरी हो प्रभावित व्यक्तियों को बताएँ।

अपने ग्राहकों के डेटा की सुरक्षा अब सिर्फ़ प्रतिस्पर्धी बढ़त नहीं है; यह एक कानूनी दायित्व है जिसकी अनदेखी जुर्माना और भरोसे की हानि लाती है।

अगर आप डेटा संरक्षण अनुपालन के लिए अपने व्यवसाय की तैयारी का आकलन करना चाहते हैं, या ऐसा सिस्टम बनाना चाहते हैं जो डिज़ाइन से ही निजता का सम्मान करे, तो Origami टीम के साथ एक छोटी कॉल बुक करें या हमसे WhatsApp पर संपर्क करें।

आधिकारिक स्रोत