Jika bisnis Anda mengumpulkan data apa pun tentang pelanggan — nama, nomor ponsel, email, lokasi, atau foto — Anda tunduk pada Undang-Undang Pelindungan Data Pribadi (PDPL). Undang-undang ini berlaku penuh sejak 14 September 2024, diawasi oleh Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA), dan pelanggaran dapat dikenai denda hingga 5 juta SAR. Panduan ini menjelaskan dengan bahasa sederhana apa yang harus dilakukan bisnis Anda, hak apa saja yang dimiliki pelanggan Anda, dan cara bersiap tanpa kerumitan yang tidak perlu.

Apa itu Undang-Undang Pelindungan Data Pribadi?

Ini adalah undang-undang Saudi yang diterbitkan melalui Dekret Kerajaan No. (M/19) yang mengatur cara data pribadi dikumpulkan, diproses, disimpan, dan dibagikan di dalam Kerajaan. Tujuannya adalah melindungi privasi individu dan memastikan bisnis menangani data mereka secara bertanggung jawab dan transparan. Undang-undang ini mulai berlaku pada 14 September 2023, dengan masa tenggang satu tahun untuk kepatuhan yang berakhir pada 14 September 2024, dan setelah itu menjadi mengikat sepenuhnya.

Kepada siapa undang-undang ini berlaku?

Undang-undang ini berlaku bagi setiap entitas — publik maupun swasta — yang memproses data pribadi individu di dalam Kerajaan, dengan cara apa pun. Ini mencakup toko online, aplikasi, klinik, restoran, perusahaan properti, dan bisnis apa pun yang memiliki basis pelanggan. Jangkauannya bahkan meluas ke entitas di luar Kerajaan jika mereka memproses data penduduknya. Singkatnya: jika Anda menyimpan data pelanggan, undang-undang ini menyangkut Anda.

Apa saja hak subjek data (pelanggan Anda)?

Undang-undang ini memberikan kepada individu serangkaian hak yang jelas atas data mereka, terutama:

  • Hak untuk mendapatkan informasi: mengetahui mengapa data mereka dikumpulkan dan bagaimana data itu akan digunakan.
  • Hak akses: melihat data yang Anda simpan tentang mereka dan mendapatkan salinannya.
  • Hak perbaikan: meminta agar data mereka diubah, diperbarui, atau dilengkapi.
  • Hak pemusnahan: meminta penghapusan data mereka ketika sudah tidak diperlukan.

Apa saja kewajiban bisnis (pengendali data)?

  • Dasar hukum pemrosesan: jangan mengumpulkan data tanpa alasan yang sah; ketentuan dasarnya adalah memperoleh persetujuan individu.
  • Kebijakan privasi yang jelas: terbitkan kebijakan yang menjelaskan apa yang Anda kumpulkan, mengapa, dan bagaimana Anda melindunginya.
  • Minimisasi data: kumpulkan hanya yang Anda perlukan untuk mencapai tujuan — tidak lebih.
  • Pemberitahuan pelanggaran: beri tahu Otoritas (dan subjek data bila diwajibkan) tentang setiap kebocoran yang mengancam privasi.
  • Kontrol transfer lintas batas: sesuai dengan Peraturan tentang Transfer Data Pribadi ke Luar Kerajaan.

Apa sanksi atas pelanggaran?

Sanksi meningkat sesuai jenis pelanggarannya:

  • Mengungkapkan atau mentransfer data sensitif dengan niat merugikan atau demi keuntungan pribadi: pidana penjara hingga dua tahun dan/atau denda hingga 3 juta SAR.
  • Pelanggaran lainnya: teguran atau denda hingga 5 juta SAR, yang dapat dilipatgandakan untuk pelanggaran berulang.

Yang lebih penting, sanksi finansial bukan satu-satunya risiko; kehilangan kepercayaan pelanggan setelah kebocoran data dapat merugikan bisnis Anda jauh lebih besar daripada denda itu sendiri.

Bagaimana mempersiapkan bisnis Anda untuk kepatuhan?

  • Kenali data Anda: petakan data apa yang Anda kumpulkan, di mana data itu disimpan, dan siapa yang dapat mengaksesnya.
  • Terbitkan kebijakan privasi yang jelas di situs web dan aplikasi Anda, dengan bahasa yang sederhana dan mudah dipahami.
  • Terapkan persetujuan eksplisit sebelum mengumpulkan data, dengan opsi untuk menarik persetujuan di kemudian hari.
  • Penyimpanan yang aman: enkripsi, izin akses terbatas, dan penghapusan data yang sudah tidak Anda perlukan.
  • Siapkan prosedur untuk menanggapi permintaan pelanggan (akses, perbaikan, penghapusan) dan untuk melaporkan pelanggaran.

Bagaimana Origami membantu Anda

Di Origami, kami membangun sistem dan aplikasi berdasarkan prinsip privasi sejak desain: enkripsi data sensitif, manajemen persetujuan, pencatatan akses, serta mekanisme penghapusan dan perbaikan bawaan. Baik Anda sedang membangun sistem baru maupun menyesuaikan sistem yang ada dengan persyaratan pelindungan data, kami menangani sisi teknisnya agar Anda tenang soal kepatuhan bisnis Anda.

Pertanyaan yang Sering Diajukan

Apakah undang-undang ini juga berlaku bagi usaha kecil? Ya, tidak ada pengecualian berdasarkan ukuran; setiap bisnis yang memproses data individu tunduk pada undang-undang ini.

Apakah kebijakan privasi di situs web sudah cukup? Kebijakan privasi adalah langkah penting, tetapi tidak cukup dengan sendirinya; yang diwajibkan adalah kepatuhan nyata dalam pengumpulan, pelindungan, pemberian akses, dan penghapusan data sesuai undang-undang.

Apa yang harus saya lakukan jika data pelanggan saya bocor? Segera perbaiki celah keamanannya, dokumentasikan insidennya, beri tahu Otoritas sesuai ketentuan, dan informasikan individu yang terdampak bila diperlukan.

Melindungi data pelanggan Anda bukan lagi sekadar keunggulan kompetitif; ini adalah kewajiban hukum yang jika diabaikan akan mendatangkan denda dan hilangnya kepercayaan.

Jika Anda ingin menilai kesiapan bisnis Anda untuk mematuhi ketentuan pelindungan data, atau membangun sistem yang menghormati privasi sejak desain, jadwalkan panggilan singkat dengan tim Origami atau hubungi kami melalui WhatsApp.

Sumber Resmi