Pada awal Juli 2026, Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA) mulai mengedarkan Formulir Verifikasi Kepatuhan PDPL kepada organisasi yang terdaftar sebagai pengendali data. Ini bukan sekadar formalitas. Ini adalah permintaan resmi agar bisnis Anda membuktikan — dengan dokumen dan bukti — bahwa bisnis Anda mengumpulkan, memproses, dan menyimpan data pribadi sesuai dengan Undang-Undang Perlindungan Data Pribadi (PDPL). Kesimpulan praktisnya: setiap organisasi yang menangani data pelanggan atau karyawan sebaiknya mengumpulkan buktinya sekarang, karena setiap kekurangan yang terungkap selama peninjauan ini dapat membuatnya terkena sanksi hingga 5 juta SAR.

Apa itu Formulir Verifikasi Kepatuhan?

Formulir ini adalah dokumen resmi — bertanggal 7 Juli 2026 — yang dikirim SDAIA kepada pengendali data terdaftarnya, yang meminta mereka menjelaskan dan membuktikan cara mereka mematuhi PDPL. Sederhananya: mengatakan bahwa Anda patuh tidak lagi cukup; Anda harus menunjukkan kebijakan, catatan, dan kontrol yang membuktikannya. Formulir ini mencakup seluruh siklus hidup tata kelola data Anda, sejak data dikumpulkan hingga saat data dimusnahkan.

Apa sebenarnya yang diminta formulir ini?

Formulir ini meminta bukti di sembilan area inti. Masing-masing layak ditinjau baris demi baris:

  • Pengumpulan, pemrosesan, dan penyimpanan: bagaimana Anda mengumpulkan data pribadi, di mana Anda menyimpannya, dan bagaimana Anda memprosesnya.
  • Kerangka dan kebijakan tata kelola: kebijakan tertulis yang disetujui untuk privasi dan perlindungan data.
  • Dasar hukum pemrosesan: landasan hukum untuk setiap kegiatan pemrosesan (persetujuan, kontrak, kewajiban hukum, dan sebagainya).
  • Pengelolaan pihak ketiga: bagaimana Anda mengawasi pemroses dan vendor yang menerima data dari Anda.
  • Penyimpanan dan pemusnahan data: masa penyimpanan yang ditetapkan dan proses penghapusan yang aman ketika data tidak lagi diperlukan.
  • Hak subjek data: mekanisme yang memungkinkan individu mengakses, memperbaiki, dan menghapus data mereka.
  • Transfer data lintas batas: kontrol dan pengamanan untuk memindahkan data ke luar Kerajaan.
  • Respons insiden: rencana untuk menangani dan melaporkan kebocoran data.
  • Petugas Pelindungan Data (DPO): siapa yang mengawasi kepatuhan di dalam organisasi Anda.

Mengapa sekarang? SDAIA meningkatkan penegakan

Formulir ini tidak muncul begitu saja. PDPL sudah dapat ditegakkan sejak September 2023, dan selama setahun terakhir komite khusus SDAIA telah mengeluarkan 48 keputusan terhadap organisasi yang terbukti melanggar — gelombang putusan substantif yang pertama. Pola yang jelas terus berulang: mengumpulkan dan memproses data tanpa dasar hukum, pengamanan teknis dan organisasi yang lemah, serta mengirim pesan pemasaran tanpa persetujuan sebelumnya (pelanggaran yang meluas di sektor ritel, telekomunikasi, dan jasa keuangan). Mengedarkan formulir verifikasi adalah langkah logis berikutnya: beralih dari menanggapi keluhan menuju kewajiban bagi organisasi untuk membuktikan kepatuhan secara proaktif.

Sanksi: berapa harga ketidakpatuhan?

Risikonya bersifat finansial sekaligus hukum. Denda mencapai 5 juta SAR per pelanggaran dan dapat berlipat dua untuk pelanggaran berulang. Dalam kasus paling serius — seperti mengungkapkan data sensitif dengan niat merugikan atau demi keuntungan pribadi — perkaranya meningkat menjadi tanggung jawab pidana, termasuk hukuman penjara. Tambahkan kerugian tidak langsung: hilangnya kepercayaan pelanggan, kesepakatan yang macet, dan rusaknya reputasi. Pesannya jelas: kepatuhan bukan lagi pilihan atau sesuatu yang bisa ditunda.

Cara menyiapkan bisnis Anda: daftar periksa praktis

Jangan menunggu formulir tiba untuk memulai. Mulailah sekarang dengan langkah-langkah berikut:

  • Buat peta data: data pribadi apa yang Anda kumpulkan, dari mana, di mana data itu berada, dan siapa yang dapat mengaksesnya.
  • Dokumentasikan dasar hukum untuk setiap kegiatan pemrosesan, dan catat persetujuan pelanggan dengan cara yang dapat dibuktikan.
  • Susun kebijakan privasi, penyimpanan, dan penghapusan — dan pastikan kebijakan itu disetujui dan benar-benar diterapkan, bukan hanya di atas kertas.
  • Tinjau kontrak dengan vendor dan penyedia layanan untuk memastikan klausul perlindungan data dan transfer data sudah tercantum.
  • Siapkan proses yang jelas untuk menerima dan menjawab permintaan subjek data (akses, perbaikan, penghapusan) dalam batas waktu yang ditetapkan hukum.
  • Tunjuk petugas pelindungan data, meskipun paruh waktu, sebagai titik akuntabilitas yang jelas.
  • Susun rencana respons insiden agar semua orang tahu siapa melakukan apa ketika terjadi kebocoran.

Sisi teknis: di mana bisnis sebenarnya gagal

Sebagian besar kekurangan bukan soal niat — melainkan soal sistem. Banyak organisasi memiliki kebijakan privasi tertulis, tetapi sistem mereka tidak menerapkannya: data pelanggan disalin ke banyak sekali spreadsheet dan berkas, tidak ada cara otomatis untuk menghapusnya setelah masa penyimpanan berakhir, dan tidak ada log yang menunjukkan siapa mengakses apa dan kapan. Di sinilah kepatuhan berubah dari dokumen menjadi rekayasa. Dalam praktiknya, itu berarti: kontrol akses, enkripsi data sensitif, log audit yang membuktikan setiap operasi, penyimpanan dan penghapusan otomatis, antarmuka yang memungkinkan subjek data menggunakan hak mereka, serta kontrol teknis atas setiap transfer ke luar Kerajaan. Formulir ini menanyakan kemampuan-kemampuan tersebut, dan jawaban yang jujur memerlukan sistem, bukan janji.

Bagaimana Origami membantu

Sebagai perusahaan teknologi, kami memperlakukan kepatuhan sebagai masalah rekayasa yang dapat diselesaikan. Kami membantu organisasi mengubah persyaratan PDPL menjadi kontrol nyata di dalam sistem mereka: peta data yang akurat, manajemen persetujuan, kebijakan penyimpanan dan penghapusan otomatis, log audit, dasbor untuk mengelola permintaan subjek data, dan kontrol transfer lintas batas. Tujuannya adalah agar jawaban Anda atas formulir verifikasi bukan sekadar kata-kata, melainkan sistem yang membuktikan kepatuhan Anda secara otomatis setiap kali SDAIA memintanya.

Kesimpulan

Diedarkannya Formulir Verifikasi Kepatuhan menandakan bahwa masa tenggang telah berakhir dan SDAIA mulai mewajibkan pembuktian kepatuhan secara proaktif. Bisnis yang menyiapkan data dan sistemnya sekarang akan memperlakukan formulir ini sebagai hal rutin; mereka yang menunda mungkin baru menemukan kekurangannya pada saat yang paling buruk — di tengah peninjauan itu sendiri. Mulailah dengan peta data Anda hari ini.

Sumber

  • Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA) — Regulasi dan Kebijakan: sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form (Juli 2026): clydeco.com
  • IAPP — Otoritas perlindungan data Arab Saudi meningkatkan penegakan: iapp.org