Se la tua azienda raccoglie qualsiasi dato sui propri clienti — nome, numero di cellulare, e-mail, posizione o foto — è soggetta alla Legge sulla protezione dei dati personali (PDPL). La legge è pienamente applicabile dal 14 settembre 2024, è sottoposta alla vigilanza dell'Autorità saudita per i dati e l'intelligenza artificiale (SDAIA), e le violazioni possono comportare sanzioni fino a 5 milioni di SAR. Questa guida spiega, in termini semplici, cosa deve fare la tua azienda, quali diritti hanno i tuoi clienti e come prepararti senza complicazioni inutili.

Che cos'è la Legge sulla protezione dei dati personali?

È una legge saudita emanata con Regio Decreto n. (M/19) che disciplina il modo in cui i dati personali vengono raccolti, trattati, conservati e condivisi all'interno del Regno. Il suo obiettivo è tutelare la privacy delle persone e garantire che le aziende gestiscano i loro dati in modo responsabile e trasparente. La legge è entrata in vigore il 14 settembre 2023, con un periodo di tolleranza di un anno per l'adeguamento terminato il 14 settembre 2024, dopodiché è diventata pienamente vincolante.

A chi si applica la legge?

Si applica a qualsiasi soggetto — pubblico o privato — che tratti dati personali di persone all'interno del Regno, con qualsiasi mezzo. Ciò include negozi online, app, cliniche, ristoranti, agenzie immobiliari e qualsiasi attività che gestisca una base clienti. La sua portata si estende persino a soggetti al di fuori del Regno, se trattano dati di residenti. In breve: se possiedi dati dei clienti, la legge ti riguarda.

Quali diritti ha l'interessato (il tuo cliente)?

La legge riconosce alle persone un insieme chiaro di diritti sui propri dati, tra cui in particolare:

  • Diritto di essere informati: sapere perché i propri dati vengono raccolti e come saranno utilizzati.
  • Diritto di accesso: consultare i dati che detieni su di loro e ottenerne una copia.
  • Diritto di rettifica: chiedere che i propri dati vengano modificati, aggiornati o completati.
  • Diritto alla distruzione: chiedere la cancellazione dei propri dati quando non sono più necessari.

Quali sono gli obblighi dell'azienda (titolare del trattamento)?

  • Una base giuridica per il trattamento: non raccogliere dati senza giustificazione; la regola è ottenere il consenso della persona.
  • Un'informativa sulla privacy chiara: pubblica un'informativa che spieghi cosa raccogli, perché e come lo proteggi.
  • Minimizzazione dei dati: raccogli solo ciò che ti serve per raggiungere lo scopo, niente di più.
  • Notifica delle violazioni: notifica all'Autorità (e all'interessato, ove richiesto) qualsiasi fuga di dati che minacci la privacy.
  • Controlli sui trasferimenti transfrontalieri: in conformità con il Regolamento sul trasferimento dei dati personali al di fuori del Regno.

Quali sono le sanzioni per le violazioni?

Le sanzioni aumentano in base al tipo di violazione:

  • Divulgazione o trasferimento di dati sensibili con l'intento di nuocere o per vantaggio personale: reclusione fino a due anni e/o multa fino a 3 milioni di SAR.
  • Altre violazioni: un avvertimento o una sanzione fino a 5 milioni di SAR, che può essere raddoppiata in caso di recidiva.

Ancora più importante, la sanzione pecuniaria non è l'unico rischio: perdere la fiducia dei clienti dopo una fuga di dati può costare alla tua azienda molto più della multa stessa.

Come preparare la tua azienda alla conformità?

  • Conosci i tuoi dati: mappa quali dati raccogli, dove sono conservati e chi può accedervi.
  • Pubblica un'informativa sulla privacy chiara sul tuo sito web e nella tua app, con un linguaggio semplice e comprensibile.
  • Implementa il consenso esplicito prima di raccogliere i dati, con la possibilità di revocarlo in seguito.
  • Conservazione sicura: crittografia, permessi di accesso limitati e cancellazione di ciò che non ti serve più.
  • Predisponi una procedura per rispondere alle richieste dei clienti (accesso, rettifica, cancellazione) e per segnalare le violazioni.

Come ti aiuta Origami

In Origami realizziamo sistemi e app secondo il principio della privacy by design: crittografia dei dati sensibili, gestione del consenso, registrazione degli accessi e meccanismi integrati di cancellazione e rettifica. Che tu stia costruendo un nuovo sistema o adeguando quello esistente ai requisiti di protezione dei dati, ci occupiamo noi della parte tecnica, così puoi stare tranquillo sulla conformità della tua azienda.

Domande frequenti

La legge riguarda anche le piccole imprese? Sì, non c'è alcuna esenzione in base alle dimensioni; qualsiasi azienda che tratti dati di persone è soggetta alla legge.

Basta un'informativa sulla privacy sul sito web? L'informativa sulla privacy è un passo importante, ma da sola non è sufficiente; ciò che si richiede è una conformità effettiva nella raccolta, protezione, accesso e cancellazione dei dati ai sensi della legge.

Cosa faccio se i dati dei miei clienti vengono divulgati? Correggi subito la vulnerabilità, documenta l'incidente, notificalo all'Autorità come richiesto e informa le persone interessate quando necessario.

Proteggere i dati dei tuoi clienti non è più solo un vantaggio competitivo; è un obbligo di legge la cui trascuratezza comporta sanzioni e perdita di fiducia.

Se vuoi valutare quanto la tua azienda sia pronta per la conformità in materia di protezione dei dati, o realizzare un sistema che rispetti la privacy fin dalla progettazione, prenota una breve chiamata con il team di Origami o scrivici su WhatsApp.

Fonti ufficiali