All'inizio di luglio 2026, l'Autorità saudita per i dati e l'intelligenza artificiale (SDAIA) ha iniziato a inviare un modulo di verifica della conformità alla PDPL alle organizzazioni registrate come titolari del trattamento. Non è una formalità. È una richiesta ufficiale affinché la tua azienda dimostri, con documenti e prove, di raccogliere, trattare e conservare i dati personali in conformità con la Legge sulla protezione dei dati personali (PDPL). Il messaggio pratico: ogni organizzazione che gestisce dati di clienti o dipendenti dovrebbe raccogliere ora le proprie prove, perché qualsiasi lacuna emersa durante questa verifica può esporla a sanzioni fino a 5 milioni di SAR.

Che cos'è il modulo di verifica della conformità?

È un documento ufficiale, datato 7 luglio 2026, che la SDAIA invia ai titolari del trattamento registrati chiedendo loro di descrivere e documentare come rispettano la PDPL. In parole semplici: dire di essere conformi non basta più; bisogna produrre le politiche, i registri e i controlli che lo dimostrano. Il modulo copre l'intero ciclo di vita della governance dei dati, dal momento in cui i dati vengono raccolti al momento in cui vengono distrutti.

Cosa chiede esattamente il modulo?

Il modulo richiede prove in nove aree fondamentali. Vale la pena esaminarle una per una, riga per riga:

  • Raccolta, trattamento e conservazione: come acquisisci i dati personali, dove li conservi e come li tratti.
  • Quadri e politiche di governance: politiche scritte e approvate sulla privacy e sulla protezione dei dati.
  • Base giuridica del trattamento: il fondamento legale di ogni attività di trattamento (consenso, contratto, obbligo di legge e così via).
  • Gestione delle terze parti: come supervisioni i responsabili del trattamento e i fornitori con cui condividi i dati.
  • Conservazione e distruzione dei dati: periodi di conservazione definiti e una procedura di cancellazione sicura quando i dati non servono più.
  • Diritti degli interessati: un meccanismo che consenta alle persone di accedere ai propri dati, rettificarli e cancellarli.
  • Trasferimenti transfrontalieri di dati: controlli e garanzie per il trasferimento dei dati al di fuori del Regno.
  • Risposta agli incidenti: un piano per gestire e notificare le violazioni dei dati.
  • Responsabile della protezione dei dati (DPO): chi supervisiona la conformità all'interno della tua organizzazione.

Perché ora? La SDAIA intensifica i controlli

Il modulo non è nato dal nulla. La PDPL è diventata applicabile già a settembre 2023 e nell'ultimo anno i comitati specializzati della SDAIA hanno emesso 48 decisioni contro organizzazioni risultate in violazione: la prima ondata sostanziale di provvedimenti. Si sono ripetuti schemi chiari: raccolta e trattamento di dati senza base giuridica, misure tecniche e organizzative deboli e invio di messaggi di marketing senza consenso preventivo (una violazione diffusa nel commercio al dettaglio, nelle telecomunicazioni e nei servizi finanziari). L'invio del modulo di verifica è il passo logico successivo: passare dal reagire ai reclami al richiedere alle organizzazioni di dimostrare la propria conformità in modo proattivo.

Le sanzioni: quanto costa la non conformità?

Il rischio è sia finanziario sia legale. Le multe arrivano a 5 milioni di SAR per violazione e possono raddoppiare in caso di recidiva. Nei casi più gravi, come la divulgazione di dati sensibili con l'intento di nuocere o per vantaggio personale, la questione arriva alla responsabilità penale, inclusa la reclusione. A ciò si aggiunge il danno indiretto: perdita di fiducia dei clienti, trattative bloccate e danni alla reputazione. Il messaggio è chiaro: la conformità non è più facoltativa né qualcosa da rimandare.

Come preparare la tua azienda: una checklist pratica

Non aspettare che arrivi il modulo per iniziare. Comincia ora con questi passi:

  • Costruisci una mappa dei dati: quali dati personali raccogli, da dove, dove si trovano e chi può accedervi.
  • Documenta la base giuridica di ogni attività di trattamento e registra il consenso dei clienti in modo dimostrabile.
  • Redigi politiche di privacy, conservazione e cancellazione, e assicurati che siano approvate e applicate davvero, non solo sulla carta.
  • Rivedi i contratti con fornitori e prestatori di servizi per assicurarti che contengano clausole sulla protezione e sul trasferimento dei dati.
  • Predisponi un processo chiaro per ricevere e rispondere alle richieste degli interessati (accesso, rettifica, cancellazione) entro i termini di legge.
  • Nomina un responsabile della protezione dei dati, anche part-time, come chiaro punto di responsabilità.
  • Prepara un piano di risposta agli incidenti, in modo che tutti sappiano chi fa cosa quando si verifica una violazione.

Il lato tecnico: dove le aziende falliscono davvero

La maggior parte delle lacune non riguarda le intenzioni, ma i sistemi. Molte organizzazioni hanno una politica sulla privacy scritta, ma i loro sistemi non la applicano: i dati dei clienti vengono copiati in innumerevoli fogli di calcolo e file, non esiste un modo automatizzato per cancellarli al termine del periodo di conservazione e non c'è alcun registro che mostri chi ha avuto accesso a cosa e quando. È qui che la conformità passa da documento a ingegneria. In pratica significa: controlli degli accessi, cifratura dei dati sensibili, registri di audit che documentano ogni operazione, conservazione e cancellazione automatizzate, un'interfaccia che consenta agli interessati di esercitare i propri diritti e controlli tecnici su qualsiasi trasferimento al di fuori del Regno. Il modulo chiede di queste capacità, e una risposta onesta richiede un sistema, non una promessa.

Come aiuta Origami

In quanto azienda tecnologica, trattiamo la conformità come un problema ingegneristico risolvibile. Aiutiamo le organizzazioni a trasformare i requisiti della PDPL in controlli reali all'interno dei loro sistemi: mappe dei dati accurate, gestione del consenso, politiche automatizzate di conservazione e cancellazione, registri di audit, dashboard per gestire le richieste degli interessati e controlli sui trasferimenti transfrontalieri. L'obiettivo è che la tua risposta al modulo di verifica non sia fatta solo di parole, ma di un sistema che dimostri automaticamente la tua conformità ogni volta che la SDAIA lo chiede.

Conclusione

L'invio del modulo di verifica della conformità segnala che il periodo di tolleranza è finito e che la SDAIA sta passando a richiedere una prova proattiva della conformità. Le aziende che preparano ora i propri dati e sistemi tratteranno il modulo come una routine; quelle che rimandano potrebbero scoprire le proprie lacune nel momento peggiore possibile, cioè durante la verifica stessa. Inizia oggi dalla tua mappa dei dati.

Fonti

  • Autorità saudita per i dati e l'intelligenza artificiale (SDAIA) — Regolamenti e politiche: sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form (luglio 2026): clydeco.com
  • IAPP — L'autorità per la protezione dei dati dell'Arabia Saudita intensifica i controlli: iapp.org