貴社が顧客に関するデータ——氏名、携帯電話番号、メールアドレス、位置情報、写真——を少しでも収集しているなら、個人データ保護法（PDPL）の対象となります。本法は2024年9月14日から全面的に施行されており、サウジデータ・人工知能庁（SDAIA）が監督し、違反には最大500万SARの罰金が科される可能性があります。本ガイドでは、貴社がすべきこと、顧客が持つ権利、そして不必要に複雑にせずに準備する方法をわかりやすく説明します。

個人データ保護法とは？

勅令第(M/19)号により制定されたサウジアラビアの法律で、王国内における個人データの収集、処理、保存、共有の方法を規律しています。その目的は、個人のプライバシーを保護し、企業がデータを責任をもって透明性のある形で取り扱うようにすることです。本法は2023年9月14日に発効し、遵守のための一年間の猶予期間が設けられました。猶予期間は2024年9月14日に終了し、それ以降は完全に拘束力を持つようになりました。

本法は誰に適用されるのか？

手段を問わず、王国内の個人の個人データを処理するあらゆる事業体（公的・民間を問わない）に適用されます。これにはオンラインストア、アプリ、クリニック、レストラン、不動産会社、そして顧客基盤を持つあらゆる事業が含まれます。居住者のデータを処理する場合は、王国外の事業体にまで適用範囲が及びます。要するに、顧客データを保有しているなら、本法はあなたに関係があります。

データ主体（顧客）にはどのような権利があるのか？

本法は、個人に対して自身のデータに関する明確な権利を付与しています。主なものは次のとおりです。

  • 情報を受ける権利：自分のデータがなぜ収集され、どのように利用されるのかを知る権利。
  • アクセス権：あなたが保有している自分に関するデータを閲覧し、その写しを入手する権利。
  • 訂正権：自分のデータの修正、更新、補完を求める権利。
  • 破棄権：データが不要になった時点でその削除を求める権利。

企業（データ管理者）の義務とは？

  • 処理の法的根拠：正当な理由なくデータを収集しないこと。原則は本人の同意を得ることです。
  • 明確なプライバシーポリシー：何を、なぜ収集し、どのように保護するのかを説明するポリシーを公開すること。
  • データの最小化：目的の達成に必要なものだけを収集し、それ以上は収集しないこと。
  • 漏えいの通知：プライバシーを脅かす漏えいが発生した場合は、当局（および必要に応じてデータ主体）に通知すること。
  • 越境移転の管理：王国外への個人データ移転に関する規則に従うこと。

違反に対する罰則は？

罰則は違反の種類に応じて重くなります。

  • 機微データの開示または移転を、危害を加える意図で、または個人的利益のために行った場合：最長二年の禁錮および／または最大300万SARの罰金。
  • その他の違反：警告または最大500万SARの罰金。再犯の場合は倍額となることがあります。

さらに重要なのは、金銭的な罰則だけがリスクではないということです。データ漏えい後に顧客の信頼を失うことは、罰金そのものよりもはるかに大きな損失を事業にもたらしかねません。

コンプライアンスに向けて事業をどう準備するか？

  • 自社のデータを把握する：どのデータを収集し、どこに保存し、誰がアクセスできるのかを洗い出します。
  • 明確なプライバシーポリシーを公開する：ウェブサイトとアプリに、平易でわかりやすい言葉で掲載します。
  • 明示的な同意を導入する：データ収集の前に同意を得て、後から同意を撤回できる選択肢も用意します。
  • 安全な保存：暗号化、アクセス権限の制限、不要になったデータの削除を行います。
  • 手順を整備する：顧客からの請求（アクセス、訂正、削除）への対応と漏えいの報告のための手順を用意します。

Origamiのサポート

Origamiでは、プライバシー・バイ・デザインの原則に基づいてシステムやアプリを構築しています。機微データの暗号化、同意管理、アクセスログの記録、そして削除・訂正の仕組みを組み込んでいます。新しいシステムを構築する場合でも、既存のシステムをデータ保護の要件に適合させる場合でも、技術面は私たちが担当しますので、貴社のコンプライアンスについて安心していただけます。

よくある質問

本法は小規模事業者にも適用されますか？はい、規模による適用除外はありません。個人のデータを処理するすべての事業が本法の対象です。

ウェブサイトにプライバシーポリシーを掲載すれば十分ですか？プライバシーポリシーは重要な一歩ですが、それだけでは十分ではありません。求められているのは、法に基づくデータの収集、保護、アクセスの提供、削除における実質的な遵守です。

顧客のデータが漏えいしたらどうすればよいですか？直ちに脆弱性を修正し、インシデントを記録し、求められるとおり当局に通知し、必要に応じて影響を受けた個人に知らせてください。

顧客データの保護は、もはや単なる競争上の優位性ではありません。怠れば罰金と信頼の喪失を招く法的義務なのです。

データ保護コンプライアンスに対する貴社の準備状況を評価したい場合や、設計段階からプライバシーを尊重するシステムを構築したい場合は、Origamiチームとの短い通話をご予約いただくか、WhatsAppでお問い合わせください。

公式情報源