2026 年 7 月初旬、サウジアラビアデータ・人工知能庁 (SDAIA) は、データ管理者として登録されている組織に対して PDPL 遵守確認フォームの送付を開始しました。これは形式的な手続きではありません。あなたの会社が個人データ保護法 (PDPL) に沿って個人データを収集・処理・保存していることを、文書と証拠によって証明するよう求める公式の要請です。実務上の結論はこうです。顧客や従業員のデータを扱うすべての組織は今すぐ証拠をそろえるべきです。この審査で明らかになった不備は、最大 500 万 SAR の罰則につながりかねないからです。

遵守確認フォームとは何か

2026 年 7 月 7 日付の公式文書で、SDAIA が登録済みのデータ管理者に送付し、PDPL をどのように遵守しているかを説明し、証明するよう求めるものです。平たく言えば、「遵守している」と言うだけではもう足りません。それを証明するポリシー、記録、管理策を提示しなければなりません。このフォームは、データが収集された瞬間から破棄される瞬間まで、データガバナンスのライフサイクル全体を対象としています。

フォームは具体的に何を求めているのか

フォームは九つの中核分野について証拠を求めています。それぞれを一行ずつ確認する価値があります。

  • 収集、処理、保存：個人データをどのように取得し、どこに保存し、どのように処理しているか。
  • ガバナンスの枠組みとポリシー：データのプライバシーと保護に関する、文書化され承認されたポリシー。
  • 処理の法的根拠：各処理活動の適法な根拠（同意、契約、法的義務など）。
  • 第三者の管理：データを共有する処理者や委託先をどのように監督しているか。
  • データの保存と破棄：定められた保存期間と、データが不要になった際の安全な削除手順。
  • データ主体の権利：個人が自分のデータにアクセスし、訂正し、削除できる仕組み。
  • 越境データ移転：王国外へデータを移転する際の管理策と保護措置。
  • インシデント対応：データ漏えいに対処し、報告するための計画。
  • データ保護責任者 (DPO)：組織内で誰がコンプライアンスを監督しているか。

なぜ今なのか――SDAIA は執行を強化している

このフォームは突然現れたわけではありません。PDPL は 2023 年 9 月にすでに執行可能となっており、過去一年間に SDAIA の専門委員会は違反が認められた組織に対して 48 件の決定を下しました。これは最初の本格的な決定の波です。そこには明確なパターンが繰り返し見られました。法的根拠のないデータの収集と処理、脆弱な技術的・組織的保護措置、そして事前の同意なしでのマーケティングメッセージの送信（小売、通信、金融サービスで広く見られる違反）です。確認フォームの送付は論理的な次の一歩です。苦情への対応から、組織に遵守を積極的に証明させる方向への転換なのです。

罰則：違反の代償はどれほどか

リスクは金銭面と法的な面の両方にあります。罰金は違反一件につき最大 500 万 SAR に達し、再違反の場合は倍額になることがあります。最も深刻なケース――たとえば危害を加える意図で、あるいは私的な利益のために機微データを開示した場合――では、禁錮を含む刑事責任にまで発展します。これに間接的な損害が加わります。顧客の信頼の喪失、取引の停滞、評判の毀損です。メッセージは明確です。コンプライアンスはもはや任意でも、先送りできるものでもありません。

会社を準備する方法：実践的なチェックリスト

フォームが届くのを待ってから始めてはいけません。今すぐ次のステップから着手してください。

  • データマップを作成する：どの個人データを、どこから収集し、どこに保管し、誰がアクセスできるか。
  • すべての処理活動について法的根拠を文書化し、顧客の同意を証明可能な形で記録する。
  • プライバシー、保存、削除のポリシーを策定する――そして、それが承認され、紙の上だけでなく実際に運用されていることを確認する。
  • 委託先やサービス提供者との契約を見直し、データ保護と移転に関する条項が盛り込まれていることを確認する。
  • データ主体からの請求（アクセス、訂正、削除）を受け付け、法定期間内に回答する明確なプロセスを整える。
  • 明確な責任の所在として、非常勤であってもデータ保護責任者を任命する。
  • 漏えいが起きたときに誰が何をするのかを全員が把握できるよう、インシデント対応計画を作成する。

技術面：企業が実際につまずくところ

ほとんどの不備は意図の問題ではなく、システムの問題です。多くの組織には文書化されたプライバシーポリシーがありますが、システムがそれを実行していません。顧客データは無数のスプレッドシートやファイルにコピーされ、保存期間が終わっても自動で削除する手段がなく、誰がいつ何にアクセスしたかを示すログもありません。ここで、コンプライアンスは文書からエンジニアリングへと変わります。実際には、アクセス制御、機微データの暗号化、すべての操作を証明する監査ログ、自動化された保存と削除、データ主体が権利を行使できるインターフェース、そして王国外へのあらゆる移転に対する技術的管理を意味します。フォームはこうした能力について尋ねており、誠実に回答するには約束ではなくシステムが必要です。

Origami の支援

テクノロジー企業として、私たちはコンプライアンスを解決可能なエンジニアリングの課題として扱います。組織が PDPL の要件をシステム内の実際の管理策に落とし込めるよう支援します。正確なデータマップ、同意管理、自動化された保存・削除ポリシー、監査ログ、データ主体からの請求を管理するダッシュボード、そして越境移転の管理です。目指すのは、確認フォームへの回答が単なる言葉ではなく、SDAIA が求めるたびに遵守を自動的に証明するシステムになることです。

まとめ

遵守確認フォームの送付は、猶予期間が終わり、SDAIA が遵守の積極的な証明を求める段階に移りつつあることを示しています。今のうちにデータとシステムを整えた企業は、このフォームを日常業務として処理できるでしょう。先送りした企業は、最悪のタイミング――審査そのものの最中――に不備に気づくかもしれません。今日、データマップから始めましょう。

出典

  • サウジアラビアデータ・人工知能庁 (SDAIA) — 規則とポリシー：sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form（2026 年 7 月）：clydeco.com
  • IAPP — サウジアラビアのデータ保護当局が執行を強化：iapp.org