Jika perniagaan anda mengumpul apa-apa data tentang pelanggan anda — nama, nombor telefon bimbit, e-mel, lokasi atau foto — anda tertakluk kepada Undang-undang Perlindungan Data Peribadi (PDPL). Undang-undang ini telah berkuat kuasa sepenuhnya sejak 14 September 2024, diselia oleh Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA), dan pelanggaran boleh dikenakan denda sehingga 5 juta SAR. Panduan ini menerangkan dengan mudah apa yang perlu dilakukan oleh perniagaan anda, apakah hak pelanggan anda dan cara bersedia tanpa kerumitan yang tidak perlu.

Apakah Undang-undang Perlindungan Data Peribadi?

Ia ialah undang-undang Saudi yang dikeluarkan melalui Dekri Diraja No. (M/19) yang mengawal cara data peribadi dikumpul, diproses, disimpan dan dikongsi di dalam Kerajaan. Matlamatnya adalah untuk melindungi privasi individu dan memastikan perniagaan mengendalikan data mereka secara bertanggungjawab dan telus. Undang-undang ini mula berkuat kuasa pada 14 September 2023, dengan tempoh tangguh selama satu tahun untuk pematuhan yang tamat pada 14 September 2024, dan selepas itu ia menjadi mengikat sepenuhnya.

Kepada siapakah undang-undang ini terpakai?

Ia terpakai kepada mana-mana entiti — awam atau swasta — yang memproses data peribadi individu di dalam Kerajaan, melalui apa-apa cara. Ini termasuk kedai dalam talian, aplikasi, klinik, restoran, syarikat hartanah dan mana-mana perniagaan yang mempunyai pangkalan pelanggan. Skopnya malah meliputi entiti di luar Kerajaan jika mereka memproses data penduduknya. Ringkasnya: jika anda menyimpan data pelanggan, undang-undang ini berkaitan dengan anda.

Apakah hak subjek data (pelanggan anda)?

Undang-undang ini memberikan individu satu set hak yang jelas ke atas data mereka, terutamanya:

  • Hak untuk dimaklumkan: mengetahui sebab data mereka dikumpul dan bagaimana ia akan digunakan.
  • Hak akses: melihat data yang anda simpan tentang mereka dan mendapatkan salinannya.
  • Hak pembetulan: meminta supaya data mereka dipinda, dikemas kini atau dilengkapkan.
  • Hak pemusnahan: meminta data mereka dipadamkan apabila tidak lagi diperlukan.

Apakah kewajipan perniagaan (pengawal data)?

  • Asas undang-undang untuk pemprosesan: jangan kumpul data tanpa justifikasi; amalan asasnya ialah mendapatkan persetujuan individu.
  • Dasar privasi yang jelas: terbitkan dasar yang menerangkan apa yang anda kumpul, mengapa dan bagaimana anda melindunginya.
  • Peminimuman data: kumpul hanya apa yang anda perlukan untuk mencapai tujuan — tidak lebih.
  • Pemberitahuan pelanggaran: maklumkan kepada Pihak Berkuasa (dan subjek data jika dikehendaki) tentang sebarang kebocoran yang mengancam privasi.
  • Kawalan pemindahan rentas sempadan: selaras dengan Peraturan mengenai Pemindahan Data Peribadi ke Luar Kerajaan.

Apakah hukuman bagi pelanggaran?

Hukuman meningkat mengikut jenis pelanggaran:

  • Mendedahkan atau memindahkan data sensitif dengan niat untuk memudaratkan atau demi kepentingan peribadi: penjara sehingga dua tahun dan/atau denda sehingga 3 juta SAR.
  • Pelanggaran lain: amaran atau denda sehingga 5 juta SAR, yang boleh digandakan bagi kesalahan berulang.

Lebih penting lagi, hukuman kewangan bukan satu-satunya risiko; kehilangan kepercayaan pelanggan selepas kebocoran data boleh menjejaskan perniagaan anda jauh lebih teruk daripada denda itu sendiri.

Bagaimanakah anda menyediakan perniagaan anda untuk pematuhan?

  • Kenali data anda: petakan data yang anda kumpul, tempat ia disimpan dan siapa yang boleh mengaksesnya.
  • Terbitkan dasar privasi yang jelas di laman web dan aplikasi anda, dalam bahasa yang mudah dan senang difahami.
  • Laksanakan persetujuan yang nyata sebelum mengumpul data, dengan pilihan untuk menarik balik persetujuan kemudian.
  • Penyimpanan selamat: penyulitan, kebenaran akses yang terhad dan pemadaman data yang tidak lagi anda perlukan.
  • Sediakan satu proses untuk menjawab permintaan pelanggan (akses, pembetulan, pemadaman) dan untuk melaporkan pelanggaran.

Bagaimana Origami membantu anda

Di Origami, kami membina sistem dan aplikasi berasaskan prinsip privasi melalui reka bentuk: penyulitan data sensitif, pengurusan persetujuan, log akses serta mekanisme pemadaman dan pembetulan terbina dalam. Sama ada anda sedang membina sistem baharu atau menyelaraskan sistem sedia ada dengan keperluan perlindungan data, kami menguruskan bahagian teknikal supaya anda boleh berasa yakin tentang pematuhan perniagaan anda.

Soalan Lazim

Adakah undang-undang ini meliputi perniagaan kecil? Ya, tiada pengecualian mengikut saiz; mana-mana perniagaan yang memproses data individu tertakluk kepada undang-undang ini.

Adakah dasar privasi di laman web sudah memadai? Dasar privasi ialah langkah penting tetapi tidak mencukupi dengan sendirinya; apa yang dikehendaki ialah pematuhan sebenar dalam pengumpulan, perlindungan, pemberian akses dan pemadaman data di bawah undang-undang.

Apakah yang perlu saya lakukan jika data pelanggan saya bocor? Baiki kelemahan itu dengan segera, dokumentasikan insiden tersebut, maklumkan Pihak Berkuasa seperti yang dikehendaki dan beritahu individu yang terjejas jika perlu.

Melindungi data pelanggan anda bukan lagi sekadar kelebihan daya saing; ia ialah kewajipan undang-undang yang jika diabaikan akan membawa denda dan kehilangan kepercayaan.

Jika anda ingin menilai tahap kesediaan perniagaan anda untuk pematuhan perlindungan data, atau membina sistem yang menghormati privasi melalui reka bentuk, tempah panggilan ringkas dengan pasukan Origami atau hubungi kami melalui WhatsApp.

Sumber Rasmi