Pada awal Julai 2026, Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA) mula mengedarkan Borang Pengesahan Pematuhan PDPL kepada organisasi yang berdaftar sebagai pengawal data. Ini bukan sekadar formaliti. Ia ialah permintaan rasmi supaya perniagaan anda membuktikan — dengan dokumen dan bukti — bahawa ia mengumpul, memproses dan menyimpan data peribadi selaras dengan Undang-undang Perlindungan Data Peribadi (PDPL). Pengajaran praktikalnya: setiap organisasi yang mengendalikan data pelanggan atau pekerja patut mengumpulkan buktinya sekarang, kerana sebarang kelompongan yang terdedah semasa semakan ini boleh menyebabkannya dikenakan penalti sehingga 5 juta SAR.

Apakah Borang Pengesahan Pematuhan?

Ia ialah dokumen rasmi — bertarikh 7 Julai 2026 — yang dihantar oleh SDAIA kepada pengawal data berdaftarnya, meminta mereka menerangkan dan membuktikan cara mereka mematuhi PDPL. Ringkasnya: mengatakan anda patuh tidak lagi memadai; anda mesti mengemukakan dasar, rekod dan kawalan yang membuktikannya. Borang ini merangkumi keseluruhan kitaran hayat tadbir urus data anda, dari saat data dikumpul hingga saat ia dimusnahkan.

Apakah sebenarnya yang diminta oleh borang ini?

Borang ini meminta bukti dalam sembilan bidang teras. Setiap satu wajar disemak baris demi baris:

  • Pengumpulan, pemprosesan dan penyimpanan: cara anda mengumpul data peribadi, di mana anda menyimpannya dan cara anda memprosesnya.
  • Rangka kerja dan dasar tadbir urus: dasar bertulis yang diluluskan bagi privasi dan perlindungan data.
  • Asas undang-undang pemprosesan: asas yang sah bagi setiap aktiviti pemprosesan (persetujuan, kontrak, kewajipan undang-undang dan sebagainya).
  • Pengurusan pihak ketiga: cara anda menyelia pemproses dan vendor yang berkongsi data dengan anda.
  • Penyimpanan dan pemusnahan data: tempoh penyimpanan yang ditetapkan dan proses pemadaman yang selamat apabila data tidak lagi diperlukan.
  • Hak subjek data: mekanisme yang membolehkan individu mengakses, membetulkan dan memadam data mereka.
  • Pemindahan data rentas sempadan: kawalan dan perlindungan bagi memindahkan data ke luar Kerajaan.
  • Tindak balas insiden: pelan untuk mengendalikan dan melaporkan pelanggaran data.
  • Pegawai Perlindungan Data (DPO): siapa yang menyelia pematuhan dalam organisasi anda.

Mengapa sekarang? SDAIA meningkatkan penguatkuasaan

Borang ini tidak muncul begitu sahaja. PDPL sudah boleh dikuatkuasakan sejak September 2023, dan sepanjang tahun lalu jawatankuasa khusus SDAIA telah mengeluarkan 48 keputusan terhadap organisasi yang didapati melanggar — gelombang keputusan substantif yang pertama. Corak yang jelas berulang: mengumpul dan memproses data tanpa asas yang sah, perlindungan teknikal dan organisasi yang lemah, dan menghantar mesej pemasaran tanpa persetujuan terlebih dahulu (pelanggaran yang meluas dalam sektor runcit, telekomunikasi dan perkhidmatan kewangan). Mengedarkan borang pengesahan ialah langkah logik seterusnya: beralih daripada bertindak balas terhadap aduan kepada mewajibkan organisasi membuktikan pematuhan secara proaktif.

Penalti: berapakah kos ketidakpatuhan?

Risikonya dari segi kewangan dan undang-undang. Denda mencecah 5 juta SAR bagi setiap pelanggaran dan boleh digandakan bagi kesalahan berulang. Dalam kes paling serius — seperti mendedahkan data sensitif dengan niat untuk memudaratkan atau untuk kepentingan peribadi — perkara itu meningkat kepada liabiliti jenayah, termasuk pemenjaraan. Tambahkan pula kerosakan tidak langsung: hilang kepercayaan pelanggan, urus niaga tergendala dan kemudaratan reputasi. Mesejnya jelas: pematuhan bukan lagi pilihan atau sesuatu yang boleh ditangguhkan.

Cara menyediakan perniagaan anda: senarai semak praktikal

Jangan tunggu borang tiba sebelum anda bermula. Mulakan sekarang dengan langkah-langkah ini:

  • Bina peta data: data peribadi apa yang anda kumpul, dari mana, di mana ia berada dan siapa yang boleh mengaksesnya.
  • Dokumentasikan asas undang-undang bagi setiap aktiviti pemprosesan, dan rekodkan persetujuan pelanggan dengan cara yang boleh dibuktikan.
  • Tulis dasar privasi, penyimpanan dan pemadaman — dan pastikan ia diluluskan dan benar-benar dikuat kuasakan, bukan hanya di atas kertas.
  • Semak kontrak vendor dan pembekal perkhidmatan untuk memastikan klausa perlindungan data dan pemindahan data disertakan.
  • Wujudkan proses yang jelas untuk menerima dan menjawab permintaan subjek data (akses, pembetulan, pemadaman) dalam tempoh yang ditetapkan undang-undang.
  • Lantik pegawai perlindungan data, walaupun secara sambilan, sebagai titik akauntabiliti yang jelas.
  • Bina pelan tindak balas insiden supaya semua orang tahu siapa melakukan apa apabila berlaku pelanggaran.

Sudut teknikal: di mana perniagaan sebenarnya gagal

Kebanyakan kelompongan bukan soal niat — tetapi soal sistem. Banyak organisasi mempunyai dasar privasi bertulis, tetapi sistem mereka tidak menguatkuasakannya: data pelanggan disalin ke dalam hamparan dan fail yang tidak terkira banyaknya, tiada cara automatik untuk memadamnya apabila tempoh penyimpanan tamat, dan tiada log yang menunjukkan siapa mengakses apa dan bila. Di sinilah pematuhan bertukar daripada dokumen kepada kejuruteraan. Secara praktikal, ini bermakna: kawalan akses, penyulitan data sensitif, log audit yang membuktikan setiap operasi, penyimpanan dan pemadaman automatik, antara muka yang membolehkan subjek data menggunakan hak mereka, dan kawalan teknikal ke atas sebarang pemindahan ke luar Kerajaan. Borang ini bertanya tentang keupayaan tersebut, dan jawapan yang jujur memerlukan sistem, bukan janji.

Bagaimana Origami membantu

Sebagai syarikat teknologi, kami melihat pematuhan sebagai masalah kejuruteraan yang boleh diselesaikan. Kami membantu organisasi menukar keperluan PDPL kepada kawalan sebenar dalam sistem mereka: peta data yang tepat, pengurusan persetujuan, dasar penyimpanan dan pemadaman automatik, log audit, papan pemuka untuk mengurus permintaan subjek data, dan kawalan pemindahan rentas sempadan. Matlamatnya ialah supaya jawapan anda kepada borang pengesahan bukan sekadar kata-kata, tetapi sistem yang membuktikan pematuhan anda secara automatik setiap kali SDAIA memintanya.

Kesimpulan

Pengedaran Borang Pengesahan Pematuhan menandakan bahawa tempoh kelonggaran telah tamat dan SDAIA kini beralih kepada mewajibkan bukti pematuhan secara proaktif. Perniagaan yang menyediakan data dan sistem mereka sekarang akan menganggap borang ini sebagai rutin; mereka yang menangguhkannya mungkin menemui kelompongan mereka pada saat paling buruk — semasa semakan itu sendiri. Mulakan dengan peta data anda hari ini.

Sumber

  • Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA) — Peraturan dan Dasar: sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form (Julai 2026): clydeco.com
  • IAPP — Pihak berkuasa perlindungan data Arab Saudi meningkatkan penguatkuasaan: iapp.org