Se a sua empresa coleta qualquer dado sobre seus clientes — nome, número de celular, e-mail, localização ou foto —, ela está sujeita à Lei de Proteção de Dados Pessoais (PDPL). A lei está em plena vigência desde 14 de setembro de 2024, é supervisionada pela Autoridade Saudita de Dados e Inteligência Artificial (SDAIA), e as violações podem gerar multas de até 5 milhões de SAR. Este guia explica, em termos simples, o que a sua empresa precisa fazer, quais direitos seus clientes têm e como se preparar sem complicações desnecessárias.

O que é a Lei de Proteção de Dados Pessoais?

É uma lei saudita promulgada pelo Decreto Real nº (M/19) que regula como os dados pessoais são coletados, tratados, armazenados e compartilhados dentro do Reino. Seu objetivo é proteger a privacidade das pessoas e garantir que as empresas lidem com seus dados de forma responsável e transparente. A lei entrou em vigor em 14 de setembro de 2023, com um período de carência de um ano para adequação que terminou em 14 de setembro de 2024, após o qual passou a ser totalmente obrigatória.

A quem a lei se aplica?

Ela se aplica a qualquer entidade — pública ou privada — que trate dados pessoais de indivíduos dentro do Reino, por qualquer meio. Isso inclui lojas virtuais, aplicativos, clínicas, restaurantes, imobiliárias e qualquer empresa que mantenha uma base de clientes. Seu alcance se estende até mesmo a entidades fora do Reino, caso tratem dados de residentes. Em resumo: se você tem dados de clientes, a lei diz respeito a você.

Quais direitos o titular dos dados (seu cliente) tem?

A lei concede aos indivíduos um conjunto claro de direitos sobre seus dados, com destaque para:

  • Direito à informação: saber por que seus dados são coletados e como serão usados.
  • Direito de acesso: consultar os dados que você mantém sobre eles e obter uma cópia.
  • Direito de correção: solicitar que seus dados sejam alterados, atualizados ou completados.
  • Direito à destruição: solicitar a exclusão de seus dados quando não forem mais necessários.

Quais são as obrigações da empresa (controladora dos dados)?

  • Uma base legal para o tratamento: não colete dados sem justificativa; o padrão é obter o consentimento do indivíduo.
  • Uma política de privacidade clara: publique uma política explicando o que você coleta, por que e como protege.
  • Minimização de dados: colete apenas o necessário para atingir a finalidade — nada além disso.
  • Notificação de incidentes: notifique a Autoridade (e o titular dos dados, quando exigido) sobre qualquer vazamento que ameace a privacidade.
  • Controles de transferência internacional: de acordo com o Regulamento de Transferência de Dados Pessoais para fora do Reino.

Quais são as penalidades por violações?

As penalidades aumentam conforme o tipo de violação:

  • Divulgar ou transferir dados sensíveis com intenção de causar dano ou para benefício próprio: prisão de até dois anos e/ou multa de até 3 milhões de SAR.
  • Outras violações: advertência ou multa de até 5 milhões de SAR, que pode ser dobrada em caso de reincidência.

Mais importante ainda, a penalidade financeira não é o único risco; perder a confiança dos clientes após um vazamento de dados pode custar à sua empresa muito mais do que a própria multa.

Como preparar sua empresa para a conformidade?

  • Conheça seus dados: mapeie quais dados você coleta, onde são armazenados e quem pode acessá-los.
  • Publique uma política de privacidade clara no seu site e aplicativo, em linguagem simples e compreensível.
  • Implemente o consentimento explícito antes de coletar dados, com a opção de revogá-lo depois.
  • Armazenamento seguro: criptografia, permissões de acesso restritas e exclusão do que você não precisa mais.
  • Prepare um processo para atender às solicitações dos clientes (acesso, correção, exclusão) e para comunicar incidentes.

Como a Origami ajuda você

Na Origami, desenvolvemos sistemas e aplicativos com base no princípio de privacidade desde a concepção: criptografia de dados sensíveis, gestão de consentimento, registro de acessos e mecanismos integrados de exclusão e correção. Seja para construir um novo sistema ou adequar o atual aos requisitos de proteção de dados, cuidamos da parte técnica para que você fique tranquilo quanto à conformidade da sua empresa.

Perguntas frequentes

A lei inclui pequenas empresas? Sim, não há isenção por porte; qualquer empresa que trate dados de pessoas está sujeita à lei.

Uma política de privacidade no site é suficiente? A política de privacidade é um passo importante, mas não basta por si só; o que se exige é uma conformidade real na coleta, proteção, acesso e exclusão dos dados, nos termos da lei.

O que faço se os dados dos meus clientes vazarem? Corrija a vulnerabilidade imediatamente, documente o incidente, notifique a Autoridade conforme exigido e informe as pessoas afetadas quando necessário.

Proteger os dados dos seus clientes não é mais apenas uma vantagem competitiva; é uma obrigação legal cuja negligência traz multas e perda de confiança.

Se você quer avaliar a prontidão da sua empresa para a conformidade com a proteção de dados, ou construir um sistema que respeite a privacidade desde a concepção, agende uma conversa rápida com a equipe da Origami ou fale conosco pelo WhatsApp.

Fontes oficiais