Если ваша компания собирает какие-либо данные о клиентах — имя, номер мобильного телефона, электронную почту, местоположение или фото, — на вас распространяется Закон о защите персональных данных (PDPL). Закон в полной мере применяется с 14 сентября 2024 года, надзор за ним осуществляет Саудовское управление по данным и искусственному интеллекту (SDAIA), а за нарушения могут назначаться штрафы до 5 млн SAR. В этом руководстве простым языком объясняется, что должна сделать ваша компания, какие права есть у ваших клиентов и как подготовиться без лишних сложностей.

Что такое Закон о защите персональных данных?

Это саудовский закон, принятый Королевским указом № (M/19), который регулирует порядок сбора, обработки, хранения и передачи персональных данных в Королевстве. Его цель — защитить частную жизнь людей и обеспечить ответственное и прозрачное обращение компаний с их данными. Закон вступил в силу 14 сентября 2023 года с годичным льготным периодом для приведения деятельности в соответствие, который завершился 14 сентября 2024 года, после чего закон стал полностью обязательным.

На кого распространяется закон?

Он распространяется на любую организацию — государственную или частную, — которая любым способом обрабатывает персональные данные физических лиц внутри Королевства. Сюда относятся интернет-магазины, приложения, клиники, рестораны, компании в сфере недвижимости и любой бизнес, у которого есть клиентская база. Действие закона распространяется даже на организации за пределами Королевства, если они обрабатывают данные его жителей. Короче говоря: если у вас есть данные клиентов, закон касается вас.

Какие права есть у субъекта данных (вашего клиента)?

Закон предоставляет людям чёткий набор прав в отношении их данных, среди которых главные:

  • Право на информацию: знать, зачем собираются их данные и как они будут использоваться.
  • Право на доступ: ознакомиться с данными, которые вы о них храните, и получить их копию.
  • Право на исправление: требовать изменения, обновления или дополнения своих данных.
  • Право на уничтожение: требовать удаления своих данных, когда они больше не нужны.

Каковы обязанности компании (оператора данных)?

  • Правовое основание для обработки: не собирайте данные без обоснования; по умолчанию необходимо получить согласие человека.
  • Понятная политика конфиденциальности: опубликуйте политику, объясняющую, что вы собираете, зачем и как это защищаете.
  • Минимизация данных: собирайте только то, что нужно для достижения цели, — не больше.
  • Уведомление об утечках: сообщайте Управлению (а при необходимости и субъекту данных) о любой утечке, угрожающей конфиденциальности.
  • Контроль трансграничной передачи: в соответствии с Регламентом о передаче персональных данных за пределы Королевства.

Какие наказания предусмотрены за нарушения?

Наказания ужесточаются в зависимости от вида нарушения:

  • Раскрытие или передача чувствительных данных с целью причинения вреда или ради личной выгоды: лишение свободы на срок до двух лет и/или штраф до 3 млн SAR.
  • Прочие нарушения: предупреждение или штраф до 5 млн SAR, который может быть удвоен при повторном нарушении.

Что ещё важнее, денежный штраф — не единственный риск: потеря доверия клиентов после утечки данных может обойтись вашей компании гораздо дороже самого штрафа.

Как подготовить компанию к соблюдению требований?

  • Знайте свои данные: составьте карту того, какие данные вы собираете, где они хранятся и у кого есть к ним доступ.
  • Опубликуйте понятную политику конфиденциальности на сайте и в приложении, простым и доступным языком.
  • Внедрите явное согласие до сбора данных с возможностью впоследствии отозвать его.
  • Безопасное хранение: шифрование, ограниченные права доступа и удаление того, что вам больше не нужно.
  • Подготовьте процедуру для ответа на запросы клиентов (доступ, исправление, удаление) и для сообщения об утечках.

Чем вам поможет Origami

В Origami мы создаём системы и приложения по принципу конфиденциальности на этапе проектирования: шифрование чувствительных данных, управление согласиями, журналирование доступа и встроенные механизмы удаления и исправления. Создаёте ли вы новую систему или приводите существующую в соответствие с требованиями защиты данных, мы возьмём на себя техническую часть, чтобы вы могли быть спокойны за соответствие вашей компании закону.

Часто задаваемые вопросы

Распространяется ли закон на малый бизнес? Да, исключений по размеру нет; любая компания, обрабатывающая данные физических лиц, подпадает под действие закона.

Достаточно ли политики конфиденциальности на сайте? Политика конфиденциальности — важный шаг, но сама по себе она недостаточна; требуется реальное соблюдение закона при сборе, защите, предоставлении доступа к данным и их удалении.

Что делать, если произошла утечка данных моих клиентов? Немедленно устраните уязвимость, задокументируйте инцидент, уведомите Управление в установленном порядке и при необходимости проинформируйте пострадавших лиц.

Защита данных клиентов — уже не просто конкурентное преимущество, а юридическая обязанность, пренебрежение которой оборачивается штрафами и потерей доверия.

Если вы хотите оценить готовность вашей компании к соблюдению требований о защите данных или создать систему, изначально уважающую конфиденциальность, запишитесь на короткий звонок с командой Origami или напишите нам в WhatsApp.

Официальные источники