В начале июля 2026 года Саудовское управление по данным и искусственному интеллекту (SDAIA) начало рассылать форму проверки соблюдения PDPL организациям, зарегистрированным в качестве операторов данных. Это не формальность. Это официальный запрос к вашему бизнесу доказать — документами и свидетельствами, — что он собирает, обрабатывает и хранит персональные данные в соответствии с Законом о защите персональных данных (PDPL). Практический вывод: каждая организация, работающая с данными клиентов или сотрудников, должна собрать свои доказательства уже сейчас, потому что любой пробел, выявленный в ходе этой проверки, может грозить штрафами до 5 миллионов SAR.

Что такое форма проверки соблюдения требований?

Это официальный документ от 7 июля 2026 года, который SDAIA направляет зарегистрированным операторам данных с просьбой описать и подтвердить, как они соблюдают PDPL. Проще говоря: заявить о соответствии уже недостаточно — нужно предъявить политики, записи и средства контроля, которые это доказывают. Форма охватывает весь жизненный цикл управления данными — с момента сбора данных до момента их уничтожения.

Что именно запрашивает форма?

Форма требует доказательств в девяти ключевых областях. Каждую из них стоит проверить строка за строкой:

  • Сбор, обработка и хранение: как вы получаете персональные данные, где их храните и как обрабатываете.
  • Системы и политики управления данными: письменные утвержденные политики конфиденциальности и защиты данных.
  • Правовое основание обработки: законное основание для каждого вида обработки (согласие, договор, юридическая обязанность и так далее).
  • Управление третьими сторонами: как вы контролируете обработчиков и поставщиков, с которыми делитесь данными.
  • Хранение и уничтожение данных: установленные сроки хранения и процесс безопасного удаления, когда данные больше не нужны.
  • Права субъектов данных: механизм, позволяющий людям получать доступ к своим данным, исправлять и удалять их.
  • Трансграничная передача данных: средства контроля и гарантии при передаче данных за пределы Королевства.
  • Реагирование на инциденты: план обработки утечек данных и уведомления о них.
  • Ответственный за защиту данных (DPO): кто контролирует соблюдение требований в вашей организации.

Почему сейчас? SDAIA усиливает правоприменение

Форма появилась не на пустом месте. PDPL вступил в силу еще в сентябре 2023 года, и за последний год специализированные комитеты SDAIA вынесли 48 решений против организаций, признанных нарушителями, — первая существенная волна решений. Повторялись явные закономерности: сбор и обработка данных без правового основания, слабые технические и организационные меры защиты и рассылка маркетинговых сообщений без предварительного согласия (нарушение, широко распространенное в рознице, телекоммуникациях и финансовых услугах). Рассылка формы проверки — логичный следующий шаг: переход от реагирования на жалобы к требованию, чтобы организации проактивно доказывали соблюдение закона.

Санкции: во что обходится несоблюдение?

Риск и финансовый, и юридический. Штрафы достигают 5 миллионов SAR за каждое нарушение и могут удваиваться при повторных нарушениях. В самых серьезных случаях — например, при раскрытии чувствительных данных с намерением причинить вред или ради личной выгоды — дело перерастает в уголовную ответственность, вплоть до лишения свободы. Добавьте к этому косвенный ущерб: потерю доверия клиентов, застопорившиеся сделки и урон репутации. Посыл ясен: соблюдение требований больше не является необязательным или тем, что можно отложить.

Как подготовить бизнес: практический чек-лист

Не ждите, пока придет форма. Начните прямо сейчас с этих шагов:

  • Составьте карту данных: какие персональные данные вы собираете, откуда, где они хранятся и кто имеет к ним доступ.
  • Задокументируйте правовое основание для каждого вида обработки и фиксируйте согласие клиентов так, чтобы его можно было доказать.
  • Разработайте политики конфиденциальности, хранения и удаления — и убедитесь, что они утверждены и реально применяются, а не существуют только на бумаге.
  • Пересмотрите договоры с поставщиками и подрядчиками, чтобы убедиться, что в них есть положения о защите и передаче данных.
  • Настройте четкий процесс приема запросов субъектов данных (доступ, исправление, удаление) и ответа на них в установленные законом сроки.
  • Назначьте ответственного за защиту данных, пусть даже на неполный рабочий день, как четкую точку ответственности.
  • Разработайте план реагирования на инциденты, чтобы все знали, кто что делает при утечке.

Техническая сторона: где компании на самом деле терпят неудачу

Большинство пробелов связано не с намерениями, а с системами. У многих организаций есть письменная политика конфиденциальности, но их системы ее не обеспечивают: данные клиентов копируются в бесчисленные таблицы и файлы, нет автоматического способа удалить их по истечении срока хранения и нет журнала, показывающего, кто, к чему и когда получал доступ. Именно здесь соблюдение требований превращается из документа в инженерную задачу. На практике это означает: контроль доступа, шифрование чувствительных данных, журналы аудита, подтверждающие каждую операцию, автоматическое хранение и удаление, интерфейс, позволяющий субъектам данных реализовывать свои права, и технический контроль любой передачи за пределы Королевства. Форма спрашивает именно об этих возможностях, и для честного ответа нужна система, а не обещание.

Как помогает Origami

Как технологическая компания, мы рассматриваем соблюдение требований как решаемую инженерную задачу. Мы помогаем организациям превратить требования PDPL в реальные средства контроля внутри их систем: точные карты данных, управление согласиями, автоматические политики хранения и удаления, журналы аудита, панели управления запросами субъектов данных и контроль трансграничной передачи. Цель в том, чтобы ваш ответ на форму проверки был не просто словами, а системой, которая автоматически доказывает ваше соответствие всякий раз, когда об этом спрашивает SDAIA.

Заключение

Рассылка формы проверки соблюдения требований сигнализирует о том, что льготный период закончился и SDAIA переходит к требованию проактивных доказательств соответствия. Компании, которые подготовят свои данные и системы сейчас, воспримут форму как рутину; те, кто откладывает, могут обнаружить свои пробелы в самый неподходящий момент — во время самой проверки. Начните с карты данных уже сегодня.

Источники

  • Саудовское управление по данным и искусственному интеллекту (SDAIA) — Нормативные акты и политики: sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form (июль 2026 года): clydeco.com
  • IAPP — Орган по защите данных Саудовской Аравии усиливает правоприменение: iapp.org